安全增值服務(wù)成為電信增值業(yè)務(wù)新機會

RSA大中華區(qū)高級信息安全系統(tǒng)構(gòu)架師 司馬麗維 2009/12/02

圖1 在數(shù)據(jù)中心、網(wǎng)絡(luò)、終端實現(xiàn)數(shù)據(jù)控制

　　在數(shù)據(jù)發(fā)現(xiàn)的過程中，是按照不同的策略來發(fā)現(xiàn)敏感級別不同的數(shù)據(jù)，分類的信息都可以在RSA產(chǎn)品里面進行定義。這方面需要精確的匹配技術(shù)，RSA在敏感信息的精確匹配方面在業(yè)界有很好的評價。最后是對數(shù)據(jù)的控制，比如，運營商IDC可將重要且敏感的信息放到最安全的地方并進行加密；在網(wǎng)絡(luò)層對不該傳出的信息做攔截；在后臺進行日志管理及審計等。

電信安全增值業(yè)務(wù)之二：統(tǒng)一認(rèn)證及身份管理

　　渠道代理商對運營商核心業(yè)務(wù)系統(tǒng)的接入，一直是安全事件頻發(fā)的環(huán)節(jié)。由于往往采用VPN接入方式，將服務(wù)器暴露在公網(wǎng)上，社會渠道網(wǎng)點感染的病毒很容易進入信息中心的內(nèi)網(wǎng)，給運營商帶來巨大安全隱患。中國某省電信運營商很早就采用了RSA SeurID強認(rèn)證解決方案及RSA SecurID令牌為其虛擬專用網(wǎng)（簡稱VPN）提供安全認(rèn)證保護。

　　有關(guān)用戶身份保護可分為三級，首先是基本身份認(rèn)證，如RSA令牌，也稱作雙因素強身份認(rèn)證。其次是基于風(fēng)險的認(rèn)證。根據(jù)用戶活動風(fēng)險的不同增加認(rèn)證機制。最后是用戶身份欺詐防范服務(wù)。在身份認(rèn)證及網(wǎng)絡(luò)防欺詐方面，RSA擁有全球最大的防欺詐網(wǎng)絡(luò)，有幾百個防欺詐專家每天都在研究和提供防欺詐的技術(shù)和手段，包括最快速地識別、阻止、取證分析、及關(guān)閉欺詐攻擊。

　　原有的分散賬號、靜態(tài)口令等模式的身份管理不再能夠滿足電信業(yè)務(wù)發(fā)展要求。電信運營商需要統(tǒng)一的安全認(rèn)證平臺，該平臺不僅可以滿足自身業(yè)務(wù)發(fā)展需求，還能向用戶及合作伙伴提供認(rèn)證服務(wù)。借助統(tǒng)一認(rèn)證平臺，電信運營商可以向MSS（管理支撐系統(tǒng)）用戶、BOSS(業(yè)務(wù)運營支撐系統(tǒng))用戶、系統(tǒng)（主機、網(wǎng)絡(luò)、數(shù)據(jù)庫）用戶、ADSL用戶，以及基于Web Portal的用戶提供認(rèn)證服務(wù)；還可以向金融、媒體、政務(wù)等行業(yè)客戶提供相關(guān)業(yè)務(wù)認(rèn)證服務(wù)。

　　目前，國內(nèi)真正做成統(tǒng)一認(rèn)證平臺的行業(yè)不多，但電信運營商卻有著獨特的網(wǎng)絡(luò)、用戶、品牌等優(yōu)勢。RSA能夠助力運營商建立統(tǒng)一的認(rèn)證平臺，不管是針對系統(tǒng)層的認(rèn)證，比如針對主機、路由器、防火墻的認(rèn)證；還是在線用戶的認(rèn)證；以及基于應(yīng)用的認(rèn)證都可以在RSA認(rèn)證平臺里面進行。

圖2風(fēng)險管理中的統(tǒng)一認(rèn)證平臺

　　與傳統(tǒng)的安全認(rèn)證平臺相比，RSA統(tǒng)一認(rèn)證平臺最大的不同在于底層平臺是“自適應(yīng)風(fēng)險引擎”，這意味著即使某個用戶的身份被盜用了，還可以根據(jù)用戶本身的活動行為及信息做進一步的判斷和認(rèn)證。假如一個ADSL用戶進入到系統(tǒng)里面，RSA可以在第一時間里做出判斷，如果這個用戶的IP地址來自于RSA防欺詐網(wǎng)絡(luò)黑名單上的地址，這個時候即使用戶名和口令都是正確的，RSA仍將進一步對該用戶進行其它認(rèn)證。

電信安全增值業(yè)務(wù)之三：監(jiān)控、報告、審計

　　作為運營商IDC安全服務(wù)體系的一部分，通過對信息的監(jiān)控、報告、審計，IDC同樣可以向客戶提供細(xì)化的增值服務(wù)。比如可以對客戶信息系統(tǒng)中關(guān)鍵資產(chǎn)、網(wǎng)絡(luò)邊界設(shè)備、以及邊界安全防御設(shè)備提供重點監(jiān)控；還可以定期對信息系統(tǒng)中的關(guān)鍵資產(chǎn)進行單獨審計并提供獨立的審計報告。客戶通過購買這些統(tǒng)計報告，從而更好的了解自身系統(tǒng)現(xiàn)狀，更有效地應(yīng)對安全挑戰(zhàn)。

　　從運營商內(nèi)容需求看，對信息的監(jiān)控、報告、審計，可以有效簡化IT審計和法規(guī)遵從，并提高信息安全級別，以及優(yōu)化IT系統(tǒng)及網(wǎng)絡(luò)運維。電信運營商應(yīng)對國內(nèi)外法規(guī)遵從的需求不斷增長，如國內(nèi)的內(nèi)控法案，國際的薩班斯法案。這些法案往往會給企業(yè)帶來重復(fù)的投入或負(fù)擔(dān)，RSA enVision可以大大減輕企業(yè)在法規(guī)遵從方面的投入，該平臺把國際上常見的審計法案都已經(jīng)內(nèi)置里面，它可以自動地做審計，不需要再手工地搜集審計證據(jù)。

圖3 數(shù)據(jù)監(jiān)控、報告、審計的目標(biāo)

　　通過RSA enVision平臺的統(tǒng)一管理，整個IT系統(tǒng)的運行狀況都可以一目了然。可以看到整個基礎(chǔ)架構(gòu)的風(fēng)險管理做到了什么地步，網(wǎng)絡(luò)層發(fā)生了什么事故，服務(wù)器出現(xiàn)了哪些病毒等。并且這一切都是自動化實現(xiàn)。

實例：Telus電信受益于完整安全體系的解決方案

　　通信企業(yè)應(yīng)該將信息風(fēng)險管理的投入與業(yè)務(wù)相結(jié)合。這方面Telus的成功經(jīng)驗值得分享。Telus是加拿大電信三巨頭之一，為客戶提供完整的電信產(chǎn)品和服務(wù)，包括覆蓋整個加拿大的數(shù)據(jù)、聲訊和無線服務(wù)。為了滿足所有合規(guī)性要求，并同時把信息安全做好的情況下，Telus認(rèn)識到需要一個完整的、體系化的安全解決方案。

　　首先，Telus像所有電信運營商一樣，企業(yè)本身面對著很多信息安全隱患；其次，作為規(guī)模較大的電信運營商，Telus需要滿足合規(guī)性的要求，比如薩班斯法案，以及北美其它的法規(guī)要求。再次，Telus有很多的安全增值服務(wù)或外包服務(wù)，同樣需要信息風(fēng)險管理。RSA以信息風(fēng)險為基礎(chǔ)的整套管理體系符合Telus上述所需，包括各種法案法規(guī)的遵從；企業(yè)的全部信息的保護；所有信息的監(jiān)控和報告；信息的加密&密鑰管理；信息訪問的認(rèn)證及授權(quán)；信息的訪問控制；數(shù)據(jù)發(fā)現(xiàn)及完整性保護。

　　Telus電信通過實施RSA整套風(fēng)險管理體系，可以發(fā)現(xiàn)敏感信息在哪里，誰訪問了這些數(shù)據(jù)，數(shù)據(jù)流向哪里, 風(fēng)險在何時出現(xiàn), 如何控制并降低這些風(fēng)險。Telus 不只是從產(chǎn)品層面出發(fā)選擇安全產(chǎn)品，而是選擇通過整套平臺實現(xiàn)信息管理和法規(guī)遵從。RSA風(fēng)險管理體系幫助Telus實現(xiàn)了四個風(fēng)險管理的目標(biāo)，分別是定義敏感信息，進行數(shù)據(jù)分類；通過ISO27000框架建立一套安全體系；進行數(shù)據(jù)風(fēng)險評估，對敏感信息做終端層、網(wǎng)絡(luò)層和數(shù)據(jù)中心層的保護；最后通過應(yīng)用RSA DLP和enVision等產(chǎn)品實現(xiàn)風(fēng)險控制。

　　正如RSA全球總裁亞瑟·科維洛曾經(jīng)說過的：“電信業(yè)是一個特殊的行業(yè)，不僅是RSA的客戶同時還是合作伙伴，這意味著信息風(fēng)險管理將與電信業(yè)務(wù)進一步融合�！� 希望，安全增值業(yè)務(wù)也能為電信運營商帶來新的商機，RSA愿意與國內(nèi)的電信運營商深入探討，并為電信運營商助一臂之力。

中國信息產(chǎn)業(yè)網(wǎng)(www.cnii.com.cn)