独家供稿：移动Labs

　　                        (中国移动通信集团黑龙江有限公司 陈明 白洋)

　　摘要: 本文阐述了通信网络所面临的安全风险，分析了现有网络安全防护措施急待解决的问题，结合云计算技术的特点，提出了一种在云计算环境下部署的增强通信网络安 全性的方案，该方案能够根据网络攻击行为的全局信息动态的组织跨安全域的告警数据融合和分析，具备根据移动通信网络安全态势自适应调整的能力，克服了以往 单一预警中心的架构，有效防止发生单点瘫痪带来的风险，显著降低硬件资源和网络带宽资源开销，从而使通信网络更有效的对抗木马入侵、蠕虫病毒等网络威胁。

　　1 引言

　　目前网络恶意代码技术的发展趋势具有扩散性传播、自组织结构和分布式协作等特征，近年来各种各样的计算机病毒在因特网上以爆发性的速度进行传 播，为通信网络的安全稳定运行埋下了潜在隐患。黑客组织可以利用木马搭建分布式平台，实施大规模的网络入侵攻击，包括窃取敏感信息、发动大范围的拒绝服务 攻击，甚至瘫痪骨干网服务。为了解决上述问题，几乎所有的通信网络都部署了入侵检测系统、防火墙、漏洞扫描器、防病毒网关等安全防护措施。尽管这些措施可 以对特定类型的攻击行为及特征做出甄别和响应，但其安全防护范围仅局限在各自的安全域，这会造成频率较高的误告警以及重要告警漏报，同时也无法对异常事件 从全局高度进行分析和挖掘原因，特别是在对抗以自适应结构和分布式协作为特征的新型病毒时，原有措施作用有限。因此，实现通信网络安全防护系统的动态自适 应协作，增强通信网络的鲁棒性，组织各类异构型网络安全设施进行有效的告警数据共享，并对发生的安全事件进行基于关联规则策略的实时性全局协同分析，已成 为电信运营商的当务之急。

　　2 云计算的含义与特点

　　云计算是在分布式系统、网格计算等发展的基础上提出的一种新型计算模型，是一种新兴的共享基础架构的方法，它面对的是超大规模的分布式环境，核心是提供数据存储和网络服务。

　　云计算借用了量子物理中的“电子云”(Electron Cloud)思想，强调说明计算的弥漫性、无所不在的分布性和社会性特征。“云”是指计算机群，每一群包括了几十万台、甚至上百万台计算机，是数据存储和应用服务的中心，用来完成存储和计算的工作，“云”中的计算机可以随时更新，并且这种更新是透明的。

　　在云计算中，用户所处理的数据并不存储在本地，而是保存在互联网上的数据中心，用户所需的应用程序并不运行在用户的个人电脑、手机等终端设备 上，而是运行在互联网上大规模的服务器集群中。提供云计算服务的企业负责管理和维护这些数据中心的正常运作，为用户提供足够强大的存储空间和计算能力。用 户只需能够接入互联网，就可以通过电脑、手机等终端设备，在任何地点方便快捷的使用数据和服务，而不需要关心存储或计算发生在哪朵“云”上。可见，云计算 将改变传统以个人计算机为基础的生产模式，最终改变人们获取信息、分享内容和互相沟通的方式。

　　3 网络安全面临的威胁

　　通信网络所面临的威胁包括两类：网络中信息受到的威胁和网络中设备面临的威胁。危害通信网络的因素很多，有些因素是有意的，也有可能是无意的;可能是人为的，也可能是非人为的;还可能是黑客组织对网络系统资源的非法占用等。

　　人为的恶意攻击，是当前通信网络面临的最大威胁，敌对势力的攻击和计算机犯罪都属于这一类。恶意攻击分为以下两种：一种是主动攻击，它以各种方 式有选择地破坏信息的有效性和完整性;另一类是被动攻击，它是在不影响网络正常使用的情况下，进行截获、窃取、破译以获得重要机密信息。

　　网络软件的漏洞和“后门”：网络软件不可能是毫无缺陷和没有漏洞的。这些缺陷和漏洞恰恰是黑客进行攻击的首选目标。软件的“后门”一般是软件开 发人员为了方便或者不可告人的目的而设置的，一般外界并不知晓，但是一旦“后门”洞开，该软件的用户就十分危险，其后果不堪设想。

　　4 结合云计算技术的网络安全解决方案

　　典型的分布式移动通信网络安全告警系统都是以安全域为单位进行部署的，只有在同一个安全域内的防护设施才具有一定的协作能力，必然无法核查关于 网络入侵和攻击行为的全局状态信息。当攻击行为是通过网络恶意代码的大规模传播来实施的时候，全局信息可以帮助相关管理机构作出及时准确的分析判断，分类 和响应。基于上述分析，本文提出基于云计算环境的提高通信网络安全的方案，包括设置多个管理域，每个管理域包括一个中心控制节点和多个与之数据连接的安全 代理节点，多个管理域的中心控制节点之间对等连接，安全代理节点通过外围设施发现异常事件后，提取事件信息并按事先设定字段格式生成告警信息，将告警信息 发送至其所属管理域的中心控制节点，中心控制节点接收来自其所属管理域的安全代理节点和其他中心控制节点发送的告警消息，并将满足事先已设定的合并条件的 一个以上中心节点合并为一个任务组，任务组中的安全代理节点之间对等连接，其中一个安全代理节点担任任务协调中心节点，协调本组内其他安全代理节点共同完 成设定的任务;任务组通过上述任务协调中心节点和一个中心控制节点数据连接，而同一个安全代理节点可以同时加入多个任务组。

　　任务协调中心收集组内各个成员节点的告警信息，进行数据融合和关联分析，由此提取异常事件的特征，并将特征发送至所属管理域的中心控制节点;同时任务协调中心节点制定访问控制策略，发布协同控制命令，协调同组内各个安全代理节点对外围设施的控制操作。

　　本文提出的基于云计算环境下的提高通信网络安全的方案在每个管理域中部署多个中心控制节点，在每一时刻有且仅有其中一个处于激活状态，其余处于睡眠状态，当激活状态下的中心控制节点发生瘫痪时，系统激活一个上述睡眠状态下的中心控制节点担任新的中心控制节点。

　　当任务协调中心节点发生瘫痪时，根据设定的规则指定任务组内其他安全代理节点担任新的任务协调中心节点，中心控制节点之间和任务组中的安全代理 节点之间均通过采用分散式杂凑表路由的对等覆盖网结构进行对等连接。在上述对等覆盖网结构中，为对共享数据提供全局统一查询接口，这里使用结构化查询语言 作为查询手段。

　　上述方案具有：

　　(1)、适应性强，本方案不再采用固定的拓朴体系结构，具备根据移动通信网络安全态势自适应调整的能力，适用于规模巨大的通信网络。

　　(2)、系统生存性高，克服了以往单一预警中心的架构，有效防止发生单点瘫痪带来的风险，从而避免了在单一预警中心附近造成网络拥塞。

　　(3)、数据流量控制能力强，其共享结构不再是集中型，而是根据病毒攻击类型动态的选择需要交互的数据集，大幅度降低硬件资源和网络带宽资源的开销。

　　(4)、协作性高，能够对异构的网络安全防护设施产生的告警数据进行有效的数据融合和关联分析，能够进行跨安全域的数据交换，为决策层对安全事件的评估分析提供网络攻击行为的全局状态信息。

　　5 总结

　　本文提出的基于云计算环境的提高通信网络安全的方案具有动态自适应协作、结构对等的优点，即具有根据移动通信网络所处安全态势自适应调整的处置 能力，任意一个节点失效后，其所担负职能马上被其它节点所承担，避免了因入侵者瘫痪若干个节点后导致整个体系出现崩溃的局面。同时可以兼容异构型网络，体 系中各节点无需关注其所在的地理位置和网络拓朴结构就可以便捷地加入全局体系之中。此外，本方案实现了构建云计算环境的关键技术──高效率的分布式消息共 享，可以有效的实现相关告警数据的分布式共享，进而可以整合各类异构移动通信网络安全防护系统的告警数据资源，实现告警消息的分布式存储和查询机制，这为 分布式移动通信网络安全服务部署在云计算环境下提供了基本的支撑环境。在本方案中，客户端获取并呈现给用户的网络安全服务是由大量网络安全防护设施协同工 作的成果。因此，分布式任务调度机制可以将任务组内的所有成员节点连接起来形成一个动态的、开放的、对等的和自组织的网格系统，使每个节点都能够参与对数 据的分析，并最终将分析结果汇总在一起，实现了对现有计算资源的充分利用。因此，本方案能够根据网络攻击行为的全局信息，动态的组织跨安全域的告警数据的 融合和分析，调动网络安全资源最大限度的阻止计算机病毒对通讯网络的攻击破坏。

白洋发表在移动Labs的原文链接：http://labs.chinamobile.com/mblog/78991_88321
相关博文：
云计算生态系统与大云开发者社区
大云@第三届云计算大会[图]

相关资讯：
以储存虚拟化建立更弹性的异地备援
社交网站Facebook抢注多个支付域名
微软收购Skype 世纪豪赌胜算几何
冰岛火山灰再袭来 视频会议成喷发“亮点”
TD-LTE开通首个基站 六城完成连片热点覆盖规划
中国移动加速TD-LTE发展将促全球网络规模商用

相关专题：
中移动IMS商用在即 全球IMS格局分析

相关知识：
IDC服务业务
大云与云计算