奇安信与飞腾云手机安全移动办公联合解决方案

        一些关键行业的移动业务，往往采用专有终端和专有安全系统的模式，但其仍然会面临定制周期长、无法满足多场景需求、实施成本高等问题，更重要的是在信息敏感领域应用难以保障其安全性。众多的业务应用和敏感数据，仍存储在终端，会面临终端的安全性及丢失等行为；应用厂商繁多，且很多安全意识比较差，导致应用数据安全强度低；厂商不同版本的Android系统版本，存在着严重程度不同的系统漏洞，利用这些系统漏洞会在设备的使用生命过程中被偷种木马和病毒；木马和病毒可以窃取隐私、远程遥控手机，以及通过对应用程序的逆向分析破解安全数据、进而作为跳板攻击内网；同时，也难以彻底解决安全要求不同的公私数据混合问题；在上网时会面临重要数据的网络劫持；用户行为也不受控等等。

        为了更好的解决以上突出的问题，飞腾联合奇安信推出了云手机安全移动办公联合解决方案，基于飞腾平台服务器实现云手机功能，帮助客户加快落实移动办公的安全能力，完成既保障移动办公的时效性、准确性，又能有效的阻止安全事件的发生。

        本方案基于飞腾腾云S2500芯片，保障系统运行安全稳定可靠，方案内容是基于移动虚拟化基础架构，在客户数据中心建设移动安全虚拟化平台，确保企业数据、移动应用均位于移动安全虚拟化平台上，所有业务数据不出数据中心，移动应用和数据不落地，避免了移动应用和数据被黑客或恶意组织获取并利用。

逻辑架构

                                 

云手机方案介绍图

        通过在客户的服务器上创建Android虚拟机，用户手机通过网络连接虚拟服务器来实现移动桌面传输及操控，用户的手机相当于一个只有显示和触摸的瘦终端，当用户在屏幕上做触摸操作时，会把手机真机上的触摸信号安全传输到云虚机，后者根据收到的触摸响应执行虚机Android的相应执行和渲染，之后把生成的画面以安全流媒体方式推送给客户端进行显示。IT管理员能够通过管理界面，为用户创建、启动、停止、删除虚拟机，并发布移动应用。要实现移动终端与虚拟机之间的“互动”必须要借助远程移动桌面协议，即实现虚拟机屏幕传输到移动终端，而移动终端上触摸信号则从移动终端传输到虚拟机。

功能架构

        奇安信云手机安全管理系统由云手机计算服务、管理控制台、安全客户端三部分组成。云手机计算服务为云手机的核心，支持运行多个虚拟化的Android手机和应用。管理控制台对云手机的账户体系、虚拟终端、安全应用、安全策略及安全审计等进行管理控制。可部署在云手机服务器上，也可单独部署，产品功能示意图如下：

• 终端支持Android和iOS设备、以及鸿蒙、元心等国产移动操作系统。
• 服务器支持国产飞腾腾云S2500 ARM处理器。
• 客户端支持多点触控、电话短信、Camera拍照、二维码扫描、GPS、传感器等多种外设，并支持文件单向上传、单向复制粘贴、通知推送、网速检测、清晰度切换、线路切换等扩展功能，结合奇安信丰富的移动虚拟化和安全流媒体等先进技术，用户采用任何移动设备下载客户端安全接入和认证后即可使用，充分保障了用户体验。
• 服务端支持企业用户管理、不同组织和个体下发不同配置的虚机手机、应用管理、数据安全管理、终端管理、日志审计和活动报表大数据分析等功能。网络管理员可以通过 Web 控制台远程管理所有工作区，既大幅简化了IT管理，又可以做更丰富的数据分析。
• 支持一个人拥有多个相同或不同配置的云手机。
• 全方位的安全保障：数据和应用不落地、防泄漏，个人数据和企业数据完全隔离；支持主流的安全接入和终端准入等身份认证方式、多因子认证、指纹、手势和面部解锁、禁止截图和录屏、截屏审计、截屏阻断、禁止复制/粘贴、禁止用户自行安装/卸载未授权APP、水印、越狱/root检测、远程锁定虚拟手机、远程管控物理手机外设、远程擦除物理手机数据等强大灵活的安全配置。

部署架构

        该方案具有天然的移动终端数据不落地特点，云端可与单位数据放于同一网域、或单独网域，与认证后的三方系统、单位系统可天然互联互通。

具体部署组件如下：

• 综合管理组件

用户管理, 身份验证；设备管理, 对业务服务器上的虚拟设备做生命周期管理；转发服务,流媒体服务身份鉴权；云手机策略管理。

• 转发组件

转发客户端指令数据到云手机； 转发云手机状态指令数据到客户端。

• 流媒体组件

将云手机界面编码后的视频流，转发传输到客户端；将客户端录音、相机数据转发传输到云手机；将云手机界面编码后的视频流，转发到管理后台前端。

• 虚拟化服务器集群

虚拟设备运行环境；根据CPU、显卡等硬件调度云手机资源；云手机保活检测。

• Redis组件

缓存服务,用于实现数据缓存。

• RabbitMQ组件

消息队列服务,用于系统内部异步数据处理和消息发送。

• 云手机客户端

是用户使用云手机的入口。

• 检测服务

用于检测各集群运行状态，及cpu、内存、磁盘、显卡等硬件资源使用情况。

 

方案亮点

        该方案具体内容是将云计算技术运用于网络终端服务，通过云服务器实现云服务的手机，可以形象的理解为在云上运行一个个虚拟安卓终端，个人的手持终端仅仅作为显示和触控设备。云手机通过创建虚拟手机为企事业提供APP应用平台，确保员工能够随时随地使用移动设备访问企事业的数据和应用程序，同时确保企事业数据和应用程序不会泄露。云手机由于其天然数据不落地的高安全特性，非常适合敏感行业的移动办公，可应用于司法、政府、金融、生产等众多领域。

        敏感信息做到数据安全有防护，且数据不落地

终端数据和应用不落地，杜绝手机漏洞、木马、应用逆向和数据利用，网络接入多因子认证，传输内容安全网络劫持无意义，云端与企业服务器统一部署，统一安全防护和审计，整体等保。

        办公人员工作效率提升

办公人员无论身处何地，只要移动终端可以连接移动网络，即可实现可随时随地办公，无论身处何种紧急情况下，都能高效的开展工作，同时也避免了有第2用机的低到达率，提升沟通效率。

        IT运维安全高效

集中部署，统一管理和升级、审计，新开用户或关停风险用户，即刻生效，不需维护管理多终端型号和操作系统。

        整体成本降低

不需应用适配和维护iOS/Android多系统版本，不需购买移动设备，不需考虑折损丢失等后期成本，降低IT人员对复杂的设备管控等运营成本。

        用户体验大幅提升

终端零管控，不侵犯任何个人隐私，不必携带第2用机、不必担心丢失办公设备带来的处罚和数据丢失、迁移的问题。