中国电信吉安分公司IP城域网安全风险评估报告.doc

知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 中国电信江西省固定通信网中国电信江西省固定通信网 安全风险评估报告安全风险评估报告 中国电信吉安分公司中国电信吉安分公司 二零零九年七月 评估对象：评估对象： ip承载网吉安ip城域网 评估单位：评估单位： 吉安分公司网络维护安装中心 评估日期：评估日期：2009 年年 7 月月 20 日至日至 2009 年年 7 月月 31 日日 编号：编号： ctsecjiangxi-jian-01- 200907 企业秘密企业秘密 编号： ctsecjiangxi-jian-01- 200907 企业秘密 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 目目 录录 1概述3 1.1目的 3 1.2内容及范围 3 1.3风险评估方法 3 1.4评估依据 3 2资产分析3 2.1本地网 3 2.2省内长途网 4 3威胁分析5 3.1本地网 5 3.2省内长途网 5 4脆弱性分析7 4.1本地网 7 4.2省内长途网 7 5已有安全措施8 6安全风险分析8 7风险处置计划及整改情况9 8总结9 9附件9 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 内部资料，注意保密，未经同意，请勿翻印 文档信息 文档名称文档名称 中国电信江西省吉安市 ip 承载网安全风险评估报告 文件编号 编制人王桂英 保密级别企业秘密 修改过程 版本号版本号日期日期负责人负责人概述概述 v1.02009.7.26王桂英 评审过程 版本号版本号日期日期评审者评审者概述概述 分发范围 知识水坝（豆丁网pologoogle）为您倾心整理（下载后双击删除） 百度一下“知识水坝“ 1概述概述 1.1目的目的 近期中国电信陆续发生网络障碍、服务效能事件、安全事件，造成很不良的社会 影响。为全面查找 ip 承载网的维护管理、网络运行中存在的薄弱环节、安全隐患， 并针对存在的问题及时采取有效措施，全面开展网络优化、安全整治工作，落实 安全防护措施，消除安全隐患，从而提高网络运行的安全性、可靠性，提升网络 运行质量，为全业务运营打下坚实的基础。同时，为 60 周年国庆活动提供可靠的 网络安全保障。 1.2内容及范围内容及范围 定级对象：吉安 ip 城域骨干网 说明定级对象的情况，包括所提供的业务功能、覆盖范围、网络架构、与其他网 络之间的边界等，并说明对哪些方面（如管理制度、防攻击防病毒等）进行风险 评估。 吉安宽带城域骨干网分为核心汇聚层、业务控制层两个层次。 核心汇聚层： 在 82 局和 81 局各设有一台 cisco 高端路由器 gsr12816 和华为 ne5000 设备 构成核心汇聚层，作为吉安城域网核心出口。对上各以一条 10g 链路分别连接南 昌和九江国家骨干网接入路由器，使得吉安城域网总出口带宽为 40g；两核心设 备之间以 2 个 2.5g 链路互联，并分别通过 2*ge 链路连至 cn2 骨干接入节点， 实现与 cn2 网的互联。 二、业务接入控制层： 1、业务接入控制层分别由 82 局、81 局、83 局、idc 将各一台 sr 设备和全市共 20 台宽带接入服务器构成。具体的设备组成为：82 局 osr7609 、81 局 3 osr7609 、师院 ma5200g、81 局 me60 、82 局 se800、82 局 se1200、83 局 se800、安福 se800 、泰和 se800-1 、 泰和 se800-2、遂川水北 se800 、遂川 水南 se800、吉安县中心局 se400 、吉安县开发区 se800、吉水 se400 、新干 se800 、万安 se800、峡江 se800 、永丰 se800 、永新 se800 、井冈山茨坪 se800、井冈山新城区 ma5200g。 2、3 台 sr 设备 osr7600 和 20 台宽带接入服务器各通过两条 ge 链路上联至两 台核心路由器，idc 机房的 gsr12416 上联链路为 2 个 2.5g。 3、为确保宽带接入业务控制层面和汇聚层面网络的安全可靠运行，保障在出现 较大故障等意外紧急情况下，迅速抢通电路，恢复通信，82 局 se1200 设备在分 担 82 局向部分业务的同时作为全市集中的应急 bas 设备，分别对除 82 局、吉安 县、泰和、遂川、师院之外的 bas 设备进行冗余备份保护。市本部 81、83 中心 汇聚交换机各以一条裸纤传输 ge 链路连接应急 bas，而各县市分公司中心汇聚 交换机先经过级联后，以中心机房的汇聚交换机通过一个 ge 波分传输链路连接 应急 bas，作为各 ip 端局接入汇聚层的应急保护链路。82 局、吉安县、泰和、 遂川两台 bas 设备互为冗余备份，师院 ma5200g 以 81 局 me60 作为应急 bas 进行冗余保护。目前冗余保护的业务主要为 pppoe 何 dhcp 业务，采用的热备 份方式。 具体网络拓扑如下： 4 cn2 南南昌昌 大大楼楼河河东东 a1 a2 s1s2 sisi 大楼 se800 大楼 7609 sisi 井冈 山 se800 sisi 河东 5200 g sisi 吉安 县 se400 sisi 师院 5200 g sisi 安福 se800 sisi 城南 se800 sisi 吉水 se400 sisi 永新 se800 sisi 遂川 se800 sisi 永丰 se800 sisi 泰和 se800 sisi 峡江 se800 sisi 新干 se800 idcgs r1241 6 河东 7609 ge gegegege ge ge ge gegegegege ge gege 2.5ge ge ge ge gege ge gege ge 2.5ge ge gegege gege 九九江江 10ge 10ge 2*2.5g 10ge10ge sisi 万安 se800 ge ge 2.5g 2.5g2.5g2.5g 2.5ge 2.5ge 城南 7609 sisi 大楼 me60 -8 sisi 大楼 se120 0 sisi 泰和 se800 sisi 吉安 先县 新城 区 se800 sisi 遂川 se800 吉吉安安ip城城域域网网拓拓扑扑方方案案图图 骨骨干干层层 核核心心汇汇聚聚层层 接接入入控控制制层层 本次评估将从吉安 ip 城域网的网络结构、路由部署的合理性，设备运行安全、 可靠性（包括硬件环境、单板、单点隐患、设备性能、链路可靠性、安全防护、 数据配置的规范性等）和维护管理等几个方面进行风险评估。 1.3风险评估方法风险评估方法 说明采取的风险评估方式，步骤、方法等。评估方式包括访谈、查阅文档、测试 等，评估步骤包括资产识别、脆弱性识别、威胁识别等，方法包括具体的资产、 威胁和脆弱性识别方法，风险分析方法、风险结果判断依据等。 本次评估采取的评估方式有：查阅文档、咨询厂家、技术验证、测试、人工检查， 维护骨干集中讨论、分析。 评估步骤：首先进行资产的识别、确定评估对象、评估方法、确定评估的具体内 容、收集相关信息、开展脆弱性评估、威胁性评估，编写评估报告和整治计划。 评估方法有：根据收集网络和设备现状相关信息，与相关维护管理规范和厂家设 备技术规范核查，并结合实际维护工作经验，识别设备威胁和脆弱性。 5 1.4评估依据评估依据 说明本次安全风险评估参考的标准和文档，如安全防护系列标准等。 2资产分析资产分析 说明该定级对象包括的资产及相关属性。ip 城域骨干网包括城域网核心设备和业 务控制层的 bas 和 sr 设备，涉及的资产重要性分析如下： 2.1城域网核心设备城域网核心设备 吉安 ip 城域网核心设备有两台，分别为大楼的 gsr12816 和河东的 ne5000，这 两台设备作为本地网的核心汇聚设备，汇聚了业务控制层 20 台 bras 设备和 3 台业务路由器，即承担本地网路由的交换，又与 chinanet 骨干网互联，实现 路由的交换和数据的转发，是 ip 城域网的核心，具有非常高的重要性。 表 1 资产重要性列表 序号资产名称资产类型重要性等级 硬件高 软件：软件版本 文件 高 重要数据：路由、 策略 高 提供的服务高 文档中 维护人员中 1 大楼核心设备 gsr12816 网络拓扑中 6 硬件高 软件：软件版本 文件 高 重要数据：路由、 策略 高 提供的服务高 文档中 人员中 2 河东核心设备 ne5000 网络拓扑中 注：资产类型包括硬件、设备软件、重要数据、提供的服务、文档、人员、网络 拓扑、码号资源等类别；重要性等级分为高中低三档。按照重要性等级（高中低 三档）从高到低排列。 2.2城域网业务控制层城域网业务控制层 吉安城域网业务控制层由 3 台 sr 和 20 台 bars 设备构成，每台设备承载了一个 ip 端局的业务，是城域网业务承载和控制的核心，具有举足轻重的作用。 表 2 资产重要性列表 序号资产名称资产类型重要性等级 硬件高 1 大楼 se1200、大楼 se800、河东 me60、城南 se800、大楼 osr7609、河 东 osr7609。 软件：软件版本 文件 高 7 重要数据：路由、 策略 高 提供的服务高 文档中 人员中 网络拓扑中 硬件中 软件：软件版本 文件 中 重要数据：路由、 策略 中 提供的服务中 文档中 维护人员中 2 井大 ma5200g、城南 osr7609、新干 se800、峡江 se800、永丰 se800、吉水 se800、吉安县中心局 se400、吉安县开 发区 se800、安福 se800、永新 se800、 井冈山新城区 ma5200g、遂川水南 se800、万安 se800、泰和中心局 se800- 1 和 se800-2、遂川水北 se800 网络拓扑中 说明：上述表中所述的大楼 se800se1200、河东 me60、城南 se800 由于承载的 用户较多，而井冈山茨坪 se800 承载的是红色教育基地井冈山风景区的业务，具 有较强的政治影响，大楼 osr7609 和河东 osr7609 设备作为城域网 asbr 设备， 承载了大量的与 cn2 网跨域互联的业务，如软交换业务、大客户跨域 vpn 业务， 在城域网占有比较高的重要性，所以定位上述这几个设备重要性为高等级。 8 3威胁分析威胁分析 ip 城域网的威胁根据来源可分为技术威胁、环境威胁、人为威胁和其他威胁。环 境威胁包括自然界不可抗的威胁和其它物理威胁。根据威胁的动机，人为威胁又 可分为恶意和非恶意两种。 1、人为威胁 1）非恶意人为威胁：维护人员的操作不当，从而影响到设备的正常运行。为了 防止该现象发生，在设备升级、业务割接前应准备好详细的升级和割接方案，一 旦升级、割接失败则立即启用回退方案；严格落实局数据修改规范，落实双人制 度：1 人操作，1 人检查，防止误操作。严格控制操作人员权限，不具备操作技能 的人员不给于权限。 2）恶意人为威胁：人为的恶意攻击、导致设备瘫痪。为了防止此类现象发生， 已在设备上设置帐号密码，采用 1 人 1 个帐号的原则，同时启用防护策略封堵一 些常见的病毒端口，严格落实设备数据配置规范，关闭不必要的服务，通过访问 控制列表精细控制不同应用类型的访问设备的源地址及其访问权限。此外，应在 城域网中部署一台流量清洗设备，来有效过滤网络中的恶意流量。同时做好机房 的“四防”工作。 2、技术威胁 设备硬件问题和软件 bug 造成设备性能下降，影响网络运行，为防止该类现象 发生，需采用 ip 综合网管平台对设备和网络运行情况进行监控，同时要求各设备 厂家维护人员定期对设备进行巡检，厂家发现软、硬件的 bug 和隐患应及时告 知局方，并采取有效措施予以规避和解决。 3、环境威胁 1）自然界不可抗的威胁：ip 承载网业务控制层面以上的设备均防止在机房，遇 雷击的可能性极小，抗震能力也较强； 9 2）其他物理威胁：机房环境温度造成设备出现异常，需利用动环监控系统，实 时监控机房环境温度，严格控制好通信机房的环境温湿度；此外，利用 ip 综合网 管的告警平台， 对设备温度进行实时告警，发现异常，立即进行处理。 ip 城域网的威胁分析如下： 3.1核心层核心层 1、大楼核心路由器 gsr12816 设备： 1） 、自然界不可抗力的威胁：大楼 gsr12416 设备放置在吉安大楼通信枢纽楼， 该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准 安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力 的威胁较低。 2） 、其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存 在相关威胁。但是，该设备所在机房地板为架空钢底瓷面地板，支架也为钢管材 质，但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地 震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障， 因此定义威胁等级为“中”级。 3） 、恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复 杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时 有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效 防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁 等级为“中”级。 4） 、其他威胁：低。 2、河东核心路由器 ne5000 设备： 1） 自然界不可抗力的威胁：河东 ne5000 设备放置在吉安大楼通信枢纽楼， 10 该楼为框架混泥土结构，房屋结构结实，地势较高，并且按照通信楼的建设标准 安装了多级防雷设施，机房抗震、防雷、防洪等性能都较强，受自然界不可抗力 的威胁较低。 2） 其他物理威胁（环境威胁）：该机房环境温湿度符合要求，密封性好，不存 在相关威胁。 3）恶意和非恶意人为威胁：考虑设备运行公网中，目前互联网网络环境日益复 杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各种网络安全事件时 有发生，而目前该设备除自身配置上采取了一些防范措施外，没有其他任何有效 防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性比较大，定义威胁 等级为“中”级。 4） 其他威胁：低。 本地网面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 4 威胁可能性列表 序号资产名称面临威胁类型威胁可能性等级 自然界不可抗的威 胁（环境威胁） 低 其它物理威胁（环 境威胁） 中 恶意人为威胁 中 非恶意人为威胁 中 1 大楼核心设备 gsr12816 其它威胁 低 自然界不可抗的威 胁（环境威胁） 低 2 河东核心设备 ne5000 其它物理威胁（环 境威胁） 低 11 恶意人为威胁 中 非恶意人为威胁 中 其它威胁 低 3.2业务控制层业务控制层 业务控制层面临的威胁按照可能性概率，分为高、中、低三档，列表如下： 表 5 威胁可能性列表 序号资产名称面临威胁类型威胁可能性等级 自然界不可抗的威 胁（环境威胁） 低 其它物理威胁（环 境威胁） 中 恶意人为威胁 中 非恶意人为威胁 中 1 大楼 se800、se1200 设备 其它威胁 低 自然界不可抗的威 胁（环境威胁） 低 其它物理威胁（环 境威胁） 低 恶意人为威胁 中 非恶意人为威胁 中 2 新干、峡江、永丰、吉水、吉安 县、安福、永新、井冈山、泰和、 遂川、万安、河东、城南、井冈 山大学的 bas 设备和大楼、河东 sr 设备 其它威胁 低 1）上述设备均放置在市或县中心局的通信楼机房内，均按照通信几楼设计标准 设计、建设的，所以机房的防震、防雷、防洪水等抗自然灾害性均较强，而且机 12 房环境按照相关管理标准进行控制，其威胁性都较低。 2）在上表所述大楼 se800、se1200 设备的其他物理威胁等级为“中”主要指大楼 数据机房 gs12816 设备所在机房地板为架空钢底瓷面地板，支架也为钢管材质， 但是设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地震、 爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障。 3）恶意和非恶意人为威胁定位为“中”等级主要是考虑设备运行公网中，目前互联 网网络环境日益复杂和恶劣，网络病毒、攻击手段越来越多样、隐蔽、高明，各 种网络安全事件时有发生，而目前该设备除自身配置上采取了一些防范措施外， 没有其他任何有效防范手段，因而我们认为其受恶意和非恶意人为威胁的可能性 比较大。 4脆弱性分析脆弱性分析 ip 城域网的脆弱性包括技术脆弱性和管理脆弱性两个方面，技术脆弱性又可分为 业务/应用、网络、设备（含操作系统和数据库） 、物理环境等方面的脆弱性。脆 弱性识别对象应以资产为核心。吉安 ip 城域网的脆弱性分析如下： 4.1核心层核心层 核心层的脆弱性按照其严重程度，分为高、中、低三档，列表如下： 表 7 脆弱性严重程度列表 序号资产名称脆弱性类型脆弱性严重程度等级 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 低 设备（含软件版 本、重要数据） （技术脆弱性） 中 1 大楼核心设备 gsr12816 物理环境（技术 脆弱性） 低 13 管理脆弱性 低 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 低 设备（含软件版 本、重要数据） （技术脆弱性） 低 物理环境（技术 脆弱性） 低 2 河东核心设备 ne5000 管理脆弱性 低 4.2业务业务控制层控制层 业务控制层的脆弱性按照其严重程度，分为高、中、低三档，列表如下： 表 7 脆弱性严重程度列表 序号资产名称脆弱性类型脆弱性严重程度等级 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 低 设备（含软件版 本、重要数据） （技术脆弱性） 中 物理环境（技术 脆弱性） 低 1 大楼 sr 设备 osr7609、河东 7609、城南 7609、idc 机房 gsr12416 管理脆弱性 低 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 中 2 大楼 se800、井大 ma5200g、 吉安县 se800、遂川水南 se800 设备（含软件版 本、重要数据） （技术脆弱性） 中 14 物理环境（技术 脆弱性） 低 管理脆弱性 低 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 低 设备（含软件版 本、重要数据） （技术脆弱性） 低 物理环境（技术 脆弱性） 低 3 大楼 se1200、河东 me60 管理脆弱性 低 业务/应用（技术 脆弱性） 低 网络（技术脆弱 性） 中 设备（含软件版 本、重要数据） （技术脆弱性） 中 物理环境（技术 脆弱性） 低 4 城南 se800、新干 se800、峡江 se800、永丰 se800、吉水 se800、吉安县 se400、吉安县 开发区 se800、安福 se800、永 新 se800、井冈山 se800、泰和 se800-1、se800-2、遂川水北 se800、万安 se800 管理脆弱性 中 以下是城域网网络和设备性能分析： 链路流量分析 城域网核心设备至骨干网接入设备链路 序号 城域网核心设 备 骨干网接入设 备 链路带 宽 下行流量 平均值 （m） 上行流量 平均值 （m） 下行流量 峰值 （m） 上行流量 峰值 （m） 181 局 ne5000e南昌10ge1700200027003100 281 局 ne5000e九江10ge1800170030002800 3 82 局 gsr12816 南昌 10ge893160015002700 4 82 局 gsr12816 九江 10ge1700190029003100 5 82 局 gsr12816 81 局 ne5000e 10ge82264714001000 15 6 82 局 gsr12816 81 局 ne5000e 10ge4836458001000 核心层/汇聚层下联业务接入控制层链路 序号 核心层/汇聚层 设备 业务接入控制 层设备 链路带 宽 下行流量 平均值 （m） 上行流量 平均值 （m） 下行流量 峰值 （m） 上行流量 峰值 （m） 181 局 ne5000e82 局 se800ge212226384400 281 局 ne5000e82 局 se800ge151179239275 381 局 ne5000e82 局 se1200ge169186263297 481 局 ne5000e83 局 se800ge164168265271 581 局 ne5000e81 局 me60-8ge173202283340 681 局 ne5000e井大 ma5200gge213169419358 781 局 ne5000e吉水 se800ge206236369408 881 局 ne5000e安福 se800ge166231291370 981 局 ne5000e万安 se800ge188182339323 1081 局 ne5000e永新 se800ge139184254325 1181 局 ne5000e永丰 se800ge204360352630 1281 局 ne5000e峡江 se800ge102122162206 1381 局 ne5000e新干 se800ge234241391389 1481 局 ne5000e井冈山 se800ge168235387378 1581 局 ne5000e 井冈山 ma5200gge139184254325 1681 局 ne5000e吉安县 se400ge181199313343 1781 局 ne5000e吉安县 se800ge176200311325 1881 局 ne5000e泰和 se800-1ge227195379310 1981 局 ne5000e泰和 se800-2ge223190389309 2081 局 ne5000e遂川 se800-1ge208243339378 2181 局 ne5000e遂川 se800-2ge196241315368 2281 局 ne5000e82 局 sr7609ge138214219344 2381 局 ne5000e81 局 sr7609ge7578130139 2481 局 ne5000e83 局 sr7609ge6973132156 26 82 局 gsr12816 82 局 se800 ge218191383346 27 82 局 gsr12816 82 局 se800 ge1553923877 28 82 局 gsr12816 82 局 se1200 ge169186263297 29 82 局 gsr12816 83 局 se800 ge164138264226 30 82 局 gsr12816 81 局 me60-8 ge166166276288 31 82 局 gsr12816 井大 ma5200g ge212121422237 32 82 局 gsr12816 吉水 se800 ge194201334368 33 82 局 gsr12816 安福 se800 ge167180285309 34 82 局 gsr12816 万安 se800 ge190159344278 35 82 局 gsr12816 永新 se800 ge139175247306 16 36 82 局 gsr12816 永丰 se800 ge19290401196 37 82 局 gsr12816 峡江 se800 ge94109159187 38 82 局 gsr12816 新干 se800 ge221180396303 39 82 局 gsr12816 井冈山 se800 ge167180285309 40 82 局 gsr12816 井冈山 ma5200gge203179324308 41 82 局 gsr12816 吉安县 se400 ge179192317322 42 82 局 gsr12816 吉安县 se800 ge156197345338 43 82 局 gsr12816 泰和 se800-1 ge227183391307 44 82 局 gsr12816 泰和 se800-2 ge198178369356 45 82 局 gsr12816 遂川 se800-1 ge207187334311 46 82 局 gsr12816 遂川 se800-2 ge203179324308 47 82 局 gsr12816 82 局 sr7609 ge126170228265 48 82 局 gsr12816 81 局 sr7609 ge8359146126 49 82 局 gsr12816 83 局 sr7609 ge7942156112 2）设备端口、槽位使用现状： 骨干路由器现状表骨干路由器现状表 10g10g 端口端口2.5g2.5g 端口端口gege 端口端口 序序 号号 设备名称设备名称现现 有有 已已 用用 空空 余余 现现 有有 已已 用用 空空 余余 现现 有有 已已 用用 空空 余余 插槽空余数插槽空余数 18181 局局 ne5000ne50002 22 20 06 63 33 34040252515158 8 28282 局局 gsr12816gsr128162204315025258 业务路由器现状表业务路由器现状表 2.5g2.5g 端口端口gege 端口端口155m155m 端口端口100m100m 端口端口 序号序号设备名称设备名称 现现 有有 已已 用用 空空 余余 现现 有有 已已 用用 空空 余余 现现 有有 已已 用用 空余空余 现现 有有 已已 用用 空余空余 插槽插槽 空余空余 数数 181 局 7609 000 207130004810385 282 局 7609 000 201370004811374 383 局 7609 000 243210000005 4 idc 机房 gsr12416 422145900000011 17 3）设备性能统计： 温度（最高） 设备节点 设备版本 cpu 利 用率 (%) memory 利用率 (%) 主控 板 业务 板 大楼城域网 gsr12816ios 12.0(32)sy4 2.006.8833.250 河东城域网 ne5000e5.50 (ne5000e v200r003c02b609)6.2033.793338 大楼 osr6509 12.2(18)sxf313273945 城南 osr7609 ios 12.2(33)srd1.0019.823445 河东 osr7609 12.2(18)sxf31.0019.323743 井冈山大学 ma5200gma5200g-4-vrp5.30-release 331056001258.584953 大楼 se800 seos-5.0.7.9p5-release7.0086.063457 大楼 se1200 seos-6.1.3.5p5-release8.006.164643 河东 me60 version 5.30 (me60 v100r005c02b01b)9.522.524548 城南 se800 seos-5.0.7.9p5-release2.0027.093845 吉安县 se400 seos-5.0.7.10p17-release3.0051.484260 吉安县 se800 seos-6.1.1.5p10-release5.0019.92640 泰和 se800 seos-5.0.7.9p5-release2.0053.883447 泰和 se800 新 seos-6.1.1.5p10-release1.221.13442 遂川 se800 seos-5.0.7.9p5-release3.0058.544245 遂川 se800 新 seos-6.1.1.5p10-release2.0020.653444 永新 se800 seos-5.0.7.9p5-release3.0054.254251 永丰 se800 seos-5.0.7.9p5-release2.0059.284649 井冈山 se800 seos-5.0.7.9p5-release2.0066.285057 峡江 se800 seos-5.0.7.9p5-release0.0025.144256 安福 se800 seos-5.0.7.9p5-release5.0054.614245 万安 se800 seos-5.0.7.9p5-release1.0023.734252 新干 se800 seos-5.0.7.9p5-release7.0075.074656 吉水 se400 seos-5.0.7.9p5-release3.0056.754260 具体的脆弱性分析详见附件一。 18 5已有安全措施已有安全措施 （1）制度建设：已建立机房出入管理制度、机房环境管理制度、机房信息保密 制度、机房交接班制度、机房十不准等制度，并上墙。建立了机房管理规范，如 设施管理规范、维护作业规范、环境管理规范等，并组织学习和落实， （2）所有机房已开展了机房标准化整治工作，并建设了动环监控、烟感系统， 目前实行市县二级监控。 （3）市公司网维中心每月定期开展维护基础管理，包括机房现场管理、资料管 理、作业计划、电子值班、电子机历本、备品备件的管理的检查，夯实维护基础 管理工作。 （4）6 月份开展了端局机房动环监控系统的全面检查工作，对存在的问题整拟定 计划进行整改。 （5）落实维护作业计划和机房巡检制度，每月定期进行设备配置数据备份，进 行设备表面和风扇过滤网的清洁工作，实时更新设备健康档案和网络维护相关资 料。 （6） 按照专人专用的原则进行设备维护管理账号的分权分域管理，并按照安全 要求设置强壮的口令，设置设备安全访问控制策略和防 ddos 攻击策略。 （7） 更新编制了城域网业务承载和数据配置规范，并落实于日常维护建设工 作中。 （8）更新编制了城域网应急预案和应急 bas 应急保障方案、演练方案，并组织 相关维护人员学习。 （9）09 年建设了一台集中的应急 bas，作为其他 bas 设备冗余保护设备，目 前只保护了 pppoe 和 dhcp 业务，同时在 82 局、吉安县、泰和、遂川建设了第 二台 bas 设备，一是进行了业务分担，同时互为冗余备份，减轻单点隐患。 （10） 5 月份开展了对全市城域网业务控制层以上设备的本地 console 串 19 口电缆的清查和连接测试工作，目前所有设备的本地维护管理串口电缆都实时连 接在设备上，以备应急只需。 6安全风险分析安全风险分析 经过详细、全面的分析和评估，目前我市 ip 城域网存在的安全风险主要有： 1） 吉安市 82 局数据机房地板为架空钢底瓷面地板，支架也为钢管材质，其中 d01 机房设备是直接坐落在地板上，未安装底座，存在滑动、塌陷的隐患，遇地 震、爆炸等自然或认为灾害，很容易引起设备滑动、塌陷，导致重大通信故障。 此风险短期内可接受，但从长远来看，是一个较大的隐患，需要整治。 2） 吉安市 82 局数据机房重要设备较多，且对温度觉敏感，目前全部采用普通 的独立式空调，环境温湿度控制效果差，常导致机房内设备温度过高告警。此风 险短期内通过加强机房环境监控，适时做好空调温度的调控，可避免温度过高告 警，但从长期来看，应尽快将空调更换为机房专用空调，以提高安全性，同时还 节能。 3） 城域网设备备件匮乏，但由于核心路由器由冗余备份，而应急 bas 的建设 又为其他 bas 设备提供了冗余保护，通过应急调度能在短时间内（30 分钟）抢 通业务，因此该风险为可接受的风险。 4） 城域网 igp 使用 ospf 路由，目前只设有一个区域，而设备数量已接近 40 台，存在区域内路由处理效率降低的风险，该风险目前还能接受，但随着设备的 增加和业务的不断扩展，日常涉及路由的数据制作的频繁性，该风险将日益提高， 应尽快采取措施解决：将城域网内的 igp 路由改为 is-is 或设置层次化的 ospf 区域。 5） 大楼核心路由器 gsr12816 设备的电源模块还为 gsr16 型模块，功率不足， 存在风险。目前由于设备上所插板卡不多，数据转发流量还不高，因此该电源模 块还能支撑设备正常运行，但从长远来看，存在供电不足的隐患，因此需尽快更 20 换成 gsr18 型的模块。 6） 城南 osr7609、城南 se800、新干 se800、峡江 se800、永丰 se800、吉水 se800、吉安县 se800-1、吉安县 se800-2、永新 se800、井冈山 se800、泰和 se800-1，太和县 se800-2、万安 se800 等设备只配有 1 块千兆卡，上下行链路均 开放在该板卡上，存在单板隐患。该隐患为不可接受的风险，随时可能发生，需 要加以整改，并在今后的工程建设中尽量避免此类隐患。 7） 目前各 bas 设备只实现了对 pppoe 业务的保护，静态用户、vpn 等业务还 存在单点隐患，同时 sr 设备也存在单点隐患，需采取技术措施如 vrrp、人工 同步数据等方式解决。此风险是不可接受的风险，但是需要较长的时间才能得到 解决。 8） 井冈山大学 ma5200g、吉安县开发区 se800 和遂川水北 se800 设备两条上 行链路走同光缆路由，存在严重的安全隐患，需尽快加以整改。 城域网大部分 se800/400 设备现运行的软件版本存在 bug（据厂家明确） ，为不 可接受的风险，需尽快进行升级。 9）大楼 se800、井冈山 se800、新干 se800 设备内存利用率偏高，主要原因可能 是设备软件 bug 所致，需尽快升级软件版本，消除隐患。 10） 井冈山大学 ma5200g 设备上千兆端口全部占用，无一个空闲端口，遇故障 将无端口更换，同时也缺乏备件，因而需要尽快进行扩容，以消除隐患。 11） 各县市设备、电路的标签标识不够清晰和规范，同时未完全落实每月定期 清洁、清洗设备表面和风扇过滤网，下一步需整改和强化。 12） 部分设备存在一些冗余数据和不规范数据，需清理和整改，同时安全防范 措施还需全面梳理和加固。 13） 本地网乃至省骨干层面网络缺乏有效地网络安全检测手段和防御措施， 网 络的安全防御性能差，在遭网络攻击时易造成网络流量异常和中继拥塞等故障， 21 同时在故障发生时又缺乏高效的手段监测、分析和排查故障，给维护管理带来困 难，存在网络运营、维护管理风险，希望能尽快建设相关安全防范、监测手段。 14） cisco 设备和 redback 设备的维保质量不高，本地化厂家技术支撑水平 不高，此风险暂时为可接受风险。 7风险处置计划及整改情况风险处置计划及整改情况 说明针对不可接受风险的风险处理计划。风险处理计划中应明确涉及的资产、责 任部门、预期效果、实施条件、计划进度等内容。 对于在检查过程中可通过整改消除的风险，企业应及时整改，并说明整改情况。 序号网络风险处置计划责任部门预期效果实施条件计划进度 1 城域网 ospf 路由处理效率 低 将 ospf 路由 改为 is-is 路 由，或设置层 次化 ospf 区 域。 网维中心提高城域网内 igp 路由处理 效率，消除路 由运行隐患。 局数据调整即 可，影响业务， 涉及割接。 计划在 9 月份， 下半年城域网 二期优化工作 中进行整改。 2 大楼 gsr12816 电 源模块功率不 足 从其他本