移动应用安全管理系统设计方案

况的同时也可以监控设备运行参数，以配合确定设备及网络的状态；日志监 视支持以图形化方式实时监控日志流量、系统风险等变化趋势。 日志管理 日志管理实现对多种日志格式的统一管理。 通过 SNMP、 SYSLOG 或者其它的 日志接口采集管理对象的日志信息， 转换为统一的日志格式， 再统一管理、 分析、 报警； 自动完成日志数据的格式解析和分类； 提供日志数据的存储、 备份、 恢复、 删除、导入和导出操作等功能。日志管理支持分布式日志级联管理，下级管理中 心的日志数据可以发送到上级管理中心进行集中管理。 审计分析 集中审计可综合各种安全设备的安全事件， 以统一的审计结果向用户提供可 定制的报表，全面反映网络安全总体状况，重点突出，简单易懂。 可以生成多种形式的审计报表，报表支持表格和多种图形表现形式；用户可 以通过 IE 浏览器访问，导出审计结果。可设定定时生成日志统计报表，并自动 保存以备审阅或自动通过邮件发送给指定收件人，实现对安全审计的流程化处 理。 终端资源配臵与监控 进行终端资源配臵管理与监控，包括终端状态、证书状态等。 运行异常监控安全设备遇到攻击， 或未授权终端非法访问资源等情况，会以告警等信息方 式，通知管理员。统一监控可提供多种自动处理机制，协助用户监控最新告警， 全方位掌控终端及安全设备异常和攻击。 远程锁定 基于定制终端操作系统， 实现对远程遗失或非法用户使用的合法终端进行整 机锁定或资源保护控制。

5.5 性能设计

移动应用安全管理系统在性能上需满足目前的业务需求外， 还需对将来的业 务扩展留下充足的空间。在性能设计上主要体现在平台链路带宽、在线 /并发用 户数和网络吞吐量等方面。

5.5.1 链路带宽

对于移动应用安全管理系统，链路带宽分为外部链路和内部链路两个部分。

（1）外部链路 由于外部所有的信息传输都经过加密， 因此对终端接入的带宽要求比普通的 无线网络接入要高。 目前最高端的链路为联通的 WCDMA-HSDPA， 该 3G 网支持 14.4Mbps 的带宽， 将来规划在一线主流城市升级至 WCDMA-HSPA+，该 3G 网为 21Mbps。 电信主流的链路为 CDMA2000 EV-DO A 版本(Rev.A)速率为 3.1Mbps，将来规 划升级为 CDMA2000 EV-DO B 版本(Rev.B)速率为 9.3Mbps。 中国移动目前主流的为 TD-HSDPA 速率为 2.8Mbps。

（2）内部链路 移动应用安全管理系统的边界接入域是政务外网与其它网唯一通道， 将来接 入业务会逐渐增加，因此在内部链路上皆采用千兆链路，如用户有特殊情况 /要 求， 也可建设百兆链路。 在平台内部链路上的通用网络设备及网络环境皆采用千 兆的设备架设。以满足将来的业务扩展和升级，保护投资。

（3）带宽估算方式 以下给出带宽的初步的估算方式。 接入的应用可分为面向长连接的和不面向长连接的。如 B/S 方式的应用，

由 于采用的是 HTTP 协议，不是长连接的，对资源要求少；而对于 C/S 应用，由于其是长连接的，因此其占用带宽资源较多。一般采用 B/S 方式估算，如果同时在 线用户数为 10*n，对于 B/S 类应用实际的并发在线用户数可以总用户数的 1/10 计。则同时并发在线用户数为 n，假设各个用户业务要求的带宽为 200Kb，则总 带宽要求为：200Kb * n = 0.2*n Mb。因此，一个真千兆的接入链路，可承载 5000 个用户的并发，相当于可同时支撑 50000 个用户。 若总用户数超过 50000 个， 则由于目前架设高于千兆链路环境成本较高， 则 可通过分流用户或增加链路节点来实现大用户量的业务接入。

5.5.2 业务并发数

从链路带宽的分析中可知，真千兆的同时并发业务数极限为 5000。因此，在实 际使用中需少于这个数目。 在进行设备选型时，设备的性能参数的最高值必须在 这个值左右或以上， 这是因为设备的性能参数是在实验室环境下测出来的，在实 际工作环境中不可能达到。

5.5.3 吞吐量

从上述分析中可知，内部链路带宽采用千兆链路。 对于授权访问类应用， 其吞吐量性能与业务情况实时挂钩。而对数据交换类 业务，如果业务总需求高于链路的吞吐量设计，则可通过以下方式进行解决： 负载均衡技术 最容易想到方法就时采用负载均衡技术来实

现，这是一个最容易想到的方 案，也是最行之有效的。然而，从目前的实际情况来看并不存在这样的必要性： 所有业务不是马上就可以一步实施到位的；不是所有的业务都需要准实时交换 的，通过人为的规划，可以将各种业务按要求进行划分，错开时间高峰以满足应 用要求。 综上所述，为了更好地支撑将来业务的接入，整个平台采用千兆设备架设。 5.6 业务流程设计

移动终端在线接入安全方案如下图所示：

移动终端首先与移动运营商建立无线接入通道，再通过此通道与信息网连 接。 连接通道建成后，移动终端与信息网内的安全设备相互进行身份认证，通过 证书的认证，确认双方都是可信任的。 然后双方利用密钥协商机制，采用国家密码管理局批准的专用加密算法，建 立安全的数据加密传输通道。 利用双方的身份认证， 确保移动终端安全可靠的接入信息网， 通过加密传输， 保障业务数据的传输安全，确保业务数据无法被窃取。

5.7 安全管理体系设计 5.7.1 安全管理制度

根据安全管理制度的基本要求制定各类管理规定、管理办法和暂行规定。从 安全策略主文档中规定的安全各个方面所应遵守的原则方法和指导性策略引出 的具体管理规定、管理办法和实施办法，是具有可操作性，且必须得到有效推行 和实施的制度。 制定严格的制定与发布流程，方式，范围等，制度需要统一格式并进行有效 版本控制；发布方式需要正式、有效并注明发布范围，对收发文进行登记。