服务热线:010-65014696

成功案例

椒图关注 FOCUS ON JOWTO

某省移动通信运营商实施案例

[2013-1-5]

需求背景

某省移动通信运营商经营本地的GSM、3G移动通信服务、Internet增值服务、话费充值查询服务等。随着国内电信市场的分化和开放,某省移动通信公司的组织结构、业务特点对自身的信息安全提出了更高的要求。某省移动通信公司的网络安全性涉及到系统安全(包括各类软硬件系统)和数据安全、网络安全,其中系统安全主要是指操作系统安全、应用服务安全。通常的系统攻击使系统不能正常工作,宕机,不能正常提供服务,数据丢失,非法篡改,根据当前的用户要求,我公司提供了以下服务器主机应用安全解决方案,为某省移动通信公司的信息安全保驾护航,为移动通信业务的持续、稳定、良好的运行提供安全保障!

 

网络拓扑结构

某省移动公司的网络是典型的城域网架构,从应用类型上可分为两个互联的网络:

业务管理网——提供GSM运营和关键业务处理服务。运营管理子网(OMC_Subnet)和计费管理子网(Billing_Subnet)。

OA办公网——部署在公司总部的各楼层办公室内,提供OA和事务处理服务。在OA办公网中有一部分工作站具有直接或代理访问业务管理网的职能。

目前,OA办公网和业务管理网已通过专线方式实现互连。同时,OA办公网已接入Internet。公司总部的用户可以通过代理服务器(Proxy Server)(DMZ堡磊主机)访问Internet。

 

安全风险分析

对某省移动通信公司而言,信息安全风险主要来自两个方面:

1、来自Internet的攻击与破坏:由于OA办公网直接接入Internet,将面临来自Internet的网络入侵、黑客攻击和病毒传播。虽然移动通信公司已部署了网络防火墙,起到一定的网络隔离作用,但仍然需要建立更完善的系统安全防护措施。

2、来自网络内部的攻击和破坏:某省移动通信公司对于来自内部网络的攻击或破坏的防范能力相当脆弱。根据以往的数据统计,网络信息系统遭受内部(或内外勾结)攻击和破坏的比例高达85%以上,因此如何有效防范内部破坏,是该移动通信公司公司需要解决的首要课题。尤其是如何有效控制从OA办公网的用户访问业务管理网内的主机(直接攻击或通过宿主机间接发起入侵攻击)。

 

具体的安全需求如下

需采用安全监测机制来实时监测网络攻击事件的发生;

需保护外部公开WWW服务器的安全;

需要对现有系统登录采用双重认证;

需采用网络防病毒机制来防止网络病毒的攻击和蔓延;

需实现内部应用系统的身份认证、访问授权等安全机制;

需实现内部安全策略的合理规划;

对于系统、关键应用必须采用强制访问控制;

需要实现内部重要文件的保密性、完整性。

 

系统环境

操作系统:IBM AIX 5300-15 15台

系统应用:核心业务系统(运营管理、计费管理)、办公OA系统、Tomcat、Orical、Java、Weblogic等

 

解决方案

使用椒图科技JHSE,分别安装在运营管理服务器及核心计费业务服务器上,通过部署JHSE后,透明提升至安全操作系统,通过细粒度规则配置,可免疫已知、未知病毒;系统管理员权限被划分为三个角色,各个角色之间相互独立、相互监督,有效地防止了超级管理员权限过大。对重要文件开启透明加解密,即使被合法用户非法拷贝出去,看到的也是密文;在三权分立原则下,即使超级管理员密码泄漏或者被破解,黑客也无法破坏被JHSE保护的资源。

 

配置策略如下

1、保护操作系统,使用默认的安全域模板保护操作系统。

2、新建安全域,将GSM运营管理业务系统程序、计费系统业务程序等相关进程,文件目录处于同一个安全域中,设置权限:域外的用户、其它主体对该域内文件或进程只读或禁止任何访问。

3、设置登录审计策略 只允许设定的某IP段,在指定时间内登录系统。对SSH、LOGIN、SU、RLOGIN进行双重身份认证。

4、建立安全域,让TOMCAT、网站目录、Oracle配置文件、Oracle数据库目录、Java、weblogic、Oracle进程处于同一个安全域中,域外用户或者进程对该域无任何操作权限。从而防止数据库进程被注入,网页被篡改,数据被窃取。

5、对重要数据透明加解密,对于重要内部文件进行完整性保护。

部署示意图如下:

\


方案效果

1、保证业务系统正常运行,即使使用root用户,也不能访问业务系统程序的目录,更不能卸载、终止、替换保护的程序。

2、保证业务系统信息的保密性,业务数据只对有权限的用户使用对应的进程开放权限。

3、日志审计,所有违规操作均进行日志审计,可以精确到IP、MAC、用户、进程、时间等,提供完善的日志审计功能。

 

总结

经过JHSE保护后,可以免疫已知、未知病毒、漏洞攻击;即使获得超级管理员权限登陆到服务器,也不能中止被保护的相关应用,恶意篡改核心数据;限制用户在特定IP段、特定时间才能登录,对于任何用户登录实行双重认证;对于加密的数据,即使被拷贝出去打开也是密文,可以有效保证业务的连续性和安全性;把操作系统透明提升到安全操作系统;且完全满足国家等级保护三级要求。