网络维护重大操作合规管理研究与应用

（中国移动通信集团山东有限公司，济南 250001）

网络维护重大操作合规管理研究与应用

王自亮，单俊明，姜良军，刘松森

（中国移动通信集团山东有限公司，济南 250001）

重大操作合规管理是一项非常重要的基础工作。针对目前重大操作缺乏技术管理手段的问题，通过对维护操作指令进行侦听，在维护人员开展维护操作时，从操作对象、操作指令、操作时间、操作人员等方面，实现对配置修改、网络调整等重大维护操作的合规管理。

重大操作；合规；安全管控

随着通信业务的发展，网络规模的不断扩大，网络设备的种类和数量不断增加，对网络安全运维提出了更高的要求。为保障网络安全运行，网络运维管理部门制定了完善的网络运行维护规程，从管理上对硬件变更、软件变更、局数据修改、参数调整等各项工作进行了明确的要求。

（1）网络调整工作应尽量避免影响现网业务，应选择在业务闲时按照方案严格执行。

（2）应避免主备系统同时进行网络调整，如确有必要，必须确保首先进行网络调整的主用/备用系统运行稳定以后间隔一定时间才允许进行备用/主用系统的调整。

但由于缺乏有效的技术管控手段，缺乏设备或网管重要数据变更时的风险提示和告警功能，因维护人员安全责任意识不足和操作失误导致的人为故障仍屡有发生，暴露出维护管理规定具体落实执行上的一些问题。

本文基于安全管控平台综合接入维护平台现有功能，增加指令控制功能，实现了重大操作合规管理。

1 安全管控平台现状

为实现网络维护的可管可控，移动公司全网建设了网络安全管控平台。网络安全管控平台由综合维护接入平台、账号口令集中管理系统、日志集中管理与审计系统等3个子模块组成，实现各类系统资源和应用资源的集中账号（Account）管理、集中认证（Authentication）管理、集中授权（Authorization）管理和集中安全审计（Audit），全面落实风险管理、安全运维要求。综合维护接入平台作为维护接入的集中控制点，整合多种接入方式，提供集中接入控制，在完成对接入用户的身份认证后，根据事先确定的授权信息，控制接入用户能够访问的设备以及能使用的应用和服务，并对接入用户的操作进行记录。如图1所示。

图1 安全管控平台连接示意图

经过几期建设，安全管控平台目前已接入话务网核心网元、网管、短信、智能网、CMNet等重要业务系统的所有设备。按照事前授权、事中监控、事后审计的思路，通过集中接入控制，对重要业务系统维护管理操作全过程实施管控。但安全管控平台原有功能主要从网络与信息安全管理的角度聚焦维护操作的合法性管理，对合法维护操作的操作时间、操作命令、操作审批等合规性管理考虑较少。

2 基于安全管控平台实现网络维护重大操作合规管理

2.1 系统总体架构

依托安全管控平台综合接入维护平台现有功能，增加重大操作合规管理（指令控制）模块，对网元操作指令进行侦听，发现维护人员在执行预先定义的对现网有影响的重大操作时，对指令进行合规审查。通过合规审查的予以放行，未通过合规审查的及时进行操作拦截。如图2所示。

该模块功能框架如图3所示。

在该功能框架中，主要包括合规审批模块和信息存储数据库。合规审批包括重大操作判断模块、发送审批模块、审批判决模块等；信息存储数据库主要存储重大操作指令配置数据、重要网元以及涉及的维护人员信息。重大操作指令集由专业维护人员梳理，并由专业合规管理员在重大操作合规管理模块中进行配置，每一类重大操作的判断均以一条关键指令为合规检查点。合规操作时间由专业合规管理员配置符合管理要求的重大操作执行时间段。合规白名单配置主要为方便紧急情况下处理故障使用，对白名单中的用户和网元，执行重大操作时，不再进行重大操作合规检查。

2.2 重大操作合规审查流程

下级用户通过本系统进行操作时，首先暂停操作，去数据库系统的各项重大操作信息库中遍历查询，判断是否为定义的需要上级用户审批的重大操作。重大操作合规审查流程如图4所示。

对于非关键指令，不需要做合规审查。对于关键指令需要进行合规检查，必须在合规时间、由合规的操作人员进行操作。

对于合规审查后，不符合要求的维护操作，系统进行拦截并提醒用户。

2.3 重大操作合规审查内容

审查内容主要包括如下方面。

图2 指令控制示意图

图3 重大操作合规管理功能框架图

（1）操作时间合规审查。根据合规操作时间配置情况，在合规审查过程中，对于操作时间符合要求的关键指令操作放行，对于操作时间不符合要求的关键指令进行操作拦截。

（2）审批结果比对。对有计划的重大操作，如局数据配置等重大操作，应事先通过电子工单流程管理发起申请。审批通过后，系统自动将审批结果存储到合规管理模块指定的数据库表中，作为重大操作合规审查的依据。根据电子工单流中重大操作审批流程的审批结果，对正在执行的关键指令进行合规审查，对操作人员、操作时间、操作指令、操作网元均符合审批结果的关键指令操作放行，对不符合审批结果的关键指令进行操作拦截。

（3）操作账号白名单审查。根据账号白名单中的配置情况，在合规审查过程中，对于操作账号在白名单中的关键指令操作放行，对于操作账号不在白名单中的关键指令进行操作拦截。

图4 重大合规操作审查流程图

（4）操作网元白名单审查。根据网元白名单中的配置情况，在合规审查过程中，对于操作网元在白名单中的关键指令操作放行，对于操作网元不在白名单中的关键指令进行操作拦截。

3 应用效果

该功能基于安全管控平台综合维护接入功能，所有通过综合维护接入进行的命令行维护操作都可基于该模块实施重大操作合规管理，可涵盖短信、话务网、CMNet、WAP、智能网等主要电信业务系统。该功能通过对操作指令的拦截与监控，实现了重大操作的IT化合规审查，应用效果包括如下方面。

（1）防止人为误操作。合规管理仅对经过申请和审批的操作网元和重大操作项目进行放行，对未经审批的操作网元、操作时间、操作内容进行限制，防止了维护人员误操作导致的故障，如重启重要单元、闭塞重要链路。

（2）防止在不合理的时间进行重大操作。合规平台仅对允许时间段进行的重大操作进行放行，对未审批的时间不允许执行操作，严格规范操作时间。

（3）防止恶意操作。合规管理的重大操作申请、审批管理，对维护操作进行规范，有效防范密码泄露等意外导致的恶意操作。

4 结束语

维护人员操作的合规管理控制一直是网络运维工作的难点之一。重大操作合规管理功能的应用，为运维规程的落实执行提供了管理抓手，为运维人员重大操作提供风险提示和告警功能，有效地减少了人为原因故障，有助于全网安全运行水平的提升。

[1] 杨子江，宁国宁，周静等． 用户管理系统中授权的设计和实现[N]． 东南大学学报，2002(32)．

[2] David A， Steven Akridge．How Can Security Be Measured[J/OL]．Information system control journal， Volume 2， 2005． http：//www．isaca．org．

[3] Ali M， Al-Khouri．Optimizing Identity and Access Management (IAM) Frameworks[J/OL]．International Journal of Engineering Research and Applications (IJERA)，2011，1(3)：461-477．www．ijera．com．

Study and application of compliance management of significant operations

WANG Zi-liang, SHAN Jun-ming, JIANG Liang-jun, LIU Song-sen
(China Mobile Group Shandong Co., Ltd., Ji'nan, 250001, China)

Management of significant operations is a very important basic work. Aiming at the lack of supporting platforms, this paper introduces a scheme to manage signif cant operations, such as network adjustment, system configuration. Through monitoring the instruction that operators input, the scheme manages operation objects, operation time, operation instructions and operators. Thus the scheme can improve the compliance management level for signif cant operations.

signif cant operations; compliance management; security control

TN929.5

A

1008-5599（2014）08-0049-04

2014-06-16

王自亮：从事网络与信息安全管理工作，负责日常安全防护方案制定及建设。单俊明：高级工程师，从事网络安全与应急管理工作，负责全网故障及应急管理。姜良军：高级工程师，从事网络运维管理工作，负责核心网运营、维护和安全。刘松森：高级工程师，中国移动通信集团山东有限公司网络部副总经理，多年从事网络运维管理工作。