首頁>>>技術>>>NGN

軟交換網絡安全威脅和需求淺析

2008/06/23

　　摘要　軟交換網絡具有業(yè)務接口開放、接入手段豐富、承載和傳送單一、設備容量集中等特點，這些特點使軟交換網絡面臨更多的安全威脅。本文從軟交換自身的特點出發(fā)，結合運營商的實際運營經驗，分析和探討了軟交換網絡的安全威脅和需求。

1、前言

　　目前，PSTN正逐漸向以軟交換網絡為代表的下一代網絡（NGN）遷移，軟交換網絡具備業(yè)務接口開放、接入手段豐富、承載和傳送單一、設備容量集中等特點，這些特點是軟交換網絡的優(yōu)勢，但同時使軟交換網絡面臨更多的安全威脅。

　　本文從軟交換網絡自身的特點出發(fā)，結合運營商的實際運營經驗，分析和探討了軟交換網絡的安全威脅和需求。對于承載層面，本文只探討業(yè)務層面對承載網的安全需求，不涉及IP承載網數(shù)據層面的安全措施和需求。

2、軟交換網絡安全威脅分析

　　典型的軟交換網絡由業(yè)務層、核心交換層、控制層和接入層4層組成，它們面臨著安全威脅：軟交換設備和各種網關設備的容量可以非常大，一旦中斷，其影響成幾何級數(shù)放大；軟交換系統(tǒng)的承載網基于IP網絡，在承載網故障或者不穩(wěn)定的情況下會出現(xiàn)心跳機制混亂、業(yè)務不能正常開展、核心節(jié)點運行不穩(wěn)定或者脫網、鏈路和路由狀態(tài)異常等狀況；軟交換系統(tǒng)通過開放的業(yè)務接口提供豐富的業(yè)務和應用，但開放的業(yè)務接口使其面臨被攻擊的危險；軟交換系統(tǒng)用戶終端的智能化以及接入方式的復雜化對軟交換協(xié)議處理的容錯性提出了很高的要求，接入區(qū)域公共化等使軟交換網絡處于更開放的網絡環(huán)境中，更易遭受攻擊。下面對這些威脅做深入分析。

（1）核心設備自身的安全威脅

　　軟交換網絡采用呼叫與承載控制相分離的技術，網絡設備的處理能力有了很大的提高。可以處理更多的話務和承載更多的業(yè)務負荷，但隨之而來是安全問題。對于采用板卡方式設計的網絡設備，一塊單板在正常情況下能夠承載更多的話務和負荷，那么在發(fā)生故障時就有可能造成更大范圍的業(yè)務中斷。

　　目前，軟交換設備安全完全依賴廠商的軟硬件的安全設計，主要通過主備、1+1、N+1備份和自動倒換以及軟硬件模塊化設計等方式實現(xiàn)故障情況下的切換和隔離。但在實際運行中仍然存在一定的安全隱患。 （2）承載網的安全威脅

　　軟交換系統(tǒng)的承載網絡采用的是IP分組網絡，通信協(xié)議和媒體信息主要以IP數(shù)據包的形式進行傳送。承載網面臨的安全威脅主要有網絡風暴、病毒（蠕蟲病毒）泛濫和黑客攻擊。網絡風暴和病毒輕則大量占用網絡資源和網絡帶寬，導致正常業(yè)務訪問緩慢，甚至無法訪問網絡資源，重則導致整個網絡癱瘓。黑客攻擊網絡中的關鍵設備，篡改其路由和用戶等數(shù)據，導致路由異常，網絡無法訪問等。從實際運行情況來看，承載網對軟交換網絡的影響目前是最大的，主要是IP網絡質量不穩(wěn)定引起的。

（3）接入網的安全威脅

　　軟交換網絡提供了靈活、多樣的網絡接入手段，任何可以接入IP網絡的地點均可以接入終端。這種特性在為用戶提供方便的同時帶來了安全隱患，一些用戶利用非法終端或設備訪問網絡，占用網絡資源，非法使用業(yè)務和服務，甚至向網絡發(fā)起攻擊。另外，接入與地點的無關性，使得安全事件發(fā)生后很難定位發(fā)起安全攻擊的確切地點，無法追查責任人。

（4）網絡層面的安全威脅

　　雖然單個或者區(qū)域核心節(jié)點的安全可以通過負荷分擔或者備份來保證，但是從網絡層面來看仍然存在安全隱患。在現(xiàn)有的軟交換網絡中，各種平臺類設備（SHLR、NP業(yè)務平臺、SCP等）很多，而且往往都是以單點的形式存在，這些節(jié)點一旦失效，將嚴重影響網絡業(yè)務。從實際運行情況來看，目前網絡層面的威脅主要是重要業(yè)務節(jié)點癱瘓造成的業(yè)務中斷、擁塞和溢出，其中SHLR、通用號碼轉換（一號通平臺）等關鍵平臺的影響最大。因此，應該重視突發(fā)話務沖擊導致話務資源耗盡等現(xiàn)象。

3、軟交換網絡安全需求分析

3.1　軟交換網絡安全域的劃分

　　在描述和分析軟交換網絡安全的過程中產生了“安全域”的概念，安全域是描述如何管理和控制網絡安全的模型，在一個安全域內有相同的安全保護需求，可以實施相同的安全保護機制。安全域之間根據不同的安全等級需求，可以在安全域邊界部署隔離、控制等安全策略。

　　根據軟交換網絡各部分的安全需求，可以將軟交換網絡劃分為核心網、Internet接入網、支撐系統(tǒng)和第三方應用網絡4個安全域，如圖1所示。

圖1　軟交換網絡安全域的劃分


　　核心網安全域包括所有的軟交換機，TG、AG、SG等接入網關，BGW類設備，關鍵業(yè)務平臺（包括SHLR、號碼轉換平臺等），軟交換媒體服務器和應用服務器，開發(fā)給第三方業(yè)務接口的應用網關。Internet接入網安全域包括所有分配公網地址的SIP電話終端、IAD類設備、各類SIP接入的PC等。支撐系統(tǒng)安全域包括網管、計費和OSS等輔助運營系統(tǒng)。第三方應用網絡安全域主要包括所有以開發(fā)業(yè)務接口方式接入的應用服務器，鑒于目前實際應用中很少涉及到這種應用，這里不討論該區(qū)域的安全需求。

3.2　各安全域的安全需求

（1）核心網安全域

　　核心網安全域是軟交換網絡的安全核心。從現(xiàn)網情況來看，核心網的承載層一般都采用專用IP網和VPN方式組網，安全域內設備（包括各種AG）本身的管理和控制可以認為是安全的。核心網安全域的安全需求有：設備的可用性，即可以在各種情況下（包括設備故障、網絡風暴、話務沖擊等）保證設備和承載業(yè)務的正常運行；需要在核心網與其他網絡連接處部署B(yǎng)GW和防火墻等設備進行內外網隔離；網絡中的SS等設備需具備完善的設備認證和授信方式，防止非法登錄；核心網節(jié)點間需采用心跳和媒體檢測等方式進行狀態(tài)檢查，及時更新節(jié)點狀態(tài)，保證業(yè)務正常；接入節(jié)點需具備帶寬和業(yè)務管理能力，防止用戶非法占用帶寬和使用業(yè)務；核心網節(jié)點應具備對異常信令和消息的處理能力，防止人為攻擊等造成節(jié)點癱瘓或過負。

（2）Internet接入網安全域

　　Internet存在安全問題，當通過Internet提供軟交換業(yè)務時，需要保證業(yè)務接入設備與軟交換網絡之間的通信安全。Internet接入網安全域的安全需求有：在SIP電話、軟件電話等終端設備與Internet和軟交換網絡互聯(lián)設備之間需要應用L2TP、IPSec等隧道技術；小容量AGW、IAD等通過Internet接入時，它們與Internet和軟交換網絡互聯(lián)設備之間需要應用GRE、IPinIP、IPSec等隧道技術；需要完善的接入設備認證和授信手段，防止冒名使用。

（3）支撐系統(tǒng)安全域

　　支撐系統(tǒng)主要包括網管、計費和OSS等系統(tǒng)。雖然支撐系統(tǒng)不向用戶直接提供業(yè)務，且都在內網區(qū)域內，受攻擊的可能性較小，但其功能的特殊性且大多采用通用操作系統(tǒng)，因此必須保證其安全。支撐系統(tǒng)安全域的安全需求有：高強度的用戶認證機制；重要系統(tǒng)需要進行物理隔離，并且網間需要部署功能強大的防火墻設備；需要優(yōu)化系統(tǒng)安全策略。

4、軟交換網絡安全措施

（1）承載網層面

　　軟交換網絡的承載層現(xiàn)在除了用專網和MPLS VPN等手段進行網絡隔離外，一些廠商采用在關鍵節(jié)點放置網絡探頭，以ping段包的形式進行偵聽等手段進行網絡質量監(jiān)控，目前這種方式有以下難題需要解決：一是ping包和軟交換消息包的長度差異較大，在一定丟包率情況下無法滿足軟交換信令的要求；二是ping包的頻率不能設置太短，在承載網完全中斷情況下，可以準確定位故障點，但是在閃斷或者網絡質量不穩(wěn)定情況下，難以保證實時性業(yè)務的質量和實現(xiàn)故障定位。

（2）網絡層面

　　在軟交換設計和規(guī)劃期間，應該對軟交換網絡安全有全面考慮：承載網的安全，包括網絡隔離、防攻擊等；關鍵業(yè)務節(jié)點的備份和用戶的業(yè)務歸屬；業(yè)務的合理配備和設置，盡量在分散和易管理間找到平衡。

　　對于軟交換網絡特有的雙歸屬容災應該加以充分利用，彌補網絡安全漏洞，但需注意對雙歸屬機制進行完善，包括網關的切換策略、軟交換的控制策略、心跳參數(shù)設置策略、容災數(shù)據庫管理等。

（3）軟交換設備層面

　　軟交換設備的安全主要靠廠商的安全設計來保證，但同時應該重視以下幾個方面：建立關鍵板件檢測制度和定期切換檢測制度，充分保證關鍵板件倒換成功；為了保證軟件版本和補丁的安全性，廠商應建立軟件版本安全控制體系，運營商應加強入網檢驗制度和應用流程管理，共同解決軟件的安全性和兼容性問題；充分了解和用好設備的自保護措施，如軟交換的過負荷保護機制。

（4）管理層面

　　網絡安全工作是一個以管理為主的系統(tǒng)工程，靠的是“三分技術，七分管理”，因此必須制定一系列的安全管理制度、安全評估和風險處置手段、應急預案等，這些措施應覆蓋網絡安全的各個方面，達到能夠解決的安全問題及時解決，可以減輕的安全問題進行加固，不能解決的問題編制應急預案減少安全威脅。與此同時，需要強有力的管理來保障這些制度和手段落到實處。

5、結束語

　　軟交換網絡是一個新的網絡，它不僅肩負著PSTN業(yè)務過渡的重任，還擔負著新業(yè)務和新網絡的未來，IP承載、網關多重歸屬、承載和業(yè)務分離、更加開放的接口等新特性無一不對網絡安全提出了高要求，軟交換網絡安全將是一個需要長期關注和研究的話題。

中國聯(lián)通網站


相關鏈接:
NGN話務分析融入交換綜合網管系統(tǒng)的設計與實現(xiàn) 2008-06-23
專家：電信重組有助于加快NGN業(yè)務技術發(fā)展 2008-06-18
VoIP持續(xù)放量 NGN時代來臨 2008-06-17
NGN與NGI將趨于知行合一 2008-06-17
融合 開放 管控 移動——ITU NGN GSI創(chuàng)新大會 2008-06-12

分類信息:  電信_與_NGN及軟交換技術     行業(yè)_電信_文摘   技術_NGN及軟交換_文摘