周華+張先斌+楊莉莉+楊文明+龍建華

摘 要 隨著企業(yè)信息化水平的不斷提升，基于傳統(tǒng)PC的辦公自動(dòng)化系統(tǒng)已經(jīng)不能滿足當(dāng)前社會(huì)高效率移動(dòng)互聯(lián)時(shí)代的辦公需求。一方面，企業(yè)各種業(yè)務(wù)擴(kuò)展和移動(dòng)辦公人數(shù)、地點(diǎn)的增多，迫切需要員工能夠在分支機(jī)構(gòu)、出差旅途中、酒店，甚至家里、咖啡室等任何地方接入辦公系統(tǒng)進(jìn)行工作，從而提升企業(yè)競(jìng)爭(zhēng)力;另一方面，員工手中的移動(dòng)設(shè)備早已不只是打電話、發(fā)短信這樣簡(jiǎn)單的功能，并希望自己的手機(jī)、平板電腦，不但能夠?qū)崿F(xiàn)個(gè)人應(yīng)用，還能夠進(jìn)行移動(dòng)辦公，提升自己的工作效率和業(yè)績(jī)。文章分析了BYOD（Bring Your Own Device）面臨的安全風(fēng)險(xiǎn)，討論了當(dāng)前BYOD的安全研究現(xiàn)狀，最后提出了BYOD的安全建議，可以作為移動(dòng)辦公安全建設(shè)提供重要參考。

關(guān)鍵詞 BYOD;移動(dòng)辦公;問(wèn)題研究

中圖分類號(hào)：TP3 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：1671-7597（2014）22-0142-04

據(jù)海比研究數(shù)據(jù)顯示，96%的企業(yè)希望將業(yè)務(wù)部署到移動(dòng)終端，93%的企業(yè)領(lǐng)導(dǎo)希望實(shí)現(xiàn)移動(dòng)辦公。2011年企業(yè)級(jí)移動(dòng)應(yīng)用的市場(chǎng)規(guī)模大概在60億，預(yù)計(jì)未來(lái)企業(yè)級(jí)移動(dòng)應(yīng)用市場(chǎng)的增長(zhǎng)將達(dá)到40%，企業(yè)如此熱衷于移動(dòng)辦公，這表明他們確信移動(dòng)應(yīng)用不僅能方便他們的日常辦公，而且能夠?yàn)槠鋭?chuàng)造巨大的價(jià)值。一般來(lái)說(shuō)，一項(xiàng)新技術(shù)應(yīng)用的實(shí)際獲得收益往往比預(yù)想中的低。然而，對(duì)于目前正在使用移動(dòng)終端（如智能電話和平板電腦）的企業(yè)來(lái)說(shuō)，77%的調(diào)查對(duì)象已經(jīng)看到實(shí)施后生產(chǎn)力的提升。此外，59%的調(diào)查對(duì)象現(xiàn)在正在依靠移動(dòng)設(shè)備實(shí)施一系列的業(yè)務(wù)應(yīng)用，這就顯示出，移動(dòng)應(yīng)用已經(jīng)逐漸成為主流。企業(yè)希望引入移動(dòng)終端加強(qiáng)自身業(yè)務(wù)的需求非常強(qiáng)烈。

然而，從安全角度考慮，BYOD移動(dòng)辦公還面臨許多安全風(fēng)險(xiǎn)，針對(duì)BYOD業(yè)界和安全研究者們提出了許多安全方案和技術(shù)手段，但離完全解決BYOD安全目標(biāo)還有很大差距，本文主要目的是幫助用戶了解當(dāng)前BYOD的安全勢(shì)態(tài)，為BYOD安全建設(shè)提供參考。

1 BYOD面臨的安全風(fēng)險(xiǎn)

允許員工使用他們自己的設(shè)備會(huì)帶來(lái)許多風(fēng)險(xiǎn)，這些設(shè)備在不同環(huán)境中需要區(qū)別對(duì)待，有時(shí)候是作為部分可信的端點(diǎn)來(lái)對(duì)待，有時(shí)候必須作為完全不可信的端點(diǎn)來(lái)對(duì)待。主要的考慮是BYOD會(huì)使風(fēng)險(xiǎn)提高，新型的移動(dòng)設(shè)備可能比傳統(tǒng)的設(shè)備更容易地被攻擊。

1）移動(dòng)終端安全威脅。

①空中竊聽(tīng)。攻擊者可以截獲無(wú)線電信號(hào)并解析出數(shù)據(jù)。用于無(wú)線網(wǎng)絡(luò)接入的設(shè)備過(guò)很小的改動(dòng)就可以被設(shè)置成截獲特定無(wú)線信道或頻率的數(shù)據(jù)的設(shè)備，而且這種攻擊行為很難被檢測(cè)到。

②漏洞利用。移動(dòng)終端的操作系統(tǒng)、應(yīng)用程序甚至固件都曾被發(fā)現(xiàn)存在漏洞，攻擊者可以利用這些漏洞進(jìn)行各種形式的攻擊。據(jù)最新研究表明，針對(duì)Android設(shè)備的惡意軟件數(shù)量在過(guò)去不到一年的時(shí)間里增長(zhǎng)了41倍。研究還發(fā)現(xiàn)超過(guò)半數(shù)的Android設(shè)備存在未經(jīng)修復(fù)的安全漏洞。設(shè)備廠商和運(yùn)營(yíng)商們補(bǔ)丁發(fā)布遲緩是造成消費(fèi)者已經(jīng)購(gòu)買的Android設(shè)備無(wú)法及時(shí)修復(fù)漏洞的主要原因。

2012年5月18日，據(jù)英國(guó)科技網(wǎng)站The Register報(bào)道，德國(guó)烏爾姆大學(xué)的研究學(xué)者在對(duì)Android平臺(tái)的安全性進(jìn)行研究后發(fā)現(xiàn)，99%的Android手機(jī)都存在密碼容易失竊的漏洞。研究發(fā)現(xiàn)，Android平臺(tái)存在一個(gè)與名為“Client Login”的身份驗(yàn)證協(xié)議有關(guān)漏洞，用戶輸入受密碼保護(hù)的服務(wù)的身份憑證以后，黑客就能通過(guò)這個(gè)漏洞收集和使用手機(jī)用戶存儲(chǔ)的數(shù)字標(biāo)識(shí)符。該協(xié)議現(xiàn)存在于Android 2.3.3及以前版本中。2012年10月22日有媒體報(bào)道，來(lái)自漢諾威和馬爾堡大學(xué)的專家們最近發(fā)布一項(xiàng)研究聲稱，在Google Play Store提供的最流行的免費(fèi)應(yīng)用程序（App）中，許多都可能帶有導(dǎo)致man-in-the-middle（MITM）攻擊的漏洞，這將嚴(yán)重威脅到用戶隱私。攻擊者得以竊取高度敏感的用戶信息，包括他們?cè)谏缃痪W(wǎng)站甚至網(wǎng)上銀行的用戶名和密碼。專家表示，“Google's Play市場(chǎng)數(shù)據(jù)表明，目前，帶有這種漏洞的App程序累積安裝量在3950萬(wàn)～18500萬(wàn)之間。實(shí)際安裝數(shù)量可能會(huì)更大，因?yàn)檫@還沒(méi)有包括其他安卓App市場(chǎng)的安裝量。”2012年10月下旬媒體披露出，最近的實(shí)例代碼測(cè)試中發(fā)現(xiàn)Broadcom的BCM4325和BCM4329兩個(gè)無(wú)線芯片固件非常容易受到攻擊。搭載這兩款芯片的設(shè)備有iPhone 4，iPad，iPad 2，HTC Droid Incredible 2，Motorola Droid X2和福特汽車的無(wú)線模塊等，這些芯片連接WiFi網(wǎng)絡(luò)后容易受到攻擊的影響而斷線。研究者Andrés Blanco說(shuō)：“攻擊者只需要準(zhǔn)備一個(gè)支持802.11規(guī)格的無(wú)線網(wǎng)卡就能輕松地向你發(fā)動(dòng)攻擊”。該脆弱性的CVE編號(hào)為CVE-2012-2619，在CWE分類為“輸入驗(yàn)證錯(cuò)誤（Input validation error[CWE-20]）”。早在2002年就有安全公司宣稱，手機(jī)的藍(lán)牙功能存在漏洞 ，可導(dǎo)致攻擊者取得手機(jī)的控制權(quán)，進(jìn)而通過(guò)發(fā)送短信、撥打電話、瀏覽網(wǎng)頁(yè)等消耗受害者的資費(fèi)， 通過(guò)查看通訊簿等獲得受害人的隱私信息。

圖1 空中竊聽(tīng)示例圖

③病毒木馬。病毒木馬等惡意軟件是PC時(shí)代的主要安全威脅 ，智能終端的出現(xiàn)為這類惡意程序提供新的生存環(huán)境。從病毒傳播渠道上看，手機(jī)病毒來(lái)源主要包括：文本短信和多媒體短信中夾帶惡意URL藍(lán)牙接口播放攻擊構(gòu)造的惡意多媒體文件與感染惡意程序的PC機(jī)互聯(lián)安裝未經(jīng)安全檢驗(yàn)的第三方應(yīng)用程序或手機(jī)ROM。在2011年第三屆通信網(wǎng)絡(luò)和信息安全高層論壇上，網(wǎng)絡(luò)安全專家就顯示了利用彩信夾帶惡意URL以及手機(jī)瀏覽器漏洞成功植入木馬，進(jìn)而對(duì)Android手機(jī)進(jìn)行控制的全過(guò)程。2011年底，上億智能手機(jī)被曝已植入CIQ手機(jī)間諜軟件，秘密傳送用戶信息，引發(fā)全球矚目。

④拒絕服務(wù)。前文已經(jīng)提到，利用移動(dòng)終端上的漏洞，可以發(fā)起拒絕服務(wù)攻擊。即使在沒(méi)有漏洞的情況下，通過(guò)短時(shí)間內(nèi)發(fā)生大量信息，有些手機(jī)應(yīng)用在邏輯處理功能存在缺陷，也可以造成暫時(shí)的拒絕服務(wù)后果。endprint

⑤誘騙欺詐。接入點(diǎn)偽裝是目前威脅等級(jí)較高的黑客手段，這些攻擊者可以偽裝接入點(diǎn)，由于移動(dòng)終端的配置不當(dāng)可能會(huì)在未察覺(jué)的情況下或因?yàn)樨潏D便宜連接到偽裝的免費(fèi)接入點(diǎn)（AP），攻擊者在接入點(diǎn)截獲受害者的通訊數(shù)據(jù)，就有可能獲得機(jī)密認(rèn)證信息。

2）網(wǎng)絡(luò)安全威脅。

①暴力破解。暴力破解是最常見(jiàn)的安全威脅方式。攻擊者可以通過(guò)破解無(wú)線接入設(shè)備的口令或加密算法獲得訪問(wèn)權(quán)限 ，甚至通過(guò)破解加密算法獲得移動(dòng)終端的通訊記錄。

②漏洞利用。網(wǎng)絡(luò)設(shè)備軟件和協(xié)議棧往往存在漏洞 ，攻擊者可以利用漏洞獲取對(duì)設(shè)備的控制權(quán)或發(fā)動(dòng)攻擊導(dǎo)致服務(wù)中斷。

③DDos。在2G時(shí)代，由于數(shù)據(jù)訪問(wèn)速率的限制，攻擊者基本上不會(huì)發(fā)動(dòng)DDoS攻擊。而3G技術(shù)的廣泛應(yīng)用，帶寬大幅增加，足以吸引黑客控制手機(jī)發(fā)動(dòng)DDoS攻擊。以CDMA2000 EV-DO為例，下行速率達(dá)到3.1 Mbit/s，上行速率達(dá)到1.8 Mbit/s，已經(jīng)接近主流的家庭ADSL帶寬。一旦手機(jī)被黑客控制，形成僵尸網(wǎng)絡(luò)，黑客就能夠發(fā)動(dòng)傳統(tǒng)基于IP互聯(lián)網(wǎng)的DDoS，甚至還可以發(fā)動(dòng)針對(duì)語(yǔ)音電話和短信的DDoS，所造成的安全風(fēng)險(xiǎn)要遠(yuǎn)大于傳統(tǒng)僵尸網(wǎng)絡(luò)[Chalenge]。事實(shí)上 ，很多文獻(xiàn)都證明手機(jī)僵尸網(wǎng)絡(luò)的存在。

3）業(yè)務(wù)安全威脅。

①數(shù)據(jù)泄露。對(duì)于企業(yè)IT系統(tǒng)而言，終端移動(dòng)化之后，如果不采取更強(qiáng)的認(rèn)證加密和數(shù)據(jù)防泄露措施，有可能造成業(yè)務(wù)數(shù)據(jù)的泄露。對(duì)于移動(dòng)互聯(lián)業(yè)務(wù)提供商而言，用戶信息是最重要的數(shù)據(jù)，也是地下產(chǎn)業(yè)鏈孜孜以求的內(nèi)容。美國(guó)知名市場(chǎng)研究機(jī)構(gòu)波耐蒙研究所（Ponemon Institute）之前的一項(xiàng)針對(duì)IT人士 的調(diào)查顯示：63%的數(shù)據(jù)泄露事故起因是移動(dòng)設(shè)備;只有28%源于員工的臺(tái)式電腦。

②漏洞利用。業(yè)務(wù)層面上的漏洞利用主要是利用業(yè)務(wù)邏輯的缺陷。業(yè)務(wù)邏輯用來(lái)描述那些處理?yè)?jù)庫(kù)和Web應(yīng)用程序用戶界面之間的信息交換的功能算法 （業(yè)務(wù)規(guī)則、業(yè)務(wù)策略和工作流）。業(yè)務(wù)邏輯漏洞，存在于脆弱性堆棧的最上一層，由于設(shè)計(jì)上的疏失，很多業(yè)務(wù)邏輯存在漏洞，這些漏洞會(huì)導(dǎo)致攻擊者繞過(guò)安全機(jī)制而非法獲取信息或利益，例如密碼恢復(fù)流程的漏洞可以導(dǎo)致用戶賬戶密碼泄露。用相同的數(shù)據(jù)發(fā)送多次交易請(qǐng)求，由于有效性驗(yàn)證的缺失，導(dǎo)致交易超越限度的重復(fù)進(jìn)行。這種情況可以導(dǎo)致超額交易的發(fā)生，例如從一個(gè)不可透支賬號(hào)取出超過(guò)賬戶余額的現(xiàn)金。

2 BYOD安全現(xiàn)狀研究

BYOD安全是制約移動(dòng)辦公發(fā)展的重要因素，受到廣泛關(guān)注，以下從商業(yè)方案和學(xué)術(shù)研究2個(gè)角度對(duì)BYOD安全研究現(xiàn)狀進(jìn)行分析。

2.1 商業(yè)技術(shù)方案

終端安全：提供高效的MDM管理平臺(tái)，為企業(yè)及個(gè)人用戶擁有的各種類智能手機(jī)，平板電腦，手持終端等、各平（Android/iOS/Windows Phone等）的移動(dòng)數(shù)據(jù)和應(yīng)用程序提供集中管理、安全保護(hù)和細(xì)粒度的統(tǒng)一配置;可通過(guò)預(yù)先設(shè)定移動(dòng)設(shè)備、應(yīng)用程序的使用策略，規(guī)范管理、控制使用過(guò)程;提供一套完整的安全保障機(jī)制，保護(hù)企業(yè)移動(dòng)設(shè)備、設(shè)備上的移動(dòng)數(shù)據(jù);限制非法應(yīng)用程序的安裝和運(yùn)行，提供安全SDK進(jìn)行數(shù)據(jù)加密保護(hù);可以對(duì)所有接入管理的設(shè)備按照分組進(jìn)行多種安全策略的統(tǒng)一執(zhí)行，包括了開(kāi)機(jī)密碼策略，藍(lán)牙、相機(jī)、抓屏等設(shè)備功能限制策略等;終端遺失或被盜情況下遠(yuǎn)程鎖屏、擦除設(shè)備，重設(shè)終端恢復(fù)出廠設(shè)置，銷毀所有數(shù)據(jù)、應(yīng)用及配置信息等，完成整個(gè)生命周期的終端安全管控。

圖2 移動(dòng)辦公信息化安全架構(gòu)圖

鏈路安全：VPN集群設(shè)備向用戶提供成熟、完善的高性能VPN集群接入方案，支持用戶分級(jí)分組管理，帶來(lái)管理的便利;對(duì)于iOS、Android智能終端支持SSL VPN虛擬化方式接入，其中iOS還支持IPSEC“零安裝”接入;對(duì)于Android、Windows Mobile系統(tǒng)的智能終端，還支持使用全網(wǎng)接入模式接入;全面支持SM2算法及其數(shù)字證書(shū)規(guī)范，能降低用戶PKI建設(shè)成本;支持證書(shū)廢棄，保障系統(tǒng)安全;支持生成證書(shū)請(qǐng)求，確保私鑰不外泄，從而保障鏈路的安全、機(jī)密性;豐富多樣的外部認(rèn)證支持，能與用戶原有認(rèn)證系統(tǒng)無(wú)縫結(jié)合，保障業(yè)務(wù)延續(xù)性;內(nèi)置短信認(rèn)證模塊，杜絕口令泄露。

訪問(wèn)控制：VPN網(wǎng)關(guān)集群設(shè)備，采用獨(dú)創(chuàng)的分級(jí)可信接入技術(shù)，不僅可以對(duì)接入的主機(jī)系統(tǒng)進(jìn)行全面安全檢測(cè)，拒絕不合格用戶接入，而且還可實(shí)現(xiàn)對(duì)用戶系統(tǒng)的安全等級(jí)評(píng)估，根據(jù)不同的安全等級(jí)，授予不同的訪問(wèn)權(quán)限;對(duì)于要求訪問(wèn)敏感信息服務(wù)器的用戶，如果沒(méi)有達(dá)到較高安全等級(jí)，可只授予與其安全等級(jí)匹配的普通權(quán)限;這樣既可以防止不安全的用戶主機(jī)感染內(nèi)部關(guān)鍵服務(wù)器，又可以保留其瀏覽公司普通Web服務(wù)器的權(quán)限，實(shí)現(xiàn)桌面的安全等級(jí)與訪問(wèn)資源的安全級(jí)別相匹配和訪問(wèn)權(quán)限的分級(jí);支持硬件特征碼認(rèn)證，保障使用身份;具備完善的PKI體系，提高用戶網(wǎng)絡(luò)的安全等級(jí);支持第三方CA，與用戶系統(tǒng)無(wú)縫結(jié)合;支持CA在線認(rèn)證，保證身份有效的時(shí)效性;并且還可以配合MDM管理平臺(tái)實(shí)現(xiàn)更加精細(xì)化的移動(dòng)終端訪問(wèn)控制策略。

資產(chǎn)管理：MDM（Mobile Device Management）提供統(tǒng)一的資產(chǎn)管理控制，可以控制和跟蹤移動(dòng)設(shè)備連接到企業(yè)的應(yīng)用程序和數(shù)據(jù)，企業(yè)可以部署、追蹤和管理他們所有的移動(dòng)資產(chǎn);自動(dòng)檢測(cè)終端上資產(chǎn)變更，自動(dòng)通知管理后臺(tái);確認(rèn)終端上應(yīng)用為最新版本，并且不存在兼容問(wèn)題;提供終端信息采集功能，包括電話號(hào)碼，IMEI號(hào)，設(shè)備ID，設(shè)備序列號(hào)，設(shè)備型號(hào)，系統(tǒng)版本，存儲(chǔ)空間，電池用量，軟件名稱、版本及大小等;使得企業(yè)管理人員實(shí)時(shí)全盤掌握現(xiàn)有資產(chǎn)情況，隨時(shí)可控。

行為安全：在移動(dòng)終端上，具備流量監(jiān)控管理、資產(chǎn)變更監(jiān)控的功能，發(fā)現(xiàn)異常流量和異常資產(chǎn)變更會(huì)及時(shí)通知后臺(tái)，一定程度上防止惡意軟件的不法行為;在企業(yè)端，部署了入侵檢測(cè)系統(tǒng)，能夠?qū)崟r(shí)檢測(cè)包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務(wù)攻擊、木馬、蠕蟲(chóng)、系統(tǒng)漏洞等超過(guò)3500種網(wǎng)絡(luò)攻擊行為，并具有應(yīng)用協(xié)議智能識(shí)別、P2P流量控制、網(wǎng)絡(luò)病毒檢測(cè)、惡意網(wǎng)站監(jiān)測(cè)和內(nèi)網(wǎng)監(jiān)控等功能，為用戶提供了完整的立體式網(wǎng)絡(luò)安全檢測(cè)監(jiān)控;并且還可以通過(guò)網(wǎng)絡(luò)審計(jì)系統(tǒng)，實(shí)現(xiàn)網(wǎng)絡(luò)操作行為的細(xì)粒度審計(jì)，為提高工作效率、威懾違規(guī)行為、取證定責(zé)提供有效手段。endprint

企業(yè)應(yīng)用的安全保障：通過(guò)統(tǒng)一威脅管理系統(tǒng)（UTM）和VPN網(wǎng)關(guān)集群，為企業(yè)應(yīng)用提供事前的安全防護(hù)和準(zhǔn)入控制;通過(guò)入侵檢測(cè)系統(tǒng)，起到事中檢測(cè)報(bào)警;通過(guò)網(wǎng)絡(luò)審計(jì)系統(tǒng)、運(yùn)維審計(jì)系統(tǒng)，起到事后的可審計(jì)可取證;配合數(shù)據(jù)備份、網(wǎng)絡(luò)冗余等容災(zāi)策略，保障快速恢復(fù)能力;并通過(guò)統(tǒng)一的策略管理和安全管理平臺(tái)，可以快速實(shí)施安全策略，進(jìn)行快速安全管理，保障快速的安全事件處理和響應(yīng)能力。

數(shù)據(jù)安全：在終端設(shè)備上的數(shù)據(jù)產(chǎn)生時(shí)采取加密措施，保障數(shù)據(jù)在終端上的使用、存儲(chǔ)的機(jī)密性;通訊環(huán)節(jié)，通過(guò)VPN設(shè)備保障鏈路加密，有效防止泄密事件發(fā)生;在企業(yè)端的數(shù)據(jù)，采取了備份策略，保障數(shù)據(jù)的可靠性;同時(shí)提供細(xì)粒度的日志審計(jì)和訪問(wèn)控制策略，防止非法接入，并可實(shí)時(shí)取證;同時(shí)MDM還提供了設(shè)備備份的功能，可以通過(guò)將關(guān)鍵數(shù)據(jù)進(jìn)行備份，保障在終端遺失、被竊或損壞后的數(shù)據(jù)可獲得;同時(shí)，為了防止在終端遺失或被竊后的可能造成的機(jī)密數(shù)據(jù)泄露，MDM提供遠(yuǎn)程鎖定、遠(yuǎn)程數(shù)據(jù)擦除、數(shù)據(jù)隱藏、禁用網(wǎng)絡(luò)和應(yīng)用訪問(wèn)等數(shù)據(jù)泄露防護(hù)策略和功能。

容災(zāi)：主要包括兩個(gè)部分的容災(zāi)策略，一是數(shù)據(jù)的容災(zāi)備份，通過(guò)備份軟件平臺(tái)、存儲(chǔ)/備份一體機(jī)等，滿足對(duì)數(shù)據(jù)存儲(chǔ)、備份、敏感信息的集中管控需求，通過(guò)綜合技術(shù)手段全面保證數(shù)據(jù)的完整性、可用性和機(jī)密性;二是核心網(wǎng)絡(luò)設(shè)備的容災(zāi)策略，尤其是VPN網(wǎng)關(guān)，是整個(gè)網(wǎng)絡(luò)通訊的“咽喉”，一旦出現(xiàn)故障則將造成整個(gè)網(wǎng)絡(luò)通訊的癱瘓;本方案建議采取基于智能VPN集群來(lái)保障其可靠性，多臺(tái)VPN網(wǎng)關(guān)之間相互備份，對(duì)外提供統(tǒng)一接入IP，一旦某臺(tái)設(shè)備故障時(shí)，其他的設(shè)備能夠立即接替其工作，保證用戶業(yè)務(wù)數(shù)據(jù)的不間斷;支持200+臺(tái)設(shè)備的集群和多種集群負(fù)載均衡策略;支持通過(guò)心跳口進(jìn)行狀態(tài)和Session同步，網(wǎng)關(guān)切換時(shí)無(wú)需用戶二次認(rèn)證，不損害用戶體驗(yàn)。

審計(jì)：安全審計(jì)是安全體系中重要的一環(huán)，是不可缺失的一環(huán)，良好的審計(jì)體系，不僅能夠威懾不法份子，更重要的是能夠提供事后可追蹤、可取證能力;本方案中提供網(wǎng)絡(luò)行為的審計(jì)和運(yùn)維管理審計(jì)兩個(gè)方面的審計(jì)能力;網(wǎng)絡(luò)行為的審計(jì)，支持多維細(xì)粒度網(wǎng)絡(luò)行為和流量審計(jì)分析，基于多核平臺(tái)，采用云審計(jì)、量子云存儲(chǔ)等多項(xiàng)獨(dú)特技術(shù)及專利，旁路部署，支持多點(diǎn)多級(jí)和集中管理，是規(guī)范網(wǎng)絡(luò)行為、合規(guī)審計(jì)的最佳實(shí)踐，提供網(wǎng)絡(luò)行為審計(jì)和還原、流量監(jiān)控與統(tǒng)計(jì)、實(shí)名制審計(jì)策略、報(bào)表與統(tǒng)計(jì)、報(bào)警響應(yīng)、審計(jì)產(chǎn)品規(guī)則庫(kù)等諸多功能，并具備完善的自身安全防護(hù)能力;運(yùn)維管理審計(jì)，針對(duì)企業(yè)內(nèi)部網(wǎng)絡(luò)設(shè)備和服務(wù)器進(jìn)行保護(hù)，對(duì)此類資產(chǎn)的常用訪問(wèn)方式進(jìn)行監(jiān)控和審計(jì)，實(shí)現(xiàn)對(duì)用戶行為的控制、追蹤、判定，滿足企業(yè)內(nèi)部網(wǎng)絡(luò)對(duì)安全性的要求，提供單點(diǎn)登錄、集中賬號(hào)管理、身份認(rèn)證、資源授權(quán)、訪問(wèn)控制和操作審計(jì)等諸多功能，有效提升內(nèi)部網(wǎng)絡(luò)的整體安全性和易用性。

2.2 學(xué)術(shù)研究成果

從學(xué)術(shù)和成果角度來(lái)說(shuō)，目前合規(guī)與安全管理領(lǐng)域成果較多，移動(dòng)設(shè)備管理、客戶端安全和傳輸安全等方面較少，亟需加快研究，以下介紹幾個(gè)熱門研究方向。

2.2.1 移動(dòng)設(shè)備安全管理

Gartner已經(jīng)將移動(dòng)設(shè)備管理MDM（Mobile Device Management）列為一個(gè)獨(dú)立的安全產(chǎn)品門類。在移動(dòng)互聯(lián)的環(huán)境中，企業(yè)的IT管理者需要對(duì)移動(dòng)終端進(jìn)行有效的管理，主要體現(xiàn)在以下幾個(gè)方面：

1）對(duì)移動(dòng)終端的網(wǎng)絡(luò)準(zhǔn)入控。

2）IT管理者對(duì)移動(dòng)終端進(jìn)行遠(yuǎn)程批量部署與配置。

3）IT管理者設(shè)置安全策略并遠(yuǎn)程執(zhí)行。

4）數(shù)據(jù)加密，通過(guò)全磁盤和內(nèi)存加密，加密備份文件。

5）應(yīng)用程序沙箱，隔離個(gè)人數(shù)據(jù)與企業(yè)數(shù)據(jù)，確保企業(yè)數(shù)據(jù)的完整性和安全性。

6）端到端數(shù)據(jù)加密。

7）惡意程序防控，采用強(qiáng)制代碼簽名，提供可信的應(yīng)用程序下載以及附件轉(zhuǎn)譯服務(wù)。

8）遠(yuǎn)程數(shù)據(jù)刪除。

2.2.2 WLAN的入侵檢測(cè)和脆弱性評(píng)估

移動(dòng)終端通常都是通過(guò)無(wú)線方式接入到網(wǎng)絡(luò)中的，接入的網(wǎng)絡(luò)通道有WLAN或無(wú)線數(shù)據(jù)網(wǎng)兩種，訪問(wèn)的目標(biāo)系統(tǒng)也有企業(yè)私有的IT系統(tǒng)和公共互聯(lián)網(wǎng)業(yè)務(wù)兩種。無(wú)論哪種接入場(chǎng)景，安全需求都是類似的，主要包括：

1）移動(dòng)終端的雙向認(rèn)證和訪問(wèn)授權(quán)。

有線終端的接入，只需要網(wǎng)絡(luò)對(duì)終端進(jìn)行認(rèn)證。移動(dòng)終端的安全接入需要雙向認(rèn)證，即終端對(duì)接入的網(wǎng)絡(luò)是否可信需要認(rèn)證。

2）移動(dòng)通訊的加密機(jī)制和防破解。

繼WEP加密機(jī)制遭到破解之后，攻擊者又發(fā)現(xiàn)了WAP的破解方法。無(wú)線網(wǎng)絡(luò)設(shè)備需要提供加密強(qiáng)度更大的方法，保證無(wú)線通信的安全。

3）偽裝和違規(guī)無(wú)線AP的發(fā)現(xiàn)。

攻擊者為了嗅探更多信息，往往通過(guò)部署偽裝的AP，誘騙無(wú)線終端接入。企業(yè)內(nèi)部人員私自違規(guī)架設(shè)AP，可能造成數(shù)據(jù)泄露。這兩種情況都需要被IT管理人員及時(shí)發(fā)現(xiàn)并阻斷。

4）入侵與攻擊行為的檢測(cè)。

無(wú)論是互聯(lián)網(wǎng)還企業(yè)內(nèi)部網(wǎng)絡(luò)，大部分移動(dòng)終端都將采用WLAN方式接入。WLAN環(huán)境是否存在入侵攻擊和脆弱性，就是網(wǎng)絡(luò)管理者非常關(guān)心的問(wèn)題。與傳統(tǒng)的有線接入的網(wǎng)絡(luò)一樣，移動(dòng)互聯(lián)的環(huán)境下同樣存在大量的入侵和攻擊，只是由于攻擊目標(biāo)的發(fā)生了一些變化，攻擊的手法有所改變。有些攻擊是專門針對(duì)無(wú)線網(wǎng)絡(luò)設(shè)備的攻擊，比較典型的有DHCP泛洪、驗(yàn)證（Authentication）消息泛洪、取消驗(yàn)證（Deauthentication）消息泛洪、射頻干擾攻擊等等。偽裝的WLAN AP、非授權(quán)的客戶端連接、使用易破解的加密方法等也是無(wú)線網(wǎng)絡(luò)中特有的脆弱性、授權(quán)用戶加入AD HOC網(wǎng)絡(luò)。

5）僵尸網(wǎng)絡(luò)的檢測(cè)與攻擊溯源僵尸網(wǎng)絡(luò)的檢測(cè)與攻擊

溯源。

僵尸網(wǎng)絡(luò)的檢測(cè)與攻擊溯源僵尸網(wǎng)絡(luò)的檢測(cè)與攻擊溯源一直是有線網(wǎng)絡(luò)環(huán)境中的難題，原因是缺乏惟一確定攻擊行為主體的身份標(biāo)識(shí)。而在移動(dòng)互聯(lián)的環(huán)境中，終端的身份往往是手機(jī)號(hào)碼，是終端的惟一標(biāo)識(shí)，理論上可以將攻擊行為與這個(gè)惟一標(biāo)識(shí)對(duì)應(yīng)起來(lái)，從而實(shí)現(xiàn)對(duì)攻擊行為的溯源和定位。有線接入的網(wǎng)絡(luò)中，通常只能定位到僵尸主機(jī)所在網(wǎng)絡(luò)出口的IP地址，而僵尸主機(jī)是內(nèi)網(wǎng)的私有IP，很難被精確定位到。而移動(dòng)終端的IP和ID號(hào)都在運(yùn)營(yíng)商的掌控范圍內(nèi)，無(wú)須協(xié)調(diào)企業(yè)用戶提供內(nèi)網(wǎng)主機(jī)上網(wǎng)行為信息。endprint

2.2.3 代碼審計(jì)和客戶端漏洞挖掘重要性

移動(dòng)互聯(lián)時(shí)代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開(kāi)發(fā)時(shí)間非常短促，程序開(kāi)發(fā)人員缺少信息安全相關(guān)的專業(yè)知識(shí)，受技能和精力的限制，很難保證應(yīng)用代碼沒(méi)有安全漏洞，更無(wú)法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國(guó)內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無(wú)限制兌換手機(jī)話費(fèi)、游戲點(diǎn)卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過(guò)。例如用戶在某網(wǎng)站輸入負(fù)的積分值兌換獎(jiǎng)品，不但可以兌換成功，兌換后的積分值還會(huì)增加相應(yīng)的分?jǐn)?shù)。在設(shè)計(jì)階段引入安全需求，對(duì)程序代碼進(jìn)行安全審計(jì)，會(huì)大大降低安全的成本。對(duì)已經(jīng)上線的重要應(yīng)用和客戶端，則需要進(jìn)行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補(bǔ)的辦法。聘請(qǐng)專業(yè)安全公司對(duì)代碼進(jìn)行安全審計(jì)或在服務(wù)系統(tǒng)平臺(tái)及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對(duì)由BYOD帶來(lái)的風(fēng)險(xiǎn)增長(zhǎng)，為此，可遵循如下一些策略：

1）倡導(dǎo)鼓勵(lì)推動(dòng)安全文化。在企業(yè)內(nèi)部樹(shù)立安全觀念，將之培育為企業(yè)有機(jī)整體的一部分，使安全觀念嵌入到企業(yè)的各個(gè)方面。不能將安全意識(shí)看作企業(yè)創(chuàng)造精神的障礙。

2）加強(qiáng)安全教育和安全測(cè)試。單位和終端用戶必須共同承擔(dān)責(zé)任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強(qiáng)調(diào)，社會(huì)工程仍是最容易的讓安全意識(shí)滲透一家公司的方式。實(shí)際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚(yú)方式，通過(guò)捕捉安全意識(shí)缺乏的員工來(lái)?yè)p害網(wǎng)絡(luò)。因此，對(duì)員工的安全意識(shí)教育是必不可少的。必須定期對(duì)員工進(jìn)行測(cè)試，加強(qiáng)正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對(duì)能看懂并且能簡(jiǎn)單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝?！?/p>

4）執(zhí)行顆粒度較細(xì)的訪問(wèn)控制策略。應(yīng)依靠身份識(shí)別對(duì)數(shù)據(jù)和應(yīng)用進(jìn)行保護(hù)。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標(biāo)準(zhǔn)或者沒(méi)有安裝必裝的軟件，就不能允許訪問(wèn)資源。并且根據(jù)連接是否加密等因素的識(shí)別來(lái)加強(qiáng)通過(guò)對(duì)訪問(wèn)的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來(lái)盡可能簡(jiǎn)單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺(jué)了解他們需要下載和安裝一系列軟件。

6）利用安全工具進(jìn)行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點(diǎn)的安全信息事件管理（SIEM）解決方案對(duì)在公司網(wǎng)絡(luò)上訪問(wèn)資源的所有設(shè)備進(jìn)行監(jiān)控。在一個(gè)充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問(wèn)題是首要的，而發(fā)現(xiàn)問(wèn)題后的響應(yīng)時(shí)間則是關(guān)鍵性的。

7）使用具有擔(dān)保層級(jí)的身份聯(lián)盟。在具有許多身份來(lái)源的環(huán)境中以一種安全的、基于標(biāo)準(zhǔn)的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實(shí)施為支持多個(gè)擔(dān)保層級(jí)。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個(gè)身份，但給他較低的信任級(jí)別。這樣，員工就可使用其微博資格訪問(wèn)內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問(wèn)公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級(jí)的

擔(dān)保。

8）企業(yè)提供安全設(shè)備。為員工提供移動(dòng)設(shè)備并確保這些設(shè)備已進(jìn)行安全控制。這樣單位和個(gè)人實(shí)現(xiàn)了雙贏。員工使用設(shè)備無(wú)需付錢，并可以使用安全且合規(guī)的方式訪問(wèn)公司辦公環(huán)境。

9）嚴(yán)格控制從設(shè)備的訪問(wèn)。要確保對(duì)敏感數(shù)據(jù)的訪問(wèn)得到嚴(yán)格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲(chǔ)到個(gè)人設(shè)備上。

10）對(duì)敏感數(shù)據(jù)加密。對(duì)敏感數(shù)據(jù)進(jìn)行加密處理，可括員工的公司電子郵件。

4 結(jié)束語(yǔ)

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計(jì)算平臺(tái)，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動(dòng)化、服務(wù)器的虛擬化和云計(jì)算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢(shì)?！霸?、管、端”這種發(fā)展趨勢(shì)，不是孤立的，而是相輔相成的。從長(zhǎng)期看為開(kāi)發(fā)、操作和維護(hù)節(jié)約了成本。允許員工使用他們自己的設(shè)備會(huì)帶來(lái)許多風(fēng)險(xiǎn)，而在設(shè)備的不斷且快速的更新?lián)Q代中也會(huì)出現(xiàn)很多新的風(fēng)險(xiǎn)，因此，BYOD發(fā)展還需要不斷實(shí)踐和完善。

參考文獻(xiàn)

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計(jì)算機(jī)與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint

2.2.3 代碼審計(jì)和客戶端漏洞挖掘重要性

移動(dòng)互聯(lián)時(shí)代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開(kāi)發(fā)時(shí)間非常短促，程序開(kāi)發(fā)人員缺少信息安全相關(guān)的專業(yè)知識(shí)，受技能和精力的限制，很難保證應(yīng)用代碼沒(méi)有安全漏洞，更無(wú)法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國(guó)內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無(wú)限制兌換手機(jī)話費(fèi)、游戲點(diǎn)卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過(guò)。例如用戶在某網(wǎng)站輸入負(fù)的積分值兌換獎(jiǎng)品，不但可以兌換成功，兌換后的積分值還會(huì)增加相應(yīng)的分?jǐn)?shù)。在設(shè)計(jì)階段引入安全需求，對(duì)程序代碼進(jìn)行安全審計(jì)，會(huì)大大降低安全的成本。對(duì)已經(jīng)上線的重要應(yīng)用和客戶端，則需要進(jìn)行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補(bǔ)的辦法。聘請(qǐng)專業(yè)安全公司對(duì)代碼進(jìn)行安全審計(jì)或在服務(wù)系統(tǒng)平臺(tái)及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對(duì)由BYOD帶來(lái)的風(fēng)險(xiǎn)增長(zhǎng)，為此，可遵循如下一些策略：

1）倡導(dǎo)鼓勵(lì)推動(dòng)安全文化。在企業(yè)內(nèi)部樹(shù)立安全觀念，將之培育為企業(yè)有機(jī)整體的一部分，使安全觀念嵌入到企業(yè)的各個(gè)方面。不能將安全意識(shí)看作企業(yè)創(chuàng)造精神的障礙。

2）加強(qiáng)安全教育和安全測(cè)試。單位和終端用戶必須共同承擔(dān)責(zé)任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強(qiáng)調(diào)，社會(huì)工程仍是最容易的讓安全意識(shí)滲透一家公司的方式。實(shí)際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚(yú)方式，通過(guò)捕捉安全意識(shí)缺乏的員工來(lái)?yè)p害網(wǎng)絡(luò)。因此，對(duì)員工的安全意識(shí)教育是必不可少的。必須定期對(duì)員工進(jìn)行測(cè)試，加強(qiáng)正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對(duì)能看懂并且能簡(jiǎn)單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝?！?/p>

4）執(zhí)行顆粒度較細(xì)的訪問(wèn)控制策略。應(yīng)依靠身份識(shí)別對(duì)數(shù)據(jù)和應(yīng)用進(jìn)行保護(hù)。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標(biāo)準(zhǔn)或者沒(méi)有安裝必裝的軟件，就不能允許訪問(wèn)資源。并且根據(jù)連接是否加密等因素的識(shí)別來(lái)加強(qiáng)通過(guò)對(duì)訪問(wèn)的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來(lái)盡可能簡(jiǎn)單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺(jué)了解他們需要下載和安裝一系列軟件。

6）利用安全工具進(jìn)行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點(diǎn)的安全信息事件管理（SIEM）解決方案對(duì)在公司網(wǎng)絡(luò)上訪問(wèn)資源的所有設(shè)備進(jìn)行監(jiān)控。在一個(gè)充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問(wèn)題是首要的，而發(fā)現(xiàn)問(wèn)題后的響應(yīng)時(shí)間則是關(guān)鍵性的。

7）使用具有擔(dān)保層級(jí)的身份聯(lián)盟。在具有許多身份來(lái)源的環(huán)境中以一種安全的、基于標(biāo)準(zhǔn)的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實(shí)施為支持多個(gè)擔(dān)保層級(jí)。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個(gè)身份，但給他較低的信任級(jí)別。這樣，員工就可使用其微博資格訪問(wèn)內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問(wèn)公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級(jí)的

擔(dān)保。

8）企業(yè)提供安全設(shè)備。為員工提供移動(dòng)設(shè)備并確保這些設(shè)備已進(jìn)行安全控制。這樣單位和個(gè)人實(shí)現(xiàn)了雙贏。員工使用設(shè)備無(wú)需付錢，并可以使用安全且合規(guī)的方式訪問(wèn)公司辦公環(huán)境。

9）嚴(yán)格控制從設(shè)備的訪問(wèn)。要確保對(duì)敏感數(shù)據(jù)的訪問(wèn)得到嚴(yán)格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲(chǔ)到個(gè)人設(shè)備上。

10）對(duì)敏感數(shù)據(jù)加密。對(duì)敏感數(shù)據(jù)進(jìn)行加密處理，可括員工的公司電子郵件。

4 結(jié)束語(yǔ)

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計(jì)算平臺(tái)，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動(dòng)化、服務(wù)器的虛擬化和云計(jì)算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢(shì)?！霸啤⒐?、端”這種發(fā)展趨勢(shì)，不是孤立的，而是相輔相成的。從長(zhǎng)期看為開(kāi)發(fā)、操作和維護(hù)節(jié)約了成本。允許員工使用他們自己的設(shè)備會(huì)帶來(lái)許多風(fēng)險(xiǎn)，而在設(shè)備的不斷且快速的更新?lián)Q代中也會(huì)出現(xiàn)很多新的風(fēng)險(xiǎn)，因此，BYOD發(fā)展還需要不斷實(shí)踐和完善。

參考文獻(xiàn)

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計(jì)算機(jī)與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint

2.2.3 代碼審計(jì)和客戶端漏洞挖掘重要性

移動(dòng)互聯(lián)時(shí)代，各種網(wǎng)絡(luò)應(yīng)用的生命周期明顯縮短，開(kāi)發(fā)時(shí)間非常短促，程序開(kāi)發(fā)人員缺少信息安全相關(guān)的專業(yè)知識(shí)，受技能和精力的限制，很難保證應(yīng)用代碼沒(méi)有安全漏洞，更無(wú)法避免存在業(yè)務(wù)邏輯方面的漏洞。例如不久前媒體披露，國(guó)內(nèi)某著名電子商務(wù)網(wǎng)站出現(xiàn)重大漏洞，用戶可以使用積分無(wú)限制兌換手機(jī)話費(fèi)、游戲點(diǎn)卡、Q幣、彩票等。類似的漏洞在其它網(wǎng)站也曾出現(xiàn)過(guò)。例如用戶在某網(wǎng)站輸入負(fù)的積分值兌換獎(jiǎng)品，不但可以兌換成功，兌換后的積分值還會(huì)增加相應(yīng)的分?jǐn)?shù)。在設(shè)計(jì)階段引入安全需求，對(duì)程序代碼進(jìn)行安全審計(jì)，會(huì)大大降低安全的成本。對(duì)已經(jīng)上線的重要應(yīng)用和客戶端，則需要進(jìn)行漏洞挖掘工作，以期在攻擊者發(fā)現(xiàn)之前找到彌補(bǔ)的辦法。聘請(qǐng)專業(yè)安全公司對(duì)代碼進(jìn)行安全審計(jì)或在服務(wù)系統(tǒng)平臺(tái)及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務(wù)。

3 BYOD安全建議

應(yīng)對(duì)由BYOD帶來(lái)的風(fēng)險(xiǎn)增長(zhǎng)，為此，可遵循如下一些策略：

1）倡導(dǎo)鼓勵(lì)推動(dòng)安全文化。在企業(yè)內(nèi)部樹(shù)立安全觀念，將之培育為企業(yè)有機(jī)整體的一部分，使安全觀念嵌入到企業(yè)的各個(gè)方面。不能將安全意識(shí)看作企業(yè)創(chuàng)造精神的障礙。

2）加強(qiáng)安全教育和安全測(cè)試。單位和終端用戶必須共同承擔(dān)責(zé)任。著名安全名人（先前的黑客）Kevin Mitnick曾反復(fù)強(qiáng)調(diào)，社會(huì)工程仍是最容易的讓安全意識(shí)滲透一家公司的方式。實(shí)際上，許多威脅都使用了Spear Phishing網(wǎng)絡(luò)釣魚(yú)方式，通過(guò)捕捉安全意識(shí)缺乏的員工來(lái)?yè)p害網(wǎng)絡(luò)。因此，對(duì)員工的安全意識(shí)教育是必不可少的。必須定期對(duì)員工進(jìn)行測(cè)試，加強(qiáng)正確行為方式的建立。

3）建立易于理解的BYOD規(guī)定。讓用戶對(duì)能看懂并且能簡(jiǎn)單操作相關(guān)的“安全規(guī)定”。例如“為保證您的設(shè)備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝?！?/p>

4）執(zhí)行顆粒度較細(xì)的訪問(wèn)控制策略。應(yīng)依靠身份識(shí)別對(duì)數(shù)據(jù)和應(yīng)用進(jìn)行保護(hù)。如果系統(tǒng)不確定用戶的身份，不符合合規(guī)標(biāo)準(zhǔn)或者沒(méi)有安裝必裝的軟件，就不能允許訪問(wèn)資源。并且根據(jù)連接是否加密等因素的識(shí)別來(lái)加強(qiáng)通過(guò)對(duì)訪問(wèn)的限制。

5）讓用戶使用的設(shè)備合規(guī)。利用身份分配和配置管理技術(shù)來(lái)盡可能簡(jiǎn)單地讓用戶使用的設(shè)備合規(guī)。不要依靠用戶能自覺(jué)了解他們需要下載和安裝一系列軟件。

6）利用安全工具進(jìn)行監(jiān)控。利用可靠的安全設(shè)備及符合企業(yè)自身特點(diǎn)的安全信息事件管理（SIEM）解決方案對(duì)在公司網(wǎng)絡(luò)上訪問(wèn)資源的所有設(shè)備進(jìn)行監(jiān)控。在一個(gè)充滿潛在威脅的環(huán)境下，能發(fā)現(xiàn)問(wèn)題是首要的，而發(fā)現(xiàn)問(wèn)題后的響應(yīng)時(shí)間則是關(guān)鍵性的。

7）使用具有擔(dān)保層級(jí)的身份聯(lián)盟。在具有許多身份來(lái)源的環(huán)境中以一種安全的、基于標(biāo)準(zhǔn)的方式降低操作成本。例如使用自己設(shè)備的用戶通常已經(jīng)登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實(shí)施為支持多個(gè)擔(dān)保層級(jí)。如果某員工已經(jīng)登錄到微博，內(nèi)部應(yīng)用可利用那個(gè)身份，但給他較低的信任級(jí)別。這樣，員工就可使用其微博資格訪問(wèn)內(nèi)聯(lián)網(wǎng)非敏感部分。但如果想訪問(wèn)公司的電子郵件，他就需要提供員工資格權(quán)限從而執(zhí)行更高一級(jí)的

擔(dān)保。

8）企業(yè)提供安全設(shè)備。為員工提供移動(dòng)設(shè)備并確保這些設(shè)備已進(jìn)行安全控制。這樣單位和個(gè)人實(shí)現(xiàn)了雙贏。員工使用設(shè)備無(wú)需付錢，并可以使用安全且合規(guī)的方式訪問(wèn)公司辦公環(huán)境。

9）嚴(yán)格控制從設(shè)備的訪問(wèn)。要確保對(duì)敏感數(shù)據(jù)的訪問(wèn)得到嚴(yán)格控制。例如，只允許部分有權(quán)限的員工可以利用該信息，但絕不允許將數(shù)據(jù)存儲(chǔ)到個(gè)人設(shè)備上。

10）對(duì)敏感數(shù)據(jù)加密。對(duì)敏感數(shù)據(jù)進(jìn)行加密處理，可括員工的公司電子郵件。

4 結(jié)束語(yǔ)

綜合分析，下一代的IT基礎(chǔ)設(shè)施主要由“云、管、端”三部分組成，“云”就是數(shù)據(jù)中心的云計(jì)算平臺(tái)，“管”就是作為通訊管道的網(wǎng)絡(luò)，“端”就是信息終端。終端的移動(dòng)化、服務(wù)器的虛擬化和云計(jì)算是IT基礎(chǔ)設(shè)施的發(fā)展趨勢(shì)。“云、管、端”這種發(fā)展趨勢(shì)，不是孤立的，而是相輔相成的。從長(zhǎng)期看為開(kāi)發(fā)、操作和維護(hù)節(jié)約了成本。允許員工使用他們自己的設(shè)備會(huì)帶來(lái)許多風(fēng)險(xiǎn)，而在設(shè)備的不斷且快速的更新?lián)Q代中也會(huì)出現(xiàn)很多新的風(fēng)險(xiǎn)，因此，BYOD發(fā)展還需要不斷實(shí)踐和完善。

參考文獻(xiàn)

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計(jì)算機(jī)與網(wǎng)絡(luò).

[7]電力行業(yè)信息化期刊.endprint