移动设备安全杂谈：影响企业的信息安全

随着人类科技的进步，移动设备在人们的信息生活中处于越来越重要的地位，企业员工使用移动设备的比普通用户更多，这也给企业的信息安全带来了较多的安全隐患，当然我们不能因噎废食，下面就来谈谈移动设备安全的一些因素，以备用户作好相应的防范工作。

目前，最受人们青睐的移动设备操作系统有两款，即谷歌Android（安卓）与苹果iOS。在此白皮书中，我们将对这两种操作系统的安全模式进行评估。同时，随着移动设备的普及，我们在本文也将谈及它们对企业信息安全带来的影响。

随着种类繁多的消费类设备不断进入工作场所，首席信息官以及首席信息安全官正面临着一场严峻的信息安全考验。现在，越来越多的用户使用移动设备访问企业服务、查看企业数据、进行业务操作。此外，很多设备不受管理员的控制，这就意味着企业敏感数据没有受到企业现有遵从、安全及数据丢失防护（DLP）等政策的约束。

更为复杂的是，当今的移动设备并不是信息孤岛—它们可以与一个支持云服务和电脑服务的生态系统相连接。一款典型的智能手机至少可以与一个公有云服务同步连接而不受管理员的控制。同时，很多用户也会直接将移动设备跟家用电脑连接，对重要的设置或数据进行备份。就上述两种情况而言，企业的重要资产很有可能储存在某个不受企业直接管理、无安全保障的地方。

移动设备安全目标

谈及安全方面，这两款主流移动平台与传统的桌面及服务器操作系统所采用的安全模式不尽相同。虽然两种平台都是在现有操作系统（iOS基于苹果OSX操作系统，Android（安卓）基于Linux操作系统）的基础上开发而来，但每款操作系统都针对自身的核心应用设计更为精密的安全模式。其目标是使移动平台自身就具备良好的安全性，从而摆脱对第三方安全软件的依赖。

那么，苹果和谷歌对创建安全移动平台的探索成功了吗？为了找到答案，我们将分别对两款软件的安全模式以及应用实施进行分析，从而判断它们能否抵御当今主要的网络安全威胁。这些安全威胁包括：

•基于网站和网络的攻击。该类型的病毒攻击通常因为访问恶意网站或非法网站而引发。

•恶意软件。这种软件可以分成三大类：传统电脑病毒、电脑蠕虫病毒、特洛伊木马病毒。

•社会工程学攻击。该类型的攻击，例如钓鱼，便是利用社会工程学诱使用户泄露敏感信息或诱导用户在电脑上安装恶意软件。

•网络可用资源和服务滥用。很多攻击的目的都是滥用设备相关的网络、计算或身份资源而达到非法目的。

•恶意和无意的数据丢失。当员工或黑客从受保护的设备或网络中获取敏感信息时，通常会导致数据丢失。

•对设备数据完整性的攻击。在数据完整性攻击当中，攻击者在未得到数据所有方允许的情况下试图对数据进行破坏或修改。

苹果iOS操作系统

苹果iOS操作系统（OS）可应用于iPod、iPhone、iPad等移动设备，是苹果OS X Mac操作系统的简化版本。

系统漏洞

截至本文撰写之时，安全研究人员已发现：从iOS操作系统发行之初到现在，该系统的所有版本存在大约200种不同的漏洞，但大部分的漏洞问题并不是很严重。攻击者可以利用其中绝大部分的漏洞实现对某个程序的控制，如Safari程序，但他们要实现对设备的管理员级控制却绝非易事。但其中一部分漏洞导致的问题则非常严重，如果这些漏洞被利用，攻击者可以实现对设备的管理员级控制，这样一来他们就可以获取设备中几乎所有的数据和服务。这类更为严重的漏洞被归类为权限提升型漏洞，因为攻击者可以利用这些漏洞提高自身权限并实现对设备的完全控制。

根据赛门铁克统计的数据，截至本文撰写之时，苹果公司平均每12天就要对新发现的漏洞进行修复。

iOS操作系统安全概述

赛门铁克认为：iOS操作系统的安全模式设计良好，并且实践证明它可以抵御多种攻击。总体而言：

•iOS加密系统能很好地保护邮件及邮件附件，同时也让设备得到清理，但却无法有效防范蓄意攻击者对物理设备进行的攻击。

•iOS系统原理可以确保苹果公司对每款公开应用程序进行检测，但这种检测方式也并不是万无一失。而且几乎可以肯定的是，它能被一些蓄意攻击者绕开。到现在为止，还远不能证明这种方式能很好地防范恶意软件攻击、数据丢失型攻击、数据完整性攻击，以及拒绝服务式攻击。

转截请注明:文章来自 pc捍卫者 http://www.pchwz.com 本站发布此文为传递更多信息之目的,不表明pc捍卫者赞同其观点