等級保護設計要求下的移動業(yè)務系統(tǒng)安全防御體系

年5月29日等級保護設計要求下的移動業(yè)務系統(tǒng)安全防御體系文檔僅供參考等級保護設計要求下的”移動業(yè)務系統(tǒng)安全防御體系”引言隨著全球信息化進程的不斷推進,中國政府及各行各業(yè)也在進行大量的信息系統(tǒng)的建設,這些信息系統(tǒng)已經(jīng)成為國家重要的基礎設施,因此,信息系統(tǒng)安全問題已經(jīng)被提升到關系國家安全和國家主權的戰(zhàn)略性高度,已引起黨和國家領導以及社會各界的關注。隨著政府電子政務辦公、移動警務辦公、移動執(zhí)法等信息化建設和發(fā)展,作為現(xiàn)代信息社會重要基礎設施的信息系統(tǒng),其安全問題必將對中國的政治、軍事、經(jīng)濟、科技、文化等領域產(chǎn)生至關重要的影響。能否有效的保護信息資源,保護信息化進程健康、有序、可持續(xù)發(fā)展,直接關乎國家安危,關乎民族興亡,是國家民族的頭等大事。沒有信息安全,就沒有真正意義上的政治安全,就沒有穩(wěn)固的經(jīng)濟安全和軍事安全,沒有完整意義上的國家安全。經(jīng)黨中央和國務院批準,國家信息化領導小組決定加強信息安全保障工作,實行信息安全等級保護,重點保護基礎信息網(wǎng)絡和重要信息系統(tǒng)安全,要抓緊信息安全等級保護制度的建設。對信息系統(tǒng)實行等級保護是中國的法定制度和基本國策,是開展信息安全保護工作的有效辦法,是信息安全保護工作的發(fā)展方向。實行信息安全等級保護的決定具有重大的現(xiàn)實和戰(zhàn)略意義。<等級保護設計要求>思路的啟迪按照信息系統(tǒng)業(yè)務處理過程將系統(tǒng)劃分成計算環(huán)境、區(qū)域邊界和通信網(wǎng)絡三部分,以終端安全為基礎對這三部分實施保護,構成由安全管理中心支撐下的計算環(huán)境安全、區(qū)域邊界安全、通信網(wǎng)絡安全所組成的三重防護體系結構。在移動終端安全的領域中,計算環(huán)境如PDA、智能手機、PAD等,核心業(yè)務系統(tǒng)包括警務通、智能辦公系統(tǒng)(OA\ERP)等,當前采用傳統(tǒng)的傳輸加密技術手段僅考慮到如何解決非法接入及鏈路劫持安全問題,如VPN等,安全防御較為單一化和局限性,公開的加密算法及隧道的傳輸模式已無法適應現(xiàn)代化的網(wǎng)絡基礎設施,在等級保護的信息安全建設中,應從整體安全體系模型考慮潛在風險問題,如計算環(huán)境安全、網(wǎng)絡通信安全、區(qū)域邊界安全。等級保護設計要求給予了很好的啟迪,如何將移動終端安全實施三重技術防護體系成為我公司研究的新課題方向。移動安全管理平臺可研技術難點整體式安全防護

根據(jù)等級保護的設計要求,應從計算環(huán)境安全、網(wǎng)絡通信安全、區(qū)域邊界安全三大部分建立移動應用系統(tǒng)的整體安全防護體系,包括身份認證、數(shù)據(jù)保密和網(wǎng)絡完整性問題。這需要以密碼技術為支撐,以身份認證為基礎,以數(shù)據(jù)安全為核心,以監(jiān)控審計為輔助進行整體的安全防護設計。計算環(huán)境

隨著3G,wifi網(wǎng)絡的無限延伸,在移動應用環(huán)境中,計算環(huán)境除少量的基于windows平臺外,智能手機下的

Windows

Mobile

、Symbian、WIN

CE、android、iOS已經(jīng)成為移動終端主流應用環(huán)境,這就需要基于智能手機下不同操作系統(tǒng)進行跨平臺性開發(fā)。并根據(jù)智能終端應用特點,結合等級保護設計要求下的計算環(huán)境安全要求,應充分考慮主體與客體的安全訪問控制、安全訪問者的身份鑒別等移動終端在提供了便利的同時也十分容易丟失,這使得移動智能終端中數(shù)據(jù)保密性受到威脅,如何協(xié)調現(xiàn)有的存儲文件的安全等級之間的一致性問題等等都是具有特色的安全新需求。網(wǎng)絡通信

應嚴格按照等級保護設計要求對網(wǎng)絡通信數(shù)據(jù)的完整性和保密性進行充分的安全考慮,那么就需要采用由密碼技術支持的完整性校驗機制或具有相應強度的其它安全機制,以實現(xiàn)網(wǎng)絡數(shù)據(jù)傳輸完整性和保密性保護。區(qū)域邊界在移動應用系統(tǒng)網(wǎng)絡環(huán)境中,區(qū)域邊界的第一道門檻應經(jīng)過防火墻進行協(xié)議、端口、數(shù)據(jù)包等功能的安全訪問控制,但因網(wǎng)絡傳輸為密文數(shù)據(jù),防火墻僅限于端口過濾,這時是否考慮單獨開發(fā)一臺邊界網(wǎng)關對移動終端認證后采取應用訪問控制,從而完善區(qū)域邊界的安全強度。

等保護設計要求下移動應用系統(tǒng)防護體系剖析北京明朝萬達科技有限公司(.cn)是國家級高新技術企業(yè)和國家級軟件企業(yè),是中國領先的內(nèi)網(wǎng)安全產(chǎn)品、數(shù)據(jù)安全產(chǎn)品和移動安全產(chǎn)品廠商,致力于信息安全技術的研究。1994年國務院147號令明確指出:對信息系統(tǒng)實行等級保護是國家法定制度和基本國策;是信息安全保護工作的發(fā)展方向。至此我公司及時響應國家政策要求,在國家等級保護建設過程中做出了很大努力,根據(jù)等級保護市場需求分析,并在國家等級保護相應的技術標準支撐下,針對等級保護定級系統(tǒng)中的移動應用系統(tǒng),如移動警務系統(tǒng)、移動執(zhí)法系統(tǒng)、移動電子政務系統(tǒng)、移動稅務系統(tǒng)進行了深入性的探討和剖析,從而研發(fā)出”移動安全管理平臺”產(chǎn)品,其相應的技術特點如下:用戶身份安全采用CA認證機制,即在移動安全管理平臺中建立統(tǒng)一的用戶管理和認證授權系統(tǒng)。所有移動用戶都有自己的數(shù)字證書和密碼,數(shù)字證書能夠存儲在USBKey或者TF加密卡中。系統(tǒng)與移動用戶基于雙因素認證方式進行雙向身份鑒別。首次登錄后系統(tǒng)為合法接入用戶實行注冊和授權審核功能,充分保證用戶身份的合法性和安全性。移動終端安全移動安全管理平臺在移動智能終端中的組件包括TF密碼卡和終端軟件兩部分,密碼卡實現(xiàn)證書的存儲和數(shù)據(jù)信息的加密,經(jīng)過跟應用保護的結合,能夠防止移動智能終端數(shù)據(jù)明文存儲導致的泄密問題發(fā)生。移動終端軟件能夠對用戶身份和移動智能終端硬件信息進行綁定,并能夠對終端信息的日志記錄,包括用戶的接入狀態(tài)、IP地址和當前應用狀態(tài),并能夠實時監(jiān)控記錄用戶行為。網(wǎng)絡通信安全采用了虛擬網(wǎng)卡和代理模式結合的數(shù)據(jù)報文封裝技術,適應于各種不同移動智能終端的應用特點。經(jīng)過基于雙向協(xié)商協(xié)議進行身份認證和密鑰交換,同時密鑰協(xié)商過程對客戶端的身份認證采用了RSA簽名機制,不會因重放攻擊、中間人攻擊、內(nèi)存強制讀取等手段引起非授權用戶訪問移動終端接入網(wǎng)關,從而達到數(shù)據(jù)傳輸?shù)陌踩浴２捎枚说蕉思用芗夹g保證了用戶信息在移動網(wǎng)內(nèi)的任意節(jié)點均以密文傳輸,避免了在鏈路加密中出現(xiàn)的密文在通信節(jié)點落地的情況,能夠有效防止通信雙方的信息被竊聽和篡改。采用國家密碼管理局認定的SM1算法,經(jīng)過使用加密設備內(nèi)部密鑰產(chǎn)生、PKI技術保證的安全密鑰交換以及硬件實現(xiàn)的加密算法,保證通訊過程中數(shù)據(jù)不被非法截獲和破解。另:網(wǎng)絡通信安全加密算法還支持國密SM4、SM2以及其它SSL、AES、RSA、Blowfish等高安全算法。網(wǎng)絡邊界完整性移動安全管理平臺對于安全性要求高的用戶,能夠經(jīng)過實施網(wǎng)絡邊界完整性策略,確保移動終端用戶一旦經(jīng)過安全接入系統(tǒng)接入內(nèi)網(wǎng),就切斷其與其它網(wǎng)絡的通信,從而保持網(wǎng)絡邊界完整性,有效防止木馬等導致的安全隱患。數(shù)據(jù)保密性首先,應用系統(tǒng)在訪問登錄時,必須經(jīng)過移動安全管理平臺的雙因素認證,確保核心業(yè)務數(shù)據(jù)訪問者身份信息的真實可靠,對于B/S的訪問應用,可提供安全瀏覽器等安全組件,訪問業(yè)務系統(tǒng)時,當前采集應用數(shù)據(jù)經(jīng)過密碼技術進行加密,即便使用藍牙、wifi泄露,也以密文顯示。同時,移動安全管理平臺能夠對泄露途徑進行安全防護,如在接入認證經(jīng)過后,能夠根據(jù)策略禁止啟動藍牙、紅外等。

移動安全管理平臺可實現(xiàn)安全傳輸加密,采用端到端加密技術保證了用戶信息在移動網(wǎng)內(nèi)的任意節(jié)點均以密文傳輸,避免了在鏈路加密中出現(xiàn)的密文在通信節(jié)點落地的情況,能夠有效防止通信雙方的信息被竊聽和篡改。應用安全第一層基礎安全應用層:提供安全瀏覽器,安全郵件,安全通訊錄等安全組件,實現(xiàn)基礎的移動辦公能力;第二層綜合安全應用層:為用戶提供綜合安全辦公服務能力,如安全加密瀏覽器(移動應用數(shù)據(jù)落地加密)、安全PDF閱讀器、安全office、文檔審批和管理等應用安全;第三層行業(yè)安全應用層,為電子政務平臺提供其它定制化安全應用,如電子政務移動安全應用、移動執(zhí)法安全應用等。經(jīng)過三層安全應用層次模型為用戶提供全方位的移動應用服務,從而實現(xiàn)真正的移動辦公安全。應用訪問控制移動安全管理平臺管理平臺經(jīng)過細粒度的角色關聯(lián)機制對用戶做細致的權限劃分,能夠給予不同用戶以不同的訪問權限,授權管理其可訪問的資源,從而實現(xiàn)移動用戶對各種應用的訪問控制管理。安全管理審計移動安全管理平臺用戶采用分級分權管理方式,對用戶權限進行細粒度的分配,包括超級管理員、賬戶管理員、系統(tǒng)管理員、用戶管理員和審計員。其中超級管理員是權限最大的管理員,可對服務器做任何設置;賬戶管理員可創(chuàng)立超級管理員以外的賬號;系統(tǒng)理員管理安全接入系統(tǒng)自身系統(tǒng)參數(shù);用戶管理員管理用戶數(shù)據(jù)權限和審計用戶操作;審計員查看系統(tǒng)、用戶和管理員日志。移動安全系統(tǒng)提供詳盡的日志記錄和安全審計分析功能,對于用戶任何操作都能夠提供詳細的審計日志,能夠對日志進行瀏覽、查詢、導出、刪除等操作,并提供報表工具對日志進行分析。同時,本系統(tǒng)提供標準Syslog日志接口,能夠根據(jù)用戶需要將日志發(fā)送到指定的Syslog日志數(shù)據(jù)庫中。關鍵技術無線網(wǎng)絡優(yōu)化技術無線網(wǎng)絡跟隨著不同地點,信號強弱會發(fā)生頻繁的變化,從而帶寬也會帶來變化,如果不采取措施,手機終端的頻繁斷網(wǎng)將難以避免。

本項目采用了自創(chuàng)的無線網(wǎng)絡優(yōu)化技術,其主要技術特點如下:

·自動檢測無線網(wǎng)絡信號強弱和帶寬變化情況;

·經(jīng)過實驗,建立帶寬和優(yōu)化參數(shù)表;

·根據(jù)帶寬變化情況,依據(jù)建立的優(yōu)化參數(shù)表,對IP包封裝的大小進行調節(jié)和自適應;

·自動IP包重發(fā),IP包如果超時未發(fā)出,將調整數(shù)據(jù)包大小,自動重發(fā)。移動智能終端存儲載體環(huán)境式加密國內(nèi)外手機等移動智能終端中用于數(shù)據(jù)加密的方式為文件存儲加密,本技術采用的加密技術為環(huán)境式加密技術,是針對手機的SD/TF卡的加密,這種加密是面對存儲空間的加密。采用此技術,增加了產(chǎn)品的易用性與保密的強度。該加密技術以PKI技術為基礎,配置的用戶身份標識具有身份認證和數(shù)據(jù)加密兩種功能,身份標識能夠是國家認可的數(shù)字證書也能夠是內(nèi)部頒發(fā)的用于識別份的數(shù)字證明。用戶身份標識集成在文件防泄密系統(tǒng)當中,當用戶登陸操作系統(tǒng)的時候首先要輸入用戶身份密碼(PIN碼)。采用環(huán)境加密技術對存儲區(qū)域進行加密后,所有存儲到該區(qū)域的文件都自動加密,不需要單獨操作。與手機文件加密相比較,該加密方法為用戶提供自動加密的功能,十分便捷。同時加密的強度由RSA算法強度確定,高于普通的文件加密的強度,更利于文件保密價值體現(xiàn)技術價值根據(jù)等級保護設計要求思想,本系統(tǒng)定位于基于密碼技術,為客戶端和用戶提供安全的遠程接入內(nèi)網(wǎng)數(shù)據(jù)鏈路,應用系統(tǒng)在以下幾個方面得以安全保障:確保單位內(nèi)網(wǎng)的應用系統(tǒng)只能被內(nèi)網(wǎng)的客戶端或者經(jīng)過認證接入的外網(wǎng)客戶端訪問;確保外網(wǎng)客戶端和內(nèi)網(wǎng)應用系統(tǒng)之間傳輸?shù)臄?shù)據(jù)在外網(wǎng)路徑上是安全的(數(shù)據(jù)保密性和完整性);確保經(jīng)過本系統(tǒng)接入的客戶端是被已經(jīng)授權的用戶在使用;確保經(jīng)過本系統(tǒng)接入的用戶和客戶端不會被惡意和偽裝的網(wǎng)關所欺騙;確保經(jīng)過本系統(tǒng)接入的客戶端不會破壞內(nèi)網(wǎng)的網(wǎng)絡邊界完整性;實現(xiàn)對移動應用數(shù)據(jù)的安全防護,確保數(shù)據(jù)的保密性。等級保護中的價值在等級保護要求中,不論是基本要求還是設計要求,對于移動安全的技術要求點并沒有實質性的定義,而在測評過程中,移動應用系統(tǒng)采用類似VPN產(chǎn)品技術實現(xiàn)的傳輸加密,其方式較為單一和局限,只考慮到在移動應用系統(tǒng)中網(wǎng)絡通信安全問題,對計算環(huán)境安全、區(qū)域邊界安全并沒有相應的安全防護手段。移動安全管理平臺根據(jù)移動系統(tǒng)使用特點及應用方式,從智能終端計算環(huán)境、區(qū)域邊界、網(wǎng)絡通信整體考慮移動應用系統(tǒng)的安全風險因素,完善等級保護系統(tǒng)中移動應用系統(tǒng)的建設要求。安全管理與安全制度的融入信息系統(tǒng)的安全管理內(nèi)容涉及:信息安全政策、信息安全組織、信息資產(chǎn)分類與管理、個人信息安全、物理和環(huán)境安全、通信和操作安全管理、存取控制、信息系統(tǒng)的開發(fā)和維護、持續(xù)運營管理等等,是一個龐大、復雜的系統(tǒng)工程。僅僅依靠技術手段來對信息系統(tǒng)的安全進行保障,這樣的思想是非常錯誤。必須要做到”領導重視,嚴格執(zhí)行有關管理制度,建立信息安全防范意識,技術手段切實可行、有效”,做到”技管并重”才有可能做到真正意義的安全。從經(jīng)營者的角度來看,技術層面和管理層面必須相互結合、配合良好,其中,特別需要強調管理的重要性,以”七分管理,三分