安全方案

安全解決方案

1.理念與方法論

理念與方法論要緊關注如何將各種安全要素有效地配合來滿足安全需求。一個

解決方案中最核心的部分是解決方案所基于的理念與方法論，它好比解決方案的神經中

樞。專門是對那些看起來相似的安全需求，基于不同的理念與方法論會得到大相徑庭的

安全解決方案。

良好安全理念和方法論力圖挖掘和把握信息安全的本質規律，以便為客戶提供

可行的，易實施的安全解決方案。

2.需求獵取

客戶的安全需求是整個解決方案的起源和連續的推動力。沒有對客戶本身、客

戶的行業、客戶的業務、客戶系統的安全需求做詳細和準確的分析之前，不可能得到切

合實際的解決方案。

在需求分析過程中，會采納多種需求分析方法。比如，BDH方法，確實是從業務、

分布、層次等三個方向進行分解，同時考慮業務分解后的各要素之間的內在聯系，力求

完整而準確地獵取客戶的安全需求。

3.安全措施

安全措施是解決方案中具體的方法、技術、服務和產品等的集合，但又不是簡

單的堆砌。一個解決方案除了要有正確的安全理念和方法作為基礎，全面、清晰地把握

客戶安全需求之外，還要對可用的各種安全措施（產品與服務）的特點有準確的了解和

把握，深刻明白得各種措施之間的內在聯系，取長補短，充分發揮服務和產品的特性，

最終提供有效的實施方案。

4.安全實現

安全實現是解決方案的最后一步。所謂“行百里者半九十”，優秀的安全解決

方案必須通過完美地實現才能真正生效，滿足客戶的安全需求。

在努力完善理念和方法論的同時，要注重安全實現與執行。從項目治理、質量

保證等方面全面加強。

二、解決方案指導思路

三觀安全包括：微觀安全、宏觀安全和中觀安全。

三觀安全的一個典型模型確實是上圖的執行模型。上面的執行模型分為底層的

實現層，表達為安全部件，即安全產品和規范化的安全服務；中間的運營層，表達為關

于安全產品的集成治理和各種安全任務的流程治理；頂層的決策層，包括決策支持、殘

余風險確認，以及頂尖上的“使命”。

任何安全系統、安全項目、安全工作都要在三個層次表達和實現：都要上傳到

決策層，以確保決策層的支持和指導，同時能夠保證關于機構真正使命的支撐和達成；

都要下達到實現層，以確保所有問題都落實得專門具體，達成安全要求；而且還要通過

運營層，和諧、操縱、反饋、治理實現層的安全要素，已達成決策層的安全使命和決策。

從微觀到中觀是一個和諧治理的過程。從中觀到宏觀是一個總體監控的過程。

從宏觀到中觀是一個全局指導的過程，從中觀到微觀是一個操縱和配置的過程.

事實上，同一安全要素可能同時包括了微觀、中觀、宏觀三個層次的內容。例

如安全策略中，執行流程是微觀的內容，規范是中觀的內容，而安全策略的差不多方針

則是宏觀的內容。

三、電信運營商網絡安全需求分析

目前阻礙電信運營商的要緊安全事件要緊表現為：

全網爆發性的蠕蟲和病毒

關于全網的拒絕服務攻擊

關于支撐網和OA網的入侵

軟硬件設備的故障導致系統重大災難

從技術層面來看，運營商最關注的安全屬性能夠歸結為：

在設計電信運營商網絡安全系統的過程中，都充分考慮各項措施關于上面安全

目標屬性的直截了當和間接支撐。力圖將安全的能力側重在這些重要的點上。

同時，以后的安全建設也要連續考慮上面的目標屬性要求，而且還要不斷檢查

和改進上述判定。

四、電信運營商網絡總體安全監控解決方案

1、對IP骨干網進行全面流量監測，發覺專門流量和蠕蟲、拒絕服務等突發安

全事件

電信運營商IP骨干網絡總體分為IP公共服務骨干網和IP支撐服務骨干網，分

別承載IP公共服務業務系統和電信運營商的電信網絡運行愛護及營業服務支撐系統。

針對IP骨干網絡的高位流量監測一大特點是能夠比較容易的從宏觀的角度觀測到整個

網絡的整體狀況，IP、端口、協議等流量是反映骨干網整體狀況的最好也是最直截了當

的事件對象。自動化蠕蟲、惡意代碼等在爆發前需要做大量的探測，擴大其可利用傳染、

操縱途徑，特定的網絡流量時刻走勢和流量分布會發生明顯的變化，這是作為網絡流量

專門的典型特點。

在IP骨干網進行流量專門檢測，相當是在一個高位上建立宏觀監測的機制，其

監測分析結果就具有典型代表性。

啟明星辰最新推出天闐流量專門監測系統能夠對1G-16G的高速網絡進行全面的

流量監測。

天闐流量專門監測系統是三層分布式結構，由治理操縱中心、流量監測中心、

流量監測引擎（流量專門監測陣列引擎）組成。

通過流量檢測，描畫出連續的流量曲線，能夠發覺專門安全事件的突然爆發。

通過對定義關注的惡意流量特點，描畫出連續的事件流量分布曲線，能夠發覺

由于安全事件（專門是蠕蟲）發生帶來的附加流量等在網絡中分布變化趨勢。

基于滑動時刻窗置信區間的自學習專門發覺功能能夠通過對一個時刻窗（包括

系統默認時刻窗口，如：24小時自動滑動窗口模型，和用戶自定義滑動時刻窗口）內歷

史數據的自動學習，獵取包括總體網絡流量水平、流量波動、流量跳變等在內的多種網

絡流量測度，并自動建立當前流量的置信度區間作為流量專門監測的基礎，在實際運行

中不斷自我調整、靠近，最后自動剔除歷史時刻窗內的專門歷史數據，實現歷史時刻窗

數據與網絡實際正常流量行為特點的高度吻合，從而能夠提高對專門流量報警的準確

性。

因此，通過在骨干網絡層面對各種專門進行分析，就有可能在各種安全事件爆

發前，從事后到事前、從被動到主動、從預警到保證地建立安全事件反應機制。

關心用戶建立的正常流量模型，在第一時刻迅速發覺網絡流量的專門，并研究其

緣故，做出及時而準確的流量專門報警和安全響應；

關心用戶研究和發覺網絡攻擊和蠕蟲病毒的發生進展的規律，估量可能造成的

阻礙、發生的范疇，從而研究相應的防范計策。

2、建立全面的入侵檢測和漏洞掃描體系，及時發覺安全問題和建立預警、應急

措施

在整體的宏觀網絡安全中，依靠安全策略的指導行必要的系統防護有積極的意

義。然而，隨著技術的進展，網絡中新的安全事件和安全漏洞會不斷顯現，帶來新的安

全風險。

在攻擊與防備的較量中，監測（Detection）是處在一個核心的地位。在實時監

測中，入侵檢測和漏洞掃描系統是目前最為要緊的一個廣泛應用的技術和治理手段，用

來對網絡中的入侵事件的監測采集和安全漏洞的分布統計，以及時調整安全策略和修補

防護。

關于電信運營商來說，入侵檢測和漏洞掃描系統屬于跨地區的廣泛部署。因此

在治理上需要采取集中監測、分級部署的方式。各個點的入侵檢測系統和漏洞掃描通過

自帶的治理軟件進行配置和本地區的事件監測，同時將各地產生的事件上報，形成集中

的安全報告。

啟明星辰天闐入侵檢測與治理系統能夠統一治理入侵檢測和漏洞掃描系統，結

合地理信息顯示入侵事件的定位狀況，應用入侵和漏洞之間具有的對應關聯關系，給出

入侵威逼和資產脆弱性之間的風險分析結果，從而有效地治理安全事件并進行及時處理

和響應。

因此，通過建立全面的入侵檢測和漏洞掃描體系實施，將實現以下目標：

（1）建立全網統一策略的大規模入侵檢測體系

（2）建立全網網絡和應用系統漏洞掃描機制和漏洞掃描監測體系

（3）建立全網關于重大潛在攻擊和破壞源的預警體系

（4）逐步建立網絡應急響應體系

3、安全治理需要技術支撐治理平臺---安全監測平臺

安全治理從三個層面考慮：信息資產、安全相關設備和系統、安全監測平臺系

統。

信息資產指電信運營商的的IP骨干網絡及各承載業務平臺，包括服務器和工作

站、網絡設備、數據庫系統、各種應用業務系統等。

安全相關設備和系統包括為保證電信運營商各信息資產的安全，部署到各個網

絡、系統的防火墻、入侵檢測設備、防病毒系統、訪問操縱系統等。

安全監測平臺采取集中治理的方式，在更高的層面上接收來自安全相關設備或

者系統報送來的各種安全事件，同時也支持從信息資產直截了當采集其自身產生的各種

和安全有關的日志。在集中收集到各種安全事件的基礎上，安全治理中心負責對這些事

件進行深層的分析，統計和關聯，提供處理方法和建議。

啟明星辰安全監測平臺的解決方案，通過安全監測平臺的建設將安全體系進行

整合治理，采納范式化、聚并、過濾、關聯分析、聯動、可視化技術，將安全治理的要

緊工作信息化，為全局性的安全治理提供技術手段，提高安全治理、愛護的水平；優化

安全工作流程；提供預備判定安全事件緣故的技術手段；縮短安全事件處理的響應時刻

和處理時刻；保證業務網絡、支撐網絡、業務系統以及整個信息化系統的安全高效的運

行；有效支持客戶服務水平的提高。

啟明星辰安全監測平臺解決方案的功能體系架構如下圖所示：

啟明星辰安全監測平臺解決方案的特點：

全面支持電信運營商已部署的安全設備與系統

強大的安全事件集中收集和分析處理能力

構筑了基于信息資產和拓撲的風險治理體系

完善的安全事件響應治理能力

可適應多級不同的安全治理模式

良好的可擴展性

具備高容錯性和高可用性

靈活的可定制的客戶化的安全風險統計分析報告和強大的實時安全治理顯示系

統

五、配套的電信運行安全治理措施

1、加強安全域治理

安全域是指同一系統內有相同的安全愛護需求，相互信任，并具有相同的安全

訪問操縱和邊界操縱策略的子網或網絡，且相同的網絡安全域共享一樣的安全策略。

依照啟明星辰對運營商的了解和相關體會，認為：

電信運營商之間的競爭日趨猛烈，在業務上需要不斷創新。而隨著應用的不斷

進展，網絡結構越來越復雜。

清晰的安全域治理專門困難

規范的資產治理也難于實現

這些差不多上專門嚴峻的宏觀和中觀問題。通過加強安全域治理能夠比較有效

地解決那個問題。只是完全清晰的安全域治理也是專門復雜的問題，不是通過簡單的服

務和整理工作能夠完成的，必須有連續、有效和嚴格的安全域治理制度。

具體的安全域治理工作建議在修補加固過程中對網絡拓撲結構上的問題進行評

估和重大問題修補，其他的安全與防護工作都融入到防火墻和入侵檢測系統的建設中。

啟明星辰建議結合實際要求，對安全域治理單獨立項，同時還要建立安全與治

理制度。

2、加強安全治理和愛護團隊

依照啟明星辰關于運營商的了解和相關體會，認為：

缺乏全面安全治理制度，而且關于治理制度沒有足夠手段落實。

對自身安全狀態和外部威逼狀況還不夠了解，難于做到全局的可控。

安全系統的運行愛護專門難充分發揮作用，缺少合格的安全運行愛護人員。

解決這些宏觀和中觀的重大問題，需要長期的、連續不斷的安全建設，專門是

安全運維服務和定期風險評估工作制度的建立。

六、啟明星辰能夠發揮的作用

啟明星辰倡導的安全理念和方法論力圖挖掘和把握信息安全的本質規律，針對

不同行業、不同規模、不同時期的各種客戶和系統，應用不同的需求分析方法深入挖掘

客戶需求，最終得到令客戶中意的解決方案。

啟明星辰不僅提供國際一流的安全產品與專業安全服務，而且把握各種主流的

安全措施，依照被廣泛認可和同意的安全模型，遵循相關安全標準，深入分析各種安全

措施之間的內在聯系，靈活運用，提出了三觀安全體系VISAF-TVS與安全保證功能要素

模型VISAF-FEM相結合的安全措施框架體系。

啟明星辰擁有國際一流的實施隊伍與專業的安全咨詢顧問，在安全解決方案的

實施中提供基于全程高效溝通的工程質量保證，能夠關心客戶把完美的安全藍圖變成現

實。