中國(guó)移動(dòng)技術(shù)發(fā)展路標(biāo)網(wǎng)絡(luò)與信息安全

中國(guó)移動(dòng)技術(shù)發(fā)展路標(biāo)（中國(guó)移動(dòng)技術(shù)發(fā)展路標(biāo)（20082008版）版）- -網(wǎng)絡(luò)與信息安全網(wǎng)絡(luò)與信息安全http:/ 2目錄目錄問(wèn)題及挑戰(zhàn)問(wèn)題及挑戰(zhàn)1總體框架和現(xiàn)狀總體框架和現(xiàn)狀2發(fā)展策略發(fā)展策略3附錄：關(guān)鍵修改點(diǎn)附錄：關(guān)鍵修改點(diǎn)4http:/ 3攻擊多樣化攻擊多樣化網(wǎng)絡(luò)網(wǎng)絡(luò)IP化化終端智能化終端智能化123黑客攻擊、病毒、蠕蟲、DDOS攻擊等互聯(lián)網(wǎng)安全威脅依然存在，破壞力更加嚴(yán)重。如利用夢(mèng)網(wǎng)業(yè)務(wù)、用戶自服務(wù)平臺(tái)等對(duì)互聯(lián)網(wǎng)開放的網(wǎng)站和后臺(tái)服務(wù)模塊編碼漏洞，修改他人業(yè)務(wù)訂購(gòu)關(guān)系和費(fèi)用 手機(jī)終端智能化，也引入了主要通過(guò)藍(lán)牙、彩信以及其它移動(dòng)新業(yè)務(wù)和手機(jī)新功能進(jìn)行傳播的惡意代碼。話音網(wǎng)絡(luò)IP化導(dǎo)致傳統(tǒng)網(wǎng)絡(luò)中出現(xiàn)了互聯(lián)網(wǎng)常見(jiàn)的安全問(wèn)題。http:/ 4內(nèi)部威脅增大內(nèi)部威脅增大攻擊目的變化攻擊目的變化不良信息傳遞不良信息傳遞456內(nèi)部工作人員、第三方支持人員、SP利用對(duì)內(nèi)部信息的了解、擁有的權(quán)限以及業(yè)務(wù)流程漏洞，實(shí)施信息安全犯罪。隨著3G、數(shù)據(jù)業(yè)務(wù)的發(fā)展，移動(dòng)信息內(nèi)容和交互方式不斷豐富，不法人員利用移動(dòng)數(shù)據(jù)業(yè)務(wù)傳遞不良信息，制約了公司業(yè)務(wù)推廣。 外部黑客的惡意攻擊也越來(lái)越多的趨向追求經(jīng)濟(jì)利益 。http:/ 5網(wǎng)絡(luò)網(wǎng)絡(luò)IPIP化、終端智能化化、終端智能化使安全問(wèn)題逐步延伸至使安全問(wèn)題逐步延伸至移動(dòng)通信的核心業(yè)務(wù)移動(dòng)通信的核心業(yè)務(wù)p 2005年匯接軟交換年匯接軟交換病毒感染病毒感染事件，導(dǎo)致系統(tǒng)管理失控事件，導(dǎo)致系統(tǒng)管理失控p 2006年，北京、上海年，北京、上海VC受到華為離職員工入侵，發(fā)生盜卡事件受到華為離職員工入侵，發(fā)生盜卡事件存在存在邊界不清邊界不清、訪問(wèn)控制管理不嚴(yán)訪問(wèn)控制管理不嚴(yán)、賬號(hào)密碼管理松懈賬號(hào)密碼管理松懈以及以及應(yīng)用系統(tǒng)自身架構(gòu)漏洞等應(yīng)用系統(tǒng)自身架構(gòu)漏洞等問(wèn)題問(wèn)題缺乏缺乏及時(shí)發(fā)現(xiàn)異常操作及時(shí)發(fā)現(xiàn)異常操作的技術(shù)手段，如審計(jì)系統(tǒng)的技術(shù)手段，如審計(jì)系統(tǒng)缺乏足夠的技術(shù)手段支持，無(wú)法有效落實(shí)定期進(jìn)行缺乏足夠的技術(shù)手段支持，無(wú)法有效落實(shí)定期進(jìn)行密碼修改密碼修改等管理要求等管理要求 p 卓望公司內(nèi)部員工與卓望公司內(nèi)部員工與SP勾結(jié)，偽造虛假定購(gòu)關(guān)系，騙取資費(fèi)勾結(jié)，偽造虛假定購(gòu)關(guān)系，騙取資費(fèi)缺乏對(duì)缺乏對(duì)MISC系統(tǒng)的系統(tǒng)的審計(jì)手段審計(jì)手段，不能及時(shí)發(fā)現(xiàn)非法操作；缺乏對(duì)，不能及時(shí)發(fā)現(xiàn)非法操作；缺乏對(duì)MISC系統(tǒng)系統(tǒng)權(quán)限的掌控權(quán)限的掌控能力能力p 某省員工查看用戶短信內(nèi)容，并對(duì)用戶實(shí)施敲詐某省員工查看用戶短信內(nèi)容，并對(duì)用戶實(shí)施敲詐p 2008年，某省計(jì)費(fèi)系統(tǒng)集成商員工私查用戶通話記錄事件，導(dǎo)致客戶投訴年，某省計(jì)費(fèi)系統(tǒng)集成商員工私查用戶通話記錄事件，導(dǎo)致客戶投訴權(quán)限管理權(quán)限管理不嚴(yán)格；不嚴(yán)格；缺乏審計(jì)缺乏審計(jì)受經(jīng)濟(jì)利益驅(qū)受經(jīng)濟(jì)利益驅(qū)使，內(nèi)部員工使，內(nèi)部員工和掌握系統(tǒng)信和掌握系統(tǒng)信息的第三方人息的第三方人員成為重大安員成為重大安全事件的主體全事件的主體外部黑客攻擊外部黑客攻擊滲透威脅依然滲透威脅依然存在存在p 2006年中國(guó)移動(dòng)門戶網(wǎng)站主頁(yè)被篡改，造成了一定的社會(huì)影響年中國(guó)移動(dòng)門戶網(wǎng)站主頁(yè)被篡改，造成了一定的社會(huì)影響組網(wǎng)缺陷、設(shè)備安全功能及配置問(wèn)題、賬號(hào)權(quán)限管理以及安全審計(jì)等專用安全防護(hù)設(shè)備的不足、集組網(wǎng)缺陷、設(shè)備安全功能及配置問(wèn)題、賬號(hào)權(quán)限管理以及安全審計(jì)等專用安全防護(hù)設(shè)備的不足、集中監(jiān)控能力的極度欠缺，是導(dǎo)致主要安全事件的關(guān)鍵原因。中監(jiān)控能力的極度欠缺，是導(dǎo)致主要安全事件的關(guān)鍵原因。http:/ 6目錄目錄問(wèn)題及挑戰(zhàn)問(wèn)題及挑戰(zhàn)1總體框架和現(xiàn)狀總體框架和現(xiàn)狀2發(fā)展策略發(fā)展策略3附錄：關(guān)鍵修改點(diǎn)附錄：關(guān)鍵修改點(diǎn)4http:/ 7 遵循集中化、分等級(jí)保護(hù)的原則，外部防護(hù)和內(nèi)部控制并重，在外部防護(hù)方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測(cè)等各類防護(hù)和檢測(cè)手段，并通過(guò)集中監(jiān)控實(shí)現(xiàn)快速響應(yīng)能力。在內(nèi)部控制方面，現(xiàn)階段，技術(shù)方面主要通過(guò)網(wǎng)絡(luò)安全管控平臺(tái)，實(shí)現(xiàn)集中接入控制，賬號(hào)口令集中管理和日志集中審計(jì)，做到操作有記錄，事后可追查，確保合法的人做合法的事。防護(hù)體系的總體發(fā)展趨勢(shì)是由分散防護(hù)向集中防護(hù)發(fā)展，由集中防護(hù)向集成防護(hù)發(fā)展。 http:/ 8安全域劃分和邊界整合安全域劃分和邊界整合設(shè)備自身設(shè)備自身安全功能和配置安全功能和配置專用安全專用安全防護(hù)設(shè)備防護(hù)設(shè)備信息信息安全管安全管理平臺(tái)理平臺(tái)（ISMPISMP）事件事件監(jiān)控監(jiān)控安全安全預(yù)警預(yù)警風(fēng)險(xiǎn)風(fēng)險(xiǎn)管理管理策略策略管理管理知識(shí)知識(shí)管理管理防防火火墻墻入入侵侵檢檢測(cè)測(cè)系系統(tǒng)統(tǒng)防防病病毒毒終終端端安安全全管管理理系系統(tǒng)統(tǒng)網(wǎng)網(wǎng)絡(luò)絡(luò)安安全全管管控控平平臺(tái)臺(tái)IPIP異異常常流流量量檢檢測(cè)測(cè)和和過(guò)過(guò)濾濾系系統(tǒng)統(tǒng)安安全全檢檢查查工工具具從賬號(hào)管理、密碼策略、授權(quán)、日志記錄等方從賬號(hào)管理、密碼策略、授權(quán)、日志記錄等方面，明確設(shè)備的功能要求以及在現(xiàn)網(wǎng)使用時(shí)的面，明確設(shè)備的功能要求以及在現(xiàn)網(wǎng)使用時(shí)的配置要求配置要求3GHLR數(shù)據(jù)業(yè)務(wù)數(shù)據(jù)業(yè)務(wù)系統(tǒng)系統(tǒng)IP專網(wǎng)專網(wǎng)CMNet智能網(wǎng)智能網(wǎng)MISBOSSNMS對(duì)通信網(wǎng)、業(yè)務(wù)系統(tǒng)和對(duì)通信網(wǎng)、業(yè)務(wù)系統(tǒng)和支撐系統(tǒng)進(jìn)行安全域劃支撐系統(tǒng)進(jìn)行安全域劃分，明確安全防護(hù)邊界，分，明確安全防護(hù)邊界，并進(jìn)行邊界整合，為實(shí)并進(jìn)行邊界整合，為實(shí)現(xiàn)等級(jí)化集中防護(hù)提供現(xiàn)等級(jí)化集中防護(hù)提供基礎(chǔ)?；A(chǔ)。http:/ 9CMNet核心生產(chǎn)區(qū)核心生產(chǎn)區(qū)本地操作維護(hù)區(qū)本地操作維護(hù)區(qū)核心交換核心交換半安全區(qū)（半安全區(qū)（DMZ）省網(wǎng)管中心省網(wǎng)管中心防病毒防病毒集中控管集中控管網(wǎng)絡(luò)安全網(wǎng)絡(luò)安全管控平臺(tái)管控平臺(tái)安全漏洞安全漏洞掃描器掃描器入侵檢測(cè)入侵檢測(cè)1、安全域劃分和邊界整合、安全域劃分和邊界整合根據(jù)分等級(jí)集中防護(hù)原則確定安全域和防護(hù)邊界。業(yè)務(wù)系統(tǒng)設(shè)備根據(jù)防護(hù)需求放入相應(yīng)的安全域。2、設(shè)備安全功能和配置、設(shè)備安全功能和配置加強(qiáng)設(shè)備的安全功能要求，規(guī)范設(shè)備的安全配置，從而提高設(shè)備自身的安全防護(hù)能力。3、專用安全防護(hù)設(shè)備、專用安全防護(hù)設(shè)備4、ISMP在1、2的基礎(chǔ)上，根據(jù)系統(tǒng)安全防護(hù)的實(shí)際需求，進(jìn)一步部署防火墻、入侵檢測(cè)、防病毒等各類基礎(chǔ)安全防護(hù)技術(shù)手段。建設(shè)信息安全管理平臺(tái)（ISMP），實(shí)現(xiàn)跨產(chǎn)品的安全集中管理、集中配置、集中監(jiān)控、集中派單、集中支援ISMPhttp:/ 設(shè)備自身安全功能和配置覆蓋通用操作系統(tǒng)、數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)設(shè)備、網(wǎng)絡(luò)應(yīng)用、安全設(shè)備的功能和配置規(guī)范系統(tǒng)基本建立。在選型、招標(biāo)、入網(wǎng)、驗(yàn)收等環(huán)節(jié)，同步落實(shí)上述要求的流程基本理順。http:/ 1）通過(guò)集中化的安全防護(hù)手）通過(guò)集中化的安全防護(hù)手段，有效落實(shí)安全要求。段，有效落實(shí)安全要求。（2 2）形成專業(yè)的安全支撐維護(hù)）形成專業(yè)的安全支撐維護(hù)隊(duì)伍。隊(duì)伍。3、量化優(yōu)化、量化優(yōu)化量化掌握總體安全態(tài)勢(shì)，有效量化掌握總體安全態(tài)勢(shì)，有效地形成整體安全防護(hù)策略，量地形成整體安全防護(hù)策略，量化評(píng)價(jià)安全要求的執(zhí)行化評(píng)價(jià)安全要求的執(zhí)行安全管理發(fā)展階段安全管理發(fā)展階段1、分散防護(hù)分散防護(hù)分系統(tǒng)部署防火墻、入侵檢測(cè)、防病毒分系統(tǒng)部署防火墻、入侵檢測(cè)、防病毒等基礎(chǔ)防護(hù)手段。等基礎(chǔ)防護(hù)手段。3、集成防護(hù)集成防護(hù)建設(shè)安全管控平臺(tái)、安全運(yùn)行管理平臺(tái)，建設(shè)安全管控平臺(tái)、安全運(yùn)行管理平臺(tái)，將各安全防護(hù)手段形成合力。實(shí)現(xiàn)精細(xì)化將各安全防護(hù)手段形成合力。實(shí)現(xiàn)精細(xì)化的風(fēng)險(xiǎn)管理、全網(wǎng)安全態(tài)勢(shì)的量化分析及的風(fēng)險(xiǎn)管理、全網(wǎng)安全態(tài)勢(shì)的量化分析及安全事件的實(shí)時(shí)監(jiān)控，并借助安全事件的實(shí)時(shí)監(jiān)控，并借助EOMS等系等系統(tǒng)的配合形成快速、流程順暢的反應(yīng)機(jī)制。統(tǒng)的配合形成快速、流程順暢的反應(yīng)機(jī)制。2、集中防護(hù)集中防護(hù)按照等級(jí)保護(hù)的要求，堅(jiān)持集中化原則，按照等級(jí)保護(hù)的要求，堅(jiān)持集中化原則，以安全域劃分和邊界整合為基礎(chǔ)，集中以安全域劃分和邊界整合為基礎(chǔ)，集中部署各類專用安全防護(hù)設(shè)備。部署各類專用安全防護(hù)設(shè)備。安全防護(hù)技術(shù)體系分階段發(fā)展規(guī)劃安全防護(hù)技術(shù)體系分階段發(fā)展規(guī)劃目前，中國(guó)移動(dòng)安全防護(hù)技術(shù)體系總體上處于有由分散防護(hù)向集中防護(hù)發(fā)展階段目前，中國(guó)移動(dòng)安全防護(hù)技術(shù)體系總體上處于有由分散防護(hù)向集中防護(hù)發(fā)展階段支撐支撐http:/ 某省安全防護(hù)目標(biāo)架構(gòu)示意圖某省安全防護(hù)目標(biāo)架構(gòu)示意圖互聯(lián)網(wǎng)互聯(lián)網(wǎng)外部互聯(lián)網(wǎng)外部互聯(lián)網(wǎng)入侵檢測(cè)入侵檢測(cè)防病毒數(shù)據(jù)業(yè)務(wù)系統(tǒng)數(shù)據(jù)業(yè)務(wù)系統(tǒng)（有現(xiàn)場(chǎng)維護(hù)模式）（有現(xiàn)場(chǎng)維護(hù)模式）省網(wǎng)管中心省網(wǎng)管中心無(wú)現(xiàn)場(chǎng)維護(hù)模式無(wú)現(xiàn)場(chǎng)維護(hù)模式封閉的通信網(wǎng)封閉的通信網(wǎng)或業(yè)務(wù)系統(tǒng)或業(yè)務(wù)系統(tǒng)安全管理中樞安全管理中樞http:/ 某操作系統(tǒng)安全配置要求規(guī)范數(shù)據(jù)庫(kù)安全功能要求規(guī)范某數(shù)據(jù)庫(kù)安全配置要求規(guī)范路由器安全功能要求規(guī)范某路由器安全配置要求規(guī)范通信網(wǎng)、業(yè)務(wù)系統(tǒng)、支撐系統(tǒng)設(shè)備安全要求通信網(wǎng)、業(yè)務(wù)系統(tǒng)、支撐系統(tǒng)設(shè)備安全要求 設(shè)備安全功能要求智能網(wǎng)安全配置要求通信網(wǎng)、業(yè)務(wù)系統(tǒng)、支撐系統(tǒng)相關(guān)安全要求中國(guó)移動(dòng)總綱總部?jī)?nèi)部控制手冊(cè)，控制矩陣輸入文檔輸入文檔第一層：第一層： 明確各類設(shè)明確各類設(shè)備的共性安備的共性安全要求。全要求。第二層：明第二層：明確不同設(shè)備確不同設(shè)備類型的具體類型的具體安全要求。安全要求。第二層：明第二層：明確業(yè)務(wù)系統(tǒng)確業(yè)務(wù)系統(tǒng)對(duì)設(shè)備的安對(duì)設(shè)備的安全要求。全要求?；ヂ?lián)網(wǎng)應(yīng)用互聯(lián)網(wǎng)應(yīng)用安全要求安全要求Apache安全配置要求規(guī)范BIND安全配置要求規(guī)范http:/ 專用安全防護(hù)設(shè)備專用安全防護(hù)設(shè)備 防火墻、入侵檢測(cè)等技術(shù)手段結(jié)合安全域劃分和邊界整合進(jìn)行部署。 下面主要說(shuō)明以下4類手段的發(fā)展策略 集中防病毒系統(tǒng) 異常流量檢測(cè)和過(guò)濾設(shè)備 網(wǎng)頁(yè)防篡改系統(tǒng) 網(wǎng)絡(luò)安全管控平臺(tái)http:/ 網(wǎng)管網(wǎng)的集中防病毒控管同時(shí)控管通信網(wǎng)和業(yè)務(wù)系統(tǒng)防病毒客戶端。http:/ 通過(guò)通過(guò)Netflow協(xié)議，采集核心路由器協(xié)議，采集核心路由器IP流量基本特征。并上送至集中監(jiān)控平臺(tái)的流量基本特征。并上送至集中監(jiān)控平臺(tái)的Netflow分析模塊。分析模塊。 本地流量分析設(shè)備對(duì)鏡像報(bào)文進(jìn)行深度本地流量分析設(shè)備對(duì)鏡像報(bào)文進(jìn)行深度分析，確認(rèn)異常流量，并提取流量特征。分析，確認(rèn)異常流量，并提取流量特征。平時(shí)只抓取五元組，發(fā)現(xiàn)異常，鏡像異常平時(shí)只抓取五元組，發(fā)現(xiàn)異常，鏡像異常流量，投資較低。流量，投資較低。本地流量采集分析設(shè)備本地流量采集分析設(shè)備 集中監(jiān)控平臺(tái)基于流特征發(fā)現(xiàn)可能集中監(jiān)控平臺(tái)基于流特征發(fā)現(xiàn)可能存在異常的網(wǎng)絡(luò)連接，并及時(shí)控制本存在異常的網(wǎng)絡(luò)連接，并及時(shí)控制本地流量采集分析設(shè)備，對(duì)異常連接的地流量采集分析設(shè)備，對(duì)異常連接的流量實(shí)施全采樣分析。流量實(shí)施全采樣分析。從網(wǎng)絡(luò)全局入手，考慮異常流量監(jiān)從網(wǎng)絡(luò)全局入手，考慮異常流量監(jiān)控系統(tǒng)部署。控系統(tǒng)部署。http:/ 目標(biāo)：遵循集中化的建設(shè)原則， 以“確保合法的人做合法的事”為目標(biāo)，按照“事先授權(quán)，事中監(jiān)控，事后審計(jì)”的思路，有機(jī)結(jié)合集中接入控制、賬號(hào)口令集中管理和日志管理與審計(jì)等手段，對(duì)內(nèi)部維護(hù)人員和廠家人員操作業(yè)務(wù)系統(tǒng)和網(wǎng)管系統(tǒng)的全過(guò)程實(shí)施管控。http:/ 安全運(yùn)行管理平臺(tái)是以風(fēng)險(xiǎn)管理為核心，以資產(chǎn)信息庫(kù)為基礎(chǔ)，包括安全事件監(jiān)控、漏洞管理、威脅管理、安全策略管理、安全知識(shí)管理、安全工作流程管理等各功能模塊，全面支持安全運(yùn)行管理工作，逐步實(shí)現(xiàn)動(dòng)態(tài)、可量化的安全管理。http:/ 網(wǎng)絡(luò)與信息安全現(xiàn)狀8.2 網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系8.2.1 目標(biāo)與思路8.2.2 原則8.2.3 框架8.3網(wǎng)絡(luò)與信息安全技術(shù)發(fā)展策略8.3.2 訪問(wèn)控制8.3.3 內(nèi)容檢測(cè)和控制8.3.4 冗余恢復(fù)8.3.5審計(jì)評(píng)估和應(yīng)急響應(yīng)8.4 集成化的安全技術(shù)防護(hù)手段發(fā)展策略8.4.1 綜述8.4.2 網(wǎng)絡(luò)安全管控平臺(tái)8.4.3 安全運(yùn)行管理平臺(tái)8.5 各網(wǎng)絡(luò)、業(yè)務(wù)網(wǎng)和支撐系統(tǒng)信息安全防護(hù)技術(shù)發(fā)展策略未修改未修改新增章節(jié)新增章節(jié)修改修改http:/ 目標(biāo)與思路：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路目標(biāo)與思路：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路”，修訂前：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路修訂前：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路 外部防護(hù)和內(nèi)部控制并重。在外部防護(hù)方面，理外部防護(hù)和內(nèi)部控制并重。在外部防護(hù)方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測(cè)等各類防護(hù)和檢測(cè)手段，并通過(guò)集中監(jiān)控實(shí)清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測(cè)等各類防護(hù)和檢測(cè)手段，并通過(guò)集中監(jiān)控實(shí)現(xiàn)快速響應(yīng)能力。現(xiàn)快速響應(yīng)能力。在內(nèi)部控制方面，通過(guò)賬號(hào)口令管理系統(tǒng)和日志審計(jì)系統(tǒng)在內(nèi)部控制方面，通過(guò)賬號(hào)口令管理系統(tǒng)和日志審計(jì)系統(tǒng)，加強(qiáng)對(duì)系統(tǒng)的訪問(wèn)控，加強(qiáng)對(duì)系統(tǒng)的訪問(wèn)控制，做到操作有記錄，事后可追查，從而確保合法的人做合法的事。制，做到操作有記錄，事后可追查，從而確保合法的人做合法的事。 修訂后：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路：修訂后：網(wǎng)絡(luò)與信息安全技術(shù)防護(hù)體系防護(hù)思路：遵循集中化、分等級(jí)保護(hù)的原則遵循集中化、分等級(jí)保護(hù)的原則，外部防護(hù)和內(nèi)，外部防護(hù)和內(nèi)部控制并重。在外部防護(hù)方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測(cè)等各類防部控制并重。在外部防護(hù)方面，理清系統(tǒng)內(nèi)外邊界，按需部署防火墻、防病毒、入侵檢測(cè)等各類防護(hù)和檢測(cè)手段，并通過(guò)集中監(jiān)控實(shí)現(xiàn)快速響應(yīng)能力。在內(nèi)部控制方面，現(xiàn)階段，護(hù)和檢測(cè)手段，并通過(guò)集中監(jiān)控實(shí)現(xiàn)快速響應(yīng)能力。在內(nèi)部控制方面，現(xiàn)階段，技術(shù)方面主要通過(guò)技術(shù)方面主要通過(guò)網(wǎng)絡(luò)安全管控平臺(tái)，實(shí)現(xiàn)對(duì)用戶登陸、操作、退出全過(guò)程的集中接入控制、賬號(hào)口令集中管理和日網(wǎng)絡(luò)安全管控平臺(tái)，實(shí)現(xiàn)對(duì)用戶登陸、操作、退出全過(guò)程的集中接入控制、賬號(hào)口令集中管理和日志集中審計(jì)志集中審計(jì)，做到操作有記錄，事后可追查，確保合法的人做合法的事。，做到操作有記錄，事后可追查，確保合法的人做合法的事。防護(hù)體系的總體發(fā)展趨勢(shì)防護(hù)體系的總體發(fā)展趨勢(shì)是由分散防護(hù)向集中防護(hù)發(fā)展，并進(jìn)一步向集成防護(hù)發(fā)展。是由分散防護(hù)向集中防護(hù)發(fā)展，并進(jìn)一步向集成防護(hù)發(fā)展。修訂原因：實(shí)踐經(jīng)驗(yàn)總結(jié)，以及業(yè)界在安全系統(tǒng)功能集成和發(fā)展方面的趨勢(shì)。實(shí)踐經(jīng)驗(yàn)總結(jié)，以及業(yè)界在安全系統(tǒng)功能集成和發(fā)展方面的趨勢(shì)。修訂狀態(tài)：已決策已決策h(yuǎn)ttp:/ 框架：專用安全防護(hù)設(shè)備框架：專用安全防護(hù)設(shè)備”調(diào)整：調(diào)整：安全技術(shù)防護(hù)體系框架圖安全技術(shù)防護(hù)體系框架圖新增：新增：為了對(duì)內(nèi)部人員和外部技術(shù)支持人員的控制，集中部署網(wǎng)絡(luò)安全管為了對(duì)內(nèi)部人員和外部技術(shù)支持人員的控制，集中部署網(wǎng)絡(luò)安全管控平臺(tái)。網(wǎng)絡(luò)安全管控平臺(tái)集成了接入控制，賬號(hào)口令管理、日志審計(jì)等控平臺(tái)。網(wǎng)絡(luò)安全管控平臺(tái)集成了接入控制，賬號(hào)口令管理、日志審計(jì)等功能，對(duì)各類系統(tǒng)和網(wǎng)絡(luò)實(shí)施集中管控。功能，對(duì)各類系統(tǒng)和網(wǎng)絡(luò)實(shí)施集中管控。修訂原因：便于理解；體現(xiàn)安全設(shè)備功能的集成和發(fā)展。便于理解；體現(xiàn)安全設(shè)備功能的集成和發(fā)展。修訂狀態(tài)：已決策已決策h(yuǎn)ttp:/ 位置：位置：“8.3 網(wǎng)絡(luò)與信息安全技術(shù)發(fā)展策略網(wǎng)絡(luò)與信息安全技術(shù)發(fā)展策略” 新增：新增：IP異常流量檢測(cè)和控制將向基于統(tǒng)計(jì)特征、深度包檢測(cè)技術(shù)異常流量檢測(cè)和控制將向基于統(tǒng)計(jì)特征、深度包檢測(cè)技術(shù)等多種技術(shù)綜合運(yùn)用方向發(fā)展，強(qiáng)調(diào)從簡(jiǎn)單的帶寬控制向集等多種技術(shù)綜合運(yùn)用方向發(fā)展，強(qiáng)調(diào)從簡(jiǎn)單的帶寬控制向集中式覆蓋全網(wǎng)的流量清洗技術(shù)發(fā)展。中式覆蓋全網(wǎng)的流量清洗技術(shù)發(fā)展。安全評(píng)估技術(shù)向基于風(fēng)險(xiǎn)的評(píng)估和基于通用基線的評(píng)估兩種安全評(píng)估技術(shù)向基于風(fēng)險(xiǎn)的評(píng)估和基于通用基線的評(píng)估兩種技術(shù)路線發(fā)展。技術(shù)路線發(fā)展。 響應(yīng)技術(shù)由主要依靠人工響應(yīng)向依靠人工和技術(shù)結(jié)合的方向響應(yīng)技術(shù)由主要依靠人工響應(yīng)向依靠人工和技術(shù)結(jié)合的方向發(fā)展。發(fā)展。 修訂原因：修訂原因：技術(shù)發(fā)展。技術(shù)發(fā)展。修訂狀態(tài)： 已決策已決策h(yuǎn)ttp:/ 位置：位置：“8.4.1 綜述綜述” 新增新增：本部分闡述各類安全技術(shù)防護(hù)技術(shù)手段的發(fā)展策略。包括：重點(diǎn)介：本部分闡述各類安全技術(shù)防護(hù)技術(shù)手段的發(fā)展策略。包括：重點(diǎn)介紹網(wǎng)絡(luò)安全管控平臺(tái)、安全運(yùn)行管理平臺(tái)兩類集成平臺(tái)的功能要點(diǎn)和發(fā)展紹網(wǎng)絡(luò)安全管控平臺(tái)、安全運(yùn)行管理平臺(tái)兩類集成平臺(tái)的功能要點(diǎn)和發(fā)展策略；在集中化、等級(jí)保護(hù)的原則下，說(shuō)明防火墻、入侵檢測(cè)、防病毒等策略；在集中化、等級(jí)保護(hù)的原則下，說(shuō)明防火墻、入侵檢測(cè)、防病毒等傳統(tǒng)手段的基本部署原則。傳統(tǒng)手段的基本部署原則。防火墻的部署從隨各系統(tǒng)建設(shè)分散部署向以安全域劃分和邊界整合為基礎(chǔ)防火墻的部署從隨各系統(tǒng)建設(shè)分散部署向以安全域劃分和邊界整合為基礎(chǔ)的集中部署發(fā)展。防火墻部署的具體原則參見(jiàn)的集中部署發(fā)展。防火墻部署的具體原則參見(jiàn)中國(guó)移動(dòng)防火墻部署總體中國(guó)移動(dòng)防火墻部署總體技術(shù)要求技術(shù)要求（QB-W-001-2008）。）。（轉(zhuǎn)下頁(yè)）（轉(zhuǎn)下頁(yè)）http:/ 修訂原因： 內(nèi)容增加和完善。內(nèi)容增加和完善。修訂狀態(tài)： 已決策已決策h(yuǎn)ttp:/ 位置：位置：“8.4.2 網(wǎng)絡(luò)安全管控平臺(tái)網(wǎng)絡(luò)安全管控平臺(tái)” 修改后：修改后：（新增）（新增）網(wǎng)絡(luò)安全管控平臺(tái)包括了三大模塊：綜合維護(hù)接入模塊、帳網(wǎng)絡(luò)安全管控平臺(tái)包括了三大模塊：綜合維護(hù)接入模塊、帳號(hào)口令集中管理模塊、日志集中管理和審計(jì)模塊。號(hào)口令集中管理模塊、日志集中管理和審計(jì)模塊。綜合維護(hù)接入模塊綜合維護(hù)接入模塊作為維護(hù)人員接入通信網(wǎng)、業(yè)務(wù)網(wǎng)和支撐系作為維護(hù)人員接入通信網(wǎng)、業(yè)務(wù)網(wǎng)和支撐系統(tǒng)的統(tǒng)一接入點(diǎn)，集中控制維護(hù)人員能夠訪問(wèn)的系統(tǒng)和服務(wù)，統(tǒng)的統(tǒng)一接入點(diǎn)，集中控制維護(hù)人員能夠訪問(wèn)的系統(tǒng)和服務(wù)，記錄通過(guò)該平臺(tái)的維護(hù)操作行為。記錄通過(guò)該平臺(tái)的維護(hù)操作行為。帳號(hào)口令集中管理模塊帳號(hào)口令集中管理模塊集中管理通信網(wǎng)、業(yè)務(wù)系統(tǒng)和網(wǎng)管系統(tǒng)集中管理通信網(wǎng)、業(yè)務(wù)系統(tǒng)和網(wǎng)管系統(tǒng)的帳號(hào)口令，實(shí)現(xiàn)對(duì)維護(hù)人員的集中授權(quán)和認(rèn)證，實(shí)現(xiàn)系統(tǒng)帳的帳號(hào)口令，實(shí)現(xiàn)對(duì)維護(hù)人員的集中授權(quán)和認(rèn)證，實(shí)現(xiàn)系統(tǒng)帳號(hào)和維護(hù)人員真實(shí)身份的對(duì)應(yīng)，確保將維護(hù)操作對(duì)應(yīng)到人。號(hào)和維護(hù)人員真實(shí)身份的對(duì)應(yīng)，確保將維護(hù)操作對(duì)應(yīng)到人。日志集中管理和審計(jì)模塊日志集中管理和審計(jì)模塊實(shí)現(xiàn)采集、儲(chǔ)存、分析和檢索各系統(tǒng)實(shí)現(xiàn)采集、儲(chǔ)存、分析和檢索各系統(tǒng)的人員操作維護(hù)信息，及時(shí)發(fā)現(xiàn)非法、越權(quán)操作，同時(shí)，可對(duì)的人員操作維護(hù)信息，及時(shí)發(fā)現(xiàn)非法、越權(quán)操作，同時(shí)，可對(duì)高危操作實(shí)時(shí)分析、監(jiān)控、告警和阻斷。高危操作實(shí)時(shí)分析、監(jiān)控、告警和阻斷。（轉(zhuǎn)下頁(yè)）（轉(zhuǎn)下頁(yè)）http:/ 三個(gè)模塊之間存在緊密關(guān)系三個(gè)模塊之間存在緊密關(guān)系綜合維護(hù)接入模塊綜合維護(hù)接入模塊利用利用帳號(hào)口令集中管理模塊帳號(hào)口令集中管理模塊的人員授權(quán)信的人員授權(quán)信息，控制用戶能夠訪問(wèn)的業(yè)務(wù)系統(tǒng)和使用的應(yīng)用程序。息，控制用戶能夠訪問(wèn)的業(yè)務(wù)系統(tǒng)和使用的應(yīng)用程序。綜合維護(hù)接入模塊綜合維護(hù)接入模塊利用利用帳號(hào)口令集中管理模塊帳號(hào)口令集中管理模塊的單點(diǎn)登錄功的單點(diǎn)登錄功能，使得維護(hù)人員通過(guò)平臺(tái)登錄認(rèn)證后，登錄業(yè)務(wù)系統(tǒng)無(wú)需能，使得維護(hù)人員通過(guò)平臺(tái)登錄認(rèn)證后，登錄業(yè)務(wù)系統(tǒng)無(wú)需再次身份認(rèn)證。再次身份認(rèn)證。日志集中管理與審計(jì)模塊日志集中管理與審計(jì)模塊利用利用綜合維護(hù)接入模塊綜合維護(hù)接入模塊，獲取完整，獲取完整的維護(hù)人員操作原始記錄，并結(jié)合來(lái)自帳號(hào)口令集中管理模的維護(hù)人員操作原始記錄，并結(jié)合來(lái)自帳號(hào)口令集中管理模塊的賬戶和用戶真實(shí)身份對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)維護(hù)人員和其操作塊的賬戶和用戶真實(shí)身份對(duì)應(yīng)關(guān)系，實(shí)現(xiàn)維護(hù)人員和其操作記錄的關(guān)聯(lián)。記錄的關(guān)聯(lián)。日志集中管理與審計(jì)模塊日志集中管理與審計(jì)模塊會(huì)采集業(yè)務(wù)系統(tǒng)的登錄信息，發(fā)現(xiàn)會(huì)采集業(yè)務(wù)系統(tǒng)的登錄信息，發(fā)現(xiàn)繞開管控系統(tǒng)直接登錄業(yè)務(wù)系統(tǒng)的行為，并形成安全事件。繞開管控系統(tǒng)直接登錄業(yè)務(wù)系統(tǒng)的行為，并形成安全事件。（轉(zhuǎn)下頁(yè)）（轉(zhuǎn)下頁(yè)）http:/ 修訂點(diǎn)：位置：位置：“8.5.2 業(yè)務(wù)網(wǎng)業(yè)務(wù)網(wǎng)”修改后：修改后：（新增）（新增）PKI基礎(chǔ)設(shè)施是中國(guó)移動(dòng)一項(xiàng)具有戰(zhàn)略價(jià)值的重要基礎(chǔ)設(shè)施是中國(guó)移動(dòng)一項(xiàng)具有戰(zhàn)略價(jià)值的重要資源，是需要長(zhǎng)期穩(wěn)定運(yùn)營(yíng)的基礎(chǔ)設(shè)施。重點(diǎn)實(shí)現(xiàn)內(nèi)外分離的信任體資源，是需要長(zhǎng)期穩(wěn)定運(yùn)營(yíng)的基礎(chǔ)設(shè)施。重點(diǎn)實(shí)現(xiàn)內(nèi)外分離的信任體系，采用規(guī)范運(yùn)營(yíng)、統(tǒng)一規(guī)劃的策略，全面支撐所有業(yè)務(wù)系統(tǒng)、業(yè)務(wù)系，采用規(guī)范運(yùn)營(yíng)、統(tǒng)一規(guī)劃的策略，全面支撐所有業(yè)務(wù)系統(tǒng)、業(yè)務(wù)支撐系統(tǒng)、內(nèi)部信息化系統(tǒng)和核心網(wǎng)絡(luò)的證書應(yīng)用需求，建立基于支撐系統(tǒng)、內(nèi)部信息化系統(tǒng)和核心網(wǎng)絡(luò)的證書應(yīng)用需求，建立基于PKI的安全能力層。的安全能力層。修訂原因：業(yè)務(wù)需要和技術(shù)發(fā)展。業(yè)務(wù)需要和技術(shù)發(fā)展。修訂狀態(tài)：已決策已決策h(yuǎn)ttp:/ 修訂點(diǎn)：位置：位置：“8.5.7 終端和卡終端和卡”修改后：修改后：（新增）（新增）用戶卡安全用戶卡安全用戶卡安全受到來(lái)自卡片自身性能的約束，包括功耗、內(nèi)存限制、算法安用戶卡安全受到來(lái)自卡片自身性能的約束，包括功耗、內(nèi)存限制、算法安全性等。攻擊者針對(duì)用戶卡特性攻擊用戶卡，攻擊主要針對(duì)舊卡的安全算法全性等。攻擊者針對(duì)用戶卡特性攻擊用戶卡，攻擊主要針對(duì)舊卡的安全算法漏洞。目前，中國(guó)移動(dòng)在用戶卡上采用了一系列安全機(jī)制對(duì)算法安全性進(jìn)行漏洞。目前，中國(guó)移動(dòng)在用戶卡上采用了一系列安全機(jī)制對(duì)算法安全性進(jìn)行增強(qiáng)。采用增強(qiáng)型增強(qiáng)。采用增強(qiáng)型Ki、索引隨機(jī)數(shù)、鑒權(quán)隨機(jī)數(shù)檢測(cè)等手段，可對(duì)算法進(jìn)行、索引隨機(jī)數(shù)、鑒權(quán)隨機(jī)數(shù)檢測(cè)等手段，可對(duì)算法進(jìn)行多方位保護(hù)，保證用戶卡安全性，防止多方位保護(hù)，保證用戶卡安全性，防止SIM卡被破解。卡被破解。對(duì)對(duì)2G SIM卡，目前的已研究隨機(jī)數(shù)安全檢測(cè)方案，能有效抵御已有攻擊卡，目前的已研究隨機(jī)數(shù)安全檢測(cè)方案，能有效抵御已有攻擊模式對(duì)模式對(duì)SIM卡發(fā)起的破解攻擊；卡發(fā)起的破解攻擊；在在3G USIM卡中，采用了安全性更高的卡中，采用了安全性更高的AES算法和算法和MAC認(rèn)證的雙重保護(hù)認(rèn)證的雙重保護(hù)方式，能有效抵御各種破解攻擊，保護(hù)鑒權(quán)安全性和用戶卡信息安全性。方式，能有效抵御各種破解攻擊，保護(hù)鑒權(quán)安全性和用戶卡信息安全性。（轉(zhuǎn)下頁(yè)）（轉(zhuǎn)下頁(yè)）http:/ （接上頁(yè)）多應(yīng)用卡框架技術(shù)（CMS2AC）多應(yīng)用卡框架定義了一種卡片空間管理和卡片應(yīng)用安全下載的機(jī)制，其主要目標(biāo)是多應(yīng)用卡框架定義了一種卡片空間管理和卡片應(yīng)用安全下載的機(jī)制，其主要目標(biāo)是保證在卡片的整個(gè)生命周期中卡組件的安全性和完整性。保證在卡片的整個(gè)生命周期中卡組件的安全性和完整性。多應(yīng)用卡框架將卡片空間劃分成多個(gè)不同的安全域，每個(gè)安全域上可加載，運(yùn)行不多應(yīng)用卡框架將卡片空間劃分成多個(gè)不同的安全域，每個(gè)安全域上可加載，運(yùn)行不同的應(yīng)用。安全域通過(guò)密碼機(jī)制保證應(yīng)用只能下載安裝在各自所屬的安全域內(nèi)，且不同的應(yīng)用。安全域通過(guò)密碼機(jī)制保證應(yīng)用只能下載安裝在各自所屬的安全域內(nèi)，且不同安全域內(nèi)的應(yīng)用互不影響，完全隔離。安全域?yàn)榘踩騼?nèi)應(yīng)用提供安全服務(wù)，例如同安全域內(nèi)的應(yīng)用互不影響，完全隔離。安全域?yàn)榘踩騼?nèi)應(yīng)用提供安全服務(wù)，例如密鑰管理、加密、解密、生成數(shù)字簽名和驗(yàn)證安全域所有者等。每個(gè)安全域?qū)崿F(xiàn)一個(gè)密鑰管理、加密、解密、生成數(shù)字簽名和驗(yàn)證安全域所有者等。每個(gè)安全域?qū)崿F(xiàn)一個(gè)安全信道協(xié)議，定義發(fā)卡方、應(yīng)用提供方或者控制機(jī)構(gòu)和卡片通信時(shí)的安全，以保證安全信道協(xié)議，定義發(fā)卡方、應(yīng)用提供方或者控制機(jī)構(gòu)和卡片通信時(shí)的安全，以保證應(yīng)用下載到正確的安全域內(nèi)，以及保證應(yīng)用下載過(guò)程中的數(shù)據(jù)機(jī)密性和數(shù)據(jù)完整性。應(yīng)用下載到正確的安全域內(nèi)，以及保證應(yīng)用下載過(guò)程中的數(shù)據(jù)機(jī)密性和數(shù)據(jù)完整性。 修訂原因：技術(shù)發(fā)展。技術(shù)發(fā)展。修訂狀態(tài)：已決策已決策h(yuǎn)ttp:/ 謝謝！http:/