电信运营商财务系统的安全设计与研究

张 杰

（华信邮电咨询设计研究院 浙江 310014）

0 前言

电信运营商近年来逐渐提升自身财务系统的信息化程度，逐渐将财务、资金、物资、银行支付与对账等需求进行了信息化改造，作为企业内部的财务系统。由于运营商的财务系统涉及金额巨大，因此系统的安全设计显得尤为重要。

在通常的财务系统设计时，容易出现的安全从主机、网络、应用系统、维护监控等方面的问题大致如下：

（1）网络架构设计不合理，没有划分安全域；

（2）未设置严格的网络访问控制措施；

（3）重要链路和设备无冗余；

（4）缺乏安全防护设备；

（5）生产服务器缺乏统一标准的安全技术配置基线；

（6）设备或系统缺乏必要的安全检查及加固配置；

（7）恶意代码防护机制不健全；

（8）IT终端准入控制措施不足；

（9）缺乏网络监控措施；

（10）缺乏常态化的安全技术评估机制；

（11）缺乏有效的安全审计措施；

（12）应用系统防护措施不足，存在sql注入、跨站脚本等问题；

（13）等等。

针对这些安全风险进行系统安全设计的时候，应注意一下几个原则：

（14）管理与技术并重：采用管理和技术相结合的方式，建立有效识别和预防IT安全风险机制，合理选择安全控制方式，有效降低IT安全风险。

（15）分级防护：依据国家相关规定和信息安全管理最佳实践，根据信息资产的重要性等级，对重要信息资产和系统划分不同的防护等级，执行差异化的安全防护措施。

（16）集中管控：建立层次化安全管理组织和集中的安全管控措施，统一进行系统信息系统安全的规划、建设及管控。

（17）循序渐进：建立全面覆盖系统安全各个领域的、可度量、可管理的安全保障体系，并在此基础上进行持续改进，不断自我完善，为业务的平稳运行提供可信的系统支撑环境。

根据运营商的财务系统特点，IT安全的技术体系建议设计如下：

图1 体系设计图

通过整体安全规划，系统应从六大安全层面防护，并具备三项防护能力：

1 安全防护能力

1.1 安全识别与监控能力

该能力是系统IT安全防护能力的基础，主要能够针对系统用户登录身份进行认证鉴别，评估和发现系统及相关资源的安全漏洞，对于网络入侵和攻击行为进行实时的监控和预警。

1.2 安全防护能力

该能力是提升安全防护能力的主要手段，根据安全防护需求，选择采取合适有效的安全防护措施，实现对系统的安全弱点和威胁进行有效防护和控制。

13 安全审计与恢复类措施

该能力是安全的审核和纠正性控制措施，能够实现针对安全运行情况进行审核，对发生的安全事件进行恢复。

2 六大安全层面防护

2.1 物理安全

物理环境是承载系统的各种基础设施以及相关的保障设施所处的物理位置及周边环境。物理安全主要从部署门禁系统，加强人员进入以及设备接入的访问控制与事件审计；实现电力、数据、消防等方面的冗余备份。办公区应部署门禁系统，对人员进入进行访问控制和审计，实现电力、消防等方面的安全措施。

2.2 网络安全

网络是系统的最重要的基础设施之一，是系统实现对内、对外通信的主要承载体，网络安全是从网络架构自身的安全和对网络所承载信息安全两大部分提出相应的防护要求，主要从访问控制、安全审计、边界完整性和入侵防护等几个方面提出相应的安全防护要求。

2.3 系统安全

系统软件是各类应用系统运行的基础软件平台，主要包括操作系统、数据库系统及中间件。为了能够给系统提供一个安全稳定的运行环境，系统安全至关重要，系统安全从身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范等几个方面提出相应的安全防护要求。

2.4 应用安全

应用系统是系统中对外部提供业务服务或对内提供运行支持的软件系统。应用安全是指通过应用系统自身的安全功能模块或外界的产品支持，应用安全从身份鉴别、访问控制、安全审计、剩余信息保护、通信完整性、通信保密性和抗抵赖等方面提出安全防护要求。

2.5 数据安全

数据是运营商内部最重要的资产，重要数据的保密性、完整性和可用性受到破坏后都将会还来不可估量的损失。针对数据安全从保障数据的保密性、完整性和对数据的备份及恢复方面提出相应的防护要求。

2.6 终端安全

信终端包括PC终端设备以及手机等移动终端，终端安全主要从补丁管理、病毒防护、入侵检测、数据保护、准入控制等方面定义相应的安全防护要求。

根据以上安全技术体系规划，落地到运营商财务系统具体情况，一般设计如图2所示：系统硬件平台从安全域上可划分为Internet互联区、内部互联区、专线互联区、核心交换区、计算服务区、运维管理区。

图2 系统图

Internet互联区——主要指系统外围出口部分，包括DMZ区域中的网络设备、安全设备及放置在DMZ区的服务器设备。其中安全设备主要包括防火墙、IPS入侵检测设备、防DDoS攻击设备等。

内部互联区——主要指系统内部网络出口部分，包括网络设备和安全设备。其中安全设备主要包括防火墙等。

专线互联区——主要指银行专线部分，包括网络设备、安全设备及接口前置机设备。其中安全设备主要包括防火墙等。

核心交换区——主要指系统核心网络交换机部分，此部分主要包括核心网络交换机及做内部安全域隔离的安全设备（防火墙）。

计算服务区——主要指各提供处理能力的生产组，包括组内各组设备。

运维管理区——主要指运维管理（管理平台）设备，包括堡垒机、漏洞扫描工具等。

根据以上安全域划分，各安全域主要安全策略如下表所示：

安全策略表

安全防护策略功能如下：

入侵检测技术：入侵检测系统主要是根据探测头从网络中实时采集的网络运行信息以及系统内置的特征模型进行比对和分析，从而发现可疑的网络活动并提出告警；

DDOS攻击防护技术：CC攻击为DDoS拒绝服务攻击针对主机应用层的常见攻击方式，由于本期工程需同外网对接，所以针对系统主机的CC攻击行为将会非常频繁，需要部署CC攻击防护系统来阻止DDoS的CC攻击事件发生；

防火墙技术：防火墙所实现的边界安全防护主要是通过对经由网络边界（通常是内部网和外部网之间的边界）的应用连接根据安全策略实施代理和过滤；

WAF防火墙：通过WAF提供网页应用安全防护，对4层以上攻击行为进行拦截；

网页防篡改：对用户站点的文件进行保护，对被新技术侵入篡改的页面文件，做到第一时间报警和恢复处理；

安全审计：安全审计为用户提供安全情况的综合性审计，可以针对用户的系统运维情况日志、病毒日志、入侵行为日志、防火墙日志、系统日志、性能日志等情况综合审计，使得用户可以对所用业务的安全情况一目了然；

数据库安全防护：数据库的保护应从数据库脆弱性、应用审计及安全防护等方面进行技术保护；

备份恢复：保障用户业务的连续性是业务安全保障的重中之重，特别是针对虚拟化环境中的虚拟主机及相关数据，应提供冗余备份机制，无论用户所用的虚拟主机系统还是用户数据，有任何技术故障、物理破坏都可以保障在最短时间进行恢复，从而保障用户业务的连续性。

[1]程学东，电信网网络安全评估指标体系研究，现代电信科技[期刊论文],2005(8)

[2]牛立成，电信网中业务网网络安全评估的模糊综合评价，计算机安全 [期刊论文] ，2012(6)

[3]郭曙光.刘建华,电信数据网安全域划分与评估范围, 网络安全技术与应用 [期刊论文], 2007(10)