移动智能终端安全防护的探究

叶水勇

（国网黄山供电公司，安徽 黄山 245000）

0 引言

移动终端的广泛应用，在给人们工作与生活带来便利的同时，也带来很大的安全隐患，如无法知道手机信息是否被窃取，无法知晓手机是否被远程监控，无法掌握手机上恶意代码行为事件是什么，无法对“中毒”手机进行现场取证等[1-2]。针对这些安全隐患，急需研发一套针对移动作业终端设备进行入网安全风险自动化检测和安全漏洞管控的工具，与国网移动终端安全管理系统协同作业，从而完善移动终端的常态化管理，提高公司移动业务安全管控水平。

1 技术方案设计

1.1 系统架构

项目采用基于客户端的形式进行开发，并通过USB直连接的方式，对移动作业终端设备进行安全检测。具体检测项包括：是否root、是否存在弱口令、设备基本信息、设备安全信息、非必要端口、非必要程序、终端基线漏洞检测、入网检测等[3-4]。系统总体架构设计如图1所示。

图1 总体架构设计图

1.2 技术架构

工具整合利用现有技术手段，采取多线程等方式，利用 ADB（Android Debug Bridge，简称 ADB）的方式实现对生产移动终端的信息探嗅与检测，从技术和功能实现上将整个系统架构分为对象层、检测层、应用层。系统技术架构设计如图2所示。

图2 技术架构图

2 关键技术研究

2.1 安全网络通道的使用

对配电自动化、实时电量采集等14个系统终端接入情况进行分析，理清各类安全防护设备的技术原理和防护现状，在数据传输过程中进行移动端安全防护、增加数据审核策略、对传输报文进行校验和封装、对数据格式进行分析和校验，既保证通道的安全，又提高安全通道数据传输的效率。设计应用系统接入区，制定移动终端接入安全防护方案，确保移动APN（Access Point Name，简称 APN）支撑的各类业务稳定、安全、可靠[5-6]。

对移动端传输数据进行格式审核。通过数据格式校验，仅传输符合格式要求的数据。对传输数据流量等进行分析，保障通道的稳定。通过移动端安全防护，对传输数据源进行认证，保障数据来源可信。

2.2 移动应用的安全管理

2.2.1 技术路线

结合统一权限、内网移动门户，构建统一的应用商店，实现内网移动应用的上下架管理、应用分发管理，实现应用管理的统一。实现移动端的应用管理，包括应用的查询、安装、更新等功能。

对各个业务系统的菜单进行统一配置管理。通过应用审核，对上架应用进行代码安全扫描，不符合安全要求的应用禁止上架。通过登录集成统一权限，对用户身份进行验证，验证不通过的用户禁止登录应用商店。

2.2.2 架构设计

移动端应用商店采用微服务架构进行设计。将应用商店的任务拆分为应用商店服务、设备管理服务和定制终端服务等模块。微服务化的应用商店能够快速进行模块更新、任务重点保障。

2.3 移动设备的统一管控

2.3.1 技术路线

建设完整的设备生命周期管控系统，安全管控策略是系统安全的重要补充。通过安全管控策略让使用者能够在安全的习惯和环境下操作终端，并对移动终端进行各类型的安全控制，包括登录鉴权、身份鉴权、联网管控、远程控制及应用管控等。

2.3.2 架构设计

1）终端设备状态跟踪。通过管控策略和配备的管控应用，可以对终端设备的运行状态进行实时跟踪，随时获取终端设备的位置和设备运行状态，如电量、流量、运行的应用和接入的设备等。

2）终端设备系统维护。对终端上的应用进行远程部署、更新、删除，对终端进行数据擦除、密码清除等。

3）终端功能控制。借助终端已经支持的管控策略，可以对终端的功能进行远程管控。终端管控策略配置应用联网规则、设备使用规则等功能。

4）终端安全策略控制。通过云端配置更新终端的安全策略，如登录认证方式、用户鉴权规则等。通过云端配置更新终端的存储加密密钥、文件焚毁规则等。通过云端配置更新终端认证网络／SIM卡信息绑定和使用规则等。

3 实施方案

3.1 系统部署方案

3.1.1 移动终端安全策略统一配置

依据公司移动安全管理要求，对终端安全策略进行统一配置和管理，简化移动终端安全配置管理过程，提升移动终端安全管理水平。

3.1.2 移动终端设备应用集中管理

实现对内外网业务系统移动应用设备集中统一全周期安全管理，同时通过在移动终端上部署公司安全管家应用，为安全管理员提供移动终端安全控制措施，实现用户终端可控、终端行为可监督、通信链路可信、离线数据可管理。

3.1.3 移动终端设备安全监控

实现对移动设备进行全方位的安全监控，查看终端是否存在违规行为，具体包括设备是否被root、检测设备是否安装不必要的进程、检测设备是否开启不必要的端口、终端是否存在风险、终端攻击情况、是否违规连接外网等[7-8]。

3.1.4 终端恶意代码检测过程

首先，工具以Android应用程序APK文件作为输入，通过代码反编译模块进行反编译，获得Android源代码。其次，源代码分析模块对源代码进行分析，得到敏感数据以及API调用。再次，安全判定模块根据制定的安全规则，对敏感数据以及API调用进行分析，确定是否为恶意行为。最后，系统根据判定结果更新恶意代码库。

3.2 系统实施方案

3.2.1 入网检测

1）设备基本状态检测。工具采用离线客户端的形式，对生产移动作业终端进行检测，移动终端通过USB接入工具中，并开启“开发者模式”。移动接入后，可点击“设备刷新”，显示待检测的移动终端。

2）设备安装状态检测。点击“设备检测”实现对已选择设备的安全检测，支持多个设备同时检测。检测完成后，显示当前检测设备的“基本信息”，包括SDK版本、品牌、型号、设备名称、内存，以及终端设备存储的各类应用信息。

3）设备检测白名单配置。工具可通过白名单配置，对“端口”“程序包”和MIP版本进行白名单设置。通过以上的检测可以检测MIP和VPN的安装与版本情况，杜绝不满足规范要求的终端入网，形成终端安全策略的统一配置和管理，简化移动终端安全配置管理过程[9-10]。收集终端状态日志和告警信息，实现应用监控、流量监控、合规检查，一方面进行告警实时响应和处置，另一方面为分析系统提供元数据，提升移动终端安全管理水平。同时，通过在移动终端部署公司安全管家应用，为安全管理员提供移动终端安全控制措施，实现用户终端可控、终端行为可监督、通信链路可信、离线数据可管理。

3.2.2 漏洞整改

1）漏洞审核及漏洞下发。通过对移动终端进行检测，在管理端显示终端检测结果，管理人员可在管理端审核检测结果。管理员审核完成，通过系统将漏洞指派给对应的终端设备负责人，要求负责人进行整改。

2）漏洞整改。终端设备负责人接收来自管理员的漏洞整改通知后，完成终端漏洞整改，并在系统中填报整改内容。

漏洞整改与管控可实现对同类漏洞的梳理归纳总结，提高漏洞威胁感知，通过制作风险预警单的方式提高终端安全管理水平。通过移动作业终端准入工具的研发与应用，并结合国网的移动终端检测漏洞库，实现移动终端漏洞风险检测结果自动下发，并将整改结果在线反馈。

4 系统创新和亮点

4.1 实现移动终端漏洞风险全周期管理

通过移动作业终端准入检测工具的研发与应用，并结合国网移动终端检测漏洞库，实现移动终端漏洞风险检测结果自动下发，并将整改结果在线反馈。构建移动作业终端漏洞监控管理体系，实现漏洞的发现、整改及跟踪全过程管控，打造安全稳定的移动作业工作环境[11-12]。

4.2 实现移动终端全生命周期管理

结合《移动作业终端管理办法》的编制和发布，规范移动作业终端从入网、运维到退役的全过程管理，并对设备越狱、违规外联和遭受外部攻击等安全威胁进行实时告警和自动处理，助力某省电力公司圆满完成移动作业终端及应用整合专项工作，全面提升移动业务经营与管控的能力与效果。

4.3 实现移动终端安全风险自动检测

对终端安全策略进行统一配置和管理，简化移动终端安全配置管理过程。收集终端状态日志和告警信息，实现应用监控、流量监控、合规检查，可进行告警实时响应和处置，为分析系统提供元数据，提升移动终端安全管理水平。通过在移动终端上部署公司安全管家应用，为安全管理员提供移动终端安全控制措施，实现用户终端可控、终端行为可监督、通信链路可信、离线数据可管理。

4.4 建设移动作业终端安全检测体系

通过明确移动终端管理范围、管理标准，提供对公司内外网业务系统移动应用设备统一安全管理，最终保障各类移动终端安全认证和数据安全；保障终端数据在移动网络传输过程中不发生泄漏、被篡改等事件；保障公司信息系统主站、网络边界安全和可信接入；实现用户终端可控、终端行为可监督、通信链路可信、离线数据可管理[13-14]。

4.5 构建移动终端安全防护体系

通过建设标准的移动作业终端安全防护体系，从移动终端安全、网络安全、数据安全以及应用安全，实现对移动设备和移动作业全方位的安全检测和防护，确保移动作业的规范性和安全性，提升了移动作业的安全防护水平。

4.6 工具具备可移植性

工具的安全检测指标主要通过后台方式进行管理，具备良好的开放性和可移植性，采用标准开放的平台接口，支持与其他业务系统进行集成。能够满足7×24 h连续不间断稳定工作，系统运行可靠率大于99.8%。

5 结语

采用沙箱仿真技术和行为分析技术，研究创新了恶意行为判定算法，对信息刺探、数据窃取、隐秘监听、信息盗用等类型的特殊恶意代码，实现高效的恶意行为检测和分析、并归纳电子证据和生成分析报告。支持当前市面各品牌、各型号的安卓（Android）智能设备，对各种恶意代码（病毒、后门木马、蠕虫）进行全面检测，具有设备基本信息检测、设备安装信息检测、设备检测白名单配置、设备安全检测、设备入网痕迹检测、设备整改、终端设备安全检测报告等功能，实现了移动终端漏洞风险检测结果自动下发。通过构建移动作业终端漏洞监控管理体系，实现了漏洞的发现、整改及跟踪全过程管控。利用终端入网痕迹检测功能，有效帮助安全管理人员查看当前终端历史使用方式，提高了移动作业终端的防御能力。