CN105471866A - 一种移动应用的保护方法和装置 - Google Patents

Abstract

本发明适用于网络安全应用技术领域。提供了一种移动应用的保护方法和装置。该移动应用的保护方法包括：在外部网络和内部服务器网络之间接入安全网关；接收通过外部网络发送的请求数据；判断发送请求数据的请求端是否为授权访问的请求端，若是，则将请求数据经安全网关发送给内部服务器网络，否则，不允许请求端访问内部服务器网络；将内部服务器网络发送的响应数据经安全网关处理后发送给外部网络。本发明利用在外部网络和内部服务器网络之间接入安全网关，使得只有可信的设备、可信的APP客户端、可信的用户、可信的通信协议传输的数据才能访问内部网络服务器，全面提高了业务系统的安全性，降低了改造业务系统的人力成本和维护成本。

Description

一种移动应用的保护方法和装置

技术领域

本发明属于网络安全应用技术领域，尤其涉及一种移动应用的保护方法和装置。

背景技术

移动办公是当今高速发展的通信业与IT业交融的产物，它将通信业在沟通上的便捷、在用户上的规模，与IT业在软件应用上的成熟、在业务内容上的丰富，完美结合到了一起，使之成为了继电脑无纸化办公、互联网远程化办公之后的新一代办公模式。这种最新潮的办公模式，通过在手机上安装企业信息化软件，使得手机也具备了和电脑一样的办公功能，而且它还摆脱了必须在固定场所固定设备上进行办公的限制，对企业管理者和商务人士提供了极大便利，为企业和政府的信息化建设提供了全新的思路和方向。它不仅使得办公变得随心、轻松，而且借助手机通信的便利性，使得使用者无论身处何种紧急情况下，都能高效迅捷地开展工作，对于突发性事件的处理、应急性事件的部署有极为重要的意义。

由于移动办公要经过开放的无线公网接入企事业单位的内部网以及信息在空中无线传播，由此移动办公使用和推广的首要问题就是移动办公的安全问题。在网络安全威胁日益严重的今天，移动办公系统的安全更是一个不容忽视的重要问题。如何保证企事业单位的网络和信息的安全，也是用户最关心的一个问题。由于移动办公要经过运营商的无线网和移动运营商的运营网络，这就有可能发生信息泄密或引入黑客攻击的问题。因此需要为移动办公通过一个极为安全的解决方案，移动办公的应用才能成为可能。

目前在网络安全应用方面使用的较多的一是防火墙技术。防火墙保护的是企事业单位内部网络信息的安全，比如防止银行服务器用户账号信息、政府部门的保密信息、部队中的作战计划和战略等重要信息的泄漏。从狭义上讲，防火墙保护的是企业内部网络中各个服务器的安全，防止计算机受到来自企业外部非安全网络中的所有恶意访问或攻击行为。防火墙实现对内部网络的保护功能是通过将内外网络进行物理隔离来实现的，然后根据预先定制的安全策略控制通过防火墙的访问行为，从而达到对企业内部网络访问的有效控制。使用防火墙技术保护还是需要将业务系统的地址、端口开放到外网，业务系统未经改造则同样也是有很大的安全隐患。

使用防火墙技术进行业务安全保护，业务系统仍然需要将服务器的地址、端口直接暴露到互联网，当业务系统存在漏洞时，会直接威胁业务系统的安全；此外，当有多个业务系统时，就需要开多个地址、端口，更进一步增加了安全风险。

另一应用的较多的则是VPN技术。VPN保护是在端点和企事业单位内部网络之间建立一条“虚拟隧道”，数据在发送到公网前被加密传输，不需要专门的通讯线路，借助普通的Internet接入线路就能实现和隔离内网一样的安全的连接。使用VPN方式则需要在每个端点安装VPN客户端，且需要访问内部网络中的业务系统时，需要先进行VPN连接，才能访问业务系统，使用的不方便性；由于VPN客户端和业务系统客户端是两个应用，当一个断开另外一个并不会主动断开，尤其是当互联网不稳定时导致VPN断开，此时业务系统也会断开连接，使用的不方便性；当VPN建立连接后，其它应用(例如黑客软件)也可以访问内部网络的业务系统，同样存在安全隐患。

使用VPN方式保护企事业单位的内网业务系统时，移动设备频繁切换网络时容易掉线，业务应用与VPN客户端为两个客户端未联动，当VPN断开是也会导致业务应用连接断开；另外iOS设备上锁屏会导致VPN断开，严重影响用户体验；当VPN建立连接后，其它应用(例如黑客软件)也可以访问内部网络的业务系统，同样存在安全隐患。

发明内容

本发明实施例提供一种移动应用的保护方法和装置，旨在解决现有技术中将内网中的业务系统与外网直接进行交互带来的安全隐患的问题。

本发明实施例是这样实现的，一种移动应用的保护方法，该方法包括：

在外部网络和内部服务器网络之间接入安全网关；

接收通过外部网络发送的请求数据；

判断发送请求数据的请求端是否为授权访问的请求端，若是，则将请求数据经安全网关发送给内部服务器网络，否则，不允许请求端访问内部服务器网络；

将内部服务器网络发送的响应数据经安全网关处理后发送给外部网络。

本发明实施例还提供一种移动应用的保护装置，该装置包括：

安全网关接入模块，用于在外部网络和内部服务器网络之间接入安全网关；

请求数据接收模块，用于接收通过外部网络发送的请求数据；

第一判断模块，用于判断发送请求数据的请求端是否为授权访问的请求端，若是，则将请求数据经安全网关发送给内部服务器网络，否则，不允许请求端访问内部服务器网络；

响应数据发送模块，用于将内部服务器网络发送的响应数据经安全网关处理后发送给外部网络。

本发明利用在外部网络和内部服务器网络之间接入安全网关，可以更好的帮助企业解决在将现有的内网业务系统开放到互联网提供移动办公时所面临的诸多安全问题。在实现成本上无需对目前的硬件系统进行改造，在实现效果上利用安全网关将外部网络与内部服务器网络进行隔离，使得只有可信的请求端(移动设备、应用程序、用户)请求时才给予访问，且经安全网关将响应数据发送给外部网络，可以有效隐藏发送该响应数据的内部服务器的地址和端口，提高了整个业务系统的安全性。

附图说明

图1是本发明实施例一提供的移动应用的保护方法的流程图；

图2是本发明实施例二提供的移动应用的保护方法的流程图；

图3是本发明实施例三提供的移动应用的保护方法的流程图；

图4是本发明实施例四提供的移动应用的保护装置的结构示意图；

图5是本发明实施例五提供的移动应用的保护装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。

本发明涉及企事业单位对员工提供的应用改造为支持在家办公的场景下，需将内网中的业务系统开放接口到互联网上，由此给业务系统带来了很大的安全隐患，本发明旨在利用在外部网络和内部服务器网络之间接入安全网关，更好的帮助企业解决在将现有的内网业务系统开放到互联网提供移动办公时所面临的诸多安全问题。

实施例一

图1是本发明实施例一提供的移动应用的保护方法的流程图，下面结合图1来具体描述根据本发明的一个实施例的移动应用的保护方法，如图1所示，该方法包括：

在步骤S101中，在外部网络和内部服务器网络之间接入安全网关。

其中，该安全网关部署在DMZ隔离区，该安全网关在外部互联网上只需要开一至两个端口，在内网上统一接入到多个内部业务系统中，使得业务系统均部署在内网区域，不需要在互联网端开放地址和端口。

在步骤S102中，接收通过外部网络发送的请求数据。

其中，通过外部网络发送该请求数据的请求端的电子设备包括但不限于手机、平板电脑、PC机、云服务器等等。

在步骤S103中，判断发送请求数据的请求端是否为授权访问的请求端，若是，则跳转至步骤S104；否则，跳转至步骤S105；

在步骤S104中，将请求数据经安全网关发送给内部服务器网络，进入步骤S106。

其中，上述请求端包括但不限于发送请求数据的移动设备的唯一标识符、发送请求数据的应用程序的唯一标识符、注册应用程序的用户的身份识别码。使得只有可信的APP客户端、可信的移动设备、可信用户才能通过安全网关访问到内网服务器。

该判断方式例如可以是将请求数据中包括的移动设备的唯一标识符与预设的有权限的移动设备的唯一标识符比对，筛选出符合条件的移动设备；将发送请求数据的应用程序的唯一标识符与预设的有权限的应用程序的唯一标识符比对，筛选出符合条件的应用程序；将注册该应用程序的用户的身份识别码与预设的有权限的身份识别码比对，筛选出符合条件的用户。作为最高安全级别的设定，将移动设备的唯一标识符、发送请求数据的应用程序的唯一标识符以及注册应用程序的用户的身份识别码同时作为有权限访问的请求端的判定条件为最佳。

在步骤S105中，不允许请求端访问内部服务器网络。根据本步骤的一个示例例如：丢弃对应的请求数据。

在步骤S106中，将内部服务器网络发送的响应数据经安全网关处理后发送给外部网络。

根据本实施例的一个使用场景例如：外部网络中的安全客户端(即有授权访问权限的客户端)提供Web浏览器功能，安全客户端将浏览器的HTTP请求封装到SSL协议中发送到安全网关，安全网关收到相应的数据请求后根据URL信息转发给相应的内部服务器网络中的业务系统，业务系统收到请求后将响应数据通过安全网关回传给安全客户端，可以将内网B/S业务系统轻松发布到互联网，由于安全客户端支持邮件协议(POP3/IMAP)，所以用户在互联网也可以安全的访问内网邮件服务器。

对于其它非B/S的业务系统，提供应用层SDK，安全应用调用之后，可以自动建立SSL安全连接，并将安全应用的HTTP/HTTPS请求封装转发到防火墙内的业务系统。对于其它非Web的应用只需针对APP客户端做很少的改动即可实现移动设备安全的访问应用服务器。

进一步地，安全客户端提供断线自动重连机制，确保SSL通道随时可用，提高移动版本的易用性。

作为可选的，上述外部网络与安全网关通过加密SSL通讯协议传输数据。其加密封装方式以及封装的数据内容由用户自定义设置。

本实施例在外部网络和内部服务器网络之间接入安全网关，可以更好的帮助企业解决在将现有的内网业务系统开放到互联网提供移动办公时所面临的诸多安全问题。在实现成本上无需对目前的硬件系统进行改造，在实现效果上利用安全网关将外部网络与内部服务器网络进行隔离，使得只有可信的请求端(移动设备、应用程序、用户)请求时才给予访问，且经安全网关将响应数据发送给外部网络，可以有效隐藏发送该响应数据的内部服务器的地址和端口，提高了整个业务系统的安全性。

实施例二

图2是本发明实施例二提供的移动应用的保护方法的流程图，如图2所示，本实施例提供的移动应用的保护方法在包括上述步骤S101、S102、S103、S104、S105以及S106的基础上，还包括以下步骤：

在步骤S201中，检测请求数据的封装格式；

在步骤S202中，根据检测的封装格式判断请求数据是否完整，若是，则跳转至步骤S103；否则，跳转至步骤S203；

在步骤S203中，对请求数据做异常处理。

其中，上述异常处理例如丢弃该请求数据，再例如向请求端反馈请求数据不完整的信息数据。

由于请求端的身份信息是封装在请求数据的内容中的，且判断数据的完整性相比于解析数据之后再分析数据的内容更高效快速，本实施例在判断发送请求数据的请求端是否为授权访问的请求端的步骤之前判断请求数据是否完整，使得系统能够将明显没有授权访问权限的请求数据筛选出来，提高本发明的效率。

实施例三

图3是本发明实施例三提供的移动应用的保护方法的流程图，如图3所示，本实施例提供的移动应用的保护方法在包括上述步骤S101、S102、S103、S104和S105的基础上，具体还包括以下步骤：

在步骤S301中，将内部服务器网络发送的响应数据解析；

在步骤S302中，将解析的响应数据重新封装后发送给外部网络。

本实施例中的步骤S302和S302由安全网关完成，将发送给外部网络中的位置信息解析后按照与外部网络使用的通信协议重新封装后发送给外部网络，使得外部网络中的电子设备无法知道发送响应数据的内部服务器的端口和地址，使得内网中服务器的多个业务系统可公用一个地址、端口，减少对外开放的端口，规避不必要的风险，使得不需要对业务系统做任何改造或较小的改造，利用较小的成本即可安全的实现移动办公。

实施例四

图4是本发明实施例四提供的移动应用的保护装置的结构示意图，下面结合图4来具体描述根据本发明的一个实施例的移动应用的保护装置，如图4所示，该移动应用的保护装置100包括：

安全网关接入模块10，用于在外部网络和内部服务器网络之间接入安全网关；

请求数据接收模块20，用于接收通过外部网络发送的请求数据；

第一判断模块30，用于判断发送请求数据的请求端是否为授权访问的请求端，若是，则将请求数据经安全网关发送给内部服务器网络，否则，不允许请求端访问内部服务器网络；

响应数据发送模块40，用于将内部服务器网络发送的响应数据经安全网关处理后发送给外部网络。

其中，上述请求端包括但不限于发送请求数据的移动设备的唯一标识符、发送请求数据的应用程序的唯一标识符、注册应用程序的用户的身份识别码。

作为可选的，上述外部网络与安全网关通过加密SSL通讯协议传输数据。

本实施例使得只有可信的设备、可信的APP客户端、可信的用户、可信的通信协议传输的数据才能访问内部网络服务器，降低了安全网关的安全风险，全面提高了业务系统的安全性和易用性。

实施例五

图5是本发明实施例五提供的移动应用的保护装置的结构示意图，如图5所示的移动应用的保护装置100，该装置在包括上述安全网关接入模块10、请求数据接收模块20、第一判断模块30和响应数据发送模块40的情况下，具体还包括：

检测模块51，用于检测请求数据的封装格式；

第二判断模块52，用于判断请求数据是否完整，若是，则判断发送请求数据的请求端是否为授权访问的请求端，否则，对请求数据做异常处理。

其中，上述响应数据发送模块40具体包括：

解析单元41，用于解析所述响应数据；

数据发送单元42，用于将解析的响应数据重新封装后发送给外部网络。

其中，上述第二判断模块52具体还用于丢弃请求数据和/或向请求端反馈请求数据不完整的信息数据。

本发明利用在外部网络和内部服务器网络之间接入安全网关，可以更好的帮助企业解决在将现有的内网业务系统开放到互联网提供移动办公时所面临的诸多安全问题。在实现成本上无需对目前的硬件系统进行改造，在实现效果上利用安全网关将外部网络与内部服务器网络进行隔离，使得只有可信的请求端(移动设备、应用程序、用户)请求时才给予访问，且经安全网关将响应数据发送给外部网络，可以有效隐藏发送该响应数据的内部服务器的地址和端口，提高了整个业务系统的安全性。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台电视终端设备执行本发明各个实施例所述的方法。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims (9)

1.一种移动应用的保护方法，其特征在于，所述方法包括：

在外部网络和内部服务器网络之间接入安全网关；

接收通过外部网络发送的请求数据；

判断发送所述请求数据的请求端是否为授权访问的请求端，若是，则将所述请求数据经所述安全网关发送给所述内部服务器网络，否则，不允许所述请求端访问所述内部服务器网络；

将内部服务器网络发送的响应数据经所述安全网关处理后发送给所述外部网络。

2.如权利要求1所述的移动应用的保护方法，其特征在于，所述请求端包括发送所述请求数据的移动设备的唯一标识符、发送所述请求数据的应用程序的唯一标识符和/或注册所述应用程序的用户的身份识别码。

3.如权利要求1所述的移动应用的保护方法，其特征在于，所述外部网络与所述安全网关通过加密SSL通讯协议传输数据。

4.如权利要求1所述的移动应用的保护方法，其特征在于，所述方法还包括：

检测所述请求数据的封装格式；

判断所述请求数据是否完整，若是，则判断发送所述请求数据的请求端是否为授权访问的请求端，否则，对所述请求数据做异常处理。

5.如权利要求4所述的移动应用的保护方法，其特征在于，针对所述对所述请求数据做异常处理，所述方法还包括：

丢弃所述请求数据和/或向所述请求端反馈请求数据不完整的信息数据。

6.如权利要求1至5任一项所述的移动应用的保护方法，其特征在于，针对所述将内部服务器网络发送的响应数据经所述安全网关处理后发送给所述外部网络，所述方法还包括：

解析所述响应数据；

将解析的响应数据重新封装后发送给所述外部网络。

7.一种移动应用的保护装置，其特征在于，所述装置包括：

安全网关接入模块，用于在外部网络和内部服务器网络之间接入安全网关；

请求数据接收模块，用于接收通过外部网络发送的请求数据；

第一判断模块，用于判断发送所述请求数据的请求端是否为授权访问的请求端，若是，则将所述请求数据经所述安全网关发送给所述内部服务器网络，否则，不允许所述请求端访问所述内部服务器网络；

响应数据发送模块，用于将内部服务器网络发送的响应数据经所述安全网关处理后发送给所述外部网络。

8.如权利要求7所述的装置，其特征在于，所述装置还包括：

检测模块，用于检测所述请求数据的封装格式；

第二判断模块，用于判断所述请求数据是否完整，若是，则判断发送所述请求数据的请求端是否为授权访问的请求端，否则，对所述请求数据做异常处理。

9.如权利要求7或8所述的装置，其特征在于，所述装置还包括：

解析单元，用于解析所述响应数据；

数据发送单元，用于将解析的响应数据重新封装后发送给所述外部网络。