【51CTO.com 綜合消息】一、客戶面臨的安全挑釁
中國移動通信團體浙江有限公司作為浙江省最大的綜合信息運營商，在全省擁有11個市分公司和62個縣（市）分公司。其供給的語音業(yè)務(wù)、短信業(yè)務(wù)、手機銀行、手機證券、移動傳真、虛擬專網(wǎng)、親情號碼、自由呼、秘書服務(wù)、手機上網(wǎng)、移動OICQ、IP電話等業(yè)務(wù)，與大眾生活息息相干，被各個行業(yè)、各類用戶所廣泛應(yīng)用，并且隨著時間的推移，用戶對服務(wù)的依附性越來越強。
從市場營銷、渠道管理、業(yè)務(wù)受理、業(yè)務(wù)開通、帳務(wù)結(jié)算、經(jīng)營分析、故障申告、綜合查詢等各個環(huán)節(jié)均需要相應(yīng)的業(yè)務(wù)系統(tǒng)給予支撐，比如：營業(yè)系統(tǒng)、CBOSS系統(tǒng)、BBOSS系統(tǒng)、終端管理系統(tǒng)、統(tǒng)一開通系統(tǒng)、結(jié)算系統(tǒng)等，而所有這些業(yè)務(wù)支撐系統(tǒng)均采用B/S的架構(gòu)。B/S架構(gòu)的利用一方面企業(yè)客戶帶來了方便，另一方面使得企業(yè)所面臨的風(fēng)險在不斷增加，比如網(wǎng)上營業(yè)廳，用戶通過互聯(lián)網(wǎng)就可以查詢保存在浙江移動內(nèi)部系統(tǒng)的相干數(shù)據(jù)、訂購浙江移動不斷推出的新業(yè)務(wù)。但是，通過互聯(lián)網(wǎng)直接訪問的運營模式，對浙江移動內(nèi)部系統(tǒng)的安全將是極大的挑釁，重要表現(xiàn)為：
一是隨著Web利用程序的增多，這些Web利用程序所帶來的安全漏洞越來越多；二是隨著互聯(lián)網(wǎng)技巧的發(fā)展，被用來進行攻擊的黑客工具越來越多、黑客運動越來越猖狂。
二、安恒解決計劃
采用安恒WEB利用弱點掃描軟件，建設(shè)浙江移動利用安全掃描平臺。
安全掃描技巧是重要的信息安全技巧，與防火墻、入侵檢測系統(tǒng)、WEB利用深度防御系統(tǒng)互相配合，能夠有效進步網(wǎng)絡(luò)及利用的安全性。如果說防火墻、網(wǎng)絡(luò)監(jiān)控系統(tǒng)等是被動的防御手段，那么安全掃描就是一種主動的防備措施，可以有效避免黑客攻擊行動，做到防患于未然。
安恒安全專家團隊，通過與浙江移動相干領(lǐng)導(dǎo)的溝通后，一致認為無論是WEB利用的開發(fā)人員，還是保護管理人員，由于其缺乏安全經(jīng)驗、安全知識，WEB利用的開發(fā)與保護過程中難免存在這樣、那樣的安全隱患。如何有效地防備安全事件的產(chǎn)生，其中最積極、有效的方法就是：主動防御。即對WEB利用進行全面、綜合的風(fēng)險評估，在此基礎(chǔ)上實行有針對性的安全加固。同時考慮到業(yè)務(wù)發(fā)展的持續(xù)性、創(chuàng)新性，WEB利用的內(nèi)容及功效等等會不斷的變更，這些變更勢必引起相應(yīng)的WEB利用程序的更新、網(wǎng)絡(luò)環(huán)境的調(diào)劑，因此，有必要建設(shè)一個WEB利用安全掃描平臺，將WEB利用弱點掃描、風(fēng)險評估納入日常工作流程，定期檢查WEB利用本身的安全性及網(wǎng)頁上對外鏈接的可靠性。發(fā)明風(fēng)險應(yīng)立即采用防備措施，減少因WEB利用風(fēng)險給浙江移動帶來的有形資產(chǎn)、無形資產(chǎn)的喪失。
三、項目實行總結(jié)
安恒技巧支撐部及安全服務(wù)團隊，歷時2個月，與浙江移動各個業(yè)務(wù)系統(tǒng)的保護管理人員一起，先后對50多個WEB利用系統(tǒng)進行了完整的風(fēng)險掃描，并根據(jù)WEB利用掃描平臺主動生成的風(fēng)險評估報告，聯(lián)合安恒安全服務(wù)團隊的實踐經(jīng)驗，協(xié)助浙江移動利用系統(tǒng)的開發(fā)商，對評估過程中發(fā)明的安全問題逐個加固。全部項目標實行重要完成了以下幾個方面的工作：
◆軟件的安裝與安排；
◆軟件的操作與應(yīng)用培訓(xùn)；
◆需要評估利用系統(tǒng)的需求調(diào)研；
◆利用系統(tǒng)的弱點掃描；
◆風(fēng)險評估報告的生成；
◆風(fēng)險評估總結(jié)與相干安全知識、安全技巧培訓(xùn)；
◆編碼規(guī)范的制定及安全編碼相干技巧培訓(xùn)；
值得一提的是，基于WEB利用安全掃描平臺所實行的利用安全風(fēng)險評估工作，沒有對浙江移動的業(yè)務(wù)系統(tǒng)產(chǎn)生任何影響，評估工作可以根據(jù)管理人員的需要，任意選擇在忙時或非忙時進行，這一點，也從另一方面證明了該WEB利用安全掃描平臺可以作為浙江移動安全管理部門的日常安全巡檢的有效工具，協(xié)助系統(tǒng)保護人員完成周期性的風(fēng)險評估工作。
