移動(dòng)業(yè)務(wù)安全防范技術(shù)研究與開(kāi)發(fā)

黃小奇

（廣東電網(wǎng)公司汕頭供電局，廣東汕頭 515000）

移動(dòng)業(yè)務(wù)安全防范技術(shù)研究與開(kāi)發(fā)

黃小奇

（廣東電網(wǎng)公司汕頭供電局，廣東汕頭 515000）

隨著移動(dòng)終端及其應(yīng)用的快速發(fā)展，企業(yè)開(kāi)始部署或考慮部署支持移動(dòng)方式訪問(wèn)的應(yīng)用程序，以實(shí)現(xiàn)高效的辦公流程和資源共享。汕頭供電局緊跟移動(dòng)技術(shù)的發(fā)展步伐，正在將傳統(tǒng)的業(yè)務(wù)擴(kuò)展到了移動(dòng)終端上，方便用戶進(jìn)行業(yè)務(wù)處理及移動(dòng)辦公，但局方用戶的移動(dòng)終端型號(hào)及操作系統(tǒng)多種多樣，缺少統(tǒng)一的管理手段，存在安全缺陷。而通過(guò)移動(dòng)終端安全接入及管理系統(tǒng)的建設(shè)，實(shí)現(xiàn)移動(dòng)終端的統(tǒng)一接入、移動(dòng)終端的統(tǒng)一管理、移動(dòng)終端的數(shù)據(jù)安全保護(hù)以及接入鏈路安全等功能，將幫助汕頭局實(shí)現(xiàn)移動(dòng)設(shè)備集中控制、統(tǒng)一管理；幫助企業(yè)實(shí)現(xiàn)移動(dòng)設(shè)備的終端安全。

移動(dòng)業(yè)務(wù)；安全防范；安全管理

0 引言

（1）國(guó)內(nèi)外研究水平的現(xiàn)狀和發(fā)展趨勢(shì)

基于移動(dòng)平臺(tái)的標(biāo)準(zhǔn)化，商務(wù)應(yīng)用的普及化，以及持續(xù)增強(qiáng)的網(wǎng)路連結(jié)力，發(fā)生在移動(dòng)設(shè)備上的威脅攻擊越來(lái)越多。移動(dòng)互聯(lián)網(wǎng)的時(shí)代已經(jīng)來(lái)臨，人們使用智能移動(dòng)終端已不再局限于通話和短信交流，智能移動(dòng)終端中的社交功能也在不斷的被開(kāi)發(fā)，微博、即時(shí)通訊、位置共享、網(wǎng)上娛樂(lè)等應(yīng)用快速增長(zhǎng)。然而，在智能移動(dòng)終端及其應(yīng)用在快速增長(zhǎng)的背后，卻隱藏著極大的安全隱患。垃圾短信、釣魚(yú)網(wǎng)站竊取個(gè)人信息、智能移動(dòng)終端病毒和欺詐應(yīng)用程序威脅著智能移動(dòng)終端的數(shù)據(jù)安全，根據(jù)安全機(jī)構(gòu)的移動(dòng)威脅監(jiān)控?cái)?shù)據(jù)顯示，平均每秒就有3.5個(gè)新的可危害移動(dòng)設(shè)備的威脅產(chǎn)生，從2011年1-7月，Android移動(dòng)平臺(tái)上的病毒樣本增加1 410%。因此，移動(dòng)設(shè)備已成為黑客的新攻擊目標(biāo)，而其安全問(wèn)題不容忽視[1-3]。

（2）國(guó)內(nèi)外研究機(jī)構(gòu)對(duì)本項(xiàng)目的研究情況

國(guó)外移動(dòng)終端安全管理發(fā)展比較早，但是真正的爆發(fā)是在移動(dòng)設(shè)備爆炸式增長(zhǎng)之后，國(guó)外各大巨頭都投入了移動(dòng)安全管理技術(shù)的研究，如citrix、IBM、SAP、賽門(mén)鐵克、DELL都相繼推出了自己研究的產(chǎn)品和成果。國(guó)外產(chǎn)品的主要功能體現(xiàn)在設(shè)備激活，設(shè)備配置、安全保護(hù)、應(yīng)用管理、內(nèi)容管理、終端用戶支持等橫跨企業(yè)各個(gè)組織的整個(gè)生命周期的管理。而國(guó)內(nèi)的研究則剛剛開(kāi)始起步，更多地是依賴國(guó)外的研究思想，結(jié)合國(guó)內(nèi)的實(shí)際情況進(jìn)行研發(fā)[4-6]。

（3）項(xiàng)目研究的技術(shù)關(guān)鍵與難點(diǎn)

本項(xiàng)目的技術(shù)關(guān)鍵以及難點(diǎn)是解決方案完整性、產(chǎn)品靈活性、產(chǎn)品功能性、多平臺(tái)支持能力、安全性保障能力。

解決方案完整性：能否提供企業(yè)移動(dòng)信息化解決方案的各環(huán)節(jié)內(nèi)容。

產(chǎn)品靈活性：能否為客戶提供個(gè)性化的定制服務(wù)。

產(chǎn)品功能性：移動(dòng)終端管理功能的完備性。

多平臺(tái)支持能力：具備支持各種移動(dòng)OS的能力。

安全性保障能力：提供包括設(shè)備、網(wǎng)絡(luò)以及數(shù)據(jù)在內(nèi)的多方面的安全保障能力，包括使用數(shù)字證書(shū)保證用戶信息的安全、使用移動(dòng)終端殺毒軟件保證終端數(shù)據(jù)的安全等。

1 主要技術(shù)內(nèi)容

移動(dòng)終端的安全防護(hù)體系的研究主要包括三個(gè)維度的內(nèi)容：移動(dòng)終端的安全接入、移動(dòng)終端的安全管理和移動(dòng)終端本地?cái)?shù)據(jù)安全。

1.1 移動(dòng)終端安全接入

移動(dòng)終端的接入方式包括WIFI的接入及在公網(wǎng)中通過(guò)運(yùn)營(yíng)商網(wǎng)絡(luò)的接入，為了防止移動(dòng)終端接入的安全，首先必須通過(guò)強(qiáng)認(rèn)證方式，實(shí)現(xiàn)用戶的授權(quán)接入訪問(wèn)，WIFI啟動(dòng)身份認(rèn)證，公網(wǎng)接入時(shí)，通過(guò)移動(dòng)接入平臺(tái)的基于數(shù)字證書(shū)的身份認(rèn)證，實(shí)現(xiàn)強(qiáng)身份認(rèn)證。

同時(shí)為了采用鏈路加密的方式，實(shí)現(xiàn)數(shù)據(jù)傳輸?shù)陌踩?，?duì)移動(dòng)終端的接入進(jìn)行審計(jì)，本地記錄相關(guān)操作日志（并且防止日志篡改），及時(shí)傳輸至遠(yuǎn)程服務(wù)端供集中審計(jì)，可由統(tǒng)一審計(jì)平臺(tái)完成統(tǒng)一審計(jì)，實(shí)現(xiàn)事后追蹤。

移動(dòng)終端用戶訪問(wèn)Internet認(rèn)證過(guò)程如圖1所示：

（1）終端用戶通過(guò)AD域帳號(hào)連接WLAN；（2）由于手持終端沒(méi)有SEP客戶端，因此會(huì)被分配到隔離vlan；

（3）隔離vlan只能訪問(wèn)文件服務(wù)器的sep插件、junos pulse軟件進(jìn)行修復(fù)；

（4）手持終端用戶通過(guò)JUNOS PULSE軟件進(jìn)行認(rèn)證和權(quán)限；

（5）認(rèn)證通過(guò)后，SSL VPN將用戶名和密碼推送至IC設(shè)備，同時(shí)完成IC用戶認(rèn)證和權(quán)限；

（6）SSL VPN給終端用戶分配一個(gè)新的IP地址使用；

（7）SA將會(huì)通過(guò)hostchecker檢查手持移動(dòng)終端MAC地址是否為授權(quán)的用戶，是可以正常瀏覽Internet；

（8）IC將特定的Internet訪問(wèn)資源推送至防火墻，統(tǒng)一控制移動(dòng)終端Internet資源訪問(wèn)控制。

圖1 移動(dòng)終端用戶訪問(wèn)Internet認(rèn)證過(guò)程

1.2 移動(dòng)終端的安全管理

通過(guò)對(duì)移動(dòng)終端管理體系的研究和建設(shè)，對(duì)企業(yè)所有需要進(jìn)行移動(dòng)辦公的移動(dòng)終端進(jìn)行統(tǒng)一注冊(cè)及管理，實(shí)現(xiàn)對(duì)移動(dòng)終端資產(chǎn)跟蹤、策略下發(fā)、數(shù)據(jù)備份、軟件部署等遠(yuǎn)程管理功能。

1.2.1 移動(dòng)終端管理

移動(dòng)終端管理主要包括兩部分主要內(nèi)容，分別為移動(dòng)設(shè)備管理和終端安全管理，如圖2。

圖2 移動(dòng)設(shè)備管理和終端安全管理

（1）移動(dòng)設(shè)備管理：配置策略管理、終端資產(chǎn)管理、日志審計(jì)管理、監(jiān)控策略管理。

（2）終端安全管理：終端防盜管理、移動(dòng)信息備份服務(wù)、終端殺毒服務(wù)、防垃圾服務(wù)。

1.2.2 生命周期管理

移動(dòng)終端的生命周期管理經(jīng)歷三個(gè)階段：預(yù)配階段、使用階段、停用階段。

（1）預(yù)配階段

管理方面：分配組成員和策略、配置設(shè)備連接、遠(yuǎn)程設(shè)備配置、初始化應(yīng)用部署。

安全方面：創(chuàng)建企業(yè)安全策略、強(qiáng)制管理終端密碼、遠(yuǎn)程分發(fā)并保護(hù)數(shù)據(jù)、

遠(yuǎn)程安裝并配置、防火墻、殺毒軟件、遠(yuǎn)程監(jiān)控。

預(yù)配階段先在典型位置進(jìn)行試點(diǎn)，如變電站、營(yíng)業(yè)廳或者某一層樓。

（2）使用階段

管理方面：跟蹤資產(chǎn)數(shù)據(jù)、更新/修復(fù)軟件、維護(hù)/更新設(shè)備配置、分發(fā)/更新文件、軟件許可使用與跟蹤、計(jì)劃和自動(dòng)的活動(dòng)、遠(yuǎn)程控制設(shè)備。

安全方面：備份設(shè)備數(shù)據(jù)、安裝補(bǔ)丁和安全更新、加強(qiáng)安全策略、權(quán)威身份認(rèn)證和訪問(wèn)控制、監(jiān)控/跟蹤安全違反行為和威脅、日志審計(jì)功能。

（3）停用階段

管理方面：重新提供/重置設(shè)備、用戶更換設(shè)備、更改設(shè)備用途、軟件重新部署、設(shè)備失竊后恢復(fù)數(shù)據(jù)。

安全方面：禁用失竊設(shè)備、遠(yuǎn)程關(guān)機(jī)/鎖定、訪問(wèn)違規(guī)鎖定、數(shù)據(jù)擦除、禁用設(shè)備、網(wǎng)絡(luò)、應(yīng)用使用。

1.3 移動(dòng)終端本地?cái)?shù)據(jù)安全

設(shè)備安全管理系統(tǒng)對(duì)接入終端的統(tǒng)一管理，整個(gè)系統(tǒng)的移動(dòng)終端進(jìn)行全面統(tǒng)一的登記注冊(cè)與注銷、監(jiān)管與審計(jì)同時(shí)還可以實(shí)現(xiàn)客戶端身份的創(chuàng)建與密鑰分發(fā)等功能。

部署智能移動(dòng)終端殺毒軟件，實(shí)現(xiàn)病毒快速掃描、全面查殺、實(shí)時(shí)監(jiān)控、病毒庫(kù)升級(jí)、漏洞修補(bǔ)，高效查殺各種病毒木馬，實(shí)時(shí)保護(hù)系統(tǒng)安全，防范惡意代碼竊取短信、劫持用戶會(huì)話、以及仿冒用戶身份審批的風(fēng)險(xiǎn)。服務(wù)器提供在線病毒庫(kù)更新服務(wù)。采用iOS和Android平臺(tái)專業(yè)高效的防病毒和漏洞掃描解決方案，嚴(yán)格控制終端安全風(fēng)險(xiǎn)。

使用專有殺毒軟件在系統(tǒng)啟動(dòng)前檢測(cè)當(dāng)前系統(tǒng)環(huán)境安全性，當(dāng)發(fā)現(xiàn)異常時(shí)是否主動(dòng)提示用戶，防止安裝惡意軟件。

智能移動(dòng)終端防病毒系統(tǒng)會(huì)實(shí)時(shí)監(jiān)測(cè)智能移動(dòng)終端運(yùn)行環(huán)境，包括文件系統(tǒng)、內(nèi)存、應(yīng)用程序、安裝過(guò)程、網(wǎng)絡(luò)端口等，發(fā)現(xiàn)異常會(huì)立即提醒用戶同時(shí)上報(bào)服務(wù)器。

垃圾信息過(guò)濾功能實(shí)現(xiàn)垃圾短信、彩信過(guò)濾、騷擾電話屏蔽、黑（白）名單過(guò)濾。

終端防盜功能實(shí)現(xiàn)移動(dòng)終端丟失后換SIM卡自動(dòng)報(bào)警；自動(dòng)隱藏所有敏感個(gè)人數(shù)據(jù)及應(yīng)用數(shù)據(jù)；自動(dòng)鎖定；遠(yuǎn)程遙控取回信息、銷毀信息、強(qiáng)制關(guān)機(jī)、位置跟蹤。

部署安全備份服務(wù)實(shí)現(xiàn)自動(dòng)備份和用戶一鍵式快速備份，將用戶終端中的關(guān)鍵應(yīng)用數(shù)據(jù)、通訊錄、短信、照片等信息加密上傳到服務(wù)器。

以上移動(dòng)終端客戶端安全功能全部由移動(dòng)終端客戶端軟件支持。每臺(tái)移動(dòng)終端安裝客戶端軟件，移動(dòng)終端軟件支持主流的Android和iOS系統(tǒng)。

2 預(yù)期目標(biāo)及創(chuàng)新點(diǎn)

2.1 預(yù)期目標(biāo)

2.1.1 幫助企業(yè)實(shí)現(xiàn)移動(dòng)設(shè)備集中控制、統(tǒng)一管理。

（1）對(duì)整個(gè)系統(tǒng)的移動(dòng)終端進(jìn)行全面統(tǒng)一的登記注冊(cè)與注銷、監(jiān)管與審計(jì)，實(shí)現(xiàn)對(duì)終端資產(chǎn)的統(tǒng)一管理，同時(shí)還可以實(shí)現(xiàn)客戶端身份的創(chuàng)建等功能。

（2）動(dòng)態(tài)展示系統(tǒng)管理的所有移動(dòng)終端的狀態(tài)數(shù)據(jù)，對(duì)終端信息進(jìn)行遠(yuǎn)程監(jiān)控，實(shí)現(xiàn)集中控制。

（3）通過(guò)黑（白）名單已經(jīng)應(yīng)用推送的方式對(duì)移動(dòng)終端上的應(yīng)用進(jìn)行統(tǒng)一管理。

（4）對(duì)系統(tǒng)管理的所有移動(dòng)終端進(jìn)行統(tǒng)一的安全安全策略配發(fā)管理，包括遠(yuǎn)程設(shè)置密碼，自動(dòng)鎖定，密碼復(fù)雜度要求，清空密碼。

（5）對(duì)移動(dòng)終端違反策略使用或丟失后，實(shí)現(xiàn)遠(yuǎn)程擦除數(shù)據(jù)、刪除應(yīng)用、清除配置、遠(yuǎn)程鎖定，清空整個(gè)設(shè)備。

2.1.2 幫助企業(yè)實(shí)現(xiàn)移動(dòng)設(shè)備的終端安全

（1）終端設(shè)備安全性：防止越獄，安裝殺毒軟件控制遠(yuǎn)程和本地安全漏洞。

（2）身份鑒別機(jī)制：支持?jǐn)?shù)字證書(shū)及口令方式進(jìn)行身份認(rèn)證，具有密碼策略（密碼長(zhǎng)度和復(fù)雜度、定期修改密碼、錯(cuò)誤次數(shù)）限制。

（3）權(quán)限控制機(jī)制：不同用戶在同一移動(dòng)智能終端上登錄，不能讀寫(xiě)其它用戶的離線、配置及密碼等文件。不可以遠(yuǎn)程越權(quán)訪問(wèn)其他用戶的資源。

（4）安全審計(jì)機(jī)制：本地記錄相關(guān)操作日志（并且防止日志篡改），及時(shí)傳輸至遠(yuǎn)程服務(wù)端供集中審計(jì)。

（5）入侵防范機(jī)制：使用專有殺毒軟件在系統(tǒng)啟動(dòng)前檢測(cè)當(dāng)前系統(tǒng)環(huán)境安全性，當(dāng)發(fā)現(xiàn)異常時(shí)是否主動(dòng)提示用戶，防止安裝惡意軟件。

（6）資源控制機(jī)制：在規(guī)定時(shí)間內(nèi)，用戶沒(méi)有操作時(shí)自動(dòng)退出應(yīng)用。在用戶退出后自動(dòng)刪除用戶離線文件（資源、信息）。

2.2 創(chuàng)新點(diǎn)

（1）實(shí)現(xiàn)企業(yè)對(duì)移動(dòng)終端設(shè)備的集中管理與控制。

（2）豐富的首頁(yè)內(nèi)容，動(dòng)態(tài)展示系統(tǒng)管理的所有移動(dòng)終端的狀態(tài)數(shù)據(jù)。

（3）內(nèi)置報(bào)警中心，對(duì)設(shè)備的惡意行為及惡意操作進(jìn)行實(shí)時(shí)報(bào)警。

（4）監(jiān)控移動(dòng)終端的安全狀態(tài)。

（5）企業(yè)級(jí)的移動(dòng)終端病毒防護(hù)系統(tǒng)對(duì)移動(dòng)終端系統(tǒng)進(jìn)行修復(fù)和系統(tǒng)加固。

（6）對(duì)企業(yè)的數(shù)據(jù)進(jìn)行防盜處理，可遠(yuǎn)程鎖定移動(dòng)終端、跟蹤被盜移動(dòng)終端位置、遠(yuǎn)程卸載企業(yè)核心應(yīng)用、遠(yuǎn)程擦除企業(yè)敏感數(shù)據(jù)。

（7）內(nèi)置企業(yè)應(yīng)用商店，通過(guò)企業(yè)專網(wǎng)對(duì)應(yīng)用程序進(jìn)行分發(fā)，防止企業(yè)應(yīng)用外流。

（8）應(yīng)用程序黑白名單策略，禁止員工安裝和運(yùn)行非授權(quán)程序。

（9）完備的日志審計(jì)系統(tǒng)，便于惡意事件的追溯，可視化、多樣性的分類日志圖標(biāo)展示，高效進(jìn)行日志管理。

3 結(jié)論

本文設(shè)計(jì)的系統(tǒng)不僅可以成功幫助企業(yè)實(shí)現(xiàn)移動(dòng)設(shè)備集中控制、統(tǒng)一管理，還可以幫助企業(yè)實(shí)現(xiàn)移動(dòng)設(shè)備的終端安全。優(yōu)勢(shì)如下:

（1）對(duì)整個(gè)系統(tǒng)的移動(dòng)終端進(jìn)行全面統(tǒng)一的登記注冊(cè)與注銷、監(jiān)管與審計(jì)，實(shí)現(xiàn)對(duì)終端資產(chǎn)的統(tǒng)一管理，同時(shí)還可以實(shí)現(xiàn)客戶端身份的創(chuàng)建等功能；

（2）動(dòng)態(tài)展示系統(tǒng)管理的所有移動(dòng)終端的狀態(tài)數(shù)據(jù)，對(duì)終端信息進(jìn)行遠(yuǎn)程監(jiān)控，實(shí)現(xiàn)集中控制；

（3）通過(guò)黑白名單已經(jīng)應(yīng)用推送的方式對(duì)移動(dòng)終端上的應(yīng)用進(jìn)行統(tǒng)一管理；

（4）對(duì)系統(tǒng)管理的所有移動(dòng)終端進(jìn)行統(tǒng)一的安全安全策略配發(fā)管理，包括遠(yuǎn)程設(shè)置密碼，自動(dòng)鎖定，密碼復(fù)雜度要求，清空密碼；

（5）對(duì)移動(dòng)終端違反策略使用或丟失后，實(shí)現(xiàn)遠(yuǎn)程擦除數(shù)據(jù)、刪除應(yīng)用、清除配置、遠(yuǎn)程鎖定，清空整個(gè)設(shè)備；

（6）終端設(shè)備安全性：防止“越獄”，安裝殺毒軟件控制遠(yuǎn)程和本地安全漏洞；

（7）身份鑒別機(jī)制：支持?jǐn)?shù)字證書(shū)及口令方式進(jìn)行身份認(rèn)證，具有密碼策略（密碼長(zhǎng)度和復(fù)雜度、定期修改密碼、錯(cuò)誤次數(shù)）限制；

（8）權(quán)限控制機(jī)制：不同用戶在同一移動(dòng)移動(dòng)終端上登錄，不能讀寫(xiě)其他用戶的離線、配置及密碼等文件。不可以遠(yuǎn)程越權(quán)訪問(wèn)其他用戶的資源；

（9）安全審計(jì)機(jī)制：本地記錄相關(guān)操作日志（并且防止日志篡改），及時(shí)傳輸至遠(yuǎn)程服務(wù)端供集中審計(jì)；

（10）入侵防范機(jī)制：使用專有殺毒軟件在系統(tǒng)啟動(dòng)前檢測(cè)當(dāng)前系統(tǒng)環(huán)境安全性，當(dāng)發(fā)現(xiàn)異常時(shí)是否主動(dòng)提示用戶，防止安裝惡意軟件；

（11）資源控制機(jī)制：在規(guī)定時(shí)間內(nèi)，用戶沒(méi)有操作時(shí)自動(dòng)退出應(yīng)用，在用戶退出后自動(dòng)刪除用戶離線文件（資源、信息）。

［1］劉宏.PDCA循環(huán)推進(jìn)持續(xù)的質(zhì)量改進(jìn)［J］.電子質(zhì)量，2005（07）：41-42，37.

［2］石雙元，楊琴，單進(jìn).IT基礎(chǔ)設(shè)施運(yùn)營(yíng)成熟度模型框架初步研究［J］.管理學(xué)報(bào)，2006（01）：60-63，112.

［3］楊鈺，吳健.ITIL中IT基礎(chǔ)架構(gòu)管理模型設(shè)計(jì)與實(shí)現(xiàn)［J］.計(jì)算機(jī)技術(shù)與發(fā)展，2007（04）：250-253.

［4］胡波，詹瑾.淺析IT服務(wù)管理系統(tǒng)的構(gòu)建［J］.廣東技術(shù)師范學(xué)院學(xué)報(bào)，2007（10）：12-13.

［5］黃連月，袁勇，馬玉林.信息系統(tǒng)運(yùn)行生產(chǎn)化管理及實(shí)踐［J］.廣西電力，2008（02）：1-4.

［6］魏葆雅.淺析企業(yè)IT桌面管理［J］.福建電腦，2008（07）：71，67.

Mobile Security Technology Research and Development

HUANG Xiao-qi
（Shantou Power Supply Bureau，Shantou515000，China）

With the rapid development of mobile terminals and its applications， companies are deploying or considering to deploy support for mobile access to applications， in order to achieve efficient office processes and resource sharing.Shantou Power Supply Bureau，keeping up to the pace of development of mobile technology，has been extending the traditional business to the mobile terminal. But lack of unified management tool，there are a lot of security flaws.And through the construction of mobile terminals and secure access management system，the Shantou Power Supply Bureau can achieve unified access the mobile terminal，unified management of mobile terminals，data security and access link security.The system will help Shantou Power Supply Bureau achieve mobile devices centralized control，unified management and help companies achieve mobile devices endpoint security.

mobile services；security protection；security management

TM933

A

1009－9492(2014)09－0144－04

10.3969/j.issn.1009-9492.2014.09.040

黃小奇，男，1983年生，廣東汕頭人，大學(xué)本科，助理工程師。研究領(lǐng)域：電力計(jì)算機(jī)應(yīng)用。

(編輯：王智圣)

2014－06－01