针对企业级iPad终端整合的安全策略

随着人们不断地提高笔记本电脑的安全性和集成度，笔记本电脑的功能已经足够强大。那么，如今涌入产业界的下一代网络终端设备的性能又如何呢？平板电脑现在在业界正炙手可热，其中的佼佼者便是苹果的iPad。毫无疑问，在接下来的几个月里，iPad在企业中的应用将会增加。

要高效地使用这款流行的平板电脑，工人需要访问企业的应用程序和数据，但这也意味着企业的程序和数据等资源不能违反相关政策，并且不能对iPad进行“越狱”。接下来让我们讨论讨论，对于那些想要将iPad作为其企业网络终端的人们来说，集成iPad都有哪些方法。

方法1：来宾终端（Guest endpoints）

作为一款支持Wi-Fi的设备，iPad能够接入任何开放的无线局域网（WLAN），包括来宾式无线局域网(guest WLANs)。因此，一种在网络中集成iPad的方式就是默认将员工拥有的iPad当做来宾终端，就像对待其他无法管理的来宾终端一样。

网络访问控制（NAC）产品通常用于控制来宾对网络的访问，如对来宾接入网络的时间进行限制，或者在接入前对其进行安全扫描。但是，NAC服务器无法持续地为iPad布置NAC客户端，也不能强制iPad运行基于浏览器的安全扫描。因此，我们只应给予iPad基于Web或因特网方式的接入权限。

在这种方法中，网络访问控制器和网络入侵监测系统可配合使用，用于识别iPad、监测终端接入系统后的活动以及断开“不守规矩”的设备。虽然这两种技术能够提供可视化功能，并且也能够保护网络，但是仅对iPad设备提供普通的来宾访问权限并不能使其成为一个（真正意义上的）企业用网络终端，相反还会限制该设备的能力。

方法2：远程终端（Remote endpoints）

另外一种方法是将iPad当做远程终端来使用，即便是在本地无线局域网内也可以这样做。例如，已接入英特网的iPad可以通过Exchange ActiveSync（交流同步）检索公司邮件，或者使用由思科系统公司或Juniper网络公司提供的VPN客户端来获得比来宾账户更大的网络接入权限。

我们可以要求iPad的使用者浏览预提供的网络地址，安装配置档案进行批量系统设置，这些设置包括设备的加密和密码要求、数字证书、VPN和Exchange的使用参数及使用限制（如禁用摄像头）。配置档案能够被锁定并加密，以防止共享或者篡改，但关键还是在于强制执行配置档案；安装配置档案也不能够确保每一台iPad都兼容。

要解决这个问题，一个办法是每当电子邮件被阅读时，使用Exchange ActiveSync检测被选择的iPad的配置情况，剔除不兼容的终端。例如，在Exchange ActiveSync的政策设置里我们可以阻止未签名的应用程序阅读公司邮件。同样地，它也能够将政策设置传递给那些拥有Exchange访问权限的iPad，iPad还可以被设置为定期刷新这些政策设置。

另一种办法是安装与iOS兼容并具有整体系统评估能力的VPN客户端。例如，Juniper公司的Junos Pulse Mobile Security Suite，该套件结合了SSL VPN技术与终端安全措施，如反病毒、反垃圾邮件以及接入企业网络所必需的应用程序控制等。该VPN客户端甚至可以在受理相同的身份认证、整体监测或授权策略时自由地在Wi-Fi网络和移动通信网络之间漫游。我们还可以选择使用思科的与iOS兼容的AnyConnect。

方法3：受控终端（Managed endpoints）

最后，我们来讨论控制式的终端。许多企业通过采取某些移动设备管理（MDM）控制措施来实现对iPad的完整集成。这可以在如今运行iOS4的iPad上面实现。

在iOS4中，苹果为供应商如AirWatch、BoxTone、MobileIron、Sybase、Tangoe、Zenprise等提供了远程访问接口。通过这种方法，使用者通过浏览预提供的网络地址在公司的MDM服务器和iPad之间建立连接。然后，MDM的请求和响应由苹果的推进通知服务（Push Notification Service）转发。通过这种渠道，配置档案和企业应用程序将通过无线网络被发送至受控制的iPad，同时终端配置和应用事件也可以发送回MDM服务器。

这些技术能够为系统提供近乎实时的完整评估和执行能力。例如，配置档案可被用于配置企业的VPM或者Exchange访问权限。如果访问权限之后被吊销，MDM可以移除配置档案，删除所有相关的企业数据，包括电子邮件信息、联系人和日历条目。同样地，如果MDM检测到某一iPad被“越狱”了，那么该iPad与MDM服务器之间的协作关系可被解除，之前iPad上所安装的企业应用程序也可以被禁用。

苹果限制了iOS4 MDM能控制的配置以及可执行的命令。具体而言，你不能强制安装受推荐的苹果商店应用，这会使得你可以很方便地安装安全程序如VPN客户端或恶意软件扫描程序。虽然iOS4的版本可以被检测到，但目前还无法通过无线网络进行iOS4的更新；更新仍然必须通过iTunes进行。

然而，MDM产品目前已经开始使用这些接口在iPad上评估和执行某些特定规范。例如，AirWatch能够根据预先提供的黑名单，检查安装在任何iPad商店应用程序，从而采取相应的措施，如警告用户或者远程卸载iPad上的违规程序。MobileIron可以（当然它的功能不止于此）在任何拥有过期的管理策略、被禁用的加密、未授权硬件版本等的iPad上删除Exchange、VPN或者WLAN配置档案。

总结

像iPad这样的平板电脑需要新的工具去实现、评估和执行终端集成。但是，同笔记本电脑和上网本一样，iPad的安全策略控制方法繁多，有高度可视化/触摸类的工具，也有可提供广泛控制的高度集成工具。有些企业可能会根据需要同时采取多种方法，例如，控制管理那些装有企业程序的iPad，同时将那些没有安装企业程序的当做普通来宾。