《中国电信吉安分公司CN2承载网安全评估》由会员分享，可在线阅读，更多相关《中国电信吉安分公司CN2承载网安全评估（15页珍藏版）》请在金锄头文库上搜索。
1、编号： CTSECJIANGXI-JIAN-03-200907企业秘密中国电信江西省吉安市CN2承载网安全风险评估报告评估对象：CN2承载网评估单位：吉安市电信分公司评估日期：2009年7月1日至2009年7月31日中国电信江西省吉安市分公司二零零九年七月2目 录1概述21.1目的21.2内容及范围21.3风险评估方法41.4评估依据52资产分析52.1CN2承载网52.2NGN、C网承载网53威胁分析73.1CN2 承载网83.2NGN、C网承载网84脆弱性分析85已有安全措施96安全风险分析97风险处置计划及整改情况108总结1016内部资料，注意保密，未经同意，请勿翻印文档信息文档名称中
2、国电信江西省吉安市CN2承载网安全风险评估报告文件编号编制人王桂英、刘建平保密级别企业秘密修改过程版本号日期负责人概述V1.02009年7月31日刘建平V1.22009年7月31日王桂英评审过程版本号日期评审者概述分发范围1 概述1.1 目的为进一步查找吉安分公司网络安全运营的薄弱环节，落实防护措施，消除安全隐患，提高通信网络整体安全防护水平，并为国庆60周年网络安全保障工作打好基础，全面开展CN2城域网的网络安全检查及评估，通过此次检查评估，全面掌握网络安全分级保护、风险评估、灾难备份的基本方法和标准，通过全面落实网络安全检查、评估及整改措施，提高吉安CN2承载网的整体安全防护水平。1.2
3、内容及范围定级对象：CN2网以及软交换网络、C网的承载网。一、组网现状1、CN2网络：吉安CN2网络由2台P设备、2台PE设备和2台延伸交换机组成。2台P设备为两台GSR12816，布署在大楼数据机房，各以一条2.5G链路至南昌CN2汇聚节点，一条2.5G 链路至九江CN2汇聚节点，形成10G的本地网出口带宽，设备之间以2*2.5G互联。同时两台P设备各以2*GE链路与城域网络两台核心路由器互联，实现两个网络之间的互联。PE设备为两台GSR12416，分别布署在大楼数据机房和河东综合机房，各以一条2.5G与两个P节点互联，同时各自以一条GE链路就近与同机房城域网SR互联，实现MPLS的跨域互联
4、。2台延伸交换机由ZXR10-3906构成，分别以GE链路与各自同机房的PE互联，作为PE设备的扩展。同时大楼PE节点开通了至传输155M电路做为N*64K大客户接入通道。具体网络拓扑如下。2.2、 NGN、C承载网：软交换网CE设备为2台中兴T64G三层交换机，该设备各 以1*GE链路就近与同机房的CN2网PE设备互联，同时两CE节点间以2*GE捆绑链路互联。河东局设有两台华为NE40，作为C网承载网的CE（以下称CE1、CE2）节点，两CE设备与CN2网两PE间共有4组2*GE链路互联，大楼和河东方向各两组，其中每组2*GE链路中一个GE走分组域流量，一个走电路域流量。同时CE1、CE2之
5、间以2*GE链路互联。大楼局另设置两台华为NE40，作为大楼方向的软交换和C网承载网CE设备（以下称CE3、CE4），该两CE与CN2网两台PE间通过4*GE链路互联，同时CE3、CE4之间通过2*GE链路互联。另，CE1与CE3之间、CE2与CE4之间各以GE链路互联。两台T64G下挂业务有软交换SHLR、大楼TG以及少量AG节点。CE1、CE2下挂中兴BSC、C网中兴MGW、北电BSC以及与传输开通155M CPOS链路接入新干、永丰北电DO站点。CE3、CE4下挂华为UMG（综合网关局）。具体网络拓扑如下图：1.3 风险评估方法说明采取的风险评估方式，步骤、方法等。评估方式包括访谈、查阅
6、文档、测试等，评估步骤包括资产识别、脆弱性识别、威胁识别等，方法包括具体的资产、威胁和脆弱性识别方法，风险分析方法、风险结果判断依据等。本次评估采取的评估方式有：查阅文档、咨询厂家、技术验证、测试、人工检查，维护骨干集中讨论、分析。评估步骤：首先进行资产的识别、确定评估对象、评估方法、确定评估的具体内容、收集相关信息、开展脆弱性评估、威胁性评估，编写评估报告和整治计划。评估方法有：根据收集网络和设备现状相关信息，与相关维护管理规范和厂家设备技术规范核查，并结合实际维护工作经验，识别设备威胁和脆弱性。1.4 评估依据说明本次安全风险评估参考的标准和文档，如安全防护系列标准等。2 资产分析定级对象
7、：CN2网及软交换、C网承载网，重要性分析如下：2.1 CN2网CN2网的识别与选取应符合科学性、合理性，CN2网资产大致包括设备/主机、数据信息、业务、文件、人员、物理环境设施等。CN2网资产按照重要性，分为高、中、低三档，列表如下：表1 资产重要性列表序号资产名称资产类型重要性等级1大楼两台P设备GSR12816；大楼、河东PE设备GSR12416硬件高软件：软件版本文件高重要数据：路由、策略高提供的服务高文档中维护人员中网络拓扑中2大楼、延伸交换机ZXR10-3906硬件中软件：软件版本文件中重要数据：路由、策略中提供的服务中文档低维护人员低网络拓扑低2.2 NGN、C网承载网NGN、C
8、网承载网的识别与选取应符合科学性、合理性，NGN、C网承载网资产大致包括设备/主机、数据信息、业务、文件、人员、物理环境设施等。NGN、C网承载网资产按照重要性，分为高、中、低三档，列表如下：表1 资产重要性列表序号资产名称资产类型重要性等级1大楼、河东软交换CE设备T64G;河东C网CE1、CE2设备和大楼CE3、CE4设备硬件高软件：软件版本文件高重要数据：路由、策略高提供的服务高文档中维护人员中网络拓扑中3 威胁分析CN2承载网以及NGN、C网承载网的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意
9、两种。CN2承载网以及NGN、C网承载网的威胁分析如下：1）非恶意人为威胁：维护人员的操作不当，从而影响到设备的正常运行。为了防止该现象发生，在设备升级、业务割接前应准备好详细的升级和割接方案，一旦升级、割接失败则立即启用回退方案；严格落实局数据修改规范，落实双人制度：1人操作，1人检查，防止误操作。严格控制操作人员权限，不具备操作技能的人员不给于权限。2）恶意人为威胁：人为的恶意攻击、导致设备瘫痪。为了防止此类现象发生，已在设备上设置帐号密码，采用账号专人专用的原则分配权限，同时启用防护策略封堵一些常见的病毒端口，严格落实设备数据配置规范，关闭不必要的服务，通过访问控制列表精细控制不同应用类
10、型的访问设备的源地址及其访问权限。同时做好机房的“四防”工作。2、技术威胁设备硬件问题和软件BUG造成设备性能下降，影响网络运行，为防止该类现象发生，需采用CN2综合网管平台对设备和网络运行情况进行监控，同时要求各设备厂家维护人员定期对设备进行巡检，厂家发现软、硬件的BUG和隐患应及时告知局方，并采取有效措施予以规避和解决。3、环境威胁1）自然界不可抗的威胁：IP承载网业务控制层面以上的设备均防止在机房，遇雷击的可能性极小，抗震能力也较强；2）其他物理威胁：机房环境温度造成设备出现异常，需利用动环监控系统，实时监控机房环境温度，严格控制好通信机房的环境温湿度；此外，利用IP综合网管的告警平台，
11、 对设备温度进行实时告警，发现异常，立即进行处理。3.1 CN2网1、大楼P节点和PE节点、延伸交换机：1）、自然界不可抗力的威胁：CN2网两台P节点GSR12816设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备
12、滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。3）、恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。4）、其他威胁：低。2、河东PE节点、延伸交换机：1） 自然界不可抗力的威胁：河东PE设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自
13、然界不可抗力的威胁较低。2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。3）恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4） 其他威胁：低。CN2网面临的威胁按照可能性概率，分为高、中、低三档，列表如下：表4 威胁可能性列表序号资产名称面临威胁类型威胁可能性等级1大楼两台P设备GSR12816和大楼PE设备自然界
14、不可抗的威胁（环境威胁）低其它物理威胁（环境威胁）中恶意人为威胁中非恶意人为威胁中其它威胁低2河东PE设备、两台延伸交换机自然界不可抗的威胁（环境威胁）低其它物理威胁（环境威胁）低恶意人为威胁中非恶意人为威胁中其它威胁低3.2 NGN、C网承载网1、大楼NGN CE设备、C网CE3设备：1）、自然界不可抗力的威胁：上述设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。3）、恶意和非恶意人为威胁：该设备运行VPN私网内，受外网攻击、破环的可能性较小，同时由于目前设备的逻辑操作权限限制在省NOC和集团NOC层面，本地网没有相关操作权限，相对来说可操作的人员少，受人为威胁的可能性较小。4）、其他威胁：低。2、河东软交换、C网CE设备、大楼C网CE4设备：1） 自然界不可抗力的威胁：河东PE设备放置
