摘 要：在企業數字化轉型的大時代背景下，企業移動應用推動了傳統行業的重構與融合。由于移動應用已成為企業經營活動密不可分的一部分，其安全性和可靠性對企業影響重大。然而，企業移動應用的平台化、服務化演進趨勢，使得傳統獨立、分散的安全機制和手段很難靈活、高效地滿足企業移動應用快速變化的安全防護要求。為解決這一問題，借鑒安全功能虛拟化、服務化思想，提出支援靈活內建、編排、擴充安全服務的企業級安全服務架構，整合移動領域各類安全裝置、技術、工具，建構具備應用安全、終端安全、資料安全和安全運維管理能力的企業移動應用安全防護體系。
内容目錄：
1 企業移動網際網路應用的安全需求以及面臨的安全威脅
1.1 安全需求
1.2 安全威脅
2 企業移動網際網路應用安全能力要求
3 企業移動網際網路應用安全防護體系
3.1 總體設計思路
3.2 總體架構
3.3 技術架構
3.4 産品組成及功能
4 企業移動網際網路應用安全關鍵技術
4.1 安全服務智能編排與協同技術
4.2 移動終端輕量化虛拟工作空間技術
4.3 移動安全态勢感覺技術
5 結 語
移動網際網路為人們的生産生活和企業經營活動帶來便利的同時，也面臨由于網絡開放性、終端易失性、應用多樣性等帶來的安全風險和諸多不可控因素。近年來，随着 4G/5G 移動通信技術的廣泛應用，移動網際網路應用數量呈現爆發式增長，而現有移動網際網路的安全防護主要針對移動網絡和移動終端，移動應用的安全防護手段相對缺失，這就導緻很多惡意應用的滋生和泛濫，不法分子利用惡意應用進行使用者敏感資料竊取、惡意扣費、系統破壞等，使得安全事件層出不窮，安全形勢異常嚴峻 。企業移動網際網路應用雖然采用了移動專網作為業務承載平台，使網絡層面的安全風險大為降低，但應用開發、測試仍然很難脫離開放網絡環境，原有的安全問題很可能引入到相對封閉的企業移動專網，是以迫切需要針對企業移動網際網路應用面臨的安全威脅和需求建構全方位立體化的移動應用安全防護體系。
随着業務架構技術的不斷演進，企業移動網際網路應用已經發生巨大變化，移動應用的後端系統通過共性業務的抽取和重組，形成了各種業務中台，應用創新和傳遞能力大大提升，而傳統的移動應用安全手段異構分散、內建擴充能力弱，很難适應服務化、平台化的移動應用快速傳遞模式。同時，企業移動網際網路應用的快速增長使得移動使用者激增，而現有的系統缺少針對移動應用安全态勢監測的手段，系統安全運維和威脅響應處置的能力較弱。另外，企業移動網際網路應用種類多樣，安全防護需求各不相同，需要針對不同應用采取差異化的安全防護機制。移動終端是企業移動網際網路應用的承載平台，終端的安全關乎移動應用能否得到可靠保障，而現有的移動終端防護手段參差不齊，未能形成雲端協同的移動終端安全防護能力。本文圍繞企業移動網際網路應用的安全需求，重點針對以上問題開展移動應用安全防護技術研究。
1 企業移動網際網路應用的安全需求以及面臨的安全威脅
1.1 安全需求
為建立企業移動應用健康生态，保障企業移動應用效能發揮，企業移動應用服務系統的建設應充分考慮企業移動應用安全能力的建設。具體需求如下文所述。
（1）企業移動業務的敏感性要求系統必須采取覆寫移動應用全生命周期的高安全防護機制。
與個人消費者移動應用相比，企業移動應用的顯著特點是業務本身的敏感性，特别是企業敏感程度較高的辦公類、生産類、銷售類應用，其業務更需要嚴格保護。是以，應針對企業移動應用全生命周期（包括應用設計開發、測試驗證、上架釋出、運作維護、終止營運等 ）制定企業移動應用安全防護技術要求和管理規範，綜合采取多種安全防護措施。例如，移動應用的業務邏輯、資料以及運作環境必須采取嚴格的隔離防護機制，關鍵資料、資訊應進行安全存儲和傳輸，重要内容的通路應嚴格采取身份認證、通路控制、關鍵資料保護、追蹤溯源等措施，防止核心資料洩露，為企業移動應用提供高安全防護能力。
（2）企業移動業務的多樣性及其面臨的安全威脅要求系統必須具備按需安全防護和快速威脅響應能力。
企業移動業務的種類和場景多樣，不同種類的業務安全防護要求不同，相同業務在不同應用場景下的安全防護要求也不盡相同，這就需要系統具備按需的移動應用安全防護能力，能根據不同應用場景動态調整業務安全政策，同時針對不同移動業務提供差異化的安全機制。由于企業移動業務的重要性和特殊性，其面臨的安全風險将比公衆移動網絡更加突出和嚴峻，一旦遭受攻擊其影響和後果将非常嚴重。為此，企業移動應用服務系統建設應加強威脅感覺、預警、防護、檢測、響應和恢複的能力，能夠及時發現系統中的攻擊事件，對移動應用核心資産進行全方位保護，分析和預測企業移動應用安全态勢，當發生攻擊行為時能夠快速做出處置和恢複系統正常運作，進而形成一個動态防禦的閉環體系 。
（3）企業移動業務和資料能力的平台化要求系統必須具備服務化、平台化和可擴充的安全防護能力。
為了建立企業移動應用生态，支撐企業移動應用的快速開發和傳遞，企業移動應用服務系統必須實作業務能力和資料能力的高效整合與複用。為此，企業移動應用服務系統建設采取了軟體中台的技術路線，建構業務中台、資料中台、開發平台等，這就要求企業移動業務的安全能力必須實作與業務和資料平台的無縫整合。然而目前企業移動應用的安全手段異構分散，未實作安全功能的服務化，內建與傳遞能力弱，功能擴充難，無法支援各類平台的統一調用。是以急需利用軟體定義安全、安全功能服務化思想，內建改造企業已有基礎安全能力，有效整合移動領域各類安全裝置、技術、工具，建構服務化、平台化、可擴充的企業移動應用安全服務系統，提供統一的安全服務接口，實作與業務中台、資料中台的無縫整合，按需為企業移動業務提供各類應用安全服務功能。
（4）企業移動業務的統一高效運維要求系統具備智能化的移動應用安全态勢監測與安全管理能力。
企業移動應用系統效能的發揮需要統一、高效的運維保障，而移動應用的安全運維是其中的關鍵環節之一。為支撐企業移動應用動态防禦體系的運作，系統必須具備移動應用安全态勢智能化感覺、分析、呈現和政策優化手段，實作安全事件、安全威脅的及時發現和監測預警。同時，為實作日常運維保障，系統還應提供自動化的安全管理工具，支撐運維人員、安全專家通過統一的管理入口，監控各類安全服務運作狀态，配置調整安全政策，分析和處理安全事件，更新維護安全軟體和各類安全載荷等。
1.2 安全威脅
YD/T 2694—2014《移動網際網路聯網應用安全防護要求》 對移動網際網路聯網應用的重要資産進行了定義。
（1）移動網際網路聯網應用用戶端軟體；
（2）移動網際網路聯網背景系統和操作維護終端硬體及相關軟體；
（3）移動網際網路應用關鍵資料。
也就是說，在讨論移動網際網路安全的時候，需要重點考慮移動應用、移動應用運作環境、移動資料所面臨的安全威脅，具體如下文所述。
1.2.1 移動應用
在 App 設 計 開 發 階 段 使 用 開 放 網 絡 環境 中 未 經 安 全 檢 測 的 軟 件 開 發 包（Software Development Kit，SDK），或在 App 上架釋出階段釋出未經安全檢測的 App，可能引入代碼漏洞、預置後門、惡意代碼植入等安全問題，導緻敏感資訊洩露，或造成系統破壞導緻功能異常等。
在 App 運作階段，使用者未經身份認證，可能導緻非授權使用者竊取、篡改企業敏感業務資料，破壞系統正常運作；攻擊者利用應用存在的漏洞，越權通路檔案、資料和其他軟硬體資源，洩露企業或個人隐私資料；移動 App 利用熱更新技術進行更新維護，極易造成未經過安全檢測的更新包繞過系統安全機制，安裝到移動終端的現象，存在極大的安全風險。
1.2.2 移動應用運作環境
移動應用運作環境包括移動終端和背景移動應用伺服器。在移動終端方面，攻擊者利用漏洞或預先植入的後門等，擷取系統權限，非法通路終端外設和應用資料，導緻企業敏感資料洩露和應用資源被破壞；終端系統可能面臨預置後門、木馬、病毒、蠕蟲、僵屍等惡意代碼攻擊，導緻資料洩露、篡改、損壞，業務中斷、系統癱瘓等一系列問題。由于大多數背景系統采用雲平台建構技術，是以，存在多租戶的應用業務和資料隔離的安全風險；另外，攻擊者利用被攻破的移動裝置對背景移動應用發起分布式拒絕服務攻擊（Distributed Denial of Service，DDoS），可能造成系統服務癱瘓。
1.2.3 移動資料
攻擊者或非授權使用者能夠很容易地擷取到未經通路控制和存儲保護的移動端資料；采用拍攝、錄制等方式竊取移動端資料，一旦資料洩露，造成後果，将很難進行責任認定；移動使用者在系統中釋出敏感資訊和不當言論，缺少檢測手段，極易對企業經營造成嚴重影響。
2 企業移動網際網路應用安全能力要求
針對企業移動網際網路應用安全需求及面 臨 的 安 全 威 脅， 系 統 必 須 具 備 以 下 安 全能力 ：
（1）應用安全防護能力。針對移動應用設計開發、測試驗證、上架釋出環節面臨的安全威脅，需要重點關注移動應用的安全設計、安全檢測和安全內建，系統應提供移動應用安全開發指南，支撐移動應用安全設計；提供安全開發元件，供移動應用內建；提供應用 App 與SDK 安全檢測、安全加強、傳遞驗證能力；針對應用運作維護環節面臨的安全威脅，系統應具備統一身份認證、通路控制、會話安全管控、惡意代碼檢測、行為分析檢測、應用更新管控等能力。
（2）終端安全防護能力。針對企業移動網際網路應用在終端側運作可能面臨的安全威脅，系統應具備終端資源通路控制、終端外設權限管控、應用運作環境隔離、終端可信運作控制、終端可信度量與狀态鑒别、終端惡意代碼檢測等安全防護能力。
（3）資料安全防護能力。針對企業移動網際網路應用業務資料可能面臨的安全威脅，系統應具備業務資料通路控制、資料安全存儲與擦除、資料追蹤溯源與責任認定、業務敏感資訊檢測等安全防護能力。
（4）通信網絡安全能力。針對企業移動網際網路應用在網絡傳輸過程面臨的安全威脅，系統應具備資料傳輸過程中的機密性、完整性保護能力。同時，針對移動網絡自身面臨的安全威脅，系統應具備終端接入控制、虛拟專用網（Virtual Private Network，VPN）、網絡邊界防護、網絡攻擊檢測等安全防護能力。
（5）移動應用安全運維能力。針對企業移動網際網路應用高效安全運維的需求，系統應提供統一的安全管理門戶，具備應用安全政策、安全服務、移動應用的自動化、智能化管理能力；同時，為支援動态防禦體系的建構，系統應具備移動應用監測預警能力，提供移動應用安全資料采集與分析、安全态勢呈現、系統安全政策優化等功能。
（6）安全功能服務化與動态調整能力。為支援企業移動網際網路應用的快速開發和能力傳遞，應建構統一的應用安全服務平台，支援安全功能的服務化和安全能力的高效整合，與移動業務無縫融合，靈活建構滿足企業要求的安全移動業務；為應對高速變化的移動應用安全威脅，以及高強度持續性攻擊風險，應用安全服務平台應能夠根據差異化安全需求和應急響應處置的需要，快速編排安全服務和動态調整安全政策。
3 企業移動網際網路應用安全防護體系
3.1 總體設計思路
為滿足企業移動網際網路應用安全防護需求，應充分利用移動通信網絡安全能力，整合移動網際網路應用安全服務資源、先進技術和成熟工具，建構具備“3+1”移動應用安全能力體系（包括應用安全、終端安全、資料安全和應用安全運維管理）的企業移動應用安全中台，支撐企業移動網際網路應用動态防禦能力的形成，為企業移動網際網路應用提供智能化、協同化、可持續的全生命周期安全保障。系統總體設計思路如圖 1 所示。
圖 1 企業移動網際網路應用安全中台設計思路
安全中台采用服務化設計思想，制定統一的安全服務标準規範，對引入的第三方安全廠商的安全産品進行服務化改造，以服務的方式部署在雲端和移動終端，與移動應用服務內建，支援安全服務的統一調用和安全能力的動态調整，為企業使用者提供差異化的應用安全服務，為運維人員提供安全運維管理手段，為移動應用開發提供元件化的安全支撐。同時，安全中台還提供應急響應和處置手段，友善安全專家通過人工或自動化工具完成應急響應和事件的處置。
3.2 總體架構
企業移動應用通常采用“雲、網、端”的系統架構，遵循“輕終端、強背景”的設計原則，參考行業内企業移動應用安全平台架構 ，中台采用“雲端 + 終端”的應用安全防護體系結構，通過雲端協同滿足企業移動網際網路應用安全防護需求。“雲端”部分內建部署到雲端業務系統，通過統一調用接口，提供應用安全、終端安全、資料安全和安全運維管理能力。“終端”部分嵌入到企業使用者手機，通過移動終端安全容器和各類安全元件構成移動終端安全防護用戶端，将安全能力延伸到移動終端，實作終端安全資料采集、終端安全檢測、終端安全控制等功能。安全中台的總體架構如圖 2 所示。
圖 2 企業移動網際網路應用安全中台總體架構
安全中台的“雲端”部分通過企業移動通信網絡建構的安全傳輸通道，與“終端”部分進行資訊互動，實作終端資料采集、政策分發、遠端控制等功能。安全中台的“雲端”部分将安全服務能力接口注冊釋出到業務能力內建架構，其他中台、移動應用通過業務能力內建架構實作對安全服務的集中調用。安全中台的“終端”部分通過移動終端安全防護用戶端對外提供安全元件調用接口，移動 App 通過系列元件接口調用終端安全功能。
3.2.1 安全中台“雲端”部分
安全中台“雲端”部分主要包括應用安全、終端安全、資料安全 3 類安全服務，以及安全運維管理系統。其中，應用安全服務包含移動身份認證服務、移動應用安全檢測服務、移動應用可信簽名服務；終端安全服務包含移動終端可信配置管理服務、移動終端安全防護服務、移動病毒防護服務；資料安全服務包含移動資料安全治理服務、移動資料溯源服務；安全運維管理系統包含移動安全态勢感覺系統、移動應用安全綜合管理系統。
3.2.2 安全中台“終端”部分
安 全 中 台“ 終 端” 部 分， 即 移 動 終 端 安全防護用戶端，包含移動終端安全容器和終端安全元件，其中容器提供元件管理、安全政策分發、元件通路控制、終端安全狀态呈現、終端安全評估等功能，是終端安全核心功能實體。終端安全元件實作安全中台各類“雲端”安全服務的終端側安全功能，包含安全工作空間、行為采集、終端安全檢測、終端安全控制和第三方安全元件。其中，終端安全工作空間在企業使用者手機上建構了一個虛拟安全桌面，為敏感企業移動應用提供了安全隔離運作環境。各類 App 均通過移動終端安全防護用戶端提供标準接口，實作對各類安全元件的功能調用。
3.3 技術架構
安全中台采用服務化設計思想，将各類安全功能以服務化、可插拔的軟體技術架構，建構松耦合安全服務體系。安全中台的“雲端”和“終端”部分的技術架構均可以劃分為系統層、支撐層和服務層 3 個層次，如圖 3 所示。
圖 3 企業移動網際網路應用安全中台技術架構
3.3.1 系統層
安全中台的“雲端”部分部署在雲計算環境，其系統層主要包含虛拟機、作業系統和資料庫，作業系統可以是 Windows 或 Linux 作業系統。“終端”部分部署在企業使用者手機，其系統層主要包含手機的作業系統。
3.3.2 支撐層
安全中台的服務接口調用、雲端協同互動均基于支撐層提供的資料互動能力。支撐層主要 包 括 底 層 的 TCP/IP 協 議、 應 用 層 HTTP 或HTTPs 協定，以及基于 HTTP 的 RESTful 接口協定。此外，雲端還包含安全服務通路網關，支援安全服務管理、服務統一通路控制；終端包含移動終端安全容器，提供終端軟體的安全運作環境。
3.3.3 服務層
安全中台的服務層實作移動應用的核心安全能力，“雲端”和“終端”分别采用不同的技術架構。“雲端”部分采用分布式叢集技術架構，應用安全、終端安全、資料安全 3 類安全服務和安全運維管理系統的伺服器端軟體均以節點叢集的方式部署，其他中台通過統一服務通路網關，實作安全功能調用。“終端”部分采用軟體元件技術架構，安全服務的用戶端軟體均以元件方式部署到移動終端安全容器，移動 App通過容器接口通路各類元件提供的安全功能。
3.4 産品組成及功能
根據安全中台的總體架構設計，參考行業内移動應用安全保障功能體系 ，企業移動網際網路應用安全中台系統包括應用安全、終端安全、資料安全 3 類服務，以及安全運維管理系統，如圖 4 所示。
圖 4 企業移動網際網路應用安全産品組成
（1）應用安全類。移動統一身份認證系統提供使用者身份管理、使用者授權管理、統一身份認證等功能。移動應用安全檢測系統針對應用可能存在的安全漏洞、潛在威脅行為、引用第三方SDK風險以及代碼問題等進行檢測與評估。移動應用可信簽名系統提供移動應用軟體可信簽名服務。
（2）終端安全類。終端配置與可信狀态檢測系統提供終端系統權限配置以及移動應用的可信狀态檢測和管理功能。移動終端安全防護系統提供移動終端安全資料采集、終端安全檢測、控制、安全評估等功能；內建終端安全元件并支援元件擴充；提供應用隔離運作防護、資料安全存儲等功能。移動病毒防護系統提供移動終端的病毒清除功能。
（3）資料安全類。移動資料溯源系統為敏感資訊洩露的責任認定提供支援。移動資料安全治理系統提供資料标記、分類、安全存儲、通路控制等功能。
（4）安全運維管理類。移動應用安全态勢系統提供安全态勢資料采集引接、綜合分析、告警呈現等功能。移動應用安全綜合管理系統是移動應用安全管理入口，支援安全政策、安全服務、移動終端、移動應用、安全載荷、安全事件的統一管理。
4 企業移動網際網路應用安全關鍵技術
4.1 安全服務智能編排與協同技術
網絡空間安全風險以及移動應用場景的變化與發展，讓安全服務越來越呈現出按需組織、靈活适配的特點。與以往分散、獨立的安全防禦模式相比，安全服務需要采用更為靈活的體系結構解決深層次內建、編排問題，基于微服務架構，建構具有柔性重構能力的安全服務內建架構 。這種安全服務內建架構，需要完成從移動應用安全需求到安全能力的映射，再到安全服務功能的分解和有序組合，并解決高可用安全服務協同一緻性等一系列問題。為解決這一問題，可以通過可視化的模組化工具來簡化服務編排過程，提高組合服務模型的可讀性和易維性。為此，我們參考 BPMN 和 TOSCA 标準，開發了可視化的安全服務編排界面，通過簡單的圖符和線條展示元服務之間的業務邏輯關系，并在圖符上提供安全服務配置能力。
4.2 移動終端輕量化虛拟工作空間技術
對于高安全等級的企業移動應用，使用者需要一個可信任的安全工作區，該工作區可将移動裝置中的企業高安全應用和個人應用全面分離，再結合 VPN 技術，建構面向企業高安全應用的可信環境，有效阻斷來自非安全工作區的各種攻擊。為了不影響移動應用的運作效率，提升使用者體驗，安全工作區應盡可能輕量化，在移動應用的封裝方面能夠高效且完全透傳，而不是采用非常耗時的 wrapper 等方式（需要反編譯，重新簽名）。為此，利用虛拟化容器技術建構獨立的移動應用運作環境是一種非常有效的方法。虛拟化容器技術在運作環境隔離性方面可以做到與移動終端上其他應用徹底隔離，高安全等級移動應用在虛拟工作空間内獨立運作，而不僅僅是視覺隔離。同時，虛拟化容器技術能夠確定安全區内的每一個應用按照防護政策采取嚴格的資料加密、資料防洩漏等安全機制，無須依賴系統提權，區内所有應用能夠靜默安裝、解除安裝、更新，可以對區内每個應用單獨實施網絡通路控制能力。
4.3 移動安全态勢感覺技術
針對日益嚴峻的移動網際網路安全态勢，企業移動應用需要加強安全态勢感覺、監測預警和應急處理能力，移動安全态勢感覺是前提和基礎。利用移動安全态勢感覺技術可以建立對企業移動應用開發、上線、更新、維護全生命周期不間斷、主動監測能力，對企業移動應用可能存在的惡意代碼、漏洞，以及遭受的外部攻擊、使用者惡意行為等進行感覺監測。移動安全态勢感覺技術首先需要建立移動安全态勢的名額體系 ，其次是采集或引接與監測名額相關的各類安全資料，包括 App 檢測資料、App運作狀态資料、終端檢測資料、終端運作狀态資料、應用系統日志資料等，再通過聚類分析、關聯分析和序列模式分析等資料分析工具 [12] 對異常行為、已知攻擊手段、組合攻擊手段、未知漏洞攻擊、未知代碼攻擊等進行分析，建構移動安全威脅、移動安全态勢評估體系，實作對安全威脅、綜合安全态勢的判定和預測，借助可視化技術呈現移動安全态勢圖。
5 結 語
随着企業移動網際網路應用的快速發展，惡意代碼、漏洞、病毒等安全威脅越發複雜多變，企業移動應用面臨的安全風險更加嚴峻和不确定。針對新的安全挑戰，有必要對企業移動應用安全服務體系進行不斷改進完善。一是補充完善應用安全、資料安全、終端安全服務體系，重點加強資料安全能力建設；二是進一步提升安全服務功能和性能，滿足企業移動應用更新演進、能力提升帶來的服務通路能力增強的需要；三是提升安全運維管理能力，不斷優化安全政策配置，支援海量移動終端安全管理，引入大資料分析和人工智能等技術，進一步增強态勢監測預警的智能化水準，實作威脅自動化感覺、預警、分析，支撐動态防禦能力體系的形成。
引用格式：楊震 , 陳志輝 , 範國林 . 企業移動網際網路應用安全防護技術研究 [J]. 資訊安全與通信保密 ,2022(12):19-29.
作者簡介 >>>
楊 震，男，碩士，進階工程師，主要研究方向為移動網際網路安全、物聯網安全；
陳志輝，男，碩士，進階工程師，主要研究方向為移動網際網路安全、移動多媒體應用技術；
範國林，男，碩士，工程師，主要研究方向為移動網際網路安全、物聯網安全。
選自《資訊安全與通信保密》2022年第10期（為便于排版，已省去原文參考文獻）