中国电信4A业务.docx
《中国电信4A业务.docx》由会员分享，可在线阅读，更多相关《中国电信4A业务.docx（77页珍藏版）》请在冰豆网上搜索。
中国电信4A业务
2005-12-28实施
2005-12-28发布
中国电信通信有限公司发布
中国电信通信企业标准
QB-J-003-2005
中国电信业务支撑网安全域划分和边界整合技术要求
TechnicalRequirementsonSecurityDomainsandPerimeterConsolidation
版本号：
1.01
目录
1范围1
2引用标准1
3术语和定义2
4符号与缩略语2
5综述4
5.1背景4
5.2现状分析5
5.3目标6
6总体原则7
6.1等级保护原则7
6.2对端可信度原则7
6.3安全最大化原则7
6.4分步实施原则8
6.5基于业务支撑系统体系结构8
6.6基于管理模式9
6.7可扩展性原则9
7安全域划分10
7.1核心域11
7.2接入域12
7.2.1互联网接口子域12
7.2.2外部接口子域13
7.2.3内部接口子域13
7.2.4终端接入子域14
8边界整合15
8.1边界定义15
8.2互联网接口子域边界整合16
8.2.1边界描述16
8.3外部接口子域17
8.3.1边界描述17
8.3.2安全威胁18
8.4内部接口子域18
8.4.1边界划分18
8.4.2安全威胁19
8.5核心域内部的边界整合19
8.5.1边界划分19
8.5.2安全威胁20
8.6关于终端21
9安全域防护21
9.1安全域等级划分和边界防护原则21
9.1.1安全域等级划分21
9.1.2安全域边界防护原则21
9.2安全域等级间边界防护策略23
9.2.1核心域边界防护策略23
9.2.2接入域边界防护策略24
9.3安全域等级内边界防护策略25
9.3.1核心域子域间边界防护25
9.3.2互联网接口子域26
9.3.3外部接口子域29
9.3.4内部接口子域30
9.4终端接入子域防护策略32
9.4.1生产维护终端接入防护32
9.4.2业务终端接入防护33
9.4.3办公终端接入防护33
9.4.4远程终端接入防护34
9.4.5厂家开发测试终端接入防护34
9.4.6渠道营销合作伙伴终端接入防护34
10实施建议35
10.1指导思想35
10.2工作内容36
10.3风险规避37
10.4分阶段实施建议38
11附录一安全域现状描述39
11.1核心域39
11.1.1BOSS系统子域与经营分析系统子域之间接口39
11.1.2核心域内不同子域与开发/测试系统之间接口40
11.1.3BOSS系统子域与客服系统子域之间接口41
11.1.4业务支撑网网管子域与核心域其他子域之间接口42
11.2接入域43
11.2.1互联网接口子域44
11.2.2外部接口子域50
11.2.3内部接口子域54
11.2.4终端接入子域64
附图目录
附图1.业务支撑系统网络现状示意图5
附图2.业务支撑网体系结构图8
附图3.业务支撑系统安全域划分示意图10
附图4.核心域划分示意图11
附图5.接入域划分示意图12
附图6.边界整合总图15
附图7.互联网接口子域示意图16
附图8.外部接口子域示意图17
附图9.内部接口子域接口示意图19
附图10.核心域各子域示意图20
附图11.核心域安全防护示意图25
附图12.互联网接口子域安全防护策略示意图27
附图13.外部接口子域安全防护策略示意图29
附图14.内部接口子域安全防护策略示意图31
附图15.BOSS子域与经分子域接口示意图40
附图16.BOSS子域与开发测试接口示意图41
附图17.BOSS子域与客服子系统接口示意图42
附图18.BOSS网管子域和核心域其他子域间接口示意图43
附图19.网上营业厅接口示意图44
附图20.渠道/代销接口示意图45
附图21.DSMP（CMENT方式）接口示意图47
附图22.远程接入接口示意图48
附图23.短信网关接口示意图49
附图24.语音信箱平台接口示意图50
附图25.银行/邮储接口示意图51
附图26.合作伙伴/SP/第三方接口示意图52
附图27.与其它运营商接口示意图53
附图28.一级业务支撑系统接口示意图54
附图29.信息化系统接口示意图55
附图30.通信网网管接口示意图56
附图31.核心网网元接口示意图58
附图32.HLR/AUC接口示意图59
附图33.智能网接口示意图60
附图34.短信中心接口示意图61
附图35.DSMP（DCN方式）接口示意图62
附图36.充值卡平台接口示意图63
附图37.生产终端接口示意图64
附图38.业务操作终端接口示意图65
附图39.厂家开发测试终端接口示意图66
附图40.远程接入终端接口示意图67
附图41.渠道营销/合作伙伴终端接入示意图68
前言
本规范主要根据业务支撑网的现状、以及面临的网络安全威胁分析，提出业务支撑网安全域划分的必要性并提出划分原则，并结合业务支撑网的现状提出对网络结构的调整要求，以及边界整合要求。
在此基础上，结合威胁等级和保护等级，确定了各安全域边界保护的原则。
另外，本规范还提出了业务支撑网安全域划分和边界整合技术要求的实施建议。
安全域划分包括物理环境、人员组织、管理、技术各个层面，本要求重点针对安全域划分的技术层面。
本标准由中国电信通信集团公司业务支撑系统部提出并归口。
本标准起草单位：
中国电信通信集团公司业务支撑系统部
本标准主要起草人：
田峰、王立强
本标准解释单位：
中国电信通信集团公司业务支撑系统部。
范围
本标准对中国电信业务支撑网的安全域划分、边界整合以及采用的防护原则、安全策略进行了规范，适用于各省移动通信有限责任公司业务支撑系统的安全建设。
在业务支撑网体系结构发生重大变更情况下，由集团公司计费业务中心对本规范进行相应修订。
引用标准
（1）《中国电信业务运营支撑系统（BOSS）业务规范（1.5版）》，中国电信通信集团公司计费业务中心。
（2）《中国电信业务运营支撑系统（BOSS）业务规范（1.5版）接口分册》，中国电信通信集团公司计费业务中心。
（3）《关于加强信息安全保障工作的意见》，国家信息化领导小组，中办发[2003]27号。
（4）公安部、保密局、机要局、国务院信息办联合下发的《关于信息安全等级保护工作的实施意见》（公通字【2004】66号文）。
（5）国务院信息办信息安全风险评估课题组编制的《信息安全风险评估研究报告》。
（6）美国国家标准和技术研究所（NIST，NationalInstituteofStandardsandTechnology）制订的SP800系列文档：
《IT系统安全自评估指南》、《IT系统风险管理指南》、《联邦IT系统安全认证和认可指南》、《信息系统安全规划指南》等。
http:
//csrc.ncsl.nist.gov/publications/nistpubs/。
（7）美国国家安全局，信息保障技术框架IATF（InformationAssuranceTechnicalFramework），V3.1版。
网址：
。
（8）公安部GA/T387-391-2002系列标准，计算机信息系统安全等级保护操作系统技术要求、管理要求、通用技术要求、网络技术要求、数据库管理系统技术要求
（9）中国电信通信有限公司提供的相关资料。
（10）国家质量技术监督局发布的《计算机信息系统安全保护等级划分准则》（GB17859号文）。
术语和定义
A
安全域
网络中具有相同的安全保护需求、并相互信任的区域或网络实体的集合。
一个安全域内可进一步被划分为安全子域。
本规范简称域。
F
非中国电信计算机系统
不由中国电信建设和管理的计算机系统，包括银行、邮储、SP、合作伙伴等。
H
核心网
承载于传送网之上，为业务网络提供承载的网络。
I
IT支撑系统
为支持公司运营、管理的IT系统的总称，包括网管系统、业务支撑系统和企业信息化系统。
J
计费数据源
指为BOSS系统提供服务使用记录的各类外部系统，如交换机和各类网关等。
S
SOCKET
除了标准TCP/IP协议族外的非标准IP端口。
Y
业务网
承载与核心网之上，提供业务、业务接入和业务管理的网络。
Y
业务支撑网
由集团公司和省公司两级架构构成，每级由BOSS、经营分析和BOSS网管三大支撑体系构成。
Y
一级业务支撑系统
一级业务支撑系统为集团公司进行全网业务管理和业务运营提供支撑和保障，实现全网信息的交换和管理，具有管理、实体和枢纽功能。
Z
中国电信内部网络
本册内包含DCN、网管网和企业信息化网。
符号与缩略语
缩写
英文描述
中文描述
AUC
AuthenticationCentre
鉴权中心，是HLR的一个功能单元
BOSS
Business&OperationSupportSystem
业务运营支撑系统
CA
CertificateAuthority
证书机构
CGF
ChargingGatewayFunctionality
计费网关功能体
CMNet
ChinaMobileNet
中国电信互联网
DCN
DataCommunicationNetwork
数据通信网
DSMP
DataServiceManagementPlatform
数据业务管理平台
DMZ
DeMilitarizedZone
非军事化区
EIR
EquipmentIdentityRegister
设备标志寄存器，用于移动台设备的合法性鉴权
GPRS
GeneralPacketRadioService
通用无线分组业务
GSM
GlobalSystemforMobilecommunications
全球移动通信系统
HLR
HomeLocationRegister
归属位置寄存器
HTTP
HyperTextTransferProtocol
超文本传输协议
IDS
IntrusionDetectionSystem
入侵检测系统
IPSec
InternetProtocolSecurity
互联网协议安全
ISMG
InternetShortMessageGateway
互联网短消息网关
MDCN
MobileDataCommunicationNetwork
移动数据通信网
MIB
ManageInformation
MIS
ManagementInformationSystem
管理信息系统
MISC
MobileInformationServiceCenter
移动信息服务中心
MMSC
MultimediaMessagingServiceCenter
多媒体消息中心
MSC
MobileSwitchCenter
移动业务交换中心
OA
OfficeAutomation
办公自动化
RADIUS
RemoteAuthenticationDial-InUserService
本分册指中国电信的RADIUS系统。
SCP
ServiceControlPoint
智能网业务控制点
SMC
ShortMessageCenter
短消息（短信）中心
SMP
ServiceManagementPoint
智能网业务管理点
SMG
ShortMessageGateWay
短信网关
SOCKET
SP
ServiceProvider
服务提供商
WAP
WirelessApplicationProtocol
无线应用协议
VPN
VirtualPrivateNetwork
虚拟专用网
VLAN
VirtualLocalAreaNetwork
虚拟局域网
综述
4A是安全工作的基础。
所谓安全域（SecurityDomain），是指网络中具有相同的安全保护需求、并相互信任的区域或网络实体的集合。
一个安全域可划分为若干安全子域，安全子域也可继续依次细化为次级安全域、三级安全域等。
安全域的划分，就是从安全角度将系统划分成不同的区域，以便实行分门别类的防护。
安全域划分原则明确以后，根据等级保护的要求，确定各安全域的保护等级，并部署相应的安全手段，其中边界整合与安全防护是关注的重点。
中国电信业务支撑网目前确实存在一些边界不清、连接混乱的问题，因此边界整合有着现实的意义，边界整合能够从业务视角有效地整合系统对外的接口，提高网络和信息的安全性。
背景
2003年年底，国家信息化领导小组下发了“关于加强信息安全保障工作的意见”（中办发[2003]27号），文件把网络与信息安全工作提高为国家安全的重要组成部分，明确了加强信息安全保障工作的总体要求，即：
“坚持积极防御、综合防范的方针，全面提高信息安全防护能力，重点保障基础信息网络和重要信息系统安全，创建安全健康的网络环境，保障和促进信息化发展，保护公众利益，维护国家安全”。
文件要求正确处理安全与发展的关系，统筹规划，突出重点，强化基础性工作，通过实行信息安全等级保护实现这一目的。
在此背景下，提出中国电信业务支撑网的安全域划分，界定业务支撑系统的安全等级和保护级别，根据不同的保护等级，从网络、主机、应用系统不同层面逐步建设由安全基础设施（如防火墙、入侵检测、防病毒、账号管理等）构成的多层立体防护体系，提高对网络攻击、病毒入侵、网络泄密的防范能力，防止有害信息传播，保证业支撑系统的安全运行。
现状分析
中国电信业务支撑网建设遵循集团公司和省移动公司两级架构的原则，BOSS系统、经营分析系统、业务支撑网网管系统共同构成了中国电信业务支撑网。
附图1.业务支撑系统网络现状示意图
由于业务支撑系统的功能不断增强，其复杂程度在不断提高。
业务支撑网与外部各系统数据互访的需求也不断增长，主要包含了如下业务类型的网络连接：
（1）省公司业务支撑系统与集团公司业务支撑系统的连接；
（2）省业务支撑系统内部各业务系统的连接；
（3）地市营业厅与省业务支撑系统的连接；
（4）渠道合作营业厅通过专线、VPN、拨号方式与业务支撑系统的连接；
（5）合作伙伴（银行、SP、集成开发商）通过专线、拨号方式与业务支撑系统的连接；例如与银行的连接主要实现用户代收费的功能；与SP的连接主要实现业务的访问和对帐的需求；与集成开发商的连接是为了系统维护的需要。
（5）业务支撑系统与互联网的连接；例如网上营业厅基于Web方式为移动用户提供网上服务；
（6）其他移动内部系统（网管系统、企业信息化系统）通过MDCN与业务支撑系统的连接；
业务支撑系统作为中国电信的内部核心业务系统，一方面临数据中心受灾、经营数据泄漏等影响较大的威胁；另一方面面临蠕虫等扩散导致网络拥塞、系统误操作导致数据破坏或应用中断等可能性较高的威胁。
分析目前业务支撑网的现状，主要存在以下这些安全问题：
（1）组网方式以业务承载分布考虑为主，部分系统直接连到MDCN骨干网上，网络边界不够清晰，对网络安全域缺乏统一规划，没有对核心业务系统的访问进行很好的控制；各接入系统之间没有进行明确的访问控制，网络之间彼此可以互相访问，接入系统中的安全问题极易扩散到业务支撑系统。
（2）对终端接入的控制较弱，没有按照终端标准化来严格管理接入业务支撑系统的终端。
例如：
对远程第三方接入人员（各厂商的维护人员）控制手段较弱，且接入方式较多，没有进行统一的规范。
目标
业务支撑系统作为中国电信核心业务系统之一，其安全防护的重点在于核心数据的可用性、机密性和完整性，以及关键应用的可用性。
本规范由集团计费业务中心制订，指导各省业务支撑系统网络和安全的建设。
规范从安全域的划分切入，基于业务支撑系统与其它系统的互连接口现状，在保障业务的同时进行接口的整合，减少接口数量以提高可控性，同时参考相关标准落实接口访问控制措施。
本规范按照业务逻辑将业务支撑系统进一步划分为多个子系统，根据各子系统的关键程度明确其安全等级，并定义各等级系统之间互连的安全防护方式。
本规范主要包含中国电信业务支撑网的4A的技术要求，业务支撑网包括集团公司、省公司业务支撑系统及其地市部分，主要内容包括：
（1）业务支撑系统的现状：
包括业务支撑系统接口现状及互连的需求。
（2）安全域划分的必要性和原则：
包含了安全域划分的必要性，各系统的威胁等级、保护等级的定义，安全域划分的原则，并结合中国电信的实际情况，对网络结构进行了调整，就各个支撑系统的安全区域的划分进行了细化。
（3）边界整合的原则：
包含了边界的定义、边界整合的原则，对业务支撑各子系统按等级进行了边界整合。
。
（4）安全域防护的原则和策略：
介绍了安全域保护原则，对安全域等级间边界防护和安全域等级内部的边界防护策略作了详细的描述。
（5）分阶段安全防护建议：
分别从网络调整的方式、安全域划分的细化、以及保护方式的演进等方面，体现逐步实现的过程。
总体原则
等级保护原则
根据安全域在业务支撑系统中的重要程度以及考虑风险威胁、安全需求、安全成本等因素，将其划为不同的安全保护等级并采取相应的安全保护技术、管理措施，以保障业务支撑的网络和信息安全。
在参考信产部等级保护的指导意见《TC260-N0015信息系统安全技术要求》对安全等级的划分基础上，结合各省业务支撑系统的具体情况，安全域所涉及应用和资产的价值越高，面临的威胁越大，那么它的安全保护等级也就越高。
对端可信度原则
由于对端系统的开放性、可控性等方面各不相同，它们的可信度也有明显的区别。
业务支撑系统与不同威胁等级、不同可信度的系统互连时，面对的威胁也是不同的。
互连系统的对端度可信度是衡量安全威胁的参考依据，是确立安全保护等级的基础。
安全最大化原则
针对业务系统可能跨越多个安全域的情况，对该业务系统的安全防护必须要使该系统在全局上达到要求的安全等级，即实现安全的最大化防护，同时满足多个安全域的保护策略。
分步实施原则
l分布实施原则：
贯彻安全工作“统一规划，分步实施”的原则，各省根据自身情况分阶段落实安全域划分和边界整合的工作。
基于业务支撑系统体系结构
中国电信通信集团公司的业务运营支撑系统分两级建设和管理，即集团公司级（一级业务支撑系统）和省移动公司级（二级业务支撑系统），统称业务支撑网。
业务支撑网体系由集团公司和省公司两级架构构成，每级由BOSS、经营分析和BOSS网管三大支撑体系构成。
业务支撑网体系结构如下图所示：
附图2.业务支撑网体系结构图
在两级业务支撑网架构中，一级业务支撑系统具有管理、实体和枢纽功能，为集团公司进行全网业务管理和业务运营提供支撑和保障，实现全网信息的交换和管理。
二级业务支撑系统具有管理和实体功能，为省公司进行省内业务管理和业务运营提供支撑和保障。
一级业务支撑系统对二级业务支撑系统共同支撑业务的运营与协作。
（一）BOSS系统支撑市场营销、客户服务等前台业务流程以及计费、结算、帐务、服务开通等后台业务流程。
（二）经营分析系统提取业务支撑网和其它系统的相关数据，建立数据信息平台，采用数据仓库技术和分析挖掘工具，为客户服务、市场营销和经营决策等工作提供有效支撑。
（三）BOSS网管在业务支撑网生产运行过程中，提供对应用和平台的故障、配置、性能、稽核的监控和管理。
业务支撑系统的技术模型核心是“三层结构”，即系统由数据核心层、业务逻辑层和接入层构成。
其中数据核心层又分为数据和服务两个子层，业务逻辑层又分为业务函数和业务过程两部分。
业务支撑系统的接入层也是传统意义上表示层的扩展，它包括所有与客户产生联接和交互的手段，同时还包含BOSS系统与外部系统，比如交换网络、企业其他IT系统等的联接。
接入层支持数据的双向流动，而且开放性很强，客户通过不同的接入渠道和逻辑进入BOSS系统后，共享业务逻辑和数据。
基于管理模式
根据不同省业务支撑系统在组织结构和管理职能上的不同，划分安全域时要充分考虑其管理模式和管理范围，并制定相应的安全域划分和保护策略，下面将分两种情况对各省管理模式进行说明。
典型管理模式：
业务支撑系统包含的BOSS系统、经营分析系统、业务支撑网网管系统、容灾系统及采集系统、客户服务系统均由计费中心管理。
特殊管理模式：
业务支撑系统包含的BOSS系统、经营分析系统、业务支撑网网管系统、容灾系统，由计费中心管理。
采集系统、客户服务系统由中国电信其他部门或代维厂商来管理。
MDCN管理模式：
MDCN是由计费业务中心管理，应严格控制各种MDCN的接入，对各种外部接入应按照本规范要求严格执行；如果MDCN是由其他部门管理，MDCN接入业务支撑系统应该按照接入域中内部接口子域来进行安全防护。
可扩展性原则
当有新的业务系统需要接入业务支撑网时，参照本规范要求将其分别划分至核心域、接入域的各个子域，并设置相应的安全防护措施。
安全域划分
基于第三章安全域划分的原则，将省业务支撑系统划分为两个安全域：
核心域、接入域。
再根据安全域内部的不同安全需求划分为安全子域（如下图）：
核心域分为：
BOSS系统子域、经营分析系统子域、客服系统子域、业务支撑网网管子域；接入域分为：
互联网接口子域、外部接口子域、内部接口子域、终端接入子域；其他域是与接入域有接口关系的其他IT系统，包括CMNET、非中国电信计算机系统和中国电信其他IT系统。
具体描述如下：
附图3.业务支撑系统安全域划分示意图
以上划分是按照安全需求进行的逻辑划分，同一安全域或安全子域的设备可以在相同或不同的物理位置。
在同一安全域内部，由于各个安全子域的安全需求各不相同，安全子域的安全等级各不相同。
核心域
核心域主要包括：
BOSS系统子域（以下简称为BOSS子域）、经营分析系统子域（以下简称为经分子域）、业务支撑网网管子域（以下简称为BOSS网管子域）、客服系统子域（以
下简称为客服子域）四个子域。
附图4.核心域划分示意图
BOSS系统子域：
由BOSS系统组成。
BOSS子域还包括容灾系统、采集子系统和BOSS开发测试子系统。
省公司BOSS系统具有管理和实体功能，为省内业务管理和业务运营提供支撑和保障。
经营分析系统子域：
由经营分析系统组成。
经营分析系统子域还包括经营分析开发测试子系统。
主要业务功能是为市场经营工作提供及时、准确、科学的决策依据以供生产系统使用。
客服系统子域：
由客服系统组成。
主要的业务功能是通过多种接触方式、多种渠道向客户提供各种服务。
业务支撑网网管子域：
由业务支撑网网管系统和集中的安全管理设施或安全管理系统组成。
业务支撑网网管子域还包括开发测试子系统。
主要的业务功能是实现对业务支撑系统的软硬件平台进行统一监控和维护以及对业务流程和质量进行统一考核和指导。
接入域
升级会员 