MAS服务器系统信息安全优化.doc

MAS服务器系统信息安全优化项目摘要：该项目结合2008年315后开展垃圾短信治理以及保障奥运期间信息安全的通知要求，围绕用户帐户安全认证鉴权、集团短信用户行为控制、大批量短信群发的内容审核控制等3个方面在保留原MAS基本功能的基础上建设系统，有效解决了用户帐户被不法分子盗用而产生大量垃圾非法短信的问题，提升了MAS服务的安全控制等级，实现了对MAS设备的深度维护和精细化管理。一、 项目背景1、 基于互联网访问的集团短信平台在奥运期间存在较大风险1） 很多面向集团客户的信息化业务如MAS/ADC需要通过互联网登录访问，但目前现有的MAS服务器还未强制客户设置密码强度高的口令及定期变更口令。2） 不法分子可能会利用现有MAS平台在帐号密码管理和集团短信业务管理上的漏洞，在奥运期间以及世博会、国庆60周年等重要时期利用移动的短信群发通道，发布大量危害国家安全、政治敏感的不良短信，给奥运期间的网络信息安全保障带来很大风险。2、 短信应用系统的密码屡被盗用1） 互联网上黑客横行，MAS客户密码很容易被木马病毒窃取，全国各地发生多起短信平台的客户帐号密码被不法分子盗用，并群发垃圾短信或诈骗短信，给移动公司带来严重的社会影响，产生大量客户投诉。2） 同时不法分子还有可能通过入侵MAS服务器盗取企业用户的客户信息，导致企业的客户信息外泄。3、集团短信业务白名单还未上线，难以通过技术手段控制用户发送行为1）在行业网关上承载所有集团短信用户的白名单功能,负载很重，需占用行业网关的大量资源, 影响行业网关的运行效率。2）通过BBOSS与行业网关之间的接口实现企业短信白名单的同步仍难以实施。而如在地市层面,直接在 MAS终端侧进行白名单的集中加载和控制,不增加行业网关的负担,且实施成本低,效率提高.3)通过行业网关还无法实现对短信群发内容的实时监控，难以从技术手段上有效控制不良短信。4、一旦出现集团短信平台滥发不良信息的情况，缺少有效手段及时制止。1）现有MAS系统缺少用户登录的详细日志，对MAS用户的行为管理困难。2） 现有MAS系统无法查看用户的登录IP地址，无法追究和拦截非法用户的入侵。3） 目前只能通过省公司行业网关关闭在网集团短信用户的短信发送能力，但处理环节较多，周期长，市公司无法立即处理。二、 技术或业务方案详细介绍1 系统逻辑结构系统共分为4个模块，系统各模块功能介绍一）、防范黑客（非法用户）通过互联网对MAS系统的入侵。1）对从互联网上能访问到的MAS平台，全部启用与实际使用用户的手机号码绑定的短信动态密码二次身份验证功能，进一步防范MAS用户账号被盗用的风险。2）来访IP地址限定 对于有固定IP的MAS用户（专线方式接入互联网的集团用户），MAS系统可对客户登录的IP地址进行预先锁定，防止非法用户从其他IP地址入侵。对于临时托管在运营商机房，用户无固定IP地址的MAS企业用户（如电信的ADSL用户，上网时动态获得IP地址），限定客户在用动态IP地址来登录系统时，强制通过短信动态密码来实现MAS系统的二次认证，动态密码认证通过后才能进入正常的用户使用界面。MAS用户登录的动态密码验证界面预先锁定合法用户登陆的来访IP地址二）、提高MAS用户账号的密码强度。1、强制MAS用户使用高强度密码MAS系统自动判别MAS管理员分配的账户和用户自己设置的密码强度，必须同时包含字母、数字、特殊符号（如？，！，等），才能成为有效密码，否则密码设置不能成功。2、首次登录MAS平台强制修改密码对于MAS新分配的用户初始密码必须在首次登录系统时强制进行修改，否则无法正常使用系统功能。3、强制定期修改密码MAS系统自动强制MAS管理员和客户每月更换一次密码才能继续使用，否则原有密码自动失效，用户无法登录。4、复位固定密码时要求启动短信动态密码认证在客户忘记密码或需要重置密码时，可通过向客户的手机号码发送动态密码的方式进行用户身份鉴权。5、MAS用户实名登记和手机号码绑定MAS系统管理员分配其他MAS用户账号时，必须提供用户实名和手机号码，MAS管理员分配普通用户的账户名称和初始密码（随机产生，也是字母加数字，但必须达到一定的复杂度，促使客户自己更改密码）后，可自动发送短信将所分配的账号密码告知实际使用人员，并提醒其进行密码更改。6、针对部分信息安全意识淡薄或无专人负责审查短信内容的MAS用户，收回其MAS平台的管理员权限，改由移动后台人员对该MAS的用户帐户进行开户和发送量限额等权限管理及内容审核管理。三）、 提升对现有MAS用户的监管控制能力，避免奥运、世博会、国庆等重要时期不良短信的泛滥。1、MAS用户短信发送上限控制MAS维护人员通过MAS系统后台对该MAS用户的总端口的每月和每日的发送上限进行控制。尽量减少乱发、错发的情况。2、在MAS侧实施白名单管理MAS维护人员可通过MAS系统后台设定白名单，也可通过本市的MAS集中辅助管理平台远程下载该用户的白名单到MAS系统。3、在MAS侧同时实施黑名单管理MAS维护人员可通过MAS系统后台设定黑名单，也可通过本市的MAS集中辅助管理平台远程下载该用户的黑名单到MAS系统。4、针对采用DB或API方式进行短信应用二次开发的用户，也修改MAS的发送机制，用户插入短信数据库待发表中的手机号码也必须先经白名单和黑名单过滤后才能生成最终的短信待发表文件，群发出去。5、对于部分发送对象实时变化，无法预先确定白名单的集团短信用户，可由后台管理员在后台设置白名单的号码总量，由客户自行进行白名单的变更。同样可利用白名单的机理实现不良短信的控制，以实事求是的态度提高客户满意度。应用实例：在MAS侧启用黑白名单的号码导入界面四）加强对MAS平台短信发送内容的实时监管。1、在MAS侧实现短信内容监管和审核将本市的短信内容审核人员的手机号从MAS后台设定为红名单。如果MAS客户一次性提交同一内容短信超过了系统预先设定的阀值（比如客户正常日发送量的2-3倍），或者包含非法关键词，系统自动将包含用户群发短信内容的审批短信以长短信形式抄送给本市的5-10个短信内容监控人员的手机上进行预审，只要任何一个审核人员用手机回复特定认可短信后即可正常发送，若在10-15分钟后MAS未接收到审批短信，则自动触发短信给用户手机，告知所群发短信未能成功发送，提醒客户与本市的集团短信业务管理员联系。 提交给短信审核人员的长短信实例： XX单位（与短信代码相对应）的XX用户名申请提交XX条短信，短信内容为“XXXX”,请审核，同意回复1+5位流水号，不同意回复0+5位流水号.【短信签名】2、在MAS侧开放远程控制能力，使MAS可接受从本市的MAS集中维护管理平台发送的控制命令，MAS后台维护人员可通过MAS集中监控平台远程切断MAS的短信群发能力或直接关机，另外，通过MAS后台维护人员的指定手机号码发送特定控制短信指令到该MAS平台，也可执行直接关闭其短信发送能力或重启服务等远程操作。3、自动保存用户登录系统后的操作日志信息MAS系统自动记录各用户账号每次登录的IP地址、登录时间等访问日志，便于日后追查。2 成果创新点创新点一：在MAS系统上对客户登陆帐号密码进行来访IP地址的锁定以及通过动态密码实现系统登录时的用户身份的二次确认，可大大提高MAS系统访问的安全性，避免MAS用户的帐号密码被不法分子盗用，切实保障奥运以及后期的国庆、世博会期间的短信网络信息安全，防止不法分子利用移动的短信群发通道在世博会期间群发危害国家安全及涉黄涉黑的不良短信，降低了客户以及运营商的经营风险。即使MAS用户发生了群发不良短信的行为，可从本市的MAS集中监控平台或由监控人员发送控制短信立即切断该MAS的发送能力。创新点二： 对于部分信息安全意识淡薄或缺少对短信群发内容的内部审核机制的集团客户，由移动负责其短信群发内容的审核，切实治理垃圾短信，有效提升客户满意度，提升企业的社会形象。创新点三：企业IT人员可为员工配置复杂的帐号密码，即使员工忘记密码，也可通过短信获取到动态密码后再更改密码，从而起到深度捆绑客户手机号码的作用。该系统安全优化措施可复制推广到集团客户的信息化系统中，将客户的手机号码与集团客户信息系统中的用户账户有效绑定，不仅体现了移动信息化的优势，也可有效增强集团客户的粘性。三、 经济与社会效益分析（1）经济效益该成果的成功应用降低了对MAS服务器的日常维护压力，减少被网络黑客攻击的几率。综合考虑人工成本节约和避免MAS被盗用的损失，每年产生经济效益将超过100万元。（2）社会效益 通过强化MAS服务器的安全防范措施，在不影响短信客户正常使用的前提下，有效避免了因MAS被盗用或客户恶意群发垃圾短信而造成了批量投诉，进一步提升了用户感知和公司良好的社会形象。四、 应用推广情况或可推广度说明1 成果应用情况目前已在常州超过150个集团短信用户上获得应用，如常州市公安局、武进公安局、农业银行、金坛市政府等重点客户。2 可推广度说明u 该应用系统软件委托本地的短信应用合作伙伴定制开发，即可一次买断方式，也可采取合作运营推广模式，无推广限制，无需一次性支付开发成本，可在全集团推广使用该安全加固版的MAS软件。 u 占用资源少，一台普通PC即可实现 u 采用B/S架构，保留原有MAS的基本功能，同样支持原MAS的二次开发功能。五、已获奖励或专利情况（包括正在申请和已获得专利）项目成果MAS系统信息安全优化平台正在申请专利“成果上报申请书”的填写说明：1、“成果专业类别”指：核心网、无线、传输、IP、网管、业务支撑、管理信息系统、市场研究、通信电源、数据业务、其他。2、“成果研究类别”指：超前研究、新产品开发、相关网络解决方案、现有业务优化、其他。3、“省内评审结果”指：优秀、通过。4、“对企业现有标准规范的符合度”指：列举该成果使用并符合的中国移动统一发布的企业标准的名称和编号，详细描述该成果在现有的企业标准基础上所需新增的功能要求（如业务流程的改变、设备新增的功能要求等）。5、“文章主体”：根据不同科技成果分类实施不同的主体要求，具体如下：1）超前研究类成果主体包括： 背景情况 技术特点分析 标准化情况 其他运营商应用情况（可选） 技术发展趋势 引入策略分析2）相关网络解决方案类成果主体包括： 背景情况 技术方案：概述、网络解决方案（如果涉及到网络方面的改造，信令改造，路由改造等，应有详细的描述）、设备及系统改造/建设要求、码号资源需求 效果（解决了哪些问题） 本省应用推广情况3）新产品开发类成果主体包括： 业务及功能简介：业务概述、业务主要功能介绍 技术实现方案：包括业务实现组网结构图、相关系统（平台、终端）功能和要求、业务实现流程、码号要求等 业务申请和开通：包括用户范围及业务使用范围、业务申请与注销等 业务商务模式及资费：包括商务模式、业务资费模式、业务收费