远程访问DCN的安全评估及对策

摘　要：

摘　要：随着IT系统的集中建设、维护集约化的提高，DCN承载网络面临的安全威胁不断增加。本文以湖北电信DCN网为例，对DCN网络远程访问的现状和隐患进行了评估，并给出了解决方案。

关键词：

关键词：DCN　安全评估　远程访问

     湖北电信DCN网络是一个专用数据通信网，它承载的系统包含了三大核心业务系统MBOSS以及增值业务平台等IT平台。伴随湖北电信IT建设的不断成熟，企业运营越来越依赖IT平台，作为内部IT系统和核心网元的基础承载网络，DCN网的正常运行转是支撑湖北电信正常运营的必要条件。

1　远程访问DCN的现状

    随着湖北电信IT集中建设的推进、维护集中化水平不断提高以及快速处理故障的需要，湖北电信在省公司本部、直属单位以及地市分公司都存在远程访问DCN的需求，主要包括：OA用户移动访问省公司办公网、电信维护人员远程登陆处理故障、第三方维护人员远程登陆协助处理重大障碍。

     目前，各单位远程访问DCN不规范，各地市都存在私设互联网接口，利用Internet远程接入DCN的情况。这种远程接入方式为办公和运维工作带来了便利，但却存在非常大的安全隐患。

2　远程访问DCN的安全隐患

　　随着移动业务、互联网业务、数据增值业务等的发展，湖北DCN网络所承载的MBOSS系统、增值业务平台、核心网元越来越多，其安全威胁在不断增加。DCN网络作为基础承载网络，它负责提供所有承载的各类MBOSS系统的网络互通，DCN骨干网络上未做访问控制，各类系统的网络安全、访问控制、防病毒等功能由该系统接入DCN时自身实现。由于缺乏有效的控制手段，经 Internet网络远程访问DCN，在提高工作效率的同时，也引入较大的安全风险，相应的安全事件时有发生。

2.1　远程访问不可控制

　　由于目前湖北电信DCN没有统一的远程接入接口，各单位都存在私设远程接入DCN的接口，，通过Internet远程接入DCN网络，就能访问DCN网内资源和使用相应的应用系统，没有统一的系统做远程访问DCN的控制策略。

　　2.2　远程登录的安全问题

　　目前的远程接入多为账号/口令认证方式，安全性非常薄弱。远程维护通道没有加密功能，通过INTERNET进行远程维护时，一旦遭受中间人攻击，攻击者可以获取所有通讯数据，DCN所承载的IT系统的敏感信息的保密性得不到保障。

2.3　远程访问终端的安全接入

　　由于各单位都有DCN和Inetenet的接口，各单位的接入方式也不相同。如果互联接口上未部署防火墙和IDS，远程访问的终端不可避免的会携带病毒、木马等直接攻击DCN骨干承载网，甚至成为黑客攻击DCN承载网以及各IT系统的跳板。

2.4　远程访问的访问控制和授权

　　远程访问DCN网络处理紧急故障时，不仅有电信内部维护人员还有第三方厂家提供远程技术支持，没有统一的DCN接入平台对于这些远程登陆账户的访问控制和授权，无法有效地隔离跨业务区域的非授权访问。

　　2.5　无法实现对用户操作的审计

　　对于授权或非授权访问没有审计能力，对内部人员误操作或外部人员的非授权操作没有任何记录，出现安全问题无法对用户操作进行回溯检查，事故责任无法定位。建议通过部署审计类安全产品，提升误操作或非授权操作的抗抵赖性。

3　远程访问DCN的安全加固

　　DCN网及所承载的MBOSS系统是湖北电信核心网络系统，对核心网络系统的远程访问安全管理是湖北电信整个规范体系的核心内容之一。要遵循集团公司CTG-MBOSS安全规范对基础承载网络的要求，做好远程访问DCN的管理。因此，就远程访问DCN网的安全问题进行了专项分析，提出了解决方案。

　　其一，企业生产运营中，通过远程方式访问DCN网络上承载的系统的需求是合理的。通过远程方式访问DCN网络承载的各类IT系统必须采取安全、加密、可控、可追溯的方式，问题的关键是做好对这些资源的安全访问控制，按照目前CTG-MBOSS的系统及安全域划分原则，我们对MSS/BSS/OSS三类安全域分别作安全访问控制。

　　其二，IT部门建设通过Internet、智能手机VPN远程访问OA的全省统一的安全访问入口，将全省远程访问OA的流程统一引导到该安全入口，OA用户远程访问省公司MSS系统不再通过DCN承载网，增强了远程访问省集中的MSS系统的安全性。

　　其三，IT部在基础网络安全及改造项目中启动BSS系统数据库安全访问堡垒主机的建设，在BSS核心系统接入DCN边缘处部署访问控制列表、在分公司和直属单位推广使用终端安全访问系统，增强了远程访问省集中的BSS系统的安全性。

　　其四，作为全省DCN骨干承载网络的管理维护单位，我们在省网监中心的DCN网络统一互联网出口处部署VPN、IPS、SAG设备，建设湖北电信OSS类系统远程访问综合维护接入平台，作为全省OSS系统以及核心网元维护的统一的安全访问入口。

　　通过部署全省统一的OSS类系统综合维护接入平台，我们在OSS支撑系统和核心网元自身访问控制功能的基础上，增加了统一的认证、授权和控制、审计机制，实现远程维护操作的事先授权、事中监控、事后审计，极大地提高了远程访问DCN网络承载OSS类资源的安全性。