[0001] 本发明公开一种移动网络管理方法，特别是一种移动应用安全管理方法。

[0002] 随着移动互联网时代的发展以及智能终端的普及化，加上WIFI的覆盖范围，国内电信运营商3G网络的建设在近年来得到不断发展和提升，为移动应用发展打下了良好的技术基础，移动应用成为了移动互联网的主流。

[0003] 经过“十二五”信息化建设，公司一体化企业管理系统试点建设工作陆续完成，随着各项业务管理不断深入，基建部、物资部、设备部等业务部门对系统应用范围也提出了新的要求，特别是增加信息系统对基建、物资、生产的移动作业信息化支持，例如施工现场质量验收与评定、施工现场人员管理、物资品控现场抽检和现场填写物资到货验收单等。

[0004] IT行业内几乎没有任何一个其他主题能够像移动信息化这样快速地演变成一个商业焦点。

[0005] 移动互联网正在改变一切，包括改变人类根本的生存状态。2011年年底，全球有12亿台个人计算机；到2012年年底，全球已经有45亿部智能手机和移动终端，预计到2015年底，全球的移动终端将会达到人均一部，也就是70亿部。马化腾说在传统互联网时代，每个人每天平均花在互联网上的时间是2.8个小时。但是在智能手机时代，也就是移动互联网时代，每个人每天花在智能终端上的时间是16个小时。每天2.8个小时乘以12亿台计算机，与每天16个小时乘以45亿部智能手机，这就是传统互联网和移动互联网的区别。

[0006] 移动信息化浪潮的来临，促使越来越多的企业着手进行企业移动化。根据Gartner对CIO的调查，在2012年，61％的受访者计划在未来三年内提升自身的移动化能力，48％的人相信在他们完成采用新型的移动化解决方案后他们将成为行业的领导者。

[0007] 下属各分子公司为提升移动作业效率、改进工作流程，建设了各自的移动应用系统。随着移动业务的发展，移动应用由各分子公司独立开发与管理、缺少统一移动应用平台支撑的弊端也正在逐渐凸显。由于缺乏统一的移动应用平台，移动应用系统的安全性、完整性、可扩展性难以保证，用户界面体验也存在较大差异。除此之外，尽管各分子公司根据网公司下发的《远程移动安全接入平台技术规范》建立了移动安全接入平台，但由于缺乏统一指导以及建设基础存在较大差异等原因，各单位的移动安全接入平台功能及接口并不统一，难以统筹改造，不能满足公司“6+1”(即营销、OA、人资、财务、资产、综合、企业分析决策)企业信息系统一体化建设思路，未能提供统一的网络安全接入、移动应用及数据的安全保障。

[0027] 本实施例为本发明优选实施方式，其他凡其原理和基本结构与本实施例相同或近似的，均在本发明保护范围之内。

[0028] 本发明主要为一种移动应用安全管理方法，安全管理方法包括终端安全管理、数据安全管理、管道安全管理以及移动应用安全管理，其中，

[0029] 终端安全管理采用基于PKI数字证书技术，保障访问企业应用的设备是经过认证和授权的合法设备，保障访问企业应用的设备是经过认证和授权的合法设备，一方面防止不怀好意者将合法设备上的移动平台客户端拷贝到非授权设备运行，即终端环境防拷贝；另一方面该数字证书同时也是后续环节传输加密、数据存储加密等措施的基础。

[0030] 终端安全管理还包括终端安全保护，当用户的终端设备丢失/失窃时，管理员可以从服务端对终端设备完成远程控制操作，包括：远程强制锁定/解锁移动中间件客户端；远程擦除移动中间件客户端所有用户数据；远程对移动中间件客户端环境进行初重置和检测非法软件、非法网络使用。

[0031] 终端安全管理还包括终端设备访问控制，包括：对终端的功能限制、远程配置和强制管理；禁用的设备功能包括：摄像头、SD卡、蓝牙、WiFi、GPS、USB数据连接以及3G数据连接；远程配置功能包括：WiFi连接、VPN、APN，浏览器URL访问黑名单；强制管理功能包括：强制密码策略(必须满足复杂度、密码历史、有效期要求)、强制存储(设备内存、外置存储卡)加密。

[0032] 数据安全管理包括：本地数据存储安全管理和系统数据库安全管理；

[0033] 本地数据存储安全管理采用本地数据加密二进制存储，以防止被非法读取；不同用户数据隔离存储，以避免设备在多用户间共享时，发生数据泄露；移动中间件对应用代码进行二进制化处理和加密保护，以防不怀好意者从终端中将应用拷贝出来破解或篡改。

[0034] 系统数据库安全管理在应用级控制数据库系统的输入和输出；在系统级控制数据库系统的备份、恢复和加密。

[0035] 数据库是本系统安全的核心部分，采取完善的访问控制措施是保证数据库安全的重要方法。数据库系统的访问控制分别由操作系统、文件系统和应用系统在系统级和应用级实施。在应用级控制数据库系统的输入和输出；在系统级控制数据库系统的备份、恢复和加密，还要维护好数据库系统的数据完整性。

[0036] 采用关系型数据库，数据库系统具有并发操作性能优良、海量存储、具有完善的备份恢复功能；由于牵涉到大量数据的数据表，在程序设计时就考虑建当前、本年、历史三个层次的数据表，这样，可以提高存储安全性和数据操作效率。

[0037] 管道安全管理数据包括：内容完整传输、数据传输异常的处理和数据包安全性的控制；

[0038] (1)数据内容完整传输性。在传输文件时，需要监控文件的是否完整传输过去。只有接收到完整的数据包才能进行数据更新。

[0039] (2)数据传输异常的处理。在进行传输过程中，由于某种原因网络不通，这是系统则自动进行判断，超过一定时间还不通，则将信息告诉系统管理员，将此信息记录在系统日志中。

[0040] (3)数据包安全性的控制。采用数据包加解密的方式进行传输，在移动平台的无线数据传输过程中全程使用SSL加密方法进行加密。本发明既可以选择国际标准的加密算法如：美国和欧洲国际标准AES-128或256位数据加密算法，或者采用国家保密局备案的中国SM4国密标准加密算法，确保高强度保护设备上和无线传输过程中的数据。

[0041] 移动应用安全管理包括：应用权限管理和统一身份控制。

[0042] 应用权限管理实现把信息资源划分成不同级别，并把使用信息资源的用户划分成不同类型，实现不同类型人员对不同级别信息访问的控制策略。具备灵活可扩展的认证接口，支持LDAPNIS、AD、PKI等标准认证技术。采用软件加密和硬件加密相结合、应用数字证书，对用户身份和敏感数据进行加密，确保数据的安全性和隐私性。

[0043] 为方便管理，避免因人员调动引起数据管理上的混乱，本发明采取集中的权限控制，摆脱了以往复杂繁琐的ACL权限分配方式，实现了基于角色的权限管理模型。

[0044] 系统同时提供对在视图的权限控制，不同的角色可以新建视图、修改视图、发布视图、邮送视图。通过这些权限的组合，用户之间可以比较安全地共享视图资源，减少重复工作，提高工作效率。

[0045] 统一身份控制：系统软件中提供系统操作权限管理功能，实现与WindowsAD(活动目录)或LDAP验证进行整合验证，通过帐号和密码来授予合法用户相应的系统操作权限，以保证系统数据不被非法窃取和篡改。

[0046] 用户权限：系统对用户进行分组，按组可灵活设置权限，权限设置到模块级；本发明有严格的用户身份密码判断机制。

[0047] 用户授权：用户只能操作自己录入的数据，但也可以授权给其它用户；本系统可以按岗位划分功能权限。

[0048] 维护角色信息(编码，名称，描述)，本发明中的系统管理员可以对本系统的操作员按照工作角色的不同进行分组，不同的角色分配不同的系统功能菜单的操作权限。实现对用户操作权限的控制。

[0049] 角色是权限的集合，通过对角色的管理，可以更方便、更灵活管理用户的权限。需要的功能有提供方便的角色浏览功能；定义新角色的功能；修改现有角色的功能；删除角色的功能；方便快捷设置角色权限的功能；自动处理角色管理和用户管理相交叉的事务，如删除一个现有的角色后，要从具有该角色的所有用户的角色集中去处该角色。

[0050] 根据企业对登录安全的需求不同，移动中间件支持多级的用户安全登录认证，包括：用户名/密码方式，动态密码方式、U-Key等。

[0051] 同时，根据企业管理需要可以支持用户手机SIM卡、手机号码和用户登录账号的三重绑定。用户是否有资格接入网络，用户设备是否符合进入的安全条件，在接入交换机上予以认证。根据时间、区域、端口、网络协议等，对每个用户制定不同的访问权限。对于不同的用户区分不同的用户权限，只有通过认证的合法用户才能够获取相应的网络访问权限。

[0052] 访问控制防护：对系统用户，仅仅提供用户级的权限管理是远远不够的，系统之间传输的数据和用户的认可情况都需要得到安全的保证。

[0053] 系统的权限管理满足三种主要的功能：

[0054] (1)获取访问项列表：依据预先为用户配置好的权限设置，来获取某用户所能访问的访问项列表。

[0055] (2)访问可访问项：用户通过访问项列表来访问某一可访问项时，权限管理子系统给予权限控制，如：许可、不许可、只读等。

[0056] (3)权限管理：设置用户、用户组与访问项之间的访问关系，也即我们熟悉的权限指派、配置等。同时，在这个设计中，使用“用户组”来归属相同权限属性的“用户”。可见，用户组是一种与权限管理直接相关的对象，所有，用户、用户组关联管理也是权限管理子用例的一个重要组成部分。

[0057] 权限管理子系统包括：

[0058] 自主移动应用商店：目前常见的移动终端类型包括Android、IOS、WP等，如果采用官方的应用商店，存在着技术规范受制于平台厂商，安全性不能保障等问题。但是无论企业是提供企业设备还是让用户使用自己的设备，企业自己内部移动应用商店都会带来相同的价值：有效地、安全地为员工提供移动应用程序，减轻IT将应用程序转移到个人设备和发布每个移动化应用程序到公共应用商店的负担。本发明中采用的移动平台，满足在实施移动信息化中的实际管理和运营需求，通过建立企业内部应用商店，简化企业移动化应用的部署与管理。

[0059] 提供统一的集中可控制台，便于企业管理员完成对访问终端的授权、访问用户按权限的应用发布、企业移动信息化应用的更新升级等操作；同时，提供统一的企业移动信息化服务门户，便于移动信息化应用的发布、统一企业用户使用移动信息化服务的入口。

[0060] 通过构建全局一致的供应链管理模型，提供更加便利的ISV参与企业移动信息化建设的管理模式。

[0061] 专有安全移动引擎：本发明中采用的移动平台通过结合Hybrid APP的各种主流技术体系，形成了具备自主核心技术能力的、跨平台的、安全的Hybrid APP在线引擎，移动中间件提供安全的Hybrid APP引擎的理念是“将复杂留给Hybrid引擎，简单留给App”，具体表现为：

[0062] 提供跨平台的Hybrid APP引擎；提供丰富的安全扩展能力API，包括本地能力和网络能力，并以JS方式开放给应用，支持Sencha Touch/JQuery Mobile等主流UI安全框架；

[0063] 支持业务能力的无缝安全扩展；

[0064] 内置针对无线网络的优化和安全加密保障。

[0065] 本发明根据重要程度制定可靠性级别；对关键业务系统要避免单点故障，在任何时候都需要保证系统的正常使用(网络接入备份、主机系统双机、存储系统镜像等)；做到内部系统和对外服务系统的单一接口连接，对该接口建立良好的安全监控机制；面向用户的安全管理机制：包括基于统一策略的用户身份识别、认证、基于角色的授权、安全活动审计等等。