| 2.业务支撑系统，主要有BOSS、经营分析系统、大客户关系管理系统等;
3.企业管理信息系统，办公自动化系统、电子工单系统、资产管理系统等。
上述IT系统在今天很少是孤立存在的，也就是说，它们必须与其他系统实现网络互通和信息共享与交互。在这种应用需求下，使得不同的外部网络、不同身份和目的的人都有机会连接到运营商内部网络中，从而对IT系统的安全带来了威胁。从电信运营商IT网络环境的层面而言，IT系统的安全威胁主要来自以下几个方面。
1.来自内部误用和滥用的安全威胁，包括:各种调查都显示来自于内部的误用(操作)和滥用对企业网络和业务的影响都是最为致命的。而这类误用和滥用，与运营商内部不同IT系统或者与其他相关系统的互联互通、运营商之间的互联互通、与客户或者厂商的互联互通所采取的安全措施不利是有非常大关系的;
2.来自互联网的安全威胁:目前有些运营商的IT系统是与互联网相连的，例如很多办公自动化系统都与互联网相连，如果安全措施不力就很有可能被黑客利用，带来网络安全问题;
3.来自缺省配置的安全威胁:电信行业在建设IT系统时，大量的UNIX/WINDOWS/NOTES等系统很多都采用缺省配置，造成开放不必要的端口等安全隐患，如果运营商对其IT局域网架构缺乏安全边界的划分，而又没有采取一个可集中控制访问请求的措施，则很容易被不法分子利用进行非法入侵。
二、运营商IT系统局域网架构的安全域划分
IT系统安全体系的最终目标就是在技术可行和管理可行的前提下，将安全风险和隐患降低到一个可以接收的水平。要实现这一目标，需要解决的问题不仅仅是选购何种品牌的防火墙、IDS和考虑在何处安装这些安全设备，更是需要综合考虑如何在现有IT网络架构上安装何种安全设备才能发挥最大的作用。通过前面的分析可知，如果没有一个结构清晰、可靠实用、扩展灵活的IT网络，依然沿袭各套IT系统的安全建设自成体系、分散单一的常规做法，即使选用最先进的安全设备，那么也只能是搭建了一个空中楼阁，无法从根本上减弱IT系统所受到的安全威胁和隐患。因此，克服和改造IT系统传统局域网整体结构的不足才是电信运营商解决网络安全的首要工作。为规划和建设一个完善的IT系统局域网，本文引入一个安全域的新概念。安全域的定义是，在安全策略的统一指导下，根据各套IT系统的工作属性、组成设备、所携带的信息性质、使用主体、安全目标等，将运营商的IT系统局域网划分成不同的域，将不同IT系统中具有相近安全属性的组成部分归纳在同级或者同一域中。一个安全域内可进一步被划分为安全子域，安全子域也可继续依次细化。
这里需要明确的是，IT系统局域网结构的安全域划分并不是传统意义上的物理隔离，物理隔离是由于存在信息安全的威胁而消极地停止或者滞后信息化进程，隔断网络使信息不能共享;而安全域划分是在认真分析各套IT系统的安全需求和面临的安全威胁的前提下，既重视各类安全威胁，也允许IT系统之间以及与其他系统之间正常传输和交换的合法数据。
从设备组成上看，如果不考虑这些IT系统中自带的安全设备，可以将其分为三大部分:核心处理系统，包括多主机架构组成的服务器、数据库、应用软件等，负责该IT系统的信息采集、处理和应用;接入交换系统，包括路由器和交换机，负责该IT系统的内部以及与其他相关系统之间的信息交互;操作维护部分，包括各类操作维护终端，负责向维护管理人员提供接入手段。一般情况下，电信运营商的IT系统虽然是独立建设的，但各套设备的物理位置都是比较集中的，而且不同IT系统的核心处理系统、接入交换系统和操作维护部分所面临的安全威胁、安全需求都是比较类似和接近的(例如IT系统的操作维护终端多是基于MS windows平台,遭受病毒攻击的风险比较接近)，因此可以利用这两个特点并借鉴常规物理隔离中的有益思想，完成电信运营商IT系统局域网结构的安全域划分。 在安全域划分时应该遵循以下的一些基本原则。
|
|
