公安信息化移動應用安全體系的構建研究

■ 文/廣西公安計算機通訊技術研究所 冷佳迅

關鍵字：公安信息化 移動警務 移動應用 安全體系 安全管控 構建

1 引言

順應移動互聯網的發展趨勢，公安信息化建設工作中的移動警務應用建設也日益深入。近年來，移動警務在無線接入、基礎應用平臺支撐、信息安全保障等方面得到顯著提升，但現有的移動警務應用系統在接入業務類型、支撐應用能力、安全管理能力上已經表現出不足。移動應用新模式的創新發展，對移動應用安全體系提出了更高的要求，構建新一代移動應用安全新體系，來支撐新一代移動應用體系新需求是必由之路。

2 新技術新需求帶來新的安全風險

今后，移動應用將基于移動互聯、大數據、云計算、智能分析等先進技術。在滿足公安移動業務應用新需求的同時也引入了巨大的安全風險，而現行安全體系并未考慮這些新風險，難免出現新的安全漏洞。同時，新一代移動警務的網絡互聯互通、應用模式擴充、數據資源共享、用戶對象擴展等新需求所帶來的體系結構變化，也對安全風險防范提出了更高的要求。現有的安全管控體系存在以下問題：

（1）由于設計與規劃的原因，已建系統平臺相互獨立，無法對接入平臺進行統一的管理，整個移動應用體系難以形成一個整體、清晰的建設、運行及安全狀態圖。

（2）當安全事件發生時，無法進行及時響應和處置，對整個移動應用體系的安全事件沒有全面的分析和掌控。

（3）無法形成安全事件預警、安全態勢分析，無法實現主動防御機制。

（4）移動終端逐步出現WIFI、藍牙等新的應用需求，但是目前的規范禁止終端開啟不安全的無線連接；

（5）通用手機芯片的后門不斷被發現，android 系統的漏洞也層出不窮，終端安全風險突出。

因此，構建新的安全體系是突破移動應用規模化發展瓶頸的需要。新體系可以建立全生命周期安全管控的機制，實現對移動應用安全運行的全方位支撐。

同時，構建新的安全體系也是解決新的安全風險的需要。新體系可以圍繞終端安全防護、網絡安全防護、應用安全防護、數據安全防護、云中心安全防護、集中安全管控等方面，全面解決新技術、新需求帶來的新安全風險，與網絡控制點聯動實現主動防御。

3 移動應用安全體系的架構

移動應用安全體系的構建主要圍繞“一個中心、三層安全”，即集中安全管控中心、區域邊界安全、終端或計算環境安全、網絡通信安全等展開，如圖1 所示。

圖1 安全體系架構

在新一代移動應用平臺中，整個安全體系由安全管控中心、計算環境安全、區域邊界安全、網絡通信安全等四個部分組成。計算環境安全、區域邊界安全、網絡通信安全等三部分實現了安全功能，而安全管控中心是整個安全體系的管理平臺，對全網安全進行監控和管理。

安全管控中心是一個針對警用移動信息網的安全信息及安全事件進行分析、多元化展現和制定策略并完成指令下發的集中管控平臺。通過收集各接入系統上報的安全事件和業務運行數據，對海量數據進行存儲、分析、展示、決策和指令下發。幫助管理人員實現對終端、用戶、網絡、應用等對象的全方位監控，通過對實時數據的統計分析和建立大數據分析模型，能夠快速定位業務異常原因，為管理部門更快速有效的制定決策提供助力。安全管控中心具備對完整的安全體系內數據信息的整合能力，這就成為后續進行安全審計工作的有力保障。同時，安全管控中心具備的管理策略和下發指令的能力，則體現在對出現的安全事件進行及時的響應控制，實現對移動終端的接入管控，主動斷開存在安全威脅終端的連接，對警用移動信息網內部的數據和應用服務進行保護。

計算環境安全是通過構建CA 體系，使用安全加密套件實現數據加密，部署數據防泄漏系統、終端安全管控組件、網絡安全審計系統、漏洞掃描系統、應用防護網關，升級操作系統補丁及反病毒代碼庫等方法構建計算環境安全。

區域邊界安全是通過在邊界區域部署安全準入網關、防火墻、入侵防御系統、反惡意代碼網關、蜜罐系統、網絡隔離系統構建區域邊界安全。

網絡通信安全是對終端使用VPDN/APN 接入方式，對平臺使用MPLS-VPN 接入方式構建網絡通信安全。

4 系統安全保護分析與設計

基于“一個中心”（管控中心）管理下的“三重保護”（計算環境安全、區域邊界安全、網絡通信安全）的安全理論，參考GB/T 25070《信息安全技術 網絡安全等級保護安全設計技術要求》，構建移動應用安全體系，如圖2 所示。

圖2 移動警務安全體系

4.1 Ⅰ類系統安全保護

依據公安部下發的《全國公安移動警務建設總體技術方案（2016 版）》要求可知，Ⅰ類系統參考GB/T 25070《信息安全技術 網絡安全等級保護安全設計技術要求》（第二級系統）安全保護技術要求進行設計。以下分別從移動終端計算環境安全、網絡通信安全、網絡區域邊界安全、服務器主機計算環境安全、安全管控等五方面詳細介紹。

4.1.1 移動終端計算環境安全

Ⅰ類系統涉及移動終端為個人普通終端，終端安全防護由使用者自行管理，自身安全不做強制性要求。

應用安全防護應具備應用行為監測、APP 安全沙箱、APP 漏洞檢測和APP 加固等安全功能。

數據安全防護應具備協議傳輸加密等安全功能，避免存儲業務數據。

4.1.2 網絡通信安全

應具備協議加密傳輸功能，保證重要數據或業務操作的完整性和保密性。

4.1.3 區域邊界安全

移動互聯網服務子平臺的移動互聯網接入點應具備防DDoS、網絡控制、入侵檢測、網絡防御等邊界防護功能。

4.1.4 服務器主機計算環境安全

主機安全防護應具備用戶認證、訪問控制、外設控制、網絡控制和行為審計等安全功能。應優先選用國產化硬件、國產化操作系統及符合我國可信計算標準的主機設備。

應用安全防護應具備實名認證、應用協議加密傳輸、應用協議分析防護、蜜罐誘導攻擊、APT 攻擊檢測、應用關鍵業務保護以及應用行為監測等安全功能。

數據安全防護應具備數據權限控制、數據防泄漏和數據操作全程審計等安全功能，避免處理敏感數據。

4.1.5 安全管控

Ⅰ類區部署安全管控子平臺，實現監測審計、安全管理、系統管理，具體安全要求如下。

（1）應通過應用監測組件、網絡探針和數據探針，實現全業務流程和數據信息的監測審計。

（2）應實現安全策略的制定和下發。采用大數據分析技術對全業務流程日志進行分析，發現安全事件，同時接收來自集中管控中心的安全管控策略,并與網絡設備、安全設備等聯動實現主動防御。

（3）應對用戶信息、主機節點、區域邊界、通信網絡等進行集中管理和維護，實現用戶身份管理、接入設備管理、參數配置、權限管理等功能。

4.2 Ⅱ類系統安全保護

依據公安部下發的《全國公安移動警務建設總體技術方案（2016 版）》要求可知，Ⅱ類系統參考GB/T 25070《信息安全技術 信息系統等級保護安全設計技術要求》（第二級系統）安全保護技術要求進行設計。以下分別從移動終端計算環境安全、網絡通信安全、網絡區域邊界安全、服務器主機計算環境安全、安全管控等五方面詳細介紹。

4.2.1 移動終端計算環境安全

Ⅱ類系統涉及移動終端為一般受控終端，整體安全要求需符合GA/T 1466.1-2018《智能手機型移動警務終端第1 部分：技術要求》標準規定。

終端安全防護應支持終端密碼模塊運行，具備如指紋識別、人像識別等人機認證功能，通過安裝終端安全監控組件，實現部分外設管理、終端監測、終端控制和終端審計等安全功能。應優先選用具備國產化核心部件、國產化操作系統、符合我國可信計算設計的移動終端。

應用安全防護應具備行為監測、APP 安全沙箱和APP漏洞檢測等安全功能。

數據安全防護應具備數據加密存儲、數據傳輸加密等安全功能。

4.2.2 網絡通信安全

應用在進行通信時，應具備數據加密傳輸功能，保證重要數據或業務操作的完整性和保密性。

4.2.3 區域邊界安全

區域邊界安全包括聯網服務子平臺邊界保護和網絡接入控制。

聯網服務子平臺邊界保護是指與無線傳輸鏈路、移動互聯網服務子平臺、視頻專網等的資源共享網絡通道邊界應具備網絡控制、入侵檢測、網絡防御等邊界防護功能。

網絡接入控制是指在聯網服務子平臺的無線傳輸鏈路接入點應具備終端撥號認證、用戶身份認證、終端環境檢測、應用授權訪問等網絡可信接入控制功能，其中用戶身份認證方式可以是動態口令認證、人機認證強關聯、二代證識別認證、人像識別認證、數字證書認證中的一種或多種。

4.2.4 服務器主機計算環境安全

主機安全防護應具備用戶認證、訪問控制、外設控制、網絡控制和行為審計等安全功能。應優先選用國產化硬件、國產化操作系統及符合我國可信計算標準的主機設備。

應用安全防護應具備用戶統一認證、應用加密傳輸、關鍵業務保護以及行為監測等安全功能。

數據安全防護應具備數據權限控制、數據防泄漏和數據操作全程審計等安全功能。

4.2.5 安全管控

Ⅱ類區部署安全管控子平臺，實現監測審計、安全管理、系統管理，具體安全要求如下：

（1）應通過終端安全監控組件、應用監測組件、網絡探針和數據探針，實現全業務流程和數據信息的監測審計。

（2）應實現安全策略的制定和下發。接收來自集中管控中心的安全管控策略,與終端安全監控組件、網絡設備、安全設備等聯動實現主動防御。

（3）應對用戶信息、主機節點、區域邊界、通信網絡等進行集中管理和維護，實現用戶身份管理、接入設備管理、參數配置、權限管理等功能。

4.3 Ⅲ類系統安全保護

依據公安部下發的《全國公安移動警務建設總體技術方案（2016 版）》要求可知，Ⅲ類系統參考GB/T 25070《信息安全技術信息系統等級保護安全設計技術要求》（第三級系統）安全保護技術要求進行設計。以下分別從移動終端計算環境安全、網絡通信安全、網絡區域邊界安全、服務器主機計算環境安全、安全管控五方面詳細介紹。

4.3.1 移動終端計算環境安全

Ⅲ類系統涉及移動終端為增強受控終端，整體安全要求需符合GA/T 1466.1-2018《智能手機型移動警務終端第1 部分：技術要求》內容。

其中手持式終端安全防護應采用內核可信增強、訪問控制、網絡控制、外設控制、應用控制、位置控制、可信安全保密等措施，實現防root、防刷機、數據防泄漏、強制訪問控制、安全漏洞遠程修復、存儲數據加密等安全功能，與安全相關的核心代碼必須自主可控。應優先選用具備國產化核心部件、國產化操作系統、符合我國可信計算設計的移動終端。應支持終端密碼模塊運行，具備如指紋識別、人像識別等人機認證功能，通過預裝終端安全監控組件，實現外設管理、終端監測、終端控制和終端審計等安全功能。

便攜式終端、車載終端及其它類型終端可參照執行。

應用安全防護應具備應用行為監測、APP 安全沙箱和APP 漏洞檢測等安全功能。

數據安全防護應具備數據加密存儲、數據加密傳輸等安全功能，要求公安信息網敏感標記數據不能在移動終端處理，同一終端訪問Ⅱ、Ⅲ類系統的，應對數據處理和存儲采取隔離措施。

4.3.2 網絡通信安全

為保證安全，應采用基于IPSec、SSL 等安全通信協議建立的VPN 安全傳輸通道。

4.3.3 區域邊界安全

移動安全接入子平臺應具備基于數字證書的接入認證、應用授權訪問、網絡隔離與數據安全交換等功能，確保接入公安信息網的終端設備可信和用戶身份可信，防止非法設備接入公安信息網，保證公安信息網邊界安全。

4.3.4 服務器主機計算環境安全

主機安全防護應具備用戶認證、訪問控制、外設控制、網絡控制和行為審計等安全功能，具體應參照公安信息網中服務器主機的安全防護要求進行設計。應優先選用國產化硬件、國產化操作系統及符合我國可信計算標準的主機設備。

應用安全防護應具備用戶統一認證、關鍵業務保護以及行為監測等安全功能。

數據安全防護應具備數據權限控制、數據防泄漏和數據操作全程審計等安全功能。公安信息網內服務器主機應符合公安信息網的數據處理要求，公安信息網外的服務器主機應不能處理公安信息網敏感標記數據。

4.3.5 安全管控

Ⅲ類區部署安全管控子平臺，實現監測審計、安全管理、系統管理，具體安全要求如下：

（1）應通過終端安全監控組件、應用監測組件、網絡探針和數據探針，實現全業務流程和數據信息的監測審計。

（2）應實現安全策略的制定和下發。接收來自集中管控中心的安全管控策略,與終端安全監控組件、網絡設備、安全設備等聯動實現主動防御。

（3）應對用戶信息、主機節點、區域邊界、通信網絡等進行集中管理和維護，實現用戶身份管理、接入設備管理、參數配置、權限管理等功能。

5 結語

隨著公安移動警務的快速發展和移動警務應用的不斷深入，必然會對安全體系提出更高的需求。如何面對越來越復雜的應用場景和業務需求，需要結合移動警務體系和應用的特點，才能實現全方位的重點防控。本文在充分分析目前安全管控系統存在的問題后，對安全管控體系進行了深入的研究和分析，構建的移動應用安全新體系為新一代移動警務應用系統提供了有效支撐。