一、移动互联产业规模蓬勃发展
近年，移 动互联网及相关产业在我国得到了蓬勃发展，截至 2018年 12 月，我国手机网民规模达 8.17 亿，，网民通过手机接入互联网的比例高达98.6%，移动互联技术已经广泛应用于各行各业，与人们的日常生活和工作息息相关。
二、等级保护正在进入 2.0 时代
为适应新技术的发展，解决移动互联等新技术领域的等级保护工作的需要，由公安部牵头组织开展了信息技术新领域等级保护重点标准申报国家标准的工作，并于 2019 年 5 月 13 日正式发布了新的等级保护标准，新标准在 2019 年 12月 1 日起正式实施，等级保护正在进入 2.0 时代。
在 GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》中，对采用了移动互联技术的业务系统，明确提出了在满足通用要求的基础上，应满足移动互联安全扩展要求。
三、移动互联安全的合规性挑战
GB/T 22239-2019《信息安全技术 网络安全等级保护基本要求》定义了移动互联安全等级保护的三个关键要素：移动应用、移动终端和无线网络。
移动应用保护对象主要是针对移动终端开发的应用软件，包括移动终端预置的应用软件，和互联网信息服务提供者提供的可以通过网站、应用商店等移动应用分发平台下载、安装和升级的第三方应用软件；移动终端保护对象是在移动业务中使用的终端设备，包括智能手机、平板电脑、个人电脑等通用终端和专用终端设备；无线网络保护对象主要是采用无线通信技术将移动终端接入有线网络的通信设备。注：不包括公共的无线接入设备（如运营商基站等）。
移动互联安全等级保护对象与传统应用系统的等级保护对象存在较大技术差异，在等级保护测评工作中，必须首先使用“安全通用要求”对等级保护对象进行测评，再结合使用移动互联安全测评扩展要求部分对等级保护对象进行测评，以验证其是否落实移动互联安全扩展要求提出的安全控制措施。这无疑给等级保护测评工作带来了新的要求和挑战。
移动互联安全等级保护测评工作的重点和难点主要表现如下：
1.由于测评人员、机构技术水平的差异造成对标准理解的差异；
2.测评方式主要采用主机端的漏洞扫描和调查问卷方式，报告编写工作量大，需要耗费大量人力物力，效率难以得到保证；
3.采用移动互联技术的信息系统与传统应用系统存在较大技术差异，在测评工作中对人员专业素质要求较高。
基于以上分析，在等级保护 2.0 移动互联安全测评工作中，借助一套专业、全面、高效的移动互联测评工具进行检测，将成为测评工作中必不可少的方式，是等级保护工作中不可缺少的重要保障
|
移动应用安全检测 |
组件安全检测（SDK） | 对Activity安全、Broadcast Receiver安全、Service安全、Content Provider安全、Intent安全和WebView的规范使用检测分析，发现因为程序中不规范使用导致的组件漏洞。 |
| 代码安全检测 | 对代码混淆、Dex保护、SO保护、资源文件保护以及第三方加载库的代码的安全处理进行检测分析，发现代码被反编译和破解的漏洞。 | |
| 内存安全检测 | 检测APP运行过程中的内存处理和保护机制进行检测分析，发现是否存在被修改和破坏的漏洞风险。 | |
| 数据安全检测 | 对数据输入、数据存储、存储数据类别、数据访问控制、敏感数据加密、内存数据安全、数据传输、证书验证、远程数据通信加密、数据传输完整性、本地数据通讯安全、会话安全、数据输出、调试信息、敏感信息显示等过程进行漏洞检测，发现数据存储和处理过程中被非法调用、传输和窃取漏洞。 | |
| 违法违规行为及内容专项检测 | 对违反用户个人信息保护要求的行为（越界获取权限、窃取用户数据等）检测，配合专业渗透测试可对涉黄涉赌涉毒涉恐涉爆涉政等内容进行检测，检测内容包括：文字、图片、音频、视频等内容，并出具专项检测报告。 | |
| 业务安全检测 | 对用户登录，密码管理，支付安全，身份认证，超时设置，异常处理等进行检测分析，发现业务处理过程中的潜在漏洞。 | |
| 应用管理检测 | 下载安装：检测是否有安全的应用发布渠道供用户下载。检测各应用市场是否存在二次打包的恶意应用。 | |
| 应用卸载：检测应用卸载是否清除完全，是否残留数据。 | ||
| 版本升级：检测是否具备在线版本检测、升级功能。检测升级过程是否会被第三方劫持、欺骗等漏洞。 | ||
| 等级保护2.0合规性检测 |
技术要求： （1）终端应用应采用国家密码管理主管部门批准使用的密码算法保证在无线通信过程中数据的完整性和敏感信息字段或整个报文的保密性。 （2）终端应用具有软件白名单功能，应能根据白名单控制应用软件安装、运行；应具有应用软件权限控制功能，应能控制应用软件对移动终端中资源的访问； 应只允许等级保护对象管理者指定证书签名的应用软件安装和运行；应具有接受移动终端管理服务端推送的移动应用软件管理策略，并根据该策略对软件实施管控 的能力。 （3）应用安装遵循最小安装的原则，仅安装需要的组件和应用程序；发现可能存在的漏洞，并在经过充分测试评估后，及时修补漏洞；关闭不需要的系统服务、默认共享和不需要的端口；能够发现并阻止用户权限异常改变的情况。 （4）安装防恶意代码软件，并定期进行恶意代码扫描，及时更新防恶意代码软件版本和恶意代码库；支持移动业务应用软件仅运行在安全容器内，防止被恶意代码攻击。 （5）使用口令登录时，强制用户首次登录时修改初始口令，对用户的鉴别信息进行复杂度检查；用户身份鉴别信息丢失或失效时，应采用鉴别信息重置或其他技术措施保证系统安全；移动应用软件应对登录的用户进行身份标识和鉴别，身份标识具有唯一性，鉴别信息具有复杂度要求；移动应用软件应提供并启用登录失败处理功能，多次登录失败后应采取必要的保护措施；应对同一用户采用两种或两种以上组合的鉴别技术实现用户身份鉴别。 （6）等级保护对象业务移动应用软件开发后、上线前应经专业测评机构安全检测。应提供移动终端重要数据备份与恢复功能；应将重要数据定时批量传送至备用位置。 |
|
|
管理要求： （1）应建立等级保护对象移动互联安全管理制度，并纳入等级保护对象管理安全制度；应对管理人员、移动终端操作及应用软件使用人员执行的日常管理操作建立操作规程及日志采集；应在等级保护对象管理制度中建立移动终端管理服务端操作使用管理规定。 （2）应将移动互联管理纳入等级保护对象管理员职责；应设立移动互联信息安全管理工作的职能部门，并制定各负责人的职责；应为移动终端及应用管理、服务端管理应设置专职管理员、操作员、审计员，并纳入职能部门职责。 （3）应对各类人员进行移动互联管理安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施；应对移动终端管理、应用软件使用管理、服务端设置专职管理员、操作员、审计员进行专项安全意识教育和岗位技能培训，并告知相关的安全责任和惩戒措施。 （4）应对移动业务应用软件开发者进行资格审查和签名证书合法性；应要求移动应用软件开发完提供软件设计文档、使用指南；应要求应用软件开发使用的工具来源可靠；自行开发移动应用软件,开发环境与实际运行环境应物理分开，测试数据和测试结果受到控制；自行开发移动应用软件,应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则；自行开发移动应用软件,应具备软件设计的相关文档和使用指南，并对文档使用进行控制；自行开发移动应用软件,对程序资源库的修改、更新、发布应进行授权和批准，并严格进行版本控制。 （5）应对系统的移动互联部分进行安全性测试验收；应根据交付清单对所交接的移动互联设备、移动应用软件和文档等进行清点；应对负责系统移动互联运行维护的技术人员进行相应的技能培训；应提供移动互联建设过程中的文档和指导用户进行系统运行维护的文档；应提供移动终端管理服务端建设过程中的文档和指导用户进行系统运行维护的文档。 |
||
|
无线通信安全检测
|
实时态势分析 | 实时检测无线环境中的无线热点、无线 AP、无线终端接入，并进行态势展现和运行监控。 |
| 非法外联检测 | 发现私建热点并进行热点物理位置的定位。对可疑无线设备进行物理位置定位，并通过拍照进行取证，帮助安全管理者快速找到并清理 WLAN 环境。 | |
| 脆弱性检测 | 通过弱口令检查、wifi 钓鱼、拒绝服务等三种常见 WLAN 攻击测试，检测无线热点及相关无线设备脆弱性，并通过测试结果对安全管理者改善密钥配置、开启必要安全协议、清理非法无线热点提供必要帮助。 | |
| 攻击检测 | 检测 WLAN 环境中非法连接、嗅探、暴力破解、拒绝服务攻击、wifi 钓鱼、MAC 仿冒、信道干扰等数十种安全风险。 | |
| 等级保护2.0合规性检测 |
物理和环境安全： 应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。 |
|
|
网络和通信安全： （1）网络架构与加密检测：无线接入网关的处理能力和无线接入设备的带宽应满足业务高峰期需要；无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码算法进行加密。 （2）边界防护与访问控制检测：无线网络边界之间的访问和数据流应通过无线接入网关设备。无线网络边界根据访问控制策略设置访问控制规则，默认情况下，除允许通信外，受控接口拒绝所有通信；在无线接入网关上对进出无线网络的数据进行内容过滤。 （3）无线网络入侵检测：无线接入设备的网络扫描、DoS攻击、密钥破解、中间人攻击、欺骗攻击等行为进行检测、记录、分析定位；检测SSID广播、WPS等高风险功能的开启状态。 |
||
|
无线终端安全检测 |
操作系统检测 | 采集操作系统的基础信息，检测设备底层操作系统的安全性，包括 Linux 内核和 Android 系统的安全性，如系统是否被 ROOT，系统网络连接是否存在非法外联，系统漏洞等情况。 |
| 恶意代码检测 | 针对恶意扣费、隐私窃取、远程控制、流氓行为、资费消耗、恶意传播、系统破坏、诱骗欺诈等恶意行为检测。 | |
| 系统应用安全检测 | 对被测设备的选定系统应用 APP 进行恶意代码检测，漏洞安全检测等，检测当前设备安装的系统应用安全状况。 | |
| 用户应用安全检测 | 对被测设备的选定用户应用 APP 进行恶意代码检测，漏洞安全检测等，检测当前设备安装的用户应用安全状况，查看是否存在恶意扣费、隐私窃取、远程控制、流氓行为、资费消耗、恶意传播、系统破坏、诱骗欺诈等恶意行为。 | |
| 等级保护2.0合规性检测 | 应启用设备安全审计功能，审计覆盖到每个移动终端，对所有终端行为和所有安全事件进行审计；对移动终端接入的用户行为、访问互联网的用户行为等单独进行行为审计和数据分析。 | |
| 应能发现系统移动终端、无线接入设备、无线接入网关设备可能存在的漏洞，并在经过充分测试评估后，及时修补漏洞。 | ||
| 对移动终端用户登录、移动终端管理系统登录及其他系统级应用登录进行身份鉴别； 应具有登录失败处理功能，应配置并启用限制非法登录次数等措施。 | ||
| 应只用于处理与等级保护对象相关业务；应安装、注册并运行终端管理客户端软件；应接受等级保护对象移动终端管理服务端的设备生命周期管理、设备远程控制、设备安全管控。 | ||
| 移动终端应启用安全审计功能，对终端用户所有操作及软件行为进行审计；审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他与审计相关的信息；应对审计记录进行保护，定期备份，避免受到未预期的删除、修改或覆盖等。 | ||
| 禁止同一移动终端处理访问不同等级保护对象或处理访问等级保护对象与非等级保护对象的运行环境；应禁止用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权。 |
能信安技术有限公司及其合作生态有多年移动互联安全研究经验，对移动互联应用系统的技术架构具有全面、深刻的理解，对等级保护 2.0 移动互联扩展部分有准确的分析与理解。本方案能够帮助各测评机构、监管单位快速了解等级保护 2.0 中移动互联测评相关标准，为各机构、单位提供专业工具测评参考。
移动互联安全等级保护对象与传统应用系统的等级保护对象存在较大技术差异，要求测评人员拥有足够的专业技术知识。本方案结合专业移动互联测评系列工具，对标等级保护2.0相关标准，整理出有效且具有针对性的工具测试方法，快速提高测评人员技术能力。 测评人员通过专业移动互联测评系列工具，可一键生成相关检测报告，报告格式符合公安部门监督检查要求，大大提高了报告编写工作效率，降低测评工作强度。
官方微信号
官方微信号
