论文部分内容阅读
摘 要：随着海南核电各类信息化项目如火如荼的建设和陆续投入生产运行，从原来的纸质化管理到依托系统平台的业务过程信息化和依托数据与服务实现多客户终端的展现和利用，使海南核电的应用系统架构的规划整体上往更开放、耦合性更低的方向发展，伴随着整个过程也有着对于计算机网络和信息安全等的深度融合。本文以海南核电信息化进程中的信息系统架构的设计演化过程为基础，提炼了在当前移动开发大形势下对于企业移动应用安全、移动应用架构和系统规划方面的主要制约问题和架构设计管理要求。
关键词：企业信息化 移动应用 信息安全 服务化
中图分类号：TP393.08 文献标识码：A 文章编号：1672-3791（2017）10（a）-0013-02
经过8年的发展和建设，海南核电已经迈入到了在运电厂的行列，上线的应用系统数量多如牛毛，如何管理好这些信息化项目，使之更好地持久地更安全地为核电厂的生产和经营服务，是我们一直在研究的一项重大课题，具体而言，就是在已有的资源条件下，研究采用何种架构和治理方式对其进行管理。
1 系统架构的演变
随着管理片区和生产片区各类应用系统陆续投用，信息项目数量的动态增长并相继暴露出一些问题，主要体现在：（1）数据备份工作量逐渐增大，此处的数据包括数据库数据和实体文件数据。（2）对于服务器的监控非常不便利，因层次划分不清晰导致问题诊断过程缺乏规范且低效。（3）人员职责权限边界不明，突发运维事件时运维人员要检查的范围较大，处理时如产生环境配置变更可能会影响到其他系统的运行。（4）应用系统缺乏自动监控或者高可用机制，宕机之后系统立即陷入瘫痪。此时我们在进行设计时，主要考虑以下因素。
（1）可扩展性接入。
（2）过程可管理和追溯。
（3）运维工作便于开展。
（4）提高硬件资源的利用率。
（5）核心服务高可用。
规范化的设计和管理后带来的效果是立竿见影的，对于新接入的系统在数据库实例、实体文件存储、应用服务器部署和管理、系统监控层面都能够做到有效管控，权责基本分明。为提高操作系统层面的可管理性和硬件的可维护性，采用虚拟化手段对服务器进行处理，主要的提升体现在：（1）通过虚拟机备份的方式解决了绝大部分的数据和系统级备份问题。（2）提高了系统资源分配的弹性，提高了资源分配的利用率。（3）提供了一个上层的监控平台，可以实时监控虚拟机状态。但是，应用系统的逻辑架构不变。
随着HNPC微信综合服务平台开始建设，应用服务器和腾讯服务器之间产生了通讯需求，紧接其后需解决内外网数据同步问题；此外，因微信项目所部署的云服务器缺乏系统的安全防范措施，抵御外部攻击能力较弱，存在敏感数据泄漏的风险。为保障系统数据实时同步和数据安全，我们重新设计了新的应用系统部署架构。经进一步论证和研究，新架构通过使用WAF（网络应用防火墙）和IPS入侵防御系统，将WAF作为应用与外界交互的唯一接口，由其来进行请求的反向代理和转发，控制过滤掉非法和不安全的请求，使用WAF后，外部请求一个唯一的公网IP地址，经过WAF的代理转发，安全的进入并定位到内网服务器的指定主机，减少了内部站点对外的发布，减少了公网地址在传统防火墙中，一对一使用IP地址的浪费；其次在操作系统层级和应用层级进行安全的扫描，包括操作系统漏洞、网络设备漏洞、WEB服务器漏洞、数据库服务器漏洞等，将结果推送告知系统运维人员进行漏洞的修复，保障应用系统和数据服务所在的环境安全。
2 企业级移动应用平台
业务信息系统的全面集成和多终端访问和移动应用的中间件集成运行环境和移动信息安全体系建设，又对总体架构提出了新的挑战，启动集移动应用、移动管理、移动开发于一体的移动应用平台的规划设计和实现，形成完善的移动应用规划和标准体系势在必行。平台的整个网络架构分为三大部分：Internet、DMZ和内网区域，移动终端通过VPN拨号访问内网的Mplus服务器，保证数据传输及访问控制的安全性，移动终端经过公网防火墙访问处于DMZ区的负载均衡服务器，再经过DMZ区与内网之间的防火墙，判断ACL，若符合控制规范，将有权限下载Mplus服务端上存放的客户端软件并使用。
移动平台对接入平台的设备进行全周期管控，包括设备认证、设备策略、设备规则、设备注销四个阶段。设备接入平台需要通过用户登录认证、设备注册激活、审核接入3个环境；对于接入平台可以提供各种安全策略进行组合配置，如：密码策略、安全策略、限制策略；设备在接入平台后由管理配置规则进行监控，规则包括：是否破解、是否在指定区域使用等；接入平台的设备丢失或置换后可通过平台对设备进行远程锁定、擦除公司数据、恢复出厂设置等。
移动平台采用沙箱机制将数据置于安全沙箱之中，从安全隔离、安全访问、数据加密、数据擦除4个方面保证数据的安全性。平台在移动端开辟一个安全工作区域，存储公司应用、文档、邮件、消息等公司数据，个人数据完全隔离在沙箱之外；除开发平台以外，沙箱内部数据不能被任何程序访问和读取，除非得到移动平台的许可，外部数据不允许随意放置到安全沙箱；沙箱采用AES 256位加密算法且只能被移动平台解密并识别，确保公司数据存储安全；设备丢失后进行设备注销，沙箱内的数据将会被全部清除。
移动平台采用多种形式和维度对用户设备进行统计和审计。具体包括：可查询用户接入平台设备数据、每台设备的违规情况；可查看设备所属用户、设备是否违规、设备状态（是否破解、是否脱离管控）等；查看应用的用户使用情况；通过自定义用户事件上传用户具体模块、功能的操作使用记录；查看接入平台的设备型号情况；可查看接入平台的操作系统情况。
服务器部署在内网DMZ区，通过反向代理服务器与外网进行数据交互。应用数据传输采用SSL协议进行数据加密传输。从外网入口的请求将通过负载均衡器进行负载分发。
通过以上的管理和技术上的管控措施，移动平台将基本符合相关安全要求，为后续的应用开发以及推广使用奠定基础。
3 结语
为提高信息资源的利用效率和标准化程度，需将现有核心业务系统的服务化，可基于SOAP协议进行WebService API的设计，遵循指定的服務契约进行调用，几乎不需要对服务进行任何改造；采用异步方式利用服务端本身的请求队列缓冲机制，使客户端和服务端并发工作，提高了系统的吞吐效率。微信应用与公众服务平台进行前端入口进行集成，可以通过后台配置直接关联而不直接去腾讯的微信服务器通讯，提高效率的同时简化了接入步骤；企业级移动平台应用采用轻应用方式进行开发，基于通用平台去实施并基于目标平台去打包，保证一套代码能够生成适用于多个环境的移动应用。
移动信息化项目在企业信息化实施过程中是一个非常重要的环节，但其架构的演变是连续的，我们在传统Web项目实施阶段建设的许多基础设施均可加以改造为我所用，本文通过设计打造一个完整安全的应用运行时环境，为后续系统的安全接入进行了完整设计，也为后续项目的接入制定了规范并指明了方向。
参考文献
[1] 葛逊.移动互联网安全管理新趋势[J].互联网天地， 2011（11）：28.
[2] 闫文婧.我国大型企业信息化及信息管理[J].河南科技， 2015（15）：26-27.
[3] 信息化，中小企业成长必经之路[J].计算机与网络，2009（19）：74-75.
关键词：企业信息化 移动应用 信息安全 服务化
中图分类号：TP393.08 文献标识码：A 文章编号：1672-3791（2017）10（a）-0013-02
经过8年的发展和建设，海南核电已经迈入到了在运电厂的行列，上线的应用系统数量多如牛毛，如何管理好这些信息化项目，使之更好地持久地更安全地为核电厂的生产和经营服务，是我们一直在研究的一项重大课题，具体而言，就是在已有的资源条件下，研究采用何种架构和治理方式对其进行管理。
1 系统架构的演变
随着管理片区和生产片区各类应用系统陆续投用，信息项目数量的动态增长并相继暴露出一些问题，主要体现在：（1）数据备份工作量逐渐增大，此处的数据包括数据库数据和实体文件数据。（2）对于服务器的监控非常不便利，因层次划分不清晰导致问题诊断过程缺乏规范且低效。（3）人员职责权限边界不明，突发运维事件时运维人员要检查的范围较大，处理时如产生环境配置变更可能会影响到其他系统的运行。（4）应用系统缺乏自动监控或者高可用机制，宕机之后系统立即陷入瘫痪。此时我们在进行设计时，主要考虑以下因素。
（1）可扩展性接入。
（2）过程可管理和追溯。
（3）运维工作便于开展。
（4）提高硬件资源的利用率。
（5）核心服务高可用。
规范化的设计和管理后带来的效果是立竿见影的，对于新接入的系统在数据库实例、实体文件存储、应用服务器部署和管理、系统监控层面都能够做到有效管控，权责基本分明。为提高操作系统层面的可管理性和硬件的可维护性，采用虚拟化手段对服务器进行处理，主要的提升体现在：（1）通过虚拟机备份的方式解决了绝大部分的数据和系统级备份问题。（2）提高了系统资源分配的弹性，提高了资源分配的利用率。（3）提供了一个上层的监控平台，可以实时监控虚拟机状态。但是，应用系统的逻辑架构不变。
随着HNPC微信综合服务平台开始建设，应用服务器和腾讯服务器之间产生了通讯需求，紧接其后需解决内外网数据同步问题；此外，因微信项目所部署的云服务器缺乏系统的安全防范措施，抵御外部攻击能力较弱，存在敏感数据泄漏的风险。为保障系统数据实时同步和数据安全，我们重新设计了新的应用系统部署架构。经进一步论证和研究，新架构通过使用WAF（网络应用防火墙）和IPS入侵防御系统，将WAF作为应用与外界交互的唯一接口，由其来进行请求的反向代理和转发，控制过滤掉非法和不安全的请求，使用WAF后，外部请求一个唯一的公网IP地址，经过WAF的代理转发，安全的进入并定位到内网服务器的指定主机，减少了内部站点对外的发布，减少了公网地址在传统防火墙中，一对一使用IP地址的浪费；其次在操作系统层级和应用层级进行安全的扫描，包括操作系统漏洞、网络设备漏洞、WEB服务器漏洞、数据库服务器漏洞等，将结果推送告知系统运维人员进行漏洞的修复，保障应用系统和数据服务所在的环境安全。
2 企业级移动应用平台
业务信息系统的全面集成和多终端访问和移动应用的中间件集成运行环境和移动信息安全体系建设，又对总体架构提出了新的挑战，启动集移动应用、移动管理、移动开发于一体的移动应用平台的规划设计和实现，形成完善的移动应用规划和标准体系势在必行。平台的整个网络架构分为三大部分：Internet、DMZ和内网区域，移动终端通过VPN拨号访问内网的Mplus服务器，保证数据传输及访问控制的安全性，移动终端经过公网防火墙访问处于DMZ区的负载均衡服务器，再经过DMZ区与内网之间的防火墙，判断ACL，若符合控制规范，将有权限下载Mplus服务端上存放的客户端软件并使用。
移动平台对接入平台的设备进行全周期管控，包括设备认证、设备策略、设备规则、设备注销四个阶段。设备接入平台需要通过用户登录认证、设备注册激活、审核接入3个环境；对于接入平台可以提供各种安全策略进行组合配置，如：密码策略、安全策略、限制策略；设备在接入平台后由管理配置规则进行监控，规则包括：是否破解、是否在指定区域使用等；接入平台的设备丢失或置换后可通过平台对设备进行远程锁定、擦除公司数据、恢复出厂设置等。
移动平台采用沙箱机制将数据置于安全沙箱之中，从安全隔离、安全访问、数据加密、数据擦除4个方面保证数据的安全性。平台在移动端开辟一个安全工作区域，存储公司应用、文档、邮件、消息等公司数据，个人数据完全隔离在沙箱之外；除开发平台以外，沙箱内部数据不能被任何程序访问和读取，除非得到移动平台的许可，外部数据不允许随意放置到安全沙箱；沙箱采用AES 256位加密算法且只能被移动平台解密并识别，确保公司数据存储安全；设备丢失后进行设备注销，沙箱内的数据将会被全部清除。
移动平台采用多种形式和维度对用户设备进行统计和审计。具体包括：可查询用户接入平台设备数据、每台设备的违规情况；可查看设备所属用户、设备是否违规、设备状态（是否破解、是否脱离管控）等；查看应用的用户使用情况；通过自定义用户事件上传用户具体模块、功能的操作使用记录；查看接入平台的设备型号情况；可查看接入平台的操作系统情况。
服务器部署在内网DMZ区，通过反向代理服务器与外网进行数据交互。应用数据传输采用SSL协议进行数据加密传输。从外网入口的请求将通过负载均衡器进行负载分发。
通过以上的管理和技术上的管控措施，移动平台将基本符合相关安全要求，为后续的应用开发以及推广使用奠定基础。
3 结语
为提高信息资源的利用效率和标准化程度，需将现有核心业务系统的服务化，可基于SOAP协议进行WebService API的设计，遵循指定的服務契约进行调用，几乎不需要对服务进行任何改造；采用异步方式利用服务端本身的请求队列缓冲机制，使客户端和服务端并发工作，提高了系统的吞吐效率。微信应用与公众服务平台进行前端入口进行集成，可以通过后台配置直接关联而不直接去腾讯的微信服务器通讯，提高效率的同时简化了接入步骤；企业级移动平台应用采用轻应用方式进行开发，基于通用平台去实施并基于目标平台去打包，保证一套代码能够生成适用于多个环境的移动应用。
移动信息化项目在企业信息化实施过程中是一个非常重要的环节，但其架构的演变是连续的，我们在传统Web项目实施阶段建设的许多基础设施均可加以改造为我所用，本文通过设计打造一个完整安全的应用运行时环境，为后续系统的安全接入进行了完整设计，也为后续项目的接入制定了规范并指明了方向。
参考文献
[1] 葛逊.移动互联网安全管理新趋势[J].互联网天地， 2011（11）：28.
[2] 闫文婧.我国大型企业信息化及信息管理[J].河南科技， 2015（15）：26-27.
[3] 信息化，中小企业成长必经之路[J].计算机与网络，2009（19）：74-75.