智能终端安全风险、策略、规划和方案研究.docxVIP

智能终端安全风险、策略、规划及方案研究 中国移动通信集团浙江有限公司 徐良、何晓明 智能终端面临的安全风险 企业移动化场景包括移动办公、移动营业厅、移动经分、移动桌面云等应用，在移动互联网严峻的安全形势下，用户使用移动终端主要面临敏感信息泄露、后台应用系统被入侵导致违规业务操作等风险。 移动终端上的风险 移动终端丢失，存储在终端本地的敏感数据泄露。 移动终端植入病毒木马，盗取企业应用本地敏感数据，截取执行过程数据。 企业应用被篡改，盗取应用本地敏感数据，截取执行过程数据。 网络接入风险 移动终端与后台应用系统之间的传输数据被窃听截取（明文或弱加密）。 业务应用系统风险 利用从移动终端网络传输中盗取的帐号信息，以“合法”身份登录应用系统进行违规业务受理或窃取敏感信息。 通过分析移动终端上的应用程序，发现应用系统安全漏洞，非法入侵进行违规业务受理或窃取敏感信息。 BYOD安全策略设计 基于上述安全风险，BYOD的安全策略需要从监、管、控三个方面来考虑，覆盖设备、网络、应用、数据四个部分，具体的管理策略待进一步细化。 层级 策略 具体策略考虑 措施 管理对象 设备 监视 根据设备所有权（用户设备或公司配发设备），审计并报告设备情况 技术+审计 安全审计员及终端管理员 详细记录安装的应用 技术+审计 安全审计员及终端管理员 确定设备使用情况（如设备在漫游） 技术+审计 安全审计员及终端管理员 确定设备的合规性状态（如已越狱和被列入黑名单的应用） 技术+审计 安全审计员及终端管理员 管理 根据设备所有权制定终端的安全合规策略，禁止不合规的设备接入网络 管理 最终用户 制定安全策略，防止员工接入设备资源或应用 管理 安全管理、维护及应用管理人员 保护 在不同设备和操作系统间用相似的方式部署安全策略 技术 可以将企业安全和监管合规性策略推送到所有设备 技术 可配置时间间隔审核设备，确保安全策略没有被禁用 技术 支持用户对丢失或被盗设备进行自服务操作 技术 设备丢失或被盗后进行定位、锁定并擦除其中数据 技术 用户从公司离职后全部或选择性擦除设备中的数据 技术 网络 监视 分析移动终端的合规性状态，避免非授权设备接入 技术+审计 安全审计员及终端管理员 管理 根据设备配置、设备状态、用户角色和用户所在网络等其他因素明确网络接入策略 管理 最终用户 保护 保护公司网络，防止恶意软件等移动威胁 技术 根据网络接入策略，提供系统防护支撑 技术 应用 监视 详细记录设备上安装的移动应用 技术+审计 安全审计员及终端管理员 确保用户离职时其应用接入权限被全面撤消，并进行报告以确保合规性 技术+审计 安全审计员及终端管理员 管理 要求通过应用商店将应用交付给设备 管理 开发人员 集中保护定制应用或第三方应用，要求在开发过程中或完成开发后实施细粒度的策略控制 管理 开发及应用管理人员 要求控制用户接入（范围、时间） 管理 业务及应用管理人员 保护 通过安全的应用和内网连接而不需要全VPN 技术 提供受沙箱保护的应用解决方案 技术 直接集成企业目录，通过SSO控制用户接入 技术 通过一致的应用内数据控制机制保护公司敏感数据 技术 防止用户离职后继续接入企业应用和数据 技术 实现对企业电子邮件、内网或应用的接入而无需管理整个设备，进而保护用户隐私 技术 数据 监视 跟踪移动用户的数据访问操作并发出预警 技术+审计 安全审计员及终端管理员 管理 制定细粒度的数据控制策略 管理 业务及应用管理人员 针对特定公司敏感数据，要求将数据保存在内网确保私密性 管理 业务及应用管理人员 保护 提供“数据跟我走”服务，用户可以安全的与移动设备同步并共享数据 技术 共享数据控制，允许跨应用访问 技术 对静态和移动数据进行加密，保护移动数据安全 技术 通过安全、加密的数据容器防止数据泄露 技术 在用户离职或设备丢失的情况下，或根据设备越狱等其他时间擦除容器中的数据，进而保护数据安全 技术 智能终端安全防护需求 以“安全、快捷、灵活、体验”为目标，移动智能终端在安全防护上需要从“端、管、云”三个方面考虑，并实现策略统一管理。 “端”注重体验和效率。 在终端侧需要实现企业应用统一入口；所用应用单点登录，体验同PC浏览器；集中消息管理、安全性和稳定性。 在终端接入控制上支持多种认证方式，按需选用。 “管”确保安全和效率。 在企业应用端，安全SDK支持主流OS平台，支持跨平台；提供本地文件/数据加解密接口；提供网络访问加密接口。 在网络上，支持应用到网关、设备到网关的端到端VPN加密。支持虚拟协议栈技术，支持全IP应用；提供应用专属VPN隧道、网络开放权限小；数据在应用层高强度加密，防止本地网络层窃取。 在终端侧，需要提供安全沙箱功能。可以创建独立的安全存储区，将企业数据和个人数据隔离；企