前言：尋找寫作靈感？中文期刊網用心挑選的運營商管控架構信息安全論文，希望能為您的閱讀和創作帶來靈感，歡迎大家閱讀并分享。
1信息安全管控系統部署架構分析
1.1信息安全管控系統架構演進情況
信息內容安全問題是隨著通信業務的發展逐漸涌現的，如早期用戶主要使用短信業務，垃圾短信問題便隨業務發展逐漸凸顯，隨后移動互聯網業務、彩信等業務開始流行，又出現了通過互聯網傳播淫穢色情內容、垃圾彩信、手機惡意軟件等問題，運營商每面對一個新的信息安全問題便在網內針對業務部署新的管控系統，各系統均獨立設置獨立運營。另外，由于我國運營商組織架構和網絡架構背景所致，信息安全管控系統部署初期一般都是按省部署，各省獨立設計自有系統的實現方案，造成各省系統功能、監控效果差別大，不利于運營商集團層面統一管理和考核。因此，近年來信息安全集中管控架構被提出，著手于對現有的信息安全監控系統進行統一管理和整合。系統的建設思路如下：（1）針對每種信息安全業務建設集中管控平臺。（2）各業務的集中管控平臺邏輯上分開建設，但在物理上部署在同一私有云節點，便于各管控平臺之間數據的分享交互。（3）根據每種信息安全業務的實際情況，選擇采用“二級架構”：主要由省節點平臺負責業務的監控，集中管控平臺負責完成省節點的統一管理、監控策略下發、人工審核和小部分的監控任務，如垃圾短信監控系統；或選擇采用“集中架構”：直接由集中管控平臺對業務安全進行監控，如垃圾彩信集中管控系統。（4）二級架構系統涉及的省內節點系統功能按統一規范進行改造，保證各省系統監控功能一致性。目前，已經被納入信息安全集中管控的系統包括：垃圾短信監控系統、淫穢色情監控系統、騷擾電話監控系統、虛假主叫監控系統、手機惡意軟件監控系統、垃圾彩信監控系統、遠程安全檢測系統等。以上架構優化了運營商信息安全管理體系，使得各省系統之間的監控策略聯動更加便利，也使得信息安全業務全國統一考核成為可能。信息安全系統尚不完善，本文將提出一些優化建議。
1.2信息安全管控系統架構優化建議
垃圾短信、淫穢色情、騷擾電話、虛假主叫、手機惡意軟件、垃圾彩信、遠程登錄安全等信息內容安全問題已被納入集中管控，但隨著運營商的業務拓展，更多的安全問題隨之出現，有必要針對新的安全問題研究解決方案并納入集中管控。根據網絡發展現狀和運營商業務特點，建議納入的業務包括：對運營商自有客戶端應用安全的檢測；對運營商自有互聯網業務的安全檢測。以上提到的信息安全系統在信息安全體系中均可定位為“生產系統”，每一套系統針對各自對應的業務進行監控，同時每套系統均從外部系統獲取了數據源用于支撐監控工作，由此可見，僅有生產系統的信息安全管控架構是不完整的。除了現有生產系統連接的外部系統，考慮到信息安全工作的優化還依賴于用戶行為分析以及管控策略，所以集中管控體系中建立自有的“支撐系統”完成信息安全業務經營分析和管控策略的優化是十分必要的?？紤]到信息安全業務的敏感性，在信息安全集中管控涉及多套平臺資產情況時，對這些平臺的資源進行集中網管的需求變得迫切。這其中包括兩個方面的管理，一是對系統軟硬件的可靠性、有效性進行管控，二是對使用系統的用戶權限、操作行為進行管理?？赏ㄟ^建設一套集中的維護操作系統來完成這些工作：系統對于上文提到的信息安全的生產系統、支撐系統等完成包括運行管理、維護操作和單點接入管理等工作。信息安全集中管控各生產系統目前物理上合設在一處，但邏輯上彼此獨立，實際上并未實現能力上的共享。具體的能力共享問題將在下一章討論，探討結論是建議將一些信息安全策略引擎封裝為能力平臺，供多套生產系統共同使用，建議新納入的能力平臺的包括圖片識別能力平臺、信息安全名單查詢平臺。將現已具備的信息安全集中管控平臺均定位為生產中心，并在其中新納入自有客戶端安全測試平臺、自有互聯網業務信息安全監控系統，分離各平臺的圖片識別引擎功能、各類名單查詢功能作為兩個能力平臺供各生產平臺共用；新增了信息安全策略運營分析平臺、信息安全經營分析平臺，定位為運營支撐中心。增加信息安全集中操作維護系統定位為網管維護中心。
2信息安全監控策略的關鍵問題分析
2.1信息安全監控策略現狀
運營商的各類信息安全管控平臺主要從用戶行為分析、信息內容解析兩個方向入手來監測信息安全事件，前者涉及的典型算法諸如：垃圾短信監控中的高頻次短信發送監控、騷擾電話監控中的呼叫頻次策略等；后者涉及的典型算法諸如：垃圾短信監控中的關鍵詞匹配策略，淫穢色情監控中的涉黃圖片識別策略等。兩個方向均是對不良信息監控的有效途徑，早期的不良信息監控系統著重做好一個方面即可對幾乎全量的不良信息進行監控，但目前，采用單一的監控策略已越來越無法適應多樣的不良信息傳播方式，各管控系統均針對各自對應不良信息情況制定了用戶行為分析、信息內容解析等多種方式結合的監控策略。
2.2信息安全監控策略存在的問題
首先，討論策略聯動的問題，由策略的現狀情況表可知，各類信息內容監控系統均采用了豐富的策略，但采用的策略和技術有很大程度重合的。部分策略從策略內容本身來講即可多個業務復用，如免審核名單過濾策略，免審核名單來源實際為在網的優質客戶名單，這種名單對于各監控平臺來說也是通用的；部分策略雖然內容配置不盡相同，但策略實現引擎是可以共用的，如關鍵字匹配策略在垃圾短信、垃圾彩信、淫穢色情的監控中都會涉及，并且都是作為核心策略來執行的。各平臺策略最主要的來源是工作在信息安全管控一線的工作人員從日常的工作中積累的經驗加以梳理整理形成，另一部分則來自相關的管理部門提出的明確監控指標要求，但無論是經驗獲得或是管理部門下達，形成的策略均是針對某一類特定的不良信息的，未考慮過不同類不良信息的關聯性。目前，各信息安全管控平臺策略的實際情況是策略基本獨立，即各平臺各自實現了自身需要的策略引擎，缺乏與其他平臺之間的策略聯動。這樣的部署架構對策略的優化是不利的，同時也造成了對投資和資源的浪費。因此，各不良信息管控平臺之間實現策略聯動是十分必要的，需要在信息安全總體系統架構上進行優化整合以促進策略聯動。信息安全策略選擇的另一個難點是查全率和誤攔率的矛盾問題，如：對垃圾短信的監控，在監控策略定義過于嚴格時會造成大量誤攔截，但當策略規則設置寬松時又會漏攔許多實際垃圾短信。目前，針對這一問題采用了“嚴格疑似策略+全量人工審核”的辦法，即對于嚴格策略命中的短信不進行直接攔截，而是將其定義為疑似垃圾短信，對所有的疑似垃圾短信均需要進行人工審核以判定為垃圾短信或是應進行放行。這樣的方法雖然能夠從一定程度上避免上述矛盾，但是無疑會造成大量的人力投入，并且對于疑似垃圾短信的人工審核造成的短信業務延時也會影響用戶的業務體驗。因此，現有的方案并不是解決矛盾的最佳方案，而所述的矛盾也可能會一直存在。從優化的角度考慮，本文有如下兩個建議來緩解這個矛盾。（1）引入機器學習的算法，通過樣本訓練的方法來對策略參數進行調優，而非采用信息安全監控工作人員的主觀意見來定義策略參數，這樣可以在查全率和誤攔率問題上找到一個最佳的平衡點。（2）從管理角度考慮，信息安全監控的實際執行部門需要推進信息安全上級管理部門展開工作，從法律層面來明確界定不良信息的范圍，進而指導監控策略的制定，為不良信息監控引起的投訴提供解釋的依據。另一個需要關注的信息安全監控策略要點是策略的實時性問題。之前提到，不良信息的監控策略隨著不法分子不良信息傳播手段的變化也在逐漸變化，多種策略結合方式判定不良信息的方法已經在現網用了一段時間，不法分子對運營商所采取的監控策略逐漸適應，能夠很快識破運營商監控的策略、門限，一旦識破策略，他們會通過變更不良信息發送頻次、對不良信息內容進行變換的方法以規避監控策略，而這種對策略的破解和適配過程目前已變得越來越快，甚至實現了自動化的適配。針對這種問題，建議不良信息管控平臺采用的監控策略應引入實時的適配引擎，實時地對策略運行效果進行評估，一旦發現監控效果降低，可以實時的通過機器學習變更監控策略加以應對。
2.3信息安全策略工作優化建議
2.3.1實現信息安全管控策略集中運營
為了解決上文提到的策略優化、策略聯動問題，建議建設統一的信息安全策略運營分析平臺完成策略聯動、策略自動優化、策略評估等工作，此平臺已在分析架構時簡單介紹過，建議納入信息安全集中管控的支撐中心。平臺中每種安全業務策略優化均實現閉環策略優化流程，建議的策略優化流程如下。（1）通過外部機構、人工導入或智能優化等方式產生新策略。（2）通過預評估模塊初步確定策略可行性。（3）進而將新策略到現網環境。（4）在現網環境執行新策略后結果樣本反饋給策略平臺，進行后評估。（5）預評估和后評估結果均能指導智能優化模塊進一步對策略進行調優。（6）不同系統之間部分策略可以進行聯動優化（如：關鍵詞、惡意URL、不良圖片等）。同時，策略平臺通過與生產系統聯動還可以有效解決上文所述策略的動態適配更新問題，建議將垃圾短信監控平臺、垃圾彩信監控平臺納入到自適應策略體系中去。策略的動態更新通過如下機制完成：（1）垃圾短信（彩信）監控設定監控策略效果門檻，如設定策略X查全率達到95%以上。（2）垃圾短信（彩信）監控系統在監控過程中定時將監控結果上報策略運營分析系統。（3）策略運營分析在規定時間內完成對監控結果和策略的后評估。（4）根據后評估結果，如果達到查全率閾值，則告知監控系統沿用現有策略。如果后評估結果低于查全率閾值，策略運營分析平臺通過智能優化等功能根據最新樣本數據產生新策略，將新策略下發給監控系統執行。
2.3.2剝離部分策略引擎組建能力平臺
信息安全策略問題分析中提到部分信息安全業務策略是可以共用的，在各平臺集中建設的情況下，由各平臺分別實現這些策略引擎既消耗系統資源，也不利于對策略規則的統一管理。因此建議調整信息安全管控系統架構，引入分布式的能力引擎架構，將部分監控引擎的能力從各系統中剝離出來形成能力平臺供生產系統共用。監控能力剝離示意圖。從現有策略的重合情況考慮，有如下幾個策略可考慮剝離為獨立能力引擎：關鍵字過濾、用戶黑白名單以及URL庫的查詢、不良圖片識別策略及人工審核能力。其中，考慮關鍵字引擎對系統的消耗低，但實時性要求高，剝離可能造成業務處理能力下降過大，同時，系統全網分散部署，涉及改造量過大，故建議不剝離關鍵字引擎。垃圾彩信和淫穢色情監控平臺都涉及使用不良圖片識別引擎，并且攔截的策略要求基本一致，建議封裝為統一能力平臺以供調用。對于用戶黑白名單以及URL庫查詢能力要求，幾乎所有的管控平臺均涉及名單和URL的查詢功能，目前實現方案是：（1）黑白用戶名單各由各業務平臺維護自有的名單，未實現共享。（2）通過垃圾短信集中管控系統中轉優質客戶名單和高?？蛻裘麊谓o其他系統使用，實現了數據共享，但查詢能力是分開的。（3）黑白URL樣本庫由各業務平臺維護自有的一套庫，未實現共享。因此，建議將所有的名單查詢和URL查詢功能封裝為一個能力平臺，對所有的名單類數據進行集中管理并提供實時查詢能力。各平臺通過實時查詢請求方式實現各自業務流程。最后，對于人工審核工作，現有的各集中管控平臺基本均涉及，也建議作為一個能力提供。運營商的實際情況是已建設了集中的人工審核中心，處理來自各平臺的信息審核中心，完全符合能力分離的思想，此方案建議沿用。
3結束語
本文對運營商信息安全集中管控架構演進和信息安全管控策略面臨的問題和優化需求進行了深入分析，提出了信息安全管控架構的演進方向，及對信息安全策略工作優化的若干意見。
作者：丁志剛 肖子玉 單位：中國移動通信集團設計院有限公司