《中國移動技術(shù)發(fā)展路標網(wǎng)絡與信息安全》由會員分享，可在線閱讀，更多相關(guān)《中國移動技術(shù)發(fā)展路標網(wǎng)絡與信息安全（45頁珍藏版）》請在裝配圖網(wǎng)上搜索。

1、中國移動技術(shù)發(fā)展路標（中國移動技術(shù)發(fā)展路標（20082008版）版）- -網(wǎng)絡與信息安全網(wǎng)絡與信息安全http:/ 2目錄目錄問題及挑戰(zhàn)問題及挑戰(zhàn)1總體框架和現(xiàn)狀總體框架和現(xiàn)狀2發(fā)展策略發(fā)展策略3附錄：關(guān)鍵修改點附錄：關(guān)鍵修改點4http:/ 3攻擊多樣化攻擊多樣化網(wǎng)絡網(wǎng)絡IP化化終端智能化終端智能化123黑客攻擊、病毒、蠕蟲、DDOS攻擊等互聯(lián)網(wǎng)安全威脅依然存在，破壞力更加嚴重。如利用夢網(wǎng)業(yè)務、用戶自服務平臺等對互聯(lián)網(wǎng)開放的網(wǎng)站和后臺服務模塊編碼漏洞，修改他人業(yè)務訂購關(guān)系和費用 手機終端智能化，也引入了主要通過藍牙、彩信以及其它移動新業(yè)務和手機新功能進行傳播的惡意代碼。話音網(wǎng)絡IP化導致傳統(tǒng)

2、網(wǎng)絡中出現(xiàn)了互聯(lián)網(wǎng)常見的安全問題。http:/ 4內(nèi)部威脅增大內(nèi)部威脅增大攻擊目的變化攻擊目的變化不良信息傳遞不良信息傳遞456內(nèi)部工作人員、第三方支持人員、SP利用對內(nèi)部信息的了解、擁有的權(quán)限以及業(yè)務流程漏洞，實施信息安全犯罪。隨著3G、數(shù)據(jù)業(yè)務的發(fā)展，移動信息內(nèi)容和交互方式不斷豐富，不法人員利用移動數(shù)據(jù)業(yè)務傳遞不良信息，制約了公司業(yè)務推廣。 外部黑客的惡意攻擊也越來越多的趨向追求經(jīng)濟利益 。http:/ 5網(wǎng)絡網(wǎng)絡IPIP化、終端智能化化、終端智能化使安全問題逐步延伸至使安全問題逐步延伸至移動通信的核心業(yè)務移動通信的核心業(yè)務p 2005年匯接軟交換年匯接軟交換病毒感染病毒感染事件，導致系統(tǒng)

3、管理失控事件，導致系統(tǒng)管理失控p 2006年，北京、上海年，北京、上海VC受到華為離職員工入侵，發(fā)生盜卡事件受到華為離職員工入侵，發(fā)生盜卡事件存在存在邊界不清邊界不清、訪問控制管理不嚴訪問控制管理不嚴、賬號密碼管理松懈賬號密碼管理松懈以及以及應用系統(tǒng)自身架構(gòu)漏洞等應用系統(tǒng)自身架構(gòu)漏洞等問題問題缺乏缺乏及時發(fā)現(xiàn)異常操作及時發(fā)現(xiàn)異常操作的技術(shù)手段，如審計系統(tǒng)的技術(shù)手段，如審計系統(tǒng)缺乏足夠的技術(shù)手段支持，無法有效落實定期進行缺乏足夠的技術(shù)手段支持，無法有效落實定期進行密碼修改密碼修改等管理要求等管理要求 p 卓望公司內(nèi)部員工與卓望公司內(nèi)部員工與SP勾結(jié)，偽造虛假定購關(guān)系，騙取資費勾結(jié)，偽造虛假定購關(guān)

4、系，騙取資費缺乏對缺乏對MISC系統(tǒng)的系統(tǒng)的審計手段審計手段，不能及時發(fā)現(xiàn)非法操作；缺乏對，不能及時發(fā)現(xiàn)非法操作；缺乏對MISC系統(tǒng)系統(tǒng)權(quán)限的掌控權(quán)限的掌控能力能力p 某省員工查看用戶短信內(nèi)容，并對用戶實施敲詐某省員工查看用戶短信內(nèi)容，并對用戶實施敲詐p 2008年，某省計費系統(tǒng)集成商員工私查用戶通話記錄事件，導致客戶投訴年，某省計費系統(tǒng)集成商員工私查用戶通話記錄事件，導致客戶投訴權(quán)限管理權(quán)限管理不嚴格；不嚴格；缺乏審計缺乏審計受經(jīng)濟利益驅(qū)受經(jīng)濟利益驅(qū)使，內(nèi)部員工使，內(nèi)部員工和掌握系統(tǒng)信和掌握系統(tǒng)信息的第三方人息的第三方人員成為重大安員成為重大安全事件的主體全事件的主體外部黑客攻擊外部黑客攻擊

5、滲透威脅依然滲透威脅依然存在存在p 2006年中國移動門戶網(wǎng)站主頁被篡改，造成了一定的社會影響年中國移動門戶網(wǎng)站主頁被篡改，造成了一定的社會影響組網(wǎng)缺陷、設(shè)備安全功能及配置問題、賬號權(quán)限管理以及安全審計等專用安全防護設(shè)備的不足、集組網(wǎng)缺陷、設(shè)備安全功能及配置問題、賬號權(quán)限管理以及安全審計等專用安全防護設(shè)備的不足、集中監(jiān)控能力的極度欠缺，是導致主要安全事件的關(guān)鍵原因。中監(jiān)控能力的極度欠缺，是導致主要安全事件的關(guān)鍵原因。http:/ 6目錄目錄問題及挑戰(zhàn)問題及挑戰(zhàn)1總體框架和現(xiàn)狀總體框架和現(xiàn)狀2發(fā)展策略發(fā)展策略3附錄：關(guān)鍵修改點附錄：關(guān)鍵修改點4http:/ 7 遵循集中化、分等級保護的原則，外部

6、防護和內(nèi)部控制并重，在外部防護方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測等各類防護和檢測手段，并通過集中監(jiān)控實現(xiàn)快速響應能力。在內(nèi)部控制方面，現(xiàn)階段，技術(shù)方面主要通過網(wǎng)絡安全管控平臺，實現(xiàn)集中接入控制，賬號口令集中管理和日志集中審計，做到操作有記錄，事后可追查，確保合法的人做合法的事。防護體系的總體發(fā)展趨勢是由分散防護向集中防護發(fā)展，由集中防護向集成防護發(fā)展。 http:/ 8安全域劃分和邊界整合安全域劃分和邊界整合設(shè)備自身設(shè)備自身安全功能和配置安全功能和配置專用安全專用安全防護設(shè)備防護設(shè)備信息信息安全管安全管理平臺理平臺（ISMPISMP）事件事件監(jiān)控監(jiān)控安全安全預警預警風險風

7、險管理管理策略策略管理管理知識知識管理管理防防火火墻墻入入侵侵檢檢測測系系統(tǒng)統(tǒng)防防病病毒毒終終端端安安全全管管理理系系統(tǒng)統(tǒng)網(wǎng)網(wǎng)絡絡安安全全管管控控平平臺臺IPIP異異常常流流量量檢檢測測和和過過濾濾系系統(tǒng)統(tǒng)安安全全檢檢查查工工具具從賬號管理、密碼策略、授權(quán)、日志記錄等方從賬號管理、密碼策略、授權(quán)、日志記錄等方面，明確設(shè)備的功能要求以及在現(xiàn)網(wǎng)使用時的面，明確設(shè)備的功能要求以及在現(xiàn)網(wǎng)使用時的配置要求配置要求3GHLR數(shù)據(jù)業(yè)務數(shù)據(jù)業(yè)務系統(tǒng)系統(tǒng)IP專網(wǎng)專網(wǎng)CMNet智能網(wǎng)智能網(wǎng)MISBOSSNMS對通信網(wǎng)、業(yè)務系統(tǒng)和對通信網(wǎng)、業(yè)務系統(tǒng)和支撐系統(tǒng)進行安全域劃支撐系統(tǒng)進行安全域劃分，明確安全防護邊界，分，

8、明確安全防護邊界，并進行邊界整合，為實并進行邊界整合，為實現(xiàn)等級化集中防護提供現(xiàn)等級化集中防護提供基礎(chǔ)?；A(chǔ)。http:/ 9CMNet核心生產(chǎn)區(qū)核心生產(chǎn)區(qū)本地操作維護區(qū)本地操作維護區(qū)核心交換核心交換半安全區(qū)（半安全區(qū)（DMZ）省網(wǎng)管中心省網(wǎng)管中心防病毒防病毒集中控管集中控管網(wǎng)絡安全網(wǎng)絡安全管控平臺管控平臺安全漏洞安全漏洞掃描器掃描器入侵檢測入侵檢測1、安全域劃分和邊界整合、安全域劃分和邊界整合根據(jù)分等級集中防護原則確定安全域和防護邊界。業(yè)務系統(tǒng)設(shè)備根據(jù)防護需求放入相應的安全域。2、設(shè)備安全功能和配置、設(shè)備安全功能和配置加強設(shè)備的安全功能要求，規(guī)范設(shè)備的安全配置，從而提高設(shè)備自身的安全防護能力

9、。3、專用安全防護設(shè)備、專用安全防護設(shè)備4、ISMP在1、2的基礎(chǔ)上，根據(jù)系統(tǒng)安全防護的實際需求，進一步部署防火墻、入侵檢測、防病毒等各類基礎(chǔ)安全防護技術(shù)手段。建設(shè)信息安全管理平臺（ISMP），實現(xiàn)跨產(chǎn)品的安全集中管理、集中配置、集中監(jiān)控、集中派單、集中支援ISMPhttp:/ 設(shè)備自身安全功能和配置覆蓋通用操作系統(tǒng)、數(shù)據(jù)庫、網(wǎng)絡設(shè)備、網(wǎng)絡應用、安全設(shè)備的功能和配置規(guī)范系統(tǒng)基本建立。在選型、招標、入網(wǎng)、驗收等環(huán)節(jié)，同步落實上述要求的流程基本理順。http:/ 1）通過集中化的安全防護手）通過集中化的安全防護手段，有效落實安全要求。段，有效落實安全要求。（2 2）形成專業(yè)的安全支撐維護）形成專業(yè)

10、的安全支撐維護隊伍。隊伍。3、量化優(yōu)化、量化優(yōu)化量化掌握總體安全態(tài)勢，有效量化掌握總體安全態(tài)勢，有效地形成整體安全防護策略，量地形成整體安全防護策略，量化評價安全要求的執(zhí)行化評價安全要求的執(zhí)行安全管理發(fā)展階段安全管理發(fā)展階段1、分散防護分散防護分系統(tǒng)部署防火墻、入侵檢測、防病毒分系統(tǒng)部署防火墻、入侵檢測、防病毒等基礎(chǔ)防護手段。等基礎(chǔ)防護手段。3、集成防護集成防護建設(shè)安全管控平臺、安全運行管理平臺，建設(shè)安全管控平臺、安全運行管理平臺，將各安全防護手段形成合力。實現(xiàn)精細化將各安全防護手段形成合力。實現(xiàn)精細化的風險管理、全網(wǎng)安全態(tài)勢的量化分析及的風險管理、全網(wǎng)安全態(tài)勢的量化分析及安全事件的實時監(jiān)控，

11、并借助安全事件的實時監(jiān)控，并借助EOMS等系等系統(tǒng)的配合形成快速、流程順暢的反應機制。統(tǒng)的配合形成快速、流程順暢的反應機制。2、集中防護集中防護按照等級保護的要求，堅持集中化原則，按照等級保護的要求，堅持集中化原則，以安全域劃分和邊界整合為基礎(chǔ)，集中以安全域劃分和邊界整合為基礎(chǔ)，集中部署各類專用安全防護設(shè)備。部署各類專用安全防護設(shè)備。安全防護技術(shù)體系分階段發(fā)展規(guī)劃安全防護技術(shù)體系分階段發(fā)展規(guī)劃目前，中國移動安全防護技術(shù)體系總體上處于有由分散防護向集中防護發(fā)展階段目前，中國移動安全防護技術(shù)體系總體上處于有由分散防護向集中防護發(fā)展階段支撐支撐http:/ 某省安全防護目標架構(gòu)示意圖某省安全防護目標

12、架構(gòu)示意圖互聯(lián)網(wǎng)互聯(lián)網(wǎng)外部互聯(lián)網(wǎng)外部互聯(lián)網(wǎng)入侵檢測入侵檢測防病毒數(shù)據(jù)業(yè)務系統(tǒng)數(shù)據(jù)業(yè)務系統(tǒng)（有現(xiàn)場維護模式）（有現(xiàn)場維護模式）省網(wǎng)管中心省網(wǎng)管中心無現(xiàn)場維護模式無現(xiàn)場維護模式封閉的通信網(wǎng)封閉的通信網(wǎng)或業(yè)務系統(tǒng)或業(yè)務系統(tǒng)安全管理中樞安全管理中樞http:/ 某操作系統(tǒng)安全配置要求規(guī)范數(shù)據(jù)庫安全功能要求規(guī)范某數(shù)據(jù)庫安全配置要求規(guī)范路由器安全功能要求規(guī)范某路由器安全配置要求規(guī)范通信網(wǎng)、業(yè)務系統(tǒng)、支撐系統(tǒng)設(shè)備安全要求通信網(wǎng)、業(yè)務系統(tǒng)、支撐系統(tǒng)設(shè)備安全要求 設(shè)備安全功能要求智能網(wǎng)安全配置要求通信網(wǎng)、業(yè)務系統(tǒng)、支撐系統(tǒng)相關(guān)安全要求中國移動總綱總部內(nèi)部控制手冊，控制矩陣輸入文檔輸入文檔第一層：第一層： 明確各

13、類設(shè)明確各類設(shè)備的共性安備的共性安全要求。全要求。第二層：明第二層：明確不同設(shè)備確不同設(shè)備類型的具體類型的具體安全要求。安全要求。第二層：明第二層：明確業(yè)務系統(tǒng)確業(yè)務系統(tǒng)對設(shè)備的安對設(shè)備的安全要求。全要求?；ヂ?lián)網(wǎng)應用互聯(lián)網(wǎng)應用安全要求安全要求Apache安全配置要求規(guī)范BIND安全配置要求規(guī)范http:/ 專用安全防護設(shè)備專用安全防護設(shè)備 防火墻、入侵檢測等技術(shù)手段結(jié)合安全域劃分和邊界整合進行部署。 下面主要說明以下4類手段的發(fā)展策略 集中防病毒系統(tǒng) 異常流量檢測和過濾設(shè)備 網(wǎng)頁防篡改系統(tǒng) 網(wǎng)絡安全管控平臺http:/ 網(wǎng)管網(wǎng)的集中防病毒控管同時控管通信網(wǎng)和業(yè)務系統(tǒng)防病毒客戶端。http:/

14、通過通過Netflow協(xié)議，采集核心路由器協(xié)議，采集核心路由器IP流量基本特征。并上送至集中監(jiān)控平臺的流量基本特征。并上送至集中監(jiān)控平臺的Netflow分析模塊。分析模塊。 本地流量分析設(shè)備對鏡像報文進行深度本地流量分析設(shè)備對鏡像報文進行深度分析，確認異常流量，并提取流量特征。分析，確認異常流量，并提取流量特征。平時只抓取五元組，發(fā)現(xiàn)異常，鏡像異常平時只抓取五元組，發(fā)現(xiàn)異常，鏡像異常流量，投資較低。流量，投資較低。本地流量采集分析設(shè)備本地流量采集分析設(shè)備 集中監(jiān)控平臺基于流特征發(fā)現(xiàn)可能集中監(jiān)控平臺基于流特征發(fā)現(xiàn)可能存在異常的網(wǎng)絡連接，并及時控制本存在異常的網(wǎng)絡連接，并及時控制本地流量采集分析設(shè)

15、備，對異常連接的地流量采集分析設(shè)備，對異常連接的流量實施全采樣分析。流量實施全采樣分析。從網(wǎng)絡全局入手，考慮異常流量監(jiān)從網(wǎng)絡全局入手，考慮異常流量監(jiān)控系統(tǒng)部署。控系統(tǒng)部署。http:/ 目標：遵循集中化的建設(shè)原則， 以“確保合法的人做合法的事”為目標，按照“事先授權(quán)，事中監(jiān)控，事后審計”的思路，有機結(jié)合集中接入控制、賬號口令集中管理和日志管理與審計等手段，對內(nèi)部維護人員和廠家人員操作業(yè)務系統(tǒng)和網(wǎng)管系統(tǒng)的全過程實施管控。http:/ 安全運行管理平臺是以風險管理為核心，以資產(chǎn)信息庫為基礎(chǔ)，包括安全事件監(jiān)控、漏洞管理、威脅管理、安全策略管理、安全知識管理、安全工作流程管理等各功能模塊，全面支持安全

16、運行管理工作，逐步實現(xiàn)動態(tài)、可量化的安全管理。http:/ 網(wǎng)絡與信息安全現(xiàn)狀8.2 網(wǎng)絡與信息安全技術(shù)防護體系8.2.1 目標與思路8.2.2 原則8.2.3 框架8.3網(wǎng)絡與信息安全技術(shù)發(fā)展策略8.3.2 訪問控制8.3.3 內(nèi)容檢測和控制8.3.4 冗余恢復8.3.5審計評估和應急響應8.4 集成化的安全技術(shù)防護手段發(fā)展策略8.4.1 綜述8.4.2 網(wǎng)絡安全管控平臺8.4.3 安全運行管理平臺8.5 各網(wǎng)絡、業(yè)務網(wǎng)和支撐系統(tǒng)信息安全防護技術(shù)發(fā)展策略未修改未修改新增章節(jié)新增章節(jié)修改修改http:/ 目標與思路：網(wǎng)絡與信息安全技術(shù)防護體系防護思路目標與思路：網(wǎng)絡與信息安全技術(shù)防護體系防護思

17、路”，修訂前：網(wǎng)絡與信息安全技術(shù)防護體系防護思路修訂前：網(wǎng)絡與信息安全技術(shù)防護體系防護思路 外部防護和內(nèi)部控制并重。在外部防護方面，理外部防護和內(nèi)部控制并重。在外部防護方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測等各類防護和檢測手段，并通過集中監(jiān)控實清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測等各類防護和檢測手段，并通過集中監(jiān)控實現(xiàn)快速響應能力?，F(xiàn)快速響應能力。在內(nèi)部控制方面，通過賬號口令管理系統(tǒng)和日志審計系統(tǒng)在內(nèi)部控制方面，通過賬號口令管理系統(tǒng)和日志審計系統(tǒng)，加強對系統(tǒng)的訪問控，加強對系統(tǒng)的訪問控制，做到操作有記錄，事后可追查，從而確保合法的人做合法的事。制，做到操作有記錄，

18、事后可追查，從而確保合法的人做合法的事。 修訂后：網(wǎng)絡與信息安全技術(shù)防護體系防護思路：修訂后：網(wǎng)絡與信息安全技術(shù)防護體系防護思路：遵循集中化、分等級保護的原則遵循集中化、分等級保護的原則，外部防護和內(nèi)，外部防護和內(nèi)部控制并重。在外部防護方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測等各類防部控制并重。在外部防護方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測等各類防護和檢測手段，并通過集中監(jiān)控實現(xiàn)快速響應能力。在內(nèi)部控制方面，現(xiàn)階段，護和檢測手段，并通過集中監(jiān)控實現(xiàn)快速響應能力。在內(nèi)部控制方面，現(xiàn)階段，技術(shù)方面主要通過技術(shù)方面主要通過網(wǎng)絡安全管控平臺，實現(xiàn)對用戶登陸、操作、退

19、出全過程的集中接入控制、賬號口令集中管理和日網(wǎng)絡安全管控平臺，實現(xiàn)對用戶登陸、操作、退出全過程的集中接入控制、賬號口令集中管理和日志集中審計志集中審計，做到操作有記錄，事后可追查，確保合法的人做合法的事。，做到操作有記錄，事后可追查，確保合法的人做合法的事。防護體系的總體發(fā)展趨勢防護體系的總體發(fā)展趨勢是由分散防護向集中防護發(fā)展，并進一步向集成防護發(fā)展。是由分散防護向集中防護發(fā)展，并進一步向集成防護發(fā)展。修訂原因：實踐經(jīng)驗總結(jié)，以及業(yè)界在安全系統(tǒng)功能集成和發(fā)展方面的趨勢。實踐經(jīng)驗總結(jié)，以及業(yè)界在安全系統(tǒng)功能集成和發(fā)展方面的趨勢。修訂狀態(tài)：已決策已決策http:/ 框架：專用安全防護設(shè)備框架：專用

20、安全防護設(shè)備”調(diào)整：調(diào)整：安全技術(shù)防護體系框架圖安全技術(shù)防護體系框架圖新增：新增：為了對內(nèi)部人員和外部技術(shù)支持人員的控制，集中部署網(wǎng)絡安全管為了對內(nèi)部人員和外部技術(shù)支持人員的控制，集中部署網(wǎng)絡安全管控平臺。網(wǎng)絡安全管控平臺集成了接入控制，賬號口令管理、日志審計等控平臺。網(wǎng)絡安全管控平臺集成了接入控制，賬號口令管理、日志審計等功能，對各類系統(tǒng)和網(wǎng)絡實施集中管控。功能，對各類系統(tǒng)和網(wǎng)絡實施集中管控。修訂原因：便于理解；體現(xiàn)安全設(shè)備功能的集成和發(fā)展。便于理解；體現(xiàn)安全設(shè)備功能的集成和發(fā)展。修訂狀態(tài)：已決策已決策http:/ 位置：位置：“8.3 網(wǎng)絡與信息安全技術(shù)發(fā)展策略網(wǎng)絡與信息安全技術(shù)發(fā)展策略”

21、 新增：新增：IP異常流量檢測和控制將向基于統(tǒng)計特征、深度包檢測技術(shù)異常流量檢測和控制將向基于統(tǒng)計特征、深度包檢測技術(shù)等多種技術(shù)綜合運用方向發(fā)展，強調(diào)從簡單的帶寬控制向集等多種技術(shù)綜合運用方向發(fā)展，強調(diào)從簡單的帶寬控制向集中式覆蓋全網(wǎng)的流量清洗技術(shù)發(fā)展。中式覆蓋全網(wǎng)的流量清洗技術(shù)發(fā)展。安全評估技術(shù)向基于風險的評估和基于通用基線的評估兩種安全評估技術(shù)向基于風險的評估和基于通用基線的評估兩種技術(shù)路線發(fā)展。技術(shù)路線發(fā)展。 響應技術(shù)由主要依靠人工響應向依靠人工和技術(shù)結(jié)合的方向響應技術(shù)由主要依靠人工響應向依靠人工和技術(shù)結(jié)合的方向發(fā)展。發(fā)展。 修訂原因：修訂原因：技術(shù)發(fā)展。技術(shù)發(fā)展。修訂狀態(tài)： 已決策已決

22、策http:/ 位置：位置：“8.4.1 綜述綜述” 新增新增：本部分闡述各類安全技術(shù)防護技術(shù)手段的發(fā)展策略。包括：重點介：本部分闡述各類安全技術(shù)防護技術(shù)手段的發(fā)展策略。包括：重點介紹網(wǎng)絡安全管控平臺、安全運行管理平臺兩類集成平臺的功能要點和發(fā)展紹網(wǎng)絡安全管控平臺、安全運行管理平臺兩類集成平臺的功能要點和發(fā)展策略；在集中化、等級保護的原則下，說明防火墻、入侵檢測、防病毒等策略；在集中化、等級保護的原則下，說明防火墻、入侵檢測、防病毒等傳統(tǒng)手段的基本部署原則。傳統(tǒng)手段的基本部署原則。防火墻的部署從隨各系統(tǒng)建設(shè)分散部署向以安全域劃分和邊界整合為基礎(chǔ)防火墻的部署從隨各系統(tǒng)建設(shè)分散部署向以安全域劃分和

23、邊界整合為基礎(chǔ)的集中部署發(fā)展。防火墻部署的具體原則參見的集中部署發(fā)展。防火墻部署的具體原則參見中國移動防火墻部署總體中國移動防火墻部署總體技術(shù)要求技術(shù)要求（QB-W-001-2008）。）。（轉(zhuǎn)下頁）（轉(zhuǎn)下頁）http:/ 修訂原因： 內(nèi)容增加和完善。內(nèi)容增加和完善。修訂狀態(tài)： 已決策已決策http:/ 位置：位置：“8.4.2 網(wǎng)絡安全管控平臺網(wǎng)絡安全管控平臺” 修改后：修改后：（新增）（新增）網(wǎng)絡安全管控平臺包括了三大模塊：綜合維護接入模塊、帳網(wǎng)絡安全管控平臺包括了三大模塊：綜合維護接入模塊、帳號口令集中管理模塊、日志集中管理和審計模塊。號口令集中管理模塊、日志集中管理和審計模塊。綜合維護

24、接入模塊綜合維護接入模塊作為維護人員接入通信網(wǎng)、業(yè)務網(wǎng)和支撐系作為維護人員接入通信網(wǎng)、業(yè)務網(wǎng)和支撐系統(tǒng)的統(tǒng)一接入點，集中控制維護人員能夠訪問的系統(tǒng)和服務，統(tǒng)的統(tǒng)一接入點，集中控制維護人員能夠訪問的系統(tǒng)和服務，記錄通過該平臺的維護操作行為。記錄通過該平臺的維護操作行為。帳號口令集中管理模塊帳號口令集中管理模塊集中管理通信網(wǎng)、業(yè)務系統(tǒng)和網(wǎng)管系統(tǒng)集中管理通信網(wǎng)、業(yè)務系統(tǒng)和網(wǎng)管系統(tǒng)的帳號口令，實現(xiàn)對維護人員的集中授權(quán)和認證，實現(xiàn)系統(tǒng)帳的帳號口令，實現(xiàn)對維護人員的集中授權(quán)和認證，實現(xiàn)系統(tǒng)帳號和維護人員真實身份的對應，確保將維護操作對應到人。號和維護人員真實身份的對應，確保將維護操作對應到人。日志集中管理

25、和審計模塊日志集中管理和審計模塊實現(xiàn)采集、儲存、分析和檢索各系統(tǒng)實現(xiàn)采集、儲存、分析和檢索各系統(tǒng)的人員操作維護信息，及時發(fā)現(xiàn)非法、越權(quán)操作，同時，可對的人員操作維護信息，及時發(fā)現(xiàn)非法、越權(quán)操作，同時，可對高危操作實時分析、監(jiān)控、告警和阻斷。高危操作實時分析、監(jiān)控、告警和阻斷。（轉(zhuǎn)下頁）（轉(zhuǎn)下頁）http:/ 三個模塊之間存在緊密關(guān)系三個模塊之間存在緊密關(guān)系綜合維護接入模塊綜合維護接入模塊利用利用帳號口令集中管理模塊帳號口令集中管理模塊的人員授權(quán)信的人員授權(quán)信息，控制用戶能夠訪問的業(yè)務系統(tǒng)和使用的應用程序。息，控制用戶能夠訪問的業(yè)務系統(tǒng)和使用的應用程序。綜合維護接入模塊綜合維護接入模塊利用利用帳

26、號口令集中管理模塊帳號口令集中管理模塊的單點登錄功的單點登錄功能，使得維護人員通過平臺登錄認證后，登錄業(yè)務系統(tǒng)無需能，使得維護人員通過平臺登錄認證后，登錄業(yè)務系統(tǒng)無需再次身份認證。再次身份認證。日志集中管理與審計模塊日志集中管理與審計模塊利用利用綜合維護接入模塊綜合維護接入模塊，獲取完整，獲取完整的維護人員操作原始記錄，并結(jié)合來自帳號口令集中管理模的維護人員操作原始記錄，并結(jié)合來自帳號口令集中管理模塊的賬戶和用戶真實身份對應關(guān)系，實現(xiàn)維護人員和其操作塊的賬戶和用戶真實身份對應關(guān)系，實現(xiàn)維護人員和其操作記錄的關(guān)聯(lián)。記錄的關(guān)聯(lián)。日志集中管理與審計模塊日志集中管理與審計模塊會采集業(yè)務系統(tǒng)的登錄信息，

27、發(fā)現(xiàn)會采集業(yè)務系統(tǒng)的登錄信息，發(fā)現(xiàn)繞開管控系統(tǒng)直接登錄業(yè)務系統(tǒng)的行為，并形成安全事件。繞開管控系統(tǒng)直接登錄業(yè)務系統(tǒng)的行為，并形成安全事件。（轉(zhuǎn)下頁）（轉(zhuǎn)下頁）http:/ 修訂點：位置：位置：“8.5.2 業(yè)務網(wǎng)業(yè)務網(wǎng)”修改后：修改后：（新增）（新增）PKI基礎(chǔ)設(shè)施是中國移動一項具有戰(zhàn)略價值的重要基礎(chǔ)設(shè)施是中國移動一項具有戰(zhàn)略價值的重要資源，是需要長期穩(wěn)定運營的基礎(chǔ)設(shè)施。重點實現(xiàn)內(nèi)外分離的信任體資源，是需要長期穩(wěn)定運營的基礎(chǔ)設(shè)施。重點實現(xiàn)內(nèi)外分離的信任體系，采用規(guī)范運營、統(tǒng)一規(guī)劃的策略，全面支撐所有業(yè)務系統(tǒng)、業(yè)務系，采用規(guī)范運營、統(tǒng)一規(guī)劃的策略，全面支撐所有業(yè)務系統(tǒng)、業(yè)務支撐系統(tǒng)、內(nèi)部信息化系

28、統(tǒng)和核心網(wǎng)絡的證書應用需求，建立基于支撐系統(tǒng)、內(nèi)部信息化系統(tǒng)和核心網(wǎng)絡的證書應用需求，建立基于PKI的安全能力層。的安全能力層。修訂原因：業(yè)務需要和技術(shù)發(fā)展。業(yè)務需要和技術(shù)發(fā)展。修訂狀態(tài)：已決策已決策http:/ 修訂點：位置：位置：“8.5.7 終端和卡終端和卡”修改后：修改后：（新增）（新增）用戶卡安全用戶卡安全用戶卡安全受到來自卡片自身性能的約束，包括功耗、內(nèi)存限制、算法安用戶卡安全受到來自卡片自身性能的約束，包括功耗、內(nèi)存限制、算法安全性等。攻擊者針對用戶卡特性攻擊用戶卡，攻擊主要針對舊卡的安全算法全性等。攻擊者針對用戶卡特性攻擊用戶卡，攻擊主要針對舊卡的安全算法漏洞。目前，中國移動在

29、用戶卡上采用了一系列安全機制對算法安全性進行漏洞。目前，中國移動在用戶卡上采用了一系列安全機制對算法安全性進行增強。采用增強型增強。采用增強型Ki、索引隨機數(shù)、鑒權(quán)隨機數(shù)檢測等手段，可對算法進行、索引隨機數(shù)、鑒權(quán)隨機數(shù)檢測等手段，可對算法進行多方位保護，保證用戶卡安全性，防止多方位保護，保證用戶卡安全性，防止SIM卡被破解?？ū黄平?。對對2G SIM卡，目前的已研究隨機數(shù)安全檢測方案，能有效抵御已有攻擊卡，目前的已研究隨機數(shù)安全檢測方案，能有效抵御已有攻擊模式對模式對SIM卡發(fā)起的破解攻擊；卡發(fā)起的破解攻擊；在在3G USIM卡中，采用了安全性更高的卡中，采用了安全性更高的AES算法和算法和M

30、AC認證的雙重保護認證的雙重保護方式，能有效抵御各種破解攻擊，保護鑒權(quán)安全性和用戶卡信息安全性。方式，能有效抵御各種破解攻擊，保護鑒權(quán)安全性和用戶卡信息安全性。（轉(zhuǎn)下頁）（轉(zhuǎn)下頁）http:/ （接上頁）多應用卡框架技術(shù)（CMS2AC）多應用卡框架定義了一種卡片空間管理和卡片應用安全下載的機制，其主要目標是多應用卡框架定義了一種卡片空間管理和卡片應用安全下載的機制，其主要目標是保證在卡片的整個生命周期中卡組件的安全性和完整性。保證在卡片的整個生命周期中卡組件的安全性和完整性。多應用卡框架將卡片空間劃分成多個不同的安全域，每個安全域上可加載，運行不多應用卡框架將卡片空間劃分成多個不同的安全域，每

31、個安全域上可加載，運行不同的應用。安全域通過密碼機制保證應用只能下載安裝在各自所屬的安全域內(nèi)，且不同的應用。安全域通過密碼機制保證應用只能下載安裝在各自所屬的安全域內(nèi)，且不同安全域內(nèi)的應用互不影響，完全隔離。安全域為安全域內(nèi)應用提供安全服務，例如同安全域內(nèi)的應用互不影響，完全隔離。安全域為安全域內(nèi)應用提供安全服務，例如密鑰管理、加密、解密、生成數(shù)字簽名和驗證安全域所有者等。每個安全域?qū)崿F(xiàn)一個密鑰管理、加密、解密、生成數(shù)字簽名和驗證安全域所有者等。每個安全域?qū)崿F(xiàn)一個安全信道協(xié)議，定義發(fā)卡方、應用提供方或者控制機構(gòu)和卡片通信時的安全，以保證安全信道協(xié)議，定義發(fā)卡方、應用提供方或者控制機構(gòu)和卡片通信時的安全，以保證應用下載到正確的安全域內(nèi)，以及保證應用下載過程中的數(shù)據(jù)機密性和數(shù)據(jù)完整性。應用下載到正確的安全域內(nèi)，以及保證應用下載過程中的數(shù)據(jù)機密性和數(shù)據(jù)完整性。 修訂原因：技術(shù)發(fā)展。技術(shù)發(fā)展。修訂狀態(tài)：已決策已決策http:/ 謝謝！http:/