网优业务系统安全优化.pdfVIP

2014信息通信网技术业务发展研讨会论文集（下册） 网优业务系统安全优化 严亚豪 费怡文 中国联合网络通信有限公司北京市分公司网络优化中心，北京，中国，100038 摘要：本文从安全性、结构优化、拓展性等原则出发，针对网络资源规划配置、网络架构规划、 网络协议配置、网络安全性能等多个指标，对业务支撑系统的网络进行详细分析，指定了合理的安全 优化方案。 关键词：支撑系统；网络安全；网络架构；优化 概述 随着北京联通网优中心出现越来越多的专业化、个性化的优化功能，接入网优部门的系统越来越 多、越来越繁杂，我们面临着网络架构、日常运维、系统可用性等诸多风险，此时合理规划网络结构， 构建安全网络环境就显得尤为重要。 研究背景 一、集团网络单元安全基线规范 中国联通通信网络及安全基线要求规定了网络单元的最小安全保证，明确了各类系统和设备的最 低安全配置要求，指出了账号管理、认证授权安全要求、日志安全要求、IP 协议安全要求、防火墙安 全配置、应用和服务管理安全要求以及其他安全要求。同时，集团就生产网与外网的隔离情况、密码 的管理情况、生产网数据备份情况、计算机病毒防范及杀毒情况、故障隐患检查机解决情况等网络安 全方面对分公司加强了考核。 二、支撑系统安全问题突出 目前，接入到联通办公网络的支撑系统越来越多，提供了丰富的功能应用，与此同时也带来了许 多的安全风险，例如：网络协议配置不符合配置基线或没有配置；系统架构采用单链路运行，系统冗 余度低，系统抗风险能力弱；未设置登录限制，未配置身份认证，用户密码未采用强密码；未配置 NTP 同步，无日志功能等。这些风险为重大网络安全事故埋下了伏笔，亟待从根本上解决。 业务支撑系统风险分析 一、现有网络架构带来管理风险 由于网优中心的网络接入侧连接着北京联通DCN 网络，存在着如下网络和管理的安全风险： 195 2014信息通信网技术业务发展研讨会论文集（下册） 北京联通 DCN 网络与网优中心运维网络互联，DCN 网络的内部安全风险会渗透到网优中心的运 维网络区域，并且由于 DCN 网络是可以登陆互联网，由于互联网的安全风险对于网优中心是不可控的， 有可能带来主机病毒、木马程序等不可控的安全风险。 北京联通 DCN 网络其他非网优中心用户可以通过DCN 网络访问网优中心运维网络，并且无法对 接入用户进行接入的限制以及接入操作的行为审计，带来了管理的安全风险。 二、日常运维误操作风险 在日常运维操作中，经常需要进行设备间的配置和调试，如果设备配置没有进行规范的信息整理 与归档，会带来日常运维误操作风险，如：设备互联端口中没有添加正确描述信息，在进行设备的更 换和新增时，不能正确查找出设备的准确位置，增大了运维的误操作风险。 三、系统高可用性风险 当网路设备上的配置没有进行规范配置时，会消耗过多的设备资源，造成网络设备的整体性能下 降，降低了整套系统的可用性。例如：当防火墙中存在过多的ACL 条目时，数据包经过防火墙时，需 要对 ACL 条目进行从上而下的顺序匹配。既增大了数据包的传输时间，又影响了防火墙的性能，降低 了网络的数据吞吐量，严重降低了整套系统的高可用性。 业务系统安全优化方案 根据中国联通北京分公司相关基线标准以及电信业相关标准规定，全方位审视网络运行情况，针 对发现的问题进行详细分析，设计网络架构规划网络方案，优化加固网络安全。根据不同的技术范畴， 对安全问题进行分类整理，如下表所示。 一、网络架构 1、网络基础信息统一规划 合理规划 IP 地址，避免 IP 地址规划不合理，后续系统扩容新增设备将无可用 IP 地址，同时对设 备 Vlan 、端口描述、设备命名和端口分配等网络基础信息进行统一规划。 2 、以太网端口聚合和生成树配置 采用配置基线或者部门制定的网元设备配置规范，避免系统出现路由环路，网络设备无法正常访 问，整个系统瘫痪，并且可使用RPVST 生成树协议，防止二层环路，实现网络二层环境的快速和有效 收敛。 3、增加系统冗余度和系统安全边界划分 采用双设备、双链路部署，增加系统冗余度，增强系统抗风险能力。同