【17、SSL VPN】电子政务移动办公安全解决方案【1951】-精品文档整理.docx

《【17、SSL VPN】电子政务移动办公安全解决方案【1951】-精品文档整理.docx》由会员分享，可在线阅读，更多相关《【17、SSL VPN】电子政务移动办公安全解决方案【1951】-精品文档整理.docx（42页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、 电子政务移动办公安全解决方案密级：公开日期：2019/5/1l 版权信息版权所有 2006-2019 网神信息技术（北京）股份有限公司，保留所有权利。l 版权声明奇安信集团及其关联公司对其发行的或与合作伙伴共同发行的产品享有版权，本文中出现的任何文字叙述、文档格式、插图、照片、方法、过程描述等内容，除另有特别注明外，所有版权均属奇安信集团及其关联公司所有；受各国版权法及国际版权公约的保护。对于上述版权内容，任何个人、机构未经奇安信集团或其关联公司的书面授权许可，不得以任何方式复制或引用本文的任何片断；超越合理使用范畴、并未经上述公司书面许可的使用行为，奇安信集团或其关联公司均保留追究法律责任

2、的权利。l 修订记录日期文档版本号修订内容修订人2019.5.119.5.1更新程铖目 录1电子政务移动办公发展现状12电子政务移动办公面临的安全挑战22.1移动办公打破了传统政府办公网络边界22.2移动设备具有易失性，从而具有泄露政府数据的隐患22.3移动操作系统的碎片化问题严重，统一管理不便32.4应用质量参差不齐，应用市场安全性堪忧32.5手机病毒数量和类型的高速增长，使移动设备成为渗透政府办公网络的跳板32.6公私数据混用，个人隐私难以得到保障42.7随着业务系统日益丰富，日常业务登录已经成为了一种负担43电子政务移动办公需求分析43.1移动终端安全管理53.2数据传输信道安全53.3

3、身份识别与安全接入63.4应用系统单点登录64解决方案概述74.1建设目标74.2建设内容74.3建设依据84.4建设方案94.4.1产品概述94.4.2部署逻辑架构图104.4.3功能实现114.4.3.1移动终端安全管理114.4.3.2应用安全管理194.4.3.3数据传输信道安全214.4.3.4身份识别与安全接入234.4.3.5业务系统单点登录245其他优势功能265.1安全办公套件265.2安全浏览器285.3蓝信285.4安全邮件285.5安全通话285.6安全短信295.7消息提醒295.8日志审计295.9丰富的SDK接口316方案优势316.1国际领先的公私隔离技术316

4、.2创新的沙箱技术326.3专有移动电子政务办公套件326.4固若金汤的数据防泄漏技术326.5独有的企业应用加固、集成技术336.6专业的防病毒引擎336.7统一管理平台346.8流程优秀的用户体验346.9平台的应用356.10提升政府办公效率357政府价值体现361 电子政务移动办公发展现状随着移动互联网的高速发展和智能手机的进一步普及，政府办公已经不再局限于纸质文件，专机专用。政府日渐把许多业务转移到了移动终端进行，政务移动办公在政府扮演着越来越重要的角色。根据数据显示，政府单位对信息安全的诉求强烈，在信息/手机保密、安全的各项功能的使用中，使用率远高于其他行业。伴随着新等保、安全法等

5、相关法律的出台，政府更加重视在移动安全的投入，从而来保护国家安全。为了统一管理、统一入口，国务院多次开会提到加速建设电子政务云，从建设电子政务云的安全方面考虑，国家发布了电子政务移动办公系统安全技术规范从2018年7月1日正式启用，标志着电子政务移动办公正式进入规范化时代。政务移动办公虽然给政府办公带来方便，提高了工作机动性，但是政务移动办公也给政府带来了一些信息安全方面的问题。 -网络的多样性，移动终端容易感染病毒、木马 -办公数据传输经常被监听，被盗取 -身份被冒用、越权访问时有发生 2 电子政务移动办公面临的安全挑战随着移动办公在越来越多的单位的普及，各地政府也陆续将办公系统从PC端扩展

6、到移动端，使得大量公务人员在手机终端上实现了办公的目的，目前取得了非常好的效果，提高了办公效率，获得了一致好评。但是随着各种型号智能终端接入政府办公网络，各种不同的业务应用的部署，给政府带来了大量的信息安全和终端管理的安全隐患。2.1 移动办公打破了传统政府办公网络边界公务人员的移动设备可以在任何时间、任何地点接入运营商3G/4G网络或公共/家庭Wi-Fi网络，移动信息化打破了原有政府网络边界，正是这种边界的模糊性使移动终端成为信息安全体系的薄弱环节，移动终端中的办公数据也会因此暴露在来自互联网的攻击之下，因此亟需新的方法保护数据安全。2.2 移动设备具有易失性，从而具有泄露政府数据的隐患移动

7、设备由于其便携性极易丢失，每年有7000万部手机丢失，其中60%的手机包含敏感信息，而移动设备中所保存的敏感数据也因此面临泄密风险。设备丢失不但意味着敏感信息的泄漏，所丢失的设备也可能会变成黑客攻击政府办公网络的跳板。2.3 移动操作系统的碎片化问题严重，统一管理不便据统计数据，仅Android设备就有2万多款不同型号，自带的设备多种多样，如何保证策略执行的一致性、如何在一个统一的平台上管理各种设备是政府移动办公面临的另一个挑战。2.4 应用质量参差不齐，应用市场安全性堪忧根据国家互联网应急中心2015年统计，其捕获的移动互联网恶意程序数量近148万个，较2014年增长55.3%，主要针对安卓

8、平台。按恶意行为进行分类，排名前三的恶意行为分别是恶意扣费类，流氓行为类和远程控制类，占比分别为23.6%、22.2%和 15.1%。远高于传统PC病毒和木马的增长情况。恶意程序不仅会窃取用户个人隐私数据，造成资费消耗，对内部敏感数据也将造成严重的威胁。2.5 手机病毒数量和类型的高速增长，使移动设备成为渗透政府办公网络的跳板在移动互联网越来越深入人心的今天，攻击者们已经开始将视线由PC转向了移动设备。2015全年，互联网安全中心累计截获Android平台新增恶意程序样本1874.0万个。分别是2013年，2014年的27.9倍、5.7倍。平均每天截获新增恶意程序样本也高达51342个。201

9、5全年，互联网安全中心累计监测到Android用户感染恶意程序3.7亿人次，分别是2013年、2014年的3.8倍和1.1倍；平均每天感染量达到了100.6万人次。同时，由于Root权限滥用和新的黑客攻击技术，移动设备成为滋生安全风险的新温床，容易成为黑客入侵渗透政府办公内网的跳板。2.6 公私数据混用，个人隐私难以得到保障同一移动终端设备上既有个人应用，又有办公数据和应用，个人应用可以随意访问、存取办公数据，办公应用同样也会触及到个人数据。如何明确区分并隔离移动终端上的办公/私人数据与应用，禁止办公数据被个人应用非法上传、共享和外泄，同时禁止办公应用访问个人数据，尊重移动终端上的私人数据是一

10、个难以避免的问题。2.7 随着业务系统日益丰富，日常业务登录已经成为了一种负担政务移动办公已经逐步实现了自动化，日常管理、日常工作离不开各种各样的信息系统支撑。一般政府里面有几十上百个应用系统，每个应用系统成孤岛形式存在，每个应用都有自己访问地址、帐号、密码，用户使用起来非常繁琐。而且，对企业IT运维人员而言，解决企业各类人员、各类应用、各类系统、各类角色权限之间的问题，占据了大量的工作时间。3 电子政务移动办公需求分析由于移动化办公突破了传统的安全网络边界，以及移动设备的不可控因素，容易丢失、随时随地办公的特点，因此安全接入政府内部办公网络和移动终端的安全管理，成为当前紧要处理的问题，包括接

11、入通道的安全、身份认证的安全性。综合上述所提出的疑难问题，概括以下急需解决的问题：3.1 移动终端安全管理移动办公终端分为派发与自用手机两种情况，无论是哪种情况移动终端都会分布在个人手中。使得管理员对终端设备从注册，使用，到删除的整个设备全生命周期很难管理，例如，员工是否按照要求安装了指定应用、访问权限分配、以及数据的清除等等。为了使移动智能设备终端能够更好的实现移动办公需求，管理员需要对移动终端进行有效的监控、管理。管理员需要看到每个终端设备的工作状态，包括是否激活、是否活跃、是否注销等状态。并且支持对终端设备的统一管理，包括是否安装指定应用、准入检测、权限调用等安全策略。移动终端一个典型的

12、特点就是容易丢失，政府相关的保密数据存储在移动终端，如果发生设备丢失，很容易造成数据泄露等问题。3.2 数据传输信道安全移动办公的形态导致每个用户需要与政府内部服务器通信，一般来说，当数据从一个位置到另一个位置时是最脆弱的。时常成为黑客实施欺诈行为的窗口，造成政府数据泄露。为了避免数据在传输过程中被窃取，采用数据与隧道加密的技术保证隧道的安全性，虚拟专网（SSL VPN）接入的方式是无疑是政府移动办公最佳选择。3.3 身份识别与安全接入办公人员在任何时间（Anytime）、任何地点（Anywhere）处理业务相关的任何事情（Anything）这种移动办公模式，可以让办公人员摆脱时间与空间的束缚

13、，更加轻松有效，方便快捷的协同，提供政府办公效率。在网络安全威胁日益严重的今天，移动办公的安全接入问题更是不容忽视。例如身份冒用、越权访问、终端携带病毒、越权访问等等，如何保证政府信息的安全，也是用户最关心的一个问题。移动终端接入怎么才能安全的接入到政府办公网中？除了安全通道之外还需要确认接入者的身份信息，所以需要提供身份认证系统保障接入的安全。3.4 应用系统单点登录政务办公往往会用到多个业务系统，每个业务系统配置不同的地址，并且每个业务系统都有自己的用户名密码，经常谁会出现如下问题：l 忘记密码：业务系统不仅要求复杂度极高的密码口令，而且还会要求定期修改密码，这对于多个复杂密码口令的日常维

14、护非常不方便，用户很容易忘记那些不常用的密码口令。 l 操作麻烦：虽然现在都是大屏时代，但是也软件盘上的字母数字输入也是非常不方便，而且容易输错。l 安全性低：用户每次登录业务系统都需要输入帐号密码，每次登录都是给攻击者攻击的时间窗口，容易造成帐号密码丢失。4 解决方案概述4.1 建设目标移动终端安全管理系统的引入为政务数据安全提供了安全保证。针对各地政府在推进移动办公工作中遇到的难点提供了有效的管理办法。移动终端安全管理系统的应用将以其全面的设备管理功能、高效的应用市场、安全的数据保密措施，动态沙箱机制、强大的病毒木马查杀功能等优点，改变现有的各地政府移动终端设备不易管理，应用分发不便，政务

15、文件存储不安全的客观不足，有效解决了数据泄露风险、保证了移动终端数据的安全以及实现了统一策略管理的目的，解决了各地政府移动办公场景的问题。 移动终端安全管理系统的建设也符合当前国家政府信息化建设项目的发展规划和要求。符合信息安全技术 电子政府移动办公系统安全技术规范中的要求。4.2 建设内容此建设方案针对各地政府移动终端安全管理的问题，建设高性能高可靠移动终端安全办公系统，建设内容包括以下内容： 建立移动终端安全管理系统，以满足各地政府现在和未来对于终端安全管理的需要，包括设备生命周期管理，设备准入，功能禁用，安全策略管理等功能 通过打造政府内部专属的应用市场，对应用实施安全性检测和加固封装，

16、排除恶意应用和盗版应用风险，避免因应用市场的良莠不齐，使用恶意应用对政府资产和信息造成侵害，制定应用策略，统一安装，卸载或进行应用版本更新，节省管理成本。 通过安全可靠的终端内容数据保护方案，采用动态沙箱技术在移动终端上建立独立工作区，将政府的敏感数据隔离个人信息进行加密存储，一键灵活切换工作区和个人区，预置完备的移动办公套件，对违规终端下发远程数据擦除指令，严格避免数据遭受泄漏的问题。为终端提供强大的安全能力，集成专业的木马，病毒查杀引擎，保障移动终端安全，避免成为黑客入侵内网的跳板，保障网络安全边界安全。 通过安全接入网关，保证外网的公务人员可以安全的接入到政府的办公内网，从而确保在数据传

17、输过程中不被恶意攻击、窃取，保证数据不被泄露。 通过建设天鉴ID智能身份平台，使得移动终端接入平台时通过各种多因素的方式进行认证，确保最终只有合法和授权的移动终端方可接入，为非法接入提高了极大的难度。4.3 建设依据l 27号文件国家信息化领导小组关于加强信息安全保障工作的意见l 关于信息安全等级保护工作的实施意见（公通字200466号）l 电子政务信息安全等级保护实施指南（试行）（国信办综200525号）l 公安部信息系统安全保护等级定级指南l 信息安全技术 信息系统安全等级保护基本要求l 信息安全技术 信息系统安全等级保护实施指南l 信息安全风险评估指南（国信办2006年9号）l AS/N

18、ZS 4360: 1999 风险管理标准l GAO/AIMD-00-33信息安全风险评估l IATF信息保障技术框架l 信息安全技术 电子政府移动办公系统安全技术规范（2018年7月1日）4.4 建设方案4.4.1 产品概述电子政务外网移动终端安全接入管理平台建设将实现四个化，移动办公高效化、公私数据隔离化、威胁查杀一体化、病毒木马泛滥可控化。移动办公安全四化建设将解决包括：用户移动终端Android系统碎片、设备丢失带来的信息泄露、应用APP安全性、木马病毒侵扰等管理问题和安全问题。电子政务外网移动终端安全接入管理平台建设包括：移动安全管理系统、 VPN、安全邮件、 身份认证、即时通信应用。

19、其中移动安全管理系统建设将实现移动终端设备管控、应用管理、内容管理、安全策略、数据加密、数据传输安全、消息推送、移动杀毒、日志报表等管理功能。基于应用层实现的数据安全和防护技术路线的沙箱技术，为各地电子政务外网应用安全实现多种安全防护技术，包括：数据加密、数据隔离、数据清除。移动办公安全管理系统架构图公私应用数据隔离架构图4.4.2 部署逻辑架构图4.4.3 功能实现4.4.3.1 移动终端安全管理4.4.3.1.1 设备管理为了更好的对移动终端进行管理，移动终端（安全）管理平台提供了各种集中管理控制的功能，使得管理员对终端设备从注册，使用，到删除的整个设备全生命周期都能完全掌控。并且为了保证

20、移动终端设备的安全，移动终端（安全）管理平台的设备管理（MDM）提供强大的设备指令下发、地理定位管理以及安全策略管理的功能。管理员能通过管理中心看到每个移动终端的详细信息，包括每个设备的所有权和是否活跃、是否锁定工作区、是否锁定设备、是否注销、是否激活等状态。并可对指定的或者所有的终端进行清除工作数据、恢复出厂设置、下发锁屏密码、锁定设备、锁定工作区、启动关闭鸣响、推送消息链接等强制指令的下发。可以对设备进行强管控。4.4.3.1.2 多维度分组管理天机提供了用户的分组管理功能，通过分组，可将员工更结构化的管理，新注册的设备可规划到相应的分组，方便查找和管控。天机还提供了静态标签和动态标签的分

21、类方式，管理员可根据不同的分组、静态标签或动态标签下发相应的安全策略，满足了对不同员工不同管理方式的需求。离职员工可以一键处理，清除政府数据并且不能再用离职员工的账号登录系统。4.4.3.1.3 时间/地理围栏根据一些特殊的场景，比如在一个时间段或者在一个特殊场所时，这时需要实现一些设备强管控的功能，当工作人员进入这些特殊的场景时，设备就是出发这些时间地址围栏，来限制设备不能使用设备那些功能等。地址围栏可支持不规则的多边形，设置比较灵活可控。时间围栏可以精确到分，执行起来误差较小，精准度较高。4.4.3.1.4 数据隔离存储天机为保证政府重要工作数据不被随意拷贝，工作人员只能在工作区对内部数据

22、进行操作，特采用行业内独特的沙箱隔离技术为政府打造一个安全的数据隔离区域。在形态上以双域的形式呈现，在安全沙箱内部的数据采用高强度的加密算法进行数据加密存储。沙箱内没有复制、粘贴等功能，沙箱外部数据无法进入到沙箱内部，同样沙箱内部工作数据也无法出去。政府内部应用或第三方应用产生的数据，都安全的加密存储在工作区，仅工作区内的应用程序可以访问查看，保证政府内部数据安全地存储在工作区。技术领先的沙箱4.4.3.1.5 数据远程擦除天机提供数据远程擦除功能，如遇工作人员设备丢失或设备被盗的情况，而设备中的政务数据又比较重要，此刻政府部门最关注的是如何保障内部公务数据不被泄漏，采用天机远程数据擦除功能，

23、即可一键远程清楚移动设备上所有的与政务相关的办公数据，从而保证政府内部数据不被泄漏。4.4.3.1.6 合规准入与管理为了政府网络的安全以及办公环境的安全性考虑，我们提供了安全合规准入功能与管理功能，确保只要合规的设备才可接入安全办公区，高强度的防止了不合规设备、带有风险的设备接入到政府办公区中。4.4.3.1.7 安全策略管理管理员可自定义移动终端的安全策略，在强管控和灵活管控之间自由平衡。在设备注册前，管理员可设置设备准入的条件，防止外来设备激活；在设备注册后，可根据需要设置设备密码和工作区密码复杂度、在指定时间或指定地点范围禁用摄像头、禁用WIFI、禁用复制粘贴、禁用移动数据网络、禁用蓝

24、牙等安全策略。天机还可对移动终端设备进行多项安全违规检测，包括设备是否root/越狱，离线是否超过指定时间，是否未安装安全软件，是否已卸载天机客户端，当月流量是否超过限定值等。对于违规设备，会自动执行清除工作数据、锁定设备、锁定工作区等强制性惩罚措施，防止泄露政府数据。4.4.3.1.8 安全水印保护天机在移动终端建立了一个安全独立的工作区，采用的公私隔离技术很好的将政府数据和个人数据完全隔离，所有的内部应用和数据存储在受保护的安全工作区内，避免非法存取内部数据，使IT部门能更好地保护内部的应用和数据，也为工作人员提供了无差别的个人应用体验，达到“一机两用” 的效果。天机采用AES256算法以

25、及SM系列国密算法处理数据，对移动终端上的工作区内的内部数据进行高强度加密，同时提供安全可靠的密钥管理，确保政府内部数据在多终端复杂环境下的安全。政府内部应用或第三方应用产生的数据，都安全的加密存储在工作区，仅工作区内的应用程序可以访问查看，保证政府内部数据安全地存储在工作区。对于重要秘密文件，天机还提供阅后即焚功能，对于下方的消息或文件不会保存在本地，员工浏览完，消息和文件就会消失，让文件主人有效掌握文件控制权，从源头上保证文件资料不被泄露。同时天机还提供安全的水印技术，保证工作区内的数据全程水印覆盖，以防被拍照或者截屏的方式外泄，如发现数据外泄可通过安全水印进行溯源。4.4.3.2 应用安

26、全管理4.4.3.2.1 专属的应用商店天机打造了一个政府内部专属的专用应用商店，至此政府内部应用可完全摆脱掉以往依靠公共的应用商店进行内部应用的分发局面。通过打造一个专属的应用商店不仅可提高应用发布的效率，同时也提高了应用发布的安全性，内部专属的应用从上架、更新到下架全生命周期完全自主可控。天机可提供Android应用、iOS应用以及H5轻应用的发布。4.4.3.2.2 应用加固为了保证政府移动应用的安全性，天机采用了应用加固技术，对上传到专属应用市场的应用进行封装加固处理，可以有效预防政府应用遭受逆向威胁，保证工作区内使用的移动应用安全可靠。使用VMP壳代理加载、抽取JAVA代码方法等技术

27、保证原始文件不被反编译，运行时根据应用运行功能进行动态回填防止内存dump，通过ptrace进程的手段防止动态调试。4.4.3.2.3 应用检测 天机为了考虑政府有很多应用，会存在应用的渠道来源问题，以及通过公共的应用商店上架、更新等操作很有可能被篡改植入木马等危险的可能性，从而我们提供了应用的安全监测，保证政府内部应用在使用过程中的安全性。可以做到渠道监测、木马、漏洞等不安全因素的监测。4.4.3.3 数据传输信道安全4.4.3.3.1 网神SecSSL 3600安全接入网关系统4.4.3.3.1.1 数据安全传输网神SecSSL 3600安全接入网关系统能够将传输中的公私数据进行隔离，公司

28、的业务数据走VPN加密通道，非业务等其它数据走互联网通道。当启用隧道控制策略后，用户接入VPN网络，禁止用户访问互联网。传输链路的安全性主要依靠VPN数据所采用的加密算法，网神SecSSL 3600安全接入网关系统除了支持AES、3DES、RSA等多种国际主流的商用加密算法之外，还完整支持国密办加密算法（SM1、SM2、SM3、SM4），保障数据传输安全。4.4.3.3.1.2 多样化的认证接入网神SecSSL 3600安全接入网关系统结合了IPSec和SSL 两套主流的VPN技术，实现了在一台安全网关设备上稳定高效运行两套VPN系统。对于地方分中心，可以使用IPSec VPN实现安全互连，而

29、对于内部员工、移动人员可利用SSL VPN的易用性实现安全接入。最大限度地发挥了SSL / IPSec VPN给政府带来的效益，节约了政府大量的管理成本和投入成本，真正做到一台设备的投资，两种设备的功能 。1）支持多种系统接入网神SecSSL 3600安全接入网关系统支持多种操作系统，如Windows（Windows XP/Win7/Win8/Win10）、Linux、MAC；以及IOS、Android智能终端系统。并且支持IE6/7/8/9/10/11、360浏览器等浏览器，用户可以通过客户端、WEB页面方式登录SSL VPN，满足不同用户访问需求。2）支持多ISP接入为了解决网络出口有多个

30、运营商线路时，网神SecSSL 3600安全接入网关系统支持多ISP接入功能。系统的每一个接口，可以标注为Internal接口或者External接口。如果为External接口，那么就可以为该接口指定默认网关。如果有多个External接口有默认网关，那么就可以实现连接多个ISP。同时，网神SecSSL 3600安全接入网关系统的客户端组件，能够从系统获取连通状态较好的IP线路，从而保证远程用户能够得到很好的使用体验。3）多种业务访问政府的远程接入解决方案面对的是不同需求的客户，例如：需要给自己内部的员工提供对一些关键应用的访问服务，需要让IT人员能够通过其进行网络管理，需要为合作伙伴开放某

31、一个专门的受SSL保护的Web服务等。因此，为了满足不同的远程访问要求，网神SecSSL 3600安全接入网关为远程用户提供六种接入模式：代理服务（Proxy）、网络连接（Network Connection）、安全桌面（VSD）、远程业务发布（WSDP）、目的地址映射（DNAT）、虚拟服务（Virtual Service）。4.4.3.4 身份识别与安全接入天鉴ID移动智能身份平台（下文简称天鉴ID）通过安全的设备指纹、生物识别、终端安全、身份认证机制、数据分析等技术手段将普通智能手机转化为一个安全的身份凭证，实现人-设备-身份多维信息的安全绑定，为第三方应用提供先进的多因子认证解决方案，有

32、效解决身份认证的安全问题。根据不同的应用场景，天鉴ID可以提供动态口令、扫码登录、推送验证、交易验证&授权等身份安全机制。4.4.3.4.1 手机即令牌为了节省客户单独购买硬件令牌、令牌认证服务器的成本，网神独创SecToken技术（软token）。SecToken可适用于Android、iOS系统，通过app安装方式部署在手机、平板等移动设备中。SecToken中动态口令采用“时间+密码”的校验方式，保证动态口令的时效性和准确性，防止数据被窃取、窃听、篡改，保障数据安全。并且SecToken集成了杀毒模块，可对终端环境安全性进行检测，进而对终端安全接入进行授权准入，避免病毒木马以智能终端为跳

33、板，侵入业务系统当中。4.4.3.4.2 终端安全检测网神SecSSL 3600安全接入网关集成移动终端杀毒引擎，保障移动终端免受病毒木马侵扰，避免移动终端被攻击者利用成为渗透政府内网的跳板。拥有完善的病毒防护体系，不但查杀能力出色，对于新生病毒和恶意软件也能够第一时间进行防御，为用户的移动设备提供严密保护。并可以根据终端杀毒扫描结果、终端是否root/越狱结果来匹配授权策略。4.4.3.4.3 用户与设备绑定天鉴ID智能身份平台通过设备指纹采集与绑定来确保天鉴ID智能手机令牌与使用人的”合法关系”。防止非法用户盗用天鉴ID智能手机令牌账号后，从其他终端获取动态口令。管理员可以设置允许一个用户

34、只绑定1个移动终端，当用户更换移动终端时必须解除原有终端绑定。用户在绑定终端时可以要求进行短信、邮件、或者组合的方式进行确认，从而满足了企业不同安全级别的需求。4.4.3.4.4 生物识别技术天鉴ID智能手机令牌承载了应用系统的账号信任机制，其自身安全自然是应用系统身份安全的第一道关卡。为了保障天鉴ID智能手机令牌操作者身份的唯一性，在登录APP软件时需要通过指纹或人脸等生物识别确认，通过确认后才可使用APP软件，并获得相应的操作权限。4.4.3.5 业务系统单点登录在政府移动办公系统逐渐增多、各个系统间用户名/密码不同的情况下,为用户提供政府应用一键单点登录的功能，免除用户反复多次输入繁琐的

35、用户名密码的麻烦，极大的改善了用户体验。同时，降低了因用户重复使用用户名密码导致的帐号泄露概率。1）用户安装注册Trustconnect客户端，基于多维信息生成的设备指纹和终端安全评估结果，绑定用户和终端关系。2）应用系统通过天鉴ID智能身份平台提供的接口发起多因子认证请求：扫码认证、推送验证或输入天鉴ID显示的动态口令实现登录。3）根据用户的权限不同进行不同的身份授权，用户点击系统应用进行业务访问。4）应用服务器到ITS进行身份验证后，完成应用登录。4.4.3.5.1 运维应用单点登录政府拥有众多的IT资产需要运维管理，而且IT资产的供应商又不是同一厂家，分别使用不同的管理工具进行管理，常见

36、的SSH、Tenet等。IT管理员需要安装多个管理工具，每次运维都需要找到不同管理工具、记住不同系统的地址，非常繁琐而且低效。针对于这种情况，天鉴ID应用访问网关提供运维应用的单点登录功能，IT管理员只需要登录门户，通过H5直接对应用系统进行操作，无需在下载各种运维工具客户端（支持的协议包括：SSH/RDP/VPN/Telnet），所有的协议转换都由天鉴ID应用访问网关完成。4.4.3.5.2 多维度的授权机制天鉴ID智能身份平台统授权机制以多个安全策略纬度为中心。用户登录时，会根据用户的属性查询用户的相关安全策略的分配情况，以决定授予用户哪些服务资源，对用户的哪些服务访问采取单点登录策略，对

37、用户的主机绑定策略，以及对用户执行哪些安全策略检查。多纬度的授权机制保证了各个安全策略能够独立制定，并分别应用在不同用户身上。5 其他优势功能5.1 安全办公套件客户端内置了政府办公的基础套件，提高员工办公效率，同时保证数据安全性。办公套件包括安全浏览器、安全邮件、安全私有应用市场、日历等。天机工作区 安全浏览器：下载文件安全扫描、恶意网址拦截提醒、上网环境监测。 安全邮件：批量配置公司邮件。 文件管理器：可将工作区中的文件进行统一管理和存储。 日历：政府日历和公司邮件日历同步。设定时间内将收到日历提醒。 应用市场：统一下载和更新政府应用。 联系人：独立的联系人存储（Android4.4以下版

38、本） 天机杀毒：员工可自行进行杀毒操作，随时查杀手机病毒，政府管理员也可以通过后台对员工设备进行集中杀毒策略，保证政府数据的安全性。 模块自定义选择：以上功能均可通过管理中心自定义开启或关闭。5.2 安全浏览器安全浏览器集成360安全浏览器内核，满足安全快捷的上网办公需求支持下载文件安全扫描、恶意网址拦截提醒、上网环境监测，下载文件断点续传支持网址黑白名单，过滤恶意网址，规范上网行为。5.3 蓝信具有即时沟通功能：垂直沟通更快捷，横向沟通更流畅；政府内部信息实时推送，任意时间、任意地点、安全可靠随时办公（发起电话 会议、视频会议、访问OA系统等）。5.4 安全邮件安全邮件系统解决了用户大量敏感

39、邮件内容明文传输的问题， 从客户端，邮件内容，邮件传输再到服务器防御提供一整套的安全邮件解决方案。让用户可以高效、快速、安全地发送、阅读加密电子邮件。5.5 安全通话安全通话为具有一定规模的用户搭建一个与外界通信环境完全隔离的受保护的通信平台，采用国密算法，硬件TF卡生成和存储密码，通话一次一密， 强大的身份认证系统和语音加密传输，保障语音数据的传输安全，防止重要的政府机密被监听和泄露。5.6 安全短信针对传统短信易明文传输易被劫持的特点， 为客户提供基于国密SM2算法的安全短信，硬件TF卡生成和存储密钥，一次一密，透明加解密。形成与外界通信环境隔绝的短信收发平带，强大的身份认证系统和短信内容

40、加密传输，保障政府敏感数据不被劫持和泄露。5.7 消息提醒管理员可通过综合管理平台推送信息到各个终端，可选择简单推送或者强制推送，强制推送的消息将直接弹出信息在移动终端桌面上显示。并可设置消息为阅后即焚状态，保证政府信息不会泄漏。5.8 日志审计为了审计管理员以及政府员工所进行的操作，天机提供了日志报表功能，控制端可以记录并展示管理员的操作、时间和结果，设备的违规事件，执行策略、拦截事件和日常事件等。可设置应用黑白名单、网址URL黑白名单、Wifi黑白名单对短信、微信等应用敏感词监测审计，输出详细日志。细粒度的日志报表5.9 丰富的SDK接口将天机各个模块功能拆成多个SDK接口，以方便第三方应

41、用快速对接和调用。6 方案优势天机移动终端安全管理系统是基于公司多年的安全积累基础之上，采用国内领先的公私隔离与安全技术以及国际领先的应用集成等技术，为用户提供设备安全、应用安全，数据安全等专业的移动设备安全管理系统，下面就对本系统的产品特色进行详细介绍。6.1 国际领先的公私隔离技术公司在核心安全技术上已经有了多年的积累。在多年的安全技术积累基础之上， 针对天机还自主研发了国内领先的公私隔离与安全技术，在移动终端上建立独立工作区，将工作数据与个人数据完全隔离，禁止任何个人应用读取、访问工作区。6.2 创新的沙箱技术 通过白盒加密算法，将需要保护的密钥隐藏至白盒算法库中，使攻击者在一定代价内无

42、法对终端密钥无法实现破解。 通过代码混淆，PTRACE防护，文件加密等方式实现对软件SE整体方案的安全加固。6.3 专有移动电子政务办公套件针对移动电子政务发展中移动办公的特殊需求，提供专有办公套件：安全邮件，安全IM，安全通话，安全短信，安全浏览器等满足不同频次移动办公需求，解决使用个人应用办公时候敏感数据被恶意窃取的问题。6.4 固若金汤的数据防泄漏技术天机采用了数据加密技术，对存储和运行于客户端的数据采用高强度AES256算法和SM系列国密算法处理。同时，管理中心提供远程擦除工作数据的功能，针对强管控适配设备还可以禁止内部员工在指定时间、指定地点范围使用摄像头、截屏、USB等功能，严防数

43、据泄漏事故发生。6.5 独有的企业应用加固、集成技术天机采用应用检测以及加固技术，对管理员上传到政府应用市场中的应用进行加固和封装保护，有效预防政府应用遭受病毒侵扰，预防政府应用遭受逆向威胁。同时，应用封装服务可为政府应用提供多种隔离沙箱特性，确保政府数据安全可控。天机提供安全的政府应用市场，上传、下发、升级、编辑政府应用流畅灵活，同时提供应用安装统计、应用黑白名单、静默安装卸载等功能，满足政府不同维度的需求。6.6 专业的防病毒引擎天机防病毒采用世界范围内首个成功应用的第三代QVM杀毒引擎。QVM杀毒引擎具备超强“自学习，自进化”能力，无需频繁升级特征库就能免疫96%以上的加壳和变种病毒，保

44、护全球9亿用户和25万家企业移动设备安全。保障设备免受病毒侵扰，避免移动终端被攻击者利用成为渗透政府内网的跳板。l 最新病毒反应速度快充分利用全球海量用户资源，第一时间获得病毒应用，并使全球手机设备具备相应检测能力。l 病毒查杀流量消耗小移动智能设备端只需提取及其少量应用软件特征字符（4字节数据）置于云端检测，100款APP应用只需15KB左右流量消耗。l 未知病毒主动防御强第三代QVM“自学习，自进化”，通过对海量应用软件大数据（20亿）进行切片建立检测模型检测未知病毒，达到远超同行的病毒检出率（96%）。l 移动终端资源消耗低云安全中心病毒检测服务器全球部署超8000台，病毒检测资源消耗转

45、移到云端，有效降低针对用户终端设备的资源消耗。6.7 统一管理平台无论是Android，还是iOS；无论是三星、小米、中兴、华为，还是OPPO、SONY、夏新，天机都提供统一的管理平台，供政府的管理员灵活地管理移动设备。保证管理高效、灵活可控。6.8 流程优秀的用户体验 对终端用户而言，天机工作区界面与系统原生界面相似，用户只需要安装一个应用，即可使用其主要的办公功能，包括邮件、日历、联系人、浏览器等；而且，工作区界面和个人区界面可以一键平滑切换，便于用户理解和使用。相比于将多个功能拆分为几个独立app的方式，天机的展现方式有着非常好的用户体验。同时，管理中心的数据可视，移动设备可控。操作性强

46、，审计数据全面，相比传统的企业产品，用户体验要更加流畅、优秀。6.9 平台的应用天机管理中心部署在政府内网服务器中，是基于web 的管理系统，可通过浏览器直接访问。天机移动终端可根据控制中心下发的安全策略，进行相应的锁屏、锁定工作区等操作，并可从控制中心服务器下载政府私有应用市场中的应用。部署结构如下图所示：部署结构图6.10 提升政府办公效率天鉴ID通过便捷的生物识别手段进行多因子认证，通过单点登录减少办公人员记录密码和输入密码的烦恼，通过统一的应用门户消除办公人员记录各业务入口的繁琐，极大的提高员工工作效率。7 政府价值体现u 通过云管端的三位一体防护，保护政府核心数据安全。u 天机管理平台实现移动终端集中管理，减少管理的维护工作。u 专业的移动办公软件，推进政府办公移动化，提高沟通协作效率。u 提高移动办公VPN安全接入，办公数据安全传输，提高办公效率。u 移动办公设备公私数据隔离，防止数据泄密。u 移动办公设备病毒查杀，增强安全防护。u 提供办公应用统一分发、应用封装管理。u 数据清除：违规自动清除、远程清除u 数据加密：沙箱数据加密存储u 数据隔离：隔离个人应用和政府应用