3G移動(dòng)互聯(lián)網(wǎng)時(shí)代之安全挑戰(zhàn)與應(yīng)對(duì)策略
盧煜 2011/05/23
當(dāng)下，國(guó)內(nèi)3G建設(shè)接近尾聲。在三大運(yùn)營(yíng)商的聯(lián)合推動(dòng)下，移動(dòng)互聯(lián)網(wǎng)已經(jīng)逐漸滲透到人們的日常生活中。時(shí)尚一族的手機(jī)，除了基本的通話、短信、游戲之外，高速度的互聯(lián)網(wǎng)沖浪、在線視頻點(diǎn)播等，早已不是什么新鮮事物。但是無(wú)線通信技術(shù)和互聯(lián)網(wǎng)的結(jié)合，在更加豐富了人們溝通、娛樂(lè)體驗(yàn)的同時(shí)，垃圾短信、手機(jī)病毒、無(wú)端死機(jī)等一系列問(wèn)題，也讓消費(fèi)者頭疼不已。隨著移動(dòng)互聯(lián)網(wǎng)的大規(guī)模商用，安全問(wèn)題迅速凸顯，并成為必須要面對(duì)的難題之一。
網(wǎng)絡(luò)演進(jìn) 危機(jī)暗藏
移動(dòng)互聯(lián)網(wǎng)出現(xiàn)至今，其演進(jìn)過(guò)程總共經(jīng)歷了三個(gè)階段：從最初的模擬無(wú)線通信到GSM無(wú)線通信再到3G無(wú)線通信，今天，我們已經(jīng)進(jìn)入3G移動(dòng)互聯(lián)網(wǎng)時(shí)代。而移動(dòng)互聯(lián)網(wǎng)在演進(jìn)過(guò)程中伴隨如下特征。
網(wǎng)絡(luò)“ALL IP”
在2008年10月中國(guó)（北京）國(guó)際信息通信展上，華為、中興通訊、愛(ài)立信、上海貝爾和諾基亞西門子通信無(wú)一例外地展示了ALL-IP網(wǎng)絡(luò)解決方案。移動(dòng)互聯(lián)網(wǎng)從最初2G網(wǎng)絡(luò)的核心網(wǎng)IP化，到今天3G接入網(wǎng)、核心網(wǎng)以及內(nèi)容網(wǎng)絡(luò)的端到端IP化過(guò)程中，都在試圖成立移動(dòng)互聯(lián)網(wǎng)的ALL-IP標(biāo)準(zhǔn)，移動(dòng)互聯(lián)網(wǎng)全部IP化是最終的目標(biāo)。
移動(dòng)互聯(lián)網(wǎng)IP化后，出現(xiàn)了很多優(yōu)點(diǎn)，它提高了業(yè)務(wù)的豐富性、組網(wǎng)靈活性、系統(tǒng)的高擴(kuò)展性以及業(yè)務(wù)和網(wǎng)絡(luò)的可管理性等，但是IP化也帶來(lái)一個(gè)很大的問(wèn)題，就是它把基于IP的互聯(lián)網(wǎng)存在的安全威脅，全部引入到了移動(dòng)互聯(lián)網(wǎng)中來(lái)。比如從前只在固網(wǎng)出現(xiàn)的DDoS攻擊、蠕蟲(chóng)病毒、惡意網(wǎng)頁(yè)推送等，如今在我們的移動(dòng)互聯(lián)網(wǎng)中也屢見(jiàn)不鮮。
終端“智能化”
單從手機(jī)看，無(wú)論是引領(lǐng)時(shí)尚潮流的“洋品牌”iPhone、黑霉，還是攻城掠地集萬(wàn)千功能于一身的“國(guó)產(chǎn)貨”山寨機(jī)，提供的功能真可謂“應(yīng)有盡有，無(wú)所不有”。之前，我們只能在計(jì)算機(jī)上完成的功能，現(xiàn)在智能終端幾乎都可以完成了。移動(dòng)終端在實(shí)現(xiàn)智能化以后，會(huì)出現(xiàn)與我們的計(jì)算機(jī)終端一樣的安全威脅。針對(duì)無(wú)線終端的攻擊除了傳統(tǒng)的攻擊手段之外，也有其自身的特殊性。如針對(duì)手機(jī)操作系統(tǒng)的病毒攻擊，針對(duì)無(wú)線業(yè)務(wù)的木馬攻擊、惡意廣播的垃圾電話、基于彩信應(yīng)用的蠕蟲(chóng)、手機(jī)信息盜用等。
同時(shí)，在智能終端沖擊下，業(yè)務(wù)的管道化問(wèn)題也需要特別重視。當(dāng)手機(jī)智能化之后，在線視頻點(diǎn)播、P2P下載等數(shù)據(jù)業(yè)務(wù)會(huì)像在固網(wǎng)中一樣迅速膨脹，如果在移動(dòng)互聯(lián)網(wǎng)中提供數(shù)據(jù)管道，那好比一個(gè)高速公路一樣，它不管進(jìn)出的車輛是小車還是卡車，它只管按車的數(shù)量收費(fèi)，而不是按車的大小收費(fèi)。
比如，谷歌在2008年推出的手機(jī)地圖業(yè)務(wù)，用戶可以通過(guò)手機(jī)客戶端軟件，通過(guò)無(wú)線網(wǎng)絡(luò)，實(shí)時(shí)下載谷歌內(nèi)容服務(wù)器上的地圖內(nèi)容，在這類業(yè)務(wù)流量非常大的情況下，會(huì)給用戶造成費(fèi)用壓力，也會(huì)造成運(yùn)營(yíng)商計(jì)費(fèi)的壓力。如果運(yùn)營(yíng)商不能針對(duì)性地提供業(yè)務(wù)來(lái)滿足不同用戶的業(yè)務(wù)需求，那么最終將導(dǎo)致業(yè)務(wù)收入的流失。
帶寬趨“百兆”
3G標(biāo)準(zhǔn)規(guī)定提供超過(guò)1M的接入帶寬，未來(lái)可以提供幾十兆甚至百兆的接入帶寬。如此一來(lái)，首先是會(huì)對(duì)移動(dòng)互聯(lián)網(wǎng)上現(xiàn)存的安全設(shè)備性能提出挑戰(zhàn)。第二點(diǎn)，伴隨著接入帶寬的提高，用戶會(huì)把無(wú)線上網(wǎng)卡插到計(jì)算機(jī)上去，體驗(yàn)無(wú)線網(wǎng)絡(luò)，這樣會(huì)把計(jì)算機(jī)的安全威脅引入到無(wú)線網(wǎng)絡(luò)中，一旦終端受到了安全威脅，比如成為僵尸主機(jī)，那無(wú)線網(wǎng)絡(luò)受到的攻擊跟固網(wǎng)是一樣的。同時(shí)，無(wú)線資源對(duì)用戶數(shù)是有限制的，并且數(shù)據(jù)用戶的多少會(huì)影響語(yǔ)音業(yè)務(wù)的體驗(yàn)。如果惡意用戶頻繁地去攻擊別人，或者是用一些垃圾流量去訪問(wèn)別人，則會(huì)極大地占用無(wú)線資源。另外產(chǎn)生的一個(gè)問(wèn)題就是計(jì)費(fèi)問(wèn)題，惡意的攻擊流量和垃圾流量也會(huì)導(dǎo)致用戶的計(jì)費(fèi)信息增加，導(dǎo)致了用戶費(fèi)用提升和滿意度下降。
總之，移動(dòng)互聯(lián)網(wǎng)的發(fā)展帶來(lái)的安全問(wèn)題很多：移動(dòng)互聯(lián)網(wǎng)的ALL-IP化引入了IP互聯(lián)網(wǎng)的所有安全威脅；終端的智能化凸顯了管道化的業(yè)務(wù)安全問(wèn)題；接入帶寬的提升加劇了有效資源的惡意利用。
安全策略多層面部署
2009年8月，工業(yè)和信息化部發(fā)布了《通信網(wǎng)絡(luò)安全防護(hù)監(jiān)督管理辦法(征求意見(jiàn)稿)》，征求意見(jiàn)稿提出，通信網(wǎng)絡(luò)運(yùn)行單位規(guī)劃、設(shè)計(jì)、新建、改建通信網(wǎng)絡(luò)工程項(xiàng)目，應(yīng)當(dāng)同步規(guī)劃、設(shè)計(jì)、建設(shè)滿足通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)要求的通信網(wǎng)絡(luò)安全保障設(shè)施，并與主體工程同時(shí)進(jìn)行驗(yàn)收和投入運(yùn)行。已經(jīng)投入運(yùn)行的通信網(wǎng)絡(luò)安全保障設(shè)施沒(méi)有滿足通信網(wǎng)絡(luò)安全防護(hù)標(biāo)準(zhǔn)要求的，通信網(wǎng)絡(luò)運(yùn)行單位應(yīng)當(dāng)進(jìn)行改建。
客戶需求和政策導(dǎo)向成為了移動(dòng)互聯(lián)網(wǎng)安全問(wèn)題的新挑戰(zhàn)，運(yùn)營(yíng)商需要緊緊圍繞“業(yè)務(wù)”中心，全方位多層次部署安全策略，并針對(duì)性地進(jìn)行安全加固，才能打造出綠色、安全、和諧的移動(dòng)互聯(lián)網(wǎng)世界（如圖1）。
設(shè)備層安全加固
設(shè)備層安全，主要指對(duì)承載業(yè)務(wù)的設(shè)備進(jìn)行安全加固。目前移動(dòng)互聯(lián)網(wǎng)的設(shè)備層主要可以分為：網(wǎng)元設(shè)備、操作系統(tǒng)、數(shù)據(jù)庫(kù)等幾部分。網(wǎng)元設(shè)備主要是指移動(dòng)互聯(lián)網(wǎng)中的路由器、交換機(jī)、防火墻以及一些內(nèi)容層設(shè)備，針對(duì)這些設(shè)備的自身安全，可以進(jìn)行4A設(shè)置、ACL保護(hù)、廣播抑制等加固準(zhǔn)則。操作系統(tǒng)的安全加固，主要通過(guò)最小化安裝、補(bǔ)丁管理 、安裝防病毒軟件等策略。在數(shù)據(jù)庫(kù)安全方面，目前更多是從數(shù)據(jù)可靠性來(lái)考慮，通過(guò)制定一系列安全備份原則，來(lái)保障數(shù)控庫(kù)的安全備份。
網(wǎng)絡(luò)層安全對(duì)策
應(yīng)對(duì)網(wǎng)絡(luò)層的安全威脅，首先分析移動(dòng)互聯(lián)網(wǎng)不同接口及不同的網(wǎng)絡(luò)層面存在的安全威脅，然后按照安全域劃分理論對(duì)移動(dòng)互聯(lián)網(wǎng)劃分不同的安全域。
安全域主要根據(jù)風(fēng)險(xiǎn)級(jí)別和業(yè)務(wù)差異進(jìn)行劃分，將同一網(wǎng)絡(luò)安全層次內(nèi)服務(wù)器之間的連接控制在區(qū)域內(nèi)部。根據(jù)劃分原則，無(wú)線網(wǎng)絡(luò)的安全區(qū)域可分為Gi域、Gp域、Gn域、Om域、Ga域、計(jì)費(fèi)中心接口域等, 在不同的安全邊界，通過(guò)實(shí)施和部署不同的安全策略和設(shè)備來(lái)完成邊界的安全防護(hù)，最后進(jìn)行相應(yīng)的安全加固。
在網(wǎng)絡(luò)層的安全加固過(guò)程中，需要注意的是不能因?yàn)榘踩踩�，因�(yàn)榘踩珱](méi)有最完美的情況，運(yùn)營(yíng)商的網(wǎng)絡(luò)是以收入為中心的網(wǎng)絡(luò)，所以安全實(shí)施也一定要基于業(yè)務(wù)可存活為基礎(chǔ)進(jìn)行實(shí)施。
業(yè)務(wù)層安全策略
在業(yè)務(wù)安全問(wèn)題上，需要重視以下三方面的問(wèn)題：一是業(yè)務(wù)如何實(shí)現(xiàn)可視化，二是解決業(yè)務(wù)管道化問(wèn)題，三是如何進(jìn)行非法業(yè)務(wù)的有效管控。
相應(yīng)的安全策略有：首先，在網(wǎng)絡(luò)當(dāng)中，考慮對(duì)DPI系統(tǒng)的引進(jìn)。安全問(wèn)題一般在網(wǎng)絡(luò)層上分析，因?yàn)樵趹?yīng)用層上很難看清楚。通過(guò)DPI系統(tǒng)則很好地把網(wǎng)絡(luò)流量可視化，能夠看清網(wǎng)絡(luò)中的業(yè)務(wù)流量和非法業(yè)務(wù)流量，通過(guò)細(xì)分流量和業(yè)務(wù)，可以有針對(duì)性地去開(kāi)展業(yè)務(wù)，或屏蔽一些非法的業(yè)務(wù)，從而提升用戶的業(yè)務(wù)體驗(yàn)。
在業(yè)務(wù)管道化以及對(duì)非法業(yè)務(wù)管控問(wèn)題上，首先要對(duì)不同的流量進(jìn)行區(qū)分，對(duì)于異常流量，比如手機(jī)僵尸網(wǎng)絡(luò)、手機(jī)病毒、手機(jī)垃圾彩信、垃圾郵件等，這些流量必須進(jìn)行一定管控和清洗。而對(duì)于用戶常用的業(yè)務(wù)流量，則需要提升其體驗(yàn)，可以通過(guò)細(xì)分業(yè)務(wù)來(lái)提供定制化套餐，例如QQ上網(wǎng)套餐、谷歌手機(jī)地圖套餐，甚至在線電視套餐等，通過(guò)基于業(yè)務(wù)、用戶、帶寬三個(gè)維度的包月業(yè)務(wù)模式，可以大大提升用戶對(duì)業(yè)務(wù)的體驗(yàn)，以及加大用戶對(duì)業(yè)務(wù)的依賴，并且還可以提升增值業(yè)務(wù)的收入。
此外，對(duì)于影響業(yè)務(wù)利益以及業(yè)務(wù)濫用的一些業(yè)務(wù)，需要進(jìn)行一定的管控。對(duì)于運(yùn)營(yíng)商而言，跟自營(yíng)業(yè)務(wù)利益沖突的業(yè)務(wù)均可以列為管控業(yè)務(wù)的范疇。
管理層面安全對(duì)策
無(wú)線業(yè)務(wù)網(wǎng)絡(luò)通常在管理上都是采用帶外管理，但是帶外管理同樣也會(huì)引入安全威脅。管理層面的安全威脅點(diǎn)主要是非授權(quán)訪問(wèn)、網(wǎng)絡(luò)層攻擊、管理信息泄漏/篡改等，相應(yīng)的對(duì)策如圖2。
需要補(bǔ)充的是，很多本地網(wǎng)的業(yè)務(wù)系統(tǒng)MSC、MGW等，目前基本上都是通過(guò)DCN實(shí)現(xiàn)網(wǎng)管的，對(duì)于業(yè)務(wù)系統(tǒng)而言，DCN網(wǎng)絡(luò)及網(wǎng)管終端是不可信的，但是很多本地網(wǎng)在DCN和業(yè)務(wù)系統(tǒng)之間沒(méi)有進(jìn)行安全手段隔離和加固，這是非常大的安全隱患，如果網(wǎng)管終端把安全威脅引入到業(yè)務(wù)系統(tǒng)，后果不堪設(shè)想，所以在進(jìn)行管理安全分析時(shí)，一定要考慮業(yè)務(wù)系統(tǒng)和網(wǎng)管網(wǎng)絡(luò)的邊界隔離問(wèn)題，在不可信區(qū)域邊界一定實(shí)施相應(yīng)的安全隔離手段。
技術(shù)與安全意識(shí)缺一不可
凡事預(yù)則立，不預(yù)則廢。移動(dòng)互聯(lián)網(wǎng)的安全防護(hù)，既需要吸取在固網(wǎng)安全上成熟的成功經(jīng)驗(yàn)，又應(yīng)當(dāng)考慮其自身特點(diǎn)。在大規(guī)模商用之初，統(tǒng)籌安排、靈活部署將為后續(xù)的業(yè)務(wù)發(fā)展打下良好的根基。此外，我們也應(yīng)該看到，安全問(wèn)題是無(wú)時(shí)不在、無(wú)處不在，技術(shù)手段只能被動(dòng)防御。在此基礎(chǔ)上，只有提高網(wǎng)絡(luò)建設(shè)者和消費(fèi)者的安全防護(hù)意識(shí)，做到技術(shù)和安全意識(shí)相結(jié)合，才能讓移動(dòng)互聯(lián)網(wǎng)安全、平穩(wěn)地長(zhǎng)期發(fā)展下去。
通信世界周刊
相關(guān)閱讀: