移動網絡數據安全策略的分析與應用

梅艷，鐘其柱，羅耀滿

（中國移動通信集團廣東有限公司中山分公司，中山 528400）

近年來，隨著移動網絡的飛速發展，移動網絡普及的范圍越來越廣，一些安全威脅也接踵而來，傳統的防護技術已經不再適用于新型的移動網絡，這就需要新的安全技術來保護移動網絡的敏感信息安全。

移動網絡從第一代網絡發展到現在第四代移動通信系統，其網絡架構越來越復雜，基礎設施經歷著大量的變化和更新，對網絡信息的安全帶來巨大的挑戰。移動網絡信息包含了用戶的號碼及用戶的位置信息，因此保障其安全尤其重要。

文章將從移動第四代網絡組織所處的環境，針對包括基礎設施、敏感數據管理及處理、技術漏洞、個人因素等角度對信息安全風險進行分析和梳理，結合現有安全防范技術，采用權限管理、金庫管理等最新技術手段及安全保障機制等防護技術更好的完善移動網絡的安全。

1 移動網絡的數據風險

移動網絡敏感數據主要是S1U接口的用戶面數據，其詳細記錄了用戶上網過程中的各個節點的數據，包括用戶的位置信息，訪問的業務類型及信令流程，詳細記錄了用戶上網的過程信息，安全性尤其重要。

敏感信息架構圖如圖1所示。

圖1 移動LTE網絡敏感信息拓撲圖

因此其安全隱患主要存在于軟硬件等基礎設施，網絡數據的處理存在的隱患，技術漏洞及人為因素等。數據安全風險框架內容如圖2所示。

1.1 基礎設施

基礎設施層面的安全問題主要包括兩個方面：外部因素和內部因素。

圖2 數據安全風險框架

(1) 外部因素：主要指自然災害等環境因素。由于移動網絡敏感數據的傳輸與存儲通常會在組織的服務器中，一旦發生自然災害等不可控因素，很可能導致服務器的損壞，將導致數據傳送過程中線路的突然中斷，這也會造成數據的丟失，甚至泄露，影響數據的安全。

(2) 內部因素：主要指網絡硬件本身的問題。由于移動網絡的應用越來越廣，導致移動網絡的數據量爆炸性增長，現有的硬件設備和存儲環境已經不能滿足海量數據的存儲需求。其次，硬件老化或是網速遲緩也會影響數據的傳輸速度。因此，在數據傳輸的過程中，一旦由于硬件設備的功能滯后或是老化而導致傳輸速率的降低、網絡延遲就可能導致系統的崩潰，進而造成數據的丟失和泄露，威脅到數據的安全。

基礎設施的安全是保障敏感信息的重要屏障，也是保障其安全的重要環節，因此，對于移動網絡敏感信息的系統，包括采集系統、存儲應用系統需要定期檢查，對重要端口進行封堵，并對其進行合規檢查，對不合規的系統及時整改，以降低硬件系統對數據的安全風險。

1.2 網絡數據的應用及處理

移動網絡數據隱私層面的安全問題主要是指在對數據進行分析應用與處理過程中，有可能出現的用戶隱私泄露風險，具體包括數據分析處理、操作失誤兩個方面。

(1) 數據使用。運用分析處理技術對海量數據進行分析挖掘時，會對敏感信息造成一定的威脅。如網絡數據分析可以推斷出用戶的位置信息等敏感信息，再通過聚類分析法按照某種相似性將用戶聚類，用以發現用戶所處的群體等。這種行為實際上存在很多的安全隱患，加大了敏感信息泄露的風險。

(2) 系統運維。在系統運維中，有可能出現誤改或是誤刪系統重要文件，又或者是沒有按規定要求操作，導致系統宕機等。尤其在面對海量的數據以及操作十分復雜的系統時，出現操作失誤的概率將大大增加。上述操作的失誤都會威脅到數據的完整性與安全性。

數據的使用與系統運維是直接接觸敏感信息的環節，是數據泄露最大的安全隱患，所以對于數據的處理與應用操作需要進行數據加密與用戶授權訪問控制，對移動網絡的敏感信息進行屏蔽及設置最小權限控制，確保數據使用過程中的安全性，避免數據泄露造成的危害。

1.3 安全漏洞

安全漏洞層面的問題主要是指現有的信息安全技術已經難以確保海量數據的絕對安全，從而導致數據的安全風險加大。具體包括安全防護和實時監測兩個方面。

(1) 安全防護。數據的爆炸式增長對現有的安全防護技術提出了更高的要求，這導致了安全防護技術的更新已經跟不上數據非線性增長的步伐，從而暴露出安全防護的漏洞，給不法分子以可乘之機。

(2) 實時監測。除了安全防護技術相對滯后之外，現有的實時監測技術也無法對其進行全方位的、完全實時的監測，這導致信息安全風險大大增加。經過統計，只有45%的企業有能力在幾分鐘之內監測到數據的安全漏洞，22%的企業需要一天時間才能監測到，還有5%的企業需要一個星期的時間才能監測到。平均下來，每個企業監測到數據的安全風險需要花費10 h的時間。

安全漏洞主要是由于技術的不完善，對數據的防護出現漏洞，造成數據丟失。因此，為了彌補該技術漏洞，對移動網絡采用專業防火墻進行預防，彌補技術上的漏洞，防止不法分子利用技術漏洞竊取重要信息，降低安全風險。

1.4 個人因素

個人因素在安全管理中也是最重要的環節，加強個人安全意識，對提高移動網絡的數據安全起到重要作用，個人安全意識主要分為以下兩方面。

(1) 個人意識。無意泄露主要是由于內部管理沒有制定嚴格的操作規章制度，使得對移動網絡數據的操作不具有規范性，增大了信息泄露的風險。惡意泄露是最嚴重的，甚至違反法律規定，惡意的內部人員或不受信任的合作伙伴可以濫用這些數據集，并從中提取到用戶個人信息，出賣信息予以牟利。因此，加強個人安全管理極為重要。

（2）主管行為。人員的安全保密意識也極為重要。所以需要對相關人員進行安全意識的培訓，具體包括定期進行培訓及其相關法律意識，并簽訂保密協議，強化數據安全風險防控意識，積極推動對人員數據安全風險意識教育和培訓，明確責任，對于發現的任何侵害客戶信息安全的內部機構或個人采取相應的處罰措施。

個人行為是導致移動網絡的敏感數據泄露的直接因素，需要對相關人員進行安全培訓及安全防范意識，明確數據泄露的危害及需要承擔的責任，制定相應的處罰措施并簽訂責任書，明確責任，減少個人因素的安全風險。

針對以上安全風險，現有的安全保障技術已有相應的保障策略，包括對漏洞，操作等風險，均有其保障方案及技術，但存在缺點和不足。而且針對個人因素的風險安全保障方案較少，不足以滿足現有移動網絡敏感信息的安全保障。

2 現有的安全技術

針對以上安全風險，現有的安全保障技術已有相應的保障策略，目前針對移動網絡信息安全的技術普遍采取以下方案。

2.1 鏈路級安全

為了在數據傳輸中對所有的上層協議通信進行透明的保護，安全應用的設計者可以選擇實現鏈路級安全，方法是在鏈路層保護通信幀的內容，但一般只適合點到點通信的場合。在這些場合下，有限的連接點可以認為是可信的。但是在公共網絡中，鏈路層保護顯然難以實施，而且實施代價較高。

2.2 數據加密與用戶授權訪問控制技術

數據加密與用戶授權訪問控制技術比較靈活。用戶授權訪問控制主要用于對靜態信息的保護，需要系統級別的支持，一般在操作系統中實現；但對于動態信息的保護則缺乏相應的保護機制，在操作系統中難以實現。

2.3 防病毒技術

在病毒防范中普遍使用的防病毒軟件，從功能上可以分為網絡防病毒軟件和單機防病毒軟件兩大類。單機防病毒軟件一般安裝在單臺PC上，網絡防病毒軟件則主要注重網絡防病毒，一旦病毒入侵網絡或者從網絡向其它資源傳染，網絡防病毒軟件會立刻檢測到并加以刪除。

2.4 身份驗證技術

身份驗證技術是用戶向系統出示自己身份證明的過程。身份認證是系統查核用戶身份證明的過程，是判明和確認通信雙方真實身份的兩個重要環節。它的安全機制在于對發出請求的用戶進行身份驗證，確認其是否為合法的用戶。另外從加密算法上來講，其身份驗證是建立在對稱加密的基礎上的。

2.5 防火墻技術

防火墻安全保障技術主要是為了保護與互聯網相連的企業內部網絡或單獨節點。防火墻一方面通過檢查、分析、過濾從內部網流出的IP分組，盡可能地對外部網絡屏蔽被保護網絡或節點的信息、結構，另一方面對內屏蔽外部某些危險地址，實現對網絡的保護。

通過以上安全技術的分析，現有的技術方案也有不足及缺點，但也有其優點。結合現存在安全風險，對移動網絡的敏感信息制定特有的安全保障體系，彌補現有技術的缺點，盡可能的保障敏感信息的安全及使用，改善數據的生產環境，提高數據的安全性。

圖3 本地數據防火墻部署結構圖

3 移動網絡敏感信息的安全保障體系

通過以上對移動網絡敏感信息組織的安全風險評估，結合現有技術，取長補短，本文建立了針對移動網絡敏感信息的安全保障體系，包括部署專業防火墻，敏感信息屏蔽，最小權限賬戶的管理，系統安全合規及漏洞的管理等，確保該信息系統的敏感信息的安全性，避免敏感信息泄露。

3.1 專業防火強的管控

一個防火墻（作為阻塞點、控制點）能極大地提高一個內部網絡的安全性，并通過過濾不安全的服務而降低風險。由于只有經過精心選擇的應用協議才能通過防火墻，所以網絡環境變得更安全。防火墻同時可以保護網絡免受基于路由的攻擊。防火墻部署架構如圖3所示。

通過利用防火墻對內部網絡的劃分，可實現內部網重點網段的隔離，從而限制了局部重點或敏感網絡安全問題對全局網絡造成的影響。再者，隱私是內部網絡非常關心的問題，一個內部網絡中不引人注意的細節可能包含了有關安全的線索而引起外部攻擊者的興趣，甚至因此暴漏了內部網絡的某些安全漏洞。使用防火墻就可以隱蔽易透漏網絡內部細節的漏洞，并且防火墻可以同樣阻塞有關內部網絡中的DNS信息。

另外除了防火墻策略，針對敏感數據的傳輸與存儲介質的管理采用內網專用模式。內網專用模式的安全級別最高，并且可以細劃為“只讀和禁用”兩個權限，與互聯網等外網隔絕，實現鏈路層的保護，降低了通過互聯網竊取數據的風險，增強了敏感數據的安全系數。

3.2 系統合規及漏洞管理

移動網絡設備系統配置的合規性是體現設備安全性的重要體現，提高系統配置合規率，降低系統的風險，減少敏感數據泄露的風險。為方便對系統的合規性進行量化管理，制定了系統合規的評價標準，即系統合規率大于85%，判定系統合格。根據該評價標準，對移動網絡系統進行合規檢查，檢查結果如表1所示。

移動網絡系統的合規率達到90%，該系統較為安全。另外系統除了合規外，漏洞也是威脅系統安全的重要因素。漏洞是指一個系統存在的弱點或缺陷，系統對特定威脅攻擊或危險事件的敏感性，或進行攻擊的威脅作用的可能性。漏洞的存在，很容易導致黑客的侵入及病毒的駐留，會導致數據丟失和篡改、隱私泄露乃至金錢上的損失。因此，為了移動網絡設備系統的安全，檢查系統漏洞也極為重要。漏洞檢查結果如表2所示。

表1 合規檢查結果

表2 漏洞檢查結果

經檢查，移動網絡設備系統合規率高且無高中危漏洞，該系統較為安全。為了確保系統的安全，本安全機制對系統合規及漏洞采取定期排查的方案，可以及時處理系統漏洞的安全隱患，確保系統的合規性及可用性。

3.3 敏感信息屏蔽及最小權限的管控

敏感信息指不為公眾所知悉具有實際和潛在利用價值，丟失、不當使用或未經授權訪問對社會、企業或個人造成危害的信息，XDR信息系統主要采集用戶網絡信息，屬于敏感信息，因此需要采取數據屏蔽及權限管理來預防敏感信息泄露。敏感信息屏蔽架構圖如圖4所示。

圖4 數據屏蔽技術的部署

對于敏感數據的屏蔽一直是數據安全中一個重要的部分，本方案運用動態數據屏蔽的策略來屏蔽用戶敏感信息。動態數據屏蔽并不會真正改動表中存儲的實際數據，只是在應用分析的情況下能控制查詢返回的數據，能夠控制敏感數據的暴露程度，很大程度上簡化了數據庫應用層的安全設計和編碼。

除了將敏感信息屏蔽外，同時將系統的一些基礎功能進行權限設置，將對訪問者的控制轉換為對角色的控制，避免了權限濫用的危險，從而使授權管理更為方便實用、效率更高。同時使訪問者的權限策略劃分更為清晰、明確，降低了管理的復雜性。實現了對應用系統對象的訪問控制，通過對角色進行策略控制，達到對用戶的管理。

3.4 4A及金庫管控

4A即廣東移動4A安全管控系統，該系統可以防止人員越權訪問設備和應用系統獲取和泄露敏感信息，獲取非法利益的風險，保證系統和信息安全。4A系統有機結合賬號口令集中管理和日志管理與審計、集中接入控制系統、客戶端集中發布等手段，實現了對人員操作業務系統的全過程管控，降低了人員違規操作的風險，提高信息數據的安全性。

金庫管控可以實現兩人或以上有相應權限賬號共同協作完成操作，可以防范由個人因素造成的風險，防止部分擁有高權限賬號的操作人員濫用權限違規獲取、篡改相關信息，通過相互監督、利益制約確保高風險操作和高價值信息的安全性。

通過接入4A及金庫管控，更好的實現了移動網絡敏感信息的安全保障，彌補了現有技術的缺點，避免了由個人因素造成的數據風險，實現了對個人惡意或無意泄露數據風險的管控，為敏感信息的應用提供良好的安全環境，為推動創新、提高生產力以及效率做出了重大貢獻。自引入4A及金庫管控新安全技術后，未發生由個人因素導致的移動網絡敏感信息泄露的事件，起到了很好的保護作用。

4 總結

在當前現有的安全保障機制中，對網絡的安全保障存在不足之處，即其安全機制不完善，不滿足現在的移動網絡的安全保障。本文基于現有的安全技術，取長補短，創新的運用4A及金庫等新技術，彌補現有技術無法防范的安全因素，防止因個人因素造成的數據泄露的風險；并結合現有的防火墻技術和數據加密及最小權限技術，提高數據的安全性及可用性，避免技術漏洞帶來的風險。另外對移動網絡的系統設備進行合規檢查，提高系統的安全性。本方案制定的移動網絡的安全保障體系，為信息安全技術提供良好的參考價值。