BYOD移動辦公中的安全問題研究

周華+張先斌+楊莉莉+楊文明+龍建華

摘 要 隨著企業信息化水平的不斷提升，基于傳統PC的辦公自動化系統已經不能滿足當前社會高效率移動互聯時代的辦公需求。一方面，企業各種業務擴展和移動辦公人數、地點的增多，迫切需要員工能夠在分支機構、出差旅途中、酒店，甚至家里、咖啡室等任何地方接入辦公系統進行工作，從而提升企業競爭力;另一方面，員工手中的移動設備早已不只是打電話、發短信這樣簡單的功能，并希望自己的手機、平板電腦，不但能夠實現個人應用，還能夠進行移動辦公，提升自己的工作效率和業績。文章分析了BYOD（Bring Your Own Device）面臨的安全風險，討論了當前BYOD的安全研究現狀，最后提出了BYOD的安全建議，可以作為移動辦公安全建設提供重要參考。

關鍵詞 BYOD;移動辦公;問題研究

中圖分類號：TP3 文獻標識碼：A 文章編號：1671-7597（2014）22-0142-04

據海比研究數據顯示，96%的企業希望將業務部署到移動終端，93%的企業領導希望實現移動辦公。2011年企業級移動應用的市場規模大概在60億，預計未來企業級移動應用市場的增長將達到40%，企業如此熱衷于移動辦公，這表明他們確信移動應用不僅能方便他們的日常辦公，而且能夠為其創造巨大的價值。一般來說，一項新技術應用的實際獲得收益往往比預想中的低。然而，對于目前正在使用移動終端（如智能電話和平板電腦）的企業來說，77%的調查對象已經看到實施后生產力的提升。此外，59%的調查對象現在正在依靠移動設備實施一系列的業務應用，這就顯示出，移動應用已經逐漸成為主流。企業希望引入移動終端加強自身業務的需求非常強烈。

然而，從安全角度考慮，BYOD移動辦公還面臨許多安全風險，針對BYOD業界和安全研究者們提出了許多安全方案和技術手段，但離完全解決BYOD安全目標還有很大差距，本文主要目的是幫助用戶了解當前BYOD的安全勢態，為BYOD安全建設提供參考。

1 BYOD面臨的安全風險

允許員工使用他們自己的設備會帶來許多風險，這些設備在不同環境中需要區別對待，有時候是作為部分可信的端點來對待，有時候必須作為完全不可信的端點來對待。主要的考慮是BYOD會使風險提高，新型的移動設備可能比傳統的設備更容易地被攻擊。

1）移動終端安全威脅。

①空中竊聽。攻擊者可以截獲無線電信號并解析出數據。用于無線網絡接入的設備過很小的改動就可以被設置成截獲特定無線信道或頻率的數據的設備，而且這種攻擊行為很難被檢測到。

②漏洞利用。移動終端的操作系統、應用程序甚至固件都曾被發現存在漏洞，攻擊者可以利用這些漏洞進行各種形式的攻擊。據最新研究表明，針對Android設備的惡意軟件數量在過去不到一年的時間里增長了41倍。研究還發現超過半數的Android設備存在未經修復的安全漏洞。設備廠商和運營商們補丁發布遲緩是造成消費者已經購買的Android設備無法及時修復漏洞的主要原因。

2012年5月18日，據英國科技網站The Register報道，德國烏爾姆大學的研究學者在對Android平臺的安全性進行研究后發現，99%的Android手機都存在密碼容易失竊的漏洞。研究發現，Android平臺存在一個與名為“Client Login”的身份驗證協議有關漏洞，用戶輸入受密碼保護的服務的身份憑證以后，黑客就能通過這個漏洞收集和使用手機用戶存儲的數字標識符。該協議現存在于Android 2.3.3及以前版本中。2012年10月22日有媒體報道，來自漢諾威和馬爾堡大學的專家們最近發布一項研究聲稱，在Google Play Store提供的最流行的免費應用程序（App）中，許多都可能帶有導致man-in-the-middle（MITM）攻擊的漏洞，這將嚴重威脅到用戶隱私。攻擊者得以竊取高度敏感的用戶信息，包括他們在社交網站甚至網上銀行的用戶名和密碼。專家表示，“Google's Play市場數據表明，目前，帶有這種漏洞的App程序累積安裝量在3950萬～18500萬之間。實際安裝數量可能會更大，因為這還沒有包括其他安卓App市場的安裝量。”2012年10月下旬媒體披露出，最近的實例代碼測試中發現Broadcom的BCM4325和BCM4329兩個無線芯片固件非常容易受到攻擊。搭載這兩款芯片的設備有iPhone 4，iPad，iPad 2，HTC Droid Incredible 2，Motorola Droid X2和福特汽車的無線模塊等，這些芯片連接WiFi網絡后容易受到攻擊的影響而斷線。研究者Andrés Blanco說：“攻擊者只需要準備一個支持802.11規格的無線網卡就能輕松地向你發動攻擊”。該脆弱性的CVE編號為CVE-2012-2619，在CWE分類為“輸入驗證錯誤（Input validation error[CWE-20]）”。早在2002年就有安全公司宣稱，手機的藍牙功能存在漏洞 ，可導致攻擊者取得手機的控制權，進而通過發送短信、撥打電話、瀏覽網頁等消耗受害者的資費， 通過查看通訊簿等獲得受害人的隱私信息。

圖1 空中竊聽示例圖

③病毒木馬。病毒木馬等惡意軟件是PC時代的主要安全威脅 ，智能終端的出現為這類惡意程序提供新的生存環境。從病毒傳播渠道上看，手機病毒來源主要包括：文本短信和多媒體短信中夾帶惡意URL藍牙接口播放攻擊構造的惡意多媒體文件與感染惡意程序的PC機互聯安裝未經安全檢驗的第三方應用程序或手機ROM。在2011年第三屆通信網絡和信息安全高層論壇上，網絡安全專家就顯示了利用彩信夾帶惡意URL以及手機瀏覽器漏洞成功植入木馬，進而對Android手機進行控制的全過程。2011年底，上億智能手機被曝已植入CIQ手機間諜軟件，秘密傳送用戶信息，引發全球矚目。

④拒絕服務。前文已經提到，利用移動終端上的漏洞，可以發起拒絕服務攻擊。即使在沒有漏洞的情況下，通過短時間內發生大量信息，有些手機應用在邏輯處理功能存在缺陷，也可以造成暫時的拒絕服務后果。endprint

⑤誘騙欺詐。接入點偽裝是目前威脅等級較高的黑客手段，這些攻擊者可以偽裝接入點，由于移動終端的配置不當可能會在未察覺的情況下或因為貪圖便宜連接到偽裝的免費接入點（AP），攻擊者在接入點截獲受害者的通訊數據，就有可能獲得機密認證信息。

2）網絡安全威脅。

①暴力破解。暴力破解是最常見的安全威脅方式。攻擊者可以通過破解無線接入設備的口令或加密算法獲得訪問權限 ，甚至通過破解加密算法獲得移動終端的通訊記錄。

②漏洞利用。網絡設備軟件和協議棧往往存在漏洞 ，攻擊者可以利用漏洞獲取對設備的控制權或發動攻擊導致服務中斷。

③DDos。在2G時代，由于數據訪問速率的限制，攻擊者基本上不會發動DDoS攻擊。而3G技術的廣泛應用，帶寬大幅增加，足以吸引黑客控制手機發動DDoS攻擊。以CDMA2000 EV-DO為例，下行速率達到3.1 Mbit/s，上行速率達到1.8 Mbit/s，已經接近主流的家庭ADSL帶寬。一旦手機被黑客控制，形成僵尸網絡，黑客就能夠發動傳統基于IP互聯網的DDoS，甚至還可以發動針對語音電話和短信的DDoS，所造成的安全風險要遠大于傳統僵尸網絡[Chalenge]。事實上 ，很多文獻都證明手機僵尸網絡的存在。

3）業務安全威脅。

①數據泄露。對于企業IT系統而言，終端移動化之后，如果不采取更強的認證加密和數據防泄露措施，有可能造成業務數據的泄露。對于移動互聯業務提供商而言，用戶信息是最重要的數據，也是地下產業鏈孜孜以求的內容。美國知名市場研究機構波耐蒙研究所（Ponemon Institute）之前的一項針對IT人士 的調查顯示：63%的數據泄露事故起因是移動設備;只有28%源于員工的臺式電腦。

②漏洞利用。業務層面上的漏洞利用主要是利用業務邏輯的缺陷。業務邏輯用來描述那些處理據庫和Web應用程序用戶界面之間的信息交換的功能算法 （業務規則、業務策略和工作流）。業務邏輯漏洞，存在于脆弱性堆棧的最上一層，由于設計上的疏失，很多業務邏輯存在漏洞，這些漏洞會導致攻擊者繞過安全機制而非法獲取信息或利益，例如密碼恢復流程的漏洞可以導致用戶賬戶密碼泄露。用相同的數據發送多次交易請求，由于有效性驗證的缺失，導致交易超越限度的重復進行。這種情況可以導致超額交易的發生，例如從一個不可透支賬號取出超過賬戶余額的現金。

2 BYOD安全現狀研究

BYOD安全是制約移動辦公發展的重要因素，受到廣泛關注，以下從商業方案和學術研究2個角度對BYOD安全研究現狀進行分析。

2.1 商業技術方案

終端安全：提供高效的MDM管理平臺，為企業及個人用戶擁有的各種類智能手機，平板電腦，手持終端等、各平（Android/iOS/Windows Phone等）的移動數據和應用程序提供集中管理、安全保護和細粒度的統一配置;可通過預先設定移動設備、應用程序的使用策略，規范管理、控制使用過程;提供一套完整的安全保障機制，保護企業移動設備、設備上的移動數據;限制非法應用程序的安裝和運行，提供安全SDK進行數據加密保護;可以對所有接入管理的設備按照分組進行多種安全策略的統一執行，包括了開機密碼策略，藍牙、相機、抓屏等設備功能限制策略等;終端遺失或被盜情況下遠程鎖屏、擦除設備，重設終端恢復出廠設置，銷毀所有數據、應用及配置信息等，完成整個生命周期的終端安全管控。

圖2 移動辦公信息化安全架構圖

鏈路安全：VPN集群設備向用戶提供成熟、完善的高性能VPN集群接入方案，支持用戶分級分組管理，帶來管理的便利;對于iOS、Android智能終端支持SSL VPN虛擬化方式接入，其中iOS還支持IPSEC“零安裝”接入;對于Android、Windows Mobile系統的智能終端，還支持使用全網接入模式接入;全面支持SM2算法及其數字證書規范，能降低用戶PKI建設成本;支持證書廢棄，保障系統安全;支持生成證書請求，確保私鑰不外泄，從而保障鏈路的安全、機密性;豐富多樣的外部認證支持，能與用戶原有認證系統無縫結合，保障業務延續性;內置短信認證模塊，杜絕口令泄露。

訪問控制：VPN網關集群設備，采用獨創的分級可信接入技術，不僅可以對接入的主機系統進行全面安全檢測，拒絕不合格用戶接入，而且還可實現對用戶系統的安全等級評估，根據不同的安全等級，授予不同的訪問權限;對于要求訪問敏感信息服務器的用戶，如果沒有達到較高安全等級，可只授予與其安全等級匹配的普通權限;這樣既可以防止不安全的用戶主機感染內部關鍵服務器，又可以保留其瀏覽公司普通Web服務器的權限，實現桌面的安全等級與訪問資源的安全級別相匹配和訪問權限的分級;支持硬件特征碼認證，保障使用身份;具備完善的PKI體系，提高用戶網絡的安全等級;支持第三方CA，與用戶系統無縫結合;支持CA在線認證，保證身份有效的時效性;并且還可以配合MDM管理平臺實現更加精細化的移動終端訪問控制策略。

資產管理：MDM（Mobile Device Management）提供統一的資產管理控制，可以控制和跟蹤移動設備連接到企業的應用程序和數據，企業可以部署、追蹤和管理他們所有的移動資產;自動檢測終端上資產變更，自動通知管理后臺;確認終端上應用為最新版本，并且不存在兼容問題;提供終端信息采集功能，包括電話號碼，IMEI號，設備ID，設備序列號，設備型號，系統版本，存儲空間，電池用量，軟件名稱、版本及大小等;使得企業管理人員實時全盤掌握現有資產情況，隨時可控。

行為安全：在移動終端上，具備流量監控管理、資產變更監控的功能，發現異常流量和異常資產變更會及時通知后臺，一定程度上防止惡意軟件的不法行為;在企業端，部署了入侵檢測系統，能夠實時檢測包括溢出攻擊、RPC攻擊、WEBCGI攻擊、拒絕服務攻擊、木馬、蠕蟲、系統漏洞等超過3500種網絡攻擊行為，并具有應用協議智能識別、P2P流量控制、網絡病毒檢測、惡意網站監測和內網監控等功能，為用戶提供了完整的立體式網絡安全檢測監控;并且還可以通過網絡審計系統，實現網絡操作行為的細粒度審計，為提高工作效率、威懾違規行為、取證定責提供有效手段。endprint

企業應用的安全保障：通過統一威脅管理系統（UTM）和VPN網關集群，為企業應用提供事前的安全防護和準入控制;通過入侵檢測系統，起到事中檢測報警;通過網絡審計系統、運維審計系統，起到事后的可審計可取證;配合數據備份、網絡冗余等容災策略，保障快速恢復能力;并通過統一的策略管理和安全管理平臺，可以快速實施安全策略，進行快速安全管理，保障快速的安全事件處理和響應能力。

數據安全：在終端設備上的數據產生時采取加密措施，保障數據在終端上的使用、存儲的機密性;通訊環節，通過VPN設備保障鏈路加密，有效防止泄密事件發生;在企業端的數據，采取了備份策略，保障數據的可靠性;同時提供細粒度的日志審計和訪問控制策略，防止非法接入，并可實時取證;同時MDM還提供了設備備份的功能，可以通過將關鍵數據進行備份，保障在終端遺失、被竊或損壞后的數據可獲得;同時，為了防止在終端遺失或被竊后的可能造成的機密數據泄露，MDM提供遠程鎖定、遠程數據擦除、數據隱藏、禁用網絡和應用訪問等數據泄露防護策略和功能。

容災：主要包括兩個部分的容災策略，一是數據的容災備份，通過備份軟件平臺、存儲/備份一體機等，滿足對數據存儲、備份、敏感信息的集中管控需求，通過綜合技術手段全面保證數據的完整性、可用性和機密性;二是核心網絡設備的容災策略，尤其是VPN網關，是整個網絡通訊的“咽喉”，一旦出現故障則將造成整個網絡通訊的癱瘓;本方案建議采取基于智能VPN集群來保障其可靠性，多臺VPN網關之間相互備份，對外提供統一接入IP，一旦某臺設備故障時，其他的設備能夠立即接替其工作，保證用戶業務數據的不間斷;支持200+臺設備的集群和多種集群負載均衡策略;支持通過心跳口進行狀態和Session同步，網關切換時無需用戶二次認證，不損害用戶體驗。

審計：安全審計是安全體系中重要的一環，是不可缺失的一環，良好的審計體系，不僅能夠威懾不法份子，更重要的是能夠提供事后可追蹤、可取證能力;本方案中提供網絡行為的審計和運維管理審計兩個方面的審計能力;網絡行為的審計，支持多維細粒度網絡行為和流量審計分析，基于多核平臺，采用云審計、量子云存儲等多項獨特技術及專利，旁路部署，支持多點多級和集中管理，是規范網絡行為、合規審計的最佳實踐，提供網絡行為審計和還原、流量監控與統計、實名制審計策略、報表與統計、報警響應、審計產品規則庫等諸多功能，并具備完善的自身安全防護能力;運維管理審計，針對企業內部網絡設備和服務器進行保護，對此類資產的常用訪問方式進行監控和審計，實現對用戶行為的控制、追蹤、判定，滿足企業內部網絡對安全性的要求，提供單點登錄、集中賬號管理、身份認證、資源授權、訪問控制和操作審計等諸多功能，有效提升內部網絡的整體安全性和易用性。

2.2 學術研究成果

從學術和成果角度來說，目前合規與安全管理領域成果較多，移動設備管理、客戶端安全和傳輸安全等方面較少，亟需加快研究，以下介紹幾個熱門研究方向。

2.2.1 移動設備安全管理

Gartner已經將移動設備管理MDM（Mobile Device Management）列為一個獨立的安全產品門類。在移動互聯的環境中，企業的IT管理者需要對移動終端進行有效的管理，主要體現在以下幾個方面：

1）對移動終端的網絡準入控。

2）IT管理者對移動終端進行遠程批量部署與配置。

3）IT管理者設置安全策略并遠程執行。

4）數據加密，通過全磁盤和內存加密，加密備份文件。

5）應用程序沙箱，隔離個人數據與企業數據，確保企業數據的完整性和安全性。

6）端到端數據加密。

7）惡意程序防控，采用強制代碼簽名，提供可信的應用程序下載以及附件轉譯服務。

8）遠程數據刪除。

2.2.2 WLAN的入侵檢測和脆弱性評估

移動終端通常都是通過無線方式接入到網絡中的，接入的網絡通道有WLAN或無線數據網兩種，訪問的目標系統也有企業私有的IT系統和公共互聯網業務兩種。無論哪種接入場景，安全需求都是類似的，主要包括：

1）移動終端的雙向認證和訪問授權。

有線終端的接入，只需要網絡對終端進行認證。移動終端的安全接入需要雙向認證，即終端對接入的網絡是否可信需要認證。

2）移動通訊的加密機制和防破解。

繼WEP加密機制遭到破解之后，攻擊者又發現了WAP的破解方法。無線網絡設備需要提供加密強度更大的方法，保證無線通信的安全。

3）偽裝和違規無線AP的發現。

攻擊者為了嗅探更多信息，往往通過部署偽裝的AP，誘騙無線終端接入。企業內部人員私自違規架設AP，可能造成數據泄露。這兩種情況都需要被IT管理人員及時發現并阻斷。

4）入侵與攻擊行為的檢測。

無論是互聯網還企業內部網絡，大部分移動終端都將采用WLAN方式接入。WLAN環境是否存在入侵攻擊和脆弱性，就是網絡管理者非常關心的問題。與傳統的有線接入的網絡一樣，移動互聯的環境下同樣存在大量的入侵和攻擊，只是由于攻擊目標的發生了一些變化，攻擊的手法有所改變。有些攻擊是專門針對無線網絡設備的攻擊，比較典型的有DHCP泛洪、驗證（Authentication）消息泛洪、取消驗證（Deauthentication）消息泛洪、射頻干擾攻擊等等。偽裝的WLAN AP、非授權的客戶端連接、使用易破解的加密方法等也是無線網絡中特有的脆弱性、授權用戶加入AD HOC網絡。

5）僵尸網絡的檢測與攻擊溯源僵尸網絡的檢測與攻擊

溯源。

僵尸網絡的檢測與攻擊溯源僵尸網絡的檢測與攻擊溯源一直是有線網絡環境中的難題，原因是缺乏惟一確定攻擊行為主體的身份標識。而在移動互聯的環境中，終端的身份往往是手機號碼，是終端的惟一標識，理論上可以將攻擊行為與這個惟一標識對應起來，從而實現對攻擊行為的溯源和定位。有線接入的網絡中，通常只能定位到僵尸主機所在網絡出口的IP地址，而僵尸主機是內網的私有IP，很難被精確定位到。而移動終端的IP和ID號都在運營商的掌控范圍內，無須協調企業用戶提供內網主機上網行為信息。endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯時代，各種網絡應用的生命周期明顯縮短，開發時間非常短促，程序開發人員缺少信息安全相關的專業知識，受技能和精力的限制，很難保證應用代碼沒有安全漏洞，更無法避免存在業務邏輯方面的漏洞。例如不久前媒體披露，國內某著名電子商務網站出現重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網站也曾出現過。例如用戶在某網站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應的分數。在設計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經上線的重要應用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發現之前找到彌補的辦法。聘請專業安全公司對代碼進行安全審計或在服務系統平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務。

3 BYOD安全建議

應對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業內部樹立安全觀念，將之培育為企業有機整體的一部分，使安全觀念嵌入到企業的各個方面。不能將安全意識看作企業創造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復強調，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網絡釣魚方式，通過捕捉安全意識缺乏的員工來損害網絡。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規定。讓用戶對能看懂并且能簡單操作相關的“安全規定”。例如“為保證您的設備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝。”

4）執行顆粒度較細的訪問控制策略。應依靠身份識別對數據和應用進行保護。如果系統不確定用戶的身份，不符合合規標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設備合規。利用身份分配和配置管理技術來盡可能簡單地讓用戶使用的設備合規。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監控。利用可靠的安全設備及符合企業自身特點的安全信息事件管理（SIEM）解決方案對在公司網絡上訪問資源的所有設備進行監控。在一個充滿潛在威脅的環境下，能發現問題是首要的，而發現問題后的響應時間則是關鍵性的。

7）使用具有擔保層級的身份聯盟。在具有許多身份來源的環境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設備的用戶通常已經登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經登錄到微博，內部應用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內聯網非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權限從而執行更高一級的

擔保。

8）企業提供安全設備。為員工提供移動設備并確保這些設備已進行安全控制。這樣單位和個人實現了雙贏。員工使用設備無需付錢，并可以使用安全且合規的方式訪問公司辦公環境。

9）嚴格控制從設備的訪問。要確保對敏感數據的訪問得到嚴格控制。例如，只允許部分有權限的員工可以利用該信息，但絕不允許將數據存儲到個人設備上。

10）對敏感數據加密。對敏感數據進行加密處理，可括員工的公司電子郵件。

4 結束語

綜合分析，下一代的IT基礎設施主要由“云、管、端”三部分組成，“云”就是數據中心的云計算平臺，“管”就是作為通訊管道的網絡，“端”就是信息終端。終端的移動化、服務器的虛擬化和云計算是IT基礎設施的發展趨勢。“云、管、端”這種發展趨勢，不是孤立的，而是相輔相成的。從長期看為開發、操作和維護節約了成本。允許員工使用他們自己的設備會帶來許多風險，而在設備的不斷且快速的更新換代中也會出現很多新的風險，因此，BYOD發展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網絡.

[7]電力行業信息化期刊.endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯時代，各種網絡應用的生命周期明顯縮短，開發時間非常短促，程序開發人員缺少信息安全相關的專業知識，受技能和精力的限制，很難保證應用代碼沒有安全漏洞，更無法避免存在業務邏輯方面的漏洞。例如不久前媒體披露，國內某著名電子商務網站出現重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網站也曾出現過。例如用戶在某網站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應的分數。在設計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經上線的重要應用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發現之前找到彌補的辦法。聘請專業安全公司對代碼進行安全審計或在服務系統平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務。

3 BYOD安全建議

應對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業內部樹立安全觀念，將之培育為企業有機整體的一部分，使安全觀念嵌入到企業的各個方面。不能將安全意識看作企業創造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復強調，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網絡釣魚方式，通過捕捉安全意識缺乏的員工來損害網絡。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規定。讓用戶對能看懂并且能簡單操作相關的“安全規定”。例如“為保證您的設備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝。”

4）執行顆粒度較細的訪問控制策略。應依靠身份識別對數據和應用進行保護。如果系統不確定用戶的身份，不符合合規標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設備合規。利用身份分配和配置管理技術來盡可能簡單地讓用戶使用的設備合規。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監控。利用可靠的安全設備及符合企業自身特點的安全信息事件管理（SIEM）解決方案對在公司網絡上訪問資源的所有設備進行監控。在一個充滿潛在威脅的環境下，能發現問題是首要的，而發現問題后的響應時間則是關鍵性的。

7）使用具有擔保層級的身份聯盟。在具有許多身份來源的環境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設備的用戶通常已經登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經登錄到微博，內部應用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內聯網非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權限從而執行更高一級的

擔保。

8）企業提供安全設備。為員工提供移動設備并確保這些設備已進行安全控制。這樣單位和個人實現了雙贏。員工使用設備無需付錢，并可以使用安全且合規的方式訪問公司辦公環境。

9）嚴格控制從設備的訪問。要確保對敏感數據的訪問得到嚴格控制。例如，只允許部分有權限的員工可以利用該信息，但絕不允許將數據存儲到個人設備上。

10）對敏感數據加密。對敏感數據進行加密處理，可括員工的公司電子郵件。

4 結束語

綜合分析，下一代的IT基礎設施主要由“云、管、端”三部分組成，“云”就是數據中心的云計算平臺，“管”就是作為通訊管道的網絡，“端”就是信息終端。終端的移動化、服務器的虛擬化和云計算是IT基礎設施的發展趨勢。“云、管、端”這種發展趨勢，不是孤立的，而是相輔相成的。從長期看為開發、操作和維護節約了成本。允許員工使用他們自己的設備會帶來許多風險，而在設備的不斷且快速的更新換代中也會出現很多新的風險，因此，BYOD發展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網絡.

[7]電力行業信息化期刊.endprint

2.2.3 代碼審計和客戶端漏洞挖掘重要性

移動互聯時代，各種網絡應用的生命周期明顯縮短，開發時間非常短促，程序開發人員缺少信息安全相關的專業知識，受技能和精力的限制，很難保證應用代碼沒有安全漏洞，更無法避免存在業務邏輯方面的漏洞。例如不久前媒體披露，國內某著名電子商務網站出現重大漏洞，用戶可以使用積分無限制兌換手機話費、游戲點卡、Q幣、彩票等。類似的漏洞在其它網站也曾出現過。例如用戶在某網站輸入負的積分值兌換獎品，不但可以兌換成功，兌換后的積分值還會增加相應的分數。在設計階段引入安全需求，對程序代碼進行安全審計，會大大降低安全的成本。對已經上線的重要應用和客戶端，則需要進行漏洞挖掘工作，以期在攻擊者發現之前找到彌補的辦法。聘請專業安全公司對代碼進行安全審計或在服務系統平臺及客戶端軟件中挖掘漏洞，正逐漸成為一類專門的安全服務。

3 BYOD安全建議

應對由BYOD帶來的風險增長，為此，可遵循如下一些策略：

1）倡導鼓勵推動安全文化。在企業內部樹立安全觀念，將之培育為企業有機整體的一部分，使安全觀念嵌入到企業的各個方面。不能將安全意識看作企業創造精神的障礙。

2）加強安全教育和安全測試。單位和終端用戶必須共同承擔責任。著名安全名人（先前的黑客）Kevin Mitnick曾反復強調，社會工程仍是最容易的讓安全意識滲透一家公司的方式。實際上，許多威脅都使用了Spear Phishing網絡釣魚方式，通過捕捉安全意識缺乏的員工來損害網絡。因此，對員工的安全意識教育是必不可少的。必須定期對員工進行測試，加強正確行為方式的建立。

3）建立易于理解的BYOD規定。讓用戶對能看懂并且能簡單操作相關的“安全規定”。例如“為保證您的設備安全，需要安裝防泄密的軟件，您可按如此步驟下載并安裝。”

4）執行顆粒度較細的訪問控制策略。應依靠身份識別對數據和應用進行保護。如果系統不確定用戶的身份，不符合合規標準或者沒有安裝必裝的軟件，就不能允許訪問資源。并且根據連接是否加密等因素的識別來加強通過對訪問的限制。

5）讓用戶使用的設備合規。利用身份分配和配置管理技術來盡可能簡單地讓用戶使用的設備合規。不要依靠用戶能自覺了解他們需要下載和安裝一系列軟件。

6）利用安全工具進行監控。利用可靠的安全設備及符合企業自身特點的安全信息事件管理（SIEM）解決方案對在公司網絡上訪問資源的所有設備進行監控。在一個充滿潛在威脅的環境下，能發現問題是首要的，而發現問題后的響應時間則是關鍵性的。

7）使用具有擔保層級的身份聯盟。在具有許多身份來源的環境中以一種安全的、基于標準的方式降低操作成本。例如使用自己設備的用戶通常已經登錄到他們的在線賬戶中（如微博），為保證易于使用和透明的一二三次登錄，安全策略可以實施為支持多個擔保層級。如果某員工已經登錄到微博，內部應用可利用那個身份，但給他較低的信任級別。這樣，員工就可使用其微博資格訪問內聯網非敏感部分。但如果想訪問公司的電子郵件，他就需要提供員工資格權限從而執行更高一級的

擔保。

8）企業提供安全設備。為員工提供移動設備并確保這些設備已進行安全控制。這樣單位和個人實現了雙贏。員工使用設備無需付錢，并可以使用安全且合規的方式訪問公司辦公環境。

9）嚴格控制從設備的訪問。要確保對敏感數據的訪問得到嚴格控制。例如，只允許部分有權限的員工可以利用該信息，但絕不允許將數據存儲到個人設備上。

10）對敏感數據加密。對敏感數據進行加密處理，可括員工的公司電子郵件。

4 結束語

綜合分析，下一代的IT基礎設施主要由“云、管、端”三部分組成，“云”就是數據中心的云計算平臺，“管”就是作為通訊管道的網絡，“端”就是信息終端。終端的移動化、服務器的虛擬化和云計算是IT基礎設施的發展趨勢。“云、管、端”這種發展趨勢，不是孤立的，而是相輔相成的。從長期看為開發、操作和維護節約了成本。允許員工使用他們自己的設備會帶來許多風險，而在設備的不斷且快速的更新換代中也會出現很多新的風險，因此，BYOD發展還需要不斷實踐和完善。

參考文獻

[1]"BYOD – Research findings". Logicalis. Retrieved 12 February 2013.

[2]Rene Millman， ITPro. “Surge in BYOD sees 7/10 employees using their own devices.” Aug 12， 2012. Retrieved Jun 5， 2013.

[3]UC Strategies. "BYODs Productivity Gains Are “Hard to Calculate” – Study Says." May 1， 2013. Retrieved Jul 11， 2014.

[4]Happiness Is ... Bringing Your Own Computer Devices to Work. RetailWire.http：//www.retailwire.com/discussion/16188/happiness-is-bringing-your-own-computer-devices-to-work

[5]Casey， Kevin （19 November 2012）. “Risks Your BYOD Policy Must Address”， InformationWeek. Retrieved 19 June 2013.

[6]計算機與網絡.

[7]電力行業信息化期刊.endprint