移动互联网面临的安全威胁及防护思路

王

飞

（中国移动通信集团山西有限公司，山西太原030032）

摘要：文章描述移动互联网安全现状，以针对移动互联网的DDoS安全事件为切入点，从移动互联网面临的安全威胁、可

采用的安全防护措施开展分析，并提出了相应防护建议。关键词：移动互联网；评估；威胁；防护思路中图分类号：TP393.08文献标识码：A文章编号：1673-1131（2016）10-0155-03

0引言

移动互联网（MobileInternet,简称MI）是一种通过智能智能终端，采用移动无线通信方式获取业务和服务的新兴业务，主要包含终端、管道（宽带无线接入）和云端三个层面。（1）终端层包括智能手机、平板电脑等移动设备，以及各类型APP应用与服务；

（2）管道层包括LTE（长期演进，4G通信技术标准之一）、Vo-LTE等宽带无线网络传输层关键技术；

（3）云端层包括采用云技术实现语音、视频、媒体服务、储存终端用户资料和服务器信息的云平台。

本文尝试从移动互联网遭受的DDoS攻击事件为切入点，描述移动互联网技术演进与变化趋势、拆解相应安全事件，分析移动互联网的信息安全特点。通过分解移动互联网的三个要素：终端、管道、云端，分析其面临的安全威胁、可采用的安全防护措施，并提出相应防护建议。

1移动互联网安全现状

伴随着宽带无线接入技术和智能终端技术的演进与变化，人们迫切希望能够随时随地从互联网获取信息和服务，移动互联网应运而生并迅猛发展，不仅网络接入速率快速提高，而且出现终端智能化、移动应用APP化、服务端云化的变化趋信息系统陷入瘫痪的动能袭击的协调运用。而其实网电空间战是指将电子战与网络战两种手段有机融合、综合运用，为破坏敌方战场网络化信息系统并保证已方战场网络化信息系统正常运行而采取的一系列作战行动。网电空间战充分利用计算机网络的开放性、便捷性和即时性。战时下不仅是配合海陆空天各个领域作战的重要手段，平时也可以是独立实施并随时发动网电攻击为了适应未来战场武器系统信息化、信息系统网络化的两大趋势。网电战必须借助网络技术才能达到整体的攻击效果。

信息化系统一体化是网电空间一体战的基本要求，它把将会用到的平台和平台上的所有信息设备进行一体化，让两者得到充分联系来满足未来作战环境的需要。

5信息技术对现代战争发展的影响

谁掌握了技术，谁就掌握信息，谁掌握信息，谁就赢得了胜利。

计算机网络技术的诞生成为了现代战争技术上的基石，电子战技术的发展又使得电子战概念的扩宽和突破。现代信息战的提出来源于电子战的发展信息战不仅限于电子信息战，电子信息战是电子战中的信息战也是信息战中的电子战。科技上的不断进步和信息获取的不断全面，就如高技术武器

势。然而，移动互联网在智能终端、接入网络、应用服务的信息安全与隐私保护方面还面临着严峻的挑战。

1.1移动互联网变化趋势

4G移动通信网络逐渐普及：LTE长期演进技术（Long

TermEvolution），是在3GPP的R8版本中引入的无线网络新标准，按照理论计算，在20MHz带宽下，TD-LTE的最大下行速率为326Mbps，最大上行速率为86Mbps。

终端智能化：智能终端的处理性能高速增长，甚至达到了普通PC的性能，且随着智能家电的普及，此类设备更加智能化，底层系统都是采用Linux或Windows系统，用户可通过4G网络或WIFI网络直接访问及管理。

应用APP化：随着智能终端普及，移动应用快速增加，覆盖众多生活相关领域，以其体积小巧获取方便而被称为“APP应用”。

服务端云化：这是从PC时代到后PC时代，从互联网时代到后互联网时代过程当中的一个转变。旅游、医疗、教育、餐饮、金融等与生活密切相关的领域应用纷纷涌现，随之而来的用户规模快速增长，为支撑大规模用户与相应大数据分析，应用服务端采取云技术构建云平台成为趋势。

2安全威胁分析

2.1终端：移动应用安全威胁

＋信息的“翅膀”＝新型战斗力。如在海湾战争中，美军“阿帕奇”武装直升机和M1N1坦克在伊军地面防空火力有效射程外发射了反坦克导弹，成功摧毁伊军坦克装甲车及其阵地。因为美军在对其发起战争前，分别就对伊的指挥中心、防控体系、重兵集团进行了全方位、全天候的观察。做到了高技术武器＋信息的“翅膀”。以最少的兵力和火力成功赢取战争。信息技术不仅要做到获取信息的及时性、全面性，也要做到科技上的技术性，进步性。当两者合二为一，才能对现代战争的发展起到关键性作用甚至启发下一代的军事革命。参考文献：

[1]

朱松.电子战、信息战与关键技术[J].航天电子对抗,1999(1):30-33.

[2]林峥.电子战与信息战的关系及其新发展[J].舰船电子对

抗,1998(1).

[3]韦占坤,华继学,田博.现代电子战系统发展趋势及其对地

面防空武器系统的影响[J].飞航导弹,2011.

[4]李凤山.信息战概念浅析[J].舰船电子对抗,1999(2):15-17.作者简介：谌粤（1996-），女，白族，贵州毕节人，贵州财经大学本科。

１５５

信息通信

APP应用安全威胁：开放平台的安全威胁主要来自两点：一方面是开放性允许开发者对其进行定制开发，由于开发者中鱼龙混杂，对开发的质量和安全性缺乏统一的监管和控制，无法保障自身的安全性。另一方面是APP应用审核机制不健全，由于没有任何机构对这些应用进行审核和监管，其应用的安全可靠性无法保障。

2.2管道：网络安全威胁

结合当前主流4G网络技术演进现状，从4G核心网、Vo-LTE两方面进行安全威胁分析。

4G核心网面临的安全威胁：LTE网络扁平化、承载IP化带来便利的同时也导致LTE网络中的攻击更加容易实现。面临的主要安全风险：智能终端化带来的攻击，扁平化的网络结构导致数据传输过程不可靠，终端可直接攻击核心设备，承载IP化使得设备被攻击的可能性也更容易，更大。

2.3云端：云平台安全威胁

随着4G网络的不断发展，越来越多语音、视频、媒体服务都可直接在智能终端上运行，促使现有传统服务向云服务整合，而储存智能终端用户资料和服务器信息的云正成为黑客攻击的新对象。本文从外部网络针对云的安全威胁进行了分析。

（1）DDoS攻击。智能终端接收在线云服务的同时，主动向云端发送DDoS攻击包，云链路或服务器在遭受DDoS攻击的情况下，将造成网络缓慢甚至服务的中断，会直接影响到用户应用，甚至影响到云平台所有对外的服务。

（2）数据泄露。近年来，越来越多的数据泄露事件发生在云端网络，如苹果iCloud数据泄露事件、盛大云数据丢失事件等安全事件。因此，其业务平台主要包含平行越权查询、修改，垂直越权操作等权限类设计缺陷，这些直接导致数据泄露安全事件发生风险提升。

3安全防护分析

3.1终端

3.1.1智能终端与移动应用

（1）事前防护：安装第三方安全卫士：这类软件通常是提供快速查杀手机病毒木马和恶意软件、网购时候提供安全支付环境、拦截恶意吸费行为、防个人信息和位置窃取，除了上述杀毒防御功能外，还具备流量监控、骚扰拦截、手机防盗、手机加速等功能，基本上是可以从软件层面解决手机的基本安全问题。

（2）智能终端底层权限防护：增强终端底层权限防护，增加操作提示，减少用户被诱导而越狱或ROOT终端的行为。

（3）事中防护：提升用户信息安全意识：大多病毒木马和恶意软件利用用户的好奇心，随意安装未知来源的移动应用的使用行为，传染病毒、盗取用户敏感数据。因而，宣传正确的智能终端使用习惯，告知用户不要盲目越狱或ROOT终端权限，并提供快速扫描安全工具，实时检测终端环境是否安全，发现异常及时告警。3.1.2防护建议

智能终端与移动应用的安全防护建议为事前、事中防护两方面，最主要是厂商需提高自身的责任意识，用户需提升信息安全意识。

3.2管道

3.2.1核心网

（1）事前防护：系统自身安全要求：①安全域的划分：根据系统的业务需求和安全策略，从面临的安全威胁及隐患分析，充分考虑可靠性、扩展性、安全性等特性，将系统划分为多个１５６

王飞：移动互联网面临的安全威胁及防护思路

逻辑区域；②网络优化：优化核心网网络结构和信令数量，控

制网元间的边界门槛，避免信令风暴和数据拥塞导致的安全问题出现；③设备安全功能及配置：系统上线前按照规范要求满足设备自身安全功能及配置，运维过程中需定期对安全配置进行检查，对于不符合规范的进行合规；④安全漏洞管理：系统上线前满足设备自身漏洞检测及修补。运维过程中对于发现高中风险漏洞，影响危害较大的应优先进行修复；⑤网管平台接入：系统上线前需接入网管平台，实现设备运行监测、告警管理；⑥4A平台接入：系统上线前需接入4A平台，实现核心网网元设备帐号口令、权限配置的管理。运维过程中通过4A平台对设备进行维护及管理。

安全手段要求：防火墙：核心网的内部域间、互联网边界、网管网边界，部署防火墙，防止攻击者对系统内资产的扫描探测。

（2）事中监测：系统自身安全要求：①网元运行监测：针对网元健康情况、链路状态、链路负载情况等进行实时监控，及时发现安全问题；②业务运行监测：加强日常的巡检和告警监控，根据日常告警和指标的判断，进行趋势预警，提前发现信令风暴、数据拥塞或者安全攻击行为，尽早采取措施。

安全手段要求：①用户行为分析能力：在核心网中，对用户心灵进行采集和分析，实现对用户信令状态的实时监控；②入侵检测系统：在核心网的互联网边界、网管边界、部署入侵检测系统，通过流量镜像方式发现网内入侵行为；③恶意软件多维度侦测系统：在核心网Gn口部署手机恶意软件多维度侦测系统，通过数据采集及分析，智能终端病毒感染情况进行监测；

（3）应急处置：系统自身安全要求：①建立针对各类攻击事件应急处置机制，减少攻击造成的影响。②设备日志：核心网系统所有设备登录认证、操作行为等日志需开启。

安全手段要求：①异常信令抑制：对超过预定门限的消息进行丢弃或者拒绝处理，从而避免对MME节点和其他相关节点的信令冲击；②4A日志审计：核心网系统所有登录认证，操作记录均可通过4A进行审计；③上网日志留存系统：对2/3/4G等用户上网的行为进行记录及存储，用于针对用户行为定位。3.2.2VO-LTE

（1）事前防护：系统自身安全要求：①安全域划分：根据系统的业务需求和安全策略，从面临的安全威胁及隐患分析，充分可靠性、扩展性等特性，将系统划分为多个逻辑区域，位于同一逻辑区的子网或设备有相同或者相近的安全保护需求，较高的互信关系，并具有相同或相近边界安全访问控制策略，可以进行边界整合；②边界隔离控制：Vo-LTE应通过BAC（软交换业务边缘接入控制设备），将核心网（信任域）与用户终端之间进行隔离，将面临潜在的病毒和攻击威胁进行拦截；③安全漏洞管理：系统上线前按照集团规范要求满足设备自身漏洞检测及修补。运维过程中对于发现高中风险漏洞，影响危害较大的应优先进行修复；④4A平台接入：系统上线前需接入4A平台，实现Vo-LTE设备帐号口令、权限配置的管理，运维过程中通过4A平台对设备进行维护及管理。

（2）事中监测：系统自身安全要求：①网元运行监测：针对Vo-LTE网元健康情况，设备负载情况等进行实时监控，及时发现安全问题；②业务运行监测：在控制面对Vo-LTE网络中业务应用的各种信令、协议携带的头域、参数等安全保护，确保Vo-LTE网络信令流的正常。在用户面，对Vo-LTE媒体面中RTP（Real-TimeTransportProtocol）会话、RTP带宽等安全保护，确保Vo-LTE网络媒体流的正常。

安全手段要求：异常流量监测系统：在城域网出口部署异

（非信任域）信息通信

常流量分析系统，对全网DDOS等异常流量进行实时监控。

（3）应急处置：系统自身安全要求：①告警定位：对Vo-LTEOAM管理的安全保护，确保Vo-LTEOAM的正常操作。其主要包括帐户安全、数据传输安全、鉴权认证、安全告警、Web安全等安全策略；②建立针对各类攻击事件应急处置机制，通过系统自身防护功能及隔离方式进行防护。

安全手段要求：①异常流量溯源系统：对骨干网等网络中的流量数据流进行采集和分析，用于跟踪异常流量在网络上流传的轨迹，确定信息数据来源；②4A日志审计：部署4A系统实现Vo-LTE设备身份认证日志、操作行为日志、网络流量日志、系统日志、数据库日志等审计；③异常流量清洗系统：在骨干网出口部署异常流量清洗系统，对特定端口、特定协议等的攻击行为进行清洗。3.2.3防护建议

管端安全防护建议为安全设计及架构上应合理，采用冗余设计等措施确保数据链路的不间断性，通过有效的机制检测异常事件，及时发现网络异常情况并通过溯源定位。

3.3云端

3.3.1外部网络对云威胁安全防护

（1）事前防护：云端自身安全要求：①链路带宽保证：云端应该提供充足带宽，多路链路互联备份；②云端应各应用及设备应开启相应日志记录功能，并统一远程存储，防止日志被非法篡改/删除或破坏。

安全手段要求：①流量控制系统：在云端出口侧统一部署流量控制系统，对非业务流量带宽进行控制，防止带宽资源滥用；②防火墙：在云端边界，通过双层异构防火墙，严格的访问控制策略，来防止外部网络针对云内服务主机的潜在攻击行为；③入侵防御系统：在云端出口侧统一部署入侵防御系统，对云中各业务域中的基础设施提供入侵防抵御，如常见漏洞攻击、扫描探测、口令破解等；④WEB应用防火墙：在云端出口侧部署WEB防火墙，对云内部网站提供常见攻击防护，如常规的SQL注入、跨站攻击、路径穿越以及典型的WEB服务器漏洞等。

（2）事中监测：云端自身安全要求：①基础设施运行监测：针对云内基础设施健康情况、设备负载情况等进行实时监控，及时发现异常情况；②业务运行监测：在控制面对Vo-LTE网络中业务应用的各种信令、协议携带的头域、参数等安全保护，确保Vo-LTE网络信令流的正常。在用户面，对Vo-LTE媒体面中RTP会话、RTP带宽等安全保护，确保Vo-LTE网络媒体流的正常。

安全手段要求：①异常流量监测系统：在云端出口侧部署异常流量分析系统，对云内外DDOS等异常流量进行实时监控；②入侵防御系统：根据事前已部署的入侵防御系统，实时监测入侵防御设备告警信息，关注未阻断事件，同时持续优化入侵防御规则库，以防止新型攻击；③WEB应用防火墙：根据事前已部署的WEB防火墙，实时监测告警信息，关注源IP短时间内同一目标发起的扫描探测、攻击尝试等行为事件。

（3）事后响应及处置：云端自身安全要求：云端应建立针对各类攻击事件应急机制，通过系统自身安全防护措施缓解攻击造成的影响。

安全手段要求：①异常流量清洗系统：在云端出口侧部署异常流量清洗系统，对特定端口、特定协议等的攻击行为进行清洗；②云端内应采用相关日志关联分析审计系统或平台，对于设备日志、安全设备告警等进行统一记录存储，在安全事件发生后可快速的通过关联分析功能对事件进行还原。3.3.2内部云之间的安全防护

王飞：移动互联网面临的安全威胁及防护思路

（1）事前防护：云端自身安全要求：①安全域划分：根据用

户的业务需求和安全策略，从面临的安全威胁及隐患分析，充分考虑可靠性、扩展性、安全性等特性，划分为多个逻辑区域：②设备安全管理：设备或系统上线前按照相关规范满足设备自身安全功能及配置，包括设备账号、口令认证、权限授权、日志配置、安全功能、中高风险漏洞：③资源合理利用：云内部资源利用应合理进行分配，如配置动态资源以供部分服务使用，但同时也需设定上限，防止部分资源滥用。

安全手段要求：虚拟防火墙：在云中各业务域边界，通过虚拟防火墙，来防止攻击者对业务域内资产的扫描探测。

（2）事中监测：云端自身安全要求：①基础设施运行监测：针对云内基础设施健康情况、服务、进程等进行实时监控，及时发现安全问题；②业务运行监测：针对云内对外提供服务的设施提供持续监测，以确保业务的不间断连续性。

安全手段要求：①恶意代码监测：在云内部部署恶意代码检测工具，实现对云内蠕虫、云外木马和僵尸网络行为的监测；②入侵检测：在云内各业务域边界部署入侵检测系统，通过流量镜像方式发现业务域内网络入侵行为；③网站监测：在云内统一区域部署WEB监控工具，对云内WEB网站安全进行监测，监测包括网站是否备案、网站挂马、网站篡改、敏感言论等；④业务流量监测：通过专业流量分析工具，对云内网络中的流量数据进行采集和分析，实现对云端网络整体流量状况进行实时监控。

（3）事后响应及处置：云端自身安全要求：①云端各业务域应建立针对各类攻击事件应急处置机制，通过系统自身安全防护措施，缓解攻击造成的影响：②云端应各应用及设备应开启相应日志记录功能，并统一远程存储，防止日志被非法篡改/删除或破坏。

安全手段要求：①接入访问控制：在云端各业务接入层面进行控制，控制可通过虚拟交换机、虚拟防火墙、PVLAN（专用虚拟局域网）等方式，当发现某业务域内存在异常主机向外或云内发送异常行为或攻击时，及时进行阻断或拦截，防止事件扩散；②日志审计方式同外部网络对云威胁安全防护。3.3.3防护建议

结合云端整体安全防护分析结果，针对云端安全，需要加强外防与内控措施，形成云端网络特有的纵深安全防护体系，横向及纵向方式为云端网络提供保护。外防主要通过统一安全手段进行检测、控制及防护方式，对云端整体面临的外部威胁进行防护；内控主要通过加强云内自身需具备的安全要求特性，对云端网络内部进行安全管理及控制。

4结语

本文通过分解移动互联网的三个要素：终端、管道、云端，逐项分析其面临的安全威胁、可采用的安全防护措施，从而给出如下防护建议：智能终端与移动应用的安全防护建议为事前、事中防护两方面，最主要是厂商需提高自身的责任意识，用户需提升信息安全意识。管端安全防护建议为完善安全设计及合理架构，健全检测机制，并通过溯源定位开展事件处置，防止事件恶化。结合云端整体安全防护分析结果，针对云端安全，需要加强外防与内控措施，形成云端网络特有的纵深安全防护体系，横向及纵向方式为云端网络提供保护。参考文献：

[1]中国移动业务安全通用评估规范.

[2]中国移动互联网新技术新业务信息安全评估实施管理办法.

１５７