?

電信運營商信息安全管控架構(gòu)及集中策略研究

丁志剛, 肖子玉

（中國移動通信集團設(shè)計院有限公司，北京 100080）

摘 要本文對運營商信息安全集中管控架構(gòu)演進和信息安全管控策略面臨的問題進行了深入分析，提出了信息安全集中管控架構(gòu)的演進方向建議及對信息安全監(jiān)控策略工作優(yōu)化的若干意見。

關(guān)鍵詞信息內(nèi)容安全；集中管控；信息安全策略

1　研究背景

隨著移動通信技術(shù)的發(fā)展，信息內(nèi)容安全已成為運營商面臨的重要課題，不法分子為了牟利等目的利用移動通信網(wǎng)絡(luò)傳播不良信息、侵入用戶系統(tǒng)，一方面造成了用戶的隱私泄露、用戶被惡意扣費、用戶受到垃圾信息騷擾等問題，另一方面也對運營商網(wǎng)絡(luò)資源造成了極大負擔，損害了運營商的企業(yè)形象。為了解決這些問題，各大移動運營商在努力提高自身移動通信業(yè)務(wù)能力的同時，針對各類涉及用戶內(nèi)容安全的業(yè)務(wù)部署了多套信息安全管控系統(tǒng)，如針對垃圾短信問題的垃圾短信監(jiān)控系統(tǒng)、針對騷擾電話問題的騷擾電話監(jiān)控系統(tǒng)等。本文將對信息安全管控系統(tǒng)面臨的問題和優(yōu)化方案進行討論分析。

2　信息安全管控系統(tǒng)部署架構(gòu)分析

2.1 信息安全管控系統(tǒng)架構(gòu)演進情況

信息內(nèi)容安全問題是隨著通信業(yè)務(wù)的發(fā)展逐漸涌現(xiàn)的，如早期用戶主要使用短信業(yè)務(wù)，垃圾短信問題便隨業(yè)務(wù)發(fā)展逐漸凸顯，隨后移動互聯(lián)網(wǎng)業(yè)務(wù)、彩信等業(yè)務(wù)開始流行，又出現(xiàn)了通過互聯(lián)網(wǎng)傳播淫穢色情內(nèi)容、垃圾彩信、手機惡意軟件等問題，運營商每面對一個新的信息安全問題便在網(wǎng)內(nèi)針對業(yè)務(wù)部署新的管控系統(tǒng)，各系統(tǒng)均獨立設(shè)置獨立運營。

另外，由于我國運營商組織架構(gòu)和網(wǎng)絡(luò)架構(gòu)背景所致，信息安全管控系統(tǒng)部署初期一般都是按省部署，各省獨立設(shè)計自有系統(tǒng)的實現(xiàn)方案，造成各省系統(tǒng)功能、監(jiān)控效果差別大，不利于運營商集團層面統(tǒng)一管理和考核。

因此，近年來信息安全集中管控架構(gòu)被提出，著手于對現(xiàn)有的信息安全監(jiān)控系統(tǒng)進行統(tǒng)一管理和整合。系統(tǒng)的建設(shè)思路如下：

（1）針對每種信息安全業(yè)務(wù)建設(shè)集中管控平臺。

（2）各業(yè)務(wù)的集中管控平臺邏輯上分開建設(shè)，但在物理上部署在同一私有云節(jié)點，便于各管控平臺之間數(shù)據(jù)的分享交互。

（3）根據(jù)每種信息安全業(yè)務(wù)的實際情況，選擇采用“二級架構(gòu)”：主要由省節(jié)點平臺負責業(yè)務(wù)的監(jiān)控，集中管控平臺負責完成省節(jié)點的統(tǒng)一管理、監(jiān)控策略下發(fā)、人工審核和小部分的監(jiān)控任務(wù)，如垃圾短信監(jiān)控系統(tǒng)；或選擇采用“集中架構(gòu)”：直接由集中管控平臺對業(yè)務(wù)安全進行監(jiān)控，如垃圾彩信集中管控系統(tǒng)。

（4）二級架構(gòu)系統(tǒng)涉及的省內(nèi)節(jié)點系統(tǒng)功能按統(tǒng)一規(guī)范進行改造，保證各省系統(tǒng)監(jiān)控功能一致性。

目前，已經(jīng)被納入信息安全集中管控的系統(tǒng)包括：垃圾短信監(jiān)控系統(tǒng)、淫穢色情監(jiān)控系統(tǒng)、騷擾電話監(jiān)控系統(tǒng)、虛假主叫監(jiān)控系統(tǒng)、手機惡意軟件監(jiān)控系統(tǒng)、垃圾彩信監(jiān)控系統(tǒng)、遠程安全檢測系統(tǒng)等。以上架構(gòu)優(yōu)化了運營商信息安全管理體系，使得各省系統(tǒng)之間的監(jiān)控策略聯(lián)動更加便利，也使得信息安全業(yè)務(wù)全國統(tǒng)一考核成為可能。信息安全系統(tǒng)尚不完善，本文將提出一些優(yōu)化建議。

2.2 信息安全管控系統(tǒng)架構(gòu)優(yōu)化建議

垃圾短信、淫穢色情、騷擾電話、虛假主叫、手機惡意軟件、垃圾彩信、遠程登錄安全等信息內(nèi)容安全問題已被納入集中管控，但隨著運營商的業(yè)務(wù)拓展，更多的安全問題隨之出現(xiàn)，有必要針對新的安全問題研究解決方案并納入集中管控。根據(jù)網(wǎng)絡(luò)發(fā)展現(xiàn)狀和運營商業(yè)務(wù)特點，建議納入的業(yè)務(wù)包括：對運營商自有客戶端應(yīng)用安全的檢測；對運營商自有互聯(lián)網(wǎng)業(yè)務(wù)的安全檢測。

以上提到的信息安全系統(tǒng)在信息安全體系中均可定位為“生產(chǎn)系統(tǒng)”，每一套系統(tǒng)針對各自對應(yīng)的業(yè)務(wù)進行監(jiān)控，同時每套系統(tǒng)均從外部系統(tǒng)獲取了數(shù)據(jù)源用于支撐監(jiān)控工作，由此可見，僅有生產(chǎn)系統(tǒng)的信息安全管控架構(gòu)是不完整的。除了現(xiàn)有生產(chǎn)系統(tǒng)連接的外部系統(tǒng)，考慮到信息安全工作的優(yōu)化還依賴于用戶行為分析以及管控策略，所以集中管控體系中建立自有的“支撐系統(tǒng)”完成信息安全業(yè)務(wù)經(jīng)營分析和管控策略的優(yōu)化是十分必要的。

考慮到信息安全業(yè)務(wù)的敏感性，在信息安全集中管控涉及多套平臺資產(chǎn)情況時，對這些平臺的資源進行集中網(wǎng)管的需求變得迫切。這其中包括兩個方面的管理，一是對系統(tǒng)軟硬件的可靠性、有效性進行管控，二是對使用系統(tǒng)的用戶權(quán)限、操作行為進行管理?？赏ㄟ^建設(shè)一套集中的維護操作系統(tǒng)來完成這些工作：系統(tǒng)對于上文提到的信息安全的生產(chǎn)系統(tǒng)、支撐系統(tǒng)等完成包括運行管理、維護操作和單點接入管理等工作。

信息安全集中管控各生產(chǎn)系統(tǒng)目前物理上合設(shè)在一處，但邏輯上彼此獨立，實際上并未實現(xiàn)能力上的共享。具體的能力共享問題將在下一章討論，探討結(jié)論是建議將一些信息安全策略引擎封裝為能力平臺，供多套生產(chǎn)系統(tǒng)共同使用，建議新納入的能力平臺的包括圖片識別能力平臺、信息安全名單查詢平臺。

根據(jù)以上分析，建議信息安全集中管控演進架構(gòu)如圖1所示。

圖1　信息安全集中管控架構(gòu)圖

將現(xiàn)已具備的信息安全集中管控平臺均定位為生產(chǎn)中心，并在其中新納入自有客戶端安全測試平臺、自有互聯(lián)網(wǎng)業(yè)務(wù)信息安全監(jiān)控系統(tǒng)，分離各平臺的圖片識別引擎功能、各類名單查詢功能作為兩個能力平臺供各生產(chǎn)平臺共用；新增了信息安全策略運營分析平臺、信息安全經(jīng)營分析平臺，定位為運營支撐中心。增加信息安全集中操作維護系統(tǒng)定位為網(wǎng)管維護中心。

3　信息安全監(jiān)控策略的關(guān)鍵問題分析

3.1 信息安全監(jiān)控策略現(xiàn)狀

運營商的各類信息安全管控平臺主要從用戶行為分析、信息內(nèi)容解析兩個方向入手來監(jiān)測信息安全事件，前者涉及的典型算法諸如：垃圾短信監(jiān)控中的高頻次短信發(fā)送監(jiān)控、騷擾電話監(jiān)控中的呼叫頻次策略等；后者涉及的典型算法諸如：垃圾短信監(jiān)控中的關(guān)鍵詞匹配策略，淫穢色情監(jiān)控中的涉黃圖片識別策略等。兩個方向均是對不良信息監(jiān)控的有效途徑，早期的不良信息監(jiān)控系統(tǒng)著重做好一個方面即可對幾乎全量的不良信息進行監(jiān)控，但目前，采用單一的監(jiān)控策略已越來越無法適應(yīng)多樣的不良信息傳播方式，各管控系統(tǒng)均針對各自對應(yīng)不良信息情況制定了用戶行為分析、信息內(nèi)容解析等多種方式結(jié)合的監(jiān)控策略。

目前各類信息安全管控系統(tǒng)采用的主要監(jiān)控策略情況，如表1所示。

3.2 信息安全監(jiān)控策略存在的問題

首先，討論策略聯(lián)動的問題，由策略的現(xiàn)狀情況表可知，各類信息內(nèi)容監(jiān)控系統(tǒng)均采用了豐富的策略，但采用的策略和技術(shù)有很大程度重合的。部分策略從策略內(nèi)容本身來講即可多個業(yè)務(wù)復用，如免審核名單過濾策略，免審核名單來源實際為在網(wǎng)的優(yōu)質(zhì)客戶名單，這種名單對于各監(jiān)控平臺來說也是通用的；部分策略雖然內(nèi)容配置不盡相同，但策略實現(xiàn)引擎是可以共用的，如關(guān)鍵字匹配策略在垃圾短信、垃圾彩信、淫穢色情的監(jiān)控中都會涉及，并且都是作為核心策略來執(zhí)行的。各平臺策略最主要的來源是工作在信息安全管控一線的工作人員從日常的工作中積累的經(jīng)驗加以梳理整理形成，另一部分則來自相關(guān)的管理部門提出的明確監(jiān)控指標要求，但無論是經(jīng)驗獲得或是管理部門下達，形成的策略均是針對某一類特定的不良信息的，未考慮過不同類不良信息的關(guān)聯(lián)性。目前，各信息安全管控平臺策略的實際情況是策略基本獨立，即各平臺各自實現(xiàn)了自身需要的策略引擎，缺乏與其他平臺之間的策略聯(lián)動。這樣的部署架構(gòu)對策略的優(yōu)化是不利的，同時也造成了對投資和資源的浪費。因此，各不良信息管控平臺之間實現(xiàn)策略聯(lián)動是十分必要的，需要在信息安全總體系統(tǒng)架構(gòu)上進行優(yōu)化整合以促進策略聯(lián)動。

信息安全策略選擇的另一個難點是查全率和誤攔率的矛盾問題，如：對垃圾短信的監(jiān)控，在監(jiān)控策略定義過于嚴格時會造成大量誤攔截，但當策略規(guī)則設(shè)置寬松時又會漏攔許多實際垃圾短信。目前，針對這一問題采用了“嚴格疑似策略+全量人工審核”的辦法，即對于嚴格策略命中的短信不進行直接攔截，而是將其定義為疑似垃圾短信，對所有的疑似垃圾短信均需要進行人工審核以判定為垃圾短信或是應(yīng)進行放行。這樣的方法雖然能夠從一定程度上避免上述矛盾，但是無疑會造成大量的人力投入，并且對于疑似垃圾短信的人工審核造成的短信業(yè)務(wù)延時也會影響用戶的業(yè)務(wù)體驗。因此，現(xiàn)有的方案并不是解決矛盾的最佳方案，而所述的矛盾也可能會一直存在。從優(yōu)化的角度考慮，本文有如下兩個建議來緩解這個矛盾。

表1　信息安全管控系統(tǒng)策略現(xiàn)狀表

（1）引入機器學習的算法，通過樣本訓練的方法來對策略參數(shù)進行調(diào)優(yōu)，而非采用信息安全監(jiān)控工作人員的主觀意見來定義策略參數(shù)，這樣可以在查全率和誤攔率問題上找到一個最佳的平衡點。

（2）從管理角度考慮，信息安全監(jiān)控的實際執(zhí)行部門需要推進信息安全上級管理部門展開工作，從法律層面來明確界定不良信息的范圍，進而指導監(jiān)控策略的制定，為不良信息監(jiān)控引起的投訴提供解釋的依據(jù)。

另一個需要關(guān)注的信息安全監(jiān)控策略要點是策略的實時性問題。之前提到，不良信息的監(jiān)控策略隨著不法分子不良信息傳播手段的變化也在逐漸變化，多種策略結(jié)合方式判定不良信息的方法已經(jīng)在現(xiàn)網(wǎng)用了一段時間，不法分子對運營商所采取的監(jiān)控策略逐漸適應(yīng)，能夠很快識破運營商監(jiān)控的策略、門限，一旦識破策略，他們會通過變更不良信息發(fā)送頻次、對不良信息內(nèi)容進行變換的方法以規(guī)避監(jiān)控策略，而這種對策略的破解和適配過程目前已變得越來越快，甚至實現(xiàn)了自動化的適配。針對這種問題，建議不良信息管控平臺采用的監(jiān)控策略應(yīng)引入實時的適配引擎，實時地對策略運行效果進行評估，一旦發(fā)現(xiàn)監(jiān)控效果降低，可以實時的通過機器學習變更監(jiān)控策略加以應(yīng)對。

3.3 信息安全策略工作優(yōu)化建議

3.3.1 實現(xiàn)信息安全管控策略集中運營

為了解決上文提到的策略優(yōu)化、策略聯(lián)動問題，建議建設(shè)統(tǒng)一的信息安全策略運營分析平臺完成策略聯(lián)動、策略自動優(yōu)化、策略評估等工作，此平臺已在分析架構(gòu)時簡單介紹過，建議納入信息安全集中管控的支撐中心。平臺中每種安全業(yè)務(wù)策略優(yōu)化均實現(xiàn)閉環(huán)策略優(yōu)化流程，建議的策略優(yōu)化流程如下，如圖2所示。

（1）通過外部機構(gòu)、人工導入或智能優(yōu)化等方式產(chǎn)生新策略。

（2）通過預(yù)評估模塊初步確定策略可行性。

（3）進而將新策略發(fā)布到現(xiàn)網(wǎng)環(huán)境。

（4）在現(xiàn)網(wǎng)環(huán)境執(zhí)行新策略后結(jié)果樣本反饋給策略平臺，進行后評估。

（5）預(yù)評估和后評估結(jié)果均能指導智能優(yōu)化模塊進一步對策略進行調(diào)優(yōu)。

（6）不同系統(tǒng)之間部分策略可以進行聯(lián)動優(yōu)化（如：關(guān)鍵詞、惡意URL、不良圖片等）。

同時，策略平臺通過與生產(chǎn)系統(tǒng)聯(lián)動還可以有效解決上文所述策略的動態(tài)適配更新問題，建議將垃圾短信監(jiān)控平臺、垃圾彩信監(jiān)控平臺納入到自適應(yīng)策略體系中去。策略的動態(tài)更新通過如下機制完成：

（1）垃圾短信（彩信）監(jiān)控設(shè)定監(jiān)控策略效果門檻，如設(shè)定策略X查全率達到95%以上。

（2）垃圾短信（彩信）監(jiān)控系統(tǒng)在監(jiān)控過程中定時將監(jiān)控結(jié)果上報策略運營分析系統(tǒng)。

（3）策略運營分析在規(guī)定時間內(nèi)完成對監(jiān)控結(jié)果和策略的后評估。

（4）根據(jù)后評估結(jié)果，如果達到查全率閾值，則告知監(jiān)控系統(tǒng)沿用現(xiàn)有策略。如果后評估結(jié)果低于查全率閾值，策略運營分析平臺通過智能優(yōu)化等功能根據(jù)最新樣本數(shù)據(jù)產(chǎn)生新策略，將新策略下發(fā)給監(jiān)控系統(tǒng)執(zhí)行。

圖2　策略運營分析平臺流程圖

3.3.2 剝離部分策略引擎組建能力平臺

信息安全策略問題分析中提到部分信息安全業(yè)務(wù)策略是可以共用的，在各平臺集中建設(shè)的情況下，由各平臺分別實現(xiàn)這些策略引擎既消耗系統(tǒng)資源，也不利于對策略規(guī)則的統(tǒng)一管理。因此建議調(diào)整信息安全管控系統(tǒng)架構(gòu)，引入分布式的能力引擎架構(gòu)，將部分監(jiān)控引擎的能力從各系統(tǒng)中剝離出來形成能力平臺供生產(chǎn)系統(tǒng)共用。監(jiān)控能力剝離示意圖，如圖3所示。

從現(xiàn)有策略的重合情況考慮，有如下幾個策略可考慮剝離為獨立能力引擎：關(guān)鍵字過濾、用戶黑白名單以及URL庫的查詢、不良圖片識別策略及人工審核能力。建議的剝離后能力平臺后架構(gòu)如圖4所示。

其中，考慮關(guān)鍵字引擎對系統(tǒng)的消耗低，但實時性要求高，剝離可能造成業(yè)務(wù)處理能力下降過大，同時，系統(tǒng)全網(wǎng)分散部署，涉及改造量過大，故建議不剝離關(guān)

鍵字引擎。

垃圾彩信和淫穢色情監(jiān)控平臺都涉及使用不良圖片識別引擎，并且攔截的策略要求基本一致，建議封裝為統(tǒng)一能力平臺以供調(diào)用。

對于用戶黑白名單以及URL庫查詢能力要求，幾乎所有的管控平臺均涉及名單和URL的查詢功能，目前實現(xiàn)方案是：

（1）黑白用戶名單各由各業(yè)務(wù)平臺維護自有的名單，未實現(xiàn)共享。

（2）通過垃圾短信集中管控系統(tǒng)中轉(zhuǎn)優(yōu)質(zhì)客戶名單和高?？蛻裘麊谓o其他系統(tǒng)使用，實現(xiàn)了數(shù)據(jù)共享，但查詢能力是分開的。

（3）黑白URL樣本庫由各業(yè)務(wù)平臺維護自有的一套庫，未實現(xiàn)共享。

因此，建議將所有的名單查詢和URL查詢功能封裝為一個能力平臺，對所有的名單類數(shù)據(jù)進行集中管理并提供實時查詢能力。各平臺通過實時查詢請求方式實現(xiàn)各自業(yè)務(wù)流程。

最后，對于人工審核工作，現(xiàn)有的各集中管控平臺基本均涉及，也建議作為一個能力提供。運營商的實際情況是已建設(shè)了集中的人工審核中心，處理來自各平臺的信息審核中心，完全符合能力分離的思想，此方案建議沿用。

圖3　監(jiān)控能力剝離示意圖

圖4　剝離后的監(jiān)控能力架構(gòu)

4　結(jié)束語

本文對運營商信息安全集中管控架構(gòu)演進和信息安全管控策略面臨的問題和優(yōu)化需求進行了深入分析，提出了信息安全管控架構(gòu)的演進方向，及對信息安全策略工作優(yōu)化的若干意見。

Research on telecom operators' information security architecture and concentrated strategy

DING Zhi-gang, XIAO Zi-yu

(China Mobile Group Design Institute Co., Ltd., Beijing 100080, China)

AbstractThe paper deeply analyses on the information security centralized control architecture evolution and the problem of information security management strategy, put forward suggestions for centralized control architecture evolution direction of information security and some suggestions for optimized monitoring strategy of information security.

Keywordsinformation content security; centralized control; information security strategy

收稿日期：2014-05-14

文章編號1008-5599（2015）01-0062-06

文獻標識碼A

中圖分類號TN918