企业移动互联网应用安全防护技术研究

1　企业移动互联网应用的安全需求以及面临的安全威胁

1.2　安全威胁

3　企业移动互联网应用安全防护体系

3.2　总体架构

3.4　产品组成及功能

4.1　安全服务智能编排与协同技术

4.3　移动安全态势感知技术

5　结　语

移动互联网为人们的生产生活和企业经营活动带来便利的同时，也面临由于网络开放性、终端易失性、应用多样性等带来的安全风险和诸多不可控因素。近年来，随着 4G/5G 移动通信技术的广泛应用，移动互联网应用数量呈现爆发式增长，而现有移动互联网的安全防护主要针对移动网络和移动终端，移动应用的安全防护手段相对缺失，这就导致很多恶意应用的滋生和泛滥，不法分子利用恶意应用进行用户敏感数据窃取、恶意扣费、系统破坏等，使得安全事件层出不穷，安全形势异常严峻 。企业移动互联网应用虽然采用了移动专网作为业务承载平台，使网络层面的安全风险大为降低，但应用开发、测试仍然很难脱离开放网络环境，原有的安全问题很可能引入到相对封闭的企业移动专网，因此迫切需要针对企业移动互联网应用面临的安全威胁和需求构建全方位立体化的移动应用安全防护体系。

随着业务架构技术的不断演进，企业移动互联网应用已经发生巨大变化，移动应用的后端系统通过共性业务的抽取和重组，形成了各种业务中台，应用创新和交付能力大大提升，而传统的移动应用安全手段异构分散、集成扩展能力弱，很难适应服务化、平台化的移动应用快速交付模式。同时，企业移动互联网应用的快速增长使得移动用户激增，而现有的系统缺少针对移动应用安全态势监测的手段，系统安全运维和威胁响应处置的能力较弱。另外，企业移动互联网应用种类多样，安全防护需求各不相同，需要针对不同应用采取差异化的安全防护机制。移动终端是企业移动互联网应用的承载平台，终端的安全关乎移动应用能否得到可靠保障，而现有的移动终端防护手段参差不齐，未能形成云端协同的移动终端安全防护能力。本文围绕企业移动互联网应用的安全需求，重点针对以上问题开展移动应用安全防护技术研究。

1 企业移动互联网应用的安全需求以及面临的安全威胁

1.1　安全需求

为建立企业移动应用健康生态，保障企业移动应用效能发挥，企业移动应用服务系统的建设应充分考虑企业移动应用安全能力的建设。具体需求如下文所述。

（1）企业移动业务的敏感性要求系统必须采取覆盖移动应用全生命周期的高安全防护机制。

与个人消费者移动应用相比，企业移动应用的显著特点是业务本身的敏感性，特别是企业敏感程度较高的办公类、生产类、销售类应用，其业务更需要严格保护。因此，应针对企业移动应用全生命周期（包括应用设计开发、测试验证、上架发布、运行维护、终止运营等 ）制定企业移动应用安全防护技术要求和管理规范，综合采取多种安全防护措施。例如，移动应用的业务逻辑、数据以及运行环境必须采取严格的隔离防护机制，关键数据、信息应进行安全存储和传输，重要内容的访问应严格采取身份认证、访问控制、关键数据保护、追踪溯源等措施，防止核心数据泄露，为企业移动应用提供高安全防护能力。

（2）企业移动业务的多样性及其面临的安全威胁要求系统必须具备按需安全防护和快速威胁响应能力。

企业移动业务的种类和场景多样，不同种类的业务安全防护要求不同，相同业务在不同应用场景下的安全防护要求也不尽相同，这就需要系统具备按需的移动应用安全防护能力，能根据不同应用场景动态调整业务安全策略，同时针对不同移动业务提供差异化的安全机制。由于企业移动业务的重要性和特殊性，其面临的安全风险将比公众移动网络更加突出和严峻，一旦遭受攻击其影响和后果将非常严重。为此，企业移动应用服务系统建设应加强威胁感知、预警、防护、检测、响应和恢复的能力，能够及时发现系统中的攻击事件，对移动应用核心资产进行全方位保护，分析和预测企业移动应用安全态势，当发生攻击行为时能够快速做出处置和恢复系统正常运行，从而形成一个动态防御的闭环体系 。

（3）企业移动业务和数据能力的平台化要求系统必须具备服务化、平台化和可扩展的安全防护能力。

为了建立企业移动应用生态，支撑企业移动应用的快速开发和交付，企业移动应用服务系统必须实现业务能力和数据能力的高效整合与复用。为此，企业移动应用服务系统建设采取了软件中台的技术路线，构建业务中台、数据中台、开发平台等，这就要求企业移动业务的安全能力必须实现与业务和数据平台的无缝整合。然而当前企业移动应用的安全手段异构分散，未实现安全功能的服务化，集成与交付能力弱，功能扩展难，无法支持各类平台的统一调用。因此急需利用软件定义安全、安全功能服务化思想，集成改造企业已有基础安全能力，有效整合移动领域各类安全设备、技术、工具，构建服务化、平台化、可扩展的企业移动应用安全服务系统，提供统一的安全服务接口，实现与业务中台、数据中台的无缝整合，按需为企业移动业务提供各类应用安全服务功能。

（4）企业移动业务的统一高效运维要求系统具备智能化的移动应用安全态势监测与安全管理能力。

企业移动应用系统效能的发挥需要统一、高效的运维保障，而移动应用的安全运维是其中的关键环节之一。为支撑企业移动应用动态防御体系的运行，系统必须具备移动应用安全态势智能化感知、分析、呈现和策略优化手段，实现安全事件、安全威胁的及时发现和监测预警。同时，为实现日常运维保障，系统还应提供自动化的安全管理工具，支撑运维人员、安全专家通过统一的管理入口，监控各类安全服务运行状态，配置调整安全策略，分析和处理安全事件，升级维护安全软件和各类安全载荷等。

1.2　安全威胁

YD/T 2694—2014《移动互联网联网应用安全防护要求》 对移动互联网联网应用的重要资产进行了定义。

（1）移动互联网联网应用客户端软件；

（2）移动互联网联网后台系统和操作维护终端硬件及相关软件；

（3）移动互联网应用关键数据。

也就是说，在讨论移动互联网安全的时候，需要重点考虑移动应用、移动应用运行环境、移动数据所面临的安全威胁，具体如下文所述。

1.2.1　移动应用

在 App 设 计 开 发 阶 段 使 用 开 放 网 络 环境 中 未 经 安 全 检 测 的 软 件 开 发 包（Software Development Kit，SDK），或在 App 上架发布阶段发布未经安全检测的 App，可能引入代码漏洞、预置后门、恶意代码植入等安全问题，导致敏感信息泄露，或造成系统破坏导致功能异常等。

在 App 运行阶段，用户未经身份认证，可能导致非授权用户窃取、篡改企业敏感业务数据，破坏系统正常运行；攻击者利用应用存在的漏洞，越权访问文件、数据和其他软硬件资源，泄露企业或个人隐私数据；移动 App 利用热更新技术进行升级维护，极易造成未经过安全检测的更新包绕过系统安全机制，安装到移动终端的现象，存在极大的安全风险。

图 1 企业移动互联网应用安全中台设计思路

图 2 企业移动互联网应用安全中台总体架构

3.2.1　安全中台“云端”部分

安全中台“云端”部分主要包括应用安全、终端安全、数据安全 3 类安全服务，以及安全运维管理系统。其中，应用安全服务包含移动身份认证服务、移动应用安全检测服务、移动应用可信签名服务；终端安全服务包含移动终端可信配置管理服务、移动终端安全防护服务、移动病毒防护服务；数据安全服务包含移动数据安全治理服务、移动数据溯源服务；安全运维管理系统包含移动安全态势感知系统、移动应用安全综合管理系统。

3.2.2　安全中台“终端”部分

安 全 中 台“ 终 端” 部 分， 即 移 动 终 端 安全防护客户端，包含移动终端安全容器和终端安全组件，其中容器提供组件管理、安全策略分发、组件访问控制、终端安全状态呈现、终端安全评估等功能，是终端安全核心功能实体。终端安全组件实现安全中台各类“云端”安全服务的终端侧安全功能，包含安全工作空间、行为采集、终端安全检测、终端安全控制和第三方安全组件。其中，终端安全工作空间在企业用户手机上构建了一个虚拟安全桌面，为敏感企业移动应用提供了安全隔离运行环境。各类 App 均通过移动终端安全防护客户端提供标准接口，实现对各类安全组件的功能调用。

3.3　技术架构

安全中台采用服务化设计思想，将各类安全功能以服务化、可插拔的软件技术架构，构建松耦合安全服务体系。安全中台的“云端”和“终端”部分的技术架构均可以划分为系统层、支撑层和服务层 3 个层次，如图 3 所示。

3.3.1　系统层

安全中台的“云端”部分部署在云计算环境，其系统层主要包含虚拟机、操作系统和数据库，操作系统可以是 Windows 或 Linux 操作系统。“终端”部分部署在企业用户手机，其系统层主要包含手机的操作系统。

3.3.2　支撑层

安全中台的服务接口调用、云端协同交互均基于支撑层提供的数据交互能力。支撑层主要 包 括 底 层 的 TCP/IP 协 议、 应 用 层 HTTP 或HTTPs 协议，以及基于 HTTP 的 RESTful 接口协议。此外，云端还包含安全服务访问网关，支持安全服务管理、服务统一访问控制；终端包含移动终端安全容器，提供终端软件的安全运行环境。

3.4　产品组成及功能

根据安全中台的总体架构设计，参考行业内移动应用安全保障功能体系 ，企业移动互联网应用安全中台系统包括应用安全、终端安全、数据安全 3 类服务，以及安全运维管理系统，如图 4 所示。

（1）应用安全类。移动统一身份认证系统提供用户身份管理、用户授权管理、统一身份认证等功能。移动应用安全检测系统针对应用可能存在的安全漏洞、潜在威胁行为、引用第三方SDK风险以及代码问题等进行检测与评估。移动应用可信签名系统提供移动应用软件可信签名服务。

（2）终端安全类。终端配置与可信状态检测系统提供终端系统权限配置以及移动应用的可信状态检测和管理功能。移动终端安全防护系统提供移动终端安全数据采集、终端安全检测、控制、安全评估等功能；集成终端安全组件并支持组件扩展；提供应用隔离运行防护、数据安全存储等功能。移动病毒防护系统提供移动终端的病毒查杀功能。

（3）数据安全类。移动数据溯源系统为敏感信息泄露的责任认定提供支持。移动数据安全治理系统提供数据标记、分类、安全存储、访问控制等功能。

（4）安全运维管理类。移动应用安全态势系统提供安全态势数据采集引接、综合分析、告警呈现等功能。移动应用安全综合管理系统是移动应用安全管理入口，支持安全策略、安全服务、移动终端、移动应用、安全载荷、安全事件的统一管理。

4 企业移动互联网应用安全关键技术

4.1　安全服务智能编排与协同技术

网络空间安全风险以及移动应用场景的变化与发展，让安全服务越来越呈现出按需组织、灵活适配的特点。与以往分散、独立的安全防御模式相比，安全服务需要采用更为灵活的体系结构解决深层次集成、编排问题，基于微服务架构，构建具有柔性重构能力的安全服务集成框架 。这种安全服务集成框架，需要完成从移动应用安全需求到安全能力的映射，再到安全服务功能的分解和有序组合，并解决高可用安全服务协同一致性等一系列问题。为解决这一问题，可以通过可视化的建模工具来简化服务编排过程，提高组合服务模型的可读性和易维性。为此，我们参考 BPMN 和 TOSCA 标准，开发了可视化的安全服务编排界面，通过简单的图符和线条展示元服务之间的业务逻辑关系，并在图符上提供安全服务配置能力。

4.2　移动终端轻量化虚拟工作空间技术

对于高安全等级的企业移动应用，用户需要一个可信任的安全工作区，该工作区可将移动设备中的企业高安全应用和个人应用全面分离，再结合 VPN 技术，构建面向企业高安全应用的可信环境，有效阻断来自非安全工作区的各种攻击。为了不影响移动应用的运行效率，提升用户体验，安全工作区应尽可能轻量化，在移动应用的封装方面能够高效且完全透传，而不是采用非常耗时的 wrapper 等方式（需要反编译，重新签名）。为此，利用虚拟化容器技术构建独立的移动应用运行环境是一种非常有效的方法。虚拟化容器技术在运行环境隔离性方面可以做到与移动终端上其他应用彻底隔离，高安全等级移动应用在虚拟工作空间内独立运行，而不仅仅是视觉隔离。同时，虚拟化容器技术能够确保安全区内的每一个应用按照防护策略采取严格的数据加密、数据防泄漏等安全机制，无须依赖系统提权，区内所有应用能够静默安装、卸载、更新，可以对区内每个应用单独实施网络访问控制能力。

随着企业移动互联网应用的快速发展，恶意代码、漏洞、病毒等安全威胁越发复杂多变，企业移动应用面临的安全风险更加严峻和不确定。针对新的安全挑战，有必要对企业移动应用安全服务体系进行不断改进完善。一是补充完善应用安全、数据安全、终端安全服务体系，重点加强数据安全能力建设；二是进一步提升安全服务功能和性能，满足企业移动应用升级演进、能力提升带来的服务访问能力增强的需要；三是提升安全运维管理能力，不断优化安全策略配置，支持海量移动终端安全管理，引入大数据分析和人工智能等技术，进一步增强态势监测预警的智能化水平，实现威胁自动化感知、预警、分析，支撑动态防御能力体系的形成。