一、系統概況、能解決的重大問題

安全保障是云計算模式下移動互聯網健康發展的關鍵所在。目前，在3G網絡已趨向成熟、移動互聯網業務得到廣泛普及的同時，越來越多的網絡和手機安全問題開始出現。特別隨著3G/LTE的發展和云計算應用模式的引入，使寬帶移動互聯網安全問題變得更加復雜，給移動互聯網的安全帶來了前所未有的挑戰。云計算的虛擬化、多租戶和動態性引入了一系列新的安全問題，主要表現在數據安全、隱私保護、內容安全、運行環境安全、風險評估和安全監管等多個方面。同時各種傳統的安全問題在云計算和移動互聯網中愈加突出突出，入侵、攻擊和病毒行為正向規模化、趨利化、復雜化和交叉化等方向發展。依靠傳統孤立的采用一種安全產品或技術來解決網絡與信息安全已經非常困難。云計算環境下移動互聯網用戶信息安全保護、虛擬化安全環境、動態安全防護服務等安全問題需要引起高度重視。

本單位研發的“云計算模式移動互聯網安全監控與保障系統”，針對云計算應用模式下的移動互聯網安全問題及關鍵安全技術開展專項研究，構建完善移動互聯網安全技術體系，實現大規模網絡的安全事態監控，保障移動互聯網、業務應用和用戶的安全。

該系統獲得國家自主知識產權和多項發明專利，并已經在山東移動、江蘇移動等多個省市建設應用，運行穩定，實際效果良好，能夠有效地解決云計算架構和移動互聯網業務的一系列重大安全問題。

二、系統總體技術方案

本系統采用創新的云計算模式全局安全深度防護體系架構，主要由外部云計算/互聯網安全監控網關、內部云計算/云存儲安全防護、接入安全監控與認證、安全監護中心等部分組成。提供云計算應用模式下移動互聯網的風險模型、多租戶云應用模式下的數據安全與隱私保護、虛擬運行環境安全、云計算和終端安全的評測、移動互聯網總體安全體系和業務安全保障體系等功能。

內部云計算/云存儲業務系統、移動互聯網及其終端接入系統、移動互聯網安全監護中心構成基于全局認證的深度安全主動防御系統，該系統通過安全網關跟外部云計算/互聯網相連。

圖1.云計算應用模式下全局安全深度防護體系

終端訪問雙向認證、授權內聯、訪問控制

針對終端系統可能直接通過旁路（WiFi等）與外部互聯網相通而造成復雜安全問題，安全監護中心與嵌入在終端上的安全中間件客戶端相配合，實施基于全局等技術，隔離終端與外網外云的操作不造成對內網的直接威脅。

全局監控、深度安全防御

同時，對內部業務/數據云實施基于全局認證的多級深度安全防護措施，保證內部業務系統的安全性。

敏感數據分層保護、密室隔離、授權訪問、自動修復

內部業務/數據云采用基于安全加固的分層隔離、授權訪問、動態加密等技術，將關鍵數據、敏感信息存放在安全隔離的“密室”中，對這些數據的訪問必須在授權、認證、臨時密鑰的條件下才能進行，從而保證了在多租戶、虛擬存儲環境下關鍵敏感數據、隱私信息的高安全性。

三、關鍵技術創新

（1）云計算應用模式下移動互聯網的安全威脅模型

基于對寬帶移動互聯網、云計算平臺與應用、傳統互聯網等全方位安全威脅的研究，構建出云計算應用模式下移動互聯網的風險體系模型。

圖2.云計算應用模式下移動互聯網的安全威脅模型

在此基礎上，采用云計算、云安全、移動互聯網安全方面的的創新性研究成果，規劃設計云計算應用模式下移動互聯網的安全保障體系——基于全局安全認證的深度防御保障體系。

（2）基于云海操作系統的數據安全隔離和透明存儲

在浪潮云海操作系統LC-OS的支持下，利用創新的智能虛擬存儲引擎iC-SVC的分域安全密室技術，實現數據隔離分層分塊存儲、數據安全透明轉移。。

虛擬機及其數據安全隔離——可對虛擬機設置專門的安全隔離區（安全“密室”），隔離區之間的數據遷移必須通過強安全認證和授權，從而阻斷不同虛擬機及其隔離區之間的數據混泄，保證放到安全隔離區中的各種關鍵數據、敏感數據的高安全性。

圖3.基于云海操作系統的數據安全存儲架構

數據分域定位安全存儲——高安全等級要求的關鍵數據以及對性能要求高的數據可以放在隔離存儲陣列的內部，次關鍵數據和一般數據可以放在外掛存儲上，而對以上的數據都可以通過容災軟件實現容災。

動態靈活的存儲管理——強大靈活的資源調度與和組合式應用配置功能，可依據負載情況實現業務、資源的動態調度、基于拓撲的軟硬件資源組塊配置，能快捷地滿足客戶動態多變、豐富多樣的應用需求。

支持大規模管理架構——采用多級聯管理體系，可以通過級聯方式實現資源的整合管理，可以有效實現超海量存儲

支持共享存儲與分布式云存儲組合模式——克服了純共享存儲模式一旦宕機將導致所有虛擬機業務的崩潰的問題。

（3）虛擬存儲環境深度安全防御技術

采用全局接入認證、安全策略匹配、數據隔離、關鍵數據加密、數據智能修復等方法，構建虛擬存儲深度自動防御系統。

全局接入認證

面對復雜的網絡安全行為，最有效的防御策略即是將網絡安全防御技術應用于在整個網絡中，而不是在單點進行網絡安全的防護部署。

圖4.基于全局安全接入認證及自動防御系統

分層安全訪問控制

通過對接入行為進行有效識別、認證，采取針對性的安全策略設定，并對用戶進行強制安全控制，做到防患于未然。而對于關鍵網絡區域數據的保護，全局安全一體化可以通過將安全客戶端和安全聯動設備的有效結合，有效控制終端用戶的網絡訪問行為。

敏感數據的隔離與加密

在云存儲系統中，虛擬存儲管理引擎iSVC，基于統一資源存貯映像和密室隔離技術，將數據存放到不同層面、不同分域的獨立區域。并進一步對敏感數據實施加密，只有通過交叉授權的用戶通過雙向認證后，才能訪問自己的數據，從而保證了敏感數據的高安全性。ISVC為加密數據創建專門的拓撲檢索視圖，以便保證加密數據的授權檢索性。

多維隔離式虛擬存儲引擎(iSVC)

iSVC是模塊化的結構，由多個Cluster節點組成一個大型的存儲池，其中的若干存儲設備以一個統一邏輯設備存在，可以被系統中所有服務器訪問，防止出現存儲設備的信息孤島。主機也可以有多條數據通路同虛擬引擎，多條路徑并發工作。

基于統一映像的資源存儲管理，

iSVC采用基于統一拓撲映像的全局資源管理技術，將所有設備都是其物理設備的邏輯映像，即使物理存儲發生變化，這種邏輯映像也不會改變，存儲對用戶來說將變得透明，與底層細節無關。真正的實現不同存儲之間的文件、數據塊、對象級別的隔離存儲或共享。

安全透明的數據遷移

在iSVC的統一拓撲映像下，可實現數據存放位置對用戶透明的隔離保護。支持基于用戶需求的數據位置控制，實施對關鍵數據、敏感信息的多層加固隔離，能夠在云計算環境的多租戶架構上，把用戶的數據與其他客戶的數據實現物理隔離。

當iSVC被加入到一個現有的SAN環境中時，不需要做數據遷移，iSVC把現有的磁盤配置原封不動的繼承下來，這樣對服務器上的應用是完全透明的。當iSVC完全配置好以后，它又可以將原先磁盤上的卷及數據透明的遷移到其他真正的虛擬卷中。所有的遷移過程對服務器透明，因此不需要中止應用。

動態加密和交叉認證

對于存放在安全隔離區“密室”內的關鍵數據、敏感數據、隱私信息，采用基于分域數據加密和雙因子認證，能有效保護無意或惡意泄露云服務器上的數據和傳送給最終用戶的數據。確保只有可以訪問數據的用戶才能看到數據。

數據自動修復和連續容災恢復

全局安全接入認證及自動防御系統提供的自動修復（自愈）功能，即能夠通過自動使受損系統得以快速恢復，并保證即使在系統不斷遭受攻擊時，大部分資源仍時刻處在正常使用狀態下。

對敏感數據、隱私數據、關鍵業務實施拓撲連續監護和災難恢復，確保云環境中的數據安全和隱私信息的機密性

（4）基于加固SSR的交叉授權動態加密技術

采用基于安全加固服務器的交叉授權、雙向認證、密鑰動態地實時分發以及密鑰及時銷毀等技，對整個訪問過程進行端到端的加密保護，不僅能有效地保護數據訪問操作的全程安全，也能有效地監控防御黑客、木馬、甚至云計算中心的管理人員對敏感數據的非法訪問、偷窺，從而有效地保證關鍵數據、敏感信息的高安全性。

利用本單位創新的的安全加固服務SSR系統基于先進的ROST技術,完全不同于防火墻和IDS等外層安防技術，而是深入到操作系統、數據庫底層對文件、數據、進程、注冊表和服務進行強制訪問控制和完整性檢驗，同時利用固化的帶外授權密鑰，對各種加載運行的應用程序進行動態密鑰、交叉認證，從根本上防止了病毒、木馬、黑客等各種非法攻擊行為。

這些關鍵支撐技術主要包括：基于固化SSR的加密控制和動態交叉認證、嚴密的帶外密鑰授權控制、固化的多點密鑰可靠管理技術、端到端立體安全監控技術、自動化管控溯源追蹤技術、智能化容錯運行與異常處理技術等。

四、系統應用效果

本系統通過構建具有全局安全接入認證、云安全隔離存儲、內外云應用隔離、網絡安全監控、終端訪問控制、關鍵數據授權加密等功能的全局深度防護體系，實現了面向客戶個性化安全服務需求的安全服務管理，為客戶提供差異化、多層面、多維度、端到端安全監控防護。

全局深度防護體系包括從終端、到網絡、到云端全覆蓋的的全局總體監控架構、密鑰安全管理、身份認證、訪問安全控制、信任機制、應用軟件接入安全監控、應用程序運行安全監控、信息內容識別與過濾、管控溯源技術以及異常處理、第三方安全工具集成等，重點研究解決移動互聯網和云應用系統的安全運行安全監控、安全部署、信息安全管理與保護、安全服務等問題。

與傳統的互聯網相比，移動互聯網面臨更為嚴峻的安全威脅與攻擊，如身份欺騙、拒絕服務攻擊、非法入侵、數據竊取、病毒或惡意代碼攻擊等，需要采用各種安全技術為用戶提供電信級別的安全服務，使移動互聯網成為一個可管可控可信的網絡。主要實現的功能包括以下各項。

1)密鑰安全管理

密鑰管理包括從密鑰的產生到密鑰的銷毀的各個方面。主要表現于管理體制、管理協議和密鑰的產生、分配、更換和注入等。本項目的密鑰管理采用基于X.509證書的PKI方案。

2)基于角色授權和雙向認證的訪問安全控制

在移動互聯網中，采用云認證機制保障用戶身份安全，給用戶提供單點登錄、實現實體間相互認證、支持各參與方的協同工作、支持動態區域內的安全管理。支持雙因子身份鑒定機制，在Web聯接中采用雙向身份鑒定，雙向鑒定確保聯接的每一端都是安全的，證實Web應用客戶機側和服務器側都是安全的；也可以建立SSL協議加密通信聯線、確保對話的機密性和完整性，防止第三方闖入對話、消除被欺騙的可能性和引入木馬；

3)對網絡入侵和異常流量的管控

對與網絡入侵和異常，可以通過包分析、行為模式分析等方式來尋找入侵的來源或者導致入侵的系統漏洞，然后通過技術或者管理手段來解決這些問題，從而防止網絡入侵和異常的再度發生。

4)信息內容識別與過濾技術方案

信息內容識別與過濾技術是移動互聯網內容安全的核心技術，采用傳統的網絡采集器和數據包抓取兩種方式采集信息；采用特征匹配和關鍵字過濾相結合的方式進行信息過濾；采用基于文檔結構和基于文檔特征的兩種方式進行信息抽??；采用描述優先思想將文本根據其描述的內容和特征分成不同的類別；采用基于功率譜的計算方式來判斷話題的熱度；采用關鍵字匹配的方式來判定話題的敏感度；根據數據的相關性來對話題進行短期趨勢預測。

5)應用程序運行安全監控

對應用程序的安全性、合法性等檢查、審計、授權和認證體系，包括應用程序的接口標準、運行標準、檢查和審計流程、授權流程、認證方式等。

安全監控模塊采用了多種形式相結合的監控方式，包括了系統級的進程監控、應用程序的運行狀態監控、應用程序的網絡流量監控以及應用程序異常檢測。監控的內容包括應用程序在運行過程中所使用的系統資源、網絡資源、用戶活躍程度等，對發生異常的引用程序進行相應的處理措施，保證平臺的安全性。

6)信任

與傳統的被動式安全防御措施不同，信任機制是一種主動的網絡安全防御手段。在用戶和網絡之間、網絡與第三方應用提供商之間、第三方應用和用戶之間需要采用合理的信任機制，建立信任關系，以感知和評估用戶、第三方應用和網絡之間信任狀態和安全態勢；通過信任度量手段，建立信譽積分系統；信任計算為每一個用戶和應用建立信譽檔案，通過采用合理的信任評估模型，評估用戶和第三方應用的可信度，將移動互聯網建立為可信網絡。