梅艷，鐘其柱，羅耀滿

（中國移動通信集團廣東有限公司中山分公司，中山 528400）

近年來，隨著移動網(wǎng)絡(luò)的飛速發(fā)展，移動網(wǎng)絡(luò)普及的范圍越來越廣，一些安全威脅也接踵而來，傳統(tǒng)的防護技術(shù)已經(jīng)不再適用于新型的移動網(wǎng)絡(luò)，這就需要新的安全技術(shù)來保護移動網(wǎng)絡(luò)的敏感信息安全。

移動網(wǎng)絡(luò)從第一代網(wǎng)絡(luò)發(fā)展到現(xiàn)在第四代移動通信系統(tǒng)，其網(wǎng)絡(luò)架構(gòu)越來越復(fù)雜，基礎(chǔ)設(shè)施經(jīng)歷著大量的變化和更新，對網(wǎng)絡(luò)信息的安全帶來巨大的挑戰(zhàn)。移動網(wǎng)絡(luò)信息包含了用戶的號碼及用戶的位置信息，因此保障其安全尤其重要。

文章將從移動第四代網(wǎng)絡(luò)組織所處的環(huán)境，針對包括基礎(chǔ)設(shè)施、敏感數(shù)據(jù)管理及處理、技術(shù)漏洞、個人因素等角度對信息安全風(fēng)險進行分析和梳理，結(jié)合現(xiàn)有安全防范技術(shù)，采用權(quán)限管理、金庫管理等最新技術(shù)手段及安全保障機制等防護技術(shù)更好的完善移動網(wǎng)絡(luò)的安全。

1 移動網(wǎng)絡(luò)的數(shù)據(jù)風(fēng)險

移動網(wǎng)絡(luò)敏感數(shù)據(jù)主要是S1U接口的用戶面數(shù)據(jù)，其詳細記錄了用戶上網(wǎng)過程中的各個節(jié)點的數(shù)據(jù)，包括用戶的位置信息，訪問的業(yè)務(wù)類型及信令流程，詳細記錄了用戶上網(wǎng)的過程信息，安全性尤其重要。

敏感信息架構(gòu)圖如圖1所示。

圖1 移動LTE網(wǎng)絡(luò)敏感信息拓撲圖

因此其安全隱患主要存在于軟硬件等基礎(chǔ)設(shè)施，網(wǎng)絡(luò)數(shù)據(jù)的處理存在的隱患，技術(shù)漏洞及人為因素等。數(shù)據(jù)安全風(fēng)險框架內(nèi)容如圖2所示。

1.1 基礎(chǔ)設(shè)施

基礎(chǔ)設(shè)施層面的安全問題主要包括兩個方面：外部因素和內(nèi)部因素。

圖2 數(shù)據(jù)安全風(fēng)險框架

(1) 外部因素：主要指自然災(zāi)害等環(huán)境因素。由于移動網(wǎng)絡(luò)敏感數(shù)據(jù)的傳輸與存儲通常會在組織的服務(wù)器中，一旦發(fā)生自然災(zāi)害等不可控因素，很可能導(dǎo)致服務(wù)器的損壞，將導(dǎo)致數(shù)據(jù)傳送過程中線路的突然中斷，這也會造成數(shù)據(jù)的丟失，甚至泄露，影響數(shù)據(jù)的安全。

(2) 內(nèi)部因素：主要指網(wǎng)絡(luò)硬件本身的問題。由于移動網(wǎng)絡(luò)的應(yīng)用越來越廣，導(dǎo)致移動網(wǎng)絡(luò)的數(shù)據(jù)量爆炸性增長，現(xiàn)有的硬件設(shè)備和存儲環(huán)境已經(jīng)不能滿足海量數(shù)據(jù)的存儲需求。其次，硬件老化或是網(wǎng)速遲緩也會影響數(shù)據(jù)的傳輸速度。因此，在數(shù)據(jù)傳輸?shù)倪^程中，一旦由于硬件設(shè)備的功能滯后或是老化而導(dǎo)致傳輸速率的降低、網(wǎng)絡(luò)延遲就可能導(dǎo)致系統(tǒng)的崩潰，進而造成數(shù)據(jù)的丟失和泄露，威脅到數(shù)據(jù)的安全。

基礎(chǔ)設(shè)施的安全是保障敏感信息的重要屏障，也是保障其安全的重要環(huán)節(jié)，因此，對于移動網(wǎng)絡(luò)敏感信息的系統(tǒng)，包括采集系統(tǒng)、存儲應(yīng)用系統(tǒng)需要定期檢查，對重要端口進行封堵，并對其進行合規(guī)檢查，對不合規(guī)的系統(tǒng)及時整改，以降低硬件系統(tǒng)對數(shù)據(jù)的安全風(fēng)險。

1.2 網(wǎng)絡(luò)數(shù)據(jù)的應(yīng)用及處理

移動網(wǎng)絡(luò)數(shù)據(jù)隱私層面的安全問題主要是指在對數(shù)據(jù)進行分析應(yīng)用與處理過程中，有可能出現(xiàn)的用戶隱私泄露風(fēng)險，具體包括數(shù)據(jù)分析處理、操作失誤兩個方面。

(1) 數(shù)據(jù)使用。運用分析處理技術(shù)對海量數(shù)據(jù)進行分析挖掘時，會對敏感信息造成一定的威脅。如網(wǎng)絡(luò)數(shù)據(jù)分析可以推斷出用戶的位置信息等敏感信息，再通過聚類分析法按照某種相似性將用戶聚類，用以發(fā)現(xiàn)用戶所處的群體等。這種行為實際上存在很多的安全隱患，加大了敏感信息泄露的風(fēng)險。

(2) 系統(tǒng)運維。在系統(tǒng)運維中，有可能出現(xiàn)誤改或是誤刪系統(tǒng)重要文件，又或者是沒有按規(guī)定要求操作，導(dǎo)致系統(tǒng)宕機等。尤其在面對海量的數(shù)據(jù)以及操作十分復(fù)雜的系統(tǒng)時，出現(xiàn)操作失誤的概率將大大增加。上述操作的失誤都會威脅到數(shù)據(jù)的完整性與安全性。

數(shù)據(jù)的使用與系統(tǒng)運維是直接接觸敏感信息的環(huán)節(jié)，是數(shù)據(jù)泄露最大的安全隱患，所以對于數(shù)據(jù)的處理與應(yīng)用操作需要進行數(shù)據(jù)加密與用戶授權(quán)訪問控制，對移動網(wǎng)絡(luò)的敏感信息進行屏蔽及設(shè)置最小權(quán)限控制，確保數(shù)據(jù)使用過程中的安全性，避免數(shù)據(jù)泄露造成的危害。

1.3 安全漏洞

安全漏洞層面的問題主要是指現(xiàn)有的信息安全技術(shù)已經(jīng)難以確保海量數(shù)據(jù)的絕對安全，從而導(dǎo)致數(shù)據(jù)的安全風(fēng)險加大。具體包括安全防護和實時監(jiān)測兩個方面。

(1) 安全防護。數(shù)據(jù)的爆炸式增長對現(xiàn)有的安全防護技術(shù)提出了更高的要求，這導(dǎo)致了安全防護技術(shù)的更新已經(jīng)跟不上數(shù)據(jù)非線性增長的步伐，從而暴露出安全防護的漏洞，給不法分子以可乘之機。

(2) 實時監(jiān)測。除了安全防護技術(shù)相對滯后之外，現(xiàn)有的實時監(jiān)測技術(shù)也無法對其進行全方位的、完全實時的監(jiān)測，這導(dǎo)致信息安全風(fēng)險大大增加。經(jīng)過統(tǒng)計，只有45%的企業(yè)有能力在幾分鐘之內(nèi)監(jiān)測到數(shù)據(jù)的安全漏洞，22%的企業(yè)需要一天時間才能監(jiān)測到，還有5%的企業(yè)需要一個星期的時間才能監(jiān)測到。平均下來，每個企業(yè)監(jiān)測到數(shù)據(jù)的安全風(fēng)險需要花費10 h的時間。

安全漏洞主要是由于技術(shù)的不完善，對數(shù)據(jù)的防護出現(xiàn)漏洞，造成數(shù)據(jù)丟失。因此，為了彌補該技術(shù)漏洞，對移動網(wǎng)絡(luò)采用專業(yè)防火墻進行預(yù)防，彌補技術(shù)上的漏洞，防止不法分子利用技術(shù)漏洞竊取重要信息，降低安全風(fēng)險。

1.4 個人因素

個人因素在安全管理中也是最重要的環(huán)節(jié)，加強個人安全意識，對提高移動網(wǎng)絡(luò)的數(shù)據(jù)安全起到重要作用，個人安全意識主要分為以下兩方面。

(1) 個人意識。無意泄露主要是由于內(nèi)部管理沒有制定嚴格的操作規(guī)章制度，使得對移動網(wǎng)絡(luò)數(shù)據(jù)的操作不具有規(guī)范性，增大了信息泄露的風(fēng)險。惡意泄露是最嚴重的，甚至違反法律規(guī)定，惡意的內(nèi)部人員或不受信任的合作伙伴可以濫用這些數(shù)據(jù)集，并從中提取到用戶個人信息，出賣信息予以牟利。因此，加強個人安全管理極為重要。

（2）主管行為。人員的安全保密意識也極為重要。所以需要對相關(guān)人員進行安全意識的培訓(xùn)，具體包括定期進行培訓(xùn)及其相關(guān)法律意識，并簽訂保密協(xié)議，強化數(shù)據(jù)安全風(fēng)險防控意識，積極推動對人員數(shù)據(jù)安全風(fēng)險意識教育和培訓(xùn)，明確責(zé)任，對于發(fā)現(xiàn)的任何侵害客戶信息安全的內(nèi)部機構(gòu)或個人采取相應(yīng)的處罰措施。

個人行為是導(dǎo)致移動網(wǎng)絡(luò)的敏感數(shù)據(jù)泄露的直接因素，需要對相關(guān)人員進行安全培訓(xùn)及安全防范意識，明確數(shù)據(jù)泄露的危害及需要承擔(dān)的責(zé)任，制定相應(yīng)的處罰措施并簽訂責(zé)任書，明確責(zé)任，減少個人因素的安全風(fēng)險。

針對以上安全風(fēng)險，現(xiàn)有的安全保障技術(shù)已有相應(yīng)的保障策略，包括對漏洞，操作等風(fēng)險，均有其保障方案及技術(shù)，但存在缺點和不足。而且針對個人因素的風(fēng)險安全保障方案較少，不足以滿足現(xiàn)有移動網(wǎng)絡(luò)敏感信息的安全保障。

2 現(xiàn)有的安全技術(shù)

針對以上安全風(fēng)險，現(xiàn)有的安全保障技術(shù)已有相應(yīng)的保障策略，目前針對移動網(wǎng)絡(luò)信息安全的技術(shù)普遍采取以下方案。

2.1 鏈路級安全

為了在數(shù)據(jù)傳輸中對所有的上層協(xié)議通信進行透明的保護，安全應(yīng)用的設(shè)計者可以選擇實現(xiàn)鏈路級安全，方法是在鏈路層保護通信幀的內(nèi)容，但一般只適合點到點通信的場合。在這些場合下，有限的連接點可以認為是可信的。但是在公共網(wǎng)絡(luò)中，鏈路層保護顯然難以實施，而且實施代價較高。

2.2 數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)

數(shù)據(jù)加密與用戶授權(quán)訪問控制技術(shù)比較靈活。用戶授權(quán)訪問控制主要用于對靜態(tài)信息的保護，需要系統(tǒng)級別的支持，一般在操作系統(tǒng)中實現(xiàn)；但對于動態(tài)信息的保護則缺乏相應(yīng)的保護機制，在操作系統(tǒng)中難以實現(xiàn)。

2.3 防病毒技術(shù)

在病毒防范中普遍使用的防病毒軟件，從功能上可以分為網(wǎng)絡(luò)防病毒軟件和單機防病毒軟件兩大類。單機防病毒軟件一般安裝在單臺PC上，網(wǎng)絡(luò)防病毒軟件則主要注重網(wǎng)絡(luò)防病毒，一旦病毒入侵網(wǎng)絡(luò)或者從網(wǎng)絡(luò)向其它資源傳染，網(wǎng)絡(luò)防病毒軟件會立刻檢測到并加以刪除。

2.4 身份驗證技術(shù)

身份驗證技術(shù)是用戶向系統(tǒng)出示自己身份證明的過程。身份認證是系統(tǒng)查核用戶身份證明的過程，是判明和確認通信雙方真實身份的兩個重要環(huán)節(jié)。它的安全機制在于對發(fā)出請求的用戶進行身份驗證，確認其是否為合法的用戶。另外從加密算法上來講，其身份驗證是建立在對稱加密的基礎(chǔ)上的。

2.5 防火墻技術(shù)

防火墻安全保障技術(shù)主要是為了保護與互聯(lián)網(wǎng)相連的企業(yè)內(nèi)部網(wǎng)絡(luò)或單獨節(jié)點。防火墻一方面通過檢查、分析、過濾從內(nèi)部網(wǎng)流出的IP分組，盡可能地對外部網(wǎng)絡(luò)屏蔽被保護網(wǎng)絡(luò)或節(jié)點的信息、結(jié)構(gòu)，另一方面對內(nèi)屏蔽外部某些危險地址，實現(xiàn)對網(wǎng)絡(luò)的保護。

通過以上安全技術(shù)的分析，現(xiàn)有的技術(shù)方案也有不足及缺點，但也有其優(yōu)點。結(jié)合現(xiàn)存在安全風(fēng)險，對移動網(wǎng)絡(luò)的敏感信息制定特有的安全保障體系，彌補現(xiàn)有技術(shù)的缺點，盡可能的保障敏感信息的安全及使用，改善數(shù)據(jù)的生產(chǎn)環(huán)境，提高數(shù)據(jù)的安全性。

圖3 本地數(shù)據(jù)防火墻部署結(jié)構(gòu)圖

3 移動網(wǎng)絡(luò)敏感信息的安全保障體系

通過以上對移動網(wǎng)絡(luò)敏感信息組織的安全風(fēng)險評估，結(jié)合現(xiàn)有技術(shù)，取長補短，本文建立了針對移動網(wǎng)絡(luò)敏感信息的安全保障體系，包括部署專業(yè)防火墻，敏感信息屏蔽，最小權(quán)限賬戶的管理，系統(tǒng)安全合規(guī)及漏洞的管理等，確保該信息系統(tǒng)的敏感信息的安全性，避免敏感信息泄露。

3.1 專業(yè)防火強的管控

一個防火墻（作為阻塞點、控制點）能極大地提高一個內(nèi)部網(wǎng)絡(luò)的安全性，并通過過濾不安全的服務(wù)而降低風(fēng)險。由于只有經(jīng)過精心選擇的應(yīng)用協(xié)議才能通過防火墻，所以網(wǎng)絡(luò)環(huán)境變得更安全。防火墻同時可以保護網(wǎng)絡(luò)免受基于路由的攻擊。防火墻部署架構(gòu)如圖3所示。

通過利用防火墻對內(nèi)部網(wǎng)絡(luò)的劃分，可實現(xiàn)內(nèi)部網(wǎng)重點網(wǎng)段的隔離，從而限制了局部重點或敏感網(wǎng)絡(luò)安全問題對全局網(wǎng)絡(luò)造成的影響。再者，隱私是內(nèi)部網(wǎng)絡(luò)非常關(guān)心的問題，一個內(nèi)部網(wǎng)絡(luò)中不引人注意的細節(jié)可能包含了有關(guān)安全的線索而引起外部攻擊者的興趣，甚至因此暴漏了內(nèi)部網(wǎng)絡(luò)的某些安全漏洞。使用防火墻就可以隱蔽易透漏網(wǎng)絡(luò)內(nèi)部細節(jié)的漏洞，并且防火墻可以同樣阻塞有關(guān)內(nèi)部網(wǎng)絡(luò)中的DNS信息。

另外除了防火墻策略，針對敏感數(shù)據(jù)的傳輸與存儲介質(zhì)的管理采用內(nèi)網(wǎng)專用模式。內(nèi)網(wǎng)專用模式的安全級別最高，并且可以細劃為“只讀和禁用”兩個權(quán)限，與互聯(lián)網(wǎng)等外網(wǎng)隔絕，實現(xiàn)鏈路層的保護，降低了通過互聯(lián)網(wǎng)竊取數(shù)據(jù)的風(fēng)險，增強了敏感數(shù)據(jù)的安全系數(shù)。

3.2 系統(tǒng)合規(guī)及漏洞管理

移動網(wǎng)絡(luò)設(shè)備系統(tǒng)配置的合規(guī)性是體現(xiàn)設(shè)備安全性的重要體現(xiàn)，提高系統(tǒng)配置合規(guī)率，降低系統(tǒng)的風(fēng)險，減少敏感數(shù)據(jù)泄露的風(fēng)險。為方便對系統(tǒng)的合規(guī)性進行量化管理，制定了系統(tǒng)合規(guī)的評價標準，即系統(tǒng)合規(guī)率大于85%，判定系統(tǒng)合格。根據(jù)該評價標準，對移動網(wǎng)絡(luò)系統(tǒng)進行合規(guī)檢查，檢查結(jié)果如表1所示。

移動網(wǎng)絡(luò)系統(tǒng)的合規(guī)率達到90%，該系統(tǒng)較為安全。另外系統(tǒng)除了合規(guī)外，漏洞也是威脅系統(tǒng)安全的重要因素。漏洞是指一個系統(tǒng)存在的弱點或缺陷，系統(tǒng)對特定威脅攻擊或危險事件的敏感性，或進行攻擊的威脅作用的可能性。漏洞的存在，很容易導(dǎo)致黑客的侵入及病毒的駐留，會導(dǎo)致數(shù)據(jù)丟失和篡改、隱私泄露乃至金錢上的損失。因此，為了移動網(wǎng)絡(luò)設(shè)備系統(tǒng)的安全，檢查系統(tǒng)漏洞也極為重要。漏洞檢查結(jié)果如表2所示。

表1 合規(guī)檢查結(jié)果

表2 漏洞檢查結(jié)果

經(jīng)檢查，移動網(wǎng)絡(luò)設(shè)備系統(tǒng)合規(guī)率高且無高中危漏洞，該系統(tǒng)較為安全。為了確保系統(tǒng)的安全，本安全機制對系統(tǒng)合規(guī)及漏洞采取定期排查的方案，可以及時處理系統(tǒng)漏洞的安全隱患，確保系統(tǒng)的合規(guī)性及可用性。

3.3 敏感信息屏蔽及最小權(quán)限的管控

敏感信息指不為公眾所知悉具有實際和潛在利用價值，丟失、不當(dāng)使用或未經(jīng)授權(quán)訪問對社會、企業(yè)或個人造成危害的信息，XDR信息系統(tǒng)主要采集用戶網(wǎng)絡(luò)信息，屬于敏感信息，因此需要采取數(shù)據(jù)屏蔽及權(quán)限管理來預(yù)防敏感信息泄露。敏感信息屏蔽架構(gòu)圖如圖4所示。

圖4 數(shù)據(jù)屏蔽技術(shù)的部署

對于敏感數(shù)據(jù)的屏蔽一直是數(shù)據(jù)安全中一個重要的部分，本方案運用動態(tài)數(shù)據(jù)屏蔽的策略來屏蔽用戶敏感信息。動態(tài)數(shù)據(jù)屏蔽并不會真正改動表中存儲的實際數(shù)據(jù)，只是在應(yīng)用分析的情況下能控制查詢返回的數(shù)據(jù)，能夠控制敏感數(shù)據(jù)的暴露程度，很大程度上簡化了數(shù)據(jù)庫應(yīng)用層的安全設(shè)計和編碼。

除了將敏感信息屏蔽外，同時將系統(tǒng)的一些基礎(chǔ)功能進行權(quán)限設(shè)置，將對訪問者的控制轉(zhuǎn)換為對角色的控制，避免了權(quán)限濫用的危險，從而使授權(quán)管理更為方便實用、效率更高。同時使訪問者的權(quán)限策略劃分更為清晰、明確，降低了管理的復(fù)雜性。實現(xiàn)了對應(yīng)用系統(tǒng)對象的訪問控制，通過對角色進行策略控制，達到對用戶的管理。

3.4 4A及金庫管控

4A即廣東移動4A安全管控系統(tǒng)，該系統(tǒng)可以防止人員越權(quán)訪問設(shè)備和應(yīng)用系統(tǒng)獲取和泄露敏感信息，獲取非法利益的風(fēng)險，保證系統(tǒng)和信息安全。4A系統(tǒng)有機結(jié)合賬號口令集中管理和日志管理與審計、集中接入控制系統(tǒng)、客戶端集中發(fā)布等手段，實現(xiàn)了對人員操作業(yè)務(wù)系統(tǒng)的全過程管控，降低了人員違規(guī)操作的風(fēng)險，提高信息數(shù)據(jù)的安全性。

金庫管控可以實現(xiàn)兩人或以上有相應(yīng)權(quán)限賬號共同協(xié)作完成操作，可以防范由個人因素造成的風(fēng)險，防止部分擁有高權(quán)限賬號的操作人員濫用權(quán)限違規(guī)獲取、篡改相關(guān)信息，通過相互監(jiān)督、利益制約確保高風(fēng)險操作和高價值信息的安全性。

通過接入4A及金庫管控，更好的實現(xiàn)了移動網(wǎng)絡(luò)敏感信息的安全保障，彌補了現(xiàn)有技術(shù)的缺點，避免了由個人因素造成的數(shù)據(jù)風(fēng)險，實現(xiàn)了對個人惡意或無意泄露數(shù)據(jù)風(fēng)險的管控，為敏感信息的應(yīng)用提供良好的安全環(huán)境，為推動創(chuàng)新、提高生產(chǎn)力以及效率做出了重大貢獻。自引入4A及金庫管控新安全技術(shù)后，未發(fā)生由個人因素導(dǎo)致的移動網(wǎng)絡(luò)敏感信息泄露的事件，起到了很好的保護作用。

4 總結(jié)

在當(dāng)前現(xiàn)有的安全保障機制中，對網(wǎng)絡(luò)的安全保障存在不足之處，即其安全機制不完善，不滿足現(xiàn)在的移動網(wǎng)絡(luò)的安全保障。本文基于現(xiàn)有的安全技術(shù)，取長補短，創(chuàng)新的運用4A及金庫等新技術(shù)，彌補現(xiàn)有技術(shù)無法防范的安全因素，防止因個人因素造成的數(shù)據(jù)泄露的風(fēng)險；并結(jié)合現(xiàn)有的防火墻技術(shù)和數(shù)據(jù)加密及最小權(quán)限技術(shù)，提高數(shù)據(jù)的安全性及可用性，避免技術(shù)漏洞帶來的風(fēng)險。另外對移動網(wǎng)絡(luò)的系統(tǒng)設(shè)備進行合規(guī)檢查，提高系統(tǒng)的安全性。本方案制定的移動網(wǎng)絡(luò)的安全保障體系，為信息安全技術(shù)提供良好的參考價值。