zhaol's blog

B/OSS周刊第四期 平静  zz 自葫芦博客
--------------------------------------------------------------------------------

第四期(2006年2月24日--2006年3月3日)

本周无论国际还是国内的B/OSS市场,都比较平静,也难得,老是喧闹不定的话,大家心脏也受不了。不过,周五的一条"传联想控股可能购亚信"传言,却也让B/OSS平静的江湖有了不大不小的动荡.不过,本周末论坛的活动倒是很多,Cweek论坛3G及支撑学习北京学习小组第一次茶话会在北邮附近召开,另外还有北京羽毛球活动,上海Cweek俱乐部活动!下面一起来看看本周的新闻事件:

下面转贴一篇思科公司关于自防御网络SDN-网络准入控制NAC的宣传文章：

   不久前，计算机病毒还只是一种令人不快的小问题，很少引起高层管理人员的关注。但是现在，指数级增长的安全威胁、协作式应用和互联环境让网络安全问题成为了报纸的头条新闻。这里只举一个例子：在2003年1月，SQL Slammer蠕虫导致全球各地的大量网络陷于瘫痪，甚至让韩国电信的Freetel网络几乎完全中断。

　　在80年代，黑客们的攻击对象是单个计算机，在90年代则是单个网络，而今天，他们的攻击目标是全球的网络基础设施。因此，安全已经从一种可以避免的烦恼变成了一个关键任务型问题。高级IT经理们一致认为，他们需要不同的方法和架构来抵御新的威胁。事实上，根据Infonetics Research的预测，终端用户在安全产品和服务上的开支将从2003年的45亿美元增长到2007年的80亿美元——增长78%。

下面的这个等式节选自美国总统IT顾问委员会PITAC ( President's Information Technology Advisory Committee) 报告 2005, 当时看到的时候脑海中就闪现出当前如火如荼的“安全域”项目。  

安全域划分和边界保护的意义就在于阻止这种无限互联，即使实在内网，这种“无限互联”使得漏洞、蠕虫、病毒、内部滥用和误用等威胁防不胜防。例如对于中国电信、中国移动和中国网通等电信运营商来说，其DCN网络（共享平台）遍布全集团，承载了几乎全部关键的支撑业务，换句话说，每个关键业务以及员工的终端都可以连接上来，这样DCN就变成了一个小规模的互联网，数千甚至上万员工、用户在一起，互联网上面发生的事情，在“内网”上面都会发生。

从媒体上报导的UTStarcom工程师入侵北京移动卡系统中心盗取卡号密码的过程来看，除去工程管理过程的安全、帐号口令管理之外，“安全域”就是给我们的一个很重要的提示。

隔离使得风险可控。

但是，隔离并不代表着“安全域”项目就是一个“造墙”工程，而是恰恰相反，它应该是一个拆墙工程－移墙工程。优化整合后的网络架构的标志就是边界清晰，互联关系明了，所以相对于优化前的状态更能节省和共享网络和安全设备。

另外，防火墙技术越来越多地被集成进网络设备中，如何充分地挖掘网络设备本身自带地安全特性，是个值得研究的内容。可以帮助安全管理在性能和安全性、投资之间取得一个更好的平衡点。

“重硬轻软”一直是很多企业IT管理人员的误区，这里的硬当然就是大量的机器、盒子，软是指其上的软件，在这里我想强调的是“硬”上面跑得安全策略。“双层异构”的重要性并不比几条“得体适用”的安全策略来得实惠。

现在兴数据大集中，银行又是先驱，做了现在电信想做又不太敢作的事情，电力、交通等很多行业也都在不断的思量、探索，本地网集中，省网集中，物理集中，数据集中，应用集中，....集中就是明天吗？集中就代表先进吗？集中就一定能节省投资、提高运营效率吗？集中还会带来什么？下面的新闻从另外的角度给了决策者新的考虑点。

http://finance.sina.com.cn 2006年02月26日 11:20 经济观察报    本报记者 刘兆琼 上海报道

Hulu最新大作" B/OSS周刊第三期 忙碌的春天"发布，关心电信行业大事的朋友们不可错过，先睹为快，下面是一部分节选。

第三期(2006年2月17日--2006年2月23日)

最近天气反复无常，忽冷忽热，一如外界对3G的种种传言，本周信产部紧急叫停TD经济年会，外界猜测3G发牌上半年无望。但对B/OSS行业来说，因为3G的临近，注定了这是一个忙碌的春天！本周，无论是各运营商集团公司，还是众省公司，都开始忙碌了。以江苏电信为例，其数据仓库项目，已经如火如荼的展开了，海南的ODS更是临近尾声。不妨随hulu一起来看看本周行业的一些新闻事件。

e周新闻：

下面的文章转贴于Telecom,Security and P2P.

中国电信运营商与全球的电信运营商一道，都在积极寻找自己新的业务增长点，提升自己的盈利能力，发掘现有客户的价值。安全运营服务（Managed Security Service）和安全顾问服务（Professional Security Service）无疑是令人感兴趣的领域。运营商在安全服务方面具有得天独厚的优势，例如强大的客户覆盖和销售渠道、良好的信任关系、成熟的计费和结算体系等，可以共享机房、带宽、网络、信息基础设施知识和经验等，这些都可以大幅降低运营商推出MSS和PSS的成本和进入风险。

看到前些时候的新闻称：MCI利用NetSec提供的安全服务平台向路透社提供MSS和PSS的服务。国际运营商在此已有不少的实践。其实国内也已有不少尝试，中国电信自己的集成商－早先的CTSI，后来的中盈优创（Zhongying-Unihub）就在网络安全方面从上个世纪开始（^_^）耕耘了数年。现在的电信集团、新的CTSI、还有一些领先的省公司正在酝酿推出很多新的创意和商业组合。

下面的文章转贴自Telecom,Security and P2P，发表于2005/11.

如 前面的预测，Skype果然开始了与国内运营商的合作谈判，但是谈判会如何进行呢？国际上，将会越来越多的大大小小的厂商会推出基于P2P技术的各种新产品，竞争地位的运营商推出相应的应用来挑战主导运营商，都会全力来赶这趟P2P大潮。电信和网通两大主导固网运营商在信产部条文保护时间内，必须尽快研究拿出战略性的、全局性的对策，并迅速执行落实，不能停留在 试探性的、测试性的“控制”活动上。疏导不受控业务的同时，开拓可控的P2P业务平台，以及相应的计费运营模式。时间越来越紧迫了。

请看下面的报道，CWW转载自第一财经日报::Skype抛出两种运营商合作模式 打通三网融合

Telecom,Security and P2P现在国内访问不了，所以将这篇最终版转贴过来，朋友们还可以继续浏览 读到这个《最终版》。贴出这篇稿子后，得到了众位朋友和同仁的热烈响应，不少论坛都转贴了这篇议论。虽属一管之窥，但仁者见仁、智者见智，在这个互联网的年代，在Web2.0的大潮隆隆中，把自己的真实的客观想法与大家分享。下面的文字是前面“战国时代”的更新和修订。

如同在安全焦点上的“大潘怒了”带来的热烈讨论所言，2000年以来的愈演愈烈的市场竞争使得每一个生存者都伤痕累累，“踏着其他公司的尸骨，擦着自己的伤口”，其言戚戚切切者！每一个生存者都有生存者的道理，都有生存的理由。我们应该有一个共识，虽然中国市场以强调“关系”著称，但是客户关系可以 “一时”，不能“一世”，只能战术上起作用，不能战略上决定公司的发展态势。况且，大家的“关系”会逐渐达成一种平衡或者制约，最终能够决定你是否能够生存的是公司股东和管理层的视野、公司治理和成熟度、产品和技术先进性、稳定性、财务（现金流）的稳健等这些内在因素。华为们的成长和胜利、宏智们的倒塌值得我们思考。

原文：安全管理与执行力

其实，执行力是个管理学上的普遍问题。高的执行力并不一定带来理想的、正确的效果。例如文革时期，毛泽东利用自己的绝无仅有的影响力促使很多看起来虚无飘渺的、不切实际的命令被无条件的执行，全国范围的。不过，准确的说，这不是执行力的错。执行力是指形成的决议可以得到有效的执行，而没有涵盖前面形成决议的过程。那个阶段如何民主、如何分析、如何达成科学的、正确的决议是另外的管理学问题。

但是，对于网络安全工作来讲，重要的是很多基础的工作都没有做好，普遍性的、常识性的一些安全措施都没有做到位。在这种情况，安全主管的挑战就是执行力，如何将这些基础措施和安全策略实施下去。

北邮MBA新年论坛　阚教授PK五嘉宾　刀刀见血 by 通信世界网

阚凯力PK吕廷杰：
阚凯力问你一直坚持上3G，请问3G从什么地方挣钱？
阚凯力PK闻库：
阚凯力问中国政府对WIMAX技术到底处于什么样的态度？
阚凯力PK鲁向东：
阚凯力问WIMAX上马之后，在WIMAX实施VOIP等业务，是不是直接对中国移动造成威胁。
阚凯力PK赵治国：
阚凯力问信息产业部推动电信改革，但是却分为南电信、北网通，这个问题是不是阻碍改革。
阚凯力PK张继平：
阚凯力问，你所说的电信转型到底为谁在转型？

有句成语“成也萧何，败也萧何”，讲的是成事因萧何而成，败事也因萧何而败。有月下萧何追韩信的佳话，成就了汉家四百年江山，但是也因为对萧何的信任，也让运筹帷幄、叱咤风云的大将军束手就戮，屈死乱刀倒下。虽说前有彭越、英布的故事，但是，如果不是因为萧何，韩信不会轻易被杀。

萧何和BT有什么瓜葛吗？有！BT就是电信运营商业务发展的“萧何”。

以老大BT为代表的P2P宽带下载成就了固网运营商风风火火的ADSL装机热潮，拉动固网业务增长的两位数百分比。同时，华为、阿尔卡特、港湾、UT、中兴等也赚得眉开眼笑。想看电影吗？盗版盘多不方便，可能还读不出来，下载，各种清晰度的都有，什么片子都有。国内版权控制的失位、以及VCD/DVD红火多年背后的消费习惯对此贡献良多。120元包月下来，干什么？上网查论文吗？MSN/QQ聊天？所以，不能否认，BT们在月下给运营商们拉来了白花花的银子。

另外一面，城域网和骨干网怎么扩容也跟不上带宽需求的火箭上升速度，“带宽扩容增加是线性的，BT消耗带宽是指数增加的”，所以，永远也跟不上。这种担忧深深地萦绕在管理者和一些决策者地脑海里。于是出现了众多将BT们“一封了之”的声音，似乎只有那样，才能保证宽带网络的健康发展。

看了前面一段“成也萧何”，我们清醒地知道，封是封不得的。于是江苏电信、广东电信推出流量计费，打破了多年的宽带按时计费、包月计费的传统。另外，内容计费随着3G的到来成为热门的Buzz word。流量管理和内容管理成为打破BT威胁的另一出路。

运营商受到最大的威胁其实不是BT，因为毕竟你可以扩容，客户还是你的，该打的电话照打，多出来包月的120元价格可是大大高于现在固网运营商的平均ARPU。

最大的威胁来自于Skype们，它会直接杀向运营商当前收入的主体，抢夺运营商钱包里的钞票,并且对流量计费免疫。国内、国际上沸沸扬扬的Skype现象、封堵Skype引起的争议、国内民间和运营商两种声音的对抗其实才应该是媒体关注的“最强”。

安全经理，或者称为首席安全管，安全主管，这里指的是在企业组织中负责网络安全工作的经理，通常是一位中层领导，他还主管着信息系统的其他方方面面，例如运行维护，或者项目建设等。安全经理在企业组织的安全管理活动处于非常关键的地位，承上启下，分解高层对于网络安全的观点和使命，管理控制具体的安全运行和建设维护，他负责决定实际实施的技术路线和方案选型，抽象总结实际的安全工作的问题和由于其所处的位置为中层，就像“三观论”中的“中观”，企业组织的信息系统安全水平很大程度上取决于他个人对于网络安全的理解、重视与否和执行程度。

我经常对自己的愚钝、以及管理过程中的错误进行反思，看看是否可以找到一些方法来避免自己的愚钝和疏忽、固执，或者能够帮助面临自己同样境地的人。每个人都有每个人的困境，这里没有“银弹”。下面列出的不可忘记的五件事供您参考，或有一用，则善莫大焉。

咨询的价值 － 读温伯格（Gerald M. Weinberg）先生的《咨询的奥秘》- 成功提出和获得建议的指南. 本文最新版在Telecom,Security and P2P.
The Secrects of Consulting, by Gerald M. Weinberg

该书原版是1985年出版的，由李彤和关山松翻译，2004年清华大学出版社出版版。读后感觉该书的前四章（1 为什么咨询如此艰难、2 培养似非而是的四位框架、3 当你不知道自己在做什么时要有成效、4 看看那里有些什么），以及最后四章（11 经营你的服务、12 在你的脑门上贴上标签、13 怎样获得信任、14 让客户听从你的建议）更有趣，诙谐幽默中带来很多思考和收获，中间的5、6、7、8、9、10六章却没有留下什么印象。温伯格先生是一个思考大师，卓越的顾问。这也是一本近些年来唯一一本从头看到尾的书。为了不辜负花去的时间，把读后的一些感受和大家分享一下。

本文最新版在【Telecom,Security and P2P】.

    时间如白马过隙，匆匆忙忙中2005年就结束了，现在2006年的时针转的似乎比去年更快。有朋友提醒说总该回首一下、前瞻一下，拖了一段时间，总算写下几段文字，也算对自己和朋友有个交代。

    2005年不能算是安全市场的丰收年，写下 战国七雄的文字后，未料到其中已有玩家遭遇“宏智”-like的不幸，我自认不是乌鸦嘴，这事肯定与我无关，:(

     还是看看后面的技术发展吧。我借用了Gartner公司的新技术发展曲线，将若干我想到的安全技术都拎出来，给他们找了个位置。欢迎大家批评、评论。

请看：

将【Telecom,Security and P2P】站点的文档汇编了一下，RAR压缩的mht格式，里面含有从 2005年9月份到2006年1月11日之前的大部分文档，点击下载。

安全管理很多依赖于企业自身的企业管理水平，如果剥去安全策略、管理制度和流程的完备性、前瞻性等技术因素的包装，其实，企业治理过程中最为重要的要素之 一 － 执行力，对安全管理同样非常关键，它决定了那些（可能漂亮或者不怎么漂亮、完备或者不怎么完备的）安全策略、制度流程等是否能够得到落实。实际上是安全效 率（efficiency） 和 安全有效性或效力（effectiveness）的问题。开发几尺厚的安全策略制度流程手册文档，购买千兆防火墙、IDS，上安全管理中心（SOC）等等 这些措施大多都是面向的安全效率，而如何能够保证所有的或关键的安全措施都能够坚守岗位（Stick）、按照策略运转是效力问题。