一、系統(tǒng)概況,、能解決的重大問題

安全保障是云計(jì)算模式下移動互聯(lián)網(wǎng)健康發(fā)展的關(guān)鍵所在。目前,，在3G網(wǎng)絡(luò)已趨向成熟,、移動互聯(lián)網(wǎng)業(yè)務(wù)得到廣泛普及的同時，越來越多的網(wǎng)絡(luò)和手機(jī)安全問題開始出現(xiàn),。特別隨著3G/LTE的發(fā)展和云計(jì)算應(yīng)用模式的引入,，使寬帶移動互聯(lián)網(wǎng)安全問題變得更加復(fù)雜，給移動互聯(lián)網(wǎng)的安全帶來了前所未有的挑戰(zhàn),。云計(jì)算的虛擬化,、多租戶和動態(tài)性引入了一系列新的安全問題，主要表現(xiàn)在數(shù)據(jù)安全,、隱私保護(hù),、內(nèi)容安全、運(yùn)行環(huán)境安全,、風(fēng)險(xiǎn)評估和安全監(jiān)管等多個方面,。同時各種傳統(tǒng)的安全問題在云計(jì)算和移動互聯(lián)網(wǎng)中愈加突出突出，入侵,、攻擊和病毒行為正向規(guī)?；②吚?、復(fù)雜化和交叉化等方向發(fā)展,。依靠傳統(tǒng)孤立的采用一種安全產(chǎn)品或技術(shù)來解決網(wǎng)絡(luò)與信息安全已經(jīng)非常困難。云計(jì)算環(huán)境下移動互聯(lián)網(wǎng)用戶信息安全保護(hù),、虛擬化安全環(huán)境,、動態(tài)安全防護(hù)服務(wù)等安全問題需要引起高度重視。

本單位研發(fā)的“云計(jì)算模式移動互聯(lián)網(wǎng)安全監(jiān)控與保障系統(tǒng)”,，針對云計(jì)算應(yīng)用模式下的移動互聯(lián)網(wǎng)安全問題及關(guān)鍵安全技術(shù)開展專項(xiàng)研究,，構(gòu)建完善移動互聯(lián)網(wǎng)安全技術(shù)體系，實(shí)現(xiàn)大規(guī)模網(wǎng)絡(luò)的安全事態(tài)監(jiān)控,，保障移動互聯(lián)網(wǎng),、業(yè)務(wù)應(yīng)用和用戶的安全。

該系統(tǒng)獲得國家自主知識產(chǎn)權(quán)和多項(xiàng)發(fā)明專利,，并已經(jīng)在山東移動、江蘇移動等多個省市建設(shè)應(yīng)用,，運(yùn)行穩(wěn)定,，實(shí)際效果良好，能夠有效地解決云計(jì)算架構(gòu)和移動互聯(lián)網(wǎng)業(yè)務(wù)的一系列重大安全問題。

二,、系統(tǒng)總體技術(shù)方案

本系統(tǒng)采用創(chuàng)新的云計(jì)算模式全局安全深度防護(hù)體系架構(gòu),，主要由外部云計(jì)算/互聯(lián)網(wǎng)安全監(jiān)控網(wǎng)關(guān)、內(nèi)部云計(jì)算/云存儲安全防護(hù),、接入安全監(jiān)控與認(rèn)證,、安全監(jiān)護(hù)中心等部分組成。提供云計(jì)算應(yīng)用模式下移動互聯(lián)網(wǎng)的風(fēng)險(xiǎn)模型,、多租戶云應(yīng)用模式下的數(shù)據(jù)安全與隱私保護(hù),、虛擬運(yùn)行環(huán)境安全、云計(jì)算和終端安全的評測,、移動互聯(lián)網(wǎng)總體安全體系和業(yè)務(wù)安全保障體系等功能,。

內(nèi)部云計(jì)算/云存儲業(yè)務(wù)系統(tǒng)、移動互聯(lián)網(wǎng)及其終端接入系統(tǒng),、移動互聯(lián)網(wǎng)安全監(jiān)護(hù)中心構(gòu)成基于全局認(rèn)證的深度安全主動防御系統(tǒng),，該系統(tǒng)通過安全網(wǎng)關(guān)跟外部云計(jì)算/互聯(lián)網(wǎng)相連。

圖1.云計(jì)算應(yīng)用模式下全局安全深度防護(hù)體系

終端訪問雙向認(rèn)證,、授權(quán)內(nèi)聯(lián),、訪問控制

針對終端系統(tǒng)可能直接通過旁路（WiFi等）與外部互聯(lián)網(wǎng)相通而造成復(fù)雜安全問題，安全監(jiān)護(hù)中心與嵌入在終端上的安全中間件客戶端相配合,，實(shí)施基于全局等技術(shù),，隔離終端與外網(wǎng)外云的操作不造成對內(nèi)網(wǎng)的直接威脅。

全局監(jiān)控,、深度安全防御

同時,，對內(nèi)部業(yè)務(wù)/數(shù)據(jù)云實(shí)施基于全局認(rèn)證的多級深度安全防護(hù)措施，保證內(nèi)部業(yè)務(wù)系統(tǒng)的安全性,。

敏感數(shù)據(jù)分層保護(hù),、密室隔離、授權(quán)訪問,、自動修復(fù)

內(nèi)部業(yè)務(wù)/數(shù)據(jù)云采用基于安全加固的分層隔離,、授權(quán)訪問、動態(tài)加密等技術(shù),，將關(guān)鍵數(shù)據(jù),、敏感信息存放在安全隔離的“密室”中，對這些數(shù)據(jù)的訪問必須在授權(quán),、認(rèn)證,、臨時密鑰的條件下才能進(jìn)行，從而保證了在多租戶,、虛擬存儲環(huán)境下關(guān)鍵敏感數(shù)據(jù),、隱私信息的高安全性。

三、關(guān)鍵技術(shù)創(chuàng)新

（1）云計(jì)算應(yīng)用模式下移動互聯(lián)網(wǎng)的安全威脅模型

基于對寬帶移動互聯(lián)網(wǎng),、云計(jì)算平臺與應(yīng)用,、傳統(tǒng)互聯(lián)網(wǎng)等全方位安全威脅的研究，構(gòu)建出云計(jì)算應(yīng)用模式下移動互聯(lián)網(wǎng)的風(fēng)險(xiǎn)體系模型,。

圖2.云計(jì)算應(yīng)用模式下移動互聯(lián)網(wǎng)的安全威脅模型

在此基礎(chǔ)上,，采用云計(jì)算、云安全,、移動互聯(lián)網(wǎng)安全方面的的創(chuàng)新性研究成果,，規(guī)劃設(shè)計(jì)云計(jì)算應(yīng)用模式下移動互聯(lián)網(wǎng)的安全保障體系——基于全局安全認(rèn)證的深度防御保障體系。

（2）基于云海操作系統(tǒng)的數(shù)據(jù)安全隔離和透明存儲

在浪潮云海操作系統(tǒng)LC-OS的支持下,，利用創(chuàng)新的智能虛擬存儲引擎iC-SVC的分域安全密室技術(shù),，實(shí)現(xiàn)數(shù)據(jù)隔離分層分塊存儲、數(shù)據(jù)安全透明轉(zhuǎn)移,。,。

虛擬機(jī)及其數(shù)據(jù)安全隔離——可對虛擬機(jī)設(shè)置專門的安全隔離區(qū)（安全“密室”），隔離區(qū)之間的數(shù)據(jù)遷移必須通過強(qiáng)安全認(rèn)證和授權(quán),，從而阻斷不同虛擬機(jī)及其隔離區(qū)之間的數(shù)據(jù)混泄,，保證放到安全隔離區(qū)中的各種關(guān)鍵數(shù)據(jù)、敏感數(shù)據(jù)的高安全性,。

圖3.基于云海操作系統(tǒng)的數(shù)據(jù)安全存儲架構(gòu)

數(shù)據(jù)分域定位安全存儲——高安全等級要求的關(guān)鍵數(shù)據(jù)以及對性能要求高的數(shù)據(jù)可以放在隔離存儲陣列的內(nèi)部,，次關(guān)鍵數(shù)據(jù)和一般數(shù)據(jù)可以放在外掛存儲上，而對以上的數(shù)據(jù)都可以通過容災(zāi)軟件實(shí)現(xiàn)容災(zāi),。

動態(tài)靈活的存儲管理——強(qiáng)大靈活的資源調(diào)度與和組合式應(yīng)用配置功能,，可依據(jù)負(fù)載情況實(shí)現(xiàn)業(yè)務(wù)、資源的動態(tài)調(diào)度,、基于拓?fù)涞能浻布Y源組塊配置,，能快捷地滿足客戶動態(tài)多變、豐富多樣的應(yīng)用需求,。

支持大規(guī)模管理架構(gòu)——采用多級聯(lián)管理體系,，可以通過級聯(lián)方式實(shí)現(xiàn)資源的整合管理，可以有效實(shí)現(xiàn)超海量存儲

支持共享存儲與分布式云存儲組合模式——克服了純共享存儲模式一旦宕機(jī)將導(dǎo)致所有虛擬機(jī)業(yè)務(wù)的崩潰的問題,。

（3）虛擬存儲環(huán)境深度安全防御技術(shù)

采用全局接入認(rèn)證,、安全策略匹配、數(shù)據(jù)隔離,、關(guān)鍵數(shù)據(jù)加密,、數(shù)據(jù)智能修復(fù)等方法，構(gòu)建虛擬存儲深度自動防御系統(tǒng),。

全局接入認(rèn)證

面對復(fù)雜的網(wǎng)絡(luò)安全行為,，最有效的防御策略即是將網(wǎng)絡(luò)安全防御技術(shù)應(yīng)用于在整個網(wǎng)絡(luò)中,，而不是在單點(diǎn)進(jìn)行網(wǎng)絡(luò)安全的防護(hù)部署,。

圖4.基于全局安全接入認(rèn)證及自動防御系統(tǒng)

分層安全訪問控制

通過對接入行為進(jìn)行有效識別,、認(rèn)證，采取針對性的安全策略設(shè)定,，并對用戶進(jìn)行強(qiáng)制安全控制,，做到防患于未然。而對于關(guān)鍵網(wǎng)絡(luò)區(qū)域數(shù)據(jù)的保護(hù),，全局安全一體化可以通過將安全客戶端和安全聯(lián)動設(shè)備的有效結(jié)合,，有效控制終端用戶的網(wǎng)絡(luò)訪問行為。

敏感數(shù)據(jù)的隔離與加密

在云存儲系統(tǒng)中,，虛擬存儲管理引擎iSVC,，基于統(tǒng)一資源存貯映像和密室隔離技術(shù)，將數(shù)據(jù)存放到不同層面,、不同分域的獨(dú)立區(qū)域,。并進(jìn)一步對敏感數(shù)據(jù)實(shí)施加密，只有通過交叉授權(quán)的用戶通過雙向認(rèn)證后,，才能訪問自己的數(shù)據(jù),，從而保證了敏感數(shù)據(jù)的高安全性。ISVC為加密數(shù)據(jù)創(chuàng)建專門的拓?fù)錂z索視圖,，以便保證加密數(shù)據(jù)的授權(quán)檢索性,。

多維隔離式虛擬存儲引擎(iSVC)

iSVC是模塊化的結(jié)構(gòu)，由多個Cluster節(jié)點(diǎn)組成一個大型的存儲池,，其中的若干存儲設(shè)備以一個統(tǒng)一邏輯設(shè)備存在,，可以被系統(tǒng)中所有服務(wù)器訪問，防止出現(xiàn)存儲設(shè)備的信息孤島,。主機(jī)也可以有多條數(shù)據(jù)通路同虛擬引擎,，多條路徑并發(fā)工作。

基于統(tǒng)一映像的資源存儲管理,，

iSVC采用基于統(tǒng)一拓?fù)溆诚竦娜仲Y源管理技術(shù),，將所有設(shè)備都是其物理設(shè)備的邏輯映像，即使物理存儲發(fā)生變化,，這種邏輯映像也不會改變,，存儲對用戶來說將變得透明，與底層細(xì)節(jié)無關(guān),。真正的實(shí)現(xiàn)不同存儲之間的文件,、數(shù)據(jù)塊、對象級別的隔離存儲或共享,。

安全透明的數(shù)據(jù)遷移

在iSVC的統(tǒng)一拓?fù)溆诚裣?，可?shí)現(xiàn)數(shù)據(jù)存放位置對用戶透明的隔離保護(hù),。支持基于用戶需求的數(shù)據(jù)位置控制，實(shí)施對關(guān)鍵數(shù)據(jù),、敏感信息的多層加固隔離,，能夠在云計(jì)算環(huán)境的多租戶架構(gòu)上，把用戶的數(shù)據(jù)與其他客戶的數(shù)據(jù)實(shí)現(xiàn)物理隔離,。

當(dāng)iSVC被加入到一個現(xiàn)有的SAN環(huán)境中時,，不需要做數(shù)據(jù)遷移，iSVC把現(xiàn)有的磁盤配置原封不動的繼承下來,，這樣對服務(wù)器上的應(yīng)用是完全透明的,。當(dāng)iSVC完全配置好以后，它又可以將原先磁盤上的卷及數(shù)據(jù)透明的遷移到其他真正的虛擬卷中,。所有的遷移過程對服務(wù)器透明,，因此不需要中止應(yīng)用。

動態(tài)加密和交叉認(rèn)證

對于存放在安全隔離區(qū)“密室”內(nèi)的關(guān)鍵數(shù)據(jù),、敏感數(shù)據(jù),、隱私信息，采用基于分域數(shù)據(jù)加密和雙因子認(rèn)證,，能有效保護(hù)無意或惡意泄露云服務(wù)器上的數(shù)據(jù)和傳送給最終用戶的數(shù)據(jù),。確保只有可以訪問數(shù)據(jù)的用戶才能看到數(shù)據(jù)。

數(shù)據(jù)自動修復(fù)和連續(xù)容災(zāi)恢復(fù)

全局安全接入認(rèn)證及自動防御系統(tǒng)提供的自動修復(fù)（自愈）功能,，即能夠通過自動使受損系統(tǒng)得以快速恢復(fù),，并保證即使在系統(tǒng)不斷遭受攻擊時，大部分資源仍時刻處在正常使用狀態(tài)下,。

對敏感數(shù)據(jù),、隱私數(shù)據(jù)、關(guān)鍵業(yè)務(wù)實(shí)施拓?fù)溥B續(xù)監(jiān)護(hù)和災(zāi)難恢復(fù),，確保云環(huán)境中的數(shù)據(jù)安全和隱私信息的機(jī)密性

（4）基于加固SSR的交叉授權(quán)動態(tài)加密技術(shù)

采用基于安全加固服務(wù)器的交叉授權(quán),、雙向認(rèn)證、密鑰動態(tài)地實(shí)時分發(fā)以及密鑰及時銷毀等技,，對整個訪問過程進(jìn)行端到端的加密保護(hù),，不僅能有效地保護(hù)數(shù)據(jù)訪問操作的全程安全，也能有效地監(jiān)控防御黑客,、木馬,、甚至云計(jì)算中心的管理人員對敏感數(shù)據(jù)的非法訪問、偷窺,，從而有效地保證關(guān)鍵數(shù)據(jù),、敏感信息的高安全性。

利用本單位創(chuàng)新的的安全加固服務(wù)SSR系統(tǒng)基于先進(jìn)的ROST技術(shù),完全不同于防火墻和IDS等外層安防技術(shù),，而是深入到操作系統(tǒng),、數(shù)據(jù)庫底層對文件,、數(shù)據(jù)、進(jìn)程,、注冊表和服務(wù)進(jìn)行強(qiáng)制訪問控制和完整性檢驗(yàn),，同時利用固化的帶外授權(quán)密鑰，對各種加載運(yùn)行的應(yīng)用程序進(jìn)行動態(tài)密鑰,、交叉認(rèn)證,，從根本上防止了病毒,、木馬,、黑客等各種非法攻擊行為。

這些關(guān)鍵支撐技術(shù)主要包括：基于固化SSR的加密控制和動態(tài)交叉認(rèn)證,、嚴(yán)密的帶外密鑰授權(quán)控制,、固化的多點(diǎn)密鑰可靠管理技術(shù)、端到端立體安全監(jiān)控技術(shù),、自動化管控溯源追蹤技術(shù),、智能化容錯運(yùn)行與異常處理技術(shù)等。

四,、系統(tǒng)應(yīng)用效果

本系統(tǒng)通過構(gòu)建具有全局安全接入認(rèn)證,、云安全隔離存儲、內(nèi)外云應(yīng)用隔離,、網(wǎng)絡(luò)安全監(jiān)控,、終端訪問控制、關(guān)鍵數(shù)據(jù)授權(quán)加密等功能的全局深度防護(hù)體系,，實(shí)現(xiàn)了面向客戶個性化安全服務(wù)需求的安全服務(wù)管理,，為客戶提供差異化、多層面,、多維度,、端到端安全監(jiān)控防護(hù)。

全局深度防護(hù)體系包括從終端,、到網(wǎng)絡(luò),、到云端全覆蓋的的全局總體監(jiān)控架構(gòu)、密鑰安全管理,、身份認(rèn)證,、訪問安全控制、信任機(jī)制,、應(yīng)用軟件接入安全監(jiān)控,、應(yīng)用程序運(yùn)行安全監(jiān)控、信息內(nèi)容識別與過濾,、管控溯源技術(shù)以及異常處理,、第三方安全工具集成等,，重點(diǎn)研究解決移動互聯(lián)網(wǎng)和云應(yīng)用系統(tǒng)的安全運(yùn)行安全監(jiān)控、安全部署,、信息安全管理與保護(hù),、安全服務(wù)等問題。

與傳統(tǒng)的互聯(lián)網(wǎng)相比,，移動互聯(lián)網(wǎng)面臨更為嚴(yán)峻的安全威脅與攻擊,，如身份欺騙、拒絕服務(wù)攻擊,、非法入侵,、數(shù)據(jù)竊取、病毒或惡意代碼攻擊等,，需要采用各種安全技術(shù)為用戶提供電信級別的安全服務(wù),，使移動互聯(lián)網(wǎng)成為一個可管可控可信的網(wǎng)絡(luò)。主要實(shí)現(xiàn)的功能包括以下各項(xiàng),。

1)密鑰安全管理

密鑰管理包括從密鑰的產(chǎn)生到密鑰的銷毀的各個方面,。主要表現(xiàn)于管理體制、管理協(xié)議和密鑰的產(chǎn)生,、分配,、更換和注入等。本項(xiàng)目的密鑰管理采用基于X.509證書的PKI方案,。

2)基于角色授權(quán)和雙向認(rèn)證的訪問安全控制

在移動互聯(lián)網(wǎng)中,，采用云認(rèn)證機(jī)制保障用戶身份安全，給用戶提供單點(diǎn)登錄,、實(shí)現(xiàn)實(shí)體間相互認(rèn)證,、支持各參與方的協(xié)同工作、支持動態(tài)區(qū)域內(nèi)的安全管理,。支持雙因子身份鑒定機(jī)制,，在Web聯(lián)接中采用雙向身份鑒定，雙向鑒定確保聯(lián)接的每一端都是安全的,，證實(shí)Web應(yīng)用客戶機(jī)側(cè)和服務(wù)器側(cè)都是安全的,；也可以建立SSL協(xié)議加密通信聯(lián)線、確保對話的機(jī)密性和完整性,，防止第三方闖入對話,、消除被欺騙的可能性和引入木馬；

3)對網(wǎng)絡(luò)入侵和異常流量的管控

對與網(wǎng)絡(luò)入侵和異常,，可以通過包分析,、行為模式分析等方式來尋找入侵的來源或者導(dǎo)致入侵的系統(tǒng)漏洞，然后通過技術(shù)或者管理手段來解決這些問題，從而防止網(wǎng)絡(luò)入侵和異常的再度發(fā)生,。

4)信息內(nèi)容識別與過濾技術(shù)方案

信息內(nèi)容識別與過濾技術(shù)是移動互聯(lián)網(wǎng)內(nèi)容安全的核心技術(shù),，采用傳統(tǒng)的網(wǎng)絡(luò)采集器和數(shù)據(jù)包抓取兩種方式采集信息；采用特征匹配和關(guān)鍵字過濾相結(jié)合的方式進(jìn)行信息過濾,；采用基于文檔結(jié)構(gòu)和基于文檔特征的兩種方式進(jìn)行信息抽?。徊捎妹枋鰞?yōu)先思想將文本根據(jù)其描述的內(nèi)容和特征分成不同的類別,；采用基于功率譜的計(jì)算方式來判斷話題的熱度,；采用關(guān)鍵字匹配的方式來判定話題的敏感度；根據(jù)數(shù)據(jù)的相關(guān)性來對話題進(jìn)行短期趨勢預(yù)測,。

5)應(yīng)用程序運(yùn)行安全監(jiān)控

對應(yīng)用程序的安全性,、合法性等檢查、審計(jì),、授權(quán)和認(rèn)證體系,，包括應(yīng)用程序的接口標(biāo)準(zhǔn)、運(yùn)行標(biāo)準(zhǔn),、檢查和審計(jì)流程、授權(quán)流程,、認(rèn)證方式等,。

安全監(jiān)控模塊采用了多種形式相結(jié)合的監(jiān)控方式，包括了系統(tǒng)級的進(jìn)程監(jiān)控,、應(yīng)用程序的運(yùn)行狀態(tài)監(jiān)控,、應(yīng)用程序的網(wǎng)絡(luò)流量監(jiān)控以及應(yīng)用程序異常檢測。監(jiān)控的內(nèi)容包括應(yīng)用程序在運(yùn)行過程中所使用的系統(tǒng)資源,、網(wǎng)絡(luò)資源,、用戶活躍程度等，對發(fā)生異常的引用程序進(jìn)行相應(yīng)的處理措施,，保證平臺的安全性,。

6)信任

與傳統(tǒng)的被動式安全防御措施不同，信任機(jī)制是一種主動的網(wǎng)絡(luò)安全防御手段,。在用戶和網(wǎng)絡(luò)之間,、網(wǎng)絡(luò)與第三方應(yīng)用提供商之間、第三方應(yīng)用和用戶之間需要采用合理的信任機(jī)制,，建立信任關(guān)系,，以感知和評估用戶、第三方應(yīng)用和網(wǎng)絡(luò)之間信任狀態(tài)和安全態(tài)勢,；通過信任度量手段,，建立信譽(yù)積分系統(tǒng)；信任計(jì)算為每一個用戶和應(yīng)用建立信譽(yù)檔案,，通過采用合理的信任評估模型,，評估用戶和第三方應(yīng)用的可信度,，將移動互聯(lián)網(wǎng)建立為可信網(wǎng)絡(luò)。