【文章內(nèi)容簡(jiǎn)介】 界接入平臺(tái)。按照邊界安全接入的規(guī)范要求，采取區(qū)分鏈路安全防御的方法，構(gòu)建集邊界保護(hù)、身份認(rèn)證、應(yīng)用安全、安全隔離等功能的邊界接入平臺(tái)，在確保邊界接入安全的前提下，建立政務(wù)網(wǎng)與外網(wǎng)的網(wǎng)絡(luò)安全通道，為有關(guān)機(jī)關(guān)及部門提供安全的網(wǎng)絡(luò)接入服務(wù)。二是建設(shè)邊界接入平臺(tái)監(jiān)控和管理系統(tǒng)。按照統(tǒng)一接入管理、統(tǒng)一應(yīng)用審計(jì)、統(tǒng)一運(yùn)行監(jiān)控、統(tǒng)一策略部署的策略，建設(shè)邊界接入平臺(tái)的集中監(jiān)控和審計(jì)系統(tǒng)，以加強(qiáng)對(duì)外部接入及數(shù)據(jù)交換情況進(jìn)行審計(jì)，并對(duì)平臺(tái)的運(yùn)維提供服務(wù)。監(jiān)控和管理系統(tǒng)支持總局/省局結(jié)構(gòu)的上下層接入平臺(tái)。接入平臺(tái)的監(jiān)控和管理系統(tǒng)主要功能分為兩部分：接入平臺(tái)自身的安全監(jiān)控管理功能和接入平臺(tái)級(jí)聯(lián)服務(wù)功能。 三是建立相應(yīng)的運(yùn)行維護(hù)和管理工作機(jī)制。在建設(shè)邊界接入平臺(tái)的同時(shí)，建立系統(tǒng)平臺(tái)的日常運(yùn)行維護(hù)和管理工作機(jī)制，通過規(guī)范接入配置、規(guī)范安全監(jiān)控、規(guī)范運(yùn)行處置等工作，保障系統(tǒng)平臺(tái)正常運(yùn)行。 安全技術(shù)體系設(shè)計(jì)整體安全技術(shù)體系分為終端環(huán)境、通訊網(wǎng)絡(luò)、邊界接入三個(gè)大部分，下文按照整體設(shè)計(jì)框架，對(duì)三大部分進(jìn)行詳細(xì)闡述。（1）系統(tǒng)加固操作系統(tǒng)安全：對(duì)移動(dòng)終端自身的操作系統(tǒng)進(jìn)行安全加固措施；一致性校驗(yàn)：系統(tǒng)啟動(dòng)后對(duì)操作系統(tǒng)裝載器、內(nèi)核、硬件配置、關(guān)鍵應(yīng)用和配置信息等進(jìn)行驗(yàn)證，確保引導(dǎo)過程中各部件的完整性，一致性，使終端按照經(jīng)過嚴(yán)格驗(yàn)證的方式進(jìn)行引導(dǎo)；接口監(jiān)控：實(shí)現(xiàn)對(duì)移動(dòng)終端輸入、輸出接口進(jìn)行分類，對(duì)各個(gè)物理接口進(jìn)行接入安全控制，如數(shù)據(jù)口等；移動(dòng)終端應(yīng)能夠與智能卡安全的進(jìn)行信息交互。 （2）身份標(biāo)識(shí)為了保證信息源的真實(shí)性，對(duì)終端設(shè)備進(jìn)行標(biāo)識(shí)，具體為以下幾種措施：采用由權(quán)威中心為終端集成數(shù)字證書方式；采用安全介質(zhì)（TF卡）作為數(shù)字證書的存儲(chǔ)介質(zhì)；通過對(duì)安全介質(zhì)及數(shù)字證書的全生命周期管理，實(shí)現(xiàn)對(duì)該設(shè)備的可控管理；實(shí)現(xiàn)TF卡號(hào)+SIM卡+終端設(shè)備號(hào)的三號(hào)綁定實(shí)現(xiàn)對(duì)該設(shè)備全網(wǎng)身份唯一標(biāo)識(shí)，確保接入終端的可信性。（3）身份鑒別為提高系統(tǒng)安全性，保障各種應(yīng)用的正常運(yùn)行，對(duì)終端需要進(jìn)行一系列的加固措施，包括：對(duì)登錄終端操作系統(tǒng)的用戶進(jìn)行可信識(shí)別；按照系統(tǒng)的特性，采用混合模式，結(jié)合圖形及數(shù)字口令的混合模式并定期更換；對(duì)登錄TF卡用戶采取使用基于數(shù)字簽名+口令的可信憑證認(rèn)證；啟用登陸失敗處理功能，登陸失敗后，必須基于自身安全特性配置結(jié)束會(huì)話、限制非法登錄次數(shù)等措施。（4）訪問控制訪問控制主要是通過基于系統(tǒng)的程序鎖機(jī)制，對(duì)移動(dòng)接入資源的授權(quán)訪問，避免越權(quán)非法使用。主要途徑：所有專用程序均集成在TF卡內(nèi)，確保敏感資源的統(tǒng)一管理；對(duì)訪問TF卡內(nèi)的資源進(jìn)行口令認(rèn)證，確保所有訪問敏感資源可控；（5）入侵防范針對(duì)終端的入侵防范，基于現(xiàn)有移動(dòng)終端技術(shù)，可以部署終端系統(tǒng)安全性掃描軟件進(jìn)行系統(tǒng)安全性檢測(cè)。（6）終端惡意代碼防范各類惡意代碼尤其是病毒、木馬等是對(duì)移動(dòng)應(yīng)用安全管理系統(tǒng)的重大危害，針對(duì)病毒的風(fēng)險(xiǎn)，我們建議重點(diǎn)是將病毒消滅或封堵在終端這個(gè)源頭上。所以，在所有終端上部署基于系統(tǒng)防病毒系統(tǒng)，加強(qiáng)終端的病毒防護(hù)能力并及時(shí)升級(jí)惡意代碼軟件版本以及惡意代碼庫(kù)。同時(shí)，防毒系統(tǒng)可以為終端提供關(guān)于病毒威脅和事件的監(jiān)控、審計(jì)日志，為終端的病毒防護(hù)管理提供必要的信息。（7）數(shù)據(jù)加密為了保證業(yè)務(wù)數(shù)據(jù)流及緩存數(shù)據(jù)的安全性，提供對(duì)于敏感數(shù)據(jù)的保護(hù)措施：所有專用程序涉及的數(shù)據(jù)均存儲(chǔ)在TF卡內(nèi)，確保敏感資源的統(tǒng)一存儲(chǔ)；采用非對(duì)稱密鑰體系，使用數(shù)字證書對(duì)需要進(jìn)行保護(hù)的數(shù)據(jù)進(jìn)行算法加密。（8）數(shù)據(jù)完整性與保密性目前，移動(dòng)應(yīng)用安全管理系統(tǒng)中傳輸?shù)男畔⒅饕侵匾臄?shù)據(jù)，對(duì)信息完整性校驗(yàn)提出了一定的需求，特別是通過互聯(lián)網(wǎng)遠(yuǎn)程接入業(yè)務(wù)內(nèi)網(wǎng)傳遞數(shù)據(jù)的私密性有很高的要求。此次設(shè)計(jì)，采用無線接入網(wǎng)關(guān)設(shè)備，通過專用終端客戶端，采用SSL方式，基于移動(dòng)身份證書實(shí)現(xiàn)邊界與移動(dòng)終端之間的雙向認(rèn)證，結(jié)合通訊網(wǎng)絡(luò)自身的安全措施，保證使用移動(dòng)公網(wǎng)傳輸信息的機(jī)密性、完整性和不可抵賴性。（1）邊界可信接入為提高移動(dòng)終端接入業(yè)務(wù)內(nèi)網(wǎng)的可信力，需要對(duì)接入邊界的所有用戶及終端進(jìn)行統(tǒng)一有效的唯一性校驗(yàn)：采用終端植入數(shù)字證書的方式，對(duì)登錄用戶進(jìn)行身份標(biāo)識(shí)，且保證終端設(shè)備與用戶的綁定關(guān)系；采用無線接入網(wǎng)關(guān)設(shè)備對(duì)接入請(qǐng)求進(jìn)行基于TF卡+數(shù)字證書+設(shè)備號(hào)的三維身份鑒別；基于全網(wǎng)統(tǒng)一的策略對(duì)接入終端進(jìn)行可信識(shí)別；啟用登陸失敗處理功能，登陸失敗后采取結(jié)束會(huì)話、限制非法登錄次數(shù)和自動(dòng)退出等措施。（2）邊界訪問控制l 網(wǎng)絡(luò)資源訪問控制邊界接入域與業(yè)務(wù)域間、邊界接入域與互聯(lián)網(wǎng)區(qū)域間，在網(wǎng)絡(luò)層部署防火墻產(chǎn)品進(jìn)行訪問控制，通過對(duì)所有流經(jīng)防火墻的數(shù)據(jù)包按照嚴(yán)格的安全規(guī)則進(jìn)行過濾，將所有不安全的或不符合安全規(guī)則的數(shù)據(jù)包屏蔽，杜絕越權(quán)訪問，防止各類非法攻擊行為。l 設(shè)置只有經(jīng)過適配的應(yīng)用協(xié)議才能通過防火墻，同時(shí)可以保護(hù)網(wǎng)絡(luò)免受基于路由的攻擊，如IP選項(xiàng)中的源路由攻擊和ICMP重定向中的重定向路徑。防火墻可以拒絕所有以上類型攻擊的報(bào)文并通知防火墻管理員。l 通過以防火墻為中心的安全方案配置，能將所有安全軟件（如口令、加密、身份認(rèn)證、審計(jì)等）配置在防火墻上。與將網(wǎng)絡(luò)安全問題分散到各個(gè)終端上相比，防火墻的集中安全管理更經(jīng)濟(jì)。l 在實(shí)現(xiàn)精準(zhǔn)訪問控制與邊界隔離防護(hù)基礎(chǔ)上，實(shí)現(xiàn)阻止由于病毒或者P2P軟件引起的異常流量、進(jìn)行精確的流量控制等。對(duì)各級(jí)節(jié)點(diǎn)功能域?qū)崿F(xiàn)全面的邊界防護(hù)，嚴(yán)格控制節(jié)點(diǎn)之間的網(wǎng)絡(luò)數(shù)據(jù)流。l 應(yīng)用資源訪問控制終端訪問控制主要控制終端客體對(duì)業(yè)務(wù)內(nèi)網(wǎng)中的網(wǎng)絡(luò)域、應(yīng)用系統(tǒng)等資源的訪問，避免越權(quán)非法用。此次設(shè)計(jì)采用無線認(rèn)證網(wǎng)關(guān)、邊界接入網(wǎng)關(guān)，對(duì)用戶訪問的資源進(jìn)行訪問控制，對(duì)違規(guī)行為進(jìn)行報(bào)警和阻斷，訪問控制采用基于角色的配置策略，遵循業(yè)務(wù)相關(guān)和屬地化的白名單原則，對(duì)于B/S應(yīng)用基于URL過濾形式進(jìn)行訪問控制，對(duì)于B/S和C/S相結(jié)合的應(yīng)用，基于URL和IP/端口相結(jié)合的形式進(jìn)行訪問控制。啟用訪問控制功能：制定嚴(yán)格的訪問控制安全策略，根據(jù)策略控制用戶對(duì)應(yīng)用系統(tǒng)的訪問，特別是應(yīng)用對(duì)象、URL等，控制粒度主體為用戶級(jí)、客體為訪問路徑。權(quán)限控制：對(duì)于制定的訪問控制規(guī)則要能清楚的覆蓋資源訪問相關(guān)的主體、客體及它們之間的操作。對(duì)于不同的用戶授權(quán)原則是進(jìn)行能夠完成工作的最小化授權(quán)，避免授權(quán)范圍過大，并在它們之間形成相互制約的關(guān)系。（3）邊界入侵防御在各區(qū)域邊界，防火墻起到了協(xié)議過濾的主要作用，根據(jù)安全策略偏重在網(wǎng)絡(luò)層判斷數(shù)據(jù)包的合法流動(dòng)。但面對(duì)越來越廣泛的基于應(yīng)用層內(nèi)容的攻擊行為，防火墻并不擅長(zhǎng)處理應(yīng)用層數(shù)據(jù)。在移動(dòng)應(yīng)用安全管理系統(tǒng)網(wǎng)絡(luò)邊界區(qū)域均已經(jīng)設(shè)計(jì)部署了防火墻，對(duì)每個(gè)功能域進(jìn)行嚴(yán)格的訪問控制。鑒于以上對(duì)防火墻核心作用的分析，需要其他具備檢測(cè)新型的混合攻擊和防護(hù)的能力的設(shè)備和防火墻配合，共同防御來自應(yīng)用層到網(wǎng)絡(luò)層的多種攻擊類型，建立一整套的安全防護(hù)體系，進(jìn)行多層次、多手段的檢測(cè)和防護(hù)。入侵防護(hù)系統(tǒng)（IPS）就是安全防護(hù)體系中重要的一環(huán)，它能夠及時(shí)識(shí)別網(wǎng)絡(luò)中發(fā)生的入侵行為并實(shí)時(shí)報(bào)警并且進(jìn)行有效攔截防護(hù)。IPS是繼“防火墻”、“信息加密”等傳統(tǒng)安全保護(hù)方法之后的新一代安全保障技術(shù)。它監(jiān)視計(jì)算機(jī)系統(tǒng)或網(wǎng)絡(luò)中發(fā)生的事件，并對(duì)它們進(jìn)行分析，以尋找危及信息的機(jī)密性、完整性、可用性或試圖繞過安全機(jī)制的入侵行為并進(jìn)行有效攔截。IPS就是自動(dòng)執(zhí)行這種監(jiān)視和分析過程，并且執(zhí)行阻斷的硬件產(chǎn)品。將IPS串接在防火墻后面，核心服務(wù)器區(qū)的前面，在防火墻進(jìn)行訪問控制，保證了訪問的合法性之后，IPS動(dòng)態(tài)的進(jìn)行入侵行為的保護(hù)，對(duì)訪問狀態(tài)進(jìn)行檢測(cè)、對(duì)通信協(xié)議和應(yīng)用協(xié)議進(jìn)行檢測(cè)、對(duì)內(nèi)容進(jìn)行深度的檢測(cè)。阻斷來自內(nèi)部的數(shù)據(jù)攻擊以及垃圾數(shù)據(jù)流的泛濫。由于IPS對(duì)訪問進(jìn)行深度的檢測(cè)，因此，IPS產(chǎn)品需要通過先進(jìn)的硬件架構(gòu)、軟件架構(gòu)和處理引擎對(duì)處理能力進(jìn)行充分保證。（4）邊界安全審計(jì)各安全區(qū)域邊界已經(jīng)部署了相應(yīng)的安全設(shè)備負(fù)責(zé)進(jìn)行區(qū)域邊界的安全。對(duì)于流經(jīng)各主要邊界（重要服務(wù)器區(qū)域、外部連接邊界）需要設(shè)置必要的審計(jì)機(jī)制，進(jìn)行數(shù)據(jù)監(jiān)視并記錄各類操作，通過審計(jì)分析能夠發(fā)現(xiàn)跨區(qū)域的安全威脅，實(shí)時(shí)地綜合分析出網(wǎng)絡(luò)中發(fā)生的安全事件。一般可采取開啟邊界安全設(shè)備的審計(jì)功能模塊，根據(jù)審計(jì)策略進(jìn)行數(shù)據(jù)的日志記錄與審計(jì)。同時(shí)審計(jì)信息要通過安全管理中心進(jìn)行統(tǒng)一集中管理，為安全管理中心提供必要的邊界安全審計(jì)數(shù)據(jù)，利于管理中心進(jìn)行全局管控。以終端、用戶、業(yè)務(wù)應(yīng)用系統(tǒng)為對(duì)象的安全審計(jì)，以及對(duì)異常事件的追蹤。l 用戶行為審計(jì)，即用戶信息、訪問的資源、訪問的時(shí)間等；l 業(yè)務(wù)對(duì)象訪問審計(jì)，即應(yīng)用系統(tǒng)信息，數(shù)據(jù)傳輸流量、傳輸時(shí)間、傳輸單位等；l 異常行為審計(jì)等；按時(shí)間段、應(yīng)用系統(tǒng)、用戶單位分析統(tǒng)計(jì)用戶行為、業(yè)務(wù)應(yīng)用系統(tǒng)的異常行為。（5）邊界惡意代碼防范在移動(dòng)應(yīng)用安全管理系統(tǒng)接入邊界部署防病毒網(wǎng)關(guān)，采用透明接入方式，在最接近病毒發(fā)生源安全邊界處進(jìn)行集中防護(hù)，對(duì)夾雜在網(wǎng)絡(luò)交換數(shù)據(jù)中的各類網(wǎng)絡(luò)病毒進(jìn)行過濾，可以對(duì)網(wǎng)絡(luò)病毒、蠕蟲、混合攻擊、端口掃描、間諜軟件、P2P軟件帶寬濫用等各種廣義病毒進(jìn)行全面的攔截。阻止病毒通過網(wǎng)絡(luò)的快速擴(kuò)散，將經(jīng)網(wǎng)絡(luò)傳播的病毒阻擋在外，可以有效防止病毒從其他區(qū)域傳播到內(nèi)部其他功能域中。通過部署AV防病毒網(wǎng)關(guān)（防毒墻），截?cái)嗔瞬《就ㄟ^網(wǎng)絡(luò)傳播的途徑，凈化了網(wǎng)絡(luò)流量。為使得達(dá)到最佳防毒效果，AV防病毒網(wǎng)關(guān)設(shè)備和終端防病毒軟件應(yīng)為不同的廠家產(chǎn)品，兩類病毒防護(hù)產(chǎn)品共同組成移