构建安全可信的移动警务专网-“新安全、新发展、新应用”公共安全移动关键技术论坛

构建安全可信的移动警务专网 何申 中国移动通信有限公司研究院2023年3月 目录 01 政策与需求分析 02云网融合关键技术 03应用与服务 2 政策及合规要求 国家战略 中央高度重视信息安全自主可控的发展，重大会议以及演讲中多次强调网络安全问题。习近平总书记提出:“没有网络安全就没有国家安全，没有信息化就没有现代化”。构建安全可控的信息技术体系，是我国网络信息安全领域的一项重大任务。 政策法规 《中华人民共和国网络安全法》 法律层面 《网络安全等级保护条例》 （征求意见稿） 《关键信息基础设施安全保护条例》 （征求意见稿） 法规层面 网络安全等级保护标准体系（等保2.0） •《计算机信息系统安全保护等级划分准则》 •《网络安全等级保护基本要求》 •《网络安全等级保护实施指南》 •《网络安全等级保护安全设计技术要求》 •《网络安全等级保护测评要求》 •《网络安全等级保护测评过程指南》 •…… 关键信息基础设施安全保护标准体系 •《关键信息基础设施网络安全框架》 •《关键信息基础设施网络安全保护基本要求》 •《关键信息基础设施安全控制措施》 •《关键信息基础设施安全检查评估指南》 •《关键信息基础设施安全保障指标体系》 •…… 标准层面 3 信息化建设促使移动性接入增多，业务安全边界模糊 网络空间安全的国际态势对我国公安信息化产生了深远影响，新型技术与警务应用场景深度融合驱动应用创新。多技术融合、多元终端的泛在接入成为常态，催生了大量新的应用场景，同时带来安全方面的新挑战： 移动终端安全如何提升警务专网如何可信安全能力如何分发 终端多样性与泛在化，尤其物联网终端缺乏安全计算环境 关键行业对通信专网 具有更高安全可信需求 业务快速部署和灵活多样，需 要安全能力近源提供 由于终端设备内存和计算资源有限，大多数安全工具针对基于嵌入式系统的终端设备需进行功能裁剪及定制化开发，成本高且安全防御能力低，一旦被攻击，将导致业务中断、隐私泄露，影响整个国民经济和社会稳定。 随着公安移动警务的快速发展和移动警务应用的不断深入，必然会对安全体系提出更高的需求，如何保障端到端的安全可信是个难题。 随着数据处理能力向公安各分支边缘侧下沉，需将安全服务能力拓展至用户边缘设备，并提供统一云边协同联动机制，实现安全能力主动免疫，为各分支提供定制化安全服务和安全策略，为用户近源侧提供安全保障。 打造安全可信的服务体系 中国移提出新一代云边协同网络安全服务架构，以可信计算技术构建云和边协同的安全运行环境基础，使网络安全由传统各自为战的单点防御变成基于云边协同的网状联合防御系统，让网络不再仅仅是数据的传输通道，更是安全可信任的通道，为军警信息化建设提供安全的移动专网服务。 应用与服务 执法证据存证 文件流转追踪高保密通话与消息 更多应用... 算网一体化的安全基础设施 量子加密 量子密钥 5G专网 SDN/SD-WAN 切片 边缘计算 安全能力引擎 ...... 云网融合关键技术 安全能力及服务 信任 区块链CA 用户身份体系 协同 安全 网元内生能力云化中心能力协议承载机制 可信组网 可信安全网络设备 基础设施安全 目录 01政策与需求分析 02 云网融合关键技术 03应用与服务 恶意应用机器 下载URL学习 样本批量钓鱼网址 下载检测 样本短网址 检测检测 关键技术1：主动免疫、内生安全 主动免疫 可信应用软件 可信软件基 宿主OS TrustOS 可信Bootloader 可信平 计算部台件控制模 可信密码模块 块 安全可信策略管控 根据等保2.0中对可信计算的要求，率先在接入设备植入国产TPCM可信芯片，构建国产自主可信计算3.0双体系结构，创新性地实现了可信技术在终端的落地实施，通过可信启动、可信度量等手段实现设备、平台的自身可信，行为可预知。 安全数据传输 安全接入设备双体系可信架构安全云平台 构建具有主动免疫的云边智能安全可信架构，通过可信接入网关提供靠近用户侧的网络可信接入能力，提供安全可信的网络传输环境，建立集中化智能安全可信管控平台，从全局视角提供可信监测、可信策略管理、可信预警及决策，实现云边一体化安全可信防护体系，增强网络安全服务能力。 全局可信管理 可信安全管理中心 定制化安全服务 可信检测分析 可信策略管理 可信告警处置 安全能力开放 可信执行层 安全日志、可信状态、可信告警上报 安全策略下发 移动云 可信服务器虚拟机可信应用服务 关键技术2：云边一体化可信防护，增强主动免疫能力 可信网关边缘云 可信网元 可信服务器虚拟机可信应用服务 关键技术3：安全服务下沉，安全边界扩展至用户网络边缘 接入接入网关对终端进行身份认证和持续信任评估，对终端的网络安全态势及时监控和处置，将恶意终端阻止在系统之外。 接入网关对进出网关的流量进行实时分析和识别、对恶意流量进行过滤拦截和上报，在用户网络边缘实时感知和处置安全威胁。 接入网关与云端安全服务协同，及时反馈安全信息，动态更新安全策略，将安全服务和处置能力扩展至用户侧的网络边界。 接入网关自身系统进行可信加固，具备主动免疫机制，确保自身计算环境可信和安全服务执行符合预期。 安全情报上报、安全策略反馈 接入网关 终端认证与信任评估 流量分析与过滤 安全管理平台 可信计算环境 安全策略执行 安全情报上报 安全策略更新 安全情报 网络 接入网关 智能分析与决策 终端认证与信任评估 流量分析与过滤 安全策略更新 安全服务 安全策略管理 可信计算环境 安全策略执行 安全情报上报 安全情报上报、安全策略反馈 安全边界 关键技术4：安全情报智能协同，安全服务灵活定制 通过可信端和智慧安全云的端云联动，构建实时威胁感知，情报综合分析和智能决策，安全威胁及时闭环处置，实现了事前预测、事中分析、事后审计溯源的安全纵深防御体系，支持云端部署、本地部署等多种接入方式为垂直行业赋能。 支撑 收集 共享 清洗转换 反馈更新 外部环境 购买 查询 过期风险 感知 分析 …… 反馈更新 算法适用性 策略下发 数据收集 安全保障 资产库风险库 …… 算法库 业界安全事件公开CVE列表 第三方私有库 特色： … 知识库通过AI算法自进化 安全策略与威胁情报同步进化 开放接口，可对接多种知识库 威胁情报综合分析，及时安全态势感知 能力开放，提供安全增值服务 目录 01政策与需求分析 02云网融合关键技术 03 应用与服务 交通监控民生安防 执法记录 利用区块链防篡改能力，保障警务证据的真实可信 在执法记录、民生安防、交通监控等警务场景中，需要大量使用视频监控设备。利用区块链的存证能力，将拍摄的视频图像的指纹数据进行上链存证，能够显著提升视频图像作为执法证据的公信力。 视频指纹上链 视频网关 指纹验证 区块链 视频文件存储 存储服务器 视频图像查验 计算文件指纹 防篡改可溯源可验证 借助数据水印技术，通过对多种格式的警务数据进行标记，使数据内生溯源能力，有效实现数据追踪溯源，降低数据共享过程中的安全风险。 数据上传水印嵌入数据分发追踪溯源 内部终端 重要数据文件 业务系统 数据库 涉密文件 数据水印系统模块 水印 文件发布 水印 数据库数据 水印 内部人员外部专家 数据库数据 水印 第三方系统 文件水印提取 水印 文件 水印 水印 结构化数据水印提取 利用数字水印能力，实现警务数据追踪溯源 支持多种场景和算法可抵抗多种攻击不影响数据使用 保密通话对于确保警务场景下话音传输的安全性具有重要意义。量子VoLTE加密通话系统将量子密码与4GVoLTE技术相结合，可实现高清语音加密通话，满足警务人员高安全等级通话的需要。 量子加密呼叫量子会话密钥协商量子加密通话量子密话结束 量子VoLTE加密手机 安全介质 ②量子加密手机 ①量子加密网络 量子VoLTE加密手机 安全介质 量子密码安全服务中心 中国移动4G/5G网络 ③量子加密业务 量子VoLTE高清密话，保障警务语音通话安全 量子真随机 端到端加密 一话一密 高清语音 利用安全接入解决方案接入公安政务网，实时对接入终端进行安全管控，实现高保密安全通信，通过云平台对安全接入设备进行上网策略配置和审计，在满足用户4G网络接入的同时，实现对用户可访问网站的合理管控及上网行为的审计，实现细粒度管控。 上网安全管控解决方案 WIFI 所携卡开通4G服务 上网管控及审计 安全云平台 4G 上网终端 安连宝设备2G 正常连接 管控流量 Internet IP承载网 精细化访问管控，保障安全入网 细粒度管控用户无感知高安全高保密 16 愿景