企業級移動應用信息安全研究與構建

【摘要】 本文系統分析了企業級移動應用的信息安全風險，結合信息安全管控要求，提出一種企業級移動應用安全架構，從物理安全、網絡安全、系統安全、應用安全、安全監管等5個領域闡述了移動信息安全技術方案和保障策略，有效地解決了企業級移動應用安全管理的普適性、可擴展性和安全性等問題。

【關鍵詞】 企業級 移動應用 信息安全

一、引言

隨著移動應用外部環境逐步成熟，結合移動終端應用具備移動便攜性和強大野外作業特性，企業級移動應用需求也在迅猛增長，大量的企業核心應用逐步開始移動化，如電力行業中的線路巡檢、移動抄表、設備巡視、物資盤點等等，為企業業務運行和經營管理提供了方便、快捷、高效的服務[1]。

然而由于移動應用涉及到種類繁多的終端系統、復雜的移動業務應用模式和管理要求，因而帶來了大量信息安全管理等問題，盡管在移動終端安全接入方面管理方面開展一些嘗試，如在各級網絡邊界設置防火墻等、對外界接入進行識別和認證，以防止非法數據入侵等[2-4]，但是這些技術措施只是規定了移動終端接入方面的安全，而對終端設備本身、數據傳輸交換、系統保護、行為監控、病毒防衛等方面卻沒有明確的統一規范及保護手段。信息安全是企業級移動應用的發展的重要前提，因此構建企業級移動信息安全體系并付諸于實踐應用已是迫在眉睫。

二、企業級移動應用信息安全體系

2.1研究思路

為了克服企業級移動應用面臨的各類安全問題，降低安全威脅，本文認為移動應用安全體系應從硬件、軟件結構入手，結合移動互聯網特征，設計企業級移動應用安全技術架構及安全規范、制定一系列安全防護策略來保證移動應用的安全可靠。

2.2企業級移動應用安全體系

在充分分析企業級移動應用信息化的建設現狀和安全需求基礎上，根據國家等級保護要求，從物理安全，網絡安全，系統安全，應用安全以及安全監管五個方面構建企業級移動應用安全防護體系。

1、物理安全：涉及設備和環境安全，主要通過移動終端本身硬件標識信息、接口監測、外接插件設備來保障移動終端設備安全。2、網絡安全：涉及到網絡接入安全、數據傳輸安全等，主要從硬件、軟件兩方面保證，如防火墻保護策略、認證策略、數據加密等。3、系統安全：主要包括系統、數據存儲、操作等，通過建立安全加固，對業務數據分級存儲、重要數據安全隔離、數據傳輸加密、完整性和一致性校驗，保障系統安全。4、應用安全：通過多種手段保障移動應用安全，可從應用準入、應用授權、應用監控審核、應用數據管控、操作行為安全審計等方面全面保障應用安全。 5、安全監管：從制度管理、軟件輔助管理對移動終端進行安全管理。制定相應的移動終端、移動應用管理規范。

三、企業級移動應用信息安全實現

3.1 物理安全

按照安全體系要求，可從終端管理、一致性校驗、接口監測、存儲卡加密等領域實現物理安全。

1、設備啟動。通過設置啟動密碼、動態口令等控制設備啟動驗證。2、校驗一致性。終端啟動后，后臺根據設備回傳的參數進行一致性校驗，對操作系統內核、硬件配置、關鍵應用和配置策略信息等進行驗證，確保啟動過程中各應用的完備性和一致性。3、設備硬件監測。對移動設備硬件接口管理，包括網絡（含WIFI/藍牙等）啟停，USB啟停、以及攝像頭屏幕輸出等啟停等，從而有效防止移動終端數據泄漏。4、存儲卡加密。根據存儲卡與移動設備的關聯關系，存儲卡上的數據就不能被其它移動設備讀取，從而有效地保護移動終端上的數據。

3.2 網絡安全

在網絡安全方面，可從硬件、軟件兩方面保障網絡接入安全、數據傳輸安全。

1、接入安全。建立專用的VPN接入通道連接到特定服務端。建立DMZ反向代理保護，通過反向代理防止移動設備直接和web服務器直接連接帶來的安全隱患。2、設置防火墻及路由器防護策略，通過制定路由器、防火墻防護策略，實現內外網絡安全。安全策略確保網絡訪問、服務訪問、用戶認證、輸入輸出、磁盤和數據加密、病毒防護措施等。3、移動設備安全認證和接入。建立終端準入機制，通過后臺移動設備管理功能，記錄所有設備詳細信息，如唯一編碼，類型及使用者等信息，在登錄時實現按特定信息核對驗證設備合法性。4、數據傳輸安全。企業級移動應用一般需要和后臺業務傳輸數據，為了避免惡意攻擊、竊取、篡改，需要在數據傳輸中引入數據安全管理，如數字證書加密等。

3.3 系統安全

為保障移動應用正常運行，主要通過建立安全加固、業務數據分類存儲管理、數據安全隔離、數據傳輸加密解密、完整性檢查以及一致性檢查，保障系統安全。

1、安全加固。按等級保護要求，制定嚴格的安全加固措施，保障系統安全； 2、建立移動數據庫安全管控，支持離在線數據庫訪問、支持數據的備份和恢復，保證用戶數據的安全可靠；3、開展安全域隔離，通過物理和邏輯隔離策略，全面對系統資源和各類數據進行分區分域管理。4、建立移動設備在線備份和恢復策略。實現自動備份和恢復數據、配置文件與配置策略?？梢栽O置規定備份目錄或文件、備份頻率、周期，通過統一管理界面實現選擇性恢復或全恢復，可恢復移動終端上丟失或損壞數據。 5、升級包推送。實現對移動設備系統版本管理，禁止使用者擅自修改系統，后臺統一開展升級包推送，保障操作系統安全。

3.4 應用安全

在應用安全方面，主要通過應用密碼、登錄、非授權操作管理、數據庫加密、應用安全審計等措施保障移動應用安全。

1、密碼保護，對移動應用建立密碼保護策略，如密碼長度、復雜度限制、密碼認證、錯誤鎖定等機制，防止非法人員登錄終端應用，造成業務數據外泄。2、單點登錄，通過建立統一單點登錄平臺，實現統一用戶身份管理、統一用戶身份驗證、統一用戶權限管理。3、權限控制，對企業級移動應用建立細致的明確的功能權限控制，不同職責的終端用戶只能使用指定的部分功能，有效控制關鍵數據外泄。4、移動數據庫加密。移動數據庫庫訪問按系統安全要求提供安全憑證，選擇敏感信息加密，輔以校驗保證所存儲數據的保密性和完整性，防止數據被未經授權訪問和修改。5、非法操作管理。建立應用配置授權管理策略，控制未經取得授權的非法移動應用進行控制，可以禁止非法移動應用安裝、禁止非法移動應用使用，可以遠程對非法移動應用進行卸載。6、移動應用安全審計。開展實時統計核查應用安裝、使用、運行、操作記錄等，有效監測各類操作行為。

3.5 安全管理

按照移動信息安全體系，安全管理從制度規范管理、軟件輔助管理、設備管控等領域實現。

1、建立統一應用管理規范和管理制度，建立移動終端、移動應用管理規范，如檔案管理、行為規范、作業規范等。2、操作記錄日志。增加終端操作的記錄日志機制，實現日志追蹤引入問題的原因，采用應對措施避免同類問題反復出現。3、實時管控機制。移動終端實時回傳當前位置的經緯度，可實時監控移動設備實際地理位置，如若遇到平板丟失，則啟動數據爆炸功能，保證業務數據不外泄。

四、結 論

隨著移動技術飛速發展以及移動硬件平臺的技術改進和價格的不斷下降，企業級移動應用的需求必將會快速增長?；诒疚乃龅男畔踩悸泛蛯崿F，能有效保障企業級移動應用信息安全，并有效減少建設和運行風險。

作者簡介：

盧有飛（1981-）男，碩士，工程師，研究方向為電力通信與信息化，

參 考 文 獻

[1] 胡傲平，盛承光. PDA移動服務在電力巡線中的應用與研究[J]. 計算機與數字工程. 2008 （02）

[2]張濤，林為民，秦超，曾榮，陳亞東.基于等級保護的電力移動終端安全防護體系設計[J]. 電力信息化2010（07）

[3] 郭 寶，周 馳 . 電力生產現場作業和終端安全防護研究[J]。電力信息化， 2010（12）：30-35.

[4] 呂軍.企業內外網安全接入平臺建設[J].湖南農機：學術版，2008（1）：147-148.