《中国电信吉安分公司CN2承载网安全评估.doc》由会员分享，可在线阅读，更多相关《中国电信吉安分公司CN2承载网安全评估.doc（15页珍藏版）》请在三一办公上搜索。
1、编号： CTSECJIANGXI-JIAN-03-200907企业秘密中国电信江西省吉安市CN2承载网安全风险评估报告评估对象：CN2承载网评估单位：吉安市电信分公司评估日期：2009年7月1日至2009年7月31日中国电信江西省吉安市分公司二零零九年七月目 录1概述21.1目的21.2内容及范围21.3风险评估方法41.4评估依据52资产分析52.1CN2承载网52.2NGN、C网承载网53威胁分析73.1CN2 承载网83.2NGN、C网承载网84脆弱性分析85已有安全措施96安全风险分析97风险处置计划及整改情况108总结10内部资料，注意保密，未经同意，请勿翻印文档信息文档名称中国电信
2、江西省吉安市CN2承载网安全风险评估报告文件编号编制人王桂英、刘建平保密级别企业秘密修改过程版本号日期负责人概述V1.02009年7月31日刘建平V1.22009年7月31日王桂英评审过程版本号日期评审者概述分发范围1 概述1.1 目的为进一步查找吉安分公司网络安全运营的薄弱环节，落实防护措施，消除安全隐患，提高通信网络整体安全防护水平，并为国庆60周年网络安全保障工作打好基础，全面开展CN2城域网的网络安全检查及评估，通过此次检查评估，全面掌握网络安全分级保护、风险评估、灾难备份的基本方法和标准，通过全面落实网络安全检查、评估及整改措施，提高吉安CN2承载网的整体安全防护水平。1.2 内容及
3、范围定级对象：CN2网以及软交换网络、C网的承载网。一、组网现状1、CN2网络：吉安CN2网络由2台P设备、2台PE设备和2台延伸交换机组成。2台P设备为两台GSR12816，布署在大楼数据机房，各以一条2.5G链路至南昌CN2汇聚节点，一条2.5G 链路至九江CN2汇聚节点，形成10G的本地网出口带宽，设备之间以2*2.5G互联。同时两台P设备各以2*GE链路与城域网络两台核心路由器互联，实现两个网络之间的互联。PE设备为两台GSR12416，分别布署在大楼数据机房和河东综合机房，各以一条2.5G与两个P节点互联，同时各自以一条GE链路就近与同机房城域网SR互联，实现MPLS的跨域互联。2台
4、延伸交换机由ZXR10-3906构成，分别以GE链路与各自同机房的PE互联，作为PE设备的扩展。同时大楼PE节点开通了至传输155M电路做为N*64K大客户接入通道。具体网络拓扑如下。2.2、 NGN、C承载网：软交换网CE设备为2台中兴T64G三层交换机，该设备各 以1*GE链路就近与同机房的CN2网PE设备互联，同时两CE节点间以2*GE捆绑链路互联。河东局设有两台华为NE40，作为C网承载网的CE（以下称CE1、CE2）节点，两CE设备与CN2网两PE间共有4组2*GE链路互联，大楼和河东方向各两组，其中每组2*GE链路中一个GE走分组域流量，一个走电路域流量。同时CE1、CE2之间以2
5、*GE链路互联。大楼局另设置两台华为NE40，作为大楼方向的软交换和C网承载网CE设备（以下称CE3、CE4），该两CE与CN2网两台PE间通过4*GE链路互联，同时CE3、CE4之间通过2*GE链路互联。另，CE1与CE3之间、CE2与CE4之间各以GE链路互联。两台T64G下挂业务有软交换SHLR、大楼TG以及少量AG节点。CE1、CE2下挂中兴BSC、C网中兴MGW、北电BSC以及与传输开通155M CPOS链路接入新干、永丰北电DO站点。CE3、CE4下挂华为UMG（综合网关局）。具体网络拓扑如下图：1.3 风险评估方法说明采取的风险评估方式，步骤、方法等。评估方式包括访谈、查阅文档、
6、测试等，评估步骤包括资产识别、脆弱性识别、威胁识别等，方法包括具体的资产、威胁和脆弱性识别方法，风险分析方法、风险结果判断依据等。本次评估采取的评估方式有：查阅文档、咨询厂家、技术验证、测试、人工检查，维护骨干集中讨论、分析。评估步骤：首先进行资产的识别、确定评估对象、评估方法、确定评估的具体内容、收集相关信息、开展脆弱性评估、威胁性评估，编写评估报告和整治计划。评估方法有：根据收集网络和设备现状相关信息，与相关维护管理规范和厂家设备技术规范核查，并结合实际维护工作经验，识别设备威胁和脆弱性。1.4 评估依据说明本次安全风险评估参考的标准和文档，如安全防护系列标准等。2 资产分析定级对象：CN
7、2网及软交换、C网承载网，重要性分析如下：2.1 CN2网CN2网的识别与选取应符合科学性、合理性，CN2网资产大致包括设备/主机、数据信息、业务、文件、人员、物理环境设施等。CN2网资产按照重要性，分为高、中、低三档，列表如下：表1 资产重要性列表序号资产名称资产类型重要性等级1大楼两台P设备GSR12816；大楼、河东PE设备GSR12416硬件高软件：软件版本文件高重要数据：路由、策略高提供的服务高文档中维护人员中网络拓扑中2大楼、延伸交换机ZXR10-3906硬件中软件：软件版本文件中重要数据：路由、策略中提供的服务中文档低维护人员低网络拓扑低2.2 NGN、C网承载网NGN、C网承载
8、网的识别与选取应符合科学性、合理性，NGN、C网承载网资产大致包括设备/主机、数据信息、业务、文件、人员、物理环境设施等。NGN、C网承载网资产按照重要性，分为高、中、低三档，列表如下：表1 资产重要性列表序号资产名称资产类型重要性等级1大楼、河东软交换CE设备T64G;河东C网CE1、CE2设备和大楼CE3、CE4设备硬件高软件：软件版本文件高重要数据：路由、策略高提供的服务高文档中维护人员中网络拓扑中3 威胁分析CN2承载网以及NGN、C网承载网的威胁根据来源可分为技术威胁、环境威胁和人为威胁。环境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又可分为恶意和非恶意两种。
9、CN2承载网以及NGN、C网承载网的威胁分析如下：1）非恶意人为威胁：维护人员的操作不当，从而影响到设备的正常运行。为了防止该现象发生，在设备升级、业务割接前应准备好详细的升级和割接方案，一旦升级、割接失败则立即启用回退方案；严格落实局数据修改规范，落实双人制度：1人操作，1人检查，防止误操作。严格控制操作人员权限，不具备操作技能的人员不给于权限。2）恶意人为威胁：人为的恶意攻击、导致设备瘫痪。为了防止此类现象发生，已在设备上设置帐号密码，采用账号专人专用的原则分配权限，同时启用防护策略封堵一些常见的病毒端口，严格落实设备数据配置规范，关闭不必要的服务，通过访问控制列表精细控制不同应用类型的访
10、问设备的源地址及其访问权限。同时做好机房的“四防”工作。2、技术威胁设备硬件问题和软件BUG造成设备性能下降，影响网络运行，为防止该类现象发生，需采用CN2综合网管平台对设备和网络运行情况进行监控，同时要求各设备厂家维护人员定期对设备进行巡检，厂家发现软、硬件的BUG和隐患应及时告知局方，并采取有效措施予以规避和解决。3、环境威胁1）自然界不可抗的威胁：IP承载网业务控制层面以上的设备均防止在机房，遇雷击的可能性极小，抗震能力也较强；2）其他物理威胁：机房环境温度造成设备出现异常，需利用动环监控系统，实时监控机房环境温度，严格控制好通信机房的环境温湿度；此外，利用IP综合网管的告警平台， 对设
11、备温度进行实时告警，发现异常，立即进行处理。3.1 CN2网1、大楼P节点和PE节点、延伸交换机：1）、自然界不可抗力的威胁：CN2网两台P节点GSR12816设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、
12、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。3）、恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。4）、其他威胁：低。2、河东PE节点、延伸交换机：1） 自然界不可抗力的威胁：河东PE设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不
13、可抗力的威胁较低。2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。3）恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁等级为“中”级。 4） 其他威胁：低。CN2网面临的威胁按照可能性概率，分为高、中、低三档，列表如下：表4 威胁可能性列表序号资产名称面临威胁类型威胁可能性等级1大楼两台P设备GSR12816和大楼PE设备自然界不可抗
14、的威胁（环境威胁）低其它物理威胁（环境威胁）中恶意人为威胁中非恶意人为威胁中其它威胁低2河东PE设备、两台延伸交换机自然界不可抗的威胁（环境威胁）低其它物理威胁（环境威胁）低恶意人为威胁中非恶意人为威胁中其它威胁低3.2 NGN、C网承载网1、大楼NGN CE设备、C网CE3设备：1）、自然界不可抗力的威胁：上述设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。2）、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。但是，该设备所在机房
15、地板为架空钢底瓷面地板，支架也为钢管材质，但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障，因此定义威胁等级为“中”级。3）、恶意和非恶意人为威胁：该设备运行VPN私网内，受外网攻击、破环的可能性较小，同时由于目前设备的逻辑操作权限限制在省NOC和集团NOC层面，本地网没有相关操作权限，相对来说可操作的人员少，受人为威胁的可能性较小。4）、其他威胁：低。2、河东软交换、C网CE设备、大楼C网CE4设备：1） 自然界不可抗力的威胁：河东PE设备放置在吉安大楼通信枢纽楼，该楼为框架混泥土结构，房屋结构结实，地势较
16、高，并且按照通信楼的建设标准安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力的威胁较低。2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存在相关威胁。3）恶意和非恶意人为威胁：该设备运行VPN私网内，受外网攻击、破环的可能性较小，同时由于目前设备的逻辑操作权限限制在省NOC和集团NOC层面，本地网没有相关操作权限，相对来说可操作的人员少，受人为威胁的可能性较小。 4） 其他威胁：低。NGN、C网承载网面临的威胁按照可能性概率，分为高、中、低三档，列表如下：表4 威胁可能性列表序号资产名称面临威胁类型威胁可能性等级1大楼NGN CE设备、C网CE3设备
17、自然界不可抗的威胁（环境威胁）低其它物理威胁（环境威胁）中恶意人为威胁低非恶意人为威胁低其它威胁低2河东软交换、C网CE设备、大楼C网CE4设备自然界不可抗的威胁（环境威胁）低其它物理威胁（环境威胁）低恶意人为威胁低非恶意人为威胁低其它威胁低4 脆弱性分析CN2网的脆弱性包括技术脆弱性和管理脆弱性两个方面，技术脆弱性又可分为网络、设备/主机、物理环境等方面的脆弱性。脆弱性识别对象应以资产为核心。1、CN2网的脆弱性分析如下：序号资产名称面临威胁类型威胁可能性等级1大楼两台P设备GSR12816和大楼PE设备业务/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）
18、低物理环境（技术脆弱性）中管理脆弱性低2河东PE设备、两台延伸交换机业务/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）中物理环境（技术脆弱性）中管理脆弱性低2、软交换、C网承载网脆弱性分析：序号资产名称面临威胁类型威胁可能性等级1大楼NGN CE设备业务/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）中物理环境（技术脆弱性）中管理脆弱性低2河东C网CE2设备、大楼C网CE4设备业务/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）低物理环境（技术脆弱性）低管理脆弱性低3C网CE3设备业务
19、/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）低物理环境（技术脆弱性）中管理脆弱性低4C网CE1设备和软交换CE2业务/应用（技术脆弱性）低网络（技术脆弱性）低设备（含软件版本、重要数据）（技术脆弱性）中物理环境（技术脆弱性）低管理脆弱性低详细脆弱性分析见如下CN2网脆弱性分析5 已有安全措施（1）制度建设：已建立机房出入管理制度、机房环境管理制度、机房信息保密制度、机房交接班制度、机房十不准等制度，并上墙。建立了机房管理规范，如设施管理规范、维护作业规范、环境管理规范等，并组织学习和落实，（2）所有机房已开展了机房标准化整治工作，并建设了动环监控、烟感系
20、统，目前实行市县二级监控。（3）市公司网维中心每月定期开展维护基础管理，包括机房现场管理、资料管理、作业计划、电子值班、电子机历本、备品备件的管理的检查，夯实维护基础管理工作。（4）6月份开展了端局机房动环监控系统的全面检查工作，对存在的问题整拟定计划进行整改。（5）落实维护作业计划和机房巡检制度，每月定期进行设备配置数据备份，进行设备表面和风扇过滤网的清洁工作，实时更新设备健康档案和网络维护相关资料。(6) 去年11月份开展了软交换承载网优化改造工作，实现了城域网ASBR设备与CN2网PE设备的双设备双互联、CE设备与CN2网PE设备的双节点双互联、优化了路由等；今年6月份开展了CN2网路由
21、调整专项整治工作，消除同路由光缆传输、重要链路裸纤传输隐患，提高链路传输可靠性。6 安全风险分析经过详细、全面的分析和评估，目前我市CN2网存在的安全风险主要有： 1） 吉安市82局数据机房地板为架空钢底瓷面地板，支架也为钢管材质，其中D01机房设备(CN2网两台P设备、PE1、NGN CE1、延伸交换机、C网CE3设备)是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障。此风险短期内可接受，但从长远来看，是一个较大的隐患，需要整治。2） 吉安市82局数据机房重要设备较多，且对温度觉敏感，目前全部采用普通的独立式空调，
22、环境温湿度控制效果差，常导致机房内设备温度过高告警。此风险短期内通过加强机房环境监控，适时做好空调温度的调控，可避免温度过高告警，但从长期来看，应尽快将空调更换为机房专用空调，以提高安全性，同时还节能。3) CN2网延伸交换机其主控卡单配，且只有该板子有千兆口，两条上行链路均承载在该板子上，一旦该板卡出故障，则整个设备承载的业务中断，且无备件更换。4） 软交换两台CE设备都只有一块板子带千兆口，上行和互联链路均开放在该板卡上，存在单板隐患，且无备件更换，存在风险。5） C网CE1设备上 S卡承载了永丰、新干两个县的EVDO业务，其两个端口全部用完，且无板卡备件，该板卡为厂家停产板卡，出现故障将
23、无备件更换，存在隐患。7 风险处置计划及整改情况序号网络风险处置计划责任部门预期效果实施条件计划进度1延伸交换机主控板单配问题配置双主控板或扩容1块带GE光口的板子集团公司、省公司消除单主控、GE板隐患集团、省公司统筹安排2软交换CE设备单千兆板隐患扩容1块带GE光口的单板省公司解决单GE板隐患集团、省公司统筹安排3C网CE1设备上 S卡单配问题购买1块板子做备件。建设中心解决155M CPOS卡单配问题。无9月底前4大楼数据机房空调温控效果差隐患安装机房专用空调网络部安排、网维中心实施改善机房环境要有相应的资金预算10月份5大楼数据机房城域网设备未安装底座隐患采取机架之间相互通过钢条连接及与走线槽连接的方式加固机架，防止滑动和坍塌网维中心防止设备滑动和坍塌无8月底前8 总结本次针对吉安市CN2承载网以及NGN、C网IP承载网网络安全评估，通过对设备运行情况、机房环境、网络结构合理性、链路传输可靠性等多方面进行的检查分析，从脆弱性和威胁两个角度去考虑存在的风险，进而做出相应的处置计划，达到了一定的效果。
