1、引言
這里所謂的移動設備主要是指智能手機和平板電腦兩大類可以用于移動辦公的電子終端設備。隨著移動設備的普及，很多企業的員工開始使用這種新型的移動設備作為辦公終端。據Gartner統計，2010年第四季度，智能手機(1億部)的銷量首次超過PC(9200萬臺)，2010年智能手機增長72%。2010年平板電腦的銷量1700萬臺，Gartner預計201 1年將達4500萬臺。而隨著云計算技術和3G甚至4G無線數據通信服務的廣泛應用，更加便攜和隨時在線的移動設備會更加普及。新型辦公終端的引入，為企業內部的信息安全帶來了新的挑戰。本文從歸納移動設備的功能特性入手，分析該類設備的安全風險，并在此基礎上總結出移動設備安全管理的最佳實踐，供企業的IT安全管理人員參考。
2、移動設備風險分析
2.1移動設備的特性
移動設備在幾何尺寸、物理特性、計算能力、應用場景等方面與以往的臺式或膝上設備(臺式或筆記本計算機)都發生了較大變化。主要體現在：
(1)體積小重量輕，更便于攜帶；
(2)持續供電能力相對較低；
(3)CPU的計算能力相對較低；
(4)具有多種通訊接口，如USB、LAN、WIFI、藍牙、3G無線數據通訊、GPS等；
(5)在移動的環境中使用；
(6)缺少本地的技術支持；
(7)操作系統種類繁多，如Android、iOS、Symbian、Windows Mobile等。
2.2移動設備的信息資產
移動設備是個人專用產品，而且通常有十多種應用在上面運行，如電話、電子郵件、Et程、訪問互聯網、通訊錄、任務管理、消息(文本/圖片/視頻)、聊天、VPN、文件管理、存儲、社交網絡、位置服務、移動商務。使用這些應用或服務時，肯定涉及大量的個人信息，如：銀行賬戶、郵件內容、消息內容、賬戶和密碼、聯系人信息、網站訪問足跡、個人行程安排等等。除此以外，移動設備上可能還存儲與工作相關的文檔和數據。
2.3移動設備的脆弱性
移動設備的最主要的特性就是便攜性，因此它的物理安全脆弱性要遠比臺式設備高，很容易遺失或被盜。
移動設備使用的操作系統種類和版本繁多，很多都存在漏洞。目前移動設備的主流操作系統有iOS(蘋果公司開發的，基于蘋果OSX的操作系統)和Android(谷歌公司開發的，Linttx和基于Java平臺的Dalvik兩種操作系統的結合體)。以ioS為例，從發行到現在共發現了200多個漏洞，其中大部分屬于低風險漏洞，利用這些漏洞，一般只能取得某個應用程序的控箭J權限。也有些漏洞可以導致非常嚴重的問題，攻擊者甚至可以實現對設備的管理員級控制，這樣就可以獲取設備中幾乎所有的數據和服務。iPad2的iOS越獄行為(獲得系統的超級用戶權限，以便隨意擦寫任何區域的運行狀態，進而安裝和運行第三方程序)，是利用瀏覽器訪問越獄網站觸發PDF字體處理上的緩沖區溢出漏洞，獲得對設備的完全控制。整個越獄過程本質上和黑客攻擊的原理完全一致，只是越獄過程是設備使用者自愿利用漏洞。理論上一個經過越獄的系統，就是一個證實存在漏洞的系統。Android系統的情況也很類似，目前已發現的18個漏洞中修補了14個，另外未修補的4個中只有一個是高危漏洞，在Android V2.3得到修復。但是未升級到2.3版本的設備將存在高危風險。
移動設備上的通訊接口比固定使用的設備上的通訊接口要多，因此這些種類繁多的通訊接口都可能成為新的攻擊面。而有些通訊沒有經過身份認證和加密，很容易受到攻擊。例如，GPS通訊很容易受到干擾和欺詐。
有些脆弱性是由于系統的配置不當引起的。原則上設備上暫時不用的端口，應該配置成關閉。例如，在不使用藍牙的時候，應該關閉藍牙設置。應該配置身份認證選項，使得系統啟動后需要身份認證才能繼續使用設備。
2.4針對移動設備的安全威脅
對移動設備的安全威脅，大致可以分為三大類物理威脅、操作系統威脅和網絡威脅。偷盜行為和看管疏忽是針對移動設備物理安全的最大威脅。容易發生設備遺失的場所主要包括：高等院校、汽車、圖書館、機場、賓館和會議中心、辦公室、醫院。
惡意代碼是移動設備的最大威脅，這些惡意代碼主要表現為病毒、僵尸程序和間諜軟件或三者的混合體。病毒的主要作用是在用戶不知道的情況下濫用網絡，如撥打高收費電話或發送多媒體短信，以消耗用戶的費用，套取非法收益。僵尸程序主要是作為黑客控制被攻陷系統的代理，攻擊者可以用來發動拒絕服務攻擊。
間諜軟件可以用獲取系統上的機密信息。例如2006年9月，有人發現塞班操作系統上運行著一種稱為A callano的間諜軟件。這種問諜軟件把所有收發的短信息導向一個外部的號碼。這樣就會允許別人安裝間諜軟件監視受害人的短信流量。2006年4月，一款叫做Flexispy的商業軟件上市。這款軟件可以遠程激活設備的麥克風監控電話內容。盡管這款軟件的初衷是用來監控配偶或是不聽話的孩子，但也可以作為公司的監聽工具。它會在用戶不知情的情況下，發送日志信息到中央服務器。黑客也可以藉此訪問實體設備安裝軟件，讀取機密的信息，從服務器上檢查日志信息，并實施竊聽。
這些威脅與臺式終端上的完全類似。所不同的是，這些惡意代碼的傳播途徑更加豐富一些，主要包括：
(1)通過文本短信和多媒體短信傳播
病毒可以通過影響智能電話的文本傳輸能力和PIM數據，將病毒傳播到其他手機上。在支持MMS文本功能的手機上，Mabir病毒就可以通過回復短信實現傳播。在西班牙，Commwarrior病毒可以將病毒發送到手機中聯系人的手機上。
(2)藍牙
藍牙設備在處于“可發現”模式時會給竊聽者提供敏感信息，他們會通過這些信息來訪問你的設備。BlueBug攻擊可以讓攻擊者在被攻擊的藍牙手機上撥打電話、發送和接收短信、閱讀和編寫電話簿聯系人、偷聽電話內容以及連接至互聯網。BlueDump攻擊通過藍牙設備的配對信息破解PIN碼。BlueSmack攻擊通過發送“ping—of—death”消息，可以使藍牙設備崩潰。BlueStab攻擊利用特殊格式的名字在藍牙設備自動發現時造成設備崩潰。BlueSnarf可以讓攻擊者從藍牙設備上獲取聯系人信息和日程數據。
(3)播放被精心修改過的多媒體文件
這種攻擊方式在固定設備時代就存在，通過誘騙受害人在移動設備上播放被精心修改過的音頻或視頻文件，造成播放軟件造成軟件甚至系統的崩潰。
(4)通過與PC機互聯
移動設備經常需要與PC機互聯，進行數據同步。如果PC機上安裝了惡意程序，它會通過兩者間的互聯通路入侵到移動設備上，竊取數據。
(5)安裝未經安全檢驗的第三方應用程序
有些攻擊者在移動應用軟件在線市場散布含有惡意代碼的應用，或是篡改經過安全認證的應用并在網絡上分發。移動設備使用者如果隨意從網絡上下載應用并安裝，很容易感染惡意代碼。欺騙的網絡連接是針對移動設備的網絡層的威脅。移動設備的網絡連接通常是無線鏈路。攻擊者可以設置偽裝的無線接入站點，引誘用戶設備與偽裝的接入站點進行連接，從而監聽用戶的互聯網通訊或實施釣魚攻擊。通過偽造GPS信號對目標設備進行GPS欺詐攻擊。
3、移動設備安全策略與最佳實踐
3.1物理安全策略
在機場、圖書館等公共場所中，注意看管好自己的物品，不要讓移動設備離開自己的視線。不要將移動設備存放在沒有人照看的汽車中，以防被盜。其他一些防盜措施包括：
(1)記錄設備的有關的細節信息：如電話號碼、品牌型號、顏色外觀、設備ID號、GSM手機的IMEI號碼、PIN號碼等。
(2)用記號筆在設備和電池上做上標記。如可以寫下住址的單元號碼、生日日期等等。
(3)啟用PIN或者安全鎖密碼，鎖住移動設備
(4)將移動設備的IMEI號碼在運營商那里進行注冊，一旦設備被盜，可以申請運營商阻斷被盜設備。這樣做的風險是即使找回被盜設備也無法繼續使用了。
另外，采取一定技術手段，一旦移動設備被盜，可以順利地定位被盜設備的位置。例如可以在移動設備上安裝追蹤定位軟件，當被盜設備接入互聯網，它會悄悄地與公司的監控中心聯系，公司可以在權威部門的配合下追蹤并收回被盜設備。
3.2網絡安全策略
在網絡接入層對移動設備進行準入認證。安裝了指定客戶端安全檢查軟件的移動設備才準予接入網絡。這個策略與固定終端網絡環境下的要求是一致的。所不同的是，對于移動設備多數情況下使用無線鏈路，為了避免移動設備接入到欺詐網絡，對無線設備的準入控制應該是雙向的，即符合準入條件的可以接入企業內網，同時也不能隨便接入未經認證的網絡。這種阻止移動終端接入非認證網絡的工作機制同樣是依靠客戶端軟件與認證服務器之間的通訊進行準入判斷。
3.3操作系統及應用程序安全策略
操作系統的安全策略主要包括三個方面，一是正確進行配置，避免因為配置缺陷而遭受攻擊。二是避免隨意安裝未經安全認證的應用程序。三是及時進行系統更新和應用程序的版本升級。為了實現上述目標，應該：
(1)在企業內部建立移動設備的應用程序庫，程序庫中的應用程序都是經驗過安全驗證，證實沒有安全問題的。移動設備只能從應用程序庫中下載安裝程序。
(2)為移動設備提供轉譯服務，避免在移動設備的本地打開附件。
(3)此外還應對移動設備的配置定期進行滲透測試和配置核查，以及時發現移動設備上的各種脆弱性。
3.4數據安全策略
數據安全策略的目的是防止靜止和傳輸中的數據泄露。這些策略包括數據存儲和清除以及通信數據的加密兩個方面：
(1)企業應該明確規定機密數據范圍以及可存放于移動設備的數據的范圍。
(2)要求機密數據必須存儲于加密空間。
(3)支持遠程刪除丟失或遭竊設備中的數據。
(4)對重要業務系統的訪問需要通過加密通道。
(5)從公網訪問企業內網，必須通過VPN鏈路。
3.5安全管理策略與實踐
在固定終端設備中的一些安全管理要求，同樣適用于對移動設備的管理。例如對密碼口令設置的要求(口令的強度要求以及更換周期等)。
應該以書面形式將前述的各個層面的安全策略以正式的文檔公布出來，并要求使用移動設備的員工簽訂安全責任書，以正式明確相關義務。
落實執行前述安全策略，需要有一套IT支撐系統，從技術上保證對移動設備的統一監控和管理。通常稱這個系統稱為移動設備管理(MDM，Mobile Device Management)系統。下一章將簡述MDM系統應具備的主要功能。
4、MDM系統的核心功能要求
MDM系統已經成為國際公認的新的產品門類，這個領域里的廠商也接近10家，各家的產品功能在細節上雖有差異，但公認的核心功能包括：
(1)設備跟蹤定位
移動設備丟失后，監控中心可以根據監控到的信息，追蹤到設備的實際位置。
(2)聲音告警及歸還信息提示
設備如果丟失，能發出告警聲音震懾盜竊者。同時提供聯絡方式，以便撿拾移動設備的人可以根據地址歸還設備。
(3)網絡準入控制
提供雙重網絡準入控制，未經認證無法接入辦公網，同時不能接入到不可信任的網絡。
(4)提供可信的應用程序下載以及附件轉譯服務
為移動設備提供可信軟件下載和郵件轉譯服務，避免在移動設備的本地打開附件。
(5)遠程數據刪除
遠程刪除丟失或遭竊設備中的數據，通過門戶、移動Web門戶或來自好友設備的短信即可實現。支持對移動設備和SD卡的全部數據的遠程管理。
(6)數據加密存儲、集中備份和自動恢復
將公司指定的機密數據和個人信息數據存放于加密空間。
(7)應用日志
對通話、短信、彩信、網絡瀏覽等活動記錄下日志并進行審計，以便發現濫用行為。
(8)集中監控和用戶自服務門戶
可以讓用戶通過門戶和簡單的設備界面快速執行所需的安全任務、備份、定位、擦除等功能。
5、結束語
隨著云計算和無線寬帶數據通信的推廣普及，移動設備的發展會呈現四大趨勢，一是保有數量會加速增長，二是移動終端會逐步取代傳統的固定終端。三是智能手機會與現有的平板電腦融合成一個綜合性的多功能個人移動信息終端。四是多功能個人信息終端的操作系統在市場大潮的沖刷淘汰下，剩下2-3種主流的系統。
在這種的大發展趨勢下，移動信息終端的安全問題還會層出不窮，針對個人信息終端的安全管理將成為企業IT運維人員重點關注的問題。移動設備管理系統已經成為一個專門的安全產品門類。
核心關注：拓步ERP系統平臺是覆蓋了眾多的業務領域、行業應用，蘊涵了豐富的ERP管理思想，集成了ERP軟件業務管理理念，功能涉及供應鏈、成本、制造、CRM、HR等眾多業務領域的管理，全面涵蓋了企業關注ERP管理系統的核心領域，是眾多中小企業信息化建設首選的ERP管理軟件信賴品牌。
轉載請注明出處：拓步ERP資訊網http://www.guhuozai8.cn/
本文標題：企業移動設備安全管理方法與實踐
相關文章
