移动互联时代的到来，让网络世界与人们现实生活的边界越来越模糊，截止2017年6月，我国互联网用户规模达到7.5亿、移动互联网用户规模达7.24亿。随着移动互联网的发展，移动互联应用业务越来越复杂，承载着大量用户敏感信息，移动互联网安全问题愈加突显。移动互联网是一种通过智能移动终端，采用移动无线通信方式获取业务和服务的新兴业务，包含终端、软件和应用三个层面。终端层包括智能手机、平板电脑、电子书、MID等；软件包括操作系统、中间件、数据库和安全软件等。《网络安全法》第二十一条规定国家实行网络安全等级保护制度，等保2.0将移动互联系统纳入了等级保护的范畴。移动互联系统都应当按照网络安全等级保护制度要求履行网络安全法的法律义务，开展等级测评工作。
由于很多移动互联系统运营企业不知道移动互联有哪些安全要求，应大家要求，湖南金盾就移动互联系统的等保要求进行了整理，希望给移动互联系统在开展等保工作时提供指导。
一、移动互联安全扩展要求概述
等保2.0将基本要求分为了安全通用要求和安全扩展要求两个部分。安全通用要求是不管等级保护对象形态如何都必须满足的要求，针对云计算、移动互联、物联网和工业控制系统提出的特殊要求，称为安全扩展要求。移动互联安全扩展要求主要针对移动终端、移动应用和无线网络部分提出特殊安全要求，与安全通用要求一起构成对采用移动互联技术的等级保护对象的完整安全要求。以一个三级移动互联系统为例，既要满足三级的安全通用要求，又要满足三级的移动互联安全扩展要求。如移动互联系统的后台应用部署在云上，还需满足云上系统的要求。由于安全通用要求和云上系统安全要求都已在前面的文章中讲到，此文仅涉及移动互联安全扩展要求。
移动互联安全扩展要求是针对采用移动互联技术的等级保护对象其移动互联部分提出的特殊保护要求。移动互联部分通常由移动终端、移动应用和无线网络三部分组成。采用移动互联技术等级保护对象与传统等级保护对象的区别在于移动性和便捷性，移动终端可以通过无线方式接入网络，移动终端可以远程通过运营商基站或公共Wi-Fi接入等级保护对象，也可以通过本地无线接入设备接入等级保护对象。与传统信息系统相比，采用移动互联技术的系统所面对的攻击面更大，且由于移动终端的便携性更容易丢失，并造成信息泄露数据丢失等。对移动互联环境主要增加的内容包括“无线接入点的物理位置”、“移动终端管控”、“移动应用管控”、“移动应用软件采购”和“移动应用软件开发”等方面。
二、移动互联系统定级
采用移动互联技术的网络主要包括移动终端、移动应用、无线网络等特征要素，应与相关有线网络业务系统作为一个整体对象定级。
三、移动互联应用架构
移动终端通过无线通道连接无线接入设备接入，无线接入网关通过访问控制策略限制移动终端的访问行为，后台的移动终端管理系统负责对移动终端的管理，包括向客户端软件发送移动设备管理、移动应用管理和移动内容管理策略等。移动互联应用架构如下图所示：
按照移动互联安全扩展要求，移动互联系统接入侧部署架构可参考下图（说明：此图不包含服务器区部署图，服务器区部署参照传统信息系统安全部署架构）。
四、移动互联安全扩展要求具体要求项
移动互联安全扩展二级、三级、四级要求各层面要求项数级差见下表：
层面
一级
二级
三级
四级
移动互联安全扩展要求--物理和环境安全
1
1
1
1
移动互联安全扩展要求--网络和通信安全
2
8
8
8
移动互联安全扩展要求--设备和计算安全
1
6
9
9
移动互联安全扩展要求--安全建设管理
1
4
4
4
移动互联安全扩展要求--安全运维管理
/
/
1
1
合计
5
19
23
23
移动互联安全扩展要求各级别级差
移动互联安全扩展要求二级、三级、四级具体要求项如下表（标蓝内容为不同级别之间的变化）：
序号
层面
控制点
二级
三级
四级
1
物理和环境安全
无线接入点的物理位置
应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。
应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。
应为无线接入设备的安装选择合理位置，避免过度覆盖和电磁干扰。
2
网络和通信安全
边界防护
应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。
应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。
应保证有线网络与无线网络边界之间的访问和数据流通过无线接入网关设备。
3
访问控制
无线接入设备应开启接入认证功能，并且禁止使用WEP方式进行认证，如使用口令，长度不小于8位字符；
无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。
无线接入设备应开启接入认证功能，并支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。
4
入侵防范
a) 应能够检测、记录非授权无线接入备；
a) 应能够检测、记录、定位非授权无线接入设备；
a) 应能够检测、记录、定位非授权无线接入设备；
5
b) 应能够对非授权移动终端接入的行为进行检测、记录；
b) 应能够对非授权移动终端接入的行为进行检测、记录、定位；
b) 应能够对非授权移动终端接入的行为进行检测、记录、定位并阻断；
6
c) 应具备对针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录；
c) 应具备对针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录、分析定位；
c) 应具备对针对无线接入设备的网络扫描、DDoS攻击、密钥破解、中间人攻击和欺骗攻击等行为进行检测、记录、分析定位；
7
d) 应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态；
d) 应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态；
d) 应能够检测到无线接入设备的SSID广播、WPS等高风险功能的开启状态；
8
e) 应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认证等；
e) 应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认证等；
e) 应禁用无线接入设备和无线接入网关存在风险的功能，如：SSID广播、WEP认证等；
9
f) 应禁止多个AP使用同一个认证密钥。
f) 应禁止多个AP使用同一个认证密钥。
f) 应禁止多个AP使用同一个认证密钥。
10
设备和计算安全
移动终端管控
a) 应保证移动终端安装、注册并运行终端管理客户端软件；
a) 应保证移动终端安装、注册并运行终端管理客户端软件；
11
b) 移动终端应接受移动终端管理服务端的设备生命周期管理、设备远程控制，如：远程锁定、远程擦除等。
b) 移动终端应接受移动终端管理服务端的设备生命周期管理、设备远程控制，如：远程锁定、远程擦除等。
12
移动应用管控
a) 应具有选择应用软件安装、运行的功能；
a) 应具有选择应用软件安装、运行的功能；
a) 应具有选择应用软件安装、运行的功能；
13
b) 应具有软件白名单功能，应能根据白名单控制应用软件安装、运行；
b) 应具有软件白名单功能，应能根据白名单控制应用软件安装、运行；
b) 应具有软件白名单功能，应能根据白名单控制应用软件安装、运行；
14
c) 应具有应用软件权限控制功能，应能控制应用软件对移动终端中资源的访问；
c) 应具有应用软件权限控制功能，应能控制应用软件对移动终端中资源的访问；
c) 应具有应用软件权限控制功能，应能控制应用软件对移动终端中资源的访问；
15
d) 应只允许可靠证书签名的应用软件安装和运行。
d) 应只允许系统管理者指定证书签名的应用软件安装和运行；
d) 应只允许系统管理者指定证书签名的应用软件安装和运行；
16
e) 应具有接受移动终端管理服务端推送的移动应用软件管理策略，并根据该策略对软件实施管控的能力。
e) 应具有接受移动终端管理服务端推送的移动应用软件管理策略，并根据该策略对软件实施管控的能力。
17
资源控制
a) 应保证移动终端处理不同等级系统业务的运行环境进行应用级隔离；
a) 应保证移动终端处理不同等级系统业务的运行环境进行操作系统级隔离；
a) 应保证移动终端只用于处理指定业务；
18
b) 应限制用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权。
b) 应限制用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权。
b) 应限制用户或进程对移动终端系统资源的最大使用限度，防止移动终端被提权。
19
安全建设管理
移动应用软件采购
a) 应保证移动终端安装、运行的应用软件来自可靠证书签名或可靠分发渠道；
a) 应保证移动终端安装、运行的应用软件来自系统管理者指定证书签名或可靠分发渠道；
a) 应保证移动终端安装、运行的应用软件来自系统管理者指定证书签名或指定分发渠道。
20
b) 应保证移动终端安装、运行的移动应用软件由可靠的开发者开发。
b) 应保证移动终端安装、运行的移动应用软件由经审核的开发者开发。
b) 应保证移动终端安装、运行的移动应用软件由系统管理者指定的开发者开发。
21
移动应用软件开发
a) 应要求对移动业务应用软件开发者进行资格审查；
a) 应要求对移动业务应用软件开发者进行资格审查；
a) 应要求对移动业务应用软件开发者进行资格审查；
22
b) 应要求开发移动业务应用软件的签名证书合法性。
b) 应要求开发移动业务应用软件的签名证书合法性。
b) 应要求开发移动业务应用软件的签名证书合法性。
23
安全运维管理
配置
管理
应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。
应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。
五、移动互联安全扩展要求对比总结
安全要求逐级增强主要表现在三个方面：控制点增加、同一个控制点的要求项增加、同一要求项强度增强。
1、移动互联安全扩展要求二级要求
层面：涉及4个层面，包括物理和环境安全、网络和通信安全、设备和计算安全、安全建设管理四个层面。
控制点：包括8个控制点，包括物理和环境安全（无线接入点的物理位置）、网络和通信安全（边界防护、访问控制、入侵防范）、设备和计算安全（移动应用管控、资源控制）、安全建设管理（移动应用软件采购、移动应用软件开发）。
要求项：要求项共19个。
2、移动互联安全扩展要求三级要求
层面：在二级基础上增加了安全运维管理层面，共5个层面。
控制点：在二级基础上增加了移动终端管控、配置管理2个控制点，共10个控制点，包括物理和环境安全（无线接入点的物理位置）、网络和通信安全（边界防护、访问控制、入侵防范）、设备和计算安全（移动终端管控、移动应用管控、资源控制）、安全建设管理（移动应用软件采购、移动应用软件开发）、安全运维管理（配置管理）。
要求项：在二级基础上增加了4个要求项，要求项共23个。与二级相比，新增要求项为移动终端管控2项、移动应用管控1项，配置管理1项，除新增要求项外，在访问控制、入侵防范、移动应用管控、资源控制、移动应用软件采购控制点上的部分要求项进行了增强，在无线接入点的物理位置、边界防护、移动应用软件开发3个控制点的要求项无变化。
3、移动互联安全扩展要求四级要求
层面和控制点：在三级基础上层面、控制点都未变化。
要求项：在三级基础上，要求项数量未变化，但在网络和通信安全层面的入侵防范、设备和计算安全的资源控制、安全建设管理的移动应用软件采购三个控制点的部分要求项进行了增强。
详细对比如下表：
序号
层面
控制点
要求项数
主要差别
二级
三级
四级
1
物理和环境安全
无线接入点的物理位置
1
1
1
二级三级无差别
2
网络和通信安全
边界防护
1
1
1
二级三级无差别
3
访问控制
1
1
1
（增强1个要求项）二级三级都要求无线接入设备开启接入认证功能，二级要求禁止使用WEP方式进行认证，三级要求支持采用认证服务器认证或国家密码管理机构批准的密码模块进行认证。
4
入侵防范
6
6
6
（增强3个要求项）二级、三级都要求能检测、记录非授权无线接入设备，并对非授权移动终端接入的行为进行检测、记录，三级除检测和记录外还需要具备定位功能。
（增强1个要求项）四级还需具有阻断功能。
5
设备和计算安全
移动终端管控
0
2
2
（新增2个要求项）二级对移动终端管控不作要求，三级要求移动终端安装、注册并运行终端管理客户端软件，移动终端应接受移动终端管理服务端的设备生命周期管理、设备远程控制。
6
移动应用管控
4
5
5
（增强2个要求项）二级、三级都要求具有选择应用软件安装、运行的功能，具有软件白名单功能，具有应用软件权限控制功能，二级要求只允许可靠证书签名的应用软件安装和运行，三级要求只允许系统管理者指定证书签名的应用软件安装和运行。
（新增1个要求项）三级还增加了移动应用要具有接受移动终端管理服务端推送的移动应用软件管理策略，并根据该策略对软件实施管控的能力。
7
资源控制
2
2
2
（增强1个要求项）二级三级都要求能限制用户或进程对移动终端系统资源的最大使用限度，二级、三级都要求保证移动终端处理不同等级系统业务的运行环境进行隔离，不同的是二级只需要应用级隔离，三级需达到操作系统级的隔离。
（增强1个要求项）四级要求保证移动终端只用于处理指定业务；
8
安全建设管理
移动应用软件采购
2
2
2
（增强2个要求项）二级三级都要求移动终端安装、运行的应用软件来自可靠证书签名或可靠分发渠道，三级对可信要求更好高，需来自系统管理者指定证书签名或可靠分发渠道。二级要求保证移动终端安装、运行的移动应用软件由可靠的开发者开发，三级要求移动终端安装、运行的移动应用软件由经审核的开发者开发。
（增强2个要求项）四级要求应保证移动终端安装、运行的应用软件来自系统管理者指定证书签名或指定分发渠道。应保证移动终端安装、运行的移动应用软件由系统管理者指定的开发者开发。
9
移动应用软件开发
2
2
2
二级三级无差别
10
安全运维管理
配置管理
0
1
1
（新增1个要求项）三级增加了应建立合法无线接入设备和合法移动终端配置库，用于对非法无线接入设备和非法移动终端的识别。
作者：湖南省金盾信息安全等级保护评估中心 熊璐
