1、关于电信网络安全问题分析- 郑洪伟随着电信运营商网络的不断扩大、用户量不断增加。网络安全和用户管控问题越来越受大家关注。网络 IP 化的成熟程度直接决定了互联网和移动宽带的性能和稳定性。一、目前，网络安全问题主要体现：1. 网络设备受到各种 DDOS(分 布 式 拒 绝 服 务 攻 击 )攻击、试图非法登陆等情况。2. 网络设备管理和防止数据外泄及篡改方面。3. 各种僵尸网络、木马成为新的技术威胁手段。4. 无法对用户端不合法的上网行为进行管控。用户端存在“一拖 N”情况，无法进行控制，浪费了大量的城域网带宽资源。5. 缺少网络集中的日志存放和分析审计系统。二、全省城域网安全问题可以分几个层面
2、做安全防护:1、是网络本身，我们可以通过安全域的划分使网络的结构趋于合理，安全域趋于合理；2、设备本身， （1）核心交换设备对安全性能的要求包括： 采用无阻塞交换设备； 采用逐包转发、分布处理、Wred(拥塞控制)等 QoS(服务质量)技术 ，避免流 Cache（缓冲存储器）模型造成系 统崩溃； 节点关键设备 冗余备份，系统出现软硬件故障时，可迅速切换到备用模块； 网 络设备采用多极安全密 码体系，限制非法设备和用户登录； 实现路由认证，保证路由协议安全； 支持 SNMP V3(简单网络协议)，安全网管； 流量监控。 （2）城域网汇聚层设备安全 汇聚层负责汇集分散的接入点进行数据交 换，提供流
3、量控制和用户管理（用户识别、授权、认证、计费）功能，作为城域网的业务提供层面，是可运营、可管理城域网最重要的组成部分。汇聚层设备是用户管理的基本设备，也是保证城域网承载网和业务安全的基本屏障，更是保障城域网安全性能的关键。 汇聚层设备的安全特性主要体现在以下几点： 用户接入网 络的安全控制，包括加强口令、密码、智能卡等访问控制手段； 保证接入侧用户相互隔离，保证接入的安全性，防止 IP地址被盗用或仿冒，防止用户间的相互攻击； IP 地址与 MAC 地址、卡号绑定，能够准确定位用户，包括端口或 MAC 地址，并可提供追查恶意用户的手段； 支持限制用户端口最大接入 IP 地址数、PPP( 点对点通
4、讯协定)会话 数、TCP(传输控制协议)/UDP(用户数据报协议)连接数，有效防止 DDOS 类的攻击； 支持访问 控制列表（ACL），包括在虚拟路由器中创建ACL 列表、采用多种过滤规则提供多层次对目标网络的保护，以及禁止部分用户访问或有选择地屏蔽网络服务； 可实现对用户带宽的控制 CAR（承诺访问速率）； 安全日志管理。 从长远看，BRAS（宽带远程接入服务 器）产品也必须考虑用户的安全防护措施。如何提供病毒防治、集中安全管理和升级等手段，将成为提高通信网络安全的关键。 （3）城域网接入层设备 安全 通过各种接入技术和线路资源实现用 户覆盖，提供多业务用户的接入，并配合完成用户流量的控制功
5、能，包括xDSL、LAN（局域网）和 WLAN（无线局域网）等接入方式。 设备采用的安全手段包括： 用户隔离； 控制用户流量带宽。 城域网非信任域设备的安全保障措施是从城域网分层模型出发， 实现层层防御，增强网络抗攻击性的能力。 三、是网络安全体系的建设，通过防火墙、IDS(入 侵 检 测 系 统 )、IPS(入 侵 防 御 系 统 )、异常流量分析和响应系统等建立安全体系提供基础防护手段；四、需要建立统一的网络安全故障管理平台，对实时性网络安全事件、网络基础故障（如光缆、设备、数据等）进行通告。不但，有利于对在故障处理期间的用户通知解释工作。而且对整个事件、故障处理过程的进行全程的了解。并能对事件或故障进行总结学习。网络安全是一项非常艰巨和持久的任务。对网络安全问题必须通盘考虑，进行体系化的整体安全设计和实施。既要充分考虑网络的安全性能，考虑设备防攻击的健壮性，有效实施设备相关安全特性，又要结合专用的安全产品，采取分域、多层安全保护措施。既要考虑设备安全和技术的因素，又要重视网络安全人员在网络安全方面所起决定性的作用。 宽带城域网的建设和运营必须全面建立全面的安全防 护体系，才能向用户提供一个安全、高速、易用、智能化的网络，保证电信网络的正常运营。
