等级保护设计要求下的移动业务系统安全防御体系.doc

等级保护设计要求下的移动业务系统安全防御体系152020年5月29日文档仅供参考 等级保护设计要求下的”移动业务系统安全防御体系”1、 引言随着全球信息化进程的不断推进,中国政府及各行各业也在进行大量的信息系统的建设,这些信息系统已经成为国家重要的基础设施,因此,信息系统安全问题已经被提升到关系国家安全和国家主权的战略性高度,已引起党和国家领导以及社会各界的关注。随着政府电子政务办公、移动警务办公、移动执法等信息化建设和发展,作为现代信息社会重要基础设施的信息系统,其安全问题必将对中国的政治、军事、经济、科技、文化等领域产生至关重要的影响。能否有效的保护信息资源,保护信息化进程健康、有序、可持续发展,直接关乎国家安危,关乎民族兴亡,是国家民族的头等大事。没有信息安全,就没有真正意义上的政治安全,就没有稳固的经济安全和军事安全,没有完整意义上的国家安全。经党中央和国务院批准,国家信息化领导小组决定加强信息安全保障工作,实行信息安全等级保护,重点保护基础信息网络和重要信息系统安全,要抓紧信息安全等级保护制度的建设。对信息系统实行等级保护是中国的法定制度和基本国策,是开展信息安全保护工作的有效办法,是信息安全保护工作的发展方向。实行信息安全等级保护的决定具有重大的现实和战略意义。2、 思路的启迪按照信息系统业务处理过程将系统划分成计算环境、区域边界和通信网络三部分,以终端安全为基础对这三部分实施保护,构成由安全管理中心支撑下的计算环境安全、区域边界安全、通信网络安全所组成的三重防护体系结构。在移动终端安全的领域中,计算环境如PDA、智能手机、PAD等,核心业务系统包括警务通、智能办公系统(OAERP)等,当前采用传统的传输加密技术手段仅考虑到如何解决非法接入及链路劫持安全问题,如 VPN等,安全防御较为单一化和局限性,公开的加密算法及隧道的传输模式已无法适应现代化的网络基础设施,在等级保护的信息安全建设中,应从整体安全体系模型考虑潜在风险问题,如计算环境安全、网络通信安全、区域边界安全。等级保护设计要求给予了很好的启迪,如何将移动终端安全实施三重技术防护体系成为我公司研究的新课题方向。3、 移动安全管理平台可研技术难点 整体式安全防护 根据等级保护的设计要求,应从计算环境安全、网络通信安全、区域边界安全三大部分建立移动应用系统的整体安全防护体系,包括身份认证、数据保密和网络完整性问题。这需要以密码技术为支撑,以身份认证为基础,以数据安全为核心,以监控审计为辅助进行整体的安全防护设计。 计算环境 随着3G,wifi网络的无限延伸,在移动应用环境中,计算环境除少量的基于windows平台外,智能手机下的WindowsMobile、Symbian、WINCE、android、iOS已经成为移动终端主流应用环境,这就需要基于智能手机下不同操作系统进行跨平台性开发。并根据智能终端应用特点,结合等级保护设计要求下的计算环境安全要求,应充分考虑主体与客体的安全访问控制、安全访问者的身份鉴别等移动终端在提供了便利的同时也十分容易丢失,这使得移动智能终端中数据保密性受到威胁,如何协调现有的存储文件的安全等级之间的一致性问题等等都是具有特色的安全新需求。 网络通信 应严格按照等级保护设计要求对网络通信数据的完整性和保密性进行充分的安全考虑,那么就需要采用由密码技术支持的完整性校验机制或具有相应强度的其它安全机制,以实现网络数据传输完整性和保密性保护。 区域边界 在移动应用系统网络环境中,区域边界的第一道门槛应经过防火墙进行协议、端口、数据包等功能的安全访问控制,但因网络传输为密文数据,防火墙仅限于端口过滤,这时是否考虑单独开发一台边界网关对移动终端认证后采取应用访问控制,从而完善区域边界的安全强度。4、 等保护设计要求下移动应用系统防护体系剖析北京明朝万达科技有限公司(.cn)是国家级高新技术企业和国家级软件企业,是中国领先的内网安全产品、数据安全产品和移动安全产品厂商,致力于信息安全技术的研究。1994年国务院147号令明确指出:对信息系统实行等级保护是国家法定制度和基本国策;是信息安全保护工作的发展方向。至此我公司及时响应国家政策要求,在国家等级保护建设过程中做出了很大努力,根据等级保护市场需求分析,并在国家等级保护相应的技术标准支撑下,针对等级保护定级系统中的移动应用系统,如移动警务系统、移动执法系统、移动电子政务系统、移动税务系统进行了深入性的探讨和剖析,从而研发出”移动安全管理平台”产品,其相应的技术特点如下: 用户身份安全采用CA认证机制,即在移动安全管理平台中建立统一的用户管理和认证授权系统。所有移动用户都有自己的数字证书和密码,数字证书能够存储在USBKey或者TF加密卡中。系统与移动用户基于双因素认证方式进行双向身份鉴别。首次登录后系统为合法接入用户实行注册和授权审核功能,充分保证用户身份的合法性和安全性。 移动终端安全移动安全管理平台在移动智能终端中的组件包括TF密码卡和终端软件两部分,密码卡实现证书的存储和数据信息的加密,经过跟应用保护的结合,能够防止移动智能终端数据明文存储导致的泄密问题发生。移动终端软件能够对用户身份和移动智能终端硬件信息进行绑定,并能够对终端信息的日志记录,包括用户的接入状态、IP地址和当前应用状态,并能够实时监控记录用户行为。 网络通信安全采用了虚拟网卡和代理模式结合的数据报文封装技术,适应于各种不同移动智能终端的应用特点。经过基于双向协商协议进行身份认证和密钥交换,同时密钥协商过程对客户端的身份认证采用了RSA签名机制,不会因重放攻击、中间人攻击、内存强制读取等手段引起非授权用户访问移动终端接入网关,从而达到数据传输的安全性。采用端到端加密技术保证了用户信息在移动网内的任意节点均以密文传输,避免了在链路加密中出现的密文在通信节点落地的情况,能够有效防止通信双方的信息被窃听和篡改。采用国家密码管理局认定的SM1算法,经过使用加密设备内部密钥产生、PKI技术保证的安全密钥交换以及硬件实现的加密算法,保证通讯过程中数据不被非法截获和破解。另:网络通信安全加密算法还支持国密SM4、SM2以及其它SSL、AES、RSA、Blowfish等高安全算法。 网络边界完整性移动安全管理平台对于安全性要求高的用户,能够经过实施网络边界完整性策略,确保移动终端用户一旦经过安全接入系统接入内网,就切断其与其它网络的通信,从而保持网络边界完整性,有效防止木马等导致的安全隐患。 数据保密性首先,应用系统在访问登录时,必须经过移动安全管理平台的双因素认证,确保核心业务数据访问者身份信息的真实可靠,对于B/S的访问应用,可提供安全浏览器等安全组件,访问业务系统时,当前采集应用数据经过密码技术进行加密,即便使用蓝牙、wifi泄露,也以密文显示。同时,移动安全管理平台能够对泄露途径进行安全防护,如在接入认证经过后,能够根据策略禁止启动蓝牙、红外等。 移动安全管理平台可实现安全传输加密,采用端到端加密技术保证了用户信息在移动网内的任意节点均以密文传输,避免了在链路加密中出现的密文在通信节点落地的情况,能够有效防止通信双方的信息被窃听和篡改。 应用安全l 第一层基础安全应用层:提供安全浏览器,安全邮件,安全通讯录等安全组件,实现基础的移动办公能力;l 第二层综合安全应用层:为用户提供综合安全办公服务能力,如安全加密浏览器(移动应用数据落地加密)、安全PDF阅读器、安全office、文档审批和管理等应用安全;l 第三层行业安全应用层,为电子政务平台提供其它定制化安全应用,如电子政务移动安全应用、移动执法安全应用等。经过三层安全应用层次模型为用户提供全方位的移动应用服务,从而实现真正的移动办公安全。 应用访问控制移动安全管理平台管理平台经过细粒度的角色关联机制对用户做细致的权限划分,能够给予不同用户以不同的访问权限,授权管理其可访问的资源,从而实现移动用户对各种应用的访问控制管理。 安全管理审计移动安全管理平台用户采用分级分权管理方式,对用户权限进行细粒度的分配,包括超级管理员、账户管理员、系统管理员、用户管理员和审计员。其中超级管理员是权限最大的管理员,可对服务器做任何设置;账户管理员可创立超级管理员以外的账号;系统理员管理安全接入系统自身系统参数;用户管理员管理用户数据权限和审计用户操作;审计员查看系统、用户和管理员日志。移动安全系统提供详尽的日志记录和安全审计分析功能,对于用户任何操作都能够提供详细的审计日志,能够对日志进行浏览、查询、导出、删除等操作,并提供报表工具对日志进行分析。同时,本系统提供标准Syslog日志接口,能够根据用户需要将日志发送到指定的Syslog日志数据库中。5、 关键技术 无线网络优化技术无线网络跟随着不同地点,信号强弱会发生频繁的变化,从而带宽也会带来变化,如果不采取措施,手机终端的频繁断网将难以避免。本项目采用了自创的无线网络优化技术,其主要技术特点如下: 自动检测无线网络信号强弱和带宽变化情况; 经过实验,建立带宽和优化参数表; 根据带宽变化情况,依据建立的优化参数表,对IP包封装的大小进行调节和自适应; 自动IP包重发,IP包如果超时未发出,将调整数据包大小,自动重发。 移动智能终端存储载体环境式加密国内外手机等移动智能终端中用于数据加密的方式为文件存储加密,本技术采用的加密技术为环境式加密技术,是针对手机的SD/TF卡的加密,这种加密是面对存储空间的加密。采用此技术,增加了产品的易用性与保密的强度。该加密技术以PKI技术为基础,配置的用户身份标识具有身份认证和数据加密两种功能,身份标识能够是国家认可的数字证书也能够是内部颁发的用于识别份的数字证明。用户身份标识集成在文件防泄密系统当中,当用户登陆操作系统的时候首先要输入用户身份密码(PIN码)。采用环境加密技术对存储区域进行加密后,所有存储到该区域的文件都自动加密,不需要单独操作。与手机文件加密相比较,该加密方法为用户提供自动加密的功能,十分便捷。同时加密的强度由RSA算法强度确定,高于普通的文件加密的强度,更利于文件保密6、 价值体现 技术价值根据等级保护设计要求思想,本系统定位于基于密码技术,为客户端和用户提供安全的远程接入内网数据链路,应用系统在以下几个方面得以安全保障:l 确保单位内网的应用系统只能被内网的客户端或者经过认证接入的外网客户端访问;l 确保外网客户端和内网应用系统之间传输的数据在外网路径上是安全的(数据保密性和完整性);l 确保经过本系统接入的客户端是被已经授权的用户在使用;l 确保经过本系统接入的用户和客户端不会被恶意和伪装的网关所欺骗;l 确保经过本系统接入的客户端不会破坏内网的网络边界完整性;l 实现对移动应用数据的安全防护,确保数据的保密性。 等级保护中的价值 在等级保护要求中,不论是基本要求还是设计要求,对于移动安全的技术要求点并没有实质性的定义,而在测评过程中,移动应用系统采用类似VPN产品技术实现的传输加密,其方式较为单一和局限,只考虑到在移动应用系统中网络通信安全问题,对计算环境安全、区域边界安全并没有相应的安全防护手段。移动安全管理平台根据移动系统使用特点及应用方式,从智能终端计算环境、区域边界、网络通信整体考虑移动应用系统的安全风险因素,完善等级保护系统中移动应用系统的建设要求。7、 安全管理与安全制度的融入信息系统的安全管理内容涉及:信息安全政策、信息安全组织、信息资产分类与管理、个人信息安全、物理和环境安全、通信和操作安全管理、存取控制、信息系统的开发和维护、持续运营管理等等,是一个庞大、复杂的系统工程。仅仅依靠技术手段来对信息系统的安全进行保障,这样的思想是非常错误。必须要做到”领导重视,严格执行有关管理制度,建立信息安全防范意识,技术手段切实可行、有效”,做到”技管并重”才有可能做到真正意义的安全。从经营者的角度来看,技术层面和管理层面必须相互结合、配合良好,其中,特别需要强调管理的重要性,以”七分管理,三分技术”的配比来建设信息系统的安全体系,这样,才有可能构建健康的信息系统安全体系。技术层面经过安装部署相应的安全产品实现,管理层面则经过落实制度和人员培训等手段实现。等级保护各种标准体系文件为信息安全管理建设仅仅提供一些原则性的建议,要真正构建符合信息系统自身状况的信息安全管理体系,在建设过程中应当以以下思想作为指导:”信息安全技术、信息安全产品是信息安全管理的基础,信息安全管理是信息安全的关键,人员管理是信息安全管理的核心,信息安全政策是进行信息安全管理的指导原则,信息安全管理体系是实现信息安全管理最为有效的手段。”