【正文】 展性。根據(jù)信息安全管理的要求，通信經(jīng)營信息系統(tǒng)引入了基于角色訪問控制的技術(shù)，為各類業(yè)務(wù)信息提供安全的訪問控制管理。將基于角色訪問控制的基本思想與公司經(jīng)營管理需要相結(jié)合，提出合理的訪問控制策略，實現(xiàn)按組織職能和崗位職責(zé)的按需授權(quán)方式，就可以適應(yīng)擴張型企業(yè)信息管理系統(tǒng)的訪問控制要求。 訪問控制國內(nèi)外研究現(xiàn)狀 訪問控制研究的概況計算機網(wǎng)絡(luò)的發(fā)展與普及，使信息系統(tǒng)在社會各行各業(yè)中得到廣泛的應(yīng)用。訪問控制技術(shù)作為國際化標(biāo)準(zhǔn)組織定義的五項標(biāo)準(zhǔn)服務(wù)之一 [2]，是實現(xiàn)信息系統(tǒng)安全的一項重要機制。為了限制訪問主體（或稱為發(fā)起者，是一個主動的實體；如用戶、進程、服務(wù)等）對訪問客體（需要保護的資源）的訪問權(quán)限，使計算機系統(tǒng)在合法范圍內(nèi)使用，訪問控制技術(shù)通過不同的手段和策略實現(xiàn)對信息訪問的控制，保證信息資源不被非法使用和訪問 [3]。自主訪問控制針對訪問資源的用戶或者應(yīng)用設(shè)置訪問控制權(quán)限，其安全性最低，靈活性很高。例如，對文件建立者規(guī)定可讀、寫、修改和執(zhí)行的權(quán)限。強制訪問控制在自主訪問控制的基礎(chǔ)上，增加了對資源的屬性劃分，規(guī)定不同屬性下的訪問權(quán)限，其中引入的安全管理員機制，增加了安全保護層，可防止用戶無意或有意地使用自主訪問的權(quán)利。強制訪問控制最早出現(xiàn)在 1965 年由 ATamp。目前在一些高安全等級的操作系統(tǒng)中就通過實施強制訪問控制策略對系統(tǒng)的安全進行管理，通過給系統(tǒng)用戶和文件分配安全屬性，強制性地規(guī)定該屬性下的權(quán)限，低安全級別的主體不能訪問高安全級別客體的信息，不同級別間的信息不能互訪。自主訪問控制和強制訪問控制通過主體與客體的直接聯(lián)系進行授權(quán)，已經(jīng)無法滿足新的安全需求。角色訪問控制策略與訪問者的身份認(rèn)證密切相關(guān)，通過確定該合法訪問者的身份來確定訪問者在系統(tǒng)中對哪類信息有什么樣的訪問權(quán)限，一個訪問者可以充當(dāng)多個角色，一個角色也可以由多個訪問者擔(dān)任 [12]。在一個機構(gòu)里，在計算機信息系統(tǒng)中為不同的工作崗位創(chuàng)建對應(yīng)的角色，對每個角色分配不同的操作權(quán)限，根據(jù)用戶在機構(gòu)中的職責(zé)為其指派相應(yīng)的角色，用戶通過所分配的角色獲得相應(yīng)的操作權(quán)限，就可以對計算機信息系統(tǒng)中的資源進行訪問 [14]。RBAC 模型的建立及實現(xiàn)是基于角色訪問控制研究中的兩大熱點 [15]，在目前所出現(xiàn)的幾種 RBAC 模型中，美國 Gee Mason 大學(xué)提出的 RBAC96 模型和 ARBAC97 模型，由于系統(tǒng)地、全面地描述了 RBAC 多層次的意義而得到了廣泛的認(rèn)可 [16]。 訪問控制的分類根據(jù)訪問控制具體應(yīng)用目的的不同，訪問控制被劃分為幾個不同的級別，主要有入網(wǎng)訪問控制、網(wǎng)絡(luò)權(quán)限控制、目錄級控制以及屬性控制等。入網(wǎng)訪問控制為網(wǎng)絡(luò)訪問提供了第一層訪問控制，通過控制機制的定制明確能5 / 76夠登錄到服務(wù)器并獲取網(wǎng)絡(luò)資源的合法用戶、用戶入網(wǎng)的時間和準(zhǔn)許入網(wǎng)的工作站等。如果有任何一個步驟未通過檢驗，該用戶便不能進入該網(wǎng)絡(luò)。網(wǎng)絡(luò)權(quán)限控制是針對網(wǎng)絡(luò)非法操作所提出的一種安全保護措施，能夠訪問網(wǎng)絡(luò)的合法用戶被劃分為不同的用戶組，不同的用戶組被賦予不同的權(quán)限。 目錄級安全控制是針對用戶設(shè)置的訪問控制，具體到控制用戶對目錄、文件、設(shè)備的訪問。對目錄和文件的訪問權(quán)限一般有八種：系統(tǒng)管理員權(quán)限、讀權(quán)限、寫權(quán)限、創(chuàng)建權(quán)限、刪除權(quán)限、修改權(quán)限、文件查找權(quán)限、訪問控制權(quán)限。網(wǎng)絡(luò)上的資源都應(yīng)預(yù)先標(biāo)出一組安全屬性，用戶對網(wǎng)絡(luò)資源的訪問權(quán)限對應(yīng)一張訪問控制表，用以表明用戶對網(wǎng)絡(luò)資源的訪問能力。屬性往往能控制以下幾個方面的權(quán)限：向某個文件寫數(shù)據(jù)、拷貝一個文件、刪除目錄或文件、查看目錄和文件、執(zhí)行文件、隱含文件、共享、系統(tǒng)屬性等，避免發(fā)生非法訪問的現(xiàn)象。一般包括可以設(shè)置口令鎖定服務(wù)器控制臺，以防止非法用戶修改、刪除重要信息或破壞數(shù)據(jù)；可以設(shè)定服務(wù)器登錄時間限制、非法訪問者檢測和關(guān)閉的時間間隔。對操作系統(tǒng)的訪問控制能力，首先是開展對安全操作系統(tǒng)的研究。目前各國都在開展安全操作系統(tǒng)的研究，安全操作系統(tǒng)主要是提高了操作系統(tǒng)的強制訪問控制能力、安全審計能力、密碼存取能力，對進程、文件、目錄的保護都得到加強。邊界訪問控制主要通過防火墻系統(tǒng)、支持 VLAN 的網(wǎng)絡(luò)設(shè)備來實現(xiàn)。應(yīng)用系統(tǒng)的訪問控制一般在應(yīng)用系統(tǒng)開發(fā)中單獨實現(xiàn)，有時也可以通過調(diào)用底層的操作系統(tǒng)訪問控制功能或者數(shù)據(jù)庫管理系統(tǒng)的訪問控制功能?；趹?yīng)用的訪問控制是未來系統(tǒng)安全必須要加強的環(huán)節(jié)。目前比較流行的應(yīng)用系統(tǒng)的訪問控制是將 PKI 技術(shù)、 PMI 技術(shù)、LDAP 目錄服務(wù)器結(jié)合起來實現(xiàn)安全訪問控制和權(quán)限管理。針對公司通信經(jīng)營管理的特點，結(jié)合基于角色訪問控制的基本思想，通信經(jīng)營信息系統(tǒng)對訪問控制策略的實現(xiàn)進行分析，提出角色劃分的方法，落實按崗授權(quán)策略，同時根據(jù)分布式系統(tǒng)的授權(quán)管理的要求，將管理單位抽象為域，按域劃分安全7 / 76管理職責(zé)，按組織管理要求管理授權(quán)，在明確管理人員管理職責(zé)的同時，作到集中管理與分散管理相協(xié)調(diào)。本論文的組織結(jié)構(gòu)如下：1. 介紹課題的來源和背景；2. 對通信經(jīng)營信息系統(tǒng)的現(xiàn)狀進行說明，介紹訪問控制技術(shù)的應(yīng)用環(huán)境；3. 比較傳統(tǒng)訪問控制技術(shù)和基于角色訪問控制技術(shù)的特點，重點對基于角色訪問控制的授權(quán)原則進行說明，介紹訪問控制系統(tǒng)的技術(shù)背景；4. 討論通信經(jīng)營信息系統(tǒng)的安全需求，介紹了基于角色訪問的安全控制系統(tǒng)采取的安全策略；5. 介紹通信經(jīng)營信息系統(tǒng)安全策略實施的方法，提出訪問控制系統(tǒng)的功能設(shè)計。8 / 762 通信經(jīng)營信息系統(tǒng) 通信經(jīng)營的業(yè)務(wù)特點通信經(jīng)營是指通信經(jīng)營者向用戶提供通信服務(wù)，取得經(jīng)濟收入的活動。公司通信的經(jīng)營業(yè)務(wù)，涵蓋了調(diào)查市場、建設(shè)資源和提供服務(wù)整個過程的工作及管理。對于同意建設(shè)的工程項目，由公司進行投資，工程技術(shù)人員負(fù)責(zé)在指定的經(jīng)營區(qū)域建設(shè)用于提供通信服務(wù)的接入間，鋪設(shè)線路資源和通信設(shè)施；在區(qū)域通信網(wǎng)絡(luò)建設(shè)完成之后，工程技術(shù)人員將竣工工程項目的資源情況及設(shè)施移交給生產(chǎn)單位，生產(chǎn)單位組織營銷人員在資源覆蓋區(qū)內(nèi)進行銷售，利用多種適當(dāng)?shù)膬r格措施和服務(wù)措施為用戶提供通信服務(wù)，并由相關(guān)部門做好配套的銷售服務(wù)工作，如用戶按入線路鋪設(shè)和業(yè)務(wù)咨詢、故障受理等。可以看出，通信經(jīng)營工作涉及的部門眾多，涵蓋了市場調(diào)查、工程建設(shè)等多項既相對獨立、又有一定時序關(guān)系的業(yè)務(wù)，其管理工作由各個部門的多個崗位協(xié)作完成。在適合開發(fā)經(jīng)營的業(yè)務(wù)區(qū)域，公司就在當(dāng)?shù)爻闪I銷機構(gòu)，負(fù)責(zé)區(qū)域通信業(yè)務(wù)的經(jīng)營工作，包括對所在區(qū)域市場情況的調(diào)查，區(qū)域市場營銷工作的管理。市場部主要負(fù)責(zé)整體的市場規(guī)劃、工程立項審批、資費管理、產(chǎn)品管理和經(jīng)營過程的管理工作；技術(shù)部門主要負(fù)責(zé)工程的投資管理、工程的建設(shè)管理和網(wǎng)絡(luò)維護工作；財務(wù)部門負(fù)責(zé)資金管理和物資管理；綜合部門負(fù)責(zé)人力資源的分配、調(diào)度和業(yè)績考核工作。營銷過程的各項工作主要集中在營銷機構(gòu)，營銷所需的大量銷售人員，其業(yè)務(wù)管理、工作考核、崗位安排等日常管理工作均由營銷機構(gòu)負(fù)責(zé)。2. 整個公司由多個部門及生產(chǎn)單位組成，部門及生產(chǎn)單位在公司整個組織結(jié)構(gòu)中分別承擔(dān)一定的組織分工，履行公司賦予的工作職責(zé)。3. 員工按部門進行管理，員工的工作由部門統(tǒng)一分配，員工的工作職責(zé)和工作范圍按部門劃分，員工調(diào)離部門，原來在部門中承擔(dān)的職責(zé)也被解除。在通信經(jīng)營管理過程，公司采用信息技術(shù)對通信經(jīng)營信息的處理有如下目的：1. 利用信息系統(tǒng)高度自動化的特點，實現(xiàn)業(yè)務(wù)流程的自動管理，減少業(yè)務(wù)過程不同部門的人員業(yè)務(wù)交接的管理成本，提高工作處理的及時率，降低工作處理的差錯率；10 / 762. 將原來分散處理、分散存儲的通信經(jīng)營信息，按統(tǒng)一的要求進行格式規(guī)范、集中存儲、集中管理，利用公司現(xiàn)有內(nèi)部專用的數(shù)據(jù)通信網(wǎng)絡(luò)，實現(xiàn)跨部門、跨區(qū)域的信息收集、信息共享，提高整個公司的業(yè)務(wù)協(xié)作效率；3. 利用計算機信息技術(shù)的處理能力，對通信經(jīng)營過程的業(yè)務(wù)信息進行跟蹤、處理和分析，減少通信經(jīng)營管理的工作強度；4. 及時為公司通信經(jīng)營決策提供準(zhǔn)確的分析資料，提高決策的及時性和準(zhǔn)確性。通信經(jīng)營數(shù)據(jù)根據(jù)業(yè)務(wù)處理的要求需要在不同部門不同崗位按一定的流程進行流轉(zhuǎn)，不同崗位的工作人員需要利用通信經(jīng)營信息系統(tǒng)對日常業(yè)務(wù)信息進行管理，信息的收集和處理必須按實際管理需要進行，工作人員對信息的查詢、修改需要按照其實際的崗位職責(zé)的分工進行，由系統(tǒng)自動進行管理。工作人員在通信經(jīng)營信息系統(tǒng)的權(quán)限應(yīng)與工作職責(zé)密切相關(guān)，信息的查詢、處理、傳輸應(yīng)受到嚴(yán)格的管理。通信經(jīng)營信息系統(tǒng)由多個業(yè)務(wù)功能模塊組成，可根據(jù)業(yè)務(wù)管理的需要進行業(yè)務(wù)功能擴展。用戶在登錄11 / 76后，就可根據(jù)工作的需要按規(guī)定的授權(quán)使用各個業(yè)務(wù)子系統(tǒng)提供的業(yè)務(wù)管理功能，實現(xiàn)單點登錄，全面管理的能力。 通信經(jīng)營信息系統(tǒng)的硬件結(jié)構(gòu)通信經(jīng)營信息系統(tǒng)的使用者除了公司工作人員外，各營銷機構(gòu)工作人員、代理商都有隨時隨地收集信息，反饋經(jīng)營情況的必要和進行業(yè)務(wù)操作的需要，客戶端的操作簡便和系統(tǒng)信息的安全是系統(tǒng)開發(fā)的首要問題。1．系統(tǒng)的工作模式針對用戶分散的特點，通信經(jīng)營信息系統(tǒng)采用三層 C/S 工作模式，將應(yīng)用程序劃分到三個邏輯層：用戶服務(wù)層、業(yè)務(wù)服務(wù)層和數(shù)據(jù)服務(wù)層，其中業(yè)務(wù)服務(wù)層由業(yè)務(wù)邏輯封裝而成，作為應(yīng)用系統(tǒng)的中間件在服務(wù)端進行管理，而用戶端只要安裝簡單的客戶端軟件就能方便地訪問應(yīng)用系統(tǒng) [20]。用戶服務(wù)層包括客戶端的軟件、GUI 客戶程序等客戶端軟件元素。用戶服務(wù)層通過調(diào)用相應(yīng)的過程，激發(fā)應(yīng)用服務(wù)器執(zhí)行一系列事務(wù)，若所需的數(shù)據(jù)駐留在數(shù)據(jù)服務(wù)器上，則通過它獲取所需的數(shù)據(jù)服務(wù)，客戶端軟件不直接與數(shù)據(jù)庫打交道，保證數(shù)據(jù)的安全與完整性。為提高系統(tǒng)的可維護性和易擴展性，數(shù)據(jù)服務(wù)層以 MSSQL SERVER 作為數(shù)據(jù)庫管理系統(tǒng)，同時通過接口層明確各層之間的界限，增加系統(tǒng)的伸縮性和靈活性。訪問控制模塊以組件對象形式設(shè)計，可以容易地與具體應(yīng)用系統(tǒng)進行集成，且提供了良好的適應(yīng)性、可擴展性與可維護性。為確保信息系統(tǒng)的安全，系統(tǒng)充分利用 DCN 網(wǎng)與外界物理隔離的特點，采用如下的組網(wǎng)技術(shù)，確保系統(tǒng)通信的安全。(2) 以交換式集線器代替共享式集線器，利用交換功能保證使單播包僅在兩個節(jié)點之間傳送，防止非法偵聽。將所有主機系統(tǒng)集中到一個 VLAN 里，在這個 VLAN 里不允許任何用戶節(jié)點。VLAN 內(nèi)部的連接采用交換實現(xiàn)，VLAN 與 VLAN 之間的連接則采用路由實現(xiàn)。在現(xiàn)有條件下，應(yīng)用系統(tǒng)主要在微機工作站和微機服務(wù)器工作，操作系統(tǒng)以 WINDOWS 和 WINDOWS 2022 為主。表 21 通信經(jīng)營信息系統(tǒng)的配置情況支撐環(huán)境 應(yīng)用軟件 操作系統(tǒng) 硬件客戶端 瘦客戶端軟件 Windows XP PC 工作站13 / 76應(yīng)用服務(wù)器 業(yè)務(wù)邏輯中間件 Windows2022 Server PC 服務(wù)器數(shù)據(jù)庫服務(wù)器 MS SQL Server Windows2022 Server PC 服務(wù)器圖 21 通信經(jīng)營信息系統(tǒng)的網(wǎng)絡(luò)結(jié)構(gòu) 通信經(jīng)營信息系統(tǒng)的軟件結(jié)構(gòu)通信經(jīng)營信息系統(tǒng)利用計算機技術(shù)，通過對涉及通信經(jīng)營過程的各類信息進行登記、匯總、跟蹤、分析，實現(xiàn)對通信經(jīng)營工作及時和全面的管理。14 / 76 經(jīng)營信息管理系統(tǒng) 市 場 規(guī) 劃 系 統(tǒng) 管 理 經(jīng) 營 分 析 客 戶 服 務(wù) 營 銷 信 息 管 理 資 源 建 設(shè) 管 理 市 場 調(diào) 查 圖 22 通信經(jīng)營信息系統(tǒng)結(jié)構(gòu)圖相應(yīng)地，通信經(jīng)營信息系統(tǒng)包括了市場調(diào)查、市場規(guī)劃、資源建設(shè)管理、營銷信息管理、客戶服務(wù)、經(jīng)營分析、系統(tǒng)管理七個功能模塊，見圖 22。1．市場調(diào)查市場調(diào)查的重點在于收集通信市場信息。市場調(diào)查模塊見圖 23，主要完成市場信息的收集、匯總和分析。市場調(diào)查模塊提供了調(diào)查項目管理、調(diào)查信息管理、調(diào)查信息處理三個功能模塊，完成相應(yīng)的業(yè)務(wù)管理：(1) 市場調(diào)查項目管理：明確調(diào)查項目、調(diào)查內(nèi)容、調(diào)查區(qū)域、調(diào)查時間，指定項目負(fù)責(zé)人員及執(zhí)行調(diào)查的部門或個人；(2) 市場調(diào)查信息管理：對調(diào)查信息的登記、匯總，供執(zhí)行調(diào)查工作的人員或部門使用，提供信息的錄入、修改、刪除、查詢等功能；(3) 市場調(diào)查信息處理：對收集到的市場調(diào)查信息進行分析，提供調(diào)查報告撰寫、生成、導(dǎo)入、導(dǎo)出的功能，供調(diào)查項目負(fù)責(zé)人使用。市場規(guī)劃模塊包括經(jīng)營預(yù)算、營銷規(guī)劃、資源規(guī)劃三個子模塊，其結(jié)構(gòu)圖見圖 24。模塊根據(jù)預(yù)先設(shè)定的經(jīng)驗數(shù)據(jù)或通過對歷史經(jīng)營資料的匯總統(tǒng)計，以一定規(guī)則（例如以銷售收入為主要計算指標(biāo)）對經(jīng)營指標(biāo)進行分解，同時提供指標(biāo)調(diào)整的功能，允許操作人員手工修改或制定新的分解規(guī)則。(2) 資源規(guī)劃：根據(jù)公司制定的通信經(jīng)營預(yù)算計劃確定各個月份、各個區(qū)域、各種產(chǎn)品對相關(guān)通信資源（例如語音端口、數(shù)據(jù)端口）的需求量，結(jié)合現(xiàn)有資源的狀況，確定各個月份、各個區(qū)域需要新增加的資源的計劃和投資預(yù)算。在資源規(guī)劃模塊中，系統(tǒng)根據(jù)預(yù)設(shè)的規(guī)劃原則，生成初步的規(guī)劃結(jié)果，并在操作界面上提供對規(guī)劃數(shù)據(jù)進行手工調(diào)整或修改的功能。通信經(jīng)營指標(biāo)確定后，各營銷中心及市場部門根據(jù)各自的職責(zé)，提交相關(guān)的營銷計劃、營銷措施。 市 場 規(guī) 劃 經(jīng) 營 預(yù) 算 資 源 規(guī) 劃 營 銷 規(guī) 劃 圖 24 市場規(guī)劃模塊結(jié)構(gòu)圖3. 資源建設(shè)管理資源建設(shè)管理模塊見圖 25，主要實現(xiàn)對通信資源建設(shè)項目從立項、審查、審批到工程建設(shè)整個過程的管理。審查結(jié)果有二種情況：同意立項和不同意立項。工程建設(shè)管理主要對在建項目進行跟蹤，并對竣工后的工程資源情況進行登記，如交換容量、出局主干、交接箱位置、分配號碼段等，以便于在工程竣工后相關(guān)營銷工作的順利開展。在每個接入網(wǎng)間竣工投產(chǎn)后，營銷中心就可使用該接入網(wǎng)資源進行市場營銷。營銷信息管理模塊包括銷售計劃、營銷措施、銷售日報表、資源情報、報表管理