大型电信运营业务支撑系统BOSS安全评估方法

　　(1)物理访问控制。评估包括机房的门禁系统、空调、承重、防火及防水等。因为保证物理安全是构造安全系统的前提。

　　(2)VLAN的访问控制。集中化改造把BOSS系统的大部分服务器集中在中心节点，按不同的应用把服务器划分到不同的VLAN，VLAN之间的访问控制策略不但可以控制BOSS系统承载网络的流量，还可防止服务器被作为“跳板”攻击其他VLAN的服务器。

　　(3)防病毒。检查BOSS系统的防病毒体系是否完善，防病毒体系应是一个多层次的纵深防护体系。在BOSS系统中主要应部署企业桌面防毒、服务器防毒、网关防毒等防病毒体系，使其整合在一起完成全面的防病毒工作。 　　

• BOSS系统中拥有大量的客户端，每一个连接BOSS系统的客户端均被强制性地安装了防病毒产品。所有客户端防病毒产品的更新升级、定期扫描等工作都由企业级桌面系统的中央控制中心统一管理(中央控制中心服务器应该部署在区域中心或省中心)，这样做可以保证BOSS系统的客户端防病毒系统都是最新的版本，并被有效定期地执行。



• 文件服务器是内部网络中传播计算机病毒的主要渠道，现在大部分运营商的BOSS系统中都存在文件服务器，例如：省中心的清单服务器下发清单到区域中心的清单服务器就是采用文件的形式。防病毒系统应部署在文件服务器中文件的存储和访问区中，查找并清除计算机病毒。



• 在Internet和BOSS系统之间部署网关防病毒是目前解决Internet病毒传播的重要手段。防毒网关一般部署在Internet和BOSS系统之间，可以和网络防火墙配合，形成一个安全网关。

　　(4)认证机制。评估系统账号是否具有不可抵赖性，若发生事故是否可以确定操作人，对其进行责任追究。BOSS系统中存在多个承载着重要业务数据的系统与服务器，例如AIX、HPUnix、数据库服务器、业务服务器及测试服务器等，这些系统与服务器建立的账号特别是权限较高的帐号应具有唯一性，只有这样才能审计每个用户对系统与服务器的操作，具有不可抵赖性。

ChinaByte(e.chinabyte.com)