信息來源：51cto

如今，移動安全是每家公司最擔心的問題——而且理由很充分:幾乎所有員工現(xiàn)在都經(jīng)常使用智能手機訪問公司數(shù)據(jù)，這意味著讓敏感信息不落入壞人之手是一個越來越復雜的難題。可以說，風險比以往任何時候都要高:根據(jù)波耐蒙研究所(Ponemon Institute) 2018年的一份報告顯示，企業(yè)數(shù)據(jù)泄露的平均成本高達386萬美元，這比一年前的估計成本高出6.4%。

雖然人們很容易把注意力集中在惡意軟件這個轟動一時的話題上，但事實是，手機惡意軟件感染在現(xiàn)實世界中極其罕見——根據(jù)一項估計，你被感染的幾率大大低于被閃電擊中的幾率。這要感謝移動惡意軟件的本質(zhì)，以及現(xiàn)代移動操作系統(tǒng)內(nèi)置的固有保護。

更現(xiàn)實的移動安全隱患存在于一些容易被忽視的領域，隨著2019年的到來，這些問題預計只會變得更加緊迫：

1. 數(shù)據(jù)泄漏

這聽起來像是機器人泌尿科醫(yī)生的診斷，但數(shù)據(jù)泄露被廣泛認為是2019年企業(yè)安全最令人擔憂的威脅之一。還記得那些幾乎不存在的被惡意軟件感染的幾率嗎?好吧，根據(jù)Ponemon的最新研究，當涉及到數(shù)據(jù)泄露時，公司有近28%的幾率在未來兩年內(nèi)經(jīng)歷至少一次事件——換句話說，幾率超過四分之一。

是什么讓這個問題特別棘手?因為它本質(zhì)上并不是邪惡的; 相反，這是用戶在無意中做出了不明智的決定，決定哪些應用程序能夠查看和傳輸他們的信息。

Gartner移動安全研究主管Dionisio Zumerle說：“主要的挑戰(zhàn)是，如何實現(xiàn)一種既不會讓管理員不知所措、也不會讓用戶感到沮喪的應用審查流程?！?他建議轉(zhuǎn)向移動威脅防御(MTD)解決方案——如賽門鐵克的Endpoint Protection Mobile，CheckPoint的SandBlast Mobile和Zimperium的zIPS保護等產(chǎn)品。Zumerle表示，這些實用程序可以掃描應用程序的“泄漏行為”，并可以自動阻止有問題的進程。

當然，即使這樣也不會總是涵蓋由于公開的用戶錯誤而導致的泄漏——一些簡單的事情，比如將公司文件轉(zhuǎn)移到公共云存儲服務上，將機密信息粘貼到錯誤的地方，或者將電子郵件轉(zhuǎn)發(fā)給一個意想不到的收件人。這是醫(yī)療行業(yè)目前正在努力克服的一個挑戰(zhàn):據(jù)專業(yè)保險公司Beazley稱，“意外泄露”是2018年第三季度醫(yī)療機構報告的數(shù)據(jù)泄露的首要原因。在這段時間內(nèi)，這一類別再加上內(nèi)部消息泄露，占所有報告的泄密事件的近一半。

對于這種類型的泄漏，防止數(shù)據(jù)丟失(DLP)工具可能是最有效的保護形式。此類軟件明確設計用于防止敏感信息的暴露，包括在意外情況下。

2. 社會工程

這種屢試不爽的欺騙策略在移動端和臺式機上一樣麻煩。盡管人們很容易認為社會工程的弊端是可以避免的，但它們?nèi)匀痪哂畜@人的效果。

根據(jù)安全公司FireEye 2018年的一份報告，91%的網(wǎng)絡犯罪始于電子郵件。該公司將此類事件稱為“無惡意攻擊”，因為它們依靠模仿等策略來欺騙人們點擊惡意鏈接或提供敏感信息。該公司稱，網(wǎng)絡釣魚在2017年期間增長了65%，移動用戶因為許多移動電子郵件客戶端僅顯示發(fā)件人名稱的方式而面臨最大的風險。

事實上，根據(jù)IBM的一項研究，用戶對移動設備上的網(wǎng)絡釣魚攻擊的回應是桌面的三倍——部分原因僅僅是因為手機是人們最先看到消息的地方。根據(jù)Verizon的2018年數(shù)據(jù)泄露調(diào)查報告顯示，雖然實際上只有4%的用戶點擊網(wǎng)絡釣魚相關鏈接,但那些輕信的用戶往往是慣犯:公司指出,如果有人點擊釣魚活動鏈接越多,他們就越有可能在未來多次點擊。Verizon此前曾報道稱，15%的成功釣魚的用戶將在同一年內(nèi)至少再釣魚一次。

“我們確實看到移動計算整體上的移動敏感度普遍上升以及BYOD工作環(huán)境的持續(xù)增長，”PhishMe的信息安全和反網(wǎng)絡釣魚策略師John“Lex”Robinson說道。使用真實世界的模擬訓練工人的公司識別和應對網(wǎng)絡釣魚。

羅賓遜指出，工作和個人電腦之間的界限也在不斷模糊。他指出，越來越多的員工在智能手機上同時查看多個收件箱(連接到工作和個人賬戶的組合)，而且?guī)缀趺總€人在工作日都會在網(wǎng)上處理一些個人事務。因此，在收到工作郵件的同時收到私人郵件在表面上看起來一點也不奇怪，即使這實際上可能是一個詭計。

3. 無線干擾

移動設備的安全性取決于它傳輸數(shù)據(jù)的網(wǎng)絡。在一個我們都在不斷連接公共Wi-Fi網(wǎng)絡的時代，這意味著我們的信息往往不像我們想象的那么安全。

這個問題究竟有多重要?根據(jù)企業(yè)安全公司W(wǎng)andera的研究，企業(yè)移動設備使用Wi-Fi幾乎是使用蜂窩數(shù)據(jù)的三倍。近四分之一的設備可能連接到開放且不安全的Wi-Fi網(wǎng)絡，并且有4%的設備在最近一個月內(nèi)遭遇了中間人攻擊——其中有人惡意攔截雙方之間的通信。與此同時，邁克菲表示，網(wǎng)絡欺騙最近“急劇增加”，但在旅行和依賴公共網(wǎng)絡時，只有不到一半的人愿意保護他們的連接。

“現(xiàn)在，加密流量并不困難，”Syracuse大學計算機科學教授凱文杜說，他專門研究智能手機安全問題?！叭绻銢]有VPN，那么你的周邊就會打開很多門戶?！?

但是，選擇正確的企業(yè)級VPN 并不容易。與大多數(shù)與安全相關的考慮因素一樣，幾乎總是需要權衡。Gartner的Zumerle指出：“移動設備的VPN交付需要更加智能，因為最大限度地減少資源消耗(主要是電池) 是至關重要的?！?他說，一個有效的VPN應該知道只有在絕對必要時才能激活，而不是當用戶訪問類似新聞網(wǎng)站或在已知安全的應用程序中工作時。

4. 過時的設備

智能手機、平板電腦和更小的聯(lián)網(wǎng)設備【通常被稱為物聯(lián)網(wǎng)(IoT)】——對企業(yè)安全構成了新的風險，因為與傳統(tǒng)的工作設備不同，它們通常不能保證及時和持續(xù)的軟件更新。在安卓方面尤其如此,絕大多數(shù)制造商在保持產(chǎn)品更新方面都令人尷尬無效,無論是操作系統(tǒng)(OS)更新還是每月更小的安全補丁,以及物聯(lián)網(wǎng)設備,其中很多甚至沒有設計為首先獲得更新。

杜說:“他們中的許多人甚至沒有內(nèi)置補丁機制，而這在如今正成為越來越大的威脅。”

Ponemon表示，撇開攻擊可能性增加不提，移動平臺的廣泛使用提高了數(shù)據(jù)泄露的總體成本，而大量與工作相關的物聯(lián)網(wǎng)產(chǎn)品只會導致這一數(shù)字進一步攀升。據(jù)網(wǎng)絡安全公司雷神介紹，物聯(lián)網(wǎng)是一扇“敞開的大門”。該公司贊助的一項研究顯示，82%的IT專業(yè)人士預測，不安全的物聯(lián)網(wǎng)設備將在公司內(nèi)部引發(fā)數(shù)據(jù)泄露——很可能是“災難性的”。

同樣，一項強有力的政策將大有裨益。有些Android設備確實能及時、可靠地接收正在進行的更新。在物聯(lián)網(wǎng)領域變得不那么像蠻荒的西部之前，必須由一家公司圍繞它們建立自己的安全網(wǎng)絡。

5. Cryptojacking攻擊

作為相關移動威脅列表的一個相對較新的補充，cryptojacking是一種攻擊，有人使用設備在用戶不知情的情況下挖掘加密貨幣。如果所有這些聽起來像是很多技術性的，那請記住一點：加密過程使用你公司的設備來獲取別人的收益。它嚴重依賴于您的技術——這意味著受影響的手機可能會遇到電池壽命不佳甚至可能因組件過熱而受損。

雖然密碼竊取起源于桌面，但從2017年末到2018年初，它在移動端出現(xiàn)了激增。Skybox的一份安全分析報告顯示，2018年上半年，不受歡迎的加密貨幣挖掘占所有攻擊的三分之一，與前半年相比，這段時間的突出程度增加了70%。根據(jù)Wandera的一份報告顯示，2017年10月至11月，針對移動設備的加密攻擊爆發(fā)了，受影響的移動設備數(shù)量激增了287%。

自那以后，情況有所降溫，特別是在移動領域——這一舉措主要得益于蘋果iOS應用商店和android相關的谷歌Play商店分別在6月和7月禁止使用加密貨幣挖掘應用。不過，安全公司指出，通過手機網(wǎng)站(甚至只是手機網(wǎng)站上的流氓廣告)和從非官方第三方市場下載的應用程序，攻擊繼續(xù)取得一定程度的成功。

分析人士還指出，通過互聯(lián)網(wǎng)連接的機頂盒進行加密的可能性，一些企業(yè)可能將機頂盒用于流媒體和視頻播放。據(jù)安全公司Rapid7稱，黑客已經(jīng)找到了一種方法來利用一個明顯的漏洞，使Android Debug Bridge(一個僅供開發(fā)人員使用的命令行工具)變得容易訪問，而且濫用這類產(chǎn)品的時機已經(jīng)成熟。

目前，沒有什么好的答案，除非仔細選擇設備并堅持要求用戶僅從平臺的官方店面下載應用程序的策略，其中密碼劫持代碼的可能性顯著降低。并且實際上，沒有跡象表明大多數(shù)公司受到任何重大或直接威脅，特別是考慮到整個行業(yè)采取預防措施。盡管如此，考慮到過去幾個月該領域的活動起伏不定，而且人們對該領域的興趣不斷上升，2019年的進展情況值得關注。

6. 密碼衛(wèi)生不良

你可能認為我們現(xiàn)在已經(jīng)過了這一階段，但不知為何，用戶仍然沒有正確地保護他們的帳戶——當他們攜帶的手機同時包含公司帳戶和個人登錄時，這可能會出現(xiàn)問題。

谷歌和哈里斯民意調(diào)查(Harris Poll)的一項新調(diào)查發(fā)現(xiàn)，根據(jù)調(diào)查樣本，超過一半的美國人在多個賬戶上使用相同密碼。同樣令人擔憂的是，近三分之一的人沒有使用雙因素身份驗證(或者甚至不知道他們是否在使用它——這可能更糟一些)。而且只有四分之一的人在積極使用密碼管理器，這表明絕大多數(shù)人可能在大多數(shù)地方都沒有特別強的密碼，因為他們可能是自己生成和記憶密碼的。

事情只會變得更糟：根據(jù)2018年的LastPass分析，有整整一半的專業(yè)人士在工作和個人賬戶上使用相同的密碼。分析發(fā)現(xiàn)，如果這還不夠，一個普通員工在工作過程中會與同事分享大約六個密碼。

為了避免你認為這完全是廢話，在2017年Verizon發(fā)現(xiàn)，在與黑客相關的企業(yè)入侵事件中，80%以上要歸咎于薄弱或被盜的密碼。特別是從一個移動設備,工作人員想快速登錄到各種應用程序、網(wǎng)站和服務，考慮到組織數(shù)據(jù)的風險，即使只有一個人用他們用于公司帳戶的相同密碼，隨機零售網(wǎng)站，聊天應用或消息論壇上的提示?，F(xiàn)在，把這個風險和前面提到的Wi-Fi干擾的風險結(jié)合起來，乘以你工作場所的員工總數(shù)，并考慮快速累積的可能暴露點的層次。

最令人煩惱的是，大多數(shù)人似乎完全忘記了他們在這方面的疏忽。在谷歌和哈里斯民意調(diào)查中，69%的受訪者為了有效保護他們的在線賬戶給自己一個“A”或“B”，盡管后來的答案表明不是這樣。顯然，您無法信任用戶自己對此事的評估。

7. 物理設備違反

最后但仍然重要的一點可能看起來特別愚蠢，但仍然是一個令人不安的現(xiàn)實威脅：丟失或無人看管的設備可能是一個主要的安全風險，特別是如果它沒有強大的PIN或密碼和完整的數(shù)據(jù)加密。

請考慮以下因素：在2016年的Ponemon研究中，35%的專業(yè)人士表示他們的工作設備沒有強制措施來保護可訪問的公司數(shù)據(jù)。更糟糕的是，接近一半的受訪者表示他們沒有密碼、PIN或生物識別安全保護他們的設備，大約三分之二的人說他們沒有使用加密技術。68%的受訪者表示他們有時會通過移動設備訪問個人和工作帳戶的密碼。

結(jié)論:僅僅把責任留給用戶是不夠的。不要通過假設制定政策，你以后會感謝自己的。