基于安全域的安全防护在电网企业移动终端的应用

基于安全域的安全防护在电网企业移动终端的应用

刘陆洋 陈晓鹏 郜亚轩 张萍 节玉荷

国网乌鲁木齐供电公司

摘要：随着移动通信技术的发展以及电网业务的自身需求，使用无线网络的业务越来越多。虽然移动无线终端的应用提升了电力企业的管理效率和工作效率，但是由于移动终端及网络的特性使得终端设备和数据安全面临着严峻的安全风险，其中移动终端的安全尤为重要。本文分析了移动终端面对的安全状况，提出了一种在移动终端上使用安全域的方法增强移动终端的安全性。

关键词：移动终端；安全域；电网

1. 引言

电力企业的安全稳定对于国家能源安全和社会经济稳定安全运行有着至关重要的作用。随着信息通讯技术和电力业务的快速发展，对电网企业的服务内容及工作效率有了新标准。无线通信技术靠其移动性强，接入方便等特点，在电力企业应用十分广泛。电力营销“互联网+”正在稳步推进，其中营销系统信息采集、远程费控等基于移动4G/5G网络终端的业务增加迅速^[1]。

移动作业终端作为一种接入内部网络的无线接入设备是营销无线办公必不可少的环节。虽然移动无线终端的应用提升了电力企业的管理效率和工作效率，但是由于移动接入的特性使得移动终端接入和数据安全面临着严峻的风险。本文探讨了移动作业终端的数据安全性和终端系统安全性。

2. 移动终端目前使用现状

2.1 当前移动终端使用现状及风险点分析

随着电网企业信息化和自动化程度的提高，重要数据和敏感信息也成为威胁电网稳定运行的因素。现在移动终端以及移动业务应用越来越来多，对于移动端的安全性提出了进一步的要求。相比与传统接入方式，移动接入面临的风险更大。接入时采用以移动运营商为主的4G、5G网络，或者是WIFI、WAPI等无线接入技术^[2]。无论是哪种类型的移动终端其系统普遍采用谷歌公司开发的Android系统。在当前的主流移动操作系统中，与APPLE公司的IOS系统不同，Android系统是一个相对开放的操作系统，对系统进行ROOT操作、安装未经验证的软件、利用系统漏洞进行攻击要容易的多^[3]。

电网移动业务面临的主要风险节点有三个部分：终端、网络传输层、应用层^[2]。终端层是整个环节最重要也是风险性最大的环节。终端层如果出现安全问题，意味着所连接的网络都处于危险之中。移动终端存在被偷盗、遗失的风险，由于其系统特性极易造成数据丢失的风险。同时也面临着系统漏洞、病毒攻击的风险。传输层面临非法接入及数据在传输过程中遭受拦截和篡改数据。应用层存在使用非法账户登录、使用未授权的软件进行登录等风险。

2.2 当前安全措施分析

随着移动业务使用量的增多，同样对移动终端有了进一步的要求^[4]。当前，移动业务软件及其移动终端系统在各单位使用越来越频繁，在使用过程中，移动终端的软、硬件的安全性成为目前终端使用需要关注的问题。在接入和数据传输方面，采用电力无线虚拟专网、绑定SIM卡、加装安全加密芯片、安全接入平台、安全证书等方法保障移动作业端的安全。

但是对移动作业终端设备和移动操作系统的安全防护没有专门的规定和要求^[5]。目前，移动作业终端基本使用两种方式为移动终端提供安全防护^[6]：一是完全定制的终端进行工作，这类终端拓展性差，只能使用前期规定的工作软件，后期增加软件其他工作软件难度较高，体验十分不好；另一类终端是“半定制的”终端，有一定拓展性，可以通过指定应用或者网站下载或升级软件，但是由于提供了一定的可拓展性，不能保证误装其它软件。综上所述，对于移动终端，在增加拓展性的同时，十分有必要在增强终端安全防护能力。对此本文分析并应用了一种移动终端安全技术，有效的提高了安全终端的防护水平，拓宽了移动业务的安全的瓶颈。

3. 移动终端的安全域

3.1 终端安全域技术

安全域是在同一逻辑区域内，安全保护需求和防护策略一致或类似集合，区域内彼此信任，对于同样的安全域有同样的安全策略。安全域的目标是实现不同对系统和业务的全方位保护，对于实际的安全需求做出一定的保证^[7]。Android 终端使用者主要为终端用户，为了实现在终端上进一步的安全防护，我们为用户的 Android 终端统一划分一个专门的工作区域，称为安全域，在该安全区域内，所有的应用都应该是经过授权使用的工作应用。

采用虚拟化技术和安全沙箱技术实现安全域的隔离。利用软件虚拟化技术在Linux内核到Android的运行环节实现全面隔离，实现工作系统的独立运行。安全沙箱作为一个独立的逻辑存储空间，将设备上安全域单独划分开，限制与安全域以外区域互相通信，从而加固了应用的数据的安全性。安全沙箱可以提供多一层的密码保护和数据加密。除了设备原本存在的息屏验证方式，还单独设置了一个沙箱验证，当需要进入安全沙箱使用其内部软件时，需要进行第二层的安全密码验证。在安全沙箱内部的数据都是以加密的方式保存，避免设备丢失时，设备遭强行破解时，无法读取沙箱内部保密数据，为设备安全提供了多一层保护。

3.2 安全域在营销业务上的应用

使用装有安全域的移动作业终端，此终端通过公安部测试并符合GB/T 25070-2019 《信息安全技术等级保护安全设计技术要求》。在装设带有安全域的应用系统上安装营销工作软件，此系统采用安全沙箱和虚拟化技术在终端上创建一个独立安全工作区域，实现终端运行环境的安全隔离与终端应用防护，加固了移动作业终端自身的安全性。接入内部网络的方式通过运营商提供的4G/5G专网网络完成数据交互，接入时采用安全证书，贴膜加密SIM卡，安全接入软件的方式提高安全接入能力，保证终端在接入时满足安全性的要求。

在使用工作软件前，需要通过身份份验证进入安全域，身份验证可以通过指纹、手势、密码等方式进行验证。进入安全域后，其数据单独隔离，提高数据的安全性，在完成工作推出安全域后，程序缓存自动清除。在安全域中可以指定相关传输端口开启或者禁止相应传输端口开启，且能够自动强制关闭非系统进程，防止木马病毒渗透，为安全域的安全稳定提供运行环境。在安装或升级应用时下发白名单策略，不在白名单里的应用程序将无法安装。可以自主实现软件安装升级等操作。使用安全域具有双重隔离效果可以有效的让病毒、未经授权的第三方软件等影响安全因素无法进入安全域。通过安全域的引入，增加了移动作业终端在使用过程中的安全性。

4. 结语

随着移动通信技术的不断深入应用，在提高工作效率的同时也带来了一系列的安全问题，终端安全对于整个工作网络安全有着十分重要的作用，本文通过在终端用户系统上使用安全域的方式使终端系统具有一定拓展性的同时提高了终端的安全性。

参考文献

[1]张艳丽, 王玉君, 石磊,等. 电力营销服务移动作业终端融合的研究与探讨[J]. 电力需求侧管理, 2019, 21(01):76-78+86.

[2]颜佳, 李春, 许劭庆,等. 电网企业移动终端安全接入研究与应用[J]. 吉林电力, 2014, 42(006):17-19.

[3]寇晓晖. Android平台移动安全接入系统[D]. 华中科技大学.

[4]崔玉, 吴奕, 张志,等. 基于电力无线虚拟专网的继电保护智能移动运维系统设计及实现[J]. 电力系统保护与控制, 2018, 46(23):181-187.

[5]王佳新, 胡博. 电力企业移动作业应用及终端安全防护研究[J]. 电子元器件与信息技术, 2019, 003(012):108-110.

[6]王文, 张彩友, 王志强. 一种基于Android系统的安全域可信应用方法[J]. 电子设计工程, 2018, 26(18):30-33.

[7]宋莉莉, 王光华, 郭雪清. 医院网络信息安全防护体系及其应用研究[J]. 中国数字医学, 2013(01):59-63.