《CM-IMS安全重点问题及解决方案》开题汇报报告

中国移动通信集团有限公司 承担部门：网络部、福建公司、河南公司 2010年 5月 课题名称： CM-IMS安全重点问题及解决方案 项目类型： 联合项目 一、项目信息 课题名称 CM-IMS安全重点问题及解决方案 课题分类 网络与信息安全 主题词 IMS 网络安全 解决方案 课题预计开始时间 2010.4 预计结束时间 2010.12 立项经费、预算 无 项目课题组 研究单位及角色 负责人及联系方式 总部网络部 （牵头单位） 魏来河南公司 于娟娟轩春林李保华王 芳苏 坚福建公司 （协助单位） 刘景峰蔡珲二、立项背景和意义 网络 IP化 从接入到核心系统都实现了 IP化，基于 IP技术实现的IMS继承了来自 IP网络的众多安全威胁 终端智能化 智能化的 IMS终端不但具有的实现更多通信业务的能力，同时也具备了更大的对通信网络进行攻击的能力 全业务化 为固定网络同移动网络融合提供了有效支撑，但复杂业务的鉴权、数据保护等安全需求更加强烈 CM-IMS试点组网架构 接 入 网M R F多 媒 体 电 话A S统 一 C e n t r e x A S多 媒 体 彩 铃A S .I M - M G WI / S C S C FB G C FBOSSNMS业 务 层承 载 层H S S / S L FM G C FI S CM g C xU ES B CP - C S C FM wG mG mM n计费网关计 费 系 统固 定 接 入接 入 层OMCP L M NM S C S e r v e rM G WM cM bN c核 心 控 制 层I P 专 网 / C M N E TP S 域 接 入E N U M/ D N SCM-IMS作为集团的重要战略工作，已经完成在 9个省公司的试点。保障 CM-IMS的安全性是提升公司全业务竞争能力的的重要环节！ 三、课题研究目标 对 CM-IMS系统不同层次和不同通信域的安全风险和威胁进行系统性研究，定位安全防护需求 对关键风险研究相应的解决方案，重点问题包括安全域的划分和防护、接入安全方案、统一鉴权方案等，并开展测试和试点工作 根据研究成果制定 CM-IMS系统的安全技术规范 四、课题研究主要内容 1 CM-IMS安全风险分析及研究 通过将 IMS系统划分为 4个平面， 10个通信域，对不同层面和通信域内的安全威胁进行全面分析和研究。 承载 主要内容 2 CM-IMS安全域划分研究 IMS核心系统的安全域划分安全研究范围 核心系统设备范围 I/P/S-CSCF， HSS AS,MRF SBC 承载网络范围 CMNET/IP承载网 /MDCN xPon/FTTB/xDSL 集团客户 LAN 辅助系统范围 网管系统 计费系统 业务开通系统 主要内容 2 CM-IMS安全域划分研究（续） IMS各网元的所属安全域定义 IMS网元各网络接口定义 IMS网元接口安全威胁分析 IMS安全域访问控制策略定义 IMS安全域边界防护措施需求分析 安全域划分和边界防护对 IMS业务影响分析 研究内容 3 CM-IMS安全评估及解决方案研究 针对 CM-IMS存在的安全风险，研究相应的技术解决方案 终端安全方案 链路安全防护方案 接入鉴权安全方案 核心网安全方案 业务安全方案 对 CM-IMS开展安全评估，对安全风险及漏洞进行实际验证 CM-IMS 安全评估 研究内容 4统一 Centrex等业务安全研究 业务逻辑安全 分析 CM-IMS部署的统一 Centrex业务中存在业务逻辑中的安全漏洞，如认证，接入控制等，以避免业务讹用的发生。 IMS系统业务流程安全研究 统一 Centrex的开通，计费，自管理，呼叫等流程。 基于 WEB的应用研究 基于 WEB的用户自配置等安全问题 研究内容 5 CM-IMS安全技术规范研究与制定 基于对安全风险和安全解决方案的研究，制定CM-IMS安全技术规范 中国移动 IMS网络安全威胁分析 中国移动 IMS网络安全总体框架 中国移动 IMS网络安全保护技术规范 IN. 针对现网实际数据分析 TA. 符合国际电信安全要求 ITU-TX.805 ST. 独有系统业务流程分析方式 AV.特有移动威胁验证技术 五、研究总体框架 五、研究总体框架 （续） 用 户 终 端企 业 内 网公 网运 营 商P B XU CG WF WRS B CS B CP - C S C FA SP - C S C F其 他其 他密码猜测 病毒入侵 畸形报文攻击 窃 听 篡 改 资源耗尽 终端 链路 SBC 主要安全风险及需求： 异常流量 盗 用 核心网 欠缺域划分 拓扑泄露 DNS攻击 业务安全 通用安全需求 统一鉴权需求 AS不下沉需求 六、主要技术方案和关键技术 1-安全问题定位 当针对 IMS核心系统的安全攻击发生时，如何才能及时发现以便采取适当的遏制措施 三方的操作行为是否存在越权行为。是否存在非授权的操作 如何划分安全域保护 HSS防止关键数据被窃取 用户终端部署时业务安全如何保障 在用户网络中 IMS业务流量与其它上网数据流量没有分离，如何保证服务质量。 核心系统设备的安全配置是否符合安全要求，是否存在安全漏洞 关键技术方案 2-CM-IMS安全域划分 关键技术方案 3 SBC与防火墙关键问题研究 非 IMS网络 自服务门户等非IMS业务 业务认证 网关 由认证网关代理业务完成用户身份鉴权 HSS S-CSCF P-CSCF I-CSCF IMS核心网 关键技术方案 4 IMS用户访问非 IMS业务统一鉴权 关键技术方案 5 CM-IMS安全评估 1.基于标准 ITU-T X.805 / ISO/IEC 18028-2 安全架构， 2.从基础设施安全、网络服务安全、业务应用安全三个层面进行安全分析 3.每一个安全层都有各自的威胁和安全弱点 1.基础设施层面 - 主机操作系统 (Windos, Unix等 ) - 网络设备 (Cisco, Huawei等 ) - 数据库 (Oracle, SQL等 ) 2.通信服务层面 - 接入层 (SBC/P-CSCF/BCF/MGW) - 承载层 (安全域划分和边界防护 ) - 核心层 (CSCF/HSS/MGCF) 3.业务应用层面 - 用户侧安全 如： Bypass, password crack, signal/media manipulate, SPIT - WEB业务 如：多媒体彩铃、点击拨号 - 企业大客户 如 :统一 Centrix Messaging、 Presence、 PoC等 七、项目的难点 在研究过程中，以下需要厂家或终端用户的配合，存在一定困难： 需要了解用户 网络 的实际情况，如用户规模，网络情况，防火墙部署等以便形成有针对性的分析 需要了解业务终端的情况。需要了解业务相关终端的类型，部署模式等 需要在用户网络中对业务进行现场安全分析 ，通过现网抓包 了解业务的完整运转流程 八、本课题的创新点和专利点 IMS互联域间安全研究与防护 IMS网管安全研究与防护 IMS承载网络安全与防护 组网方面安全研究与网络安全保护方案，与安全防护技术研究 IMS互联域间安全研究与防护 MDCN 企 业专 网 BOSS 话单 账单 计费 FW 网管 FW 日志 网管 SOC SGSN MGW IP承载网 GPRS GGSN DNS CG FW MSS HLR MSS IMS HSS CSCF AS CMNET FW OA Internet 网站 应用 办公终端 三方人员 FW FW FW IMS网管安全研究与防护 IMS承载网络安全与防护 用户接入承载 安全防护主要考虑如下方面： 尽量实现终端用户接入网络中设备和系统的可管理，可监控。防止非法使用和信息泄漏 IMS业务带宽保证。在多种业务并存的接入网络中，需要采取措施保证 IMS的业务带宽。避免其他业务或网络攻击导致的对 IMS业务的带宽挤占。保证通话质量。 IMS核心承载 需采取系列防护措施 路由验证，加密和过滤。 核心承载网络要求绝对封闭。核心承载网络是一个完全独立于所有其它系统的“孤岛”，建议采用承载网带外网管的方式，将承载网的网管系统与基础网络隔离，并在网管系统与基础网络之间实施严格的安全防火墙。 核心承载网络设备本身需要有完善的安全控制能力和流量监控能力。 管理承载 防护大客户网络对网络接入设备的攻击 避免带内网管时网络拥塞造成远程管理工作不能进行 九、与本课题有关的研究工作积累和已取得的研究成果 2009年 IMS安全研究软课题研究 ， 包括 IMS安全分析与安全防护体系架构研究，并进行现场安全试验。 IMS安全研究通过对 IMS业务系统的安全威胁、安全需求分析，设计 IMS的总体安全框架和安全防护体系，并形成一套 IMS的安全评估方法。 十、项目输出成果 IMS核心系统的安全域划分配置建议 /规范 中国移动 IMS网络安全威胁分析 中国移动 IMS网络安全总体框架 中国移动 IMS网络安全保护技术规范 统一 Centrex业务安全部署建议 十一、项目研究实施计划 阶段划分 工作内容 进度安排（年月） 前 期 准 备 阶 段 项目策划、资料收集 10.5-10.6 了解现状，方案设计，计划与文档准备 成立项目组，开工会、任务分工与启动 可行性研究、安全调研，信息收集 项 目 实 施 阶 段 信息收集与整理， IMS各网元 /接口功能，数据交互分析 10.7-10.10 安全风险分析，安全域划分研究，统一 Centrex安全研究 安全保护方案 包括基础设施层评估、通信服务层攻击验证，并对所采取的安全防护措施对 IMS系统产生的影响进行验证分析 后期 相关 工作 内部评审，修改完善，输出研究成果 10.11-10.12 组织