周華+張先斌+楊莉莉+楊文明+龍建華

摘 要 隨著企業(yè)信息化水平的不斷提升，基于傳統(tǒng)PC的辦公自動化系統(tǒng)已經(jīng)不能滿足當前社會高效率移動互聯(lián)時代的辦公需求。一方面，企業(yè)各種業(yè)務(wù)擴展和移動辦公人數(shù)、地點的增多，迫切需要員工能夠在分支機構(gòu)、出差旅途中、酒店，甚至家里、咖啡室等任何地方接入辦公系統(tǒng)進行工作，從而提升企業(yè)競爭力;另一方面，員工手中的移動設(shè)備早已不只是打電話、發(fā)短信這樣簡單的功能，并希望自己的手機、平板電腦，不但能夠?qū)崿F(xiàn)個人應(yīng)用，還能夠進行移動辦公，提升自己的工作效率和業(yè)績。文章分析了BYOD（Bring Your Own Device）面臨的安全風險，討論了當前BYOD的安全研究現(xiàn)狀，最后提出了BYOD的安全建議，可以作為移動辦公安全建設(shè)提供重要參考。

關(guān)鍵詞 BYOD;移動辦公;問題研究

中圖分類號：TP3 文獻標識碼：A 文章編號：1671-7597（2014）22-0142-04

據(jù)海比研究數(shù)據(jù)顯示，96%的企業(yè)希望將業(yè)務(wù)部署到移動終端，93%的企業(yè)領(lǐng)導希望實現(xiàn)移動辦公。2011年企業(yè)級移動應(yīng)用的市場規(guī)模大概在60億，預(yù)計未來企業(yè)級移動應(yīng)用市場的增長將達到40%，企業(yè)如此熱衷于移動辦公，這表明他們確信移動應(yīng)用不僅能方便他們的日常辦公，而且能夠為其創(chuàng)造巨大的價值。一般來說，一項新技術(shù)應(yīng)用的實際獲得收益往往比預(yù)想中的低。然而，對于目前正在使用移動終端（如智能電話和平板電腦）的企業(yè)來說，77%的調(diào)查對象已經(jīng)看到實施后生產(chǎn)力的提升。此外，59%的調(diào)查對象現(xiàn)在正在依靠移動設(shè)備實施一系列的業(yè)務(wù)應(yīng)用，這就顯示出，移動應(yīng)用已經(jīng)逐漸成為主流。企業(yè)希望引入移動終端加強自身業(yè)務(wù)的需求非常強烈。

然而，從安全角度考慮，BYOD移動辦公還面臨許多安全風險，針對BYOD業(yè)界和安全研究者們提出了許多安全方案和技術(shù)手段，但離完全解決BYOD安全目標還有很大差距，本文主要目的是幫助用戶了解當前BYOD的安全勢態(tài)，為BYOD安全建設(shè)提供參考。

1 BYOD面臨的安全風險

允許員工使用他們自己的設(shè)備會帶來許多風險，這些設(shè)備在不同環(huán)境中需要區(qū)別對待，有時候是作為部分可信的端點來對待，有時候必須作為完全不可信的端點來對待。主要的考慮是BYOD會使風險提高，新型的移動設(shè)備可能比傳統(tǒng)的設(shè)備更容易地被攻擊。

1）移動終端安全威脅。

①空中竊聽。攻擊者可以截獲無線電信號并解析出數(shù)據(jù)。用于無線網(wǎng)絡(luò)接入的設(shè)備過很小的改動就可以被設(shè)置成截獲特定無線信道或頻率的數(shù)據(jù)的設(shè)備，而且這種攻擊行為很難被檢測到。

②漏洞利用。移動終端的操作系統(tǒng)、應(yīng)用程序甚至固件都曾被發(fā)現(xiàn)存在漏洞，攻擊者可以利用這些漏洞進行各種形式的攻擊。據(jù)最新研究表明，針對Android設(shè)備的惡意軟件數(shù)量在過去不到一年的時間里增長了41倍。研究還發(fā)現(xiàn)超過半數(shù)的Android設(shè)備存在未經(jīng)修復(fù)的安全漏洞。設(shè)備廠商和運營商們補丁發(fā)布遲緩是造成消費者已經(jīng)購買的Android設(shè)備無法及時修復(fù)漏洞的主要原因。

2012年5月18日，據(jù)英國科技網(wǎng)站The Register報道，德國烏爾姆大學的研究學者在對Android平臺的安全性進行研究后發(fā)現(xiàn)，99%的Android手機都存在密碼容易失竊的漏洞。研究發(fā)現(xiàn)，Android平臺存在一個與名為“Client Login”的身份驗證協(xié)議有關(guān)漏洞，用戶輸入受密碼保護的服務(wù)的身份憑證以后，黑客就能通過這個漏洞收集和使用手機用戶存儲的數(shù)字標識符。該協(xié)議現(xiàn)存在于Android 2.3.3及以前版本中。2012年10月22日有媒體報道，來自漢諾威和馬爾堡大學的專家們最近發(fā)布一項研究聲稱，在Google Play Store提供的最流行的免費應(yīng)用程序（App）中，許多都可能帶有導致man-in-the-middle（MITM）攻擊的漏洞，這將嚴重威脅到用戶隱私。攻擊者得以竊取高度敏感的用戶信息，包括他們在社交網(wǎng)站甚至網(wǎng)上銀行的用戶名和密碼。專家表示，“Google's Play市場數(shù)據(jù)表明，目前，帶有這種漏洞的App程序累積安裝量在3950萬～18500萬之間。實際安裝數(shù)量可能會更大，因為這還沒有包括其他安卓App市場的安裝量?！?012年10月下旬媒體披露出，最近的實例代碼測試中發(fā)現(xiàn)Broadcom的BCM4325和BCM4329兩個無線芯片固件非常容易受到攻擊。搭載這兩款芯片的設(shè)備有iPhone 4，iPad，iPad 2，HTC Droid Incredible 2，Motorola Droid X2和福特汽車的無線模塊等，這些芯片連接WiFi網(wǎng)絡(luò)后容易受到攻擊的影響而斷線。研究者Andrés Blanco說：“攻擊者只需要準備一個支持802.11規(guī)格的無線網(wǎng)卡就能輕松地向你發(fā)動攻擊”。該脆弱性的CVE編號為CVE-2012-2619，在CWE分類為“輸入驗證錯誤（Input validation error[CWE-20]）”。早在2002年就有安全公司宣稱，手機的藍牙功能存在漏洞 ，可導致攻擊者取得手機的控制權(quán)，進而通過發(fā)送短信、撥打電話、瀏覽網(wǎng)頁等消耗受害者的資費， 通過查看通訊簿等獲得受害人的隱私信息。

圖1 空中竊聽示例圖

③病毒木馬。病毒木馬等惡意軟件是PC時代的主要安全威脅 ，智能終端的出現(xiàn)為這類惡意程序提供新的生存環(huán)境。從病毒傳播渠道上看，手機病毒來源主要包括：文本短信和多媒體短信中夾帶惡意URL藍牙接口播放攻擊構(gòu)造的惡意多媒體文件與感染惡意程序的PC機互聯(lián)安裝未經(jīng)安全檢驗的第三方應(yīng)用程序或手機ROM。在2011年第三屆通信網(wǎng)絡(luò)和信息安全高層論壇上，網(wǎng)絡(luò)安全專家就顯示了利用彩信夾帶惡意URL以及手機瀏覽器漏洞成功植入木馬，進而對Android手機進行控制的全過程。2011年底，上億智能手機被曝已植入CIQ手機間諜軟件，秘密傳送用戶信息，引發(fā)全球矚目。

④拒絕服務(wù)。前文已經(jīng)提到，利用移動終端上的漏洞，可以發(fā)起拒絕服務(wù)攻擊。即使在沒有漏洞的情況下，通過短時間內(nèi)發(fā)生大量信息，有些手機應(yīng)用在邏輯處理功能存在缺陷，也可以造成暫時的拒絕服務(wù)后果。endprint

⑤誘騙欺詐。接入點偽裝是目前威脅等級較高的黑客手段，這些攻擊者可以偽裝接入點，由于移動終端的配置不當可能會在未察覺的情況下或因為貪圖便宜連接到偽裝的免費接入點（AP），攻擊者在接入點截獲受害者的通訊數(shù)據(jù)，就有可能獲得機密認證信息。

2）網(wǎng)絡(luò)安全威脅。

①暴力破解。暴力破解是最常見的安全威脅方式。攻擊者可以通過破解無線接入設(shè)備的口令或加密算法獲得訪問權(quán)限 ，甚至通過破解加密算法獲得移動終端的通訊記錄。

②漏洞利用。網(wǎng)絡(luò)設(shè)備軟件和協(xié)議棧往往存在漏洞 ，攻擊者可以利用漏洞獲取對設(shè)備的控制權(quán)或發(fā)動攻擊導致服務(wù)中斷。

③DDos。在2G時代，由于數(shù)據(jù)訪問速率的限制，攻擊者基本上不會發(fā)動DDoS攻擊。而3G技術(shù)的廣泛應(yīng)用，帶寬大幅增加，足以吸引黑客控制手機發(fā)動DDoS攻擊。以CDMA2000 EV-DO為例，下行速率達到3.1 Mbit/s，上行速率達到1.8 Mbit/s，已經(jīng)接近主流的家庭ADSL帶寬。一旦手機被黑客控制，形成僵尸網(wǎng)絡(luò)，黑客就能夠發(fā)動傳統(tǒng)基于IP互聯(lián)網(wǎng)的DDoS，甚至還可以發(fā)動針對語音電話和短信的DDoS，所造成的安全風險要遠大于傳統(tǒng)僵尸網(wǎng)絡(luò)[Chalenge]。事實上 ，很多文獻都證明手機僵尸網(wǎng)絡(luò)的存在。

3）業(yè)務(wù)安全威脅。

①數(shù)據(jù)泄露。對于企業(yè)IT系統(tǒng)而言，終端移動化之后，如果不采取更強的認證加密和數(shù)據(jù)防泄露措施，有可能造成業(yè)務(wù)數(shù)據(jù)的泄露。對于移動互聯(lián)業(yè)務(wù)提供商而言，用戶信息是最重要的數(shù)據(jù)，也是地下產(chǎn)業(yè)鏈孜孜以求的內(nèi)容。美國知名市場研究機構(gòu)波耐蒙研究所（Ponemon Institute）之前的一項針對IT人士 的調(diào)查顯示：63%的數(shù)據(jù)泄露事故起因是移動設(shè)備;只有28%源于員工的臺式電腦。

②漏洞利用。業(yè)務(wù)層面上的漏洞利用主要是利用業(yè)務(wù)邏輯的缺陷。業(yè)務(wù)邏輯用來描述那些處理據(jù)庫和Web應(yīng)用程序用戶界面之間的信息交換的功能算法 （業(yè)務(wù)規(guī)則、業(yè)務(wù)策略和工作流）。業(yè)務(wù)邏輯漏洞，存在于脆弱性堆棧的最上一層，由于設(shè)計上的疏失，很多業(yè)務(wù)邏輯存在漏洞，這些漏洞會導致攻擊者繞過安全機制而非法獲取信息或利益，例如密碼恢復(fù)流程的漏洞可以導致用戶賬戶密碼泄露。用相同的數(shù)據(jù)發(fā)送多次交易請求，由于有效性驗證的缺失，導致交易超越限度的重復(fù)進行。這種情況可以導致超額交易的發(fā)生，例如從一個不可透支賬號取出超過賬戶余額的現(xiàn)金。

2 BYOD安全現(xiàn)狀研究

BYOD安全是制約移動辦公發(fā)展的重要因素，受到廣泛關(guān)注，以下從商業(yè)方案和學術(shù)研究2個角度對BYOD安全研究現(xiàn)狀進行分析。

2.1 商業(yè)技術(shù)方案

終端安全：提供高效的MDM管理平臺，為企業(yè)及個人用戶擁有的各種類智能手機，平板電腦，手持終端等、各平（Android/iOS/Windows Phone等）的移動數(shù)據(jù)和應(yīng)用程序提供集中管理、安全保護和細粒度的統(tǒng)一配置;可通過預(yù)先設(shè)定移動設(shè)備、應(yīng)用程序的使用策略，規(guī)范管理、控制使用過程;提供一套完整的安全保障機制，保護企業(yè)移動設(shè)備、設(shè)備上的移動數(shù)據(jù);限制非法應(yīng)用程序的安裝和運行，提供安全SDK進行數(shù)據(jù)加密保護;可以對所有接入管理的設(shè)備按照分組進行多種安全策略的統(tǒng)一執(zhí)行，包括了開機密碼策略，藍牙、相機、抓屏等設(shè)備功能限制策略等;終端遺失或被盜情況下遠程鎖屏、擦除設(shè)備，重設(shè)終端恢復(fù)出廠設(shè)置，銷毀所有數(shù)據(jù)、應(yīng)用及配置信息等，完成整個生命周期的終端安全管控。

圖2 移動辦公信息化安全架構(gòu)圖

鏈路安全：VPN集群設(shè)備向用戶提供成熟、完善的高性能VPN集群接入方案，支持用戶分級分組管理，帶來管理的便利;對于iOS、Android智能終端支持SSL VPN虛擬化方式接入，其中iOS還支持IPSEC“零安裝”接入;對于Android、Windows Mobile系統(tǒng)的智能終端，還支持使用全網(wǎng)接入模式接入;全面支持SM2算法及其數(shù)字證書規(guī)范，能降低用戶PKI建設(shè)成本;支持證書廢棄，保障系統(tǒng)安全;支持生成證書請求，確保私鑰不外泄，從而保障鏈路的安全、機密性;豐富多樣的外部認證支持，能與用戶原有認證系統(tǒng)無縫結(jié)合，保障業(yè)務(wù)延續(xù)性;內(nèi)置短信認證模塊，杜絕口令泄露。

訪問控制：VPN網(wǎng)關(guān)集群設(shè)備，采用獨創(chuàng)的分級可信接入技術(shù)，不僅可以對接入的主機系統(tǒng)進行全面安全檢測，拒絕不合格用戶接入，而且還可實現(xiàn)對用戶系統(tǒng)的安全等級評估，根據(jù)不同的安全等級，授予不同的訪問權(quán)限;對于要求訪問敏感信息服務(wù)器的用戶，如果沒有達到較高安全等級，可只授予與其安全等級匹配的普通權(quán)限;這樣既可以防止不安全的用戶主機感染內(nèi)部關(guān)鍵服務(wù)器，又可以保留其瀏覽公司普通Web服務(wù)器的權(quán)限，實現(xiàn)桌面的安全等級與訪問資源的安全級別相匹配和訪問權(quán)限的分級;支持硬件特征碼認證，保障使用身份;具備完善的PKI體系，提高用戶網(wǎng)絡(luò)的安全等級;支持第三方CA，與用戶系統(tǒng)無縫結(jié)合;支持CA在線認證，保證身份有效的時效性;并且還可以配合MDM管理平臺實現(xiàn)更加精細化的移動終端訪問控制策略。

資產(chǎn)管理：MDM（Mobile Device Management）提供統(tǒng)一的資產(chǎn)管理控制，可以控制和跟蹤移動設(shè)備連接到企業(yè)的應(yīng)用程序和數(shù)據(jù)，企業(yè)可以部署、追蹤和管理他們所有的移動資產(chǎn);自動檢測終端上資產(chǎn)變更，自動通知管理后臺;確認終端上應(yīng)用為最新版本，并且不存在兼容問題;提供終端信息采集功能，包括電話號碼，IMEI號，設(shè)備ID，設(shè)備序列號，設(shè)備型號，系統(tǒng)版本，存儲空間，電池用量，軟件名稱、版本及大小等;使得企業(yè)管理人員實時全盤掌握現(xiàn)有資產(chǎn)情況，隨時可控。

行為安全：在移動終端上，具備流量監(jiān)控管理、資產(chǎn)變更監(jiān)控的功能，發(fā)現(xiàn)異常流量和異常資產(chǎn)變更會及時通知后臺，一定程度上防止惡意軟件的不法行為;在企業(yè)端，部署了入侵檢測系統(tǒng)，能夠?qū)崟r檢測包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務(wù)攻擊、木馬、蠕蟲、系統(tǒng)漏洞等超過3500種網(wǎng)絡(luò)攻擊行為，并具有應(yīng)用協(xié)議智能識別、P2P流量控制、網(wǎng)絡(luò)病毒檢測、惡意網(wǎng)站監(jiān)測和內(nèi)網(wǎng)監(jiān)控等功能，為用戶提供了完整的立體式網(wǎng)絡(luò)安全檢測監(jiān)控;并且還可以通過網(wǎng)絡(luò)審計系統(tǒng)，實現(xiàn)網(wǎng)絡(luò)操作行為的細粒度審計，為提高工作效率、威懾違規(guī)行為、取證定責提供有效手段。endprint

企業(yè)應(yīng)用的安全保障：通過統(tǒng)一威脅管理系統(tǒng)（UTM）和VPN網(wǎng)關(guān)集群，為企業(yè)應(yīng)用提供事前的安全防護和準入控制;通過入侵檢測系統(tǒng)，起到事中檢測報警;通過網(wǎng)絡(luò)審計系統(tǒng)、運維審計系統(tǒng)，起到事后的可審計可取證;配合數(shù)據(jù)備份、網(wǎng)絡(luò)冗余等容災(zāi)策略，保障快速恢復(fù)能力;并通過統(tǒng)一的策略管理和安全管理平臺，可以快速實施安全策略，進行快速安全管理，保障快速的安全事件處理和響應(yīng)能力。

數(shù)據(jù)安全：在終端設(shè)備上的數(shù)據(jù)產(chǎn)生時采取加密措施，保障數(shù)據(jù)在終端上的使用、存儲的機密性;通訊環(huán)節(jié)，通過VPN設(shè)備保障鏈路加密，有效防止泄密事件發(fā)生;在企業(yè)端的數(shù)據(jù)，采取了備份策略，保障數(shù)據(jù)的可靠性;同時提供細粒度的日志審計和訪問控制策略，防止非法接入，并可實時取證;同時MDM還提供了設(shè)備備份的功能，可以通過將關(guān)鍵數(shù)據(jù)進行備份，保障在終端遺失、被竊或損壞后的數(shù)據(jù)可獲得;同時，為了防止在終端遺失或被竊后的可能造成的機密數(shù)據(jù)泄露，MDM提供遠程鎖定、遠程數(shù)據(jù)擦除、數(shù)據(jù)隱藏、禁用網(wǎng)絡(luò)和應(yīng)用訪問等數(shù)據(jù)泄露防護策略和功能。

容災(zāi)：主要包括兩個部分的容災(zāi)策略，一是數(shù)據(jù)的容災(zāi)備份，通過備份軟件平臺、存儲/備份一體機等，滿足對數(shù)據(jù)存儲、備份、敏感信息的集中管控需求，通過綜合技術(shù)手段全面保證數(shù)據(jù)的完整性、可用性和機密性;二是核心網(wǎng)絡(luò)設(shè)備的容災(zāi)策略，尤其是VPN網(wǎng)關(guān)，是整個網(wǎng)絡(luò)通訊的“咽喉”，一旦出現(xiàn)故障則將造成整個網(wǎng)絡(luò)通訊的癱瘓;本方案建議采取基于智能VPN集群來保障其可靠性，多臺VPN網(wǎng)關(guān)之間相互備份，對外提供統(tǒng)一接入IP，一旦某臺設(shè)備故障時，其他的設(shè)備能夠立即接替其工作，保證用戶業(yè)務(wù)數(shù)據(jù)的不間斷;支持200+臺設(shè)備的集群和多種集群負載均衡策略;支持通過心跳口進行狀態(tài)和Session同步，網(wǎng)關(guān)切換時無需用戶二次認證，不損害用戶體驗。

審計：安全審計是安全體系中重要的一環(huán)，是不可缺失的一環(huán)，良好的審計體系，不僅能夠威懾不法份子，更重要的是能夠提供事后可追蹤、可取證能力;本方案中提供網(wǎng)絡(luò)行為的審計和運維管理審計兩個方面的審計能力;網(wǎng)絡(luò)行為的審計，支持多維細粒度網(wǎng)絡(luò)行為和流量審計分析，基于多核平臺，采用云審計、量子云存儲等多項獨特技術(shù)及專利，旁路部署，支持多點多級和集中管理，是規(guī)范網(wǎng)絡(luò)行為、合規(guī)審計的最佳實踐，提供網(wǎng)絡(luò)行為審計和還原、流量監(jiān)控與統(tǒng)計、實名制審計策略、報表與統(tǒng)計、報警響應(yīng)、審計產(chǎn)品規(guī)則庫等諸多功能，并具備完善的自身安全防護能力;運維管理審計，針對企業(yè)內(nèi)部網(wǎng)絡(luò)設(shè)備和服務(wù)器進行保護，對此類資產(chǎn)的常用訪問方式進行監(jiān)控和審計，實現(xiàn)對用戶行為的控制、追蹤、判定，滿足企業(yè)內(nèi)部網(wǎng)絡(luò)對安全性的要求，提供單點登錄、集中賬號管理、身份認證、資源授權(quán)、訪問控制和操作審計等諸多功能，有效提升內(nèi)部網(wǎng)絡(luò)的整體安全性和易用性。

2.2 學術(shù)研究成果

從學術(shù)和成果角度來說，目前合規(guī)與安全管理領(lǐng)域成果較多，移動設(shè)備管理、客戶端安全和傳輸安全等方面較少，亟需加快研究，以下介紹幾個熱門研究方向。

2.2.1 移動設(shè)備安全管理

Gartner已經(jīng)將移動設(shè)備管理MDM（Mobile Device Management）列為一個獨立的安全產(chǎn)品門類。在移動互聯(lián)的環(huán)境中，企業(yè)的IT管理者需要對移動終端進行有效的管理，主要體現(xiàn)在以下幾個方面：

1）對移動終端的網(wǎng)絡(luò)準入控。

2）IT管理者對移動終端進行遠程批量部署與配置。

3）IT管理者設(shè)置安全策略并遠程執(zhí)行。

4）數(shù)據(jù)加密，通過全磁盤和內(nèi)存加密，加密備份文件。

5）應(yīng)用程序沙箱，隔離個人數(shù)據(jù)與企業(yè)數(shù)據(jù)，確保企業(yè)數(shù)據(jù)的完整性和安全性。

6）端到端數(shù)據(jù)加密。

7）惡意程序防控，采用強制代碼簽名，提供可信的應(yīng)用程序下載以及附件轉(zhuǎn)譯服務(wù)。

8）遠程數(shù)據(jù)刪除。

2.2.2 WLAN的入侵檢測和脆弱性評估

移動終端通常都是通過無線方式接入到網(wǎng)絡(luò)中的，接入的網(wǎng)絡(luò)通道有WLAN或無線數(shù)據(jù)網(wǎng)兩種，訪問的目標系統(tǒng)也有企業(yè)私有的IT系統(tǒng)和公共互聯(lián)網(wǎng)業(yè)務(wù)兩種。無論哪種接入場景，安全需求都是類似的，主要包括：

1）移動終端的雙向認證和訪問授權(quán)。

有線終端的接入，只需要網(wǎng)絡(luò)對終端進行認證。移動終端的安全接入需要雙向認證，即終端對接入的網(wǎng)絡(luò)是否可信需要認證。

2）移動通訊的加密機制和防破解。

繼WEP加密機制遭到破解之后，攻擊者又發(fā)現(xiàn)了WAP的破解方法。無線網(wǎng)絡(luò)設(shè)備需要提供加密強度更大的方法，保證無線通信的安全。

3）偽裝和違規(guī)無線AP的發(fā)現(xiàn)。

攻擊者為了嗅探更多信息，往往通過部署偽裝的AP，誘騙無線終端接入。企業(yè)內(nèi)部人員私自違規(guī)架設(shè)AP，可能造成數(shù)據(jù)泄露。這兩種情況都需要被IT管理人員及時發(fā)現(xiàn)并阻斷。

4）入侵與攻擊行為的檢測。

無論是互聯(lián)網(wǎng)還企業(yè)內(nèi)部網(wǎng)絡(luò)，大部分移動終端都將采用WLAN方式接入。WLAN環(huán)境是否存在入侵攻擊和脆弱性，就是網(wǎng)絡(luò)管理者非常關(guān)心的問題。與傳統(tǒng)的有線接入的網(wǎng)絡(luò)一樣，移動互聯(lián)的環(huán)境下同樣存在大量的入侵和攻擊，只是由于攻擊目標的發(fā)生了一些變化，攻擊的手法有所改變。有些攻擊是專門針對無線網(wǎng)絡(luò)設(shè)備的攻擊，比較典型的有DHCP泛洪、驗證（Authentication）消息泛洪、取消驗證（Deauthentication）消息泛洪、射頻干擾攻擊等等。偽裝的WLAN AP、非授權(quán)的客戶端連接、使用易破解的加密方法等也是無線網(wǎng)絡(luò)中特有的脆弱性、授權(quán)用戶加入AD HOC網(wǎng)絡(luò)。

5）僵尸網(wǎng)絡(luò)的檢測與攻擊溯源僵尸網(wǎng)絡(luò)的檢測與攻擊

溯源。

僵尸網(wǎng)絡(luò)的檢測與攻擊溯源僵尸網(wǎng)絡(luò)的檢測與攻擊溯源一直是有線網(wǎng)絡(luò)環(huán)境中的難題，原因是缺乏惟一確定攻擊行為主體的身份標識。而在移動互聯(lián)的環(huán)境中，終端的身份往往是手機號碼，是終端的惟一標識，理論上可以將攻擊行為與這個惟一標識對應(yīng)起來，從而實現(xiàn)對攻擊行為的溯源和定位。有線接入的網(wǎng)絡(luò)中，通常只能定位到僵尸主機所在網(wǎng)絡(luò)出口的IP地址，而僵尸主機是內(nèi)網(wǎng)的私有IP，很難被精確定位到。而移動終端的IP和ID號都在運營商的掌控范圍內(nèi)，無須協(xié)調(diào)企業(yè)用戶提供內(nèi)網(wǎng)主機上網(wǎng)行為信息。endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯(lián)時代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開發(fā)時間非常短促，程序開發(fā)人員缺少信息安全相關(guān)的專業(yè)知識，受技能和精力的限制，很難保證應(yīng)用代碼沒有安全漏洞，更無法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過。例如用戶在某網(wǎng)站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應(yīng)的分數(shù)。在設(shè)計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經(jīng)上線的重要應(yīng)用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補的辦法。聘請專業(yè)安全公司對代碼進行安全審計或在服務(wù)系統(tǒng)平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業(yè)內(nèi)部樹立安全觀念，將之培育為企業(yè)有機整體的一部分，使安全觀念嵌入到企業(yè)的各個方面。不能將安全意識看作企業(yè)創(chuàng)造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強調(diào)，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚方式，通過捕捉安全意識缺乏的員工來損害網(wǎng)絡(luò)。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對能看懂并且能簡單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝。”

4）執(zhí)行顆粒度較細的訪問控制策略。應(yīng)依靠身份識別對數(shù)據(jù)和應(yīng)用進行保護。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據(jù)連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來盡可能簡單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點的安全信息事件管理（SIEM）解決方案對在公司網(wǎng)絡(luò)上訪問資源的所有設(shè)備進行監(jiān)控。在一個充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問題是首要的，而發(fā)現(xiàn)問題后的響應(yīng)時間則是關(guān)鍵性的。

7）使用具有擔保層級的身份聯(lián)盟。在具有許多身份來源的環(huán)境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級的

擔保。

8）企業(yè)提供安全設(shè)備。為員工提供移動設(shè)備并確保這些設(shè)備已進行安全控制。這樣單位和個人實現(xiàn)了雙贏。員工使用設(shè)備無需付錢，并可以使用安全且合規(guī)的方式訪問公司辦公環(huán)境。

9）嚴格控制從設(shè)備的訪問。要確保對敏感數(shù)據(jù)的訪問得到嚴格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲到個人設(shè)備上。

10）對敏感數(shù)據(jù)加密。對敏感數(shù)據(jù)進行加密處理，可括員工的公司電子郵件。

4 結(jié)束語

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計算平臺，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動化、服務(wù)器的虛擬化和云計算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢?！霸?、管、端”這種發(fā)展趨勢，不是孤立的，而是相輔相成的。從長期看為開發(fā)、操作和維護節(jié)約了成本。允許員工使用他們自己的設(shè)備會帶來許多風險，而在設(shè)備的不斷且快速的更新?lián)Q代中也會出現(xiàn)很多新的風險，因此，BYOD發(fā)展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯(lián)時代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開發(fā)時間非常短促，程序開發(fā)人員缺少信息安全相關(guān)的專業(yè)知識，受技能和精力的限制，很難保證應(yīng)用代碼沒有安全漏洞，更無法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過。例如用戶在某網(wǎng)站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應(yīng)的分數(shù)。在設(shè)計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經(jīng)上線的重要應(yīng)用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補的辦法。聘請專業(yè)安全公司對代碼進行安全審計或在服務(wù)系統(tǒng)平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業(yè)內(nèi)部樹立安全觀念，將之培育為企業(yè)有機整體的一部分，使安全觀念嵌入到企業(yè)的各個方面。不能將安全意識看作企業(yè)創(chuàng)造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強調(diào)，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚方式，通過捕捉安全意識缺乏的員工來損害網(wǎng)絡(luò)。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對能看懂并且能簡單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝?！?/p>

4）執(zhí)行顆粒度較細的訪問控制策略。應(yīng)依靠身份識別對數(shù)據(jù)和應(yīng)用進行保護。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據(jù)連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來盡可能簡單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點的安全信息事件管理（SIEM）解決方案對在公司網(wǎng)絡(luò)上訪問資源的所有設(shè)備進行監(jiān)控。在一個充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問題是首要的，而發(fā)現(xiàn)問題后的響應(yīng)時間則是關(guān)鍵性的。

7）使用具有擔保層級的身份聯(lián)盟。在具有許多身份來源的環(huán)境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級的

擔保。

8）企業(yè)提供安全設(shè)備。為員工提供移動設(shè)備并確保這些設(shè)備已進行安全控制。這樣單位和個人實現(xiàn)了雙贏。員工使用設(shè)備無需付錢，并可以使用安全且合規(guī)的方式訪問公司辦公環(huán)境。

9）嚴格控制從設(shè)備的訪問。要確保對敏感數(shù)據(jù)的訪問得到嚴格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲到個人設(shè)備上。

10）對敏感數(shù)據(jù)加密。對敏感數(shù)據(jù)進行加密處理，可括員工的公司電子郵件。

4 結(jié)束語

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計算平臺，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動化、服務(wù)器的虛擬化和云計算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢?！霸?、管、端”這種發(fā)展趨勢，不是孤立的，而是相輔相成的。從長期看為開發(fā)、操作和維護節(jié)約了成本。允許員工使用他們自己的設(shè)備會帶來許多風險，而在設(shè)備的不斷且快速的更新?lián)Q代中也會出現(xiàn)很多新的風險，因此，BYOD發(fā)展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯(lián)時代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開發(fā)時間非常短促，程序開發(fā)人員缺少信息安全相關(guān)的專業(yè)知識，受技能和精力的限制，很難保證應(yīng)用代碼沒有安全漏洞，更無法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過。例如用戶在某網(wǎng)站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應(yīng)的分數(shù)。在設(shè)計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經(jīng)上線的重要應(yīng)用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補的辦法。聘請專業(yè)安全公司對代碼進行安全審計或在服務(wù)系統(tǒng)平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業(yè)內(nèi)部樹立安全觀念，將之培育為企業(yè)有機整體的一部分，使安全觀念嵌入到企業(yè)的各個方面。不能將安全意識看作企業(yè)創(chuàng)造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強調(diào)，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚方式，通過捕捉安全意識缺乏的員工來損害網(wǎng)絡(luò)。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對能看懂并且能簡單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝?！?/p>

4）執(zhí)行顆粒度較細的訪問控制策略。應(yīng)依靠身份識別對數(shù)據(jù)和應(yīng)用進行保護。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據(jù)連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來盡可能簡單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點的安全信息事件管理（SIEM）解決方案對在公司網(wǎng)絡(luò)上訪問資源的所有設(shè)備進行監(jiān)控。在一個充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問題是首要的，而發(fā)現(xiàn)問題后的響應(yīng)時間則是關(guān)鍵性的。

7）使用具有擔保層級的身份聯(lián)盟。在具有許多身份來源的環(huán)境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級的

擔保。

8）企業(yè)提供安全設(shè)備。為員工提供移動設(shè)備并確保這些設(shè)備已進行安全控制。這樣單位和個人實現(xiàn)了雙贏。員工使用設(shè)備無需付錢，并可以使用安全且合規(guī)的方式訪問公司辦公環(huán)境。

9）嚴格控制從設(shè)備的訪問。要確保對敏感數(shù)據(jù)的訪問得到嚴格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲到個人設(shè)備上。

10）對敏感數(shù)據(jù)加密。對敏感數(shù)據(jù)進行加密處理，可括員工的公司電子郵件。

4 結(jié)束語

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計算平臺，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動化、服務(wù)器的虛擬化和云計算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢?！霸?、管、端”這種發(fā)展趨勢，不是孤立的，而是相輔相成的。從長期看為開發(fā)、操作和維護節(jié)約了成本。允許員工使用他們自己的設(shè)備會帶來許多風險，而在設(shè)備的不斷且快速的更新?lián)Q代中也會出現(xiàn)很多新的風險，因此，BYOD發(fā)展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint