【正文】 8 建設(shè)效果本方案針對(duì)移動(dòng)辦公的安全問題，通過引入統(tǒng)一身份認(rèn)證技術(shù)、安全管理制度等手段，有效滿足了需求，解決了移動(dòng)辦公過程中的泄密、身份仿冒、病毒傳播等威脅，實(shí)現(xiàn)了多層可信的安全防護(hù)：首先是移動(dòng)訪問用戶的認(rèn)證問題：在本方案中通過數(shù)字證書認(rèn)證手段，確保了遠(yuǎn)程移動(dòng)終端的強(qiáng)身份鑒別，只有確認(rèn)為合法的用戶，方可與總部信息網(wǎng)絡(luò)建立起通訊隧道；解決抵賴的問題：認(rèn)證成功后在移動(dòng)辦公人員進(jìn)行遠(yuǎn)程訪問的過程中，利用其數(shù)字證書(私鑰)對(duì)其訪問數(shù)據(jù)包進(jìn)行加密，相當(dāng)于把身份信息與訪問信息整合，從而有效防范抵賴的現(xiàn)象；遠(yuǎn)程通信過程中的泄密和數(shù)據(jù)篡改問題：利用加密技術(shù)，保障了遠(yuǎn)程通訊過程中的機(jī)密性和完整性，防止泄密和篡改的攻擊行為；對(duì)于終端的自身安全性，則通過集中部署的終端管理平臺(tái)，實(shí)現(xiàn)有效的監(jiān)控與審查，同時(shí)終端管理平臺(tái)與部署在總部信息網(wǎng)絡(luò)邊界的防火墻聯(lián)動(dòng)，對(duì)于不符合安全性要求的終端設(shè)備進(jìn)行通知和阻斷，防止那些存在安全隱患的終端直接接入到總部信息網(wǎng)絡(luò)；通過認(rèn)證技術(shù)和分級(jí)授權(quán)技術(shù)，對(duì)遠(yuǎn)程移動(dòng)辦公人員的訪問資源進(jìn)行有效控制，限制合法用戶只能在自己權(quán)限范圍內(nèi)訪問總部信息網(wǎng)絡(luò)，防范了越權(quán)訪問；此外，除了技術(shù)上的防護(hù)措施，在管理上也要采取一些列的管理手段，重點(diǎn)加強(qiáng)移動(dòng)辦公終端的安全管理制度建設(shè)，管理制度的范圍覆蓋了移動(dòng)終端的全生命周期，從而消除人為因素帶來的安全隱患。移動(dòng)終端安全通道接入接口，為第三方應(yīng)用提供內(nèi)網(wǎng)安全接入通道。支持HTC，Motorola，Huawei，ZTE等廠商的移動(dòng)設(shè)備。提供對(duì)通用協(xié)議(HTTP，HTTPS，ICA，TCP/UDP)的豐富支持，支持常見的LDAP， Radius等認(rèn)證協(xié)議。6) 兼容各種應(yīng)用，硬件設(shè)備和通用協(xié)議兼容內(nèi)網(wǎng)的各種應(yīng)用(B/S，C/S，郵件，虛擬化等應(yīng)用)。4) 基于身份認(rèn)證的內(nèi)網(wǎng)準(zhǔn)入機(jī)制提供靈活，足夠安全的身份認(rèn)證和管理體系，保障內(nèi)網(wǎng)的接入安全，確保內(nèi)網(wǎng)的信息和數(shù)據(jù)不被非法訪問和使用。3) 基于國(guó)密，兼容其它國(guó)際標(biāo)準(zhǔn)的加解密核心引擎采用國(guó)密作為加解密的核心引擎，既可以為用戶提供足夠強(qiáng)度的安全保護(hù)，也滿足國(guó)內(nèi)的相關(guān)政策審核規(guī)定。PKI技術(shù)是信息安全技術(shù)的核心，也是電子商務(wù)的關(guān)鍵和基礎(chǔ)技術(shù)。依據(jù)分類分級(jí)控制的原則采用邏輯劃分方式嚴(yán)格將平臺(tái)分成路由接入?yún)^(qū)、移動(dòng)公網(wǎng)、移動(dòng)接入?yún)^(qū)、安全隔離區(qū)和安全監(jiān)測(cè)與管理區(qū)等五個(gè)安全區(qū)域，五個(gè)安全區(qū)域相互協(xié)同工作，以物理層、鏈路層、網(wǎng)絡(luò)層、傳輸層、應(yīng)用層為控制對(duì)象，逐層保護(hù)經(jīng)過平臺(tái)的各類業(yè)務(wù)的安全接入，使整個(gè)平臺(tái)具有立體的、全方信的防御能力。在外部網(wǎng)絡(luò)接入業(yè)務(wù)上，支持移動(dòng)智能手機(jī)和PAD接入接入等多種終端的安全接入，為移動(dòng)辦公系統(tǒng)提供了一個(gè)功能較為完善的平臺(tái)。 6 方案特點(diǎn)擴(kuò)展性方案的擴(kuò)展性在對(duì)邊界接入的擴(kuò)展、對(duì)應(yīng)用種類的擴(kuò)展、對(duì)性能的擴(kuò)展和對(duì)功能的擴(kuò)展上等方面得到了很好地體現(xiàn)。建立授權(quán)與審批制度；建立內(nèi)外部溝通合作渠道；定期進(jìn)行全面安全檢查，特別是系統(tǒng)日常運(yùn)行、系統(tǒng)漏洞和數(shù)據(jù)備份等。同時(shí)，配合技術(shù)手段，支持采用遠(yuǎn)程終端鎖定、信息銷毀。領(lǐng)用管理必須在工作時(shí)間登記領(lǐng)出、工作完畢交還管理部門，及時(shí)進(jìn)行作業(yè)數(shù)據(jù)同步，提交作業(yè)完成數(shù)據(jù)。可以考慮從以下幾個(gè)方面進(jìn)行規(guī)范管理：登記管理對(duì)每個(gè)移動(dòng)終端應(yīng)進(jìn)行嚴(yán)格的檔案登記，并以技術(shù)和管理手段加強(qiáng)管理。制定嚴(yán)格的制定與發(fā)布流程，方式，范圍等，制度需要統(tǒng)一格式并進(jìn)行有效版本控制；發(fā)布方式需要正式、有效并注明發(fā)布范圍，對(duì)收發(fā)文進(jìn)行登記。 安全管理體系設(shè)計(jì)根據(jù)安全管理制度的基本要求制定各類管理規(guī)定、管理辦法和暫行規(guī)定。l 然后雙方利用密鑰協(xié)商機(jī)制，采用國(guó)家密碼管理局批準(zhǔn)的專用加密算法，建立安全的數(shù)據(jù)加密傳輸通道。 業(yè)務(wù)流程設(shè)計(jì)移動(dòng)終端在線接入安全方案如下圖所示：l 移動(dòng)終端首先與移動(dòng)運(yùn)營(yíng)商建立無線接入通道，再通過此通道與信息網(wǎng)連接。然而，從目前的實(shí)際情況來看并不存在這樣的必要性：所有業(yè)務(wù)不是馬上就可以一步實(shí)施到位的；不是所有的業(yè)務(wù)都需要準(zhǔn)實(shí)時(shí)交換的，通過人為的規(guī)劃，可以將各種業(yè)務(wù)按要求進(jìn)行劃分，錯(cuò)開時(shí)間高峰以滿足應(yīng)用要求。對(duì)于授權(quán)訪問類應(yīng)用，其吞吐量性能與業(yè)務(wù)情況實(shí)時(shí)掛鉤。在進(jìn)行設(shè)備選型時(shí)，設(shè)備的性能參數(shù)的最高值必須在這個(gè)值左右或以上，這是因?yàn)樵O(shè)備的性能參數(shù)是在實(shí)驗(yàn)室環(huán)境下測(cè)出來的，在實(shí)際工作環(huán)境中不可能達(dá)到。從鏈路帶寬的分析中可知，真千兆的同時(shí)并發(fā)業(yè)務(wù)數(shù)極限為5000。因此，一個(gè)真千兆的接入鏈路，可承載5000個(gè)用戶的并發(fā)，相當(dāng)于可同時(shí)支撐50000個(gè)用戶。一般采用B/S方式估算，如果同時(shí)在線用戶數(shù)為10*n，對(duì)于B/S類應(yīng)用實(shí)際的并發(fā)在線用戶數(shù)可以總用戶數(shù)的1/10計(jì)。接入的應(yīng)用可分為面向長(zhǎng)連接的和不面向長(zhǎng)連接的。以滿足將來的業(yè)務(wù)擴(kuò)展和升級(jí)，保護(hù)投資。 （2）內(nèi)部鏈路移動(dòng)應(yīng)用安全管理系統(tǒng)的邊界接入域是政務(wù)外網(wǎng)與其它網(wǎng)唯一通道，將來接入業(yè)務(wù)會(huì)逐漸增加，因此在內(nèi)部鏈路上皆采用千兆鏈路，如用戶有特殊情況/要求，也可建設(shè)百兆鏈路。電信主流的鏈路為CDMA2000 EVDO A版本()，將來規(guī)劃升級(jí)為CDMA2000 EVDO B版本()。（1）外部鏈路由于外部所有的信息傳輸都經(jīng)過加密，因此對(duì)終端接入的帶寬要求比普通的無線網(wǎng)絡(luò)接入要高。在性能設(shè)計(jì)上主要體現(xiàn)在平臺(tái)鏈路帶寬、在線/并發(fā)用戶數(shù)和網(wǎng)絡(luò)吞吐量等方面。l 遠(yuǎn)程鎖定基于定制終端操作系統(tǒng)，實(shí)現(xiàn)對(duì)遠(yuǎn)程遺失或非法用戶使用的合法終端進(jìn)行整機(jī)鎖定或資源保護(hù)控制。l 運(yùn)行異常監(jiān)控安全設(shè)備遇到攻擊，或未授權(quán)終端非法訪問資源等情況，會(huì)以告警等信息方式，通知管理員?？稍O(shè)定定時(shí)生成日志統(tǒng)計(jì)報(bào)表，并自動(dòng)保存以備審閱或自動(dòng)通過郵件發(fā)送給指定收件人，實(shí)現(xiàn)對(duì)安全審計(jì)的流程化處理。l 審計(jì)分析集中審計(jì)可綜合各種安全設(shè)備的安全事件，以統(tǒng)一的審計(jì)結(jié)果向用戶提供可定制的報(bào)表，全面反映網(wǎng)絡(luò)安全總體狀況，重點(diǎn)突出，簡(jiǎn)單易懂。通過SNMP、SYSLOG或者其它的日志接口采集管理對(duì)象的日志信息，轉(zhuǎn)換為統(tǒng)一的日志格式，再統(tǒng)一管理、分析、報(bào)警；自動(dòng)完成日志數(shù)據(jù)的格式解析和分類；提供日志數(shù)據(jù)的存儲(chǔ)、備份、恢復(fù)、刪除、導(dǎo)入和導(dǎo)出操作等功能。具體集中審計(jì)內(nèi)容包括：l 日志監(jiān)視實(shí)時(shí)監(jiān)視接收到的事件的狀況，如最近日志列表、系統(tǒng)風(fēng)險(xiǎn)狀況等；監(jiān)控事件狀況的同時(shí)也可以監(jiān)控設(shè)備運(yùn)行參數(shù)，以配合確定設(shè)備及網(wǎng)絡(luò)的狀態(tài)；日志監(jiān)視支持以圖形化方式實(shí)時(shí)監(jiān)控日志流量、系統(tǒng)風(fēng)險(xiǎn)等變化趨勢(shì)。（4）統(tǒng)一審計(jì)監(jiān)控統(tǒng)一審計(jì)監(jiān)控系統(tǒng)主要根據(jù)接入平臺(tái)以及業(yè)務(wù)注冊(cè)過程中配置的安全策略提供安全管理功能。（3）授權(quán)策略管理l 鑒別策略管理：提供終端鑒別策略，驗(yàn)證策略包括驗(yàn)證證書名、驗(yàn)證內(nèi)部編號(hào)、驗(yàn)證手機(jī)號(hào)、驗(yàn)證TF卡號(hào)、驗(yàn)證SIM卡號(hào)、驗(yàn)證IMEI號(hào)、驗(yàn)證組織機(jī)構(gòu)等信息l 監(jiān)控策略管理：提供終端監(jiān)控策略，包括是否監(jiān)控、監(jiān)控對(duì)象、監(jiān)控內(nèi)容等。（1）終端證書管理系統(tǒng)管理員對(duì)于終端進(jìn)行數(shù)字證書的發(fā)放工作。在集中監(jiān)測(cè)與管理域中建立安全管理中心，是有效幫助管理人員實(shí)施好安全措施的重要保障，是實(shí)現(xiàn)業(yè)務(wù)穩(wěn)定運(yùn)行、長(zhǎng)治久安的基礎(chǔ)。由于所有終端覆蓋面廣，用戶眾多，技術(shù)人員水平不一。對(duì)于信息傳輸?shù)耐ㄐ疟Ｃ苄詰?yīng)由傳輸加密系統(tǒng)完成。（5）通信保密性應(yīng)用層的通信保密性主要由應(yīng)用系統(tǒng)完成。部署無線接入網(wǎng)關(guān)設(shè)備，采用SSL協(xié)議保證遠(yuǎn)程數(shù)據(jù)傳輸?shù)臄?shù)據(jù)完整性。對(duì)于信息傳輸和存儲(chǔ)的完整性校驗(yàn)可以采用的技術(shù)包括校驗(yàn)碼技術(shù)、消息鑒別碼、密碼校驗(yàn)函數(shù)、散列函數(shù)、數(shù)字簽名等。（3）網(wǎng)絡(luò)設(shè)備防護(hù)為提高網(wǎng)絡(luò)設(shè)備的自身安全性，保障各種網(wǎng)絡(luò)應(yīng)用的正常運(yùn)行，對(duì)網(wǎng)絡(luò)設(shè)備需要進(jìn)行一系列的加固措施，包括：l 對(duì)登錄網(wǎng)絡(luò)設(shè)備的用戶進(jìn)行身份鑒別，用戶名必須唯一；l 對(duì)網(wǎng)絡(luò)設(shè)備的管理員登錄地址進(jìn)行限制；l 身份鑒別信息具有不易被冒用的特點(diǎn)，口令設(shè)置需3種以上字符、長(zhǎng)度不少于8位，并定期更換；l 具有登錄失敗處理功能，失敗后采取結(jié)束會(huì)話、限制非法登錄次數(shù)和當(dāng)網(wǎng)絡(luò)登錄連接超時(shí)自動(dòng)退出等措施；l 啟用SSH等管理方式，加密管理數(shù)據(jù)，防止被網(wǎng)絡(luò)竊聽。網(wǎng)絡(luò)行為監(jiān)控和審計(jì)系統(tǒng)采用旁路技術(shù)，不用在目標(biāo)終端中安裝任何組件。在接入域核心路由處并聯(lián)部署網(wǎng)絡(luò)行為監(jiān)控與審計(jì)系統(tǒng)，形成對(duì)全網(wǎng)網(wǎng)絡(luò)數(shù)據(jù)的流量監(jiān)測(cè)并進(jìn)行相應(yīng)安全審計(jì)，同時(shí)和其它網(wǎng)絡(luò)安全設(shè)備共同為集中安全管理提供監(jiān)控?cái)?shù)據(jù)用于分析及檢測(cè)。l 內(nèi)部鏈路目前移動(dòng)應(yīng)用安全管理系統(tǒng)處于規(guī)劃階段，內(nèi)部業(yè)務(wù)來源單一、終端用戶統(tǒng)一，但是考慮到訪問量的巨大壓力，在內(nèi)部物理鏈路上采用多安全級(jí)別鏈路的方式進(jìn)行規(guī)劃。在此，需要說明的是ADSL + VPN這種接入方式不符合外部接入安全要求。還可采用其它類似的安全接入方式，如專用MPLS VPN等。VPDN用戶可以經(jīng)過公共網(wǎng)絡(luò)，通過虛擬的安全通道和用戶內(nèi)部的用戶網(wǎng)絡(luò)進(jìn)行連接，而公共網(wǎng)絡(luò)上的用戶則無法穿過虛擬通道訪問用戶網(wǎng)絡(luò)內(nèi)部的資源。例如專用接入點(diǎn)。為了保障接入終端本身的安全、信息在外部鏈路上傳輸?shù)陌踩捌脚_(tái)本身的安全，外部接入鏈路采用安全專線方式和VPDN方式。針對(duì)該平臺(tái)政務(wù)外網(wǎng)邊界接入業(yè)務(wù)狀況，為了保障移動(dòng)應(yīng)用安全管理系統(tǒng)本身、業(yè)務(wù)信息及內(nèi)部業(yè)務(wù)網(wǎng)等的安全，采用適度安全原則，對(duì)接入用戶終端到移動(dòng)應(yīng)用安全管理系統(tǒng)（外部鏈路）和移動(dòng)應(yīng)用安全管理系統(tǒng)內(nèi)部（內(nèi)部鏈路）的物理鏈路進(jìn)行分別設(shè)計(jì)。對(duì)于能夠與互聯(lián)網(wǎng)實(shí)現(xiàn)連接的網(wǎng)絡(luò)，應(yīng)對(duì)自動(dòng)升級(jí)進(jìn)行準(zhǔn)確配置；對(duì)與不能與互聯(lián)網(wǎng)