【正文】 語(yǔ)言和開(kāi)發(fā)工具開(kāi)發(fā)出來(lái)的，將不可避免的導(dǎo)致不同業(yè)務(wù)系統(tǒng)之間的用戶無(wú)法統(tǒng)一管理，資源無(wú)法統(tǒng)一授權(quán)，審計(jì)系統(tǒng)也分別獨(dú)立，且基于數(shù)字證書(shū)的強(qiáng)身份認(rèn)證也可能沒(méi)有實(shí)現(xiàn)。 安全性原則安全保護(hù)機(jī)制必須簡(jiǎn)單、一致并建立到系統(tǒng)底層。在設(shè)計(jì)時(shí)，參考目前國(guó)內(nèi)成熟的公安及政務(wù)相關(guān)體系的移動(dòng)應(yīng)用安全管理系統(tǒng)設(shè)計(jì)。通過(guò)等級(jí)風(fēng)險(xiǎn)評(píng)估結(jié)果，設(shè)計(jì)系統(tǒng)安全技術(shù)解決方案。數(shù)據(jù)傳遞數(shù)據(jù)傳遞分為兩個(gè)層面，其一是將采集到緩存區(qū)域的數(shù)據(jù)安全、穩(wěn)定、可靠地交換到內(nèi)部業(yè)務(wù)區(qū)域，以支撐業(yè)務(wù)的開(kāi)展；其二是將外部的數(shù)據(jù)信息直接流轉(zhuǎn)至內(nèi)部業(yè)務(wù)區(qū)域，同時(shí)接受內(nèi)部業(yè)務(wù)區(qū)域?qū)ν獍l(fā)布的信息。這一區(qū)域主要承擔(dān)著涉及平臺(tái)的專(zhuān)用網(wǎng)路，在業(yè)務(wù)專(zhuān)用中運(yùn)行著各業(yè)務(wù)數(shù)據(jù)交換平臺(tái)的存儲(chǔ)平臺(tái)，為平臺(tái)的核心業(yè)務(wù)網(wǎng)。該區(qū)域主要安全功能為：實(shí)現(xiàn)網(wǎng)絡(luò)級(jí)身份認(rèn)證、訪問(wèn)控制和權(quán)限管理，數(shù)據(jù)機(jī)密性和完整性保護(hù)，防御網(wǎng)絡(luò)攻擊和嗅探。從平臺(tái)整體安全建設(shè)角度出發(fā)，目前已經(jīng)按照等級(jí)保護(hù)要求對(duì)內(nèi)部網(wǎng)進(jìn)行了一些合規(guī)建設(shè)工作，所以在移動(dòng)應(yīng)用安全管理系統(tǒng)項(xiàng)目的建設(shè)內(nèi)容中，業(yè)務(wù)域部分的安全建設(shè)基于現(xiàn)有的建設(shè)基礎(chǔ)，可以不予考慮，整個(gè)項(xiàng)目的重點(diǎn)在于接入域部分的合規(guī)性、業(yè)務(wù)性建設(shè)。非法用戶可能企圖假冒合法用戶的身份進(jìn)入系統(tǒng)，低權(quán)限的合法用戶也可能企圖執(zhí)行高權(quán)限用戶的操作，這些行為將給終端系統(tǒng)和應(yīng)用系統(tǒng)帶來(lái)了很大的安全風(fēng)險(xiǎn)。應(yīng)采取措施保證數(shù)據(jù)在傳輸過(guò)程中的完整性以及保密性，保護(hù)鑒別信息的保密性。邊界惡意代碼防范現(xiàn)今，病毒的發(fā)展呈現(xiàn)出以下趨勢(shì):病毒與黑客程序相結(jié)合、蠕蟲(chóng)病毒更加泛濫，目前計(jì)算機(jī)病毒的傳播途徑與過(guò)去相比已經(jīng)發(fā)生了很大的變化，更多的以網(wǎng)絡(luò)（包括 Internet、廣域網(wǎng)、局域網(wǎng)）形態(tài)進(jìn)行傳播，因此為了安全的防護(hù)手段也需以變應(yīng)變，迫切需要網(wǎng)關(guān)型產(chǎn)品在網(wǎng)絡(luò)層面對(duì)病毒予以查殺。通信完整性與保密性由于網(wǎng)絡(luò)協(xié)議及文件格式均具有標(biāo)準(zhǔn)、開(kāi)發(fā)、公開(kāi)的特征，因此數(shù)據(jù)在網(wǎng)上存儲(chǔ)和傳輸過(guò)程中，不僅僅面臨信息丟失、信息重復(fù)或信息傳送的自身錯(cuò)誤，而且會(huì)遭遇信息攻擊或欺詐行為，導(dǎo)致最終信息收發(fā)的差異性。通過(guò)從終端安全、網(wǎng)絡(luò)安全、接入邊界安全、傳輸數(shù)據(jù)安全等方面進(jìn)行安全建設(shè)以構(gòu)建整體安全結(jié)構(gòu)；并以安全管理制度、安全管理機(jī)構(gòu)、人員安全管理等方面入手進(jìn)行管理體系建設(shè)，把安全技術(shù)和安全管理相結(jié)合，使得移動(dòng)應(yīng)用安全系統(tǒng)安全建設(shè)方案能夠全方面為移動(dòng)采集業(yè)務(wù)提供立體、縱深的安全保障防御體系，保證信息系統(tǒng)整體的安全保護(hù)能力，實(shí)現(xiàn)電子政務(wù)移動(dòng)辦公的實(shí)用性、先進(jìn)性、經(jīng)濟(jì)性和可擴(kuò)展性。安全監(jiān)測(cè)與管理基礎(chǔ)設(shè)施設(shè)計(jì)：實(shí)現(xiàn)整個(gè)平臺(tái)的安全監(jiān)測(cè)、管理與運(yùn)行維護(hù)。在建設(shè)邊界接入平臺(tái)的同時(shí)，建立系統(tǒng)平臺(tái)的日常運(yùn)行維護(hù)和管理工作機(jī)制，通過(guò)規(guī)范接入配置、規(guī)范安全監(jiān)控、規(guī)范運(yùn)行處置等工作，保障系統(tǒng)平臺(tái)正常運(yùn)行。所以，在所有終端上部署基于系統(tǒng)防病毒系統(tǒng)，加強(qiáng)終端的病毒防護(hù)能力并及時(shí)升級(jí)惡意代碼軟件版本以及惡意代碼庫(kù)。防火墻可以拒絕所有以上類(lèi)型攻擊的報(bào)文并通知防火墻管理員。權(quán)限控制：對(duì)于制定的訪問(wèn)控制規(guī)則要能清楚的覆蓋資源訪問(wèn)相關(guān)的主體、客體及它們之間的操作。它監(jiān)視計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對(duì)它們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性或試圖繞過(guò)安全機(jī)制的入侵行為并進(jìn)行有效攔截。同時(shí)審計(jì)信息要通過(guò)安全管理中心進(jìn)行統(tǒng)一集中管理，為安全管理中心提供必要的邊界安全審計(jì)數(shù)據(jù)，利于管理中心進(jìn)行全局管控。對(duì)于能夠與互聯(lián)網(wǎng)實(shí)現(xiàn)連接的網(wǎng)絡(luò)，應(yīng)對(duì)自動(dòng)升級(jí)進(jìn)行準(zhǔn)確配置；對(duì)與不能與互聯(lián)網(wǎng)進(jìn)行連接的網(wǎng)絡(luò)環(huán)境，需采取手動(dòng)下載升級(jí)包的方式進(jìn)行手動(dòng)升級(jí)。VPDN用戶可以經(jīng)過(guò)公共網(wǎng)絡(luò)，通過(guò)虛擬的安全通道和用戶內(nèi)部的用戶網(wǎng)絡(luò)進(jìn)行連接，而公共網(wǎng)絡(luò)上的用戶則無(wú)法穿過(guò)虛擬通道訪問(wèn)用戶網(wǎng)絡(luò)內(nèi)部的資源。在接入域核心路由處并聯(lián)部署網(wǎng)絡(luò)行為監(jiān)控與審計(jì)系統(tǒng)，形成對(duì)全網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測(cè)并進(jìn)行相應(yīng)安全審計(jì)，同時(shí)和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理提供監(jiān)控?cái)?shù)據(jù)用于分析及檢測(cè)。部署無(wú)線接入網(wǎng)關(guān)設(shè)備，采用SSL協(xié)議保證遠(yuǎn)程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)完整性。在集中監(jiān)測(cè)與管理域中建立安全管理中心，是有效幫助管理人員實(shí)施好安全措施的重要保障，是實(shí)現(xiàn)業(yè)務(wù)穩(wěn)定運(yùn)行、長(zhǎng)治久安的基礎(chǔ)。具體集中審計(jì)內(nèi)容包括：l 日志監(jiān)視實(shí)時(shí)監(jiān)視接收到的事件的狀況，如最近日志列表、系統(tǒng)風(fēng)險(xiǎn)狀況等；監(jiān)控事件狀況的同時(shí)也可以監(jiān)控設(shè)備運(yùn)行參數(shù)，以配合確定設(shè)備及網(wǎng)絡(luò)的狀態(tài)；日志監(jiān)視支持以圖形化方式實(shí)時(shí)監(jiān)控日志流量、系統(tǒng)風(fēng)險(xiǎn)等變化趨勢(shì)。l 運(yùn)行異常監(jiān)控安全設(shè)備遇到攻擊，或未授權(quán)終端非法訪問(wèn)資源等情況，會(huì)以告警等信息方式，通知管理員。電信主流的鏈路為CDMA2000 EVDO A版本()，將來(lái)規(guī)劃升級(jí)為CDMA2000 EVDO B版本()。一般采用B/S方式估算，如果同時(shí)在線用戶數(shù)為10*n，對(duì)于B/S類(lèi)應(yīng)用實(shí)際的并發(fā)在線用戶數(shù)可以總用戶數(shù)的1/10計(jì)。對(duì)于授權(quán)訪問(wèn)類(lèi)應(yīng)用，其吞吐量性能與業(yè)務(wù)情況實(shí)時(shí)掛鉤。 安全管理體系設(shè)計(jì)根據(jù)安全管理制度的基本要求制定各類(lèi)管理規(guī)定、管理辦法和暫行規(guī)定。同時(shí)，配合技術(shù)手段，支持采用遠(yuǎn)程終端鎖定、信息銷(xiāo)毀。依據(jù)分類(lèi)分級(jí)控制的原則采用邏輯劃分方式嚴(yán)格將平臺(tái)分成路由接入?yún)^(qū)、移動(dòng)公網(wǎng)、移動(dòng)接入?yún)^(qū)、安全隔離區(qū)和安全監(jiān)測(cè)與管理區(qū)等五個(gè)安全區(qū)域，五個(gè)安全區(qū)域相互協(xié)同工作，以物理層、鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層為控制對(duì)象，逐層保護(hù)經(jīng)過(guò)平臺(tái)的各類(lèi)業(yè)務(wù)的安全接入，使整個(gè)平臺(tái)具有立體的、全方信的防御能力。6) 兼容各種應(yīng)用，硬件設(shè)備和通用協(xié)議兼容內(nèi)網(wǎng)的各種應(yīng)用(B/S，C/S，郵件，虛擬化等應(yīng)用)。8 建設(shè)效果本方案針對(duì)移動(dòng)辦公的安全問(wèn)題，通過(guò)引入統(tǒng)一身份認(rèn)證技術(shù)、安全管理制度等手段，有效滿足了需求，解決了移動(dòng)辦公過(guò)程中的泄密、身份仿冒、病毒傳播等威脅，實(shí)現(xiàn)了多層可信的安全防護(hù)：首先是移動(dòng)訪問(wèn)用戶的認(rèn)證問(wèn)題：在本方案中通過(guò)數(shù)字證書(shū)認(rèn)證手段，確保了遠(yuǎn)程移動(dòng)終端的強(qiáng)身份鑒別，只有確認(rèn)為合法的用戶，方可與總部信息網(wǎng)絡(luò)建立起通訊隧道；解決抵賴(lài)的問(wèn)題：認(rèn)證成功后在移動(dòng)辦公人員進(jìn)行遠(yuǎn)程訪問(wèn)的過(guò)程中，利用其數(shù)字證書(shū)(私鑰)對(duì)其訪問(wèn)數(shù)據(jù)包進(jìn)行加密，相當(dāng)于把身份信息與訪問(wèn)信息整合，從而有效防范抵賴(lài)的現(xiàn)象；遠(yuǎn)程通信過(guò)程中的泄密和數(shù)據(jù)篡改問(wèn)題：利用加密技術(shù)，保障了遠(yuǎn)程通訊過(guò)程中的機(jī)密性和完整性，防止泄密和篡改的攻擊行為；對(duì)于終端的自身安全性，則通過(guò)集中部署的終端管理平臺(tái)，實(shí)現(xiàn)有效的監(jiān)控與審查，同時(shí)終端管理平臺(tái)與部署在總部信息網(wǎng)絡(luò)邊界的防火墻聯(lián)動(dòng)，對(duì)于不符合安全性要求的終端設(shè)備進(jìn)行通知和阻斷，防止那些存在安全隱患的終端直接接入到總部信息網(wǎng)絡(luò)；通過(guò)認(rèn)證技術(shù)和分級(jí)授權(quán)技術(shù)，對(duì)遠(yuǎn)程移動(dòng)辦公人員的訪問(wèn)資源進(jìn)行有效控制，限制合法用戶只能在自己權(quán)限范圍內(nèi)訪問(wèn)總部信息網(wǎng)絡(luò)，防范了越權(quán)訪問(wèn)；此外，除了技術(shù)上的防護(hù)措施，在管理上也要采取一些列的管理手段，重點(diǎn)加強(qiáng)移動(dòng)辦公終端的安全管理制度建設(shè)，管理制度的范圍覆蓋了移動(dòng)終端的全生命周期，從而消除人為因素帶來(lái)的安全隱患。提供對(duì)通用協(xié)議(HTTP，HTTPS，ICA，TCP/UDP)的豐富支持，支持常見(jiàn)的LDAP， Radius等認(rèn)證協(xié)議。PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等。制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對(duì)收發(fā)文進(jìn)行登記。然而，從目前的實(shí)際情況來(lái)看并不存在這樣的必要性：所有業(yè)務(wù)不是馬上就可以一步實(shí)施到位的；不是所有的業(yè)務(wù)都需要準(zhǔn)實(shí)時(shí)交換的，通過(guò)人為的規(guī)劃，可以將各種業(yè)務(wù)按要求進(jìn)行劃分，錯(cuò)開(kāi)時(shí)間高峰以滿足應(yīng)用要求。因此，一個(gè)真千兆的接入鏈路，可承載5000個(gè)用戶的并發(fā)，相當(dāng)于可同時(shí)支撐50000個(gè)用戶。 （2）內(nèi)部鏈路移動(dòng)應(yīng)用安全管理系統(tǒng)的邊界接入域是政務(wù)外網(wǎng)與其它網(wǎng)唯一通道，將來(lái)接入業(yè)務(wù)會(huì)逐漸增加，因此在內(nèi)部鏈路上皆采用千兆鏈路，如用戶有特殊情況/要求，也可建設(shè)百兆鏈路。l 遠(yuǎn)程鎖定基于定制終端操作系統(tǒng)，實(shí)現(xiàn)對(duì)遠(yuǎn)程遺失或非法用戶使用的合法終端進(jìn)行整機(jī)鎖定或資源保護(hù)控制。通過(guò)SNMP、SYSLOG或者其它的日志接口采集管理對(duì)象的日志信息，轉(zhuǎn)換為統(tǒng)一的日志格式，再統(tǒng)一管理、分析、報(bào)警；自動(dòng)完成日志數(shù)據(jù)的格式解析和分類(lèi)；提供日志數(shù)據(jù)的存儲(chǔ)、備份、恢復(fù)、刪除、導(dǎo)入和導(dǎo)出操作等功能。（1）終端證書(shū)管理系統(tǒng)管理員對(duì)于終端進(jìn)行數(shù)字證書(shū)的發(fā)放工作。（5）通信保密性應(yīng)用層的通信保密性主要由應(yīng)用系統(tǒng)完成。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)采用旁路技術(shù)，不用在目標(biāo)終端中安裝任何組件。還可采用其它類(lèi)似的安全接入方式，如專(zhuān)用MPLS VPN等。針對(duì)該平臺(tái)政務(wù)外網(wǎng)邊界接入業(yè)務(wù)狀況，為了保障移動(dòng)應(yīng)用安全管理系統(tǒng)本身、業(yè)務(wù)信息及內(nèi)部業(yè)務(wù)網(wǎng)等的安全，采用適度安全原則，對(duì)接入用戶終端到移動(dòng)應(yīng)用安全管理系統(tǒng)（外部鏈路）和移動(dòng)應(yīng)用安全管理系統(tǒng)內(nèi)部（內(nèi)部鏈路）的物理鏈路進(jìn)行分別設(shè)計(jì)。l 用戶行為審計(jì)，即用戶信息、訪問(wèn)的資源、訪問(wèn)的時(shí)間等；l 業(yè)務(wù)對(duì)象訪問(wèn)審計(jì)，即應(yīng)用系統(tǒng)信息，數(shù)據(jù)傳輸流量、傳輸時(shí)間、傳輸單位等；l 異常行為審計(jì)等；按時(shí)間段、應(yīng)用系統(tǒng)、用戶單位分析統(tǒng)計(jì)用戶行為、業(yè)務(wù)應(yīng)用系統(tǒng)的異常行為。將IPS串接在防火墻后面，核心服務(wù)器區(qū)的前面，在防火墻進(jìn)行訪問(wèn)控制，保證了訪問(wèn)的合法性之后，IPS動(dòng)態(tài)的進(jìn)行入侵行為的保護(hù)，對(duì)訪問(wèn)狀態(tài)進(jìn)行檢測(cè)、對(duì)通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測(cè)、對(duì)內(nèi)容