電力IMS行政交換網新型安全防護體系及技術研究

李妮 陳璞 李夢琳 夏行宇

摘要：IMS多媒體子系統作為新一代核心交換技術引入電力行政交換網，利用SIP協議的易擴展性和IP網絡的開放性，促成了網絡全業務開放能力，但隨之也引入了各種不確定安全因素。IMS采用SDK控件接口方式同業務平臺對接，將接口完全封裝同外部對接，提升了IMS核心網的安全性。在此基礎上，提出了四維一體的創新性安全防護體系，從技術、管理、角色和策略4個維度部署了加密算法、虛擬化代理及雙層隔離等多種安防策略，提供了一個安全可靠的數據運行環境，確保IMS網絡的正常運行。

關鍵詞：安全；網絡；防護；開放

中圖分類號：TP393文獻標志碼：A文章編號：1008-1739（2019）11-62-4

0引言

電力交換網已經由傳統的程控交換網絡走向軟交換模式，是一次歷史的飛躍。電路級別到IP級別更適用交換業務的擴展，電力交換網業務將會呈現“互聯、智能、開放、靈活”的全新特點，實用化水平不斷提高。業務交換網全過程涉及多個基礎系統及業務平臺，交換協議流程會暴露在多個攻擊風險下，這種復雜的交互模式給平臺安全控制造成了很大困擾，需要通過穩定的接口控件和網絡維護來共同維護數據交互的秩序。

1 IMS智能開放平臺的信息安全防護模型

電力IMS行政交換網逐步將不同的云業務接入到交換平臺上，結構越來越復雜。電力對網絡安全有嚴格要求，最基本需滿足《全國電力二次系統安全防護總體方案》防護要求，電力IMS網絡信息防護需要從設備、業務、管理和組網等多方面部署安全防護措施，避免受到外界的攻擊。對于網絡信息數據的攻擊手段層出不窮、推陳出新，安全防護措施也應創新模式[1 ]。本文借鑒電網其他分支網絡的安全防護策略，引入其他行業的信息安全治理理念，提出一種“云+網+端+邊界”的創新型全方位立體防護體系，大膽的構想與設計，可持續滿足電力交換網擴展性發展期間對信息安全工作的新要求。“四維一體”安全防護部署架構如圖1所示。

“四個維度”分別從安全策略、安全技術、安控對象及管控方式來定義；“四個控體”指IMS基礎網絡、移動終端、交換邊界及云業務平臺，形成一個多維融合的安全防護體系。

在安全策略上，采用分級防護、定時檢查、短時響應、快速恢復和實時對抗的策略。在安全技術層面，針對底層硬件設備和網元安全防護技術主要采用硬件加密、防火墻隔離和網絡鑒權等方法可解決設備攻擊問題，在服務器、數據庫和業務終端上內嵌加密芯片，采用數據加密方式提供一條邏輯上的專用通道；在服務器出口進入業務云平臺前，通過防火墻進行安全隔離，防止外部未授權數據進入；在IMS核心網中每個網元設置獨立的數據和信令通道，防止數據串擾；針對網絡基礎層和云平臺業務層的數據安全防護措施是重點，數據在多平臺間交互的漏洞較多，采用虛擬化專用通道方式傳輸各類業務，并通過接收鑒權及身份認證等安全防護技術抵抗外來攻擊。管控對象是一個全空間維度的密封式安全防護元素，從用戶、硬件、軟件、網元、業務平臺和管理系統到測試設備建立一個全鏈條式的安控流程，使安全防護過程同IMS業務交換過程協同進行，避免安全檢查流程過于復雜而影響業務傳輸性能要求，二者的融合和滲透已達到一定程度[2]。在安全管理層面，主要包括制度與規程的制定、執行和改進；對技術的管理，主要通過制度使各種技術成為一個有機整體，從而提高系統的整體安全能力。管理措施在某種意義上比技術措施更加重要、有效。

2基于SDK控件提升IMS網絡開放安全交互能力

IMS業務能力是在IMS網絡實體共同提供的，通過能力開放平臺提供通信能力開放、業務納入開放及管理模式開放，將IMS網絡中的通信能力和資源以使能平臺的方式整合之后開放給第三方，利用通信能力實現業務流程的優化和個人應用更好的體驗。能力開放平臺與IMS中各能力引擎的接口適配，將各能力封裝為API后開放給應用側調用，通過一定的屏蔽手段增強了交互過程的安全性[3-4]。

IMS能力開放平臺提供了一個統一開發的仿真環境，為開發者提供離線開發工具及業務執行環境，形成一個獨立的安全仿真層，用于第三方業務開發者進行基于IMS業務開放平臺的業務服務側和用戶側客戶端軟件的開發。能力開放模塊是實現IMS核心網絡能力封裝的安全網關，提供開放API接口供能力調用接入，以更安全地支撐業務能力開放。IMS核心網絡能力通過協議適配模塊進行協議轉換后接入到服務總線進行消息的處理和流轉，而對于IT能力和互聯網能力通常采用SOAP/HTTP類接口，可以直接接入到服務總線進行處理。整體架構如圖2所示。

基于IMS能力開放平臺的開發是在Restful API服務發布機制上實現系統模塊設計、開發及部署，遵循平臺開發，同時還借助能力開放平臺開發SIP協議的轉化等平臺服務功能，統一軟件開發技術，提供服務與業務系統進行數據交互技術，降低業務開發難度和提高集成的效率。Restful方式的接口基于HTTP標準操作方法[5]，與平臺無關，提升了操作過程對平臺的安全指數，語意可以自解釋，方法簡單，每個請求傳輸的凈荷大，數據傳輸高效，能同時滿足大量請求的接入。

針對SIP終端模塊所需的多媒體交互基礎功能，需對應開發功能包，功能包實現由SIP，Web，SDK等模式獨立開發，但SIP方式直接與核心網對接，并且無功能封裝，安全系數太低；Web實現業務顆粒度較粗，業務單一，擴展能力有限，但安全系數最高；SDK能力開放是使用SDK控件屏蔽IMS核心網底層的復雜SIP協議，把IMS中各種業務能力封裝成程序包，從而滿足開發者的基礎開發要求。

3非結構化數據安全隔離及交換技術

由分析可知，數據安全比網絡安全更難攻守。數據分為結構化的靜態數據和非結構化的動態數據，靜態數據固化性強，變化不大；非結構化數據是由各種形式的數據融合組成的，數據形態多樣，數據在格式變化、融合的過程中隨時會受外界干擾，安全性能較差，因此本文針對非結構化數據研究安全隔離及交換技術。

安全隔離采用2級隔離方式：物理隔離和邏輯隔離。物理隔離采用內外網隔離裝置，不同云平臺盡量對應不同處理服務器和存儲器，保持業務端點出口完全獨立。通過移動硬盤、U盤等拷貝介質加密處理，確保數據輸入輸出的保密性。物理隔離方式存在資金浪費、操作繁瑣等問題并不能控制數據通道和操作方面的安全性，因此，在物理隔離之后加之邏輯隔離進行鞏固。邏輯隔離在物理鏈路上控制數據傳輸方向和容量，通過不斷更新安全策略提高傳輸的安全防護能力[6-7]。本文提出一種虛擬化業務托管方式來提升安全性。云業務平臺不直接訪問核心網服務器，中間增加一個虛擬化功能層，虛擬桌面為公共訪問平臺，數據處理過程封裝在虛擬層中，不直接裸露在外界；物理鏈路的連接不能隨意訪問數據，虛擬邏輯層設置針對不同的網絡連接設置不同安全等級，通過邏輯協議才能在虛擬層處理。在這種軟件架構技術的支撐下，實現一對多平臺的數據處理安全隔離。

還采用動態路由的方式，指導業務間交換的路徑和模式。IMS網絡為全IP化網絡，可實現業務端到端的控制。在網絡和平臺間部署一套交換網關裝置，網關內嵌動態路由算法，綜合路徑最優和業務實時優先級作為下一條路由表制定依據，以最安全的方式完成業務間靈活的切換。網絡安全隔離和交換技術實現模式如圖3所示。

該模型能有效實現數據的自動安全隔離和交換，滿足了電力行政交換網對安全性的要求，不影響業務地正常傳輸、處理和展示，提高了IMS網絡安全性及辦公效率。

4移動終端業務安全接入防護技術

IMS網絡中涉及移動終端業務，例如移動辦公、移動巡檢語音終端和巡檢機器人等，移動通信網絡由于其空中開放性，移動終端用戶面臨數據竊聽、刪除和篡改等多種威脅，黑客甚至可以通過物理干涉或協議干涉來實施拒絕服務或阻塞業務等攻擊。同時，移動終端內嵌的強大功能和智能化也帶來了新的安全漏洞，竊密者可以通過對業務交換平臺開放給開發者的接口編寫惡意軟件竊取移動終端資料，一旦移動終端成為病毒和黑客程序的發源地或中繼站，IMS核心網所承載的業務系統將面臨直接威脅。IMS行政交換網絡中的移動終端用戶存在的安全風險主要包括：終端用戶數據泄露、遭到非法應用騷擾、遭受拒絕服務攻擊和對非授權業務的非法訪問等情況。移動終端可制定完備的鑒權機制和加密措施來規避攻擊。

根據信息安全要求，內外網移動應用根據接入方式可分為：①內網移動應用。內網智能終端通過無線專網或運營商虛擬專網接入公司安全平臺，在進行安全認證后，才可以接入信息內網，此時終端只能用于接入信息內網，無法接入互聯網。②外網移動應用。外網智能終端通過互聯網接入信息安全隔離裝置（邏輯強隔離裝置，內外網采用類似數據擺渡的方式實現內外網數據共享，但是無法建立直接連接，即無法進行實時信息交互）[8]。

根據業務需求分析，目前語音呼叫、語音會議和通信錄3種業務基本滿足外網移動業務需求。針對外網移動終端應用的4種方案進行對比，如表1所示。

從表1可以看出，方案1業務單一、只能提供語音類業務；方案2能夠實現音視頻、會議和數據等類型業務，業務提供類型較豐富，但是需要占用行政號碼資源，IP音視頻質量依賴互聯網環境，內外網邊界的SBC存在安全風險；方案3能夠實現語音、會議和數據等類型業務，相比較方案2不占用行政號碼資源，同時采用E1回撥可以保證語音質量，并且無信息安全風險；方案4能夠基于IP實現音視頻、會議和數據等類型業務，但是由于外網新建設IMS核心網，會帶來投資增加，運維量加大，號碼重新規劃等問題。因此，建議采用方案3作為外網移動業務應用解決方案，能夠較好地滿足當前的業務和安全的需求。

5結束語

電力IMS行政交換網不再僅傳輸傳統的語音、報表等業務，要充分利用網絡資源和業務開放能力，將更多的行業內外數據及多媒體接入到交換網，盡力服務系統內各業務部門，提供更多的數據資源，構建安全可控的數據供應鏈生態環境。但在這種開放式環境下，安全性受到嚴重威脅，因此要在保障安全的前提下打開平臺大門容納多形態數據。在此需求下提出了一種“云+網+端+邊界”的創新型全方位立體防護體系，深度融合云計算、虛擬化和安全防護等新技術，構建新型的電力IMS行政交換網信息安全協同技術防護模型，保障在全IP全開放IMS業務網絡下的數據安全交換及處理。

參考文獻

[1]李延斌.IMS網絡安全部署策略研究[J].郵電設計技術， 2016（1）：10-15.

[2]郭創新，陸海波，俞斌，等.電力二次系統安全風險評估研究綜述[J].電網技術，2013，37（1）：112-118.

[3]張擁軍，唐俊.基于云模型的網絡安全態勢分析與評估[J].計算機工程與科學，2014，36（1）：63-67.

[4]劉靜.淺析電力企業網絡安全及其防護策略[J].科技視界， 2014（36）：313-314.

[5]賀文華.物理隔離雙網系統設計方案及應用分析[J].教育信息化，2005（9）：38-40.

[6]徐耀琦.淺談網絡隔離技術應用[J].智能建筑，2008（10）： 35-38.

[7]秦超，張濤，林為民.電力移動作業PDA安全接入系統設計與實現[J].電力系統自動化，2012，36（11）：82-85.

[8]闕華坤，楊勁鋒，肖勇，等.基于一體化平臺的信息安全等級評估[J].計算機工程，2013，39（10）：133-137，142.