移動警務(wù)信息資源跨網(wǎng)絡(luò)邊界安全共享策略研究

韓秀德 陳昌前

1. 鄭州信大捷安信息技術(shù)股份有限公司 2. 公安部第一研究所

引言

在國家“互聯(lián)網(wǎng)+政務(wù)服務(wù)”戰(zhàn)略部署下，國務(wù)院《“互聯(lián)網(wǎng)+政務(wù)服務(wù)”技術(shù)體系建設(shè)指南》、公安部《公安發(fā)展“十三五”規(guī)劃（2016-2020）》、《關(guān)于大力推進基礎(chǔ)信息化建設(shè)的意見》、《關(guān)于推進公安信息化發(fā)展若干問題的意見》、《全國公安移動警務(wù)建設(shè)總體技術(shù)方案（2016版）》等文件，指導(dǎo)全國新一代移動警務(wù)平臺、“互聯(lián)網(wǎng)+警務(wù)”體系和互聯(lián)網(wǎng)應(yīng)用建設(shè)，全面支撐“信息便民、信息惠警、警民互動”等社會治理和民生服務(wù)，為實現(xiàn)專業(yè)化、智能化、精準化互聯(lián)網(wǎng)應(yīng)用，創(chuàng)新政務(wù)模式和警務(wù)工作機制，打造數(shù)字城市、智慧警務(wù)等提供可靠技術(shù)支撐。

在保證各級公安機關(guān)開展行業(yè)專網(wǎng)與互聯(lián)網(wǎng)間的信息交互應(yīng)用的同時，應(yīng)保護關(guān)鍵信息技術(shù)設(shè)施免受攻擊、侵入、干擾和破環(huán)，促進安全與應(yīng)用協(xié)調(diào)發(fā)展。需要研究應(yīng)用在跨不同網(wǎng)絡(luò)區(qū)域、綜合利用各類信息資源時的安全防護機制和相關(guān)技術(shù)要求。

一、業(yè)務(wù)需求分析

（一）跨網(wǎng)絡(luò)邊界信息資源共享需求

1. 內(nèi)部網(wǎng)絡(luò)信息資源公開共享需求

當前公安、稅務(wù)、交通等政務(wù)窗口單位陸續(xù)以APP應(yīng)用、微信公眾號、互聯(lián)網(wǎng)Web門戶等形式開展了各類信息便民服務(wù)。以民生警務(wù)為例，主要功能如圖1所示。

目前主要包括警務(wù)公開、信息查詢、業(yè)務(wù)辦理、數(shù)據(jù)采集、身份核驗等類型的功能。

2. 外部網(wǎng)絡(luò)信息資源利用

需要獲取移動互聯(lián)網(wǎng)、視頻專網(wǎng)、政務(wù)外網(wǎng)等專網(wǎng)以外數(shù)據(jù)和服務(wù)，已完善應(yīng)用功能、豐富信息內(nèi)容、提升用戶體驗。

3. 內(nèi)外網(wǎng)用戶信息互動

在互聯(lián)網(wǎng)環(huán)境中需要“警民互動”、“政民互動”的方式來實現(xiàn)高效的政務(wù)服務(wù)，以進一步提高社會治理效率、民眾滿意度?！熬窕印钡墓δ苄枨笕鐖D2所示。

“警民互動”需要基于即時消息、微信“客服”等功能，能夠通過手機APP、微信公眾號等方式，實現(xiàn)警民之間的有效互動。

（二）互聯(lián)網(wǎng)信息資源共享技術(shù)發(fā)展

信息資源共享技術(shù)發(fā)展過程從上世紀90年代初至今經(jīng)歷了應(yīng)用集成（EAI）、面向服務(wù)（SOA）、服務(wù)總線（ESB）和微服務(wù)（MicroServices）幾個階段。

1. 企業(yè)應(yīng)用集成（Enterprise Application Integration,EAI）

企業(yè)應(yīng)用集成形成于1990年代初期，通?；贘CA、JMS、Web服務(wù)以及XML等技術(shù)，整合內(nèi)部的 ERP、CRM、SCM、數(shù)據(jù)庫、數(shù)據(jù)倉庫，實現(xiàn)異構(gòu)系統(tǒng)、應(yīng)用和數(shù)據(jù)源無縫共享和交換數(shù)據(jù)。

2. 面向服務(wù)的體系結(jié)構(gòu)（Service Oriented Architecture，SOA）

面向服務(wù)的體系結(jié)構(gòu)形成于2000年代初期，采用中立的方式定義接口，獨立于實現(xiàn)服務(wù)的硬件平臺、操作系統(tǒng)和編程語言，是一種粗粒度、松耦合服務(wù)架構(gòu)，將應(yīng)用程序的不同功能單元（稱為服務(wù)）通過這些服務(wù)之間定義良好的接口和契約聯(lián)系起來。

3. 企業(yè)服務(wù)總線（EnterpriseServiceBus，ESB）

企業(yè)服務(wù)總線形成于2010年前后，從面向服務(wù)體系架構(gòu)（Service-OrientedArchitecture，SOA）發(fā)展而來，是傳統(tǒng)中間件技術(shù)與XML、Web服務(wù)等技術(shù)結(jié)合的產(chǎn)物。采用“總線”這一種模式來管理和簡化應(yīng)用之間的集成拓撲結(jié)構(gòu)。

4. 微服務(wù)架構(gòu)模式（Microservices）

2015年后，隨著云計算和虛擬化環(huán)境中部署的服務(wù)越來越多、模塊越來越細，逐漸開始將整個Web應(yīng)用組織為一系列小的Web服務(wù)。這些小的Web服務(wù)可以獨立地編譯及部署，并通過各自暴露的API接口相互通訊。

（三）信息共享產(chǎn)生的安全需求分析

通過構(gòu)建警用移動信息網(wǎng)綜合利用公安信息網(wǎng)、移動互聯(lián)網(wǎng)、視頻專網(wǎng)等網(wǎng)絡(luò)信息資源，開展信息便民、信息惠警和警民互動應(yīng)用時，應(yīng)充分考慮所產(chǎn)生的安全風(fēng)險并符合國家網(wǎng)絡(luò)信息安全政策的要求。

1. 共享帶來的安全風(fēng)險

如果對信息共享技術(shù)體系和管理制度未做充分研究和規(guī)劃設(shè)計，可能會帶來一系列問題和風(fēng)險，比如：

（1）內(nèi)部網(wǎng)絡(luò)拓撲和重要服務(wù)的暴漏。通過網(wǎng)絡(luò)嗅探、掃描等方式，獲取內(nèi)部信息系統(tǒng)網(wǎng)絡(luò)結(jié)構(gòu)、重要主機設(shè)備和業(yè)務(wù)服務(wù)。

（2）重要數(shù)據(jù)的泄漏。通過技術(shù)手段攔截、竊取大量重要數(shù)據(jù)進行非法獲利或惡意破壞。

（3）非法越權(quán)訪問。通過低等級網(wǎng)絡(luò)越權(quán)訪問高等級網(wǎng)絡(luò)中的信息系統(tǒng)，干擾或破壞信息系統(tǒng)的正常運行。

（4）遭受網(wǎng)絡(luò)攻擊。病毒、木馬等惡意代碼利用信息共享服務(wù)暴漏的網(wǎng)絡(luò)、主機、服務(wù)等漏洞進行傳播，產(chǎn)生各類定時/不定時“炸彈”。

（5）其他干擾信息系統(tǒng)正常運行的問題。如分布式攻擊造成的設(shè)備超負荷宕機、惡意代碼造成的數(shù)據(jù)損壞、非法訪問造成的審計失效等各類問題。

2．國家網(wǎng)絡(luò)信息安全政策要求

在近期出臺或修訂的《中華人民共和國網(wǎng)絡(luò)安全法》、《信息安全等級保護管理辦法》等有關(guān)法律和政策文件中，國家鼓勵開發(fā)網(wǎng)絡(luò)數(shù)據(jù)安全保護和利用技術(shù)，以促進公共數(shù)據(jù)資源的開放共享，推動技術(shù)創(chuàng)新和社會經(jīng)濟發(fā)展。并提出，不同安全級別的網(wǎng)絡(luò)與信息系統(tǒng)，需要實施分級保護，在我國電子政務(wù)以及重要行業(yè)及企業(yè)不同安全級別、不同業(yè)務(wù)網(wǎng)絡(luò)之間，需要實現(xiàn)安全隔離和安全、高效的信息交換。

二、關(guān)鍵技術(shù)研究

（一）信息資源共享安全防護機制

信息資源跨邊界共享安全防護機制模型如圖4所示，包括系統(tǒng)安全需求、應(yīng)用安全架構(gòu)、防御技術(shù)體系、安全運維管控、安全情報搜集、攻擊反制等幾個層次。

（1）安全防護應(yīng)從應(yīng)用設(shè)計開發(fā)階段就引入專家團隊對系統(tǒng)安全進行評估和設(shè)計。

（2）建設(shè)零信任網(wǎng)絡(luò)安全模型，淡化安全假設(shè)，全程傳遞身份票據(jù)，通過監(jiān)控審計實現(xiàn)行為溯源。

（3）安全管理人員基于各種技術(shù)及時發(fā)現(xiàn)外部攻擊、分析內(nèi)網(wǎng)行為。

（4）當發(fā)現(xiàn)攻擊威脅后及時上報管理部門，做出適當?shù)淖粉櫯c反制。

（5）安全體系的建立是長期的過程，有條件的單位應(yīng)組建攻防藍軍、紅軍團隊，在被動攻擊和主動防護的過程中成長。

（二）信息資源共享服務(wù)層次結(jié)構(gòu)

信息資源共享服務(wù)的層次結(jié)構(gòu)如圖5所示。各類移動應(yīng)用服務(wù)，通過應(yīng)用支撐平臺中的信息資源共享服務(wù)訪問各類網(wǎng)絡(luò)信息資源，并通過平臺安全防護措施保障信息安全，通過集中管控進行集中運行維護和安全管理，通過技術(shù)標準規(guī)范來約束指導(dǎo)各個層面的設(shè)計。

（1）基礎(chǔ)設(shè)施層。主要指各類網(wǎng)絡(luò)、計算、存儲和PKI身份證書體系等基礎(chǔ)設(shè)施。

（2）信息資源層。建立在基礎(chǔ)設(shè)施層之上，主要來自于公安信息網(wǎng)、視頻等專網(wǎng)、公安移動信息網(wǎng)和互聯(lián)網(wǎng)，包括各類信息系統(tǒng)中的基礎(chǔ)數(shù)據(jù)、API業(yè)務(wù)組件和網(wǎng)絡(luò)服務(wù)。

（3）應(yīng)用支撐層。信息資源服務(wù)子系統(tǒng)一般作為應(yīng)用支撐系統(tǒng)的重要組成部分，在應(yīng)用開發(fā)服務(wù)、應(yīng)用發(fā)布管理、統(tǒng)一認證授權(quán)和運行監(jiān)測評估等子系統(tǒng)的協(xié)作下，匯聚各類信息資源支撐上層應(yīng)用。

（4）應(yīng)用服務(wù)層。運行在服務(wù)器端的服務(wù)軟件，用于支持原生APP應(yīng)用、H5 Web輕應(yīng)用、混合模式及其他各類技術(shù)開發(fā)的移動終端應(yīng)用。

（5）安全防護、集中管控與標準規(guī)范。安全防護體系保障應(yīng)用的安全有序運行，并由集中管控系統(tǒng)對各類應(yīng)用進行全流程運行維護和安全管控。

（三）信息資源共享服務(wù)功能結(jié)構(gòu)

信息資源共享服務(wù)功能組成結(jié)構(gòu)如圖6所示，各類應(yīng)用服務(wù)可基于信息資源共享服務(wù)提供的服務(wù)，獲取資源目錄并直接調(diào)用網(wǎng)內(nèi)信息資源，并經(jīng)過數(shù)據(jù)資源服務(wù)和授權(quán)訪問服務(wù)跨網(wǎng)絡(luò)邊界訪問其他網(wǎng)絡(luò)中的信息資源。

信息資源共享管理服務(wù)與數(shù)據(jù)資源服務(wù)和授權(quán)訪問服務(wù)共同組成跨網(wǎng)絡(luò)邊界的信息共享服務(wù)系統(tǒng)。

1. 信息資源共享管理服務(wù)

信息資源共享管理服務(wù)是跨網(wǎng)絡(luò)邊界、跨區(qū)域的的信息資源管理門戶，包括：

（1）信息管理。對平臺中的基礎(chǔ)數(shù)據(jù)、業(yè)務(wù)組件、網(wǎng)絡(luò)服務(wù)等信息資源進行注冊、審核、發(fā)布、授權(quán)、發(fā)現(xiàn)、更新、下線等生命周期管理。

（2）服務(wù)管理。實現(xiàn)信息資源服務(wù)的目錄檢索與發(fā)現(xiàn)、智能路由選擇和服務(wù)調(diào)用，并能夠記錄全量過程日志。

（3）安全管理?？苫趹?yīng)用ID/口令密鑰、IP/MAC、數(shù)字證書等方式對應(yīng)用服務(wù)進行統(tǒng)一身份認證；應(yīng)采用國產(chǎn)密碼算法的傳輸?shù)臄?shù)據(jù)進行加密；可對實現(xiàn)關(guān)鍵字過濾和內(nèi)容審查；應(yīng)記錄全量日志以進行訪問審計；可采用流量、頻率等策略對風(fēng)險行為進行熔斷、可與其他安全措施配合實現(xiàn)防攻擊。

（4）運維管理?？蓪Ψ?wù)進行集群部署、負載均衡等橫向擴展，以保證服務(wù)的高可用性。

2. 數(shù)據(jù)資源服務(wù)

數(shù)據(jù)資源服務(wù)包括兩種服務(wù)模式，一種模式提供數(shù)據(jù)庫、文件、消息隊列等數(shù)據(jù)類型跨邊界數(shù)據(jù)交換和“擺渡”，另一種模式提供跨網(wǎng)絡(luò)邊界、異構(gòu)信息資源的結(jié)構(gòu)化整合與訪問，對應(yīng)用提供標準統(tǒng)一的數(shù)據(jù)請求服務(wù)。兩種模式都具有以下功能：

（1）管理功能?？膳c信息資源共享管理服務(wù)配合，對平臺中跨網(wǎng)數(shù)據(jù)資源服務(wù)的數(shù)據(jù)源和數(shù)據(jù)結(jié)構(gòu)進行注冊、審核、發(fā)布、授權(quán)管理。

（2）服務(wù)功能。請求服務(wù)模式，實現(xiàn)數(shù)據(jù)資源的數(shù)據(jù)結(jié)構(gòu)查詢、增刪改查操作、數(shù)據(jù)類型轉(zhuǎn)換、字典代碼翻譯，能夠適配關(guān)系數(shù)據(jù)庫、WebService及其他接口類型的數(shù)據(jù)源；數(shù)據(jù)“擺渡”模式，對跨網(wǎng)文件交換、數(shù)據(jù)庫同步和消息隊列服務(wù)進行服務(wù)注冊、審核、發(fā)布、授權(quán)管理。各種服務(wù)模式應(yīng)能夠記錄數(shù)據(jù)訪問過程的全量日志。

（3）安全功能。請求服務(wù)模式，在統(tǒng)一認證授權(quán)服務(wù)的配合下，對應(yīng)用服務(wù)進行統(tǒng)一身份認證和訪問鑒權(quán)；根據(jù)應(yīng)用權(quán)限控制應(yīng)用可操作的數(shù)據(jù)源、數(shù)據(jù)對象和屬性字段；可對操作條件、返回內(nèi)容進行關(guān)鍵字過濾、內(nèi)容替換和敏感內(nèi)容隱藏，采用記錄數(shù)、訪問頻率等策略對風(fēng)險行為進行熔斷。數(shù)據(jù)“擺渡”模式，基于SFTP、關(guān)系數(shù)據(jù)庫或消息隊列協(xié)議和統(tǒng)一身份認證鑒權(quán)，對應(yīng)用服務(wù)進行身份認證和訪問鑒權(quán)；可對文件/記錄/消息格式進行檢查，限定特定格式的數(shù)據(jù)交換，可采用文件/記錄/消息的大小、頻率等策略對風(fēng)險行為進行熔斷、可與其他安全措施配合實現(xiàn)防攻擊

3. 授權(quán)訪問服務(wù)

授權(quán)訪問服務(wù)用于跨邊界訪問各信息網(wǎng)絡(luò)中的業(yè)務(wù)組件和網(wǎng)絡(luò)服務(wù)，需要在網(wǎng)絡(luò)隔離、邊界保護的同時，實現(xiàn)用戶/應(yīng)用的身份認證、信息的加密傳輸、數(shù)據(jù)的格式轉(zhuǎn)換、權(quán)限訪問控制和安全監(jiān)控等。具有以下功能：

（1）管理功能。與數(shù)據(jù)資源服務(wù)模式類似。

（2）服務(wù)功能。實現(xiàn)跨網(wǎng)絡(luò)邊界的業(yè)務(wù)組件及網(wǎng)絡(luò)服務(wù)的代理訪問。能夠支持粗粒度的HTTP業(yè)務(wù)組件API的代理訪問。能夠與光閘、網(wǎng)閘、視頻網(wǎng)閘等隔離設(shè)備聯(lián)動實現(xiàn)應(yīng)用協(xié)議剝離與封裝并支持TCP/UDP協(xié)議的端口映射轉(zhuǎn)換與代理訪問。能夠記錄數(shù)據(jù)訪問過程的全量日志。

（3）安全功能?？稍诎踩尤肟刂圃O(shè)備及信息資源共享管理服務(wù)的配合下對應(yīng)用服務(wù)進行統(tǒng)一身份認證和鑒權(quán)控制。對基于HTTP協(xié)議的API應(yīng)用組件代理,可支持URL上下文地址轉(zhuǎn)換以支持端口復(fù)用和真實地址隱藏。對TCP/UDP網(wǎng)絡(luò)代理，可支持IP地址及端口進行映射轉(zhuǎn)換以隱藏真實網(wǎng)絡(luò)主機。

三、結(jié)論與展望

本文研究的信息資源跨網(wǎng)絡(luò)邊界安全共享技術(shù)，利用互聯(lián)網(wǎng)主流的信息資源共享技術(shù)，并結(jié)合我國不同等級信息網(wǎng)絡(luò)安全保護的政策要求?？梢酝黄颇壳肮惨苿有畔⒒嬖诘南拗?，有效利用公安信息網(wǎng)、移動互聯(lián)網(wǎng)、視頻專網(wǎng)等各類網(wǎng)絡(luò)資源，在實現(xiàn)公安信息網(wǎng)與其他網(wǎng)絡(luò)進行數(shù)據(jù)交換的同時，收緊公安信息網(wǎng)邊界、減少邊界數(shù)量，推動公安信息化應(yīng)用向智能化、融合化方向發(fā)展。

當然，跨網(wǎng)絡(luò)邊界信息資源共享系統(tǒng)的有效運行，除了信息資源共享系統(tǒng)本身，還需要隔離交換設(shè)備、網(wǎng)絡(luò)邊界保護、集中安全管控和運維管理體系等配套的技術(shù)和管理措施。同時，移動互聯(lián)涉及的大數(shù)據(jù)、云計算、人工智能等信息技術(shù)處于不斷的發(fā)展變化中，公安移動信息化工作也處于不斷的探索和前進中，新的網(wǎng)絡(luò)安全威脅和應(yīng)對技術(shù)也在不斷發(fā)展和完善。移動警務(wù)平臺跨網(wǎng)絡(luò)邊界的信息資源安全共享服務(wù)系統(tǒng)，也要與時俱進、并在實踐的驗證和檢驗中不斷發(fā)展和完善。