瞻博网络无线和汇聚网络营销经理Leonid Burakovsky称，服务提供商安全的概念正在发生重大的变化。目前的安全重点主要集中在传输层。这种方法对于需要一个复杂的、多层安全矩阵的下一代移动网络是不充分的。多层安全矩阵还能够保护控制层、信令层和应用层。所有这些层的安全必须包含集成的强制执行政策和使用AAA(认证、授权、计帐)服务和政策管理的安全访问。

　　智能手机和开放的移动设备平台/操作系统的迅速普及为恶意攻击提供了新的机会。服务提供商必须要找到缓解这种威胁的方法。随着移动设备演变为更像是掌上电脑而不是传统的手机，可以肯定的推测计算机安全的历史很快将在移动领域再现。移动领域将出现大量的和不断变化的攻击。随着向开放接入网络和全IP网络发展，安全比以往任何时候都要重要，然而相关标准组织的安全题目经常被搁置一旁。

　　移动核心网络将很快遭到移动用户方面的攻击。这种攻击到目前为止还很少发生。这将要求重新设计网络安全的第一道防线。此外，数据服务增加的大量的带宽以及对信令层和应用层攻击数量的增加已经证明是困难的安全挑战。

　　要克服这些新兴的安全挑战，网络操作人员应该考虑两个新的安全概念：1.分层次(或多层的)的安全；2.动态安全。

　　一条多层的防线

　　对于一个全面的安全方法和最有效的方法，应该使用分层次使用的多个逻辑安全组件保护整个网络。(见图1):

　　一、第一层防御：整体网络AAA

　　就像一个公司或者大学校园的安全人员一样，需要第一道防线监视谁(和什么)在进入和离开无线网络。AAA和接入控制应该安排到位以阻止外部人员投机取巧的攻击。

　　认证和授权回答两个非常重要的问题：“谁”在进入这个网络和正在提供“什么”服务。一旦用户和服务通过验证，根据用户订阅、描述文件和额外的合同协议，为应用程序/服务提供的经验可以是多种多样的。接下来要确定设备健康和位置数据以便提供精细的接入控制。

　　应该使用整体网络AAA和接入控制支持所有的接入技术。这样，只有授权的用户和符合你的网络安全政策的设备中的应用程序才可以通过第一层。

　　二、第二层防御：基于路由器的安全

　　在无线和有线网络中，应该部署智能路由器防止IP欺骗。在数据平面中，路由器应该实施方欺骗措施，其方法是通过使用接入控制列表和IP网段过滤等方法阻止可疑的源IP地址或者可疑的IP地址范围中的所有的入网通讯流量进入网络。同时，边界网关协议进程、安全FTP和SSH应该在这个路由器的网络协议级上采取安全措施。

　　此外，随着VoIP和IP多媒体子系统的普及，保护会话流程安全(一种基于路由器的新的安全功能)正在越来越重要。由于拥有边界网关功能，路由器是实施会话流程保护的完美的地方。边界网关功能可以过滤和封锁不需要的流程、根据带宽限制流量速度、优先安排流量通过核心网络和实现NAT穿越。

　　当然，执法的安全要求一直是基于路由器的安全的一部分：执法中的通讯协助法案要求(或者政府批准的其它要求)、合法侦听、虚拟局域网镜像等活动都可以在第二个安全层实施。

　　三、第三层防御：有状态检查的防火墙

　　就像在计算机领域一眼，更高级的攻击能够穿透前两层防御。因此，一个拥有状态检查的健全的防火墙充当第三层防御是必要的。这些防火墙使用IP网络安全协议创建一个虚拟专用网。IP网络安全协议可用于身份识别和加密IP数据包、传输层安全和SSL VPN功能，提供防御拒绝服务攻击、分布式拒绝服务攻击和其它类型攻击的重要保护。

　　防火墙必须具有伸缩性，以处理显著增加的移动通讯流量。这样，网络的性能在通讯的高峰期就不会受到负面的影响。防火墙的一些独特的性能包括：

　　·伸缩性能：能够以适当的处理能力利用新的服务，不影响整个系统的性能。

　　·系统和网络弹性：运营商级的可靠性。

　　·接口的灵活性：高度灵活的输入/输出配置以及独立的输入/输出伸缩性。

　　·网络分段：安全区、虚拟局域网和虚拟路由器允许管理员让安全政策和网络政策适合各种内部、外部和隔离区的子组。

　　·强大的路由引擎：运营商级路由引擎提供数据和控制面板的物理的和逻辑的分隔，允许部署整合的路由和安全设备，保证路由基础设施的安全。

　　·全面的威胁保护：集成的安全功能和服务包括一个多GB的防火墙、入侵检测和防御、拒绝服务攻击、网络地址解析和服务质量等。

　　四、第四层防御：入侵检测与防御

　　较高级的移动攻击需要将需要第四个逻辑层的防御：入侵检测与防御(IDP)。

　　IDP提供了重要的内容检测和杀毒/反垃圾邮件能力。内容检测旨在阻止L7/应用程序攻击并且是检测什么在L7/应用程序或者在信令应用层上运行的唯一方法。

　　IDP使用基于状态协议检测、攻击方式和行为学习等客户化的特征检测应用层中的异常和可疑的行为。这个功能对于移动服务提供商是非常重要的。移动服务提供商要自己的网络，防止蠕虫和木马程序、间谍软件、键盘记录器和广告软件等其它恶意软件的入侵和传播。

　　应该设置这些系统使用状态特征检测允许进入网络的通讯流是否包含攻击。状态特征能够根据已知的模式扫描攻击。状态特征需要轻松地进行客户化以便适合不同的提供商的要求和具体担心的情况。

　　动态安全

　　遗憾的是，目前整个移动行业的绝大多数安全解决方案是静态的。这种趋势需要尽快改变，这样，运营商就能够走在新出现的威胁前面。

　　由于现代的攻击不断地变化和不可预测的性质，上述所有的四个安全层都应该与政策决策实体沟通，以便得到实时的动态反馈和强制执行新的安全政策。

　　这种实时的强制执行政策和政策管理中的所有四个逻辑安全层的信息的相互关联使建立一个动态的熟悉用户和服务的安全机制成为可能。

　　四个层次，一个目标：全面的保护

　　在当前不断发展的威胁环境中，移动提供商需要能够防御已知的和未知的威胁的解决方案。许多最重要的威胁包括“零日攻击”或者未知的方式的攻击。未知方式的攻击是指利用没有特征的或者软件补丁的安全漏洞实施的攻击。

　　虽然木马程序、病毒、蠕虫、缓存溢出和SQL注入攻击公开报道最多的外部威胁，但是，内部的威胁通常容易被忽略，而且内部威胁也许比外部威胁更常见。实施多层安全措施有助于防御外部和内部的威胁。

　　即使一个全面的、多层的安全方法有一部分缺失，服务提供商移动网络就很容易受到攻击，遭到网络完整性、销售收入和公司信誉等方面的损失。