NetCare安全白皮书V20.docVIP

此文档只作为NCC内部交流，不得散发给最终用户 NetCare安全白皮书 技术手段 通信安全 所有用户网络之间采用MPLS技术隔离，分隔在不同的MPLS VPN内。Customer A只拥有到NCC前端系统的路由，无从得知Customer B的网络信息，不能访问其它客户网络。 平台的接入路由器上部署信道化E1端口，并启动BGP协议，客户广域网络通过64K DDN/FR接入到“网管专家服务”平台，接入路由器的CE1端口分成独立的时隙，实现不同客户的64K电路接入，针对每一个时隙，路由器通过MPLS技术为客户数据打上一层Tag标签，形成并维护VRF，做到路由的隔离；同时，平台内部网络的路由器、交换机通过VLAN方式做到二层隔离； 平台的接入路由器通过ACL（访问控制列表）技术进行过滤，只允许指定的源IP地址通过，防止了非法的访问。 轮训服务器（Poller）实现客户网络信息的采集，轮训服务器的设置原则为： 轮训的客户端设备数量。 客户端设备的目的IP地址。因为该地址为私有地址，可能在不同的客户网络中存在着地址冲突，因此，平台中部署了多台轮训服务器。 在轮训服务器中，以每一个目的地址为单位，进行数据的轮训采集，采集的数据仅限于SNMP和PING 数据，做到仅采集固定IP地址和端口类型的数据包，并将结果存储在不同的逻辑区域，通过软件的方式进行隔离。 用于连接客户的NCC前端路由器，对来自客户方向的信息进行IP地址过滤和端口过滤。只允许已知的被管理设备IP接入，以及只开方SNMP协议的端口。这样，来自客户网络的病毒和伪装成被管理设备的计算机都无法访问NCC的管理网络。此外，由于NCC是7x24小时的有人职守系统，对任何来自被管理网络的异常数据流，都有监测并可及时屏蔽产生异常信息流的源头设备。 只有后台的POLLER SERVER拥有到客户端网络收集网管信息的路由，没有其他路由通过客户网络，所有其他流量都被严格过滤掉，POLLER SERVER只接受SNMP TRAP信息。POLLER SERVER采用精简LINUX平台，不收Windows病毒的侵扰，也不存在windows系统漏洞问题。 共有3种不同权限的服务可以访问用户的网络：. 轮询者(ICMP, SNMP Query UDP 161) 信息收集(SNMP TRAP UDP162) ICMP状态检测 终端工具服务(Telnet, SSH)（可选，必需通过3A认证） 客户访问nView网页必须使用SSL加密手段，并采用高强壮性的密码设置策略避免密码攻击；安全性要求高的客户还可通过在客户端安装数字证书的方式，即使密码泄露仍只有正确的主机可访问nView。 访问控制 所有通过客户的流量必须在客户接入端做严格的过滤，确保仅必要和来自可信任地址的业务通过： 只有来自NCC的SNMP Query，ICMP Echo，或Telnet , SSH才能通过客户接入端设备 只有SNMP Trap，ICMP Echo Reply的流量才能到NCC网络 其它流量全部被阻隔 每个客户要认证、授权和记账 所有重要设备和资源必须设密码控制 了解需求 最小权限法则 所有外出人员远程访问网络必须通过RSA两重加密认证 访问的NIVEW页面受防火墙保护 硬件灾备 视频捕捉监控 火灾防护系统 UPS (带蓄电池备份) 所有重要设备要有冗余备份，提供备品备件服务，相关设备服务商提供一年365x7x24小时维护。. 网络安全 采集用户SNMP数据使用专线方式，而不是通过公网传输 用户接入到NCC的地方，使用防火墙隔离 NCC的内部网络，业务网络和办公网络物理隔离，工程师无法从办公网络直接通达到用户的网络 业务网络（与用户相连）中所有服务器均采用UNIX或LINUX操作系统，防止WINDOWS的病毒危害 提供Internet服务的nView服务器处于防火墙保护之下，并根据高级安全策略配置该Linux服务器，提高了黑客入侵的难度；该服务器配置有备份设备，一旦遭受攻击也可快速恢复 存储用户数据的数据库服务器不与Internet连接，所有对用户数据的访问都经由NIVIEW实现，防止了非法访问造成用户数据的泄密或损坏。 其他安全策略 用户可以在自己网络中设置防火墙 用户可以设置AAA服务器，对NCC对客户网络的访问进行集中的认证、授权、审计 “以下部分仅供参考，请理想公司从运维管理制度的角度，将安全性表示一下” 法律保护 NCC的保密协议 NCC会与用户签订NetCare的保密协议，保证不泄漏用户的信息（客户信息、设备信息、网络信息等） 所有的NCC工程师都会与公司签订保密协议，保证工程师即使离开公司，也不会泄漏用户的信息 中国电信的保密协议 NCC会遵循中国电信的一切保密规程