陈涛，高鹏，杜雪涛，朱艳云，薛姗

（中国移动通信集团设计院有限公司, 北京 100080）

1 研究背景

运营商业务系统承担了许多重要的电信服务功能，比如即时通信、手机支付、移动商城、营销管理等，并与计费和网管系统相连接。这些系统往往存储大量客户信息和通信详单等敏感信息，容易成为黑客攻击的目标。黑客通常利用Web系统漏洞、业务逻辑漏洞、主机操作系统或第三方软件漏洞，进入业务系统管理后台，进而控制存储有客户信息的数据库，窃取或修改重要数据。黑客还可以利用“肉机”作为跳板，向运营商内网渗透，进而控制更多的运营商业务支撑系统，给运营商带来巨大危害，也严重威胁着国家的公共通信安全。

随着新业务的开展，这种黑客攻击行为对运营商业务应用层的威胁越来越大。Symantec报告指出，目前75%的攻击都是面向应用层的攻击。业务网站篡改与挂马、跨站攻击、用户账号窃取、网站钓鱼等利用业务信息系统漏洞实施的网络攻击十分猖獗，因此加强对业务系统的安全评估具有重要的意义。本文研究了切实可行、符合移动业务特点的运营商自主可控的业务信息系统测评方法，对积累电信业务系统安全测评经验，开发新的安全对抗手段都有重要参考价值。

2 运营商面临的业务安全风险与评估方法研究现状

近年来，运营商业务系统被黑客入侵的安全事件屡见不鲜。本文研究统计了著名的白帽组织[2]公开的漏洞数据库。如图1，自2010年7月24日到2012年6月9日近2年的时间里， WOOYUN组织共公开了4 161个业务漏洞入侵记录，其中运营商相关173起，占比4.2%，其余为国内ICP业务应用系统漏洞。……