移動辦公的安全問題分析及應(yīng)對實踐

1、移動辦公的平安問題分析及應(yīng)對實踐專業(yè)：計算機科學(xué)與技術(shù)姓名：*學(xué)號：聯(lián)系方式：郵箱：指導(dǎo)老師：意攻擊者利用漏洞進行攻擊、對移動APP通過逆向分析和調(diào)試插入等操作進行 二次打包等威脅相關(guān)聯(lián)的平安風(fēng)險得到有效控制，從而保障移動應(yīng)用服務(wù)穩(wěn)定可 靠運行、用戶信息和數(shù)據(jù)平安。應(yīng)用加固技術(shù)結(jié)合移動應(yīng)用管理技術(shù)，應(yīng)用上線前，進行應(yīng)用加固、滲透測 試、應(yīng)用合規(guī)檢測保證分發(fā)的移動辦公應(yīng)用平安可信。零信任與威脅感知：借鑒零信任思想，在沙箱等可信工作區(qū)內(nèi)部，根據(jù)應(yīng)用 的不同價值度、敏感度來定義企業(yè)內(nèi)部應(yīng)用之間的邊界，對一些高敏度應(yīng)用進行 基于時間、位置、行為等因素的持續(xù)動態(tài)的增強身份認(rèn)證，確保這些高敏感、高 價值應(yīng)

2、用在正確時間、正確地點、被正確用戶平安訪問。采用大數(shù)據(jù)分析和人工 智能技術(shù)，對用戶、時間、地點、設(shè)備、網(wǎng)絡(luò)、應(yīng)用、系統(tǒng)環(huán)境屬性等訪問上下 文進行感知和建模，持續(xù)進行風(fēng)險檢測、數(shù)據(jù)收集、行為分析、風(fēng)險評估等，實 現(xiàn)風(fēng)險和信任的持續(xù)度量。通過威脅感知預(yù)判應(yīng)用所面臨的威脅，提前動作，防 患于未然。當(dāng)然這中技術(shù)也有缺點，目前誤報率比擬高，適用于對于平安威脅防 御水平有較高要求的場景使用。零信任與訪問控制：在系統(tǒng)化平安防護的基礎(chǔ)上，采用零信任模式增強對核 心應(yīng)用系統(tǒng)和數(shù)據(jù)資源的平安保護。零信任架構(gòu)提供了細粒度、動態(tài)化、基于屬 性的訪問控制，增強了對終端環(huán)境、網(wǎng)絡(luò)環(huán)境、用戶行為等屬性的感知發(fā)現(xiàn)和分 析，可

3、實現(xiàn)在移動辦公過程中實時動態(tài)控制和調(diào)整平安策略的關(guān)鍵能力。保障高 價值應(yīng)用和數(shù)據(jù)資源，尤其是防止內(nèi)部違規(guī)和橫向移動。4 數(shù)據(jù)平安應(yīng)對根據(jù)移動辦公和和移動業(yè)務(wù)應(yīng)用場景對數(shù)據(jù)進行數(shù)據(jù)防泄漏（DLP）策略控 制，主要集中在應(yīng)用的提供控制、數(shù)據(jù)加密、水印、應(yīng)用調(diào)用控制、應(yīng)用功能調(diào) 用限制、應(yīng)用網(wǎng)絡(luò)保護、等方面。應(yīng)用提供控制、應(yīng)用調(diào)用控制、應(yīng)用功能調(diào)用 限制可以通過應(yīng)用平安方面提到的細粒度的訪問控制實現(xiàn)。應(yīng)用網(wǎng)絡(luò)保護可以通 過傳輸平安的策略實現(xiàn)。數(shù)據(jù)加密：數(shù)據(jù)存儲階段，采用應(yīng)用層透明加解密技術(shù)，對需要落地存儲的 文件進行高強度加密存儲，對于數(shù)據(jù)加密密鑰等關(guān)鍵信息通過密鑰沙箱技術(shù)進行 平安存儲。數(shù)據(jù)泄露防

4、護策略防止其他應(yīng)用、惡意軟件對移動辦公產(chǎn)生的數(shù)據(jù)惡 意竊取。移動內(nèi)容管理：辦公文檔向移動終端自動分發(fā)，通過終端客戶端程序預(yù)覽/ 下載、瀏覽、提供相應(yīng)內(nèi)容，實現(xiàn)辦公文件移動管理。同時根據(jù)不同的文檔進行 分級管理,不同人員具有不同的文檔權(quán)限，具有權(quán)限的人員才能對文檔進行操作, 并且記錄員工的每一次訪問及操作，從而到達事后追溯的目的。分發(fā)文檔時指定 文檔可被獲取的權(quán)限，設(shè)定文檔是否允許被下載、是否允許轉(zhuǎn)發(fā)、是否允許被截 屏等權(quán)限。還可通過為文檔設(shè)置有效期，分發(fā)到終端的文檔超過有效期時自動刪 除。文檔在線閱讀：單位不希望機密文件在本地留存數(shù)據(jù)時可設(shè)置在線閱讀，從 而保證文檔的保密性。水印、防截屏：權(quán)限

5、管理禁止應(yīng)用截屏操作、禁止應(yīng)用中的復(fù)制/粘貼等操 作，防止過復(fù)制粘貼和截屏等操作造成數(shù)據(jù)泄露。通過在應(yīng)用、文檔瀏覽等關(guān)鍵 頁面啟用屏幕水印，防止通過屏幕拍照、展示屏幕等方式進行的數(shù)據(jù)泄露，發(fā)生 泄露事件后可以通過水印信息進行源頭追溯、封堵、處置、追責(zé)。審計：平安審計是平安運營的有力支撐措施，移動辦公和移動業(yè)務(wù)應(yīng)用場景 中采用平安審計，對移動應(yīng)用的用戶操作、特權(quán)管理角色的管理操作，對數(shù)據(jù)的 訪問、后臺業(yè)務(wù)系統(tǒng)接入事件的記錄及上報，對用戶下載、查閱文檔的記錄及上 報，對移動應(yīng)用的內(nèi)容進行數(shù)據(jù)采集及上報。另外平安審計數(shù)據(jù)在運營過程中的 積累，也能夠為數(shù)據(jù)分析和平安態(tài)勢感知能力提供主要的數(shù)據(jù)源支撐。4

6、移動辦公平安保障實踐上面對移動辦公平安問題提出了不同角度的應(yīng)對措施，平安移動辦公實踐是 一個系統(tǒng)工程，需要系統(tǒng)規(guī)劃、系統(tǒng)設(shè)計、系統(tǒng)建議、系統(tǒng)運行。任何一個環(huán)節(jié) 的缺失都會帶來短板效應(yīng)。作為一個系統(tǒng)工程，移動平安的保障范圍應(yīng)該是全領(lǐng) 域的覆蓋，從移動終端環(huán)境的防御到移動接入網(wǎng)絡(luò)的保障，從移動應(yīng)用的平安開 發(fā)到移動業(yè)務(wù)平臺的平安加固，以至于移動數(shù)據(jù)的隔離、加密和保護等，當(dāng)然也 缺不了相應(yīng)的平安管理、審計和持續(xù)的平安運營。移動業(yè)務(wù)場景是隨著移動互聯(lián)網(wǎng)開展起來的較新領(lǐng)域，目前針對移動業(yè)務(wù)場 景的平安保障，從國家、到行業(yè)、再到企業(yè)，都已經(jīng)著手建立相關(guān)的平安技術(shù)規(guī) 范，不同層面在標(biāo)準(zhǔn)規(guī)范方面的投入，都是面

7、向移動平安領(lǐng)域非常重要和珍貴的 管理實踐活動。筆者調(diào)研發(fā)現(xiàn)在開展移動辦公的路上各行業(yè)針對自身的行業(yè)特點 制定了相應(yīng)的平安體系，并將前文提到技術(shù)應(yīng)用到了實踐中，下面針對各行業(yè)的 實踐進行分析。4.1公安移動辦公平安保障實踐公安民警的工作地點多是在一線辦案的現(xiàn)場、交通處置的現(xiàn)場等，對移動辦 公、辦案的需求強烈。早在2006年公安部就開始探索移動辦公（稱為移動警務(wù)）， 為民警在一線訪問公安內(nèi)網(wǎng)的數(shù)據(jù)提供了通道。公安部在我國率先制定了平安訪 問平臺、終端平安、訪問控制等一系列的規(guī)范標(biāo)準(zhǔn)，是我國移動辦公的先驅(qū)者。 移動警務(wù)的探索一直沒有間斷，隨著移動通信技術(shù)2G、3G、4G、5G的開展，規(guī) 范標(biāo)準(zhǔn)不斷開

8、展，一直將最新的通信技術(shù)運用到移動警務(wù)中。根據(jù)公安部公開發(fā)布的標(biāo)準(zhǔn)顯示，自2016年至今相繼制定了針對終端、安 全組件、應(yīng)用市場、平安接入、集中管控等多個標(biāo)準(zhǔn)，對各局部都做了詳細的要 求。據(jù)不完全統(tǒng)計全國31個省、自治區(qū)、直轄市建設(shè)有完善的移動警務(wù)的平臺， 服務(wù)民警、輔警近160萬人，實現(xiàn)了 60%以上的業(yè)務(wù)在線辦理。移動警務(wù)是全行 業(yè)移動辦公平安保障實踐的先行者，也是忠實的擁護者。2金融移動辦公平安保障實踐中國人民銀行2019年發(fā)布了 JR/T0092-2019移動金融客戶端應(yīng)用軟件安 全管理規(guī)范，面向金融行業(yè)在移動端開展的資金采集、資訊查詢、信息采集等 類型的應(yīng)用軟件，從身份認(rèn)證、邏輯平安

9、、平安功能設(shè)計、密碼算法和密鑰管理、 數(shù)據(jù)平安等五個方面提出平安技術(shù)要求，從設(shè)計、開發(fā)、發(fā)布、維護四個階段提 出平安管理要求，以規(guī)范金融行業(yè)移動應(yīng)用客戶端軟件的平安保障。以銀行機構(gòu)為代表的金融行業(yè)，往往具備相對復(fù)雜的移動業(yè)務(wù)場景，除去面 向外部用戶的手機銀行B2c應(yīng)用之外，還有眾多面向員工的B2E應(yīng)用場景，既 有統(tǒng)一下發(fā)移動終端的移動展業(yè)業(yè)務(wù)場景，銀行客戶經(jīng)理使用統(tǒng)一配發(fā)的平板設(shè) 備，到企業(yè)客戶現(xiàn)場，完成以信貸業(yè)務(wù)為代表的業(yè)務(wù)開展活動。又有員工自己的 移動辦公場景，行內(nèi)員工使用個人手機，完成電子郵件、移動0A等移動辦公操 作。銀行機構(gòu)對于不同的移動業(yè)務(wù)場景，有不同的平安保障需求。3 物流行業(yè)移

10、動辦公平安保障實踐物流行業(yè)是社會經(jīng)濟生活的重要支撐性行業(yè)，其核心業(yè)務(wù)為快遞業(yè)務(wù)，為了 適應(yīng)快遞業(yè)務(wù)場景，并提高業(yè)務(wù)效率，大型物流服務(wù)公司均全面實現(xiàn)了速遞業(yè)務(wù) 場景的移動化，在移動端開發(fā)了支撐物流快遞業(yè)務(wù)的移動業(yè)務(wù)APP,數(shù)以萬計的 員工及外包合作伙伴使用智能移動端的應(yīng)用，參與和完成快遞業(yè)務(wù)。以順豐、京 東、德邦、菜鳥、蘇寧等較高市場占有率的物流快遞行業(yè)企業(yè)為例，在一定程度 上信息化程度越高，其配送效率越高，企業(yè)效益越好。以某國內(nèi)龍頭物流服務(wù)企業(yè)為例，該企業(yè)的快遞業(yè)務(wù)移動化場景，為業(yè)務(wù)人 員統(tǒng)一配備了專用手機，在使用場景中對業(yè)務(wù)人員使用的移動設(shè)備需要進行統(tǒng)一 的資產(chǎn)管理和策略管理；不允許設(shè)備使用

11、者隨意安裝其他個人應(yīng)用，控制移動設(shè) 備運行環(huán)境因不可控應(yīng)用安裝運行產(chǎn)生的平安風(fēng)險；對移動設(shè)備上的物流業(yè)務(wù)應(yīng) 用進行統(tǒng)一的發(fā)布、推送、安裝、更新等管理；對移動設(shè)備進行統(tǒng)一監(jiān)控，實時 獲取設(shè)備電量、信號強度、物理位置等數(shù)據(jù)；對移動設(shè)備進行業(yè)務(wù)數(shù)據(jù)采集、集 中分析、可視化呈現(xiàn)，為業(yè)務(wù)感知和優(yōu)化決策提供支撐。除上述行業(yè)外在電力巡檢、房地產(chǎn)服務(wù)、司法矯正、電子政務(wù)等行業(yè)也在結(jié) 合自己的行業(yè)特點逐步探索移動辦公的應(yīng)用場景，提高實際工作效率，在此不再 一一列舉。5結(jié)論本文結(jié)合目前各行業(yè)移動辦公的現(xiàn)狀，從移動辦公可能會面臨的各種平安威 脅分析入手，結(jié)合當(dāng)前信息化平安的主流技術(shù)，技術(shù)手段與管理手段并重給出了 移

12、動辦公平安解決方案。文中所提方案是通用解決方案，方案本身具有可落地性，已得到實踐驗證, 但在各單位開展移動辦公的時候還需結(jié)合自身的實際情況、投入產(chǎn)出比進行平安 規(guī)劃，平安無上限，適合的才是最好的。本文認(rèn)為，本次疫情將催生移動辦公需求的增長。當(dāng)疫情結(jié)束之后，移動辦 公需求也不會降低，而是成為固定辦公的有益補充，甚至?xí)蔀槟承┢髽I(yè)的常態(tài)。 筆者期待，在不久的未來，隨著網(wǎng)絡(luò)成熟度的提升和移動辦公體系的成熟完善, 各行業(yè)用戶能夠?qū)崿F(xiàn)三個任意（任意時間、任意地點和任意設(shè)備）的移動辦公 平安目標(biāo)。參考文獻1宋鐵成、宋曉勤.移動通信技術(shù).第一版.人民郵電出版社，2018年：222-223 (著 作圖書文獻)

13、2苗剛中等.網(wǎng)絡(luò)平安攻防技術(shù)：移動平安篇.第一版.科學(xué)出版社，2018年：98- 1233張濱等.移動網(wǎng)絡(luò)平安體系架構(gòu)與防護技術(shù).第一版.人民郵電出版社.2018年： 133-1434肖云鵬、劉宴兵、徐光俠著.移動互聯(lián)網(wǎng)平安技術(shù)解析.第一版.科學(xué)出版社.2015 年：29-34, 157-1665中國互聯(lián)網(wǎng)協(xié)會APP數(shù)據(jù)平安測評服務(wù)工作組.移動應(yīng)用平安形勢分析報告(2020 年)DB/OL ： 9-156謝振華.5G移動網(wǎng)絡(luò)平安技術(shù)分析J.郵電設(shè)計技術(shù)，2019(4): 49-527楊紅梅，林美玉.5G網(wǎng)絡(luò)及平安能力開放技術(shù)研究J.移動通信，2020,44(4): 65-68.8國家信息中心等

14、.GBT35282-2017.信息平安技術(shù)電子政務(wù)移動辦公系統(tǒng)平安技 術(shù)規(guī)范S.中國.中國標(biāo)準(zhǔn)出版社.20179中國科學(xué)院數(shù)據(jù)與通信保護研究教育中心.GM-T 0028-2014.密碼模塊平安技術(shù)要 求S .中國中國標(biāo)準(zhǔn)出版社.201410中國產(chǎn)業(yè)研究院.2021-2023年中國移動警務(wù)行業(yè)開展臺式與前景展望研究報告.中國.中國行業(yè)研究網(wǎng).2021： 32-40.摘要5G支持更多的應(yīng)用場景，它是移動通信上的又一次大的變革，每次變革，都意味著生 產(chǎn)效率的提升，而這也正是科技創(chuàng)新的價值所在。2020年初新冠疫情肆虐以及近日疫情再 次反撲，使得居家遠程辦公、移動辦公再次成為多數(shù)人的選擇，移動辦公可以

15、讓人們在任何 時間、任何地點可以處理任何工作。平安與業(yè)務(wù)總是相伴相生，人們在享用移動辦公帶來的 紅利之時，不可防止地，會遇到終端設(shè)備、傳輸鏈路、應(yīng)用平安、數(shù)據(jù)平安等一系列的平安 問題。本文從不同維度分析移動辦公中出現(xiàn)的問題和潛在風(fēng)險，探索使用身份認(rèn)證、終端管 控、數(shù)據(jù)存儲加密、傳輸加密、訪問控制、平安審計、應(yīng)用加固等措施對移動辦公中遇到的 各薄弱環(huán)節(jié)進行加固，旨在為正蓬勃開展的移動辦公保駕護航。關(guān)鍵詞移動辦公、信息平安、身份認(rèn)證、傳輸加密、零信任目錄 TOC o 1-5 h z HYPERLINK l bookmark18 o Current Document 移動辦公的現(xiàn)狀1 HYPERLI

16、NK l bookmark20 o Current Document 移動辦公平安威脅分析2 HYPERLINK l bookmark22 o Current Document 2. 1終端平安威脅分析2 HYPERLINK l bookmark24 o Current Document 2. 2傳輸平安威脅分析3 HYPERLINK l bookmark26 o Current Document 2.3應(yīng)用平安威脅分析3 HYPERLINK l bookmark28 o Current Document 2.4數(shù)據(jù)平安威脅分析3 HYPERLINK l bookmark30 o Curren

17、t Document 3移動辦公平安問題的應(yīng)對措施4 HYPERLINK l bookmark32 o Current Document 1終端平安應(yīng)對4 HYPERLINK l bookmark34 o Current Document 傳輸平安應(yīng)對5 HYPERLINK l bookmark36 o Current Document 應(yīng)用平安應(yīng)對6 HYPERLINK l bookmark2 o Current Document 數(shù)據(jù)平安應(yīng)對7 HYPERLINK l bookmark4 o Current Document 4移動辦公平安保障實踐8 HYPERLINK l bookmar

18、k10 o Current Document 1公安移動辦公平安保障實踐9 HYPERLINK l bookmark6 o Current Document 2金融移動辦公平安保障實踐9 HYPERLINK l bookmark8 o Current Document 3物流行業(yè)移動辦公平安保障實踐10 HYPERLINK l bookmark12 o Current Document 5結(jié)論10 HYPERLINK l bookmark14 o Current Document 參考文獻12當(dāng)前，以數(shù)字化、網(wǎng)絡(luò)化、智能化為特征的全球第四次工業(yè)革命孕育興起。 作為新一輪科技革命的核心通用技術(shù)，

19、5G以其超大帶寬、超廣連接、超低時延三 大特性，成為全球各國開展重點，對于推動經(jīng)濟轉(zhuǎn)型、社會進步、民生改善具有 重要意義。超大帶寬、超廣連接、超低時延意味著移動辦公所需的移動通信基礎(chǔ) 網(wǎng)絡(luò)條件已具備。2020年突如其來的新冠疫情給沉浸在春節(jié)團圓喜悅中的中國人民按下了暫 停鍵，暫停了走親訪友的腳步，也暫停了假期結(jié)束返工的進程。由于新冠病毒具 有傳播快、傳染性強等特點，足不出戶成了最經(jīng)濟高效的抗疫方式。我國許多單 位采取遠程辦公模式復(fù)工復(fù)產(chǎn)，各大企事業(yè)單位紛紛打造“專屬”的移動辦公系 統(tǒng)。筆者調(diào)研了公安一線民警、電力巡防員、物流快遞員等。他們長期工作在一 線，工作地點不固定，并且需要采集一線的數(shù)據(jù)

20、信息，在一線辦理一些案件、業(yè) 務(wù)。他們對移動辦公有強需求，而且移動辦公對于他們來說不單是處理簽到、考 勤這么簡單的問題，是要涉及業(yè)務(wù)、案件等信息交互的。平安與業(yè)務(wù)總是相伴相 生，如影隨形。人們在享用移動辦公帶來的紅利之時，不可防止地，會遇到一系 列平安問題。筆者從不同的方面分析研究，得出移動辦公中可能會遇到的問題, 并總結(jié)出可行的防護措施。1移動辦公的現(xiàn)狀在移動互聯(lián)網(wǎng)開展的大背景下，政府、金融、醫(yī)療、教育、制造、交通、能 源、服務(wù)等各行業(yè)機構(gòu)的內(nèi)部辦公和業(yè)務(wù)應(yīng)用系統(tǒng)，越來越多實現(xiàn)了移動化，從 傳統(tǒng)面向PC終端提供辦公和業(yè)務(wù)應(yīng)用服務(wù)，擴展到了面向智能移動終端（智能 手機、平板電腦、筆記本電腦等）

21、提供服務(wù)，辦公和業(yè)務(wù)應(yīng)用移動化能夠幫助用 戶擺脫時間和空間的限制，隨時隨地按需要處理工作，從而實現(xiàn)效率提升和協(xié)作 增強。各行業(yè)的辦公和業(yè)務(wù)應(yīng)用移動化，在移動端主要表達為較為通用性的移動辦 公應(yīng)用（如移動0A、即時通訊、文件云盤、電子郵件等）、以及表達各行業(yè)特點 的移動業(yè)務(wù)應(yīng)用（如政府行業(yè)的無紙化會議、銀行業(yè)的移動展業(yè)、房地產(chǎn)服務(wù)行 業(yè)的移動經(jīng)紀(jì)業(yè)務(wù)、物流服務(wù)企業(yè)的移動物流和倉儲管理、能源電力行業(yè)的移動 巡檢和數(shù)據(jù)采集、制造業(yè)企業(yè)的ERP應(yīng)用等）。各行業(yè)移動辦公和業(yè)務(wù)應(yīng)用，在移動端的APP形態(tài)主要包括兩類：一是原生 應(yīng)用形態(tài)，二是基于門戶應(yīng)用的混合應(yīng)用形態(tài)。原生應(yīng)用形態(tài)，通過自主/外包方式設(shè)計開

22、發(fā)獨立的原生應(yīng)用，實現(xiàn)特定業(yè) 務(wù)操作入口，政府、金融、運營商、企業(yè)等機構(gòu)都廣泛使用原生形態(tài)的移動應(yīng)用， 一個行業(yè)機構(gòu)常常為多種業(yè)務(wù)應(yīng)用，開發(fā)多個原生應(yīng)用，供用戶在移動終端安裝 和使用。基于門戶應(yīng)用的混合應(yīng)用形態(tài)，局部政府、企業(yè)機構(gòu)，依托政務(wù)釘釘、企業(yè) 微信、藍信、云之家等第三方門戶應(yīng)用，或者自主/外包方式開發(fā)的門戶應(yīng)用， 在門戶應(yīng)用中嵌入實現(xiàn)特定業(yè)務(wù)操作的小程序/H5輕應(yīng)用，因為門戶應(yīng)用是原生 應(yīng)用，輕應(yīng)用是Web應(yīng)用，所以這種移動端APP被稱為混合應(yīng)用形態(tài)，即在應(yīng)用 客戶端混合使用了 B/S和C/S架構(gòu)。移動辦公采用的通信網(wǎng)絡(luò)主要是4G/5G移動通信互聯(lián)網(wǎng)、無線WIFI、移動 通信運營商提供

23、的專用APN/VPDN網(wǎng)絡(luò)、衛(wèi)星通信網(wǎng)絡(luò)、應(yīng)急專用的LTE網(wǎng)絡(luò)等。 大局部政府單位、企事業(yè)單位都是采用4G/5G移動通信互聯(lián)網(wǎng)、無線WIFI接入 互聯(lián)網(wǎng)的方式，這樣的本錢較低，開展移動辦公的門檻較低，比擬容易實現(xiàn)。當(dāng) 然，這相對專用APN/VPDN、LTE、衛(wèi)星通信網(wǎng)絡(luò)來說平安性較低。2移動辦公平安威脅分析移動辦公從本質(zhì)上改變了傳統(tǒng)的工作模式，也打破了傳統(tǒng)的辦公網(wǎng)絡(luò)平安防 護邊界。通過移動設(shè)備，隨時隨時訪問內(nèi)網(wǎng)數(shù)據(jù)，帶來了新的平安隱患。2.1終端平安威脅分析移動終端設(shè)備紛繁多樣，有手機、平板、筆記本電腦等，種類型號眾多，難 以統(tǒng)一管理。移動辦公終端設(shè)備大多是辦公人員自己的終端，即時是單位統(tǒng)一配

24、發(fā)的終端 也難以做到像單位辦公電腦那樣統(tǒng)一管理。移動終端設(shè)備存在遺失或者被盜風(fēng)險, 終端喪失時其中可能包含企業(yè)敏感數(shù)據(jù)，會造成數(shù)據(jù)泄露。移動終端的使用者身份不可信，身份冒用風(fēng)險是指移動辦公和業(yè)務(wù)應(yīng)用的用 戶賬戶身份信息被破解或泄露后，合法用戶的身份被非法冒用，攻擊者冒充合法 用戶登錄進入系統(tǒng)后，訪問敏感數(shù)據(jù)資源。僅依靠用戶名/靜態(tài)口令的身份認(rèn)證 機制，移動辦公和業(yè)務(wù)應(yīng)用系統(tǒng)很容易發(fā)生身份冒用。2 傳輸平安威脅分析從移動端到服務(wù)端之間的通信，會通過移動互聯(lián)網(wǎng)（運營商移動接入網(wǎng)絡(luò)或 無線WIFL以及有線互聯(lián)網(wǎng)局部）進行，在開放公眾網(wǎng)絡(luò)中，惡意威脅和風(fēng)險水 平較高，因此數(shù)據(jù)通信過程中，同樣會面對通信

25、竊聽導(dǎo)致敏感信息泄露的風(fēng)險和 非法篡改通信內(nèi)容危害通信完整性的風(fēng)險，尤其是行業(yè)機構(gòu)的移動辦公和業(yè)務(wù)應(yīng) 用系統(tǒng)，因為處理和傳輸?shù)臉I(yè)務(wù)數(shù)據(jù)敏感級別比個人消費應(yīng)用更高，一旦發(fā)生信 息竊取或篡改，往往造成更加嚴(yán)重的不良影響。2.3 應(yīng)用平安威脅分析針對辦公終端的惡意病毒木馬，數(shù)據(jù)被竊取。任何通過公開應(yīng)用市場發(fā)布的移動APP都會面臨應(yīng)用仿冒風(fēng)險，該風(fēng)險是 指攻擊者對原官方應(yīng)用程序進行逆向分析后，對程序進行篡改或插入代碼，二次 打包后發(fā)布并誘騙用戶進行下載安裝，以隱私竊取、廣告推送、惡意扣費等方式 侵害用戶利益，實現(xiàn)非法牟利。移動辦公應(yīng)用被安裝在未經(jīng)平安確認(rèn)的移動終端上，移動終端上存在惡意應(yīng) 用，通過界面

26、劫持攻擊非法竊取移動辦公應(yīng)用的數(shù)據(jù)。4 數(shù)據(jù)平安威脅分析個人應(yīng)用和辦公應(yīng)用安裝在同一個終端，個人數(shù)據(jù)與辦公數(shù)據(jù)無法有效區(qū)分 隔離，導(dǎo)致員工可隨意獲取、提供企業(yè)數(shù)據(jù)，造成企業(yè)數(shù)據(jù)信息泄露，給企業(yè)帶 來一定的損失。移動終端上其它個人應(yīng)用，訪問獲取移動辦公和業(yè)務(wù)應(yīng)用的數(shù)據(jù), 造成。員工離職或終端喪失，移動辦公和業(yè)務(wù)數(shù)據(jù)仍然在移動設(shè)備上留存，可能被 非法使用。移動應(yīng)用用戶通過截屏、復(fù)制/粘貼等操作，將辦公和業(yè)務(wù)數(shù)據(jù)發(fā)送 至外部應(yīng)用，或提供到互聯(lián)網(wǎng)。以上是筆者調(diào)查分析中得出的局部平安威脅，并不能預(yù)見全部的平安風(fēng)險。3移動辦公平安問題的應(yīng)對措施得出了移動辦公中所會面臨的平安問題，筆者從終端、傳輸、應(yīng)用、數(shù)

27、據(jù)等 方面著手，采用身份認(rèn)證、終端管控、數(shù)據(jù)存儲加密、傳輸加密、訪問控制、安 全審計、應(yīng)用加固等技術(shù)，提出相應(yīng)的應(yīng)對措施，以保障移動辦公的平安。1 終端平安應(yīng)對終端側(cè)面臨的平安威脅可以采取以下技術(shù)措施進行加固。移動終端管控技術(shù)：在移動辦公終端部署管控插件，管控系統(tǒng)具有操作系統(tǒng) root權(quán)限，可以從系統(tǒng)底層獲取終端的身份，杜絕身份偽造。移動終端管控從設(shè) 備啟用到設(shè)備淘汰進行設(shè)備完整生命周期的管理。從后臺統(tǒng)一平安策略的下發(fā)及 執(zhí)行，對終端統(tǒng)一管理，采用受控、可信的平安管理策略；從后臺可以遠程對移 動終端設(shè)備進行注銷、禁用和鎖定管理，員工離職、調(diào)崗等情況下可以對終端解 除管控；平安準(zhǔn)入檢查、對終端軟

28、硬件環(huán)境、運行狀態(tài)及平安事件的持續(xù)監(jiān)控、 平安審計及預(yù)警，并能夠針對終端違規(guī)行為，采取限制訪問、警告、鎖定、禁用、 數(shù)據(jù)擦除等有效控制措施；在失竊、失控等意外情況下，移動終端辦公數(shù)據(jù)可被 管理后臺遠程銷毀、遠程禁用或重新啟用。密碼及數(shù)字證書技術(shù):根據(jù)國家密碼局網(wǎng)站上公布的符合國密要求的密碼模 塊有多種形態(tài)，TF卡形態(tài)、SIM卡形態(tài)、SDK形式的軟件密碼模塊、USB接口的 密碼模塊等，可以適合各種形態(tài)接口的移動辦公終端。這些密碼模塊通過密碼運 算，可以實現(xiàn)本地辦公數(shù)據(jù)存儲、數(shù)據(jù)通信加解密運算。在密碼模塊中，寫入第 三方CA數(shù)字證書，作為唯一的身份標(biāo)識及后臺身份認(rèn)證依據(jù)，保證非授權(quán)用戶 無法接入移

29、動辦公后臺系統(tǒng)。數(shù)字證書存儲個人身份信息及簽名私鑰，為移動終 端提供數(shù)字簽名、簽名驗證和數(shù)據(jù)加解密等密碼服務(wù)，保證信息的加密性、完整 性和不可抵賴性。必要時，可在密碼模塊證書方式之外，引入多重身份認(rèn)證因子， 輔助進一步提升身份認(rèn)證的平安性。容器/沙箱技術(shù)：容器/沙箱技術(shù)是一種按照平安策略，限制程序行為的執(zhí)行 環(huán)境，早期主要用于測試可疑軟件等，現(xiàn)在那么主要運用在信息平安防御中，是比 較新的技術(shù)。沙箱技術(shù)與本地數(shù)據(jù)加密技術(shù)相結(jié)合，構(gòu)建平安可信的虛擬運行環(huán) 境。沙箱在讀寫數(shù)據(jù)時，采用軟密碼算法或直接調(diào)用上述密碼模塊（如TF密碼 卡），對辦公數(shù)據(jù)進行加密存儲、解密訪問，形成針對移動辦公應(yīng)用的獨立、可

30、信的平安運行空間，保障移動辦公數(shù)據(jù)的平安，杜絕其他個人應(yīng)用或者惡意軟件 對辦公數(shù)據(jù)的竊取。并在刪除時徹底清除數(shù)據(jù)存儲空間，從而滿足數(shù)據(jù)的平安需 求。威脅感知防御技術(shù)：近些年針對Oday漏洞等發(fā)起持續(xù)的ATP攻擊是比擬高 級的攻擊，并且成功率很高，單一的防控措施難以起效，采用平安服務(wù)企業(yè)的移 動威脅感知平臺，智能捕獲App運行時各種攻擊行為，實時平安防控提升風(fēng)險監(jiān) 測能力。梆梆平安渠道監(jiān)測系統(tǒng)，提供針對移動辦公App的仿冒、釣魚應(yīng)用監(jiān) 測，及時通知、預(yù)警，并快速聯(lián)系渠道下架仿冒、釣魚應(yīng)用，防止后續(xù)攻擊及媒 體影響。同時需要注意的是，移動辦公針對設(shè)備的管理可能會有終端權(quán)限過度索取的 情況，筆者認(rèn)為在對辦公設(shè)備管理的同時也需要遵守中華人民共和國個人信息 保護法等法律法規(guī)對個人隱私保護的相關(guān)規(guī)定，不能為了辦公數(shù)據(jù)的平安侵犯 個人隱私。2 傳輸平安應(yīng)對對于傳輸平安可以采用VPN技術(shù)、國密密碼技術(shù)、訪問控制技術(shù)、PKI技術(shù) 體系等進行傳輸層面的平安防護。移動終端遠程接入移動辦公后臺包括3種方式：基于互聯(lián)網(wǎng)接入、基于專線 接入、基于VPN接入?；诨ヂ?lián)網(wǎng)接入靈活便捷，但平安性較差，訪問速度慢； 基于專線接入速度快，可靠性佳，用戶體驗好，但價格昂貴、靈活性差，適用于 特定行業(yè)；基于VPN接入既靈活便捷，又能保證平安性和傳輸效率，集合了互