关于电信网络关键信息基础设施保护的思考

文 华为技术有限公司中国区网络安全与用户隐私保护部 冯运波 李加赞 姚庆天

根据我国《网络安全法》及《关键信息基础设施安全保护条例》，关键信息基础设施是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施和信息系统”。其中，电信网络自身是关键信息基础设施，同时又为其他行业的关键信息基础设施提供网络通信和信息服务，在国家经济、科教、文化以及 社会 管理等方面起到基础性的支撑作用。电信网络是关键信息基础设施的基础设施，做好电信网络关键信息基础设施的安全保护尤为重要。

一、电信网络关键信息基础设施的范围

依据《关键信息基础设施安全保护条例》第 9条，应由通信行业主管部门结合本行业、本领域实际，制定电信行业关键信息基础设施的认定规则。

不同于其他行业的关键信息基础设施，承载话音、数据、消息的电信网络（以 CT 系统为主）与绝大多数其他行业的关键信息基础设施（以 IT 系统为主）不同，电信网络要复杂得多。电信网络会涉及移动接入网络（2G/3G/4G/5G）、固定接入网、传送网、IP 网、移动核心网、IP 多媒体子系统核心网、网管支撑网、业务支撑网等多个通信网络，任何一个网络被攻击，都会对承载在电信网上的话音或数据业务造成影响。

在电信行业关键信息基础设施认定方面，美国的《国家关键功能集》可以借鉴。2019 年 4 月，美国国土安全部下属的国家网络安全和基础设施安全局（CISA）国家风险管理中心发布了《国家关键功能集》，将影响国家关键功能划分为供应、分配、管理和连接四个领域。按此分类方式，电信网络属于连接类。

除了上述电信网络和服务外，支撑网络运营的大量 IT 支撑系统，如业务支撑系统（BSS）、网管支撑系统（OSS），也非常重要，应考虑纳入关键信息基础设施范围。例如，网管系统由于管理着电信网络的网元设备，一旦被入侵，通过网管系统可以控制核心网络，造成网络瘫痪；业务支撑系统（计费）支撑了电信网络运营，保存了用户数据，一旦被入侵，可能造成用户敏感信息泄露。

二、电信网络关键信息基础设施的保护目标和方法

电信网络是数字化浪潮的关键基础设施，扮演非常重要的角色，关系国计民生。各国政府高度重视关键基础设施安全保护，纷纷明确关键信息基础设施的保护目标。

2007 年，美国国土安全部（DHS）发布《国土安全国家战略》，首次指出面对不确定性的挑战，需要保证国家基础设施的韧性。2013 年 2 月，奥巴马签发了《改进关键基础设施网络安全行政指令》，其首要策略是改善关键基础设施的安全和韧性，并要求美国国家标准与技术研究院（NIST）制定网络安全框架。NIST 于 2018 年 4 月发布的《改进关键基础设施网络安全框架》（CSF）提出，关键基础设施保护要围绕识别、防护、检测、响应、恢复环节，建立网络安全框架，管理网络安全风险。NIST CSF围绕关键基础设施的网络韧性要求，定义了 IPDRR能力框架模型，并引用了 SP800-53 和 ISO27001 等标准。IPDRR能力框架模型包括风险识别（Identify）、安全防御（Protect）、安全检测（Detect）、安全响应（Response）和安全恢复（Recovery）五大能力，是这五个能力的首字母。2018 年 5 月，DHS 发布《网络安全战略》，将“通过加强政府网络和关键基础设施的安全性和韧性，提高国家网络安全风险管理水平”作为核心目标。

2009 年 3 月，欧盟委员会通过法案，要求保护欧洲网络安全和韧性；2016 年 6 月，欧盟议会发布“欧盟网络和信息系统安全指令”（NISDIRECTIVE），牵引欧盟各国关键基础设施国家战略设计和立法；欧盟成员国以 NIS DIRECTIVE为基础，参考欧盟网络安全局（ENISA）的建议开发国家网络安全战略。2016 年，ENISA 承接 NISDIRECTIVE，面向数字服务提供商（DSP）发布安全技术指南，定义 27 个安全技术目标（SO），该SO 系列条款和 ISO 27001/NIST CSF之间互相匹配，关键基础设施的网络韧性成为重要要求。

借鉴国际实践，我国电信网络关键信息基础设施安全保护的核心目标应该是：保证网络的可用性，确保网络不瘫痪，在受到网络攻击时，能发现和阻断攻击、快速恢复网络服务，实现网络高韧性；同时提升电信网络安全风险管理水平，确保网络数据和用户数据安全。

我国《关键信息基础设施安全保护条例》第五条和第六条规定：国家对关键信息基础设施实行重点保护，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。我国《国家网络空间安全战略》也提出，要着眼识别、防护、检测、预警、响应、处置等环节，建立实施关键信息基础设施保护制度。

参考 IPDRR 能力框架模型，建立电信网络的资产风险识别（I）、安全防护（P）、安全检测（D）、安全事件响应和处置（R）和在受攻击后的恢复（R）能力，应成为实施电信网络关键信息基础设施安全保护的方法论。参考 NIST 发布的 CSF，开展电信网络安全保护，可按照七个步骤开展。一是确定优先级和范围，确定电信网络单元的保护目标和优先级。二是定位，明确需要纳入关基保护的相关系统和资产，识别这些系统和资产面临的威胁及存在的漏洞、风险。三是根据安全现状，创建当前的安全轮廓。四是评估风险，依据整体风险管理流程或之前的风险管理活动进行风险评估。评估时，需要分析运营环境，判断是否有网络安全事件发生，并评估事件对组织的影响。五是为未来期望的安全结果创建目标安全轮廓。六是确定当期风险管理结果与期望目标之间的差距，通过分析这些差距，对其进行优先级排序，然后制定一份优先级执行行动计划以消除这些差距。七是执行行动计划，决定应该执行哪些行动以消除差距。

三、电信网络关键信息基础设施的安全风险评估

做好电信网络的安全保护，首先要全面识别电信网络所包含的资产及其面临的安全风险，根据风险制定相应的风险消减方案和保护方案。

1 对不同的电信网络应分别进行安全风险评估

不同电信网络的结构、功能、采用的技术差异很大，面临的安全风险也不一样。例如，光传送网与 5G 核心网（5G Core）所面临的安全风险有显著差异。光传送网设备是数据链路层设备，转发用户面数据流量，设备分散部署，从用户面很难攻击到传送网设备，面临的安全风险主要来自管理面；而5G 核心网是 5G 网络的神经中枢，在云化基础设施上集中部署，由于 5G 网络能力开放，不仅有来自管理面的风险，也有来自互联网的风险，一旦被渗透攻击，影响面极大。再如，5G 无线接入网（5GRAN）和 5G Core 所面临的安全风险也存在显著差异。5G RAN 面临的风险主要来自物理接口攻击、无线空口干扰、伪基站及管理面，从现网运维实践来看，RAN 被渗透的攻击的案例极其罕见，风险相对较小。5G Core 的云化、IT 化、服务化（SBA）架构，传统的 IT 系统的风险也引入到电信网络；网络能力开放、用户端口功能（UPF）下沉到边缘等，导致接口增多，暴露面扩大，因此，5G Core 所面临的安全风险客观上高于 5G RAN。在电信网络的范围确定后，运营商应按照不同的网络单元，全面做好每个网络单元的安全风险评估。

2 做好电信网络三个平面的安全风险评估

电信网络分为三个平面：控制面、管理面和用户面，对电信网络的安全风险评估，应从三个平面分别入手，分析可能存在的安全风险。

控制面网元之间的通信依赖信令协议，信令协议也存在安全风险。以七号信令（SS7）为例，全球移动通信系统协会（GSMA）在 2015 年公布了存在 SS7 信令存在漏洞，可能导致任意用户非法位置查询、短信窃取、通话窃听；如果信令网关解析信令有问题，外部攻击者可以直接中断关键核心网元。例如，5G 的 UPF 下沉到边缘园区后，由于 UPF 所处的物理环境不可控，若 UPF 被渗透，则存在通过UPF 的 N4 口攻击核心网的风险。

电信网络的管理面风险在三个平面中的风险是最高的。例如，欧盟将 5G 管理面管理和编排（MANO）风险列为最高等级。全球电信网络安全事件显示，电信网络被攻击的实际案例主要是通过攻击管理面实现的。虽然运营商在管理面部署了统一安全管理平台解决方案（4A）、堡垒机、安全运营系统（SOC）、多因素认证等安全防护措施，但是，在通信网安全防护检查中，经常会发现管理面安全域划分不合理、管控策略不严，安全防护措施不到位、远程接入 *** 设备及 4A 系统存在漏洞等现象，导致管理面的系统容易被渗透。

电信网络的用户面传输用户通信数据，电信网元一般只转发用户面通信内容，不解析、不存储用户数据，在做好终端和互联网接口防护的情况下，安全风险相对可控。用户面主要存在的安全风险包括：用户面信息若未加密，在网络传输过程中可能被窃听；海量用户终端接入可能导致用户面流量分布式拒绝服务攻击（DDoS）；用户面传输的内容可能存在恶意信息，例如恶意软件、电信诈骗信息等；电信网络设备用户面接口可能遭受来自互联网的攻击等。

3 做好内外部接口的安全风险评估

在开展电信网络安全风险评估时，应从端到端的视角分析网络存在的外部接口和网元之间内部接口的风险，尤其是重点做好外部接口风险评估。以 5G 核心网为例，5G 核心网存在如下外部接口：与 UE 之间的 N1 接口，与基站之间的 N2 接口、与UPF 之间的 N4 接口、与互联网之间的 N6 接口等，还有漫游接口、能力开放接口、管理面接口等。每个接口连接不同的安全域，存在不同风险。根据3GPP 协议标准定义，在 5G 非独立组网（NSA）中，当用户漫游到其他网络时，该用户的鉴权、认证、位置登记，需要在漫游网络与归属网络之间传递。漫游边界接口用于运营商之间互联互通，需要经过公网传输。因此，这些漫游接口均为可访问的公网接口，而这些接口所使用的协议没有定义认证、加密、完整性保护机制。

4 做好虚拟化/容器环境的安全风险评估

移动核心网已经云化，云化架构相比传统架构，引入了通用硬件，将网络功能运行在虚拟环境/容器环境中，为运营商带来低成本的网络和业务的快速部署。虚拟化使近端物理接触的攻击变得更加困难，并简化了攻击下的灾难隔离和灾难恢复。网络功能虚拟化（NFV）环境面临传统网络未遇到过的新的安全威胁，包括物理资源共享打破物理边界、虚拟化层大量采用开源和第三方软件引入大量开源漏洞和风险、分层多厂商集成导致安全定责与安全策略协同更加困难、传统安全静态配置策略无自动调整能力导致无法应对迁移扩容等场景。云化环境中网元可能面临的典型安全风险包括：通过虚拟网络窃听或篡改应用层通信内容，攻击虚拟存储，非法访问应用层的用户数据，篡改镜像，虚拟机（VM）之间攻击、通过网络功能虚拟化基础设施（NFVI）非法攻击 VM，导致业务不可用等。

5 做好暴露面资产的安全风险评估

电信网络规模大，涉及的网元多，但是，哪些是互联网暴露面资产，应首先做好梳理。例如，5G网络中，5G 基站（gNB）、UPF、安全电子支付协议（SEPP）、应用功能（AF）、网络开放功能（NEF）等网元存在与非可信域设备之间的接口，应被视为暴露面资产。暴露面设备容易成为入侵网络的突破口，因此，需重点做好暴露面资产的风险评估和安全加固。

四、对运营商加强电信网络关键信息基础设施安全保护的建议

参考国际上通行的 IPDRR 方法，运营商应根据场景化安全风险，按照事前、事中、事后三个阶段，构建电信网络安全防护能力，实现网络高韧性、数据高安全性。

1 构建电信网络资产、风险识别能力

建设电信网络资产风险管理系统，统一识别和管理电信网络所有的硬件、平台软件、虚拟 VNF网元、安全关键设备及软件版本，定期开展资产和风险扫描，实现资产和风险可视化。安全关键功能设备是实施网络监管和控制的关键网元，例如，MANO、虚拟化编排器、运维管理接入堡垒机、位于安全域边界的防火墙、活动目录（AD）域控服务器、运维 *** 接入网关、审计和监控系统等。安全关键功能设备一旦被非法入侵，对电信网络的影响极大，因此，应做好对安全关键功能设备资产的识别和并加强技术管控。

2 建立网络纵深安全防护体系

一是通过划分网络安全域，实现电信网络分层分域的纵深安全防护。可以将电信网络用户面、控制面的系统划分为非信任区、半信任区、信任区三大类安全区域；管理面的网络管理安全域（NMS），其安全信任等级是整个网络中最高的。互联网第三方应用属于非信任区；对外暴露的网元（如 5G 的 NEF、UPF）等放在半信任区，核心网控制类网元如接入和移动管理功能（AMF）等和存放用户认证鉴权网络数据的网元如归属签约用户服务器（HSS）、统一数据管理（UDM）等放在信任区进行保护，并对用户认证鉴权网络数据进行加密等特别的防护。二是加强电信网络对外边界安全防护，包括互联网边界、承载网边界，基于对边界的安全风险分析，构建不同的防护方案，部署防火墙、入侵防御系统（IPS）、抗DDoS 攻击、信令防护、全流量监测（NTA）等安全防护设备。三是采用防火墙、虚拟防火墙、IPS、虚拟数据中心（VDC）/虚拟私有网络（VPC）隔离，例如通过防火墙（Firewall）可限制大部分非法的网络访问，IPS 可以基于流量分析发现网络攻击行为并进行阻断，VDC 可以实现云内物理资源级别的隔离，VPC 可以实现虚拟化层级别的隔离。四是在同一个安全域内，采用虚拟局域网（VLAN）、微分段、VPC 隔离，实现网元访问权限最小化控制，防止同一安全域内的横向移动攻击。五是基于网元间通信矩阵白名单，在电信网络安全域边界、安全域内实现精细化的异常流量监控、访问控制等。

3 构建全面威胁监测能力

在电信网络外部边界、安全域边界、安全域内部署网络层威胁感知能力，通过部署深度报文检测（DPI）类设备，基于网络流量分析发现网络攻击行为。基于设备商的网元内生安全检测能力，构建操作系统（OS）入侵、虚拟化逃逸、网元业务面异常检测、网元运维面异常检测等安全风险检测能力。基于流量监测、网元内生安全组件监测、采集电信网元日志分析等多种方式，构建全面威胁安全态势感知平台，及时发现各类安全威胁、安全事件和异常行为。

4 加强电信网络管理面安全风险管控

管理面的风险最高，应重点防护。针对电信网络管理面的风险，应做好管理面网络隔离、运维终端的安全管控、管理员登录设备的多因素认证和权限控制、运维操作的安全审计等，防止越权访问，防止从管理面入侵电信网络，保护用户数据安全。

5 构建智能化、自动化的安全事件响应和恢复能力

在网络级纵深安全防护体系基础上，建立安全运营管控平台，对边界防护、域间防护、访问控制列表（ACL）、微分段、VPC 等安全访问控制策略实施统一编排，基于流量、网元日志及网元内生组件上报的安全事件开展大数据分析，及时发现入侵行为，并能对攻击行为自动化响应。

（本文刊登于《中国信息安全》杂志2021年第11期）

AMF、SMF和UPF。

5G核心网主要网元功能 5G核心网主要包括的网元有AMF、SMF和UPF。

目前UPF一般放在需求方，及在地市或县城，AMF和SMF一般集中在省公司。各网元之间的接口如下：AMF（Access and Mobili。

我给你这两章的重点，背过就行了！

当然你也可以给我你的EMAIL地址，我把自己整理的成果给你发到你的邮箱！WORD。DOC格式，有重点区分的！花费我3天时间啊！也想有个朋友分享一下！

第七章 网络应用：电子商务

电子商务是已开放的因特网环境为基础，在计算机系统支持下进行的商务行动。它基于浏览器/服务器应用方式，是实现网上购物，网上交易和在线支付的一种新型商业运营模式。 从广义上讲，电子商务的概念为：以计算机与通信网络为基础平台，利用电子工具实现的在线商业交换和行政作业活动的全过程。

电子商务的好处： 1 以最小的费用制作最大的广告。 2 丰富的网络资源有利于企业了解市场的变化，作出理性的决策。 3 展示产品而不需要占用店面，小企业可以和大企业获得几乎同等的商业机会。 4 提高服务质量，及时获得顾客的反馈消息。 5 在线交易方便，快捷，可靠。 使用户了解自己的企业和产品只是电子商务的第一步。 在线交易是电子商务的高级阶段和最终目的。它是买卖双方以计算机网络为平台，进行在线的销售与购买。 在线交易需要较为复杂的网络环境和先进的计算机技术来保证交易的安全性和可靠性，同时，需要有完善的法律法规降低在线交易的风险。 电子商务的应用范围： 2 企业与企业之间的应用。电子数据交换EDI是企业与企业之间电子商务最典型，最基本的应用。 3 企业与消费者之间的应用 4 企业与政府之间的应用。

电子数据交换EDI是按照协议对具有一定结构特征的标准信息，经数据通信网络，在计算机系统之间进行交换和自动处理，既EDI用户根据国际通用的标准格式编制报文，已机器可读的方式将结构化的消息。按照协议将标准化的文件通过计算机网络传送。

EDI系统三个特点：1 EDI是两个或多个计算机应用系统之间的通信。所谓的计算机系统是于EDI通信网络系统相连接的电子数据处理系统EDP。2 计算机之间传输的消息遵循一定的语法规则与国际标准。3 数据自动的投递和传输处理不需要人工介入，应用程序对它自动响应。总之，计算机通信网是EDI应用的基础，计算机系统应用是EDI的前提条件，而数据信息标准化是EDI的关键。EDI的工作流程：1 发送方计算机应用系统生成原始用户数据。2 发送报文的数据影射与翻译。影射程序将用户格式的原始数据报文展开为平面文件，以便使翻译程序能够识别。翻译程序将平面文件翻译为标准的EDI格式文件。平面文件是用户格式文件和EDI标准格式文件之间的中间接口文件。3 发送标准的EDI文件。4 贸易伙伴获取标准的EDI文件。5 接受方应用系统处理翻译后的文件。 与电子邮件等应用系统不同，EDI电子数据交换系统在网络中传输的是经过翻译软件翻译的标准格式报文。

电子数据处理系统EDP是实现EDI的基础和必要条件。EDP主要是企业内部自身业务的自动化。 在EDI应用系统中，目前使用最多的是通过专门网络服务商提供的EDI网络平台，建立用户之间的数据交换关系。

EDI平台的数据接入主要有以下几种：1．具有单一计算机应用系统的用户接入方式：拥有单一计算机应用系统的企业规模一般不大，这类用户可以利用电话交换网，通过调制解调器直接接入EDI中心。2．具有多个计算机应用系统的用户接入方式：对于规模较大的企业，多个应用系统都需要与EDI中心进行数据交换。为了减小企业的通信费用和方便网络管理，一般是采用连网方式将各个应用系统首先接入负责与EDI中心交换信息的服务器中，再由该服务器接入EDI交换平台。3．普通用户接入方式： 该类用户通常没有自己的计算机系统，当必须使用EDI与其贸易伙伴进行业务数据传递时，他们通常采用通过因特网或电话网以拨号的方式接入EDI网络交换平台。 EDI是电子商务的先驱。网络安全技术的开放和研究依然是网络发展的主要课题之一。 电子商务的体系结构可以分为：1。网络基础平台。2。安全结构。3。支付体系。4。业务系统4个层次。电子商务是以计算机网络为基础的，计算机网络是电子商务的运行平台。 电子商务活动分为支付型业务和非支付型业务。支付型业务通常涉及资金的转移。支付型业务建立在支付体系之上，根据业务的需要使用相应的支付体系。而非支付型业务则直接建立在安全基础结构之上，使用安全基础层提供的各种认证手段和安全技术保证安全的电子商务服务。

通过CA安全认证系统发放的证书确认对方的身份是电子商务中最常用的方法之一。

证书是一个经证书授权中心签名的，它包括证书拥有者的基本信息和公用密钥。证书的作用归纳为两个方面：1． 证书是由CA安全认证中心发放的，具有权威机构的签名，所以它可以用来向系统中的其他实体证明自己的身份。2． 每分证书都携带着证书持有者的公用密钥，所以它可以向接受者证实某个实体对公用密钥的拥有，同时起着分发公用密钥的作用。安全是电子商务的命脉。电子商务的安全是通过加密手段来达到的。公用密钥加密技术是电子商务系统中使用的主要加密技术之一。 证书按照用户和应用范围可以分为个人证书，企业证书，服务器证书和业务受理点证书等等。

支付网关处于公共因特网与银行内部网络之间，主要完成通信，协议转换和数据加密解密功能和保护银行内部网络。 每一个业务应用系统对应于一个特定的业务应用。

支付型的业务应用系统必须配备具有支付服务功能的支付服务器，该服务器通过支付服务软件系统接入因特网，并通过支付网关系统与银行进行信息交换。人们进行电子商务活动最常用的终端是计算机终端。 一个完整的电子商务系统需要CA安全认证中心，支付网关系统，业务应用系统及用户终端系统的配合与协作。

电子商务的安全要求包括4个方面：1 数据传输的安全性。2 数据的完整性。3 身份安全。 4 交易的不可抵赖。交易的不可抵赖技术是通过数字签名技术和数字证书技术来实现。 私有密钥加密技术，公用密钥加密技术以及数字指纹技术是保证电子商务系统安全运行的最基本，最关键的技术。

数字信封技术用来保证数据数据在传输过程中的安全。私有密钥加密算法运算效率高，但密钥不易传递。而公用密钥加密算法密钥传递简单，但运算效率低，而且要求被加密的信息块长度要小于密钥的长度。 数字信封技术首先使用私有密钥加密技术对要发送的数据信息进行加密，然后，利用公用加密加密算法对私有密钥加密技术中使用的私有密钥进行解密。 数字信封技术使用两层加密体制，在内层，利用私有密钥加密技术，每次传送信息都可以重新生成新的私有密钥，保证信息的安全性。在外层，利用公用密钥加密技术加密私有密钥，保证私有密钥传递的安全性。

签名是保证文件或资料真实性的一种方法。利用公用密钥加密算法进行数字签名中最常用的方法。利用数字签名可以实现以下功能：1 保证信息传输过程中的完整性：安全单向散列函数的特性保证如果两条信息的信息摘要相同，那么它们信息内容也相同。2 发送者的身份认证：数字签名技术使用公用密钥加密算法，发送者使用自己的私有对发送的信息进行加密。3 防止交易中的抵赖发生：当交易中的抵赖行为发生时，接受者可以将接收到的密文呈现给第三方。数字信封保证安全性。数字签名保证信息的完整信息。安全的数据传输必须将数字信封技术和数字签名技术结合起来。

电子付款就是网上进行买卖双方的金融交换，这种交换通常是由银行等金融机构中介的。 电子现金也叫数字现金。电子现金具有用途广，使用灵活，匿名性，简捷简单，无需直接与银行连接便可使用等特点。 买方使用自己的计算机通过网络访问银行的电子现金生成器，将部分或全部现金取出，以加密文件形式存入计算机硬盘。这样，该计算机硬盘中的现金文件就形成了一个电子钱包。尤其适用与金额较小的业务支付。所谓电子支票就是传统支票以因特网为基础，进行信息传递，完成资金转移。电子支票的交换主要通过银行等金融单位的专用网络进行。安全电子交易SET是由VISA和MASTERCARD所开发的开放式支付规范，是为了保证信用卡在公共因特网上支付的安全而设立的。

安全电子交易SET要达到的最主要目的是：1 信息在公共因特网上安全传输，保证网上传输的数据不被黑客窃取。2 订单信息和个人帐号信息隔离。3 持卡人和商家相互认证，以确保交易各方的真实身份。4 要求软件遵循相同的协议和信息格式，使不同厂家开发的软件具有兼容性和互操作性，并且可以在不同的硬件的操作系统平台上。 SET协议涉及的当事人包括持卡人，发卡机构，商家，银行以及支付网关。 SET协议是针对用卡支付的网上交易而设计的支付规范，对不用卡支付的交易方式，则与SET协议无关。

私有密钥加密技术和公用密钥加密技术是两种最基本的加密技术。订单可通过电子化方式从商家传过来，或由持卡人的电子购物软件建立。

安全通道使用安全套接层技术。保证电子邮件安全的手段是使用数字证书。

WEB站点的访问控制的级别。1 IP地址限制。2 用户验证。3 WEB权限。4 NTFS权限。如果WEB站点的内容位于NTFS分区，可以借助于NTFS的目录和文件权限来限制用户对站点内容的访问。

网站内容是网民了解站点拥有者的关键和窗口。网站的内容关系到站点建设的成败。网站的管理有两个方面，一方面，需要对网络的链路，服务器等硬件设备进行管理。另一方面，需要对网站的内容，网站的创意，网民的咨询等软对象进行管理。 保持网站内容的长变长新就是网站管理者面对的重要课题。利用传统方式进行网站的推广与营销是最基础，最有效的方法。电子邮件具有速度快，效率高的特点，利用电子邮件进行网站营销也是可以考虑的办法之一。网上购物是电子商务系统的一种重要应用。消费者利用因特网浏览器进行网上购物步骤：1 在线浏览与选择商品。2 填写订购单。3 选择支付方式。在我国传统的现金支付方式仍然是最重要的支付方式。网上直接划付是另一种支付方式。

第八章 网络技术展望

人们每次发送的报文分为较小的数据块，既报文分组，每个报文分组单独传送，达到目的地后再重新组装成报文，这就是分组交换技术。

信元交换技术是一种快速分组交换技术，它结合了电路交换技术延迟小和分组交换技术灵活的优点。信元是固定长度的分组，ATM采用信元交换技术，其信元长度为53字节。

目前主要的运营网络有电信网，有线电视网和计算机网。

N-ISDN把2B+D信道合并为一个144kbps（B=64，D=16）的数字信道，通过这样一个适配器，用户可以用144kps速率的完整数字信道访问Internet。64x2=128+16=144kps

宽带ISDN的核心技术是采用异步传输模式ATM。另一个核心技术关键技术是满足各种各样的服务质量QoS要求。宽带ISDN的业务分为两类：交互型业务和发布型业务。

交互型业务是指在用户间或用户与主机之间提供双方信息交换的业务。

发布式业务是由网络中某点向其他多个位置传送单向信息流的业务。

宽带ISDN的协议分为3面和3层，3个面分别称为用户面，控制面和管理面。每个面又分为3层：物理层，ATM层和ATM适配层。

所谓社区宽带网是接到用户的快速网络，网络通常需求的速率至少是2Mbps。

RRB提供多种综合集成业务，有多种网络构筑方式，其中基于有线电视HFC网的方式速率最高。RRB由业务提供者，传送者，接入网和家庭网共同组成。

从目前来看，有3种主要的技术，一种是基于电信网络的数字用户线路XDSL方式，它是建立在原有的电信线路上面传送宽带数据。还有一种在有线电视网CATV上传送宽带数据；另一种就是纯粹计算机网络，也就是我们常说的局域网，它可能以基于IP的方式传输宽带数据。

有线电视网CATV是采用单向传输方式。RRB极有可能的发展趋势是，采用ATM技术把所有的家用电器连接起来。

宽带网络是具备较高通信速率和吞吐量的通信网络。

整个宽带网络可以分为传输网，交换网和接入网3大部分，所以宽带网的相关技术也分为3类：传输技术，交换技术和接入技术。宽带传输网主要是以SDH为基础的大容量光纤网络，宽带交换网是采用ATM技术的综合业务数字网，宽带接入网主要有光纤接入，铜线接入，混合光纤/铜线接入，无线接入等。

光纤通信系统由电发射端机，光发射端机，光纤，中继放大器，光接收端机和电接收端机组成。

波分复用可使用多路不同波长的光信号在同一光纤上传输，这样既增加了光纤的传输容量，又打破了光纤点到点连接的限制，从而可以用光纤构成网络连接。

波分复用和光孤子技术：光纤的传送容量为100Gbps以上。光孤子采用很窄的光脉冲，传播以后能达到很小的失真，从而到达很高的传输容量。

宽带网络中的交换技术要求提供高速大容量交换，能支持各种业务，目前最有前途的交换网络是ATM网。 ATM采用面向连接的信号交换形式，达到大容量，多速率交换；通过虚连接和流量控制机制实现统计复用，以较高的网络资源利用率实现各种业务的交换。ATM且有电路交换和分组交换的优点。

宽带网络对接入技术的要求包括两个方面：网络的宽带化和业务的综合化。

在传输网中，目前采用的是同步数字体系SDH。SDH主要有以下特点：1 具有全世界统一的网络结点接口，简化了消息互通。2 具有一套标准化的信息结构等级，这些信息结构叫做同步传输模式。3 在帧结构中具有丰富的用于维护管理的比特，因而具有强大的网络管理功能。4 所有网络单元都有标准的光接口，包括同步光缆线路系统，同步复用器，分插复用器和同步数字交叉连接设备等等，因此可以在光路上实现互通。5 具有一套特殊的复用结构，允许现有的准同步数字体系PDH，同步数字体系SDH和宽带综合业务数字网B-ISDN的消息都能进入其帧结构，因而具有广泛的适应性。6 大量采用软件进行网络配置和控制，使得新功能和新特性的增加比较方便，适合未来的发展。 SDH信号最基本也是最重要的模块信号是STM-1，其速率为155。520Mbps。更高等级的STM-N是将STM-1同步复用而成。 STM-1每秒钟的传输速率为927088000=155。52Mbps。

每个帧分为3个主要区域：

1 段开销SOH区域。

2 信息净负荷区域。

3 管理单元指针区域。

这是指示符，用来指示净负荷的第一个字节在STM-N帧内的准确位置。

SDH的网络单元有终端复用器，分插复用器ADM和数字交叉设备DXC等。

终端复用器的主要任务是将低速支路和155Mbps的电信号纳入STM-N帧结构中，并经过电/光转换为STM-N的光路信号，或相反。

分插复用器的主要任务是综合同步复用和数字交叉连接功能，分插任何信号。

数字交叉连接设备是SDH网的重要网络单元。

纯光DXC是唯一能与高速光纤传输速率相匹配的交叉连接技术。

自愈网是无需人为干预，网络就能在很短的时间内从失效故障中自动恢复所承载的业务，使用户不会感到网络已经出了故障。

异步传输模式ATM是一种分组交换和复用技术。

ATM用固定长度的分组发送信息，每个信元在其头部包含一个VCI，VCI提供一种方法，以创建多条逻辑信道，并在需要时候多路复用。因为信元长度固定，信元可能包含无用的比特。

ATM承载业务的重要特征：

1 它提供的服务是面向连接，通过虚电路传送数据。

2 数据被封装在53字节的信元中传输。

3 同一信道或链路中的信元可能来自不同的虚电路，它们采用统一多路复用技术。

4 为了满足不同的服务质量，ATM交换机能够以非平等的方式处理同一信道内不同的VC连接中的信元流。

ATM实际上是一个非常简单的协议，它仅仅把数据从一个端点传送到另一个端点，它本身并不提供差错恢复。

高层协议包括应用层，表示层，传输层和网络层。

适配层分为2个子层：会聚子层（CS）和坼装子层（SAS）。CS本身包括2个子层：特定业务会聚子层（SSCS）和公共部分会聚子层（CPCS）。

ATM信元由53字节组成：前5个字节是信头，其余48字节是信息字段。

ATM网络优点： 1 非常适合标记交换。 2 响应时间短。ATM协议的一个重点特点是响应时间短，以及具有LAN和WAN的无缝联网能力。 3 高速和高带宽。 4 综合网络。 5 从用户端综合接入。 6 现有协议和传统LAN的互连。 ATM应用例子:1 高带宽ATM主干 2 中心局的ATM交换机 3 移动通信系统中的ATM 4 ATM之上的视频会议 5 实时多媒体信息的大规模发布

接入网（AN）是指交换局到用户终端之间的所有机线设备。 接入网根据使用媒体分为光纤接入、铜线接入、光纤同轴混和接入（HFC）和无线接入（WLL）。

接入网特点：1 主要完成复用、交叉连接和传输功能。 2 提供开放的V5标准接口，可实现与任何种类的交换设备进行连接 3 光纤化程度高 4 提供各种综合业务 5 对环境的适应能力强 6 组网能力强 7 可采用HSDL、ADSL、有源及无源网络、HFC和无线等多种接入技术 8 接入网可独立于交换机进行升级，灵活性高，有利于引入新业务和向宽带网过渡 9 接入网提供了功能较为全面的网管系统，给网管带来方便 接入网的主要功能

1 用户口功能（UPF） 2 业务口功能（SPF） 3 核心功能（CF） 4 传送功能（TF）

5 AN系统管理管理（SMF） xDSL主要的技术方式 1 非对称数字用户线（ADSL） 2 高比特率数字用户线（HDSL） 3 甚高速数字用户线（VDSL） 4 单线路数字用户线（SDSL） 5 速率自适应数字用户线（RADSL） 6 基于ISDL的数字用户线路（ISDL）

光纤接入技术方式1 FTTR 光纤敷设到远端节点2 FTTB 光纤敷设到办公大楼3 FTTC 光纤敷设到路边4 FTTZ 光纤敷设到用户小区 5 FTTH 光纤敷设到每个家庭

光纤接入网的拓朴结构：总线型、环型、星型和树型结构。

全球多媒体的特征：1 异构性；2 服务质量；3 移动性；4 拓展性；5 安全性和可靠性。(完)