◆查南星

（浙江信電技術(shù)股份有限公司 浙江 315000）

移動警務(wù)作為一種新的應(yīng)用模式，使公安信息能夠覆蓋凡是移動通信網(wǎng)絡(luò)通達的任何地方，達到公安部“3A”（任何地點Anywhere、任何時間Anytime 和任何方式Anytype）要求，使得一線民警能夠通過移動警務(wù)終端設(shè)備實時查詢內(nèi)網(wǎng)數(shù)據(jù)、快速采集外部信息、現(xiàn)場處置公安業(yè)務(wù)等，滿足公安人員隨時隨地辦公的需求，有效地提高公安的工作效率和實戰(zhàn)能力。移動警務(wù)一經(jīng)推廣使用，便得到了廣泛的應(yīng)用。

隨著移動警務(wù)不斷深入，各種應(yīng)用場景接入不斷涌現(xiàn)，迫切需要移動警務(wù)提供更高的安全服務(wù)，以適應(yīng)“大整合、高共享、深應(yīng)用”的公安信息化發(fā)展大勢，因此，公安對移動警務(wù)提出了更高的安全要求。

本文主要著力于研究移動警務(wù)安全體系，基于“一個中心，三重防護”的安全架構(gòu)設(shè)計，構(gòu)建移動警務(wù)的安全體系，保障移動警務(wù)安全的同時也促進公安移動信息化的健康發(fā)展。。

1 安全體系技術(shù)框架

按照分區(qū)分域建設(shè)的原則，移動警務(wù)的“一個中心，三重防護”安全體系框架如圖1 所示。

安全計算環(huán)境：移動警務(wù)實現(xiàn)安全保護的核心。主要滿足終端、服務(wù)器、操作系統(tǒng)、應(yīng)用系統(tǒng)、數(shù)據(jù)庫系統(tǒng)等安全需求。

安全區(qū)域邊界：檢查進/出安全計算環(huán)境的數(shù)據(jù)流，實現(xiàn)邊界的訪問控制功能，只有合法的信息數(shù)據(jù)才可以經(jīng)過邊界到達計算環(huán)境/流出計算環(huán)境，禁止非法的數(shù)據(jù)流進出。

安全網(wǎng)絡(luò)通信：通過部署網(wǎng)絡(luò)安全設(shè)備，配置安全防護策略對通信雙方的可信性進行鑒別驗證，對傳輸?shù)臄?shù)據(jù)通過采用加密，確保數(shù)據(jù)在傳輸過程中的完整性。

安全管控中心：主要是實現(xiàn)對安全計算環(huán)境、安全區(qū)域邊界和安全網(wǎng)絡(luò)通信的安全性進行集中的安全配置管理，對所有的操作以及產(chǎn)生的數(shù)據(jù)流信息等實施全程審計跟蹤和快速響應(yīng)。

2 關(guān)鍵技術(shù)點設(shè)計

構(gòu)建移動警務(wù)安全，主要從安全計算環(huán)境、安全區(qū)域邊界、安全網(wǎng)絡(luò)通信和安全管控中心四個方面關(guān)鍵點進行規(guī)劃設(shè)計。

2.1 安全計算環(huán)境

（1）主機安全

主機安全防護具備用戶認證、訪問控制、外設(shè)控制、網(wǎng)絡(luò)控制和行為審計等安全功能。優(yōu)先選用國產(chǎn)化硬件、國產(chǎn)化操作系統(tǒng)及符合我國可信計算標準的主機設(shè)備。

采用終端安全管理系統(tǒng)并結(jié)合統(tǒng)一身份認證系統(tǒng)，實現(xiàn)基于數(shù)字證書的雙因素認證，進行用戶登錄鑒權(quán)，系統(tǒng)登錄使用USBKey 數(shù)字證書為SM 系列國密算法密碼設(shè)備，符合國家密碼管理相關(guān)要求。終端安全管理系統(tǒng)由安全管控中心制定策略，進行全網(wǎng)終端的流量監(jiān)控、行為審計、非法外聯(lián)監(jiān)控、應(yīng)用程序黑白名單控制、外設(shè)管控、桌面安全加固等安全管控。

（2）移動終端安全

移動警務(wù)終端具有以下特征：數(shù)量多、種類復(fù)雜、移動化、終端使用環(huán)境復(fù)雜、操作者身份和操作行為不確定等。對移動終端安全防護，主要有：

①終端準入機制，實現(xiàn)業(yè)務(wù)訪問準入、達到入網(wǎng)安全合規(guī)要求。保護移動警務(wù)不受非法設(shè)備接入引起的各種威脅，在有效管理用戶和終端接入網(wǎng)絡(luò)行為的同時，也達到規(guī)范終端的目的。終端準入采用兩重安全措施：

“一次撥號，兩次認證”授權(quán)接入：基于電信運營商“手機號碼+IMSI”身份認證，手機號碼開戶運營商實名制認證；基于移動警務(wù)統(tǒng)一身份認證系統(tǒng)“手機號碼+IMSI+用戶名口令”第二次身份認證，且口令以密文方式傳遞，一卡一密。

“人卡機”多位一體認證授權(quán)接入。即移動終端、加密卡、手機SIM 卡和終端使用者身份一致，才被允許接入。

②終端數(shù)據(jù)加密存儲，移動終端配置密碼模塊，加密私鑰加密保存在密碼模塊內(nèi)，所有加解密操作終端密碼模塊內(nèi)完成。密碼模塊提供加解密接口，為終端數(shù)據(jù)加密存儲提供服務(wù)。

③終端用戶身份鑒權(quán)，支持如指紋識別、人像識別等人機認證功能。

④終端安全加固，從系統(tǒng)層對終端控制，采用終端安全加固措施，保證終端計算環(huán)境、資源和網(wǎng)絡(luò)訪問的安全。從終端硬件、操作系統(tǒng)等方面進行安全增強，終端預(yù)置安全監(jiān)控組件，并接受后臺管控。

按照公安部GA/T 1466.1-2018《智能手機型移動警務(wù)終端 第1 部分：技術(shù)要求》，終端安全防護采用內(nèi)核可信增強、訪問控制、網(wǎng)絡(luò)控制、外設(shè)控制、應(yīng)用控制、位置控制、遠程控制、可信安全保密措施，實現(xiàn)防root、防刷機、數(shù)據(jù)防泄漏、強制訪問控制、存儲數(shù)據(jù)加密等安全功能，關(guān)鍵安全代碼可信計算及安全管控相關(guān)組件，必須自主可控。

⑤移動終端優(yōu)先選用具備國產(chǎn)化核心部件、國產(chǎn)化操作系統(tǒng)、符合我國可信計算設(shè)計的移動終端。

（3）應(yīng)用安全

應(yīng)用安全防護具備源代碼安全審查、用戶統(tǒng)一認證、應(yīng)用加密傳輸、關(guān)鍵業(yè)務(wù)保護以及行為監(jiān)測等安全功能。

應(yīng)用在開發(fā)過程中，應(yīng)保證代碼的安全；部署前，對源代碼進行安全審計，盡可能識別全部潛在的bug 和漏洞，保證應(yīng)用的安全性，避免因漏洞造成不必要的損失。

采用統(tǒng)一的身份認證系統(tǒng)，身份認證為多因素認證，可以實現(xiàn)對用戶身份的統(tǒng)一管理和多種方式組合的強身份認證。多因素身份認證包括靜態(tài)口令、動態(tài)口令、數(shù)字證書、指紋、人像等身份安全機制。

客戶端和服務(wù)端通信，傳輸?shù)臄?shù)據(jù)使用安全的SSL 傳輸技術(shù)。確保用戶賬號密碼、動態(tài)密鑰、應(yīng)用數(shù)據(jù)傳輸?shù)母甙踩约胺€(wěn)定性。同時支持移動終端隧道控制策略，實現(xiàn)移動終端連接VPN以后，移動終端數(shù)據(jù)只能走VPN，不能訪問網(wǎng)絡(luò)，從而實現(xiàn)防止數(shù)據(jù)泄密。

部署Web 應(yīng)用防火墻（WAF）等安全設(shè)備對應(yīng)用安全進行防護。WAF 是針對HTTP/HTTPS 應(yīng)用入侵行為進行防御的安全產(chǎn)品，其通過對HTTP/HTTPS 訪問流量進行分析，能夠發(fā)現(xiàn)惡意攻擊并實時阻斷，可實現(xiàn)對常見的SQL 注入攻擊、XSS 攻擊等攻擊行為進行防護。

（4）數(shù)據(jù)安全防護

數(shù)據(jù)安全的防護主要是從完整性和保密性進行規(guī)范的，可以在應(yīng)用系統(tǒng)開發(fā)過程中同步采取密碼技術(shù)的相關(guān)功能實現(xiàn)。

對關(guān)鍵敏感數(shù)據(jù)設(shè)置標記，重要的數(shù)據(jù)對其本身設(shè)置相應(yīng)的認證機制；數(shù)據(jù)授權(quán)管理，對數(shù)據(jù)的訪問權(quán)限進行一定的限制；數(shù)據(jù)和文檔加密存儲；數(shù)據(jù)訪問進行審計，審計結(jié)果記錄在安全日志中；在通信上進行數(shù)據(jù)保密，采用國產(chǎn)商用密碼算法，對數(shù)據(jù)加密傳輸。

（5）數(shù)據(jù)備份與恢復(fù)

重要數(shù)據(jù)除了本地的數(shù)據(jù)備份與恢復(fù)外，還必須異地實時備份，利用通信網(wǎng)絡(luò)能將重要數(shù)據(jù)實時備份至備份場地，重要數(shù)據(jù)處理系統(tǒng)的熱冗余，保證系統(tǒng)的高可用性

2.2 安全區(qū)域邊界

移動警務(wù)的區(qū)域邊界主要有：無線傳輸鏈路（運營商VPDN專線）、移動互聯(lián)網(wǎng)（互聯(lián)網(wǎng)）、公安信息網(wǎng)以及其他網(wǎng)絡(luò)（如視頻專網(wǎng)）。各區(qū)域邊界安全規(guī)劃如下：

（1）無線傳輸鏈路

具備終端撥號認證、用戶身份認證、終端環(huán)境檢測、應(yīng)用授權(quán)訪問等網(wǎng)絡(luò)可信接入控制功能，其中用戶身份認證方式可以采用動態(tài)口令認證、人機認證強關(guān)聯(lián)、二代證識別認證、人像識別認證、數(shù)字證書認證中的一種或多種。

（2）移動互聯(lián)網(wǎng)

具備防DDoS、網(wǎng)絡(luò)控制、入侵檢測、網(wǎng)絡(luò)防御、WAF 防護、網(wǎng)頁防篡改等邊界防護功能。

（3）公安信息網(wǎng)

基于數(shù)字證書的接入認證、應(yīng)用授權(quán)訪問、網(wǎng)絡(luò)隔離與數(shù)據(jù)安全交換等功能，確保接入公安信息網(wǎng)的終端設(shè)備可信和用戶身份可信，防止非法設(shè)備接入公安信息網(wǎng)，保證公安信息網(wǎng)邊界安全。

（4）其他網(wǎng)絡(luò)（視頻專網(wǎng)）

具備網(wǎng)絡(luò)訪問控制、SIP 協(xié)議控制、入侵檢測、網(wǎng)絡(luò)防御等邊界防護功能。

2.3 安全網(wǎng)絡(luò)通信

（1）與無線傳輸鏈路通信：使用VPDN/APN 接入方式，對數(shù)據(jù)加密傳輸功能，保證重要數(shù)據(jù)或業(yè)務(wù)操作的完整性和保密性。

（2）與移動互聯(lián)網(wǎng)通信：應(yīng)用在移動互聯(lián)網(wǎng)進行通信時，采用HTTPS 協(xié)議加密傳輸功能，保證重要數(shù)據(jù)或業(yè)務(wù)操作的完整性和保密性。

（3）與公安內(nèi)網(wǎng)通信：使用VPN 網(wǎng)關(guān)，基于IPSec、SSL等安全通信協(xié)議建立的VPN 安全傳輸通道。

（4）與公安其他網(wǎng)絡(luò)通信（視頻專網(wǎng)）：使用MPLS-VPN接入方式，對數(shù)據(jù)加密傳輸功能，保證重要數(shù)據(jù)或業(yè)務(wù)操作的完整性和保密性。

2.4 安全管控中心

匯集移動警務(wù)所有資產(chǎn)的日志信息，進行全方位日志審計、關(guān)聯(lián)分析、事件預(yù)警與溯源，為運維人員、安全管理人員提供決策支撐，并針對安全及運維事件設(shè)定相應(yīng)的管控策略下發(fā)到設(shè)備及時進行響應(yīng)處理。從業(yè)務(wù)、運行環(huán)境、安全等多個視角對移動警務(wù)整體運行情況和安全情況進行基于全要素、全流程的態(tài)勢感知和展現(xiàn)。

圖2 安全管控中心組成

安全管控中心主要由資產(chǎn)管理、日志審計、關(guān)聯(lián)分析、策略管理、統(tǒng)一運維、安全管理及系統(tǒng)管理七大部分組成。

（1）資產(chǎn)管理：對加密卡、終端、主機、網(wǎng)絡(luò)、應(yīng)用等資產(chǎn)進行集中管理，是日志審計、關(guān)聯(lián)分析、統(tǒng)一運維和安全管理的基礎(chǔ)。

（2）日志審計：匯聚所有設(shè)備采集上報的資產(chǎn)狀態(tài)與事件日志，進行整體審計。

（3）關(guān)聯(lián)分析：將各資產(chǎn)與系統(tǒng)上報的日志與數(shù)據(jù)信息進行綜合分析，實現(xiàn)關(guān)聯(lián)審計、事件線索相關(guān)性可視化、全局關(guān)聯(lián)檢索等多維分析建模，通過持續(xù)的數(shù)據(jù)挖掘，分析并發(fā)現(xiàn)潛在問題與風(fēng)險。

（4）策略管理：對運維策略與安全策略進行統(tǒng)一配置與管理，為關(guān)聯(lián)分析提供基線規(guī)則，為運維響應(yīng)控制、安全響應(yīng)控制提供控制策略。

（5）統(tǒng)一運維：為監(jiān)測業(yè)務(wù)的開展情況和系統(tǒng)運行環(huán)境狀態(tài)，保障移動警務(wù)的可用性，進行統(tǒng)一的運維管理，包含對業(yè)務(wù)和運行環(huán)境的監(jiān)測預(yù)警、對運維策略的響應(yīng)控制以及對整體運行健康程度的總體評估。

（6）安全管理：保障移動警務(wù)的安全性，進行統(tǒng)一的安全管理，包含對安全事件的監(jiān)測預(yù)警、對安全策略的響應(yīng)控制以及對整體安全風(fēng)險的評估。

（7）系統(tǒng)管理：對系統(tǒng)的用戶及分級權(quán)限進行統(tǒng)一管理，并記錄自身的訪問日志。

4 結(jié)束語

本文基于“一個中心，三重防護”的安全體系，建設(shè)移動警務(wù)的安全防護，在確保移動警務(wù)應(yīng)用穩(wěn)定的同時，也提高公安信息化的建設(shè)水平，促進移動警務(wù)應(yīng)用蓬勃發(fā)展的同時也促進公安移動信息化的健康發(fā)展。