CN101242658A - 移动信息化多层级网络安全审计系统 - Google Patents

Abstract

本发明涉及一种移动信息化多层级的网络安全审计系统，属于移动信息化和信息安全技术领域。该系统包括移动代理服务器、安全管理器和安全审计代理模块；移动代理服务器中各子系统中分别驻留与安全管理器通讯联系的接入、处理和应用安全审计代理模块。与现有技术相比较，本发明提供了移动信息化应用场景下企业可控的多层级企业网络安全审计机制，可以实现安全规则的定义、执行、安全日志以及安全告警，依赖于此机制可以有效地对企业内部资源进行实时保护，并根据日志对安全事件进行溯源追查，从而为企业提供包含固定、移动应用场景下的全方位的企业网络安全保护。

Description

移动信息化多层级网络安全审计系统

技术领域

本发明涉及一种网络安全审计系统，尤其是一种移动信息化多层级的网络安全审计系统，属于移动信息化和信息安全技术领域。

背景技术

信息化是当今世界发展的趋势，以移动和宽带为标志的移动信息化更是社会信息化发展的必然趋势和更高阶段。目前，越来越多的政府机关、企事业单位(以下简称企业)在信息化建设中应用了GPRS(General Packet Radio Service，通用分组无线业务)、SMS(ShortMessage Service，短消息业务)、MMS(Multimedia Message Service，多媒体消息业务)、WAP(Wireless Application Protocol，无线应用协议)等移动通信手段，使企业信息化应用正逐渐从单一的PC向移动终端(如PDA、手机)延伸，从而使手机之类的移动终端成为继互联网之后信息传播的重要新媒体。

现有的移动信息化应用主要有两种模式：

1)、应用托管模式——即运营商在网络侧部署支持手机接入的信息应用系统(IT系统)，如移动OA(Office Automation，办公自动化)、移动CRM(Custom Relationship Management，客户关系管理)等，此时企业只需支付一定的费用，即可以使用相应的应用，无需自己建设相关的应用系统。此模式适用于中小企业。

2)、移动代理服务器模式——即运营商或企业在企业内部署一个移动代理服务器或网关设备，作为通信代理，实现移动终端与企业内、外部信息应用系统的数据交互。数据交互通道包括GPRS、USSD(Unstructured Supplementary Service Data，非结构化补充数据业务)、SMS、MMS、WAP等多种方式。此模式适用于大中企业，以及信息化程度较高、对内部资源有较高安全性要求的企业。

目前的国家政策规定网络，服务单位和网络使用单位都应该实施网络安全保护及审计措施。然而，现有的网络安全审计方案主要针对互联网接入，对于手机接入的情况缺乏针对性方案，存在很大漏洞和隐患，特别是移动代理服务器模式：一方面企业应用种类繁多、厂家众多，很难提供统一的解决方案；另一方面，手机本身具有便携性、移动性的特点，丢失、被盗的概率很高，且容易被人利用。因此在手机已广泛普及、政府企事业单位广泛采用各类移动信息化应用的今天，信息安全形势将变得更为严峻。

据申请人了解，目前在移动信息化应用中，存在的安全漏洞主要体现在：

1、企业侧的信息应用系统大多仅基于用户名等静态方式提供系统的安全保护，用户安全意识薄弱，大多不设置PIN码(personalidentification number，个人身份识别码)；而且应用系统的日志通常不会记录接入者的接入方式、手机号码，一旦发生安全事件，很难进行溯源追查；

2、网络侧的移动业务设备如SMG(Short Message Gateway短消息网关)、SMSC(Short Message Service Center短消息中心)、MMSC(Multimedia Message Service Center多媒体消息中心)等一般采取留存日志的方式进行取证，日志留存通常只有3个月，存在安全漏洞；

3、针对底层移动数据网进行的网络安全审计存在一些限制，例如PUSHMail，由于它在邮件代理网关与手机之间采用端到端加密机制，网络侧的安全审计措施无法发挥作用；

4、对于WAP、GPRS类的应用，由于运营商的运营政策限制，例如WAP网关会过滤掉手机号码，不向应用系统提供相关信息，由应用系统提供基于手机号码的应用接入认证，记录包含手机号码信息的用户使用日志存在困难。

企业在移动信息化应用中，实施网络安全保护所面临的困难主要体现在下述方面：

1、企业现有的安全审计设备和手段缺乏针对手机接入场景下的解决方案。

2、信息应用系统种类繁多、且多数情况下由不同的厂家提供，安全策略(Policy)的加载、变更、实施依赖于原系统提供商，很难实施统一的安全策略，且实施周期长、成本高。

3、目前移动信息化应用中，网络安全审计主要依赖于网络侧设备和运营商的运营政策，例如由网络侧业务设备提供信息过滤和安全日志，不受企业掌控，安全策略的定义不能满足企业的个性化安全需求。

检索发现，公开号为CN1859401、公开日为2006.11.08的中国专利申请公开了一种在移动终端与移动网络之间实现安全联动的方法，该方法在移动终端安全关联代理设置第一消息处理层，用于汇集安全信息以及对消息进行接收、组装、解析、处理和发送；在移动网络安全关联服务器设置第二消息处理层，用于根据优先级、消息类型确定消息的传输模式和安全机制；提供网络接入控制和服务接入控制的CRS服务；在SCA和SCS分别设置消息包传输层，用于传输安全关联消息，由第一或第二消息处理层发起或响应在SCA与SCS之间的交互过程，直接或通过各自MBT实现包括初始化、认证、安全配置信息更新、网络接入控制、服务接入控制以及漫游控制的交互过程。实施本发明的方法，可以有效解决安全响应系统中安全关联服务器和安全关联代理、安全关联服务器和其它安全设备之间的信息交互的安全问题。以上专利申请涉及的是基于移动网络的关联响应模型CRS，提供了一种移动终端接入移动网络时各元素之间的安全联动技术，从应用的角度来说，属于底层网络的机制，与应用无关。

发明内容

本发明要解决技术问题是：针对以上现有技术存在的缺点，提出一种企业可控的移动信息化多层级网络安全审计系统。

为了解决以上技术问题，本发明的移动信息化多层级网络安全审计系统包括移动代理服务器，所述移动代理服务器含有网络接入、业务处理、应用及应用接入三级子系统，所述业务处理子系统构建于网络接入子系统和应用及应用接入子系统之间；还包括安全管理器和安全审计代理模块；所述移动代理服务器位于企业内网信息应用系统与外网用于接入移动通讯终端的移动网络侧设备之间；

所述各子系统中分别驻留与安全管理器通讯联系的接入安全审计代理模块、处理安全审计代理模块和应用安全审计代理模块；

所述安全管理器用于提供安全策略以及安全审计代理模块的管理，并汇总管理各安全审计代理模块发送的安全审计日志，以及提供移动代理服务器的安全告警功能；

所述网络接入子系统用于提供对外的各类协议接口并解析网络报文传送给业务处理子系统，驻留在网络接入子系统中的接入安全审计代理模块用于当移动通讯终端或内网信息应用系统向移动代理服务器发起接入请求时，为每个接入请求分配唯一标识，并按照相应的安全策略记录每个接入请求的接入日志(通常包括但不限于接入请求方的身份标识，如MSISDN/IMSI或应用标识、接入请求方的IP地址、接入时间、接入方式等)；

所述业务处理子系统用于提供移动代理服务器内部的消息路由、资源调度、内容格式转换各业务处理功能，驻留在业务处理子系统中的处理安全审计代理模块用于根据安全策略，对解析后的原始内容进行比较识别，当发现违反相应的安全策略规定时，终止业务处理子系统的处理，并记录相应的安全审计日志(通常包括但不限于所处理请求的唯一标识、违反的安全策略标识、违规内容、违规级别等)；

所述应用及应用接入子系统用于接受业务处理子系统分发的消息，或接受内网信息应用系统通过内部接口接入的请求，进行相应的应用逻辑处理操作，驻留在应用及应用接入子系统中的应用安全审计代理模块用于根据相应的安全策略，比较判断该应用逻辑处理操作的权限，当发现违反安全策略的规定时，终止应用及应用接入子系统的处理，并记录相应的安全审计日志(通常包括但不限于所处理请求的唯一标识、违反的安全策略标识、违规内容、违规级别等)。

上述移动代理服务器通常可以提供包括电信域和IT域在内的通信协议的解析，内置的企业应用，以及企业信息应用系统的接入。尤其是，移动代理服务器提供了企业可控的统一网络安全保护机制及实施机制。所有进出企业内网、访问企业内部资源的移动信息化应用都必须经过移动代理服务器，接受统一的安全审计。移动代理服务器不仅可以提供包括安全策略的定义、执行、安全日志的记录等企业侧网络安全审计手段，还可以提供后续的处理机制，如告警。

其中安全策略通常是定义一系列条件和动作的一组规则，用来对所有进出企业内网的移动信息化应用进行多层级的网络安全控制，包括应用级安全控制、信息级安全控制、以及组合安全控制。安全控制通过定义、执行相关安全策略来实施。具体的安全策略主要包括应用安全策略和信息安全策略。

应用安全策略主要包括但不限于：

●应用的接入安全策略，即对接入人员、接入时间、及可接入的应用进行控制，例如只允许企业通信录内存在的手机号码进行企业通信录的查询；

●黑白名单，针对某些特定的应用或者用户可以配置黑白名单，全部允许或者全部禁止某个用户的操作。

应用安全策略的实施不依赖于应用或应用系统，也不需改造现有的应用或应用系统。信息安全策略主要针对应用中的信息而采取的针对内容的安全策略。它可以适用于所有的应用，例如不允许在任一种应用中包含反动、淫秽内容。

以上安全策略可以单独使用，也可以嵌套、组合使用；例如在应用安全策略中同时包含信息安全策略。

安全日志根据预定的日志记录规则，记录全部或满足特定条件的用户使用日志或企业内网资源的接入日志，例如只记录违反安全策略的用户使用日志或企业内网资源的接入日志。安全日志的在线留存时间根据企业需要自行确定，必要时，还可以脱机长久保存。

告警是指对于违反安全策略的事件，根据预定的规则，触发后续处理机制，如通知相关人员或相关设备。

当企业需要对一个特定的移动信息化应用进行应用层面的安全检查例如接入合法性检查时，只需利用本发明所提供的安全审计实施机制，定义安全策略，并加载到相关的应用插件中即可，无需对原有的信息应用系统进行修改。

上述安全管理器既可以包含在移动代理服务器中，也可以单独存在。当企业内部存在多个移动代理服务器时，安全管理器可以独立于移动代理服务器，部署成一个专门的物理设备，与多个移动代理服务器内的安全审计代理模块配合，提供统一的企业网络安全审计。独立的安全管理器设备提供安全策略的统一定义、分发、管理以及日志采集、统计分析、告警等功能。此种扩展应用适用于跨地域的大型企业，各区域分支机构独立部署或共同部署一或多个移动代理服务器的情况；也适用于由运营商或政府机关针对多个企业，统一提供安全审计管理的情况。

在实际部署时，本发明所述系统可以叠加移动网络侧的设备，例如APN(Access Point Network，接入点网络)以及SMSC、MMSC、WAP网关等业务引擎，它们在运营商运营政策许可范围内，可以提供辅助性的审计手段，例如敏感内容过滤和日志留存。此种叠加应用仍属于本发明的权利要求范围。

与现有技术相比较，归纳起来，本发明具有以下有益效果：

1.提供移动信息化应用场景下企业可控的多层级企业网络安全审计机制；

2.企业网络安全审计机制包括安全策略的定义、管理、执行、安全日志以及安全告警，依赖于此机制可以有效地对企业内部资源进行实时保护，并根据日志对安全事件进行溯源追查；

3.安全策略的定义及审计的实施是企业可控的，不依赖于移动网络侧的设备与运营商的运营政策；

4.企业网络安全策略主要包括应用安全策略和信息安全策略，检查重点不同，适用性也不同，既可以单独使用，也可以组合、嵌套使用；

5.提供了统一的企业网络安全审计实施机制；

6.可延伸至互联网接入下的企业网络安全审计，为企业提供包含固定、移动应用场景下的全方位的企业网络安全保护。

附图说明

图1是本发明移动代理服务器的位置示意图。

图2是本发明移动代理服务器的逻辑功能结构示意图。

图3是本发明一个实施例的下行业务安全审计过程示意图。

图4是本发明一个实施例的上行业务安全审计过程示意图。

附图中：Mobile Netwrok/Service Network移动网络/业务网络，IP Network即IP网络，此处指运营商建设的IP网络。

具体实施方式

下面结合附图和一个实施例对本发明进行详细说明。

本实施例中移动代理服务器在网络中的典型位置如图1所示，通常位于企业内网与外网的交界处，通过防火墙或不通过防火墙与外网直接相连，可以提供移动信息化应用的企业内部应用系统如Email、OA、ERP等与移动代理服务器之间存在业务数据的交互，它们之间通过企业内部局域网进行路由。

该移动代理服务器的内部结构如图2所示，如同常规代理服务器一样，含有分成三级的网络接入子系统、业务处理子系统以及应用及应用接入子系统。此外，还加载了由安全管理器、以及对应各常规子系统的安全审计代理模块A1、A2、A3共同构成的安全子系统。安全管理器作为管理者，提供安全策略的定义、管理(加载、卸载)、安全审计代理模块的管理功能(激活、去激活)、安全日志的统计分析、告警等功能。各安全审计代理模块与安全管理器之间保持通讯联系，并作为安全策略的具体接受和执行装置，加载后分别驻留在需要进行审计的各级对应常规子系统中。

预先定义的安全策略通过安全管理器加载到安全审计代理模块中，由安全审计代理模块根据预定的策略予以执行。不同层级的安全策略由不同位置的相应安全审计代理模块来执行。各安全审计代理模块可以根据安全管理器的命令，暂时停止执行安全策略，也可以根据需要启用，即各安全审计代理模块具有受控于安全管理器的启用或暂时停止执行安全策略状态。安全管理器还可以针对各安全审计代理模块所记录的日志进行定时或实时的统计分析，并触发后续的处理(如告警)。企业用户可以预先定义安全事件的等级，对于严重事件，安全审计代理模块在阻断并记录日志的同时，将实时通知安全管理器进行后续处理；对于一般性事件，安全管理器可以定时对安全日志进行统计分析，为管理员提供安全资料。具体而言：

网络接入子系统运行时，提供对外的各类协议接口并解析网络报文。当终端或企业内部的信息应用系统向移动代理服务器发起接入请求时，驻留其中的安全审计代理模块A1会为每个接入请求分配一个移动代理服务器内有效的唯一标识，并按照安全管理器发来的接入安全策略要求，记录详细的接入日志，包括但不限于接入请求方的身份标识，如MSISDN/IMSI或应用标识、接入请求方的IP地址、接入时间、接入方式等。当移动代理服务器的内置应用或应用插件以外部通信接口的方式发起对企业信息应用系统的接入请求时，此请求也经由网络接入子系统发出，由A1记录详细的接入日志，包括但不限于接入请求方的身份标识(应用或应用插件标识)、请求的对端IP地址、接入时间、接入方式等。

业务处理子系统运行时用于对网络接入子系统解析后的原始内容(明文)或应用及应用接入子系统下发的内容进行格式转换、路由、资源调度等业务处理。驻留其中的安全审计代理模块A2根据安全管理器发来的信息安全策略，进行比较判断。当发现违规事件时，终止业务处理子系统的处理，拒绝向下一跳应用及应用接入子系统或网络接入子系统分发请求消息，根据安全日志规则记录信息安全日志，根据安全事件处理规则进行后续处理。信息安全日志信息包括但不限于所处理请求的唯一标识、违反的安全策略标识、违规内容、违规级别等。

应用及应用接入子系统运行时用于接受业务处理子系统分发的请求消息，或企业内网信息应用系统的调用，或内部调度如定时器触发，进行应用或应用插件的应用逻辑处理；驻留其中的安全审计代理模块A3根据安全管理器发来的应用安全策略，比较判断该应用逻辑处理操作的权限。当发现违规事件时，终止应用及应用接入子系统的处理，拒绝应用接入，根据应用安全日志规则记录应用安全日志，根据安全事件处理规则进行后续处理。应用安全日志信息包括但不限于所处理请求的唯一标识、违反的安全策略标识、违规内容、违规级别等。

图3仅用于示意性说明本实施例所述系统的工作原理，其中N标识的步骤为移动代理服务器原有的正常业务流程，S标识的步骤为应用本发明的安全审计流程。图3所示流程并非对本发明的限制。在系统的具体实现中，同一个子系统中允许存在多个安全审计代理模块。

整个系统运行时，各子系统、安全管理器、以及对应各子系统的安全审计代理模块共同实现的上行业务处理流程如下：

N-1网络接入子系统听取网卡获取网络报文；

N-2网络接入子系统解析网络报文，取出原始业务内容；

N-3业务处理子系统接受网络接入子系统发送的请求，进行业务处理；

N-4应用及应用接入子系统接受业务处理子系统发送的请求，进行应用逻辑处理；

S1-1监听网络接入子系统的接入请求，按预定接入安全策略要求进行接入安全审计；

S1-2审计完成，不干涉网络接入子系统的正常处理流程(解析网络报文，向一跳分发消息)；

S2-1监听业务处理子系统接受的请求，按预定接入安全策略要求进行信息安全审计；

S2-2根据审计结果，做出相应的处理意见：当审计结果违反相应的安全策略时，业务处理子系统终止当前处理的会话，否则按正常流程继续处理当前的会话；

S3-1监听应用及应用接入子系统接受的请求，按预定应用安全策略要求进行应用安全审计；

S3-2根据审计结果，做出相应的处理意见：当审计结果违反相应的安全策略时，应用及应用接入子系统终止当前处理的会话或按正常流程继续处理当前的会话。

整个系统运行时，各子系统、安全管理器、以及对应各子系统的安全审计代理模块共同实现的典型的下行业务处理流程如下：

N-5应用及应用接入子系统根据应用逻辑，准备好内容，并要求进行相应的网络操作，如发送短消息；

N-6操作请求及内容发送至业务处理子系统进行业务处理；

N-7网络接入子系统将内容按网络协议要求进行封装；

N-8网络接入子系统发送网络协议报文；

S3-1监听应用及应用接入子系统发出的请求，按预定应用安全策略要求进行应用安全审计；

S3-2根据审计结果，做出相应的处理意见：应用及应用接入子系统终止当前处理的会话或按正常流程继续处理当前的会话；

S2-1监听业务处理子系统接受的请求，按预定接入安全策略要求进行信息安全审计；

S2-2根据审计结果，做出相应的处理意见：当审计结果违反相应的安全策略时，业务处理子系统终止当前处理的会话或按正常流程继续处理当前的会话；

在下行业务的处理中，由于应用本身保留有业务发起方和接收方的身份标识，因此一般可以不做网络层面的安全审计。

图3示意性地说明了移动代理服务器内完整的业务处理流程，在进行安全审计之前，需要通过安全管理器与各安全审计代理模块，预先进行安全策略的定义、加载、激活等管理操作。安全管理器与各安全审计代理模块之间的交互过程示意性地简单描述如下：

1-1 管理员通过安全管理器提供的管理界面定义安全策略P，安全策略中包含安全条件为“内容中不允许包含禁止语句库中的内容样本”，若内容为“一级样本”，则定义为严重安全事件，需拒绝向下一跳分发当前事务处理请求、记录安全日志，并向安全管理器实时报告；对于非严重安全事件，只终止当前会话，并记录日志，不需实时报告；

1-2 管理员通过安全管理器提供的管理界面，将安全策略P加载到信息安全审计代理模块A2，并定义A2的执行条件为业务处理子系统中有消息进出；

1-3 管理员通过安全管理器提供的管理界面，激活A2；

安全管理器与安全审计代理模块之间交互的具体实现方式可参考IETF的策略管理框架的描述。

图4以上述预置策略的执行为例，示意性说明安全审计代理模块的工作流程：

1-4 A2根据安全策略P的要求，监听业务处理子系统的进出消息，发现源模块号为网络接入子系统中的邮件解析协议模块转发的、会话标识号为S1001200803041005的消息已发送至业务处理子系统；

1-5 A2对会话标识为S1001200803041005消息所传递的内容进行比较；

1-6 A2发现该消息中包含违规内容，且为“严重安全事件”，按照安全策略P的要求，关闭当前会话，向业务处理子系统返回一个出错信息“违反信息审计要求”；

1-7 A2记录安全日志；

1-8 A2向安全管理器报告严重安全事件，包括会话标识S1001200803041005、安全策略P、事件级别“严重”、事件发生时间等信息；

1-9 安全管理器根据预定的处理策略，进行事件比对，确认需执行的后续处理步骤；

1-10 安全管理器执行后续处理，如向管理员发送短信告警。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。例如，在实际部署时，图1的网络拓扑可以有所变化：企业原有的IT应用系统以及Internet接入由运营商A提供，移动代理服务器及其所需的Internet接入由运营商B提供。或者一个跨地域的大型企业，存在多个位于不同地区的局域网，局域网之间通过专线或VPN进行连接，每个地区有独立的Internet接入，且企业内部可能有一或多个移动代理服务器。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims (5)

1.一种移动信息化多层级网络安全审计系统，包括移动代理服务器，所述移动代理服务器含有网络接入、业务处理、应用及应用接入三级子系统，所述业务处理子系统构建于网络接入子系统和应用及应用接入子系统之间；其特征在于：还包括安全管理器和安全审计代理模块；所述移动代理服务器位于企业内网信息应用系统与外网用于接入移动通讯终端的移动网络侧设备之间；

所述网络接入、业务处理、应用及应用接入三级子系统中分别驻留与安全管理器通讯联系的接入安全审计代理模块、处理安全审计代理模块和应用安全审计代理模块；

所述安全管理器用于提供安全策略以及安全审计代理模块的管理，并汇总管理各安全审计代理模块发送的安全审计日志，以及提供移动代理服务器的安全告警功能；

所述网络接入子系统用于提供对外的各类协议接口并解析网络报文传送给业务处理子系统，驻留在网络接入子系统中的接入安全审计代理模块用于当移动通讯终端或内网信息应用系统向移动代理服务器发起接入请求时，为每个接入请求分配唯一标识，并按照相应的安全策略记录每个接入请求的接入日志；

所述业务处理子系统用于提供移动代理服务器内部的消息路由、资源调度、内容格式转换各业务处理功能，驻留在业务处理子系统中的处理安全审计代理模块用于根据安全策略，对解析后的原始内容进行比较识别，当发现违反相应的安全策略规定时，终止业务处理子系统的处理，并记录相应的安全审计日志；

所述应用及应用接入子系统用于接受业务处理子系统分发的消息，或接受内网信息应用系统通过内部接口接入的请求，进行相应的应用逻辑处理操作，驻留在应用及应用接入子系统中的应用安全审计代理模块用于根据相应的安全策略，比较判断该应用逻辑处理操作的权限，当发现违反安全策略的规定时，终止应用及应用接入子系统的处理，并记录相应的安全审计日志。

2.根据权利要求1所述移动信息化多层级网络安全审计系统，其特征在于：所述安全管理器包含在移动代理服务器中。

3.根据权利要求1所述移动信息化多层级网络安全审计系统，其特征在于：所述安全管理器与移动代理服务器相分离，单独设立。

4.根据权利要求2或3所述移动信息化多层级网络安全审计系统，其特征在于：所述移动代理服务器位于企业内网与外网的交界处，通过防火墙或不通过防火墙与外网直接相连。

5.根据权利要求4所述移动信息化多层级网络安全审计系统，其特征在于：所述各安全审计代理模块具有受控于安全管理器的启用或暂时停止执行安全策略状态。

Images