移动业务系统安全防御体系介绍样本.doc

n

更多企业学院：
《中小企业管理全能版》
183套讲座+89700份资料

《总经理、高层管理》
49套讲座+16388份资料

《中层管理学院》
46套讲座+6020份资料 

《国学智慧、易经》
46套讲座

《人力资源学院》
56套讲座+27123份资料

《各阶段职员培训学院》
77套讲座+ 324份资料

《职员管理企业学院》
67套讲座+ 8720份资料

《工厂生产管理学院》
52套讲座+ 13920份资料

《财务管理学院》
53套讲座+ 17945份资料 

《销售经理学院》
56套讲座+ 14350份资料

《销售人员培训学院》
72套讲座+ 4879份资料

等级保护设计要求下
“移动业务系统安全防御体系”
1、 引言
伴随全球信息化进程不停推进，中国政府及各行各业也在进行大量信息系统建设，这些信息系统已经成为国家关键基础设施，所以，信息系统安全问题已经被提升到关系国家安全和国家主权战略性高度，已引发党和国家领导和社会各界关注。伴随政府电子政务办公、移动警务办公、移动执法等信息化建设和发展，作为现代信息社会关键基础设施信息系统，其安全问题必将对中国政治、军事、经济、科技、文化等领域产生至关关键影响。能否有效保护信息资源，保护信息化进程健康、有序、可连续发展，直接关乎国家安危，关乎民族兴亡，是国家民族头等大事。没有信息安全，就没有真正意义上政治安全，就没有稳固经济安全和军事安全，没有完整意义上国家安全。
经党中央和国务院同意，国家信息化领导小组决定加强信息安全保障工作，实施信息安全等级保护，关键保护基础信息网络和关键信息系统安全，要抓紧信息安全等级保护制度建设。对信息系统实施等级保护是中国法定制度和基础国策，是开展信息安全保护工作有效措施，是信息安全保护工作发展方向。实施信息安全等级保护决定含有重大现实和战略意义。
2、 《等级保护设计要求》思绪启迪
根据信息系统业务处理过程将系统划分成计算环境、区域边界和通信网络三部分，以终端安全为基础对这三部分实施保护，组成由安全管理中心支撑下计算环境安全、区域边界安全、通信网络安全所组成三重防护体系结构。
在移动终端安全领域中，计算环境如PDA、智能手机、PAD等，关键业务系统包含警务通、智能办公系统（OA\ERP）等，现在采取传统传输加密技术手段仅考虑到怎样处理非法接入及链路劫持安全问题，如 VPN等，安全防御较为单一化和不足，公开加密算法及隧道传输模式已无法适应该代化网络基础设施，在等级保护信息安全建设中，应从整体安全体系模型考虑潜在风险问题，如计算环境安全、网络通信安全、区域边界安全。等级保护设计要求给了很好启迪，怎样将移动终端安全实施三重技术防护体系成为我企业研究新课题方向。
3、 移动安全管理平台可研技术难点
Ø 整体式安全防护
依据等级保护设计要求，应从计算环境安全、网络通信安全、区域边界安全三大部分建立移动应用系统整体安全防护体系，包含身份认证、数据保密和网络完整性问题。这需要以密码技术为支撑，以身份认证为基础，以数据安全为关键，以监控审计为辅助进行整体安全防护设计。
Ø 计算环境
伴随3G，wifi网络无限延伸，在移动应用环境中，计算环境除少许基于windows平台外，智能手机下 Windows Mobile 、Symbian、WIN CE、android、iOS已经成为移动终端主流应用环境，这就需要基于智能手机下不一样操作系统进行跨平台性开发。并依据智能终端应用特点，结合等级保护设计要求下计算环境安全要求，应充足考虑主体和客体安全访问控制、安全访问者身份判别等
移动终端在提供了便利同时也十分轻易丢失，这使得移动智能终端中数据保密性受到威胁，怎样协调现有存放文件安全等级之间一致性问题等等全部是含有特色安全新需求。
Ø 网络通信
应严格根据等级保护设计要求对网络通信数据完整性和保密性进行充足安全考虑，那么就需要采取由密码技术支持完整性校验机制或含有对应强度其它安全机制，以实现网络数据传输完整性和保密性保护。
Ø 区域边界
在移动应用系统网络环境中，区域边界第一道门槛应经过防火墙进行协议、端口、数据包等功效安全访问控制，但因网络传输为密文数据，防火墙仅限于端口过滤，这时是否考虑单独开发一台边界网关对移动终端认证后采取应用访问控制，从而完善区域边界安全强度。

4、 等保护设计要求下移动应用系统防护体系剖析
北京明朝万达科技（）是国家级高新技术企业和国家级软件企业，是中国领先内网安全产品、数据安全产品和移动安全产品厂商，致力于信息安全技术研究。
1994年国务院147号令明确指出：对信息系统实施等级保护是国家法定制度和基础国策；是信息安全保护工作发展方向。至此我企业立即响应国家政策要求，在国家等级保护建设过程中做出了很大努力，依据等级保护市场需求分析，并在国家等级保护对应技术标准支撑下，针对等级保护定级系统中移动应用系统，如移动警务系统、移动执法系统、移动电子政务系统、移动税务系统进行了深入性探讨和剖析，从而研发出“移动安全管理平台”产品，其对应技术特点以下：

Ø 用户身份安全
采取CA认证机制，即在移动安全管理平台中建立统一用户管理和认证授权系统。全部移动用户全部有自己数字证书和密码，数字证书能够存放在USBKey或TF加密卡中。系统和移动用户基于双原因认证方法进行双向身份判别。首次登录后系统为正当接入用户实施注册和授权审核功效，充足确保用户身份正当性和安全性。
Ø 移动终端安全
移动安全管理平台在移动智能终端中组件包含TF密码卡和终端软件两部分，密码卡实现证书存放和数据信息加密，经过跟应用保护结合，能够预防移动智能终端数据明文存放造成泄密问题发生。移动终端软件能够对用户身份和移动智能终端硬件信息进行绑定，并能够对终端信息日志统计，包含用户接入状态、IP地址和目前应用状态，并能够实时监控统计用户行为。
Ø 网络通信安全
采取了虚拟网卡和代理模式结合数据报文封装技术，适应于多种不一样移动智能终端应用特点。经过基于双向协商协议进行身份认证和密钥交换，同时密钥协商过程对用户端身份认证采取了RSA署名机制，不会因重放攻击、中间人攻击、内存强制读取等手段引发非授权用户访问移动终端接入网关，从而达成数据传输安全性。
采取端到端加密技术确保了用户信息在移动网内任意节点均以密文传输，避免了在链路加密中出现密文在通信节点落地情况，能够有效预防通信双方信息被窃听和篡改。采取国家密码管理局认定SM1算法，经过使用加密设备内部密钥产生、PKI技术确保安全密钥交换和硬件实现加密算法，确保通讯过程中数据不被非法截获和破解。另：网络通信安全加密算法还支持国密SM4、SM2和其它SSL、AES、RSA、Blowfish等高安全算法。
Ø 网络边界完整性
移动安全管理平台对于安全性要求高用户，能够经过实施网络边界完整性策略，确保移动终端用户一旦经过安全接入系统接入内网，就切断其和其它网络通信，从而保持网络边界完整性，有效预防木马等造成安全隐患。
Ø 数据保密性
首先，应用系统在访问登录时，必需经过移动安全管理平台双原因认证，确保关键业务数据访问者身份信息真实可靠，对于B/S访问应用，可提供安全浏览器等安全组件，访问业务系统时，目前采集应用数据经过密码技术进行加密，即便使用蓝牙、wifi泄露，也以密文显示。同时，移动安全管理平台能够对泄露路径进行安全防护，如在接入认证经过后，能够依据策略严禁开启蓝牙、红外等。
移动安全管理平台可实现安全传输加密，采取端到端加密技术确保了用户信息在移动网内任意节点均以密文传输，避免了在链路加密中出现密文在通信节点落地情况，能够有效预防通信双方信息被窃听和篡改。
Ø 应用安全
l 第一层基础安全应用层：提供安全浏览器，安全邮件，安全通讯录等安全组件，实现基础移动办公能力；
l 第二层综合安全应用层：为用户提供综合安全办公服务能力，如安全加密浏览器（移动应用数据落地加密）、安全PDF阅读器、安全office、文档审批和管理等应用安全；
l 第三层行业安全应用层，为电子政务平台提供其它定制化安全应用，如电子政务移动安全应用、移动执法安全应用等。
经过三层安全应用层次模型为用户提供全方位移动应用服务，从而实现真正移动办公安全。
Ø 应用访问控制
移动安全管理平台管理平台经过细粒度角色关联机制对用户做细致权限划分，能够给不一样用户以不一样访问权限，授权管理其可访问资源，从而实现移动用户对多种应用访问控制管理。
Ø 安全管理审计
移动安全管理平台用户采取分级分权管理方法，对用户权限进行细粒度分配，包含超级管理员、账户管理员、系统管理员、用户管理员和审计员。其中超级管理员是权限最大管理员，可对服务器做任何设置；账户管理员可创建超级管理员以外账号；系统理员管理安全接入系统本身系统参数；用户管理员管理用户数据权限和审计用户操作；审计员查看系统、用户和管理员日志。
移动安全系统提供详尽日志统计和安全审计分析功效，对于用户任何操作全部能够提供具体审计日志，能够对日志进行浏览、查询、导出、删除等操作，并提供报表工具对日志进行分析。同时，本系统提供标准Syslog日志接口，能够依据用户需要将日志发送到指定Syslog日志数据库中。
5、 关键技术
Ø 无线网络优化技术
无线网络跟伴随不一样地点，信号强弱会发生频繁改变，从而带宽也会带来改变，假如不采取方法，手机终端频繁断网将难以避免。
本项目采取了自创无线网络优化技术，其关键技术特点以下：
·自动检测无线网络信号强弱和带宽改变情况；
·经过试验，建立带宽和优化参数表；
·依据带宽改变情况，依据建立优化参数表，对IP包封装大小进行调整和自适应；
·自动IP包重发，IP包假如超时未发出，将调整数据包大小，自动重发。
Ø 移动智能终端存放载体环境式加密
中国外手机等移动智能终端中用于数据加密方法为文件存放加密，本技术采取加密技术为环境式加密技术，是针对手机SD/TF卡加密，这种加密是面对存放空间加密。采取此技术，增加了产品易用性和保密强度。
该加密技术以PKI技术为基础，配置用户身份标识含有身份认证和数据加密两种功效，身份标识能够是国家认可数字证书也能够是内部颁发用于识别份数字证实。用户身份标识集成在文件防泄密系统当中，当用户登陆操作系统时候首先要输入用户身份密码（PIN码）。采取环境加密技术对存放区域进行加密后，全部存放到该区域文件全部自动加密，不需要单独操作。
和手机文件加密相比较，该加密方法为用户提供自动加密功效，十分便捷。同时加密强度由RSA算法强度确定，高于一般文件加密强度，更利于文件保密
6、 价值表现
Ø 技术价值
依据等级保护设计要求思想，本系统定在基于密码技术，为用户端和用户提供安全远程接入内网数据链路，应用系统在以下多个方面得以安全保障：
l 确保单位内网应用系统只能被内网用户端或经过认证接入外网用户端访问；
l 确保外网用户端和内网应用系统之间传输数据在外网路径上是安全（数据保密性和完整性）；
l 确保经过本系统接入用户端是被已经授权用户在使用；
l 确保经过本系统接入用户和用户端不会被恶意和伪装网关所欺骗；
l 确保经过本系统接入用户端不会破坏内网网络边界完整性；
l 实现对移动应用数据安全防护，确保数据保密性。
Ø 等级保护中价值
在等级保护要求中，不管是基础要求还是设计要求，对于移动安全技术要求点并没有实质性定义，而在测评过程中，移动应用系统采取类似VPN产品技术实现传输加密，其方法较为单一和局限，只考虑到在移动应用系统中网络通信安全问题，对计算环境安全、区域边界安全并没有对应安全防护手段。移动安全管理平台依据移动系统使用特点及应用方法，从智能终端计算环境、区域边界、网络通信整体考虑移动应用系统安全风险原因，完善等级保护系统中移动应用系统建设要求。
7、 安全管理和安全制度融入
信息系统安全管理内容包含：信息安全政策、信息安全组织、信息资产分类和管理、个人信息安全、物理和环境安全、通信和操作安全管理、存取控制、信息系统开发和维护、连续运行管理等等，是一个庞大、复杂系统工程。仅仅依靠技术手段来对信息系统安全进行保障，这么思想是很错误。必需要做到“领导重视，严格实施相关管理制度，建立信息安全防范意识，技术手段切实可行、有效”，做到“技管并重”才有可能做到真正意义安全。
从经营者角度来看，技术层面和管理层面必需相互结合、配合良好，其中，尤其需要强调管理关键性，以“七分管理，三分技术”配比来建设信息系统安全体系，这么，才有可能构建健康信息系统安全体系。技术层面经过安装布署对应安全产品实现，管理层面则经过落实制度和人员培训等手段实现。
等级保护多种标准体系文件为信息安全管理建设仅仅提供部分标准性提议，要真正构建符合信息系统本身情况信息安全管理体系，在建设过程中应该以以下思想作为指导：“信息安全技术、信息安全产品是信息安全管理基础，信息安全管理是信息安全关键，人员管理是信息安全管理关键，信息安全政策是进行信息安全管理指导标准，信息安全管理体系是实现信息安全管理最为有效手段。”