Blue Coat申强：企业移动安全危机

　　你的智能手机、你的Pad是否已经感染了病毒？你是否了解移动世界里的安全问题？企业是否能够应对移动安全威胁？智能移动终端快速的普及速度正在撕裂企业的网络控制范畴，同时网络犯罪分子在对移动互联网背后的巨大经济诱惑垂涎三尺，移动恶意软件开始大量涌现。日前发布的《Blue Coat 2013年移动恶意软件报告》揭示了移动威胁的发展现状与趋势。

　　经典攻击回归移动终端

　　据Blue Coat大中华区产品市场经理申强介绍，当前的移动威胁主要为恶作剧软件、流氓软件，这些恶意威胁并不以破坏手机操作系统为主，而是集中于付费短信诈骗或窃取个人信息。另外研究发现传统互联网上早期的欺诈方式包括网络诈骗、钓鱼网站、垃圾邮件等非常一致的呈现向移动互联网迁移的迹象。

　　研究证明，色情内容是移动用户的致命弱点。由于移动设备大多缺乏有效安全防护，所以一旦用户访问色情网站，他们因查看恶意内容而遭受攻击的风险会比其他行为高出近三倍。移动威胁环境中的攻击活动变得越来越活跃。2012年，在所有基于网络的攻击中，有将近三分之二的攻击根源于恶意网络。缺乏防护的移动设备犹如赤裸的羔羊，诱使网络犯罪分子将目光更多投向移动用户。

　　黑客组织开始将其在互联网上用于控制恶意软件的基础架构平移到移动互联网，现在移动互联网上大约40%的恶意软件来自于这些黑客组织的基础架构。黑客集团通过控制大量服务器组成基础架构，能够快速持续的发起各类大规模攻击。而今，黑客集团在开始将这一架构迁移到移动互联网。而且在PC环境中比较有效的色情、垃圾邮件和网络钓鱼等攻击技术渐趋成熟，如今也已成功迁移到移动环境中。对于这种移动威胁现象，申强称之为“回归经典”。而以取得操作系统控制权限为目的的攻击方式，还没有在移动设备上流行起来，真正能够破坏手机安全模型的移动恶意软件目前仍处于起步阶段。

　　移动设备自身缺陷背后的安全危机

　　现在人们都在把网银等和手机、电子邮箱绑定，这样一旦网银出现异常状况就会有短信或者邮件通知用户。而恶意攻击者往往会利用这一点冒充通知邮件，实施电邮钓鱼。移动设备上过小的键盘，使得人们在输入密码时极易出错，所以很多移动设备都设定密码输入过程中当前输入项可见，这就给了移动恶意软件通过“窥屏”方式来窃取用户密码的机会。

　　另外，社交网站上短链接的流行对移动设备也提出了极大考验。实际上，在移动设备上几乎没有办法去辨别短链接背后的真实网址是否有害。而大量的第三方APP应用，不仅使得用户目不暇接，也使得用户无从分辨哪个才是安全的移动应用。移动应用程序世界里，新移动软件如雨后春笋般不断涌现，但这些软件不仅在安全质量方面没有保障，同时也不具备良好的信誉评级机制。这造成了许多应用程序透过开放式网络发送未加密的个人数据或收集过多的个人信息。去看看你的手机里，有多少应用正在不断搜集你的地利位置信息、你的短信信息？

　　用户行为背后的移动安全风险

　　调查显示，用户每天花在移动网络上的时间平均为 72 分钟。其中超过11分钟在浏览与计算机/互联网相关的内容，剩余的 60 分钟所查看的内容范围涵盖社交网络、网络购物、娱乐内容等。移动设备在帮助用户随时随地获取更多信息资源，也在给用户带来更多安全威胁风险。

　　通过观察发现，移动用户更偏重于访问与休闲娱乐以及新闻相关的内容，而恶意攻击者也在利用这一点发起更具针对性的攻击。移动用户更喜欢直接去访问信息来源，而不是如PC用户一般大量使用搜索引擎。恶意攻击者也因此不再将过多精力投入到移动搜索引擎毒化上，而是直接对移动用户关注的休闲资源、社交网站下手。

　　2012年，Blue Coat曾抓获一个能够下载假冒Skype的网站，实际上这个网站本身是合法的，但恶意攻击者对其Skype下载链接动了手脚。当用户点击这条下载链接时，就会被跳转至黑客服务器，下载到具有吸费功能的假冒Skype应用。由于Blue Coat的WebPulse一直在对这一服务器进行监控，顺藤摸瓜，假冒Skype应用就暴露在了人们面前。

　　申强表示，企业用户要想消弭BYOD可能引发的安全威胁，就需要将控制策略延伸到用户设备上。

　　企业移动安全最佳实践

　　在本份报告里，为企业移动安全防护提出了许多行之有效的建议。比如，要想保护企业及员工免受移动恶意软件攻击，需要从受信任来源下载移动应用程序，利用细化本地和移动网络应用程序控制来强制使用受信任的应用程序。另外，要封阻危险类别的所有内容进入移动设备和桌面设备，其中包括色情内容、网络钓鱼和垃圾邮件。封阻来自未评级域的可执行内容以及通常托管恶意软件的内容类别，如动态 DNS 主机。

　　如果企业能够有效解决移动安全问题，那么就可以通过BYOD提高员工工作效率，提升企业竞争优势。消除移动安全漏洞，对企业资产实施访问控制，延伸企业网络安全策略到员工的移动办公设备，这些都可以帮助企业更加主动的规避移动安全危机。