新疆移動(dòng)BOSS系統(tǒng)改造安全解決方案應(yīng)用

新疆移動(dòng)BOSS系統(tǒng)改造安全解決方案應(yīng)用移動(dòng)通信對(duì)信息網(wǎng)絡(luò)的依靠程度之高可以想象，僅其業(yè)務(wù)運(yùn)營(yíng)支撐（BOSS）系統(tǒng)就運(yùn)行著計(jì)費(fèi)、結(jié)算、營(yíng)業(yè)帳務(wù)和客戶服務(wù)等多項(xiàng)核心業(yè)務(wù)，這些業(yè)務(wù)都要求有一個(gè)高度穩(wěn)定、運(yùn)行順暢、平安牢靠的網(wǎng)絡(luò)。近年來，中國移動(dòng)新疆公司迫切需要將原有的網(wǎng)絡(luò)改造，建立一個(gè)高性能、高平安性、高可用性、高可擴(kuò)充性的骨干網(wǎng)絡(luò)平臺(tái)，使得它一方面可以承載將來兩年（至2003年底）可預(yù)見的包括300萬用戶的多項(xiàng)業(yè)務(wù)應(yīng)用，另一方面順應(yīng)“大集中”的趨勢(shì)，實(shí)現(xiàn)對(duì)全區(qū)各州縣業(yè)務(wù)的集中統(tǒng)一管理。一、系統(tǒng)改造中的平安系統(tǒng)建設(shè)新疆移動(dòng)通信公司業(yè)務(wù)支撐系統(tǒng)(BOSS)由計(jì)費(fèi)系統(tǒng)、結(jié)算系統(tǒng)、營(yíng)業(yè)帳務(wù)系統(tǒng)、客戶服務(wù)系統(tǒng)組成，平安是部署全部系統(tǒng)應(yīng)用和實(shí)施優(yōu)質(zhì)服務(wù)的前提和保障，因而BOSS系統(tǒng)必需有很高的平安性！分析整個(gè)BOSS系統(tǒng)，所涉及的平安掌握將主要有網(wǎng)絡(luò)平安性、處理機(jī)平安性和用戶平安性三種，其中每臺(tái)處理機(jī)的平安性可以通過UNIX的登錄過程實(shí)施掌握，用戶級(jí)的平安性可以通過文件的全部者和文件訪問權(quán)限機(jī)構(gòu)來掌握，而網(wǎng)絡(luò)的平安性將是最大的挑戰(zhàn)。一方面網(wǎng)絡(luò)中大量存儲(chǔ)和傳輸?shù)臄?shù)據(jù)有可能被盜用、暴露或者篡改，另一方面，BOSS系統(tǒng)本身與Internet連接，與其它單位系統(tǒng)（如銀行、郵儲(chǔ)、公安等）的接口及撥號(hào)連接等網(wǎng)絡(luò)接口也都是易受黑客攻擊的地方。新疆移動(dòng)業(yè)務(wù)運(yùn)營(yíng)支撐系統(tǒng)網(wǎng)絡(luò)分布廣、處理業(yè)務(wù)多且皆為計(jì)費(fèi)、客服等核心業(yè)務(wù)，另外還要留意區(qū)中心和各地州不同的平安級(jí)別，要保障這樣一個(gè)簡(jiǎn)單的分布式網(wǎng)絡(luò)環(huán)境的整體平安，必需首先要對(duì)網(wǎng)絡(luò)系統(tǒng)有一個(gè)全面深刻的了解，并且對(duì)網(wǎng)絡(luò)的各個(gè)環(huán)節(jié)可能存在的潛在威逼有一個(gè)清楚的熟悉，然后制定出相應(yīng)的平安策略。新疆移動(dòng)新BOSS系統(tǒng)的設(shè)計(jì)采納思科系統(tǒng)集中分層方案，此方案不僅適合BOSS系統(tǒng)架構(gòu)集中式分布特點(diǎn)及多級(jí)平安性需求，而且思科還把握著世界領(lǐng)先的整體平安解決方案，基于BOSS系統(tǒng)的需求，思科在綜合考慮平安性、易用性和成本之后，提出了集中分級(jí)的平安解決方案。首先，集中式平安管理采納特地用于保證平安性的服務(wù)器對(duì)整個(gè)系統(tǒng)進(jìn)行監(jiān)測(cè)和管理。有了這樣的服務(wù)器以后，連接在這個(gè)網(wǎng)絡(luò)的全部用戶，不管它需要以什么樣的方式訪問網(wǎng)絡(luò)設(shè)備，都必需通過服務(wù)器的平安性監(jiān)測(cè)。由于服務(wù)器上可以運(yùn)行功能很強(qiáng)的平安性軟件，可以完全滿意BOSS系統(tǒng)的平安需求。在路由器、撥號(hào)訪問服務(wù)器和平安服務(wù)器之間傳送的可以是經(jīng)過加密的有關(guān)網(wǎng)絡(luò)平安協(xié)議的數(shù)據(jù)流。通過這種集中式的平安掌握機(jī)制，我們可以實(shí)現(xiàn)鑒別、授權(quán)和記帳的所謂“AAA”平安功能。為了進(jìn)一步提高平安數(shù)據(jù)庫的牢靠性，我們還可以在網(wǎng)絡(luò)上設(shè)置不止一臺(tái)的平安數(shù)據(jù)庫，即使全部的平安數(shù)據(jù)庫都發(fā)生故障，還可以設(shè)置成利用路由器中的數(shù)據(jù)庫實(shí)現(xiàn)分散的平安掌握方式。其次，分級(jí)平安掌握。新疆移動(dòng)BOSS系統(tǒng)位于區(qū)中心和各地州的網(wǎng)絡(luò)重要性是不一樣的，需要愛護(hù)的對(duì)象也不同，因此平安實(shí)施的力度也不同，一個(gè)好的平安體系是有主次之分的。思科在本次方案中依據(jù)用戶系統(tǒng)的特點(diǎn)構(gòu)筑了一個(gè)分層次，采納不同廠商平安產(chǎn)品的異構(gòu)平安體系。這就是在系統(tǒng)與外單位的接口處構(gòu)建一級(jí)平安防護(hù)，針對(duì)計(jì)費(fèi)中心核心主機(jī)、核心數(shù)據(jù)庫的平安構(gòu)建其次層平安防護(hù)體系，并且采納不同廠商平安產(chǎn)品進(jìn)一步提高攻擊的難度。這種分層異構(gòu)平安體系，其實(shí)就是思科面對(duì)網(wǎng)絡(luò)平安端到端的SAFE（SecurityArchitectureforE-Business）解決方案中深度防備理念的詳細(xì)應(yīng)用。最終，在詳細(xì)的訪問掌握中充分利用BOSS系統(tǒng)的集中模式。（1）使用被廣泛使用的“防火墻”，即把防火墻看作是一個(gè)數(shù)據(jù)流的過濾器，只有用戶所期望的數(shù)據(jù)流才能夠通過這個(gè)過濾器，而其它全部的數(shù)據(jù)流都不能通過，這一掌握是雙向的。如在區(qū)中心與Internet的連接就設(shè)置了PIX防火墻，將內(nèi)網(wǎng)與外網(wǎng)隔斷，而作為用戶Web查詢用的服務(wù)器則置于DMZ（DemilitarizedZoon）中，用戶訪問時(shí)，不會(huì)直接進(jìn)入內(nèi)網(wǎng)，而只和查詢服務(wù)器發(fā)生關(guān)聯(lián)，只能由查詢服務(wù)器進(jìn)入內(nèi)網(wǎng)查找到用戶所需的數(shù)據(jù)。這樣就可以基本上保證系統(tǒng)的平安性。另外，BOSS系統(tǒng)與其它系統(tǒng)的網(wǎng)絡(luò)接口（如話費(fèi)代收及銀行、郵儲(chǔ)、公安之類的接口）都是在區(qū)中心采納防火墻等平安機(jī)制來集中保證網(wǎng)絡(luò)的相互獨(dú)立性。BOSS系統(tǒng)與銀行系統(tǒng)的網(wǎng)絡(luò)連接以銀行為例加以說明。每家銀行都有一套掩蓋全區(qū)的網(wǎng)絡(luò)，而新疆移動(dòng)采納的是計(jì)費(fèi)、營(yíng)業(yè)及綜合帳務(wù)系統(tǒng)的集中模式，所以只要在區(qū)內(nèi)中國移動(dòng)與各家銀行的區(qū)中心作網(wǎng)絡(luò)連接就可以實(shí)現(xiàn)聯(lián)網(wǎng)了。這種方法接口單一，連接方法簡(jiǎn)潔，易于管理，平安隱患小，節(jié)省投資。（2）在撥號(hào)連接平安問題上，除了采納回拔技術(shù)以外，也主要使用了集中的訪問掌握。BOSS系統(tǒng)的拔號(hào)用戶主要是營(yíng)業(yè)廳和代理點(diǎn)兩類，對(duì)營(yíng)業(yè)廳，它完成的業(yè)務(wù)多一些，因此也應(yīng)具有較高的權(quán)限；對(duì)代理點(diǎn)，不應(yīng)讓其訪問過多的數(shù)據(jù)。這可以通過賜予不同的用戶名和口令，再對(duì)這些用戶名和口令作不同訪問限制的方法來實(shí)現(xiàn)，也可以通過對(duì)地址的訪問掌握實(shí)現(xiàn)，詳細(xì)選用哪一種可依實(shí)際狀況而定。為了實(shí)現(xiàn)這些功能，使用集中的訪問掌握是必要的，它不但可以保證網(wǎng)絡(luò)不受侵害，也可以記錄下對(duì)于網(wǎng)絡(luò)的操作以及監(jiān)測(cè)各種用戶的訪問。二、平安系統(tǒng)增加了網(wǎng)絡(luò)的運(yùn)營(yíng)力量新疆移動(dòng)BOSS系統(tǒng)通過實(shí)施新的平安方案后，整個(gè)網(wǎng)絡(luò)的運(yùn)行將可在一種可控方式下并保證其平安性，新系統(tǒng)不但可以通過集中掌握的機(jī)制對(duì)分布在全區(qū)15個(gè)地州的網(wǎng)絡(luò)進(jìn)行平安管理，防止非授權(quán)的人員進(jìn)入網(wǎng)絡(luò)之中，還可依據(jù)詳細(xì)用戶的級(jí)別確定他們的訪問權(quán)限，以實(shí)現(xiàn)分層次的平安掌握機(jī)制。另外，思科通過將自身高性能的平安產(chǎn)品（如PIX防火墻和VPN等）以及第三方平安產(chǎn)品和技術(shù)部署到網(wǎng)絡(luò)相應(yīng)的位置，大大增加了網(wǎng)絡(luò)的抗攻擊力量。改造后的系統(tǒng)關(guān)心客戶解決了原來因地緣分布廣造成的管理難度大、成本高、不能準(zhǔn)時(shí)解決客戶的問題等，使得新疆移動(dòng)的策略制定、實(shí)施，對(duì)客戶問題的診斷、解決都可以在中心區(qū)完成。另外，由于實(shí)現(xiàn)了業(yè)務(wù)管理和平安管理的大集中，整個(gè)BOSS系統(tǒng)的管理都變得更簡(jiǎn)潔、可控，從而不僅保障了整個(gè)系統(tǒng)平安、持續(xù)、高效地運(yùn)行，還大幅地提高了人員工作效率，節(jié)省了管理成本。此系統(tǒng)設(shè)計(jì)及實(shí)施過程中，有3點(diǎn)是保證系統(tǒng)勝利的關(guān)鍵。第一，如何在新疆移動(dòng)的“生產(chǎn)”網(wǎng)絡(luò)中運(yùn)用SAFE藍(lán)圖的模塊化分析方法。思科的“SAFE”藍(lán)圖提倡將企業(yè)簡(jiǎn)單的網(wǎng)絡(luò)環(huán)境模塊化，正是這種模塊化的分析方法，使得新疆移動(dòng)化繁為簡(jiǎn)地分析其網(wǎng)絡(luò)各個(gè)模塊內(nèi)部以及相互連接處的薄弱環(huán)節(jié)和關(guān)鍵部分。這樣，一方面可以關(guān)心新疆移動(dòng)有針對(duì)性的實(shí)行