企業移動互聯網應用安全防護技術研究
移動互聯網為人們的生產生活和企業經營活動帶來便利的同時，也面臨由于網絡開放性、終端易失性、應用多樣性等帶來的安全風險和諸多不可控因素。近年來，隨著 4G/5G 移動通信技術的廣泛應用，移動互聯網應用數量呈現爆發式增長，而現有移動互聯網的安全防護主要針對移動網絡和移動終端，移動應用的安全防護手段相對缺失，這就導致很多惡意應用的滋生和泛濫，不法分子利用惡意應用進行用戶敏感數據竊取、惡意扣費、系統破壞等，使得安全事件層出不窮，安全形勢異常嚴峻 。企業移動互聯網應用雖然采用了移動專網作為業務承載平臺，使網絡層面的安全風險大為降低，但應用開發、測試仍然很難脫離開放網絡環境，原有的安全問題很可能引入到相對封閉的企業移動專網，因此迫切需要針對企業移動互聯網應用面臨的安全威脅和需求構建全方位立體化的移動應用安全防護體系。
隨著業務架構技術的不斷演進，企業移動互聯網應用已經發生巨大變化，移動應用的后端系統通過共性業務的抽取和重組，形成了各種業務中臺，應用創新和交付能力大大提升，而傳統的移動應用安全手段異構分散、集成擴展能力弱，很難適應服務化、平臺化的移動應用快速交付模式。同時，企業移動互聯網應用的快速增長使得移動用戶激增，而現有的系統缺少針對移動應用安全態勢監測的手段，系統安全運維和威脅響應處置的能力較弱。另外，企業移動互聯網應用種類多樣，安全防護需求各不相同，需要針對不同應用采取差異化的安全防護機制。移動終端是企業移動互聯網應用的承載平臺，終端的安全關乎移動應用能否得到可靠保障，而現有的移動終端防護手段參差不齊，未能形成云端協同的移動終端安全防護能力。本文圍繞企業移動互聯網應用的安全需求，重點針對以上問題開展移動應用安全防護技術研究。
1
企業移動互聯網應用的安全需求
以及面臨的安全威脅
1.1 安全需求
為建立企業移動應用健康生態，保障企業移動應用效能發揮，企業移動應用服務系統的建設應充分考慮企業移動應用安全能力的建設。具體需求如下文所述。
（1）企業移動業務的敏感性要求系統必須采取覆蓋移動應用全生命周期的高安全防護機制。
與個人消費者移動應用相比，企業移動應用的顯著特點是業務本身的敏感性，特別是企業敏感程度較高的辦公類、生產類、銷售類應用，其業務更需要嚴格保護。因此，應針對企業移動應用全生命周期（包括應用設計開發、測試驗證、上架發布、運行維護、終止運營等 ）制定企業移動應用安全防護技術要求和管理規范，綜合采取多種安全防護措施。例如，移動應用的業務邏輯、數據以及運行環境必須采取嚴格的隔離防護機制，關鍵數據、信息應進行安全存儲和傳輸，重要內容的訪問應嚴格采取身份認證、訪問控制、關鍵數據保護、追蹤溯源等措施，防止核心數據泄露，為企業移動應用提供高安全防護能力。
（2）企業移動業務的多樣性及其面臨的安全威脅要求系統必須具備按需安全防護和快速威脅響應能力。
企業移動業務的種類和場景多樣，不同種類的業務安全防護要求不同，相同業務在不同應用場景下的安全防護要求也不盡相同，這就需要系統具備按需的移動應用安全防護能力，能根據不同應用場景動態調整業務安全策略，同時針對不同移動業務提供差異化的安全機制。由于企業移動業務的重要性和特殊性，其面臨的安全風險將比公眾移動網絡更加突出和嚴峻，一旦遭受攻擊其影響和后果將非常嚴重。為此，企業移動應用服務系統建設應加強威脅感知、預警、防護、檢測、響應和恢復的能力，能夠及時發現系統中的攻擊事件，對移動應用核心資產進行全方位保護，分析和預測企業移動應用安全態勢，當發生攻擊行為時能夠快速做出處置和恢復系統正常運行，從而形成一個動態防御的閉環體系 。
（3）企業移動業務和數據能力的平臺化要求系統必須具備服務化、平臺化和可擴展的安全防護能力。
為了建立企業移動應用生態，支撐企業移動應用的快速開發和交付，企業移動應用服務系統必須實現業務能力和數據能力的高效整合與復用。為此，企業移動應用服務系統建設采取了軟件中臺的技術路線，構建業務中臺、數據中臺、開發平臺等，這就要求企業移動業務的安全能力必須實現與業務和數據平臺的無縫整合。然而當前企業移動應用的安全手段異構分散，未實現安全功能的服務化，集成與交付能力弱，功能擴展難，無法支持各類平臺的統一調用。因此急需利用軟件定義安全、安全功能服務化思想，集成改造企業已有基礎安全能力，有效整合移動領域各類安全設備、技術、工具，構建服務化、平臺化、可擴展的企業移動應用安全服務系統，提供統一的安全服務接口，實現與業務中臺、數據中臺的無縫整合，按需為企業移動業務提供各類應用安全服務功能。
（4）企業移動業務的統一高效運維要求系統具備智能化的移動應用安全態勢監測與安全管理能力。
企業移動應用系統效能的發揮需要統一、高效的運維保障，而移動應用的安全運維是其中的關鍵環節之一。為支撐企業移動應用動態防御體系的運行，系統必須具備移動應用安全態勢智能化感知、分析、呈現和策略優化手段，實現安全事件、安全威脅的及時發現和監測預警。同時，為實現日常運維保障，系統還應提供自動化的安全管理工具，支撐運維人員、安全專家通過統一的管理入口，監控各類安全服務運行狀態，配置調整安全策略，分析和處理安全事件，升級維護安全軟件和各類安全載荷等。
1.2 安全威脅
YD/T 2694—2014《移動互聯網聯網應用安全防護要求》 對移動互聯網聯網應用的重要資產進行了定義。
（1）移動互聯網聯網應用客戶端軟件；
（2）移動互聯網聯網后臺系統和操作維護終端硬件及相關軟件；
（3）移動互聯網應用關鍵數據。
也就是說，在討論移動互聯網安全的時候，需要重點考慮移動應用、移動應用運行環境、移動數據所面臨的安全威脅，具體如下文所述。
1.2.1 移動應用
在 App 設 計 開 發 階 段 使 用 開 放 網 絡 環境 中 未 經 安 全 檢 測 的 軟 件 開 發 包（Software Development Kit，SDK），或在 App 上架發布階段發布未經安全檢測的 App，可能引入代碼漏洞、預置后門、惡意代碼植入等安全問題，導致敏感信息泄露，或造成系統破壞導致功能異常等。
在 App 運行階段，用戶未經身份認證，可能導致非授權用戶竊取、篡改企業敏感業務數據，破壞系統正常運行；攻擊者利用應用存在的漏洞，越權訪問文件、數據和其他軟硬件資源，泄露企業或個人隱私數據；移動 App 利用熱更新技術進行升級維護，極易造成未經過安全檢測的更新包繞過系統安全機制，安裝到移動終端的現象，存在極大的安全風險。
1.2.2 移動應用運行環境
移動應用運行環境包括移動終端和后臺移動應用服務器。在移動終端方面，攻擊者利用漏洞或預先植入的后門等，獲取系統權限，非法訪問終端外設和應用數據，導致企業敏感數據泄露和應用資源被破壞；終端系統可能面臨預置后門、木馬、病毒、蠕蟲、僵尸等惡意代碼攻擊，導致數據泄露、篡改、損壞，業務中斷、系統癱瘓等一系列問題。由于大多數后臺系統采用云平臺構建技術，因此，存在多租戶的應用業務和數據隔離的安全風險；另外，攻擊者利用被攻破的移動設備對后臺移動應用發起分布式拒絕服務攻擊（Distributed Denial of Service，DDoS），可能造成系統服務癱瘓。
1.2.3 移動數據
攻擊者或非授權用戶能夠很容易地獲取到未經訪問控制和存儲保護的移動端數據；采用拍攝、錄制等方式竊取移動端數據，一旦數據泄露，造成后果，將很難進行責任認定；移動用戶在系統中發布敏感信息和不當言論，缺少檢測手段，極易對企業經營造成嚴重影響。
2
企業移動互聯網應用安全能力要求
針對企業移動互聯網應用安全需求及面 臨 的 安 全 威 脅， 系 統 必 須 具 備 以 下 安 全能力 ：
（1）應用安全防護能力。針對移動應用設計開發、測試驗證、上架發布環節面臨的安全威脅，需要重點關注移動應用的安全設計、安全檢測和安全集成，系統應提供移動應用安全開發指南，支撐移動應用安全設計；提供安全開發組件，供移動應用集成；提供應用 App 與SDK 安全檢測、安全加固、交付驗證能力；針對應用運行維護環節面臨的安全威脅，系統應具備統一身份認證、訪問控制、會話安全管控、惡意代碼檢測、行為分析檢測、應用更新管控等能力。
（2）終端安全防護能力。針對企業移動互聯網應用在終端側運行可能面臨的安全威脅，系統應具備終端資源訪問控制、終端外設權限管控、應用運行環境隔離、終端可信運行控制、終端可信度量與狀態鑒別、終端惡意代碼檢測等安全防護能力。
（3）數據安全防護能力。針對企業移動互聯網應用業務數據可能面臨的安全威脅，系統應具備業務數據訪問控制、數據安全存儲與擦除、數據追蹤溯源與責任認定、業務敏感信息檢測等安全防護能力。
（4）通信網絡安全能力。針對企業移動互聯網應用在網絡傳輸過程面臨的安全威脅，系統應具備數據傳輸過程中的機密性、完整性保護能力。同時，針對移動網絡自身面臨的安全威脅，系統應具備終端接入控制、虛擬專用網（Virtual Private Network，VPN）、網絡邊界防護、網絡攻擊檢測等安全防護能力。
（5）移動應用安全運維能力。針對企業移動互聯網應用高效安全運維的需求，系統應提供統一的安全管理門戶，具備應用安全策略、安全服務、移動應用的自動化、智能化管理能力；同時，為支持動態防御體系的構建，系統應具備移動應用監測預警能力，提供移動應用安全數據采集與分析、安全態勢呈現、系統安全策略優化等功能。
（6）安全功能服務化與動態調整能力。為支持企業移動互聯網應用的快速開發和能力交付，應構建統一的應用安全服務平臺，支持安全功能的服務化和安全能力的高效整合，與移動業務無縫融合，敏捷構建滿足企業要求的安全移動業務；為應對高速變化的移動應用安全威脅，以及高強度持續性攻擊風險，應用安全服務平臺應能夠根據差異化安全需求和應急響應處置的需要，快速編排安全服務和動態調整安全策略。
3
企業移動互聯網應用安全防護體系
3.1 總體設計思路
為滿足企業移動互聯網應用安全防護需求，應充分利用移動通信網絡安全能力，整合移動互聯網應用安全服務資源、先進技術和成熟工具，構建具備“3+1”移動應用安全能力體系（包括應用安全、終端安全、數據安全和應用安全運維管理）的企業移動應用安全中臺，支撐企業移動互聯網應用動態防御能力的形成，為企業移動互聯網應用提供智能化、協同化、可持續的全生命周期安全保障。系統總體設計思路如圖 1 所示。
圖 1 企業移動互聯網應用安全中臺設計思路
安全中臺采用服務化設計思想，制定統一的安全服務標準規范，對引入的第三方安全廠商的安全產品進行服務化改造，以服務的方式部署在云端和移動終端，與移動應用服務集成，支持安全服務的統一調用和安全能力的動態調整，為企業用戶提供差異化的應用安全服務，為運維人員提供安全運維管理手段，為移動應用開發提供組件化的安全支撐。同時，安全中臺還提供應急響應和處置手段，方便安全專家通過人工或自動化工具完成應急響應和事件的處置。
3.2 總體架構
企業移動應用通常采用“云、網、端”的系統架構，遵循“輕終端、強后臺”的設計原則，參考行業內企業移動應用安全平臺架構 ，中臺采用“云端 + 終端”的應用安全防護體系結構，通過云端協同滿足企業移動互聯網應用安全防護需求。“云端”部分集成部署到云端業務系統，通過統一調用接口，提供應用安全、終端安全、數據安全和安全運維管理能力。“終端”部分嵌入到企業用戶手機，通過移動終端安全容器和各類安全組件構成移動終端安全防護客戶端，將安全能力延伸到移動終端，實現終端安全數據采集、終端安全檢測、終端安全控制等功能。安全中臺的總體架構如圖 2 所示。
圖 2 企業移動互聯網應用安全中臺總體架構
安全中臺的“云端”部分通過企業移動通信網絡構建的安全傳輸通道，與“終端”部分進行信息交互，實現終端數據采集、策略分發、遠程控制等功能。安全中臺的“云端”部分將安全服務能力接口注冊發布到業務能力集成框架，其他中臺、移動應用通過業務能力集成框架實現對安全服務的集中調用。安全中臺的“終端”部分通過移動終端安全防護客戶端對外提供安全組件調用接口，移動 App 通過系列組件接口調用終端安全功能。
3.2.1 安全中臺“云端”部分
安全中臺“云端”部分主要包括應用安全、終端安全、數據安全 3 類安全服務，以及安全運維管理系統。其中，應用安全服務包含移動身份認證服務、移動應用安全檢測服務、移動應用可信簽名服務；終端安全服務包含移動終端可信配置管理服務、移動終端安全防護服務、移動病毒防護服務；數據安全服務包含移動數據安全治理服務、移動數據溯源服務；安全運維管理系統包含移動安全態勢感知系統、移動應用安全綜合管理系統。
3.2.2 安全中臺“終端”部分
安 全 中 臺“ 終 端” 部 分， 即 移 動 終 端 安全防護客戶端，包含移動終端安全容器和終端安全組件，其中容器提供組件管理、安全策略分發、組件訪問控制、終端安全狀態呈現、終端安全評估等功能，是終端安全核心功能實體。終端安全組件實現安全中臺各類“云端”安全服務的終端側安全功能，包含安全工作空間、行為采集、終端安全檢測、終端安全控制和第三方安全組件。其中，終端安全工作空間在企業用戶手機上構建了一個虛擬安全桌面，為敏感企業移動應用提供了安全隔離運行環境。各類 App 均通過移動終端安全防護客戶端提供標準接口，實現對各類安全組件的功能調用。
3.3 技術架構
安全中臺采用服務化設計思想，將各類安全功能以服務化、可插拔的軟件技術架構，構建松耦合安全服務體系。安全中臺的“云端”和“終端”部分的技術架構均可以劃分為系統層、支撐層和服務層 3 個層次，如圖 3 所示。
圖 3 企業移動互聯網應用安全中臺技術架構
3.3.1 系統層
安全中臺的“云端”部分部署在云計算環境，其系統層主要包含虛擬機、操作系統和數據庫，操作系統可以是 Windows 或 Linux 操作系統。“終端”部分部署在企業用戶手機，其系統層主要包含手機的操作系統。
3.3.2 支撐層
安全中臺的服務接口調用、云端協同交互均基于支撐層提供的數據交互能力。支撐層主要 包 括 底 層 的 TCP/IP 協 議、 應 用 層 HTTP 或HTTPs 協議，以及基于 HTTP 的 RESTful 接口協議。此外，云端還包含安全服務訪問網關，支持安全服務管理、服務統一訪問控制；終端包含移動終端安全容器，提供終端軟件的安全運行環境。
3.3.3 服務層
安全中臺的服務層實現移動應用的核心安全能力，“云端”和“終端”分別采用不同的技術架構。“云端”部分采用分布式集群技術架構，應用安全、終端安全、數據安全 3 類安全服務和安全運維管理系統的服務器端軟件均以節點集群的方式部署，其他中臺通過統一服務訪問網關，實現安全功能調用。“終端”部分采用軟件組件技術架構，安全服務的客戶端軟件均以組件方式部署到移動終端安全容器，移動 App通過容器接口訪問各類組件提供的安全功能。
3.4 產品組成及功能
根據安全中臺的總體架構設計，參考行業內移動應用安全保障功能體系 ，企業移動互聯網應用安全中臺系統包括應用安全、終端安全、數據安全 3 類服務，以及安全運維管理系統，如圖 4 所示。
圖 4 企業移動互聯網應用安全產品組成
（1）應用安全類。移動統一身份認證系統提供用戶身份管理、用戶授權管理、統一身份認證等功能。移動應用安全檢測系統針對應用可能存在的安全漏洞、潛在威脅行為、引用第三方SDK風險以及代碼問題等進行檢測與評估。移動應用可信簽名系統提供移動應用軟件可信簽名服務。
（2）終端安全類。終端配置與可信狀態檢測系統提供終端系統權限配置以及移動應用的可信狀態檢測和管理功能。移動終端安全防護系統提供移動終端安全數據采集、終端安全檢測、控制、安全評估等功能；集成終端安全組件并支持組件擴展；提供應用隔離運行防護、數據安全存儲等功能。移動病毒防護系統提供移動終端的病毒查殺功能。
（3）數據安全類。移動數據溯源系統為敏感信息泄露的責任認定提供支持。移動數據安全治理系統提供數據標記、分類、安全存儲、訪問控制等功能。
（4）安全運維管理類。移動應用安全態勢系統提供安全態勢數據采集引接、綜合分析、告警呈現等功能。移動應用安全綜合管理系統是移動應用安全管理入口，支持安全策略、安全服務、移動終端、移動應用、安全載荷、安全事件的統一管理。
4
企業移動互聯網應用安全關鍵技術
4.1 安全服務智能編排與協同技術
網絡空間安全風險以及移動應用場景的變化與發展，讓安全服務越來越呈現出按需組織、靈活適配的特點。與以往分散、獨立的安全防御模式相比，安全服務需要采用更為靈活的體系結構解決深層次集成、編排問題，基于微服務架構，構建具有柔性重構能力的安全服務集成框架 。這種安全服務集成框架，需要完成從移動應用安全需求到安全能力的映射，再到安全服務功能的分解和有序組合，并解決高可用安全服務協同一致性等一系列問題。為解決這一問題，可以通過可視化的建模工具來簡化服務編排過程，提高組合服務模型的可讀性和易維性。為此，我們參考 BPMN 和 TOSCA 標準，開發了可視化的安全服務編排界面，通過簡單的圖符和線條展示元服務之間的業務邏輯關系，并在圖符上提供安全服務配置能力。
4.2 移動終端輕量化虛擬工作空間技術
對于高安全等級的企業移動應用，用戶需要一個可信任的安全工作區，該工作區可將移動設備中的企業高安全應用和個人應用全面分離，再結合 VPN 技術，構建面向企業高安全應用的可信環境，有效阻斷來自非安全工作區的各種攻擊。為了不影響移動應用的運行效率，提升用戶體驗，安全工作區應盡可能輕量化，在移動應用的封裝方面能夠高效且完全透傳，而不是采用非常耗時的 wrapper 等方式（需要反編譯，重新簽名）。為此，利用虛擬化容器技術構建獨立的移動應用運行環境是一種非常有效的方法。虛擬化容器技術在運行環境隔離性方面可以做到與移動終端上其他應用徹底隔離，高安全等級移動應用在虛擬工作空間內獨立運行，而不僅僅是視覺隔離。同時，虛擬化容器技術能夠確保安全區內的每一個應用按照防護策略采取嚴格的數據加密、數據防泄漏等安全機制，無須依賴系統提權，區內所有應用能夠靜默安裝、卸載、更新，可以對區內每個應用單獨實施網絡訪問控制能力。
4.3 移動安全態勢感知技術
針對日益嚴峻的移動互聯網安全態勢，企業移動應用需要加強安全態勢感知、監測預警和應急處理能力，移動安全態勢感知是前提和基礎。利用移動安全態勢感知技術可以建立對企業移動應用開發、上線、升級、維護全生命周期不間斷、主動監測能力，對企業移動應用可能存在的惡意代碼、漏洞，以及遭受的外部攻擊、用戶惡意行為等進行感知監測。移動安全態勢感知技術首先需要建立移動安全態勢的指標體系 ，其次是采集或引接與監測指標相關的各類安全數據，包括 App 檢測數據、App運行狀態數據、終端檢測數據、終端運行狀態數據、應用系統日志數據等，再通過聚類分析、關聯分析和序列模式分析等數據分析工具 [12] 對異常行為、已知攻擊手段、組合攻擊手段、未知漏洞攻擊、未知代碼攻擊等進行分析，構建移動安全威脅、移動安全態勢評估體系，實現對安全威脅、綜合安全態勢的判定和預測，借助可視化技術呈現移動安全態勢圖。
5
結 語
隨著企業移動互聯網應用的快速發展，惡意代碼、漏洞、病毒等安全威脅越發復雜多變，企業移動應用面臨的安全風險更加嚴峻和不確定。針對新的安全挑戰，有必要對企業移動應用安全服務體系進行不斷改進完善。一是補充完善應用安全、數據安全、終端安全服務體系，重點加強數據安全能力建設；二是進一步提升安全服務功能和性能，滿足企業移動應用升級演進、能力提升帶來的服務訪問能力增強的需要；三是提升安全運維管理能力，不斷優化安全策略配置，支持海量移動終端安全管理，引入大數據分析和人工智能等技術，進一步增強態勢監測預警的智能化水平，實現威脅自動化感知、預警、分析，支撐動態防御能力體系的形成。
