長慶油田軟交換系統安全防護技術應用

金改莉+張斌+王煒

[摘 要]長慶油田語音通信已全面邁入IP時代，隨著SIP手機電話的推廣，終端已經開始呈現出移動化，在為油田語音通信帶來便利的同時，軟交換系統的安全也面臨著考驗，本文立足長慶油田軟交換系統現狀，針對各個層面的要素，分別進行安全評估分析，尋找潛在的安全隱患，并針對性地尋找解決方案，修補安全漏洞，確保長慶油田軟交換系統安全運行。

[關鍵詞]軟交換系統；安全風險；長慶油田

doi：10.3969/j.issn.1673 - 0194.2017.12.025

[中圖分類號]TN915.08 [文獻標識碼]A [文章編號]1673-0194（2017）12-00-02

長慶油田軟交換系統承擔著油田辦公、生產指揮及生活服務語音通信的重要使命。目前，長慶油田軟交換系統結構：控制層在西安、銀川分別部署1套軟交換核心設備SOFTX3000、在西安部署1套智能平臺系統；在IP網絡層面建設1套軟交換獨立承載網系統，與其他網絡完全隔離；在接入層面上部署UMG8900中繼網關5套、UA5000接入網關45套，以及IAD、PON、SIP接入終端千余套。隨著業務的擴大，軟交換系統安全問題越來越重要。

1 簡述軟交換系統安全風險

在軟交換組網中，邊緣接入層的設備和各種網關設備的容量可以非常大，一旦中斷，其影響成幾何級數放大；核心交換層是基于IP的網絡，在承載網故障或者不穩定的情況下，會出現心跳機制混亂、業務運行故障、核心節點運行不穩定或者脫網、鏈路和路由狀態異常等狀況；在業務應用層，軟交換系統用戶終端的智能化以及接入方式的復雜化，對軟交換協議處理的容錯性提出了更高的要求，接入區域公共化等使軟交換網絡處于更開放的網絡環境中，更易遭受攻擊。軟交換系統通過開放的業務接口提供豐富的業務和應用，但開放的業務接口使其面臨被攻擊的危險。

2 軟交換系統的安全風險

2.1 控制層的安全風險

控制層主要完成數據配置管理、業務發放、業務觸發、業務實現、話單產生等關鍵動作。隨著語音業務IP化，SIP協議由于其開放性，在VOIP中受到了廣泛應用，但同時也帶來了比較大的安全問題。目前，互聯網上有許多惡意軟件，不停掃描各種SIP端口，進行注冊與攻擊。造成的結果是盜打電話，尤其是國際長途電話，甚至是攻擊SIP端口造成整個企業的IP電話系統癱瘓。因此，SIP的應用越廣泛，安全性問題越突出。

SIP電話盜打過程是指盜用SIP電話號碼注冊到長慶油田軟交換上實現電話呼叫，常見的盜打是撥打境外國際長途高結算國家的聲訊電話，以惡意套取國際長話費，獲得高額結算。通過分析軟交換業務實現過程和信令觀察，發現在控制層出現的安全威脅主要是，通過“套撥本地權限接入碼+電信IP字冠+國際長途字冠、通過電信IP字冠+國際長途字冠”實現長途盜打。軟交換在分析智能接入碼后不再判斷接續號碼所需要的呼出權限，容易導致套撥后繞開權限判斷而實現長途越權盜打；其次是SIP用戶賬戶和密碼泄露引起的非法注冊和盜打，SIP用戶未配置密碼或僅配置弱密碼，一旦賬戶和密碼泄露或被破譯，很容易被非法注冊后發起盜打。另外，電信“17909”“11808”等IP電話存在安全漏洞，用戶權限為國內或者本地便可通過“17909”“11808”等撥打國際電話。

2.2 核心層的安全風險

軟交換系統核心交換層采用的是IP分組網絡，通信協議和媒體信息主要以IP數據包的形式進行傳送。承載網面臨的安全威脅主要有網絡風暴、病毒（蠕蟲病毒）泛濫和黑客攻擊。網絡風暴和病毒，輕則通過大量占用網絡資源和網絡帶寬，導致正常業務訪問緩慢，甚至無法訪問網絡資源；重則導致整個網絡癱瘓，黑客攻擊網絡中的關鍵設備，篡改其路由和用戶等數據，導致路由異常、網絡無法訪問等。

2.3 接入層的安全風險

軟交換網絡提供了靈活、多樣的網絡接入手段，任何可以接入IP網絡的地點均可以接入終端，這種特性在為用戶提供方便的同時也帶來了很多安全隱患。一些用戶利用非法終端或設備訪問網絡、占用網絡資源、非法使用業務和服務以及向網絡發起攻擊。另外，接入與地點的無關性，使安全事件發生后很難定位發起安全攻擊的確切地點，無法追查責任人。

2.4 業務應用層面的安全風險

目前，騷擾電話、垃圾傳真已成為一種社會公害，給人們正常的工作和生活帶了干擾和影響。長慶油田軟交換網中出現大量商業推銷、宣傳的騷擾電話，更有甚者出現諸如邪教非法宣傳等騷擾電話；網絡中垃圾傳真也日趨泛濫，一些非法機構利用網絡傳真自動向油網傳真電話發送傳真。

本文通過對長慶油田軟交換系統出現騷擾電話的跟蹤觀察，發現現網中一部分的商業宣傳、推銷的呼入號碼一般均為原始底號。對于長慶油網內出現的其他一些騷擾電話和垃圾傳真，其主叫號碼一般都具有“號碼隱藏”和“號碼頻繁變換”的特性；對于“號碼隱藏”的來電，其來電顯示為“私人號碼”“未知號碼”“#”“000”等，通過對被叫的信令分析發現，主叫號碼屬性中號碼呈現指示為“禁止”，而正常的呼叫為“允許”，這意味著對方在號碼屬性中設置了“主叫線識別限制”。

3 軟交換系統安全風險的解決方案

3.1 控制層安全措施

控制層負責數據配置管理，對局數據進一步優化配置：針對17909、17908、11808等電信IP字冠，出局號碼字冠分析盡量細化，最少分析到17909010、17909011……，不設置“1790900”國際長途呼叫字冠的號碼分析。針對“套撥本地權限智能接入碼（193、195、196、197、198等）+電信IP字冠+國際長途字冠”盜打長途電話，本文通過信令觀察，發現軟交換分析智能接入碼后不再判斷接續號碼所需要的呼出權限，容易導致套撥后繞開權限判斷而實現長途越權盜打，在控制層上將智能接入碼193、195、196、197、198業務字冠的最小號長和最大號長設置為不固定，最大號長設置為15位，使套撥盜打國際長途時，只能撥打到“1931790900XXXXX”長度，無法將際長途號碼輸全，從而限制盜打。

3.2 接入層安全措施

在接入層加強對SIP用戶權限和接入終端密碼的管理，設置多媒體終端數據時必須進行密碼認證，且對全網SIP用戶弱口令進行修改；對全網SIP用戶進行排查，刪除已停用的SIP用戶數據；若在公網上無SIP電話業務需求時，封閉公網注冊地址及端口，杜絕外網SIP電話注冊到長慶油田軟交換上。

3.3 核心層安全措施

核心網安全域是軟交換網絡的安全核心。長慶油田軟交換核心網的承載層采用專用IP網和VPN方式組網，安全域內設備（包括各種AG）本身的管理和控制可以認為是安全的。為防止核心交換層受到黑客或病毒程序的攻擊或干擾，必須隔離軟交換系統承載網與互聯網，與互聯網的互通通過安全設備（如SBC）實現，在核心網與其他網絡連接時，部署SBC和防火墻等設備進行內外網隔離；網絡中的SS等設備需具備完善的設備認證和授信方式，防止非法登錄。核心網節點間需采用心跳和媒體檢測等方式進行狀態檢查，及時更新節點狀態，保證業務正常；接入節點需具備帶寬和業務管理能力，防止用戶非法占用帶寬和使用業務；核心網節點應具備對異常信令和消息的處理能力，防止人為攻擊等造成節點癱瘓。

4 結 語

軟交換語音業務IP化、移動化在給人們帶來便捷、高效的同時，其IP承載、網關多重歸屬、承載和業務分離、更加開放的接口，都對網絡安全提出了更高的要求，因此，做好安全隱患預防尤為重要，優化數據配置管理，關閉承載網設備所有未用端口，從源頭杜絕非準入設備接入。總之，軟交換的網絡安全問題是一個需要長期關注的課題，需要不斷進行探索。