文档介绍：该【基于动态策略的移动警务终端安全管控系统的设计与实现 】是由【刘备文库】上传分享，文档一共【5】页，该文档可以免费在线阅读，需要了解更多关于【基于动态策略的移动警务终端安全管控系统的设计与实现 】的内容，可以使用淘豆网的站内搜索功能，选择自己适合的文档，以下文字是截取该文章内的部分文字，如需要获得完整电子版，请下载此文档到您的设备，方便您编辑和打印。万方数据
一一一~~一~一一一一一一一一~~一一一一一一一一一一一一一一一一一一一一~一~一一一一一一一一一一一一一一一一一一一一一一一一~一一一一~一~一~贰灰~~一一一一~一~一一一~【量一一~拙一一一一一一一酗羔眺黧燃劂黧~基于动态策略的移动警务系统的设计与实现全管控终端安㈨一~一一龇一一一罴懈衄川慨㈨一.㈣№删埘蛳№樊志杰3に,曹志威㈨,上海ò膊康谌芯克畔踩ḿ际醪浚虾拇↖省公安厅科技信息化总队,成都移动警务安全接入平台主要基于社会移动公网接入公安网,便于充分利用公安信息资源,提升案件侦破、逃犯抓捕、人口核查、车辆比对、犯罪打击和预防等公安工作的效率。同时,移动警务应用有效地提升了公安焖反应、综合作战的能力,提高公安机关维护稳定、打击犯罪的水平,也进一步提升公安机关行政管理和服务群众的质量,提升公安的形象。当前的移动警务平台主要通过终端设备的接入认证和端到端的数据加密,实现用户藕土绰钒踩ù洹5着***的不断变化和安全防护需求的逐步提升,终端自身的安全防护问题日益突出。同时,通过“一机两用”、外设端口访问、应用软件无管控和系统弱口令等带来的安全隐患也成为了亟待解决的安全问题。鉴于此,:对移动警务安全接入平台巾的终端设备的安全防护问题进行了研究,提出并研制了一种基于动态策略的移动警务终端安全管控系统,整个系统由客户端、莳置服务端和内网服务端组成,莳置服务端和内网服务端分别部署在前置区和公安内网,客户端部署在移动终端设备卜,确保在移动接入和公安内网Ⅸ有效进行物理隔离的前提下,将系统制定的各种安全策略规则下发到客户端执行,规范用户对移动终端的本地软硬件资源和网络资源的使用,实现安全威胁检测、防护及预警,对移动终端用户的违规访问、操作行为进行全面监测和上报,实现终端设备安全和行为的统一管理。关键词:动态策略;移动警务终端;安全管控系统;移动接入区;公安内网区收稿日期:一—;修回日期:一—。基金项目:四川省科技计划项目氐阊蟹⑾钅还抑氐阊蟹⒓苹作者简介:樊志杰,男,山西朔州人,博十,副研究员,主要从事信息与网络安全方向的研究。引用格式:樊志杰,郑长松,:一一—/甤/...中图分类号:’文献标识码:;投稿网址:甹瓹.:..—总·
万方数据
裆⋯⋯系统结构及原理砑低臣芄股杓平台的安全。《全国公安移动警务总体技术方案》中将移动终端依据安全受控程度,分为增强受控终端、一般受控终端和个人普通终端。其中增强受控终端与一般受控终端中需安装终端安全软件即移动设备安全管控系统。同时,终端安全管控系统应事前对安全事件进行报警预测,对终端主机能够做到预先规范使用行为,能够准确有效地实现行为可控制、口臣疲ü芸刂贫茸;S行У募际豕芸叵低辰兄葱校从而有效提升整个系统的可管理性和信息安全水平】。现有系统在使用过程中主要存在以下问题:开发客户端需要与终端厂商进行大量的适配工作。客户端用于接收后台控制策略并与手机底层硬件接口耦合,实现控制手机硬件缋堆馈等目F艋蚬乇铡⒅斩嗽诵谢肪车募觳橐约鞍踩罩镜上报等功能。已开发的很难进行直接复用。由于不同终端厂商的系统代码均基于原生安争系统进行了个性化定制开发,故不同品牌、型号的终端系统必然存在一定的差异。客户端在实际使用过程中耗电量偏高。由于客户端一般是运行在系统应用层的独立程序匦氤Wつ诖妫娇山邮湛刂撇呗圆⑻峤幌低针对上述问题,本文提出并研制一种基于模块化与动态策略的移动警务终端安全管控系统,主要优势包括:降低系统耦合度。减少终端厂商与应用开发厂商之间的终端适配工作。提高系统安全性。终端厂商不必对外开放过多的硬件调用接口,进一步降低系统被非法入侵的可能性。推进系统标准化。对终端厂商、安全通道厂商以及后台策略控制系统开发商之间的数据接口进行标准化处理。依据公安移动警务安全接入平台的网络特点,结合移动安全接入的需求,并按照公安主管部门的有关管理规范和建设要求,本文研制惶字斩税踩ü芸叵低常虺。主要分为:客户端、前置服务端和内网服务端,其系统结构如图荆骸敖小其中,前置服务端主要部署在前置服务区内,内网服务端主要部署在内网管理服务区内。通过上述系统结构的部署方式,可确保在移动接入区和公安内网区有效进行物理隔离的前提下,实现前后置系统配置和安全策略同步,进而有效防止移动终端非法访问移动接人区的应用系统,降低网络风险。本文研究的终端安全管控系统的策略执行原理如图所示,其主要通过中心服务器平台制定终端沓序端的安全策略,并通过网络下发到各个终端。程序收到安全策略后,对移动终端本地状态及用户行为进行检测,对不满足安全策略的状态或行为形成审计信息并上报到中心服务器平台。最终,管理员通过中心服务器平台完成对下属所有移动终端的统一管理及审计。软件设计整体框架根据建立移动警务安全管控生态圈的理念,以及开放、共生、通用的原则,本文将模块按部署位置分为移动终端和控制后台两个部分,在通信层、数据层和应用层个层次划分成不同的功能维度,最终形成整体解决框架。主要包括以下龉δ苣?椤啊盝:终端安全模块。主要实现对设备硬件鐆移动网络等刺嗫亍⒂布刂啤⑷罩臼占裙δ堋数据传输模块。分为终端通信模块渴鹪谥斩上牒筇ㄍㄐ拍?部署于控制后台V斩送ㄐ拍?椴署在移动终端上,以标准接口的方式与终端安全模块对接,实现终端控制策略接收、数据加密传输和终端日志回传等功能;后台通信模块部署于中,支持多级部署,提供标准通信框架接,与后台策略控制模块对接,配合终端通信模块实现高并发条件下的控制策略数据传输、日志数据接收等功能。策略控制模块。与数据传输模块问通过标准接口进行对接,实现已制定策略的安全下发、终端日志获取,同时实现对已接收的数据进行分析处理、深度挖掘、集中动本文提出的终端安全管控系统其内部可抽象为上层应计算机测量与控制第卷日志。终端安伞管控系统结构图呗灾葱性态展示等功能。内部软件设计框架投稿网址:甹甤前置服务端内网服务端图策略下发审计上报·
万方数据
么竺妄髻途圜圉圉圉芾斫缑鎙尤肷蠹苐罩旧媳矶榈媲丶际跎杓朴胧迪用、接口层及功能层,通过各层之问的相互封装调用,为用户提供统一的用户界面,并为系统的扩展进行保留。终端安全管控系统中心服务器平台内部结构如图所示。移动笔记本沓绦蚰诓拷峁谷缤所示。智能手机代理程序内部结构如图尽所提移动警务终端安全管控系统的界面设计如图安全管控策略设计本文提出的移动警务终端安全管控系统主要在中心服务器平台制定安全策略,并将安全策略下发到移动终端,相应的规则包括。⋯:全局安全规则管理。用于对系统中应用到移动终端主机或证书用户的安全规则进行集中管理,包括添加、编辑、复制、删除规则以及刷新规则等。全部终端安全事件管理。用于对系统所有移动终端触发并上报的安全事件进行集中管理,包括查看事件详细、导录阜菀约岸允录兴阉鞯取网络访问规则控制。用于设置终端主机的网络访问规则,从而最大程度的保证系统网络正常有序地运行。违规外联行为检测。用于检测当前用户是否搂入互联网,如果发现用户移动终端接人互联网则立即进行断网处理,防止移动终端发生“一机两用”行为。外没端口访问控制。用于设置终端主机指定外设端口的可用状态,从而保障网络数据安全。本系统支持对移动硬盘盘⑷砼獭疍刻录机、串行口口⒉⑿锌、打印机、刂破魍馍瓒丝诘管理,且不可更改。第樊志杰,等:基于动态策略的移动警务终端安全管控系统的设计与实现系统滴駆ㄖ鷏应用τ肑τ胠璴软件设计整体框架图贫始潜続代理程序内部结构图悄苁只鶤!代理程序内部结构图图迪直硎就中心服务器平台内部结构图低呈滓吃屯移动终端控制后台终端安全模块应用层管控/功能接口数据分析数据通信图用户/规则当前接入用户信息接入审计日志提供本机用户/提供本机当前接入提供本机接入规则信息用户信息审计日志本地数据库投稿网址:甹·.、
万方数据
低秤τ檬凳┓桨违规软件主动卸载。用于防止终端侧违规使用的软件,并对发现的违规软件进行主动卸载。应用程序白名单。用于设置终端可以町用的软件或指定供应商提供的软件,系统会对白名单中设定的内容进行自动放行,对未在白名单中设定的内容进行阻止。强力终止进程功能。用于对终端主机运行的,且在规则配置中的进程进行强力终止,从而保证终端主机不能运行非法进程。非法网站访问控制功能。用于对终端主机访问非法网站的情况进行管理,非法网站可以根据需要进行配置。啦《救砑觳夤δ堋S糜诙灾斩酥骰<啦《软件安装情况进行检测,并对未安装任何常见防病毒软件的客户端进行安全预警。绶阑鹕始觳夤δ堋S糜诙灾斩酥骰绶阑墙软件安装情况进行检测,并根据配置对没有安装指定防火墙软件之一的主机进行安全预警。安全管控功能实现本文提的系统的主要功能包括“:统一管理:系统通过在移动终端悄苁只⒁贫笔记本喜渴鹱ㄓ械目突Ф巳砑迪侄愿饕贫斩松备安全和行为的统一管理和规范。资源访问控制:对移动终端的各类资源访问行为进行全面的控制和审训‘,包括网络访问行为、打印机访问行为和外设端口使用行为等。数据安全保护:系统针对移动终端的运行使用特点,提供移动终端本地数据保护功能,控制和审计终端本地文件和网络数据的访问行为。终端安全状态检测:对移动终端自身的各种安全状态进行检查和加固,主动防止安全状态不符合要求的移动终端接入网络。系统综合审计:将各移动终端相关资产、违规行为等信息统一上报至管理平台并进行分类,提供各项安全功能的检查结果、终端用户行为的汇总报表,实现对移动终端各种安全状态及事件的全面审计。客户端安全:客户端与操作系统进行紧密结合,使用者在软件安装后无法擅自卸载客户端,保证了系统实施客户端安装功能:系统部署简单,提供独立的客户端安装包,安装便捷。客户端引擎功能:客户端于后台运行无需任何工作界面,并采用事件驱动机制和休眠机制,使任何具体事务的处理不影响移动终端使用者的工作,既不浪费移动终端本身的资源,同时基于事件触发的高效工作模式最大可能地降低了对网络资源的使用。基于的管理功能:采用浏览器作为其管理界面,在具体工作中方便管理员在网络口达的地点登陆系统,进行管理。硬件环境:本系统运行所需要的硬件环境如表尽软件环境:本系统运行所需要的软件环境如表尽系统采用旁路模式部署于网络拓扑中,前置服务端部署于移动警务安全接入平台的移动接人区,内网服务端部署于移动警务安全接入平台的公安内网区,网络中其它设备的配置信息不需要进行修改。终端安全客户端软件分别安装于移动斩撕虯终端,在链路中尤胪亟⑼ǖ篮螅斩税踩ü芾砬爸梅穸俗动检测与终端安全管理系统内网服务端的通信情况,自动获取安全策略,接受统一管控”““”。具体部署如图尽本文提出的部署力‘案在保障移动警务安全接入力‘面具前后置服务端模式。在移动接人区和公安内网区有效进行物理隔离的前提下,实现前后置系统配置和安全策略同步,有效防止移动终端非法访问移动接人区的应用系统,降低网络安全风险。安全策略“脱网”执行。当移动终端首次通过计算机测量与控制第卷的效果。运行环境设备名称系统版本配置及安装软件说明前置服务器内存、硬盘;诖妗智能手机内存:存储空间:以上交换机无要求安全接入网关移动应用管理服务器移动应用***”“⋯:表璞赣布肪序号定制内网服务器定制陨陨以上网闸应用管控服务器类别移动智能手机投稿网址:甹瓹篒—’篒’..·
万方数据
众移动终端∥谨≮鱅群国∥结束语桫接入网关成功建立通道后,终端安全管理客户端自动到前置服务端进行安全策略下载,并保存于移动终端本地自动执行。实现移动用户在未连接尤胪氐那疤嵯乱材安全访问前置应用。同时支持斩撕虯终端。安全管理客户端同时支持对移动笔记本和智能于机进行管理,适应用户需同时管控智能手机和移动笔记本的需求,降低了管理复杂度。详细的资源访问控制。对移动终端的本地软硬件资源以及网络资源进行了,‘格限制,町以通过管理平台对移动终端的资源使用进行控制。全面监测和预防控制。对各移动终端用户的违规访问、操作行为进行全面监测和预防,准确及时地进行审计。客户端防卸载。当移动终端按照要求安装完成终端安全管理客户端后,用户无法手动卸载,确保移动终端环境的安全环境不变,同时配合突Ф俗鲂Q榧觳猓移动终端没有安装终端安全管理客户端,则突Ф素法启用,禁止拨号连接。移动警务安全接入平台自年起即进行试点建设工作并逐步完善,平台的建设有效提升了公安焖俜从和综合作战的能力,提升了公安机关行政管理和服务群众的质量,但是移动警务终端所处环境复杂、部分终端会与公安网进行数据交互,存在通过终端入侵公安网的安全风险。本文提У囊贫裰斩税踩ü芸叵低巢捎们昂笾梅务端模式,通过在服务端平台制定各种安全策略,实现安全策略下发到移动终端执行。各移动终端将相关资产、违规行为等信息统一上报至管理平台进行综合审计,实现了详细的资源访问控制,对各移动终端用户的违规访问、操作行为进行全面监测和预防。同时,本文提幕谀?化架构的移动警务终端安全管控系统,有效地解决了客户端开发与终端厂商的适配对接工作,并且提高了客户端软件自身的安全性、软件开发效率和可复用性等。第樊志杰,等::.,.琶鞯拢Q┓,,:一Ⅱ:—.#τǎ侠冢窳唇砜扇现さ淖槊茉抗芾矸桨扑慊τ醚芯浚叛┰遥扑愦娲⑹,:—.樾×鲁缙剑悠低斩税踩既讼低车纳杓朴胧迪愣üò部萍迹:.甈瓹&王晓妮,:.韩秀德,:—.,土晓菲,刘雪峰,,,毋晓英,,:—.,:.,.珿:瓾,’琔,:图参考文献:煜,浮甀瓵,:—.,王琒投稿网址:甹甤·悄苁只密码卡移动接入区公安内网区:.:.:—.#琙琇甊—:—:—: