移动业务安全防范技术研究与开发
黄小奇 汕头供电局
摘要
从2012年广东电网公司就开展移动作业重点项目的推广,《广东电网公司移动作业现场应用实施项目》及《广东电网公司营配现场作业应用推广项目》及“两本手册”的推广应用，使得移动终端在电力生产应用中普及，并发挥着重要的作用。越来越多的移动终端在生产中使用，势必对企业内网造成信息安全威胁，如何减少各种非法的应用程序的运行，加强移动作业终端安全防护工作，推动企业信息化移动作业工作，保障移动作业运行方式的安全、稳定，是我们此次项目的目标。
随着移动终端及其应用的快速发展，几乎所有具有前瞻性的企业开始部署或考虑部署支持移动方式访问的应用程序，以实现高效的办公流程和资源共享。
汕头供电局紧跟移动技术的发展步伐，正在将传统的业务（例如OA）扩展到了移动终端上，方便用户进行业务处理及移动办公，但局方用户的移动终端型号及操作系统多种多样，缺少统一的管理手段，存在安全缺陷。而通过移动终端安全接入及管理系统的建设，实现移动终端的统一接入、移动终端的统一管理、移动终端的数据安全保护以及接入链路安全等功能，将帮助汕头局实现移动设备集中控制、统一管理；帮助企业实现移动设备的终端安全。 关键词
移动业务、安全、管理
一、背景
1. 国内外研究水平的现状和发展趋势
基于移动平台的标准化，商务应用的普及化，以及持续增强的网路连结力，发生在移动设备上的威胁攻击越来越多。移动互联网的时代已经来临，人们使用智能移动终端已不再局限于通话和短信交流，智能移动终端中的社交功能也在不断的被开发，微博、即时通讯、位置共享、网上娱乐等应用快速增长。然而，在智能移动终端及其应用在快速增长的背后，却隐藏着极大的安全隐患。垃圾短信、钓鱼网站窃取个人信息、智能移动终端病毒和欺诈应用程序威胁威胁着智能移动终端的数据安全？根据安全机构的移动威胁监控数据显示，平均每秒就有3.5个新的可危害移动设备的威胁产生，从2011年一月到七月，Android移动平台上的病毒样本增加1410％。因此，移动设备已成为黑客的新攻击目标，而其安全问题不容忽视。
2. 国内外研究机构对本项目的研究情况
国外移动终端安全管理发展比较早，但是真正的爆发是在移动设备爆炸式增长之后，国外各大巨头都投入了移动安全管理技术的研究，如citrix、IBM、SAP、赛门铁克、DLL都相继推出了自己研究的产品和成果。国外产品的主要功能体现在设备激活,设备配置、安全保护、应用管理、内容管理、终端用户支持等横跨企业各个组织的整个生命周期的管理。
而国内的研究则刚刚开始起步，更多地是依赖国外的研究思想，结合国内的实际情况进行研发。
3. 项目研究的技术关键与难点
本项目的技术关键以及难点是解决方案完整性、产品灵活性、产品功能性、多平台支持能力、安全性保障能力。
解决方案完整性：能否提供企业移动信息化解决方案的各环节内容 产品灵活性：能否为客户提供个性化的定制服务 产品功能性：移动终端管理功能的完备性 多平台支持能力：具备支持各种移动OS的能力
安全性保障能力：提供包括设备、网络以及数据在内的多方面的安全保障能力，包括使用数字证书保证用户信息的安全、使用移动终端杀毒软件保证终端数据的安全等。 二、主要技术内容
移动终端的安全防护体系的研究主要包括三个维度的内容： ? 移动终端的安全接入 ? 移动终端的安全管理 ? 移动终端本地数据安全
1. 移动终端安全接入
移动终端的接入方式包括WIFI的接入及在公网中通过运营商网络的接入，为了防止移动终端接入的安全，首先必须通过强认证方式，实现用户的授权接入访问，WIFI启动身份认证，公网接入时，通过移动接入平台的基于数字证书的身份认证，实现强身份认证。
同时为了采用链路加密的方式，实现数据传输的安全，对移动终端的接入进行审计，本地记录相关操作日志（并且防止日志篡改），及时传输至远程服务端供集中审计，可由统一审计平台完成统一审计，实现事后追踪。
移动终端用户访问Internet认证过程： 1．终端用户通过AD域帐号连接WLAN；
2．由于手持终端没有SEP客户端，因此会被分配到隔离vlan；
3．隔离vlan只能访问文件服务器的sep插件、junos pulse软件进行修复； 4．手持终端用户通过JUNOS PULSE软件进行认证和权限；
5．认证通过后，SSL VPN将用户名和密码推送至IC设备，同时完成IC用户认证和权限；
6．SSL VPN给终端用户分配一个新的IP地址使用；
7．SA将会通过hostchecker检查手持移动终端MAC地址是否为授权的用户，是可以正常浏览Internet；
8．IC将特定的Internet访问资源推送至防火墙，统一控制移动终端Internet资源访问控制。
2. 移动终端的安全管理
通过对移动终端管理体系的研究和建设，对企业所有需要进行移动办公的移动终端进行统一注册及管理，实现对移动终端资产跟踪、策略下发、数据备份、软件部署等远程管理功能。
2.1.
移动终端管理
如上图：移动终端管理主要包括两部分主要内容，分别为移动设备管理和终端安全管理。 ? 移动设备管理：终端资产管理、配置策略管理、监控策略管理、日志审计管理。 ? 终端安全管理：终端防盗管理、移动信息备份服务、终端杀毒服务、防垃圾服务。 2.2.
生命周期管理
移动终端的生命周期管理经历三个阶段:
? 预配阶段 ? 使用阶段 ? 停用阶段
a) 预配阶段
管理方面：分配组成员和策略、配置设备连接、远程设备配置、初始化应用部署。 安全方面：创建企业安全策略、强制管理终端密码、远程分发并保护数据、 远程安装并配置、防火墙、杀毒软件、远程监控。
预配阶段先在典型位置进行试点，如变电站、营业厅或者某一层楼。 b) 使用阶段
管理方面：跟踪资产数据、更新/修复软件、维护/更新设备配置、分发/更新文件、软件许可使用与跟踪、计划和自动的活动、远程控制设备。
安全方面：备份设备数据、安装补丁和安全更新、加强安全策略、权威身份认证和访问控制、监控/跟踪安全违反行为和威胁、日志审计功能。
c) 停用阶段
管理方面：重新提供/重置设备、用户更换设备、更改设备用途、软件重新部署、设备失窃后恢复数据。
安全方面：禁用失窃设备、远程关机/锁定、访问违规锁定、数据擦除、 禁用设备、网络、应用使用。
3. 移动终端本地数据安全
设备安全管理系统对接入终端的统一管理,整个系统的移动终端进行全面统一的登记注册与注销、监管与审计同时还可以实现客户端身份的创建与密钥分发等功能。
部署智能移动终端杀毒软件, 实现病毒快速扫描、全面查杀、实时监控、病毒库升级、漏洞修补,高效查杀各种病毒木马，实时保护系统安全，防范恶意代码窃取短信、劫持用户会话、以及仿冒用户身份审批的风险。服务器提供在线病毒库更新服务。采用iOS和Android平台专业高效的防病毒和漏洞扫描解决方案，严格控制终端安全风险。
使用专有杀毒软件在系统启动前检测当前系统环境安全性，当发现异常时是否主动提示用户，防止安装恶意软件。
智能移动终端防病毒系统会实时监测智能移动终端运行环境，包括文件系统、内存、应用程序、安装过程、网络端口等，发现异常会立即提醒用户同时上报服务器。
垃圾信息过滤功能实现垃圾短信、彩信过滤，骚扰电话屏蔽，黑名单白名单过滤。 终端防盗功能实现移动终端丢失后换SIM卡自动报警；自动隐藏所有敏感个人数据及应用数据；自动锁定；远程遥控取回信息、销毁信息、强制关机，位置跟踪。
部署安全备份服务实现自动备份和用户一键式快速备份，将用户终端中的关键应用数据、通讯录、短信、照片等信息加密上传到服务器。
以上移动终端客户端安全功能全部由移动终端客户端软件支持。每台移动终端安装客户端软件，移动终端软件支持主流的Android和IOS系统。 三、预期目标及创新点 1) 预期目标：
a) 帮助企业实现移动设备集中控制、统一管理
? 对整个系统的移动终端进行全面统一的登记注册与注销、监管与审计，实现对终端
资产的统一管理；同时还可以实现客户端身份的创建等功能；
? 动态展示系统管理的所有移动终端的状态数据，对终端信息进行远程监控，实现集
中控制；
? 通过黑白名单已经应用推送的方式对移动终端上的应用进行统一管理；
? 对系统管理的所有移动终端进行统一的安全安全策略配发管理，包括远程设置密
码，自动锁定，密码复杂度要求，清空密码；
? 对移动终端违反策略使用或丢失后，实现远程擦除数据、删除应用、清除配置、远
程锁定, 清空整个设备
b) 帮助企业实现移动设备的终端安全
? 终端设备安全性：防止越狱，安装杀毒软件控制远程和本地安全漏洞
? 身份鉴别机制：支持数字证书及口令方式进行身份认证，具有密码策略（密码长度
和复杂度、定期修改密码、错误次数）限制。
? 权限控制机制：不同用户在同一移动智能终端上登录，不能读写其它用户的离线、
配置及密码等文件。不可以远程越权访问其他用户的资源
? 安全审计机制：本地记录相关操作日志（并且防止日志篡改），及时传输至远程服