移动互联网应用商店安全防护系列解读

移动互联网应用商店安全防护要求及检测要求内容讲解工业和信息化部电信研究院信息通信安全研究所2013年06月通信 标准 excel标准偏差excel标准偏差函数exl标准差函数国标检验抽样标准表免费下载红头文件格式标准下载 研究所《应用商店安全防护》标准主要内容《应用商店安全防护》标准编写背景主要内容应用商店安全防护案例分析通信标准研究所3为保证电信网络安全防护工作整体、 规范 编程规范下载gsp规范下载钢格栅规范下载警徽规范下载建设厅规范下载 、科学、有序地开展，工业和信息化部组织制定了“电信网和互联网安全防护体系”系列标准，以加快推进电信网络的等级保护、风险评估、灾难备份等安全防护工作。该系列标准将随着网络和业务的发展不断地扩充和完善。《移动互联网应用商店安全防护要求及检测要求》编写背景通信标准研究所《电信网和互联网安全等级保护实施指南》，内容包括安全等级保护的概念、对象、目标、原则，安全等级划分和定级方法，等级保护基本过程等23《电信网和互联网安全风险评估实施指南》，内容包括风险评估的要素及要素之间的关系、实施流程、工作形式、遵循的原则，在生命周期不同阶段的不同要求和实施要点等4《电信网和互联网灾难备份及恢复实施指南》，内容包括灾难备份及恢复的目标、原则、工作实施方法等1《电信网和互联网安全防护管理指南》，内容包括定义、目标、原则、安全防护体系、安全防护体系三部分工作及其关系等4总体指导性标准通信标准研究所18套专业网络安全标准，2套公共标准1固定通信网：《固定通信网安全防护要求》《固定通信网安全防护检测要求》2移动通信网3互联网4非核心生产单元5消息网6智能网9接入网10传送网11IP承载网12信令网13同步网14支撑网7网上营业厅8域名系统15WAP网关系统16信息服务业务系统17即时消息业务系统18域名注册系统5▲2010年新增标准★2009年修订或新增标准▲▲▲▲▲★★★★1、物理环境安全2、管理安全通信标准研究所62012年制订/修订的安全防护标准1.《移动互联网应用商店安全防护要求》2.《移动互联网应用商店安全防护检测要求》3.《互联网内容分发网络安全防护要求》4.《互联网内容分发网络安全防护检测要求》5.《互联网数据中心安全防护要求》6.《互联网数据中心安全防护检测要求》新制订标准6个：向增值电信业务扩展1.《IP承载网安全防护要求》2.《IP承载网安全防护检测要求》修订标准2个：优化已有标准构架和内容通信标准研究所72012年发布的与增值相关的安全防护标准（中国通信标准化协会标准）1.《域名服务系统安全防护定级和评测实施规范》2.《增值电信业务系统安全防护定级和评测实施规范-门户综合网站系统》3.《增值电信业务系统安全防护定级和评测实施规范-即时通信系统》4.《增值电信业务系统安全防护定级和评测实施规范-网络交易系统》5.《增值电信业务系统安全防护定级和评测实施规范-信息社区服务系统》6.《增值电信业务系统安全防护定级和评测实施规范-邮件系统》7.《增值电信业务系统安全防护定级和评测实施规范-搜索系统》8.《增值电信业务系统安全防护定级和评测实施规范-互联网接入服务系统》9.《互联网内容分发网络安全防护要求》10.《互联网内容分发网络安全防护检测要求》11.《互联网数据中心安全防护要求》12.《互联网数据中心安全防护检测要求》通信标准研究所1移动互联网联网应用安全防护要求2移动互联网联网应用安全防护检测要求3公众WLAN网络安全防护要求4公众WLAN网络安全防护检测要求5电信网和互联网安全防护基线配置要求数据库6电信网和互联网安全防护基线配置要求操作系统7电信网和互联网安全防护基线配置要求网络设备8电信网和互联网安全防护基线配置要求安全设备9电信网和互联网安全防护基线配置要求中间件10电信网和互联网安全防护基线配置要求web应用系统11IP承载网安全防护要求12IP承载网安全防护检测要求2013年新增通信网络安全防护标准（已立项）通信标准研究所9《移动互联网应用商店安全防护要求及检测要求》标准“范围”的内容本标准所指的业务开发平台主要指基础电信运营企业的移动业务开发平台，例如中国移动的移动商城和中国电信的天翼工厂等。该平台提供手机游戏、手机软件、手机桌面等各类应用的开放平台。本标准将规定业务开发平台定级对象划分原则，安全等级确定方法，提出安全保护等级要求，并对业务开发平台的安全威胁、脆弱性以及关联关系进行分析，以指导开展风险评估工作。通信标准研究所《应用商店安全防护》标准主要内容《应用商店安全防护》标准编写背景主要内容应用商店安全防护案例分析通信标准研究所11《移动互联网应用商店安全防护要求及检测要求》内容框架第一部分，范围：说明本标准的适用范围；第二部分，规范引用文件：说明本标准编写参考的主要标准、规章、 制度 关于办公室下班关闭电源制度矿山事故隐患举报和奖励制度制度下载人事管理制度doc盘点制度下载 ；第三部分，术语、定义和缩略语：说明本标准内容涉及的标准术、定义和缩略语的具体含义及解释说明；第四部分，概述：说明本标准所涉及的业务系统安全防护范围、安全风险分析和安全防护内容；《安全防护要求》及《检测要求》内容章节相互对应，主要包含完整的定级、安全防护要求和检测指南三个部分。移动互联网应用商店安全防护要求通信标准研究所12《移动互联网应用商店安全防护要求及检测要求》内容框架第五部分，定级对象和安全等级确定：说明本标准如何进行安全等级划分、定级方法和安全等级的计算方法；第六部分，安全防护要求：分级别说明该业务系统需要满足的安全防护要求；《安全防护要求》及《检测要求》内容章节相互对应，主要包含完整的定级、安全防护要求和检测指南三个部分。移动互联网应用商店安全防护要求通信标准研究所13《移动互联网应用商店安全防护要求及检测要求》内容框架第一部分，范围：说明本标准的适用范围；第二部分，规范引用文件：说明本标准编写参考的主要标准、规章、制度；第三部分，术语、定义和缩略语：说明本标准内容涉及的标准术、定义和缩略语的具体含义及解释说明；第四部分，概述：说明本标准所涉及的业务系统安全防护范围、安全风险分析和安全防护内容；第五部分，检测要求：对应安全防护要求，分级别说明该业务系统需要满足的安全要求如何进行检测。《安全防护要求》及《检测要求》内容章节相互对应，主要包含完整的定级、安全防护要求和检测指南三个部分。移动互联网应用商店安全防护检测要求通信标准研究所14移动互联网应用商店---定义移动互联网应用商店（简称“应用商店”）是指通过互联网、移动互联网等公众通信网络直接向终端用户提供移动智能终端应用软件的信息和数据检索、应用软件发布、下载等服务的业务系统。其安全架构如下：通信标准研究所15移动互联网应用商店---安全风险分析应用商店的主要功能是向移动互联网用户提供移动智能终端应用软件，因此一方面应用商店作为互联网业务系统在业务、网络、主机、物理环境、管理等层面均面临安全威胁；另外一方面，应用商店提供的应用软件也可能面临一定的安全威胁。　　应用商店面临的安全威胁主要有如下几方面：通信标准研究所16移动互联网应用商店---安全风险分析应用软件（即应用商店中提供或出售的软件商品）安全威胁：　应用软件中如存在并传播非法信息，将会给社会安全带来安全隐患；应用软件如存在恶意行为，如恶意吸费、窃取用户隐私等，将会对用户利益造成严重威胁。业务应用安全威胁：业务应用系统中如存在逻辑、代码缺陷，则有可能被攻击者利用，进而入侵业务系统，对用户、运营者利益造成严重威胁。通信标准研究所17移动互联网应用商店---安全风险分析网络层安全威胁：　网络结构及配置存在缺陷，则有可能被恶意攻击者利用，进而对整个应用商店系统的网络进行控制，甚至可造成网络系统瘫痪，对用户、运营者利益带来严重威胁。主机层安全威胁：　主机系统如存在配置缺陷、系统漏洞等，则有可能被恶意攻击者利用，进而对服务器进行控制，对主机资源进行恶意下载、篡改等，对用户、运营者利益带来严重威胁。通信标准研究所18移动互联网应用商店---安全风险分析物理环境安全威胁：　物理环境存在安全隐患，将对应用商店运营造成严重安全威胁。管理安全威胁：　应用软件、开发者、第三方合作机构的安全管理存在缺陷，将会给用户、开发者、运营者以及商店运营带来安全威胁。通信标准研究所19　针对以上安全威胁，应用商店的安全包括应用软件安全、业务应用安全、网络层安全、主机层安全、物理环境安全以及管理安全。应用软件安全是指应用商店中出售的软件商品的安全，主要包括软件行为安全。应用系统安全是指应用商店业务应用系统在身份鉴别、访问控制、安全审计、资源控制、信息保护方面的安全。网络层安全是指网络拓扑结构安全及网络设备在身份鉴别、访问控制、安全审计、入侵防范、软件容错、恶意代码防范、网络及安全设备防护方面的安全。移动互联网应用商店---安全防护内容通信标准研究所20　针对以上安全威胁，应用商店的安全包括应用软件安全、业务应用安全、网络层安全、主机层安全、物理环境安全以及管理安全。主机层安全是指主机、服务器操作系统在身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制方面的安全。物理层安全是指应用商店物理环境方面的安全。管理安全是指应用商店系统运营中安全管理方面的安全。移动互联网应用商店---安全防护内容通信标准研究所21社会影响力I规模和服务范围R建议赋值2R2R31234建议赋值R1（月均）R4（月均）R5R1:访问用户独立IP数、R2:注册用户数、R3:上线应用数、R4:应用下载量、R5:签约开发者数移动互联网应用商店---定级方法<200万200万-1000万1000万-5000万>5000万<50005000-2万2万-10万>10万<50万50万-500万500万-3000万>3000万<50万50万-200万200万-1000万>1000万不作要求不作要求1万-5万>5万通信标准研究所22服务的重要性V移动互联网应用商店---定级方法建议赋值：移动互联网终端操作系统厂商自营的应用商店所提供服务的重要性赋值为4；移动运营商的应用商店所提供服务重要性赋值为3；其他的应用商店所提供服务的重要性赋值为2。通信标准研究所23　　在完成定级对象的社会影响力I、规模和服务范围R、所提供服务重要性V三个定级要素的赋值后，需采用以下公式来计算定级对象的安全等级值：k=Round1{Log2{[α×2I+β×2R+γ×2V]}}　　其中，k代表安全等级值，I代表社会影响力赋值、R代表规模和服务范围赋值、V代表所提供服务的重要性赋值，Round1{}表示四舍五入处理，保留1位小数，Log2[]表示取以2为底的对数，α、β、γ分别表示定级对象的社会影响力、规模和服务范围、所提供服务的重要性赋值所占的权重，α≥0，β≥0，γ≥0，且α+β+γ=1。建议权重值α、β、γ分别为：0.4、0.4、0.2，或者1/3、1/3、1/3，各应用商店运营企业也可根据本企业实际情况调节α、β、γ三个权重值。移动互联网应用商店---定级方法通信标准研究所24计算所得定级对象的安全等级值与安全等级的映射关系如表：安全等级值k安全等级1≤k<1.5第1级1.5≤k<2.5第2级2.5≤k<3.3第3.1级3.3≤k≤4第3.2级4<k<4.5第4级4.5≤k≤5第5级移动互联网应用商店---定级方法通信标准研究所25应用系统安全向用户提供的相关业务及应用在实现技术、逻辑、管理和控制等方面的安全要求，主要包括业务逻辑安全、web安全、对外能力开放接口安全、用户信息安全防护等。网络层安全网络拓扑结构安全及网络设备在身份鉴别、访问控制、安全审计、入侵防范、软件容错、恶意代码防范、网络及安全设备防护方面的安全。主机层安全移动互联网应用商店系统的主机、服务器操作系统在身份鉴别、访问控制、安全审计、入侵防范、恶意代码防范、资源控制方面的安全。物理环境安全移动互联网应用商店系统所处的物理环境在机房位置、电力供应、防火、防水、防静电、温湿度控制等方面的安全要求。管理安全 管理制度 档案管理制度下载食品安全管理制度下载三类维修管理制度下载财务管理制度免费下载安全设施管理制度下载 、人员和技术支持能力、运行维护管理能力、灾难恢复预案等方面的安全要求。具体安全防护要求及检测要求请参见《移动互联网应用商店安全防护要求》及《移动互联网应用商店安全防护检测要求》移动互联网应用商店---安全防护及检测应用软件安全移动互联网应用商店系统中出售的软件商品的安全，主要包括软件行为安全。通信标准研究所移动互联网应用商店---安全等级保护要求　　针对安全等级保护的不同方面，以第2级、第3.1级为例进行说明应用软件安全软件行为安全第2级要求：应用商店应在应用软件上线前对其进行安全审核，以确保其不包含恶意代码、恶意行为等，经过安全审核后才能进行上线处理、正式发布。第3.1级要求：应用软件在上线前或升级后应进行代码审计，形成 报告 软件系统测试报告下载sgs报告如何下载关于路面塌陷情况报告535n,sgs报告怎么下载竣工报告下载 ，并对审计出的问题进行代码升级完善。通信标准研究所移动互联网应用商店---安全等级保护要求2.业务系统安全身份鉴别第2级要求：对保留用户个人信息或用户服务信息的业务，应对登录用户进行身份标识和鉴别。第3.1级要求：需要登录访问的业务平台（或模块），应对业务用户访问和操作的有关环节（如，注册、登录、操作、管理、浏览等）提供有效的保护措施（如，用户注册口令进行强度检查、用户ID检测和帐号保护、以图形验证码保护各类提交信息、对用户重要操作进行确认和验证、授权访问页面使用安全连接等）。通信标准研究所移动互联网应用商店---安全等级保护要求3.网络层安全结构安全第2级要求：应保证应用商店关键网络设备、重要链路的业务处理能力具备冗余空间，满足业务高峰期需求。第3.1级要求：应避免将重要设备部署在网络边界处且直接连接外部网络/系统，重要网段与其他网段之间采取可靠的技术隔离手段。通信标准研究所移动互联网应用商店---安全等级保护要求4.主机安全访问控制第2级要求：应启用访问控制功能，依据安全策略控制用户对资源的访问。第3.1级要求：应根据最小权限分配原则，按设备相关各类管理、维护帐号的角色分配权限，实现管理帐号与操作、维护帐号的权限分离。通信标准研究所移动互联网应用商店---安全等级保护要求5.物理环境安全第2级要求：应满足YD/T1754-2008《电信网和互联网物理环境安全等级保护要求》中的第2级要求。第3.1级要求：应满足YD/T1754-2008《电信网和互联网物理环境安全等级保护要求》中的第3.1级要求。通信标准研究所移动互联网应用商店---安全等级保护要求6.管理安全第2级要求：应满足YD/T1756-2008《电信网和互联网管理安全等级保护要求》中的第2级要求。第3.1级要求：应满足YD/T1756-2008《电信网和互联网管理安全等级保护要求》中的第3.1级要求及本标准中的第2级要求。通信标准研究所《应用商店安全防护》标准主要内容《应用商店安全防护》标准编写背景主要内容应用商店安全防护案例分析通信标准研究所33应用软件安全审核不严格：上传具有恶意代码的应用程序并通过审核上架发布。移动互联网应用商店---安全防护案例通信标准研究所移动互联网应用商店---安全防护案例应用系统存在安全漏洞：应用商店系统存在安全漏洞，可非法获取管理员及用户隐私信息。通信标准研究所移动互联网应用商店---安全防护案例应用系统存在安全漏洞：应用商店系统存在安全漏洞，可入侵业务服务器远程控制系统。通信标准研究所36移动互联网应用商店---安全防护案例应用系统存在安全漏洞：应用商店系统存在安全漏洞，可绕过鉴权直接下载、修改收费应用。通信标准研究所37欢迎交流谢谢！通信标准研究所