企业移动设备安全解决之道

现在智能手机和PDA的功能越来越强大，越来越收到商务人士的青睐。通过提供实时有效的信息访问连接，移动设备的出现提高了工作效率。尽管如此，事物的出现总是具有两面性的。移动设备在带来机遇的同时，也会由于设备的丢失造成企业机密和个人信息的丢失。还有日益盛行的恶意软件，垃圾邮件和针对移动设备的黑客事件。

智能手机整合了手机和类似个人电脑的一些功能和处理能力。除了打电话之外，用户还可以运行软件，存储和处理网络数据等。有些智能手机提供高达8G的记忆卡，这足以存储足够的公司数据。

软件开发商现在使用各种各样的工具开发基于移动设备平台的软件。一些开放移动平台的出现，诸如Symbian操作系统和微软Windows移动操作系统的出现，可以让应用程序毫无限制地安装在任何设备上。

性能的增强，新的应用程序，基于广域和窄域(Wi-fi)网络的服务，蓝牙连接功能，这一切都使得移动设备在商务人士非常流行。

企业现在开始注意到保护移动设备的安全和保护台式机，笔记本电脑的的安全一样重要。解决移动设备的安全问题需要考虑到人，技术和程序问题。

以下我们将详细讨论如何应对这些风险。

二.移动设备在工作场所中日益增长的使用

根据IDC的估计，2009年，全球移动办公的人数将会超过八亿五千万，占到世界劳动力的25%。移动设备的广泛使用将会促使企业考虑移动设备造成的傲气压力。

除了不用使用个人电脑就可以处理重要的商业事务之外，智能手机和PDA还可以为用户提供如下功能：

1. 收发电子邮件

2. 收发即时信息

3. 使用一些常用软件(ERP企业资源计划，CRM客户关系管理)

4. 扫描条形码

5. 玩在线游戏

6. 聊天

7. 上网

8. 下载和共享文件

9. 使用PIM(个人信息管理器)功能和诸如联系信息和日程安排数据

10. 存储机密的个人和企业信息

所有上述功能都说明移动设备的安全问题需要认真对待。

一些公司开始允许ERP，客户关系管理或是销售力自动化等软件在移动设备上运行。因此这些移动软件上会包含有敏感数据或是客户和商业信息。移动程序还将PDA等移动设备变成了关键的商务工具。

三.移动设备造成的主要威胁

尽管移动设备带来了效率的提高，它们也给企业带了了新的安全问题。移动设备的安全漏洞会给企业带来重大损失。

移动设备用户的增长和网络连接的暴增开始修改了传统的企业工作地概念。由中央防火墙保护的企业网络已经显得落后。用户经常游离于保护之外，敏感数据和安全风险随时可能发生。移动设备还会感染上病毒和而恶意软件，这样就会将其散播到公司的网络中。另外一个负面影响就是移动设备很容易丢失或被盗，直接威胁到存储和访问过的数据。

移动设备的主要安全风险：

移动设备丢失导致的公司敏感数据和知识产权的损失

恶意软件导致的工作效率下降

间谍软件导致的知识产权损失

网络欺骗和黑客导致的工作效率的降低

以下将一一详细阐述上述的问题：

移动设备导致的数据的损失

移动设备丢失造成的硬件和软件的损失相比包含在里面的信息的损失根本不值一提。数据损失可能导致公司名誉扫地，优势地位的丧失和潜在的法律问题。

客户，病人，还有生意合作伙伴相信都很信任地把敏感信息交由公司处理。许多政府都出台了相关规定规范公司的这种信息管理行为。

以美国为例，公司就需要遵循如下规章：

GLBA 法案

SOX法案

HIPPA法案

GRISA 法案

FDA(美国食品及药物管理局) 第十一条规定

还有其它各种各样的法律保护公民的个人和医疗信息不被泄露

美国的GISRA要求企业加密数据和执行认证机制保护政府机密数据。

欧盟国家受欧盟数据隐私委员会的管理。加拿大，日本等过也有类似的规定。这些法律都对泄露个人个和公司信息的行为的处罚很重。除了面临民事处罚之外，公司还会面临信誉的丧失等。

一旦移动设备丢失，设备上的数据就会出于危险。因此，企业有必要限制存储在设备上的信息。未经授权的数据访问要么檫掉，要么加密。数据的檫洗可以通过远程擦除命令或是自动删除信息功能，譬如说超过试密码次数。远程擦除命令在设备没有联网的时候无法发挥效力，用处不大。因此加密是设备丢失之后保证数据安全最有效的方法。

恶意软件导致的工作效率的下降

尽管现在只是电脑上的病毒和蠕虫泛滥，但是随着智能手机用户及其功能的增加，恶意软件写手已是垂涎三尺。

2000年的时候就发生了一起很重要的针对特定移动操作器的攻击。从那时开始，病毒和恶意软件就开始影响时下流行的移动操作系统——Symbian 操作系统和 Windows 移动操作系统。

智能电话中内置的电子邮件和文本功能让其成为了病毒的天然对象。网络连接能力的提升愈加了这种风险。使用Wi-Fi和蓝牙连接，恶意软件可以通过点对点进行传播。

病毒可以通过影响智能电话的整体文本能力和PIM数据传播到其它手机上。Mabir病毒就可以在支持MMS文本功能的手机回复短信的时候实现传播。在西班牙，Commwarrior病毒可以将病毒发送到手机中的联系人的手机上。

移动软件还可以利用欺骗手段造受害人成金融损失。现在的针对塞班操作系统的移动恶意软件可以在用户不知情的情况下发送保险之类的信息。将来的间谍软件还会利用在电脑平台上已经成熟的一些技巧。这样一些欺骗将会导致商业成本的增加和商业效率的下降。

短信服务(SMS)恶意软件包括的垃圾文本已经成为了一个问题。用户的注意力会被垃圾短信分散，有时还会由于基于短信的网络钓鱼事件造成个人机密信息的遗失，这也被称作移动网络钓鱼(smishing)。

由于间谍软件导致的知识产权损失

现在典型的恶意软件写手已经从单纯的获取虚幻的个人技术名声转向了获取实际的经济利益。他们利用恶意软件盗取个人机密信息就是为了出售或是给企业造成损失。例如，远程访问密码和键盘记录器就有可能从移动设备上泄露敏感信息，正如笔记本和台式机上已经发生的事情一样。

目前已知的给企业带来重大损失的就是Acallno病毒和Flexispy事件。

Acallano——2006年9月，一种叫做Acallano的间谍软件被发现在塞班操作系统上运行。这种间谍软件把所有收发的短信息导向一个外部的号码。这样就会允许别人安装间谍软件监视受害人的短信流量。

Flexispy——2006年4月，一款叫做Flexispy的商业软件流入市场。Flexispy被指为帮助偷听合作伙伴。这款软件可以远程激活设备的麦克风监控电话内容。尽管这可以用来监控配偶或是不听话的孩子，但是也可以作为公司的监听工具。这款软件会在用户不知情的情况下发送日志信息到中央服务器。黑客就可以藉此访问实体设备安装软件。一旦软件被安装，黑客就可以读取机密的信息，从服务器上检查日志信息，还有实施窃听。

黑客事件导致的工作效率的下降

除了由恶意软件，垃圾邮件，间谍软件造成的威胁之外，移动设备还会成为黑客和DoS攻击的对象，借助的是移动操作系统的漏洞。例如，一种叫做“头颅”(skull)的恶意软件会使移动设备上的应用程序失灵。一旦设备感染上这种病毒，用户就不能收发邮件和消息，日历功能也会停止。电话上的所有图标都会被头颅的图像代替。

尽管上述的一些风险使人气馁，但是通过以下方式还是可以把风险降低到最小。下一章介绍处置安全风险的方法。

四.保证移动设备安全的最好方法

技术仅仅是移动安全规划的一部分。安全是人，流程和技术三合一体的产物。要想实现最大程度的安全，这三方面的因素都需要考虑。为了防止移动设备和企业的网络免于数据和效率的损失，企业应该采取如下措施：

1.建立使用移动设备的清晰的政策

2.用户和设备对数据的访问需要得到授权

3.加密数据

4.使用加密连接传输数据

5.在移动设备上安装杀毒软件

6.部署防火墙和入侵监测系统防范网络劫持和DoS攻击

7.集中管理移动设备安全

8.提高用户风险意识，加强管理

建立使用移动设备的清晰的政策

企业需要考虑使用移动设备时的法律和兼容性相关的问题。政策的执行不是被隔离的，应该包括IT，采购，人力资源和法律各个部门的通力合作。

随着企业拥有移动设备数量的激增，越来越多的用户也开始使用自己的移动设备工作。为了控制安全风险，企业IT部门需要需要就移动设备的使用设立一套清晰的规章，不管是谁使用移动设备，对企业信息访问的移动设备都要加以控制。

知晓企业中使用的移动设备的类型对于制定行之有效的安全政策是必要的。对于设备类型和功能的深入了解有助于管理人员老公安全风险对症下药。

有一些设备提供电脑到设备的数据同步功能。数据同步功能保证了电脑上的关键数据可以利用outlook或是文件存储同步下载到设备中。许多用户喜欢笔记本和移动设备之间的同步功能。

但是，使用同步工具会导致企业安全政策上的漏洞。电脑上安全的数据可能由于不安全的移动设备而导致潜在的泄露风险。对于台式机，笔记本和服务器的安全保护和安全技术的使用会使人产生错误安全认识。IT管理人员应该考虑限制同步功能的使用来减少恶意软件影响和数据丢失的可能性。

如果是允许使用同步功能，可以采取如下步骤：

1.教育用户警惕风险，学会识别恶意软件特征

2.要像重视笔记本安全一样重视移动设备的安全

3.只同步必要的文件而不是所有的

4.制定移动设备安全政策的建议

5.建立合理有效的移动设备安全政策有助于保证数据安全和工作效率的提高

6.制定政策时需要IT，采购，人力资源和法律部门的通力合作

7.了解访问或是存储企业数据的设备的类型

8.保护和限制数据同步到移动设备上

用户和设备访问数据时需要获得授权

移动设备的数据要防止未经授权的人士访问。密码保护首要的必须的。移动设备要设置开机密码确保用户与设备的一致。

集中管理和执行有助于减轻管理人员管理所有用户密码的负担。理想的状况就是，IT管理人员需要有一套放之四海皆准的安全政策。

一个好的移动安全解决方案应该确保管理人员建立和执行安全政策的连贯性。譬如说，管理人员要能够防范恶意的登录尝试。管理人员要知道如何应对多次失败的密码尝试：

重启设备，然后要求用户提供开机密码继续

要求用户重新登录解锁

删除设备上和存储卡上的所有信息，将设备恢复到出厂默认设置

为实现最大限度的保护，使用特殊的软件删除数据，预设存储条件。通过这一功能的使用，数据即使在无线电波关闭的时候管理人员也可以及时删除数据。

移动认证建议

1.使用密码保护防止未经授权的数据访问

2.加密数据

加密是保护数据最有效的方法，也是设备丢失后防止数据泄露的第一道防线。美国一些州的法律规定一旦发生数据泄露，公司应该如实完全披露。有一些国家也有类似的法律。在日本有专门的组织向政府报告数据泄露。唯一的例外就是如果数据实施了加密或是在数据泄露之间得到了有效地制止。

有一些邮件方案加密了邮件存储。但是，综合的解决方案不仅仅是邮件存储的加密，还有设备上其它数据的加密，譬如联系人信息，日程表，以及文件。加密不仅仅应用于设备上的存储媒介。管理人员要根据文件的不同实施不同的加密，使用不同的加密算法。

加密的强度依赖于其所使用的加密算法。目前市面上有很多加密算法。加密算法分为两种类型——密钥和公钥算法。密钥算法提供了机密，而公钥算法提供机密和授权。密钥算法往往更快，超过公钥算法1000倍的速度。一般说来，密钥算法应用于实施了基本的授权认证之后。

使用最广泛的密钥算法是AES(高级加密标准)和老式的3DES(三重数据加密标准)。如果他们有选择加密算法个密钥长度的选择的话，公司可以在政府要求和性能之间寻找到平衡点。譬如有一些美国企业使用很长的密码保护最重要的商业数据资产。但是，越高的加密意味着更高的能源消耗，这样就减少了电池寿命。IT管理人员寻找提供伸缩性的加密解决方案。譬如3DES和128字节，192字节，256字节的AES。最好的解决方案就是用最少的密码长实现符合条件的安全。使用超出要求的加密将会给用户设备性能带来负面影响。

获得认证的加密方案提供了安全保障。满足FIPS140-2标准的产品保证了数据保护满足特定的安全标准，譬如说基本的设计和文件记录，模块操作界面，认证角色和服务，实体安全，软件安全，操作系统安全，密钥管理和加密算法。

尽管完全设备加密是可能的，有一些公司考虑哪些信息是必须加密的。加密会消耗掉宝贵的CPU，内存和电池。实施必要的加密将资源消耗降低到最小限度。

加密方案不仅仅是基于实地，有一些解决方案不需要用户的干预实现实时实地的文件加密。尽管如此，文件夹保护有赖于用户的合作保护数据。文件夹加密时，有些用户还是一不小心就会把机密文件存储于文件夹之外，这样就会出现信息泄露的看你洗。

可靠的加密方案应该，根据中央管理控制台的建议，加密内存上和存储卡上的数据。理想情况下，中央管理控制台应该在用户忘记密码的时候有必要的程序恢复数据访问。

综合的解决方案不仅包括满足适当标准和认证的加密，提供加密算法和密钥长度的弹性，还要能够安全的使用密钥管理访问数据。

移动数据安全加密建议

选择数据加密方案不仅要满足政策要求，还不至于对设备性能造成太大压力：

加密移动设备上的数据，包括存储媒介

用最少的加密实现最好的安全

选择认证加密实现更好的保护(FIPS140-2)

使用“地点加密”而不是文件夹，这样就可以实现无用户干预地保护

防止密钥被盗

使用安全连接传输数据

尽管设备上的数据需要加密，数据在传输过程中也需要加密(邮传，使用无线应用程序访问等)。通过加密传输中的数据，防止数据在从设备到服务器的传输过程中被黑客截获。SSL(Security Socket Layer , 加密套接字协议层)协议可以保证数据在传输过程中的安全。SSL以其简洁实用深受欢迎。实用SSL不需要在设备上安装额外的软件。

VPN(虚拟个人网络)可以保证数据传输中的安全。但是VPN花费昂贵，由于VPN软件客户端的安装也会导致CPU占用率过高，设备电池消耗增加。

数据在使用移动设备邮传或是访问的时候会由于缺少保护面临危险。

SSL保护传输过程中的数据，执行简单，不需要安全新的在移动设备上安装新的软件

VPN也可以保护数据传输过程中的安全，但是昂贵，电池消耗多，需要安装新的客户软件。

在移动设备上安装恶意软件保护软件

企业在保护台式机和笔记本安全的时候也需要考虑到移动设备。在网络中使用的移动设备一般游离于企业之外。但是它们再次与企业网络连接的时候，就有可能感染IT系统。为了给移动设备提供台式机和笔记本同等程度的保护，移动设备上也需要安装杀毒软件限制类似的病毒感染。

反恶意软件软件寻找已知的病毒(蠕虫，木马，间谍软件和其它未经授权的程序)特征。一旦恶意软件安装到移动设备上，不仅会导致机密信息的丢失，还有效率的降低。

反恶意软件解决方案扫描移动威胁阻止恶意软件的安装。有一些商业软件，譬如Flexispy也有合法的用途。但是，用户应该意识到这样的软件应该设有删除的选项。

为了更加有效的防止恶意软件，反恶意软件的软件和反垃圾邮件解决方案不断自动更新病毒库。

移动数据应该实时扫描。这不仅仅包括移动设备上的数据，还有外部存储卡上的数据。如果有需要的话，管理人员应该在一个或多个设备上实施人工扫描。这种方案还要能够扫描特定的文件类型和ZIP以及CAB等压缩文件。

移动反恶意软件软件建议：

1.为移动设备提供电脑同等的保护

2.扫描移动威胁和应用程序

3.方案的升级无须过多的人为干预

4.实时扫描设备和存储卡中的恶意软件

使用主动防火墙和入侵检测系统(IDS)

同样的，电脑安全需要防火墙限制访问，移动设备也需要防火墙保护。防火墙具有令人称道的能力。一旦激活，防火墙就会限制流量类型和源流量。一旦设备联网，防火墙对于阻止端口扫描是必须的，因为黑客通常利用端口扫描找出漏洞。防火墙是防止黑客利用操作系统漏洞的第一道屏障。

企业中使用的防火墙和IDS可以根据需要由管理员设置。通过使用中央管理控制台，IT管理人员可以过滤特定IP地址，端口或是协议的的流量。IDS在移动设备上的部署可以通过确定网络流量的类型阻止DoS攻击。

最佳的解决方案需要有方便操作的界面设定规则阻止出流量和入流量。

管理员要能够选择默认的安全层级：

“低”是允许所有的入流和出流

“中”允许出流，禁止所有入流

“高”阻止所有的出流和如流

方案应该允许管理人员设置例外清单阻止或通行特定的网络流量。例如，管理员可以根据企业用户的不同需求排除一些端口，协议，IP地址等等。

防火墙和IDS建议：

检查和限制对设备的访问提高了移动设备安全：

防火墙限制了流量类型和源流量

选择便于部署的防火墙，防火墙的安全等级经管理人员设置

IDS可以阻止DoS攻击

移动设备安全的集成管理

集成管理降低了了管理多个设备的成本和复杂性。移动设备游离于企业之外，因此不能实施远程管理的解决方案都是不够的。这些工具保证了所有的移动设备都包含同样软件的同样版本，还有移除未经授权的软件。软件分布也是移动数据保护战略的关键因素。

移动安全集成管理的建议：

从集成网络管理控制台，IT管理人员需要做到：

在手持设备上安装移动安全设备。

集成提供安全设置和政策

锁定移动安全设备设置防止用户篡改设置

下载软件补丁，安全和文件类型升级到移动设备

一旦满足特定的条件，移动设备上的数据就应该删除，譬如说过多的登录失败尝试。即使是在“飞行模式”或是与网络断开连接的情况下，数据的删除也应该保证成功。管理操作平台要建立一套数据清除政策，这样在发生违反政策的情况下，管理人员内置的安全软件就可以清除掉数据。这种非连接性的远程清除帮助保护数据安全，即使是在SIM卡被取掉或是无线网络关闭的情况下。

事件日志应该保留下来以便更好地应对和处理企业面临的风险。

许多企业都有设备管理工具。解决方案应该与部署在网络中的设备管理工具一起工作。

最后，如果企业能够把移动设备和台式机安全的管理集成到同一个管理平台上，那么管理和操作上的花费将大大降低。

提高用户的安全警惕性，加强培训

提高安全保护粗要考虑到人的因素，流程还有技术因素，还有对于移动设备造成的网络威胁的综合性培训。电脑用户需要辨别垃圾邮件和网络钓鱼，移动设备用户也需要了解一些针对设备的潜在的威胁。

教育用户的建议：

不要从非信任的渠道下载应用程序

不要与陌生人共享应用程序

在不使用的时候关闭蓝牙功能

备份设备上的所有文件数据

及时更新设备上的软件(操作系统，病毒库，防火墙设置等等)

听取最新的安全建议

五.总结：

现在许多公司提供给员工智能手机或是PDA来提高工作效率。尽管这会带来一定程度上的工作效率的提高，但是也因此会给企业带来杀身之祸。

企业需要整合人力，流程和技术三方面来应对安全风险。一个综合性的方案包括教会员工安安全使用移动设备，将电脑上的安全规则应用到移动设备上，还有行之有效的安全技术解决方案。

用户必须学会安全使用移动设备。许多在电脑上的常识安全知识也可以应用到移动设备上。正如电脑用户避免登录恶意网站一样，使用智能手机上网的用户也要格外小心。一个连贯的安全政策将降低风险的可能性。IT管理人员需要将应用在电脑上的安全措施放在移动设备上，因为二者面临的安全风险是类似的。

最后，企业使用的移动安全技术要包括认证机制，数据的加密，数据传输过程中的安全保障，反恶意软件的软件，防火墙和IDS，集成管理电脑和移动设备安全的机制。实际上，我们可以采取应对电脑安全风险类似的方法管理移动设备。通过员工的训练，建立移动安全政策，选择有弹性的而又综合性的安全技术，那么企业中的移动设备就能真正发挥提高工作效率的作用。