基于智能網(wǎng)絡(luò)與虛擬化計算的移動辦公系統(tǒng)信息安全的研究與應(yīng)用

時長江 張柏青 趙 謙 鄭 雯

（山東檢驗檢疫局 山東 266001）

0 引言

隨著移動互聯(lián)和云計算技術(shù)的迅猛發(fā)展，3G/4GLTE/WiFi網(wǎng)絡(luò)日臻成熟和穩(wěn)定，智能終端廣泛使用，任何人、在任何地點、使用任何終端、任何方式實現(xiàn)沒有邊界的協(xié)同辦公環(huán)境已成為一種趨勢，以數(shù)據(jù)、音頻和視頻為主要載體的移動辦公系統(tǒng)具備移動終端（3G移動辦公上網(wǎng)卡、筆記本、平板電腦及智能手機等）與應(yīng)用數(shù)據(jù)分離，移動辦公終端與應(yīng)用有機融合，實現(xiàn)遠程移動辦公、檢驗檢疫結(jié)果登記、下達放行指令，視頻交流與業(yè)務(wù)協(xié)同互動。

1 移動辦公系統(tǒng)面臨的信息安全風(fēng)險分析

由于移動辦公要經(jīng)過 3G無線網(wǎng)絡(luò)與內(nèi)部網(wǎng)連接，內(nèi)網(wǎng)的信息和數(shù)據(jù)完整性、一致性，交互應(yīng)用的可靠性和安全性是一個重要問題。移動辦公系統(tǒng)面臨的信息安全風(fēng)險主要包括VPDN接入安全風(fēng)險：VPDN AAA認證服務(wù)器存在操作系統(tǒng)平臺的系統(tǒng)漏洞、應(yīng)用漏洞和安全配置等問題。智能終端的安全風(fēng)險：根據(jù)IBM《2011年安全趨勢和風(fēng)險報告》提供的數(shù)據(jù)，移動設(shè)備被漏洞攻擊在2011年增加了19%，手機病毒和后門程序可以竊取用戶敏感信息時有發(fā)生。云計算的主要安全威脅：云計算服務(wù)推動了Internet的Web化趨勢，多客戶、虛擬化、動態(tài)、業(yè)務(wù)邏輯服務(wù)復(fù)雜、用戶參與等Web2.0廣泛應(yīng)用，Web安全漏洞和云服務(wù)的特點面臨著網(wǎng)絡(luò)安全新挑戰(zhàn)。內(nèi)部的數(shù)據(jù)泄漏和濫用：單位內(nèi)部的重要數(shù)據(jù)和業(yè)務(wù)應(yīng)用處于云服務(wù)的IT系統(tǒng)中，如何避免云計算環(huán)境中多客戶共存帶來的潛在風(fēng)險，成為云計算環(huán)境下用戶的面臨著的安全挑戰(zhàn)。虛擬化服務(wù)的安全威脅：傳統(tǒng)的 IDS、安全審計產(chǎn)品不可識別虛擬化環(huán)境下的各種安全漏洞。虛擬桌面和虛擬應(yīng)用的安全威脅：虛擬機被惡意訪問和修改的風(fēng)險依然存在。

因此，必須建立一套以網(wǎng)絡(luò)通信、區(qū)域邊界、云計算環(huán)境、安全管控中心為基礎(chǔ)的信息安全平臺，在此平臺上建成一個穩(wěn)定、可靠的移動辦公系統(tǒng)，兼容各種應(yīng)用系統(tǒng)和終端，智慧質(zhì)檢提供一個安全的可信可控可管移動應(yīng)用環(huán)境。

2 移動辦公系統(tǒng)的設(shè)計與實現(xiàn)

按照 GB/17859要求，移動辦公系統(tǒng)是在安全管理中心支持下由通信網(wǎng)絡(luò)、區(qū)域邊界和云計算環(huán)境組成的可信、可控、可管安全平臺?；诳尚庞嬎愕囊苿愚k公系統(tǒng)技術(shù)架構(gòu)如圖 1所示?？尚牛横槍σ苿愚k公系統(tǒng)計算資源（軟硬件）構(gòu)建保護環(huán)境，對計算資源進行保護。可控：針對移動辦公系統(tǒng)信息資源（數(shù)據(jù)及應(yīng)用）以訪問控制為核心，實行用戶按策略規(guī)則訪問信息資源?？晒埽罕ＷC資源安全強調(diào)最小權(quán)限管理，不許設(shè)超級用戶。

圖1 移動辦公系統(tǒng)技術(shù)架構(gòu)

移動終端用戶設(shè)置APN信息請求接入3G VPDN專網(wǎng)，內(nèi)部三A認證服務(wù)器對其手機號、手機卡信息、用戶名和密碼進行強身份認證+復(fù)合身份認證方式，即通過機器指紋、指紋等生物特征和CA key等認證方式接入云計算平臺，實現(xiàn)安全認證、網(wǎng)絡(luò)可用。利用虛擬化技術(shù)對服務(wù)器等硬件資源進行整合，組建基于A/S架構(gòu)的跨平臺跨終端的計算模式，實現(xiàn)了基于云計算，統(tǒng)一部署、集中管理、可控可管、安全可用的移動辦公系統(tǒng)。在云計算平臺上發(fā)布電腦桌面和應(yīng)用軟件，部署業(yè)務(wù)系統(tǒng)的資源，認證通過后獲得訪問安全專區(qū)的權(quán)限，安全專區(qū)邊界防火墻通過端口映射將CITRIX認證服務(wù)器發(fā)布出去。使用人員通過各種終端設(shè)備在通過CITRIX認證服務(wù)器的認證后，獲得CITRIX提供的虛擬桌面資源。利用面向應(yīng)用層面的身份認證、業(yè)務(wù)系統(tǒng)使用過程快照記錄和應(yīng)用安全審計體系，實現(xiàn)了信息安全的過程控制和事后的可追溯。

2.1 網(wǎng)絡(luò)通信系統(tǒng)

通信網(wǎng)絡(luò)子系統(tǒng)通過對通信數(shù)據(jù)包的保密性和完整性進行保護，確保其在傳輸過程中不會被非授權(quán)竊聽和篡改，使得數(shù)據(jù)在傳輸過程中的安全得到了保障。移動辦公系統(tǒng)采用如圖 2所示的多運營商3G VPDN接入方式，采用3G虛擬撥號專網(wǎng)（VPDN）線路，實現(xiàn)移動辦公3G網(wǎng)絡(luò)與互聯(lián)網(wǎng)的有效隔離。在移動終端上，可以通過APN設(shè)置來選擇VPDN線路。電信運營商3G VPDN專網(wǎng)通過專用的APN域名接入并進行3A認證，包括3G SIM卡信息認證和帳號用戶名等多項身份認證，根據(jù)手機號碼和移動終端的 IP地址區(qū)分不同的電信運營商的VPDN專線，經(jīng)過區(qū)域邊界接入到內(nèi)部云計算數(shù)據(jù)中心。

圖2 多運營商3GVPDN接入示意圖

VPDN采用的安全技術(shù)措施主要包括：（1）獨立 APN：在基站接入層面通過給每個用戶部門設(shè)立獨立的APN，實現(xiàn)不同用戶部門通過無限數(shù)據(jù)通訊接入。（2）L2TP/GRE鏈路加密：提供L2TP/GRE兩種方式的鏈路加密協(xié)議，保障鏈路的安全性。（3）AAA認證：通過專門的AAA認證中心，對智能終端進行鑒權(quán)和認證。（4）帳號和USIM卡綁定：將遠端用戶撥號的帳號和USIM卡綁定，實現(xiàn)特定帳號只能在特定卡上進行撥號，實現(xiàn)特定卡號分配特定IP地址。

2.2 云計算系統(tǒng)

移動辦公系統(tǒng)采用應(yīng)用交付設(shè)計理念，應(yīng)用服務(wù)器虛擬化、應(yīng)用、網(wǎng)絡(luò)虛擬化和桌面虛擬化等組成云計算平臺，如圖3所示。發(fā)布的應(yīng)用系統(tǒng)部署在云計算中心，實現(xiàn)數(shù)據(jù)應(yīng)用與終端分離，用戶按需獲得內(nèi)部移動辦公虛擬化資源，滿足應(yīng)用系統(tǒng)和桌面等辦公資源跨平臺遷移。

圖3 云計算部署環(huán)境

云計算環(huán)境包括三個部分：（1）利用一體化交換技術(shù)（Fcoe）整合多種網(wǎng)絡(luò)資源，實現(xiàn)跨平臺資源調(diào)度的虛擬化網(wǎng)絡(luò)。（2）利用服務(wù)器虛擬化（Vmware）技術(shù)實現(xiàn)服務(wù)器和存儲端的虛擬化，底層硬件服務(wù)器為CISCO UCS刀片式服務(wù)器，利用虛擬化技術(shù)VMWARE將物理服務(wù)器虛擬成多個邏輯服務(wù)器，提供高性能的網(wǎng)絡(luò)、存儲和計算資源。（3）利用桌面虛擬化技術(shù)（CTRIX）實現(xiàn)桌面虛擬化，具有用戶虛擬桌面發(fā)布和用戶操作軟件的虛擬發(fā)布功能。由于移動用戶最終得到的是個遠程桌面的鏡像，移動終端與虛擬桌面之間的 3G專網(wǎng)上并無真實數(shù)據(jù)傳輸，用戶端的病毒、木馬不會被傳播到安全區(qū)域的虛擬桌面，移動終端不會保留真實數(shù)據(jù)，從網(wǎng)絡(luò)層面和數(shù)據(jù)層面都保證了系統(tǒng)的安全性。

2.3 區(qū)域邊界系統(tǒng)

通過部署在區(qū)域邊界上安全網(wǎng)關(guān)、防火墻、網(wǎng)閘等全方位地對網(wǎng)絡(luò)實行安全保護，控制移動辦公系統(tǒng)對內(nèi)部局域網(wǎng)的訪問，保證共享資源的可信連接，如圖4所示。在內(nèi)網(wǎng)與移動辦公系統(tǒng)之間設(shè)置專門網(wǎng)閘對網(wǎng)絡(luò)進行隔離，只有符合TCP80端口的流量才會穿越網(wǎng)閘，實現(xiàn)數(shù)據(jù)單向擺渡，傳到內(nèi)網(wǎng)，其它流量一律不允許從移動辦公系統(tǒng)穿越到內(nèi)網(wǎng)。

圖4 區(qū)域邊界安全策略

將移動辦公系統(tǒng)按不同功能劃分 3G網(wǎng)絡(luò)通信區(qū)和內(nèi)網(wǎng)的云計算數(shù)據(jù)中心，這兩個區(qū)域通過物理隔離網(wǎng)閘進行單向數(shù)據(jù)擺渡，保證內(nèi)部資源不被暴露。采用SSL VPN設(shè)備，在移動終端和業(yè)務(wù)應(yīng)用服務(wù)間進行數(shù)據(jù)再加密。用戶使用CITRIX移動終端客戶端請求接入，虛擬化服務(wù)器根據(jù)用戶密碼對客戶端進行驗證，驗證通過分配給客戶端一個虛擬桌面。用戶將通過虛擬桌面從網(wǎng)閘獲取內(nèi)部業(yè)務(wù)系統(tǒng)資源。

在虛擬化平臺上部署防病毒系統(tǒng)Deep Security，與VMware vSphere無縫集成。通過VMware提供的vShield API，無需在虛擬機上安裝防病毒客戶端程序，即可實現(xiàn)虛擬環(huán)境下防病毒、防火墻、虛擬補丁功能。VMware平臺由5臺物理服務(wù)器構(gòu)成，在5臺ESX Server上安裝部署DS，如圖5所示。每臺虛擬機上安裝防病毒軟件，更新病毒碼和啟用預(yù)設(shè)掃描資源占有率大約在60%-70%左右，部署DS其占有率僅為20%左右。

圖5 服務(wù)器虛擬化安裝DS

2.4 安全管理中心系統(tǒng)

通過認證、授權(quán)、審計、實施訪問控制策略，實現(xiàn)對區(qū)域邊界系統(tǒng)、對通信網(wǎng)絡(luò)和云計算環(huán)境的集中管理和信息系統(tǒng)的行為審計。在3G無線接入和安全認證的基礎(chǔ)上，使用VPDN專線接入方式+SSL VPN加密和接入網(wǎng)關(guān)，將移動辦公終端的唯一的機器特征與使用人員的生物特征、CA認證相結(jié)合，形成 3G增強型的身份鑒別和認證接入平臺。實現(xiàn)人機合一，專人、專機專網(wǎng)、專用，通過桌面虛擬化軟件，建立應(yīng)用發(fā)布服務(wù)器的虛擬桌面和應(yīng)用邏輯，提供安全可靠移動辦公應(yīng)用平臺。

SSL VPN支持與生物識別指紋認證，接入認證方式為用戶名+口令+生物識別指紋識別.支持雙因素認證，可以通過用戶名+口令+生物識別指紋識別+數(shù)字證書（或USBkey）實現(xiàn)更高級別的認證。認證方式如圖6所示。

將指紋識別技術(shù)、數(shù)字證書等技術(shù)通過虛擬化技術(shù)實現(xiàn)，增強系統(tǒng)的不可抵賴性。根據(jù)不同的應(yīng)用場景，提供不同組合方式的身份驗證模式。模式 1（訪問終端不固定，在辦公室或家中，使用PC、平板電腦或手機），認證方式：用戶名+密碼+機器指紋。模式2（訪問終端固定），認證方式：數(shù)字證書Ukey+機器指紋。模式3（訪問終端固定），認證方式：用戶名+密碼+指紋認證+綁定硬件特征碼。

審計功能可以監(jiān)控移動辦公系統(tǒng)敏感數(shù)據(jù)的操作，對重要應(yīng)用系統(tǒng)的變更操作、鼠標移動和擊鍵信息進行屏幕錄像，特定用戶、應(yīng)用和服務(wù)器進行監(jiān)控，對錄像文件進行數(shù)字簽名保證安全。

3 總結(jié)

本文提出的移動辦公系統(tǒng)技術(shù)架構(gòu)滿足了可信可控可管的技術(shù)要求，由管理中心、網(wǎng)絡(luò)通信、區(qū)域邊界和云計算環(huán)境等組成的信息安全平臺保證了移動辦公系統(tǒng)的穩(wěn)定可靠運行。隨著移動終端性能不斷提升，私有云、公有云逐步建設(shè)，基于WEB2.0技術(shù)的在線應(yīng)用的發(fā)展，應(yīng)用交付的范圍和內(nèi)容都將快速增大和豐富，移動辦公也將從輔助辦公手段發(fā)展成常規(guī)甚至主要辦公方式。

[1]張應(yīng)福.黃鵬.陳超.云計算技術(shù)及其在下一代數(shù)據(jù)中心建設(shè)中的應(yīng)用.《通信與信息技術(shù)》2011年第1期

[2]許志敏.白克壯.服務(wù)器虛擬化技術(shù)在數(shù)據(jù)中心的應(yīng)用探索.《2010年第二十四界全國計算機信息管理學(xué)術(shù)研討會》（會議論文）

[3]范君.應(yīng)用交付網(wǎng)絡(luò)架構(gòu)設(shè)計與研究.《計算機與數(shù)字工程》2010年第12期

[4]嚴麗云，鐘偉彬，李蓉蓉，張凌. 基于應(yīng)用虛擬化的智能終端關(guān)鍵技術(shù)研究. 電信科學(xué)，2012，（5）：9-13.