可 信 移 动 企 业 安 全 环 境 企 业 移 动 终 端 安 全 管 理 解 决 方 案 探 讨
内 容 安 排 1 移 动 终 端 安 全 管 理 需 求 2 BYOD 解 决 方 案 简 介 3 可 信 移 动 企 业 安 全 环 境 方 案 简 介 4 众 筹 方 案 介 绍
移 动 智 能 终 端 使 用 日 益 广 泛 出 货 量 越 来 越 大 台 式 电 脑 基 本 停 止 增 长 笔 记 本 电 脑 平 板 电 脑 经 过 初 期 的 快 速 增 长 之 后 进 入 缓 慢 增 长 阶 段 智 能 手 机 飞 速 增 长 访 问 更 多 企 业 业 务 系 统 电 子 邮 件 OA CRM ERP 等 经 营 管 理 系 统
移 动 终 端 安 全 性 越 来 越 受 重 视 数 据 泄 露 的 风 险 更 高 和 笔 记 本 电 脑 等 相 比 较, 更 易 丢 失 安 全 保 护 措 施 普 遍 较 差, 很 多 人 的 手 机 根 本 不 设 密 码 由 于 智 能 手 机 价 值 更 高, 黑 色 产 业 链 将 目 标 向 Android 类 终 端 转 移 大 量 手 机 病 毒 传 播 者 使 用 远 程 控 制 的 手 法, 在 中 毒 手 机 上 安 装 推 广 软 件 后 台 订 购 付 费 服 务 窃 取 用 户 手 机 里 的 个 人 信 息
数 据 防 泄 露 成 为 热 点 问 题 棱 镜 门 事 件, 发 生 在 信 息 技 术 最 发 达, 信 息 安 全 最 为 重 视 的 美 国 政 府 近 年 来, 其 它 移 动 终 端 相 关 数 据 泄 露 或 安 全 事 件 序 泄 密 事 件 点 评 1 苹 果 手 机 上 传 用 户 隐 私 数 据 涉 及 6 亿 部 ios 设 备, 可 上 传 照 片 浏 览 记 录 和 GPS 定 位 等 数 据 2 安 卓 4.4 以 下 版 本 存 在 的 应 用 签 名 冒 用 漏 洞 涉 及 十 亿 以 上 的 4.4 版 本 以 下 的 安 卓 设 备 3 安 卓 4.4 以 下 版 本 存 在 的 敏 感 信 息 泄 露 漏 洞 4 2013 年 7 月,Bluebox Security 发 现 安 卓 系 统 重 大 漏 洞, 恶 意 开 发 人 员 可 以 修 改 任 何 APK 代 码, 同 时 不 破 坏 其 签 名 5 搜 狗 手 机 输 入 法 漏 洞 导 致 大 量 用 户 信 息 泄 露 6 WhatsApp 聊 天 记 录 安 全 漏 洞 黑 客 可 能 借 此 获 取 用 户 的 敏 感 信 息, 包 括 银 行 服 务 和 虚 拟 专 用 网 络 (VPN) 的 密 钥, 以 及 用 于 解 锁 设 备 的 PIN 码 或 图 形 黑 客 可 能 将 任 何 一 款 合 法 软 件 变 成 僵 尸 程 序, 获 取 设 备 的 控 制 权 和 数 据 移 动 应 用 漏 洞 利 用 导 致 泄 密 情 况 值 得 警 惕, 微 信 漏 洞 泄 密 个 人 关 系 图 谱 也 证 明 该 问 题 其 它 获 得 SD 卡 读 取 权 限 的 应 用 可 读 取 明 文 的 WhatsApp 聊 天 记 录, 导 致 用 户 隐 私 泄 露
现 有 主 要 解 决 方 案 (MDM)(1) 操 作 系 统 支 持 ios Android Win8 以 ios 和 Android 为 主, 被 有 意 无 意 忽 略 的 Wintel 主 要 功 能 资 产 管 理 : 信 息 采 集 远 程 管 理 ( 设 备 定 位 ) 接 入 管 理 : 统 一 网 络 配 置 (802.1x 接 入 VPN 接 入 ) 软 件 管 理 : 企 业 应 用 商 店 黑 白 名 单 安 全 管 理 邮 件 安 全 具 有 加 密 存 储 的 邮 件 客 户 端, 支 持 常 见 协 议 如 Exchange/POP3/IMAP 等 内 容 安 全 : 加 密 存 储 沙 箱 虚 拟 机 远 程 数 据 安 全 : 数 据 擦 除 设 备 锁 定
现 有 主 要 解 决 方 案 (MDM) (2) 面 临 的 困 难 Android 版 本 碎 片 化, 难 以 统 一 支 持 多 版 本 在 中 国, 华 为 中 兴 宇 龙 酷 派 小 米 等 市 场 占 有 率 高, 使 得 版 本 更 多 高 质 量 的 应 用 比 较 少, 对 开 发 者 和 厂 商 吸 引 力 不 足 运 行 在 Java 虚 拟 机 中, 无 法 对 硬 件 操 作 系 统 底 层 做 进 一 步 控 制 ios 封 闭 系 统, 开 发 应 用 难 度 较 高 受 限 制 非 常 多 无 法 后 台 运 行 无 法 介 入 现 有 App 的 运 行 ROOT 权 限 问 题, 安 全 类 软 件, 往 往 需 要 取 得 Root 权 限 ROOT 权 限 的 取 得 困 难, 使 得 系 统 的 部 署 困 难
MDM 类 方 案, 根 本 的 问 题 在 于 在 属 于 个 人 的 设 备 (BYOD) 上, 要 去 做 过 多 的 控 制 静 默 安 装 删 除 软 件, 个 人 防 火 墙 控 制, 服 务 控 制 等, 往 往 需 要 Root 权 限 或 越 狱 容 易 产 生 隐 私 冲 突 : 如 通 信 录 个 人 照 片 聊 天 记 录 审 计 等 移 动 终 端, 最 初 的 设 计 是 以 个 人 用 户 为 目 标 以 减 少 操 作 复 杂 性 为 目 标, 缺 乏 企 业 级 特 性 近 年 来 随 着 移 动 终 端 在 企 业 的 应 用, 苹 果 三 星 等 才 逐 步 引 入 一 些 企 业 级 特 性 过 多 的 OS 版 本 (Android ios Windows), 开 发 和 兼 容 性 测 试 根 本 无 从 谈 起 Android 之 上, 各 个 厂 商 又 有 自 己 的 版 本 每 个 发 行 版 本, 又 有 子 版 本 国 外 MDM 厂 商 的 方 案 主 要 关 注 防 止 被 动 泄 密 如 防 丢 失 之 后 的 泄 密, 防 入 侵 之 后 的 泄 密 等 但 基 本 无 法 解 决 中 国 企 业 最 担 心 的 ( 合 法 ) 使 用 者 主 动 泄 密 的 问 题
怎 么 办? 让 上 帝 的 归 上 帝, 凯 撒 的 归 凯 撒 BYOD 设 备 产 权 属 于 个 人, 决 定 了 企 业 不 适 合 在 其 上 做 过 多 的 管 理 和 控 制 给 BYOD 设 备 一 个 准 确 的 定 位, 员 工 自 有 设 备, 顺 带 用 于 处 理 单 位 的 业 务 给 BYOD 以 合 适 的 网 络 访 问 权 限 ; 给 BYOD 以 适 度 的 管 理 控 制 ; 以 不 侵 犯 员 工 隐 私 不 损 害 员 工 利 益 ( 违 反 保 修 规 定 ) 为 前 提 ; 主 要 关 注 防 止 被 动 泄 密 核 心 业 务 系 统, 需 要 移 动 终 端, 怎 么 办? 单 位 负 责 采 购 终 端, 配 发 给 员 工 定 制 硬 件 系 统 定 制 安 卓 OS 系 统 定 制 移 动 应 用 等 选 择 双 系 统 的 终 端 定 制 安 卓 OS 系 统 定 制 移 动 应 用 等 既 防 止 被 动 泄 密, 又 防 止 主 动 泄 密
定 制 系 统 操 作 系 统 选 择 ios 封 闭 系 统, 无 法 定 制 安 卓 开 源 系 统, 可 定 制 存 在 一 些 已 知 风 险 和 漏 洞, 需 要 解 决
安 卓 系 统 安 全 性 分 析 系 统 安 全 Linux 内 核 安 全 主 要 关 注 驱 动 程 序 尤 其 是 硬 件 驱 动 程 序 的 安 全 系 统 库 安 全 原 生 系 统 库 可 能 存 在 漏 洞 Dalvik 虚 拟 机 可 能 通 过 不 安 全 的 字 节 码 攻 击 虚 拟 机 应 用 安 全 应 用 程 序 权 限 终 端 用 户 无 法 判 断 哪 些 权 限 是 必 要 的, 带 来 隐 患 利 用 安 卓 共 享 用 户 ID 机 制 和 相 同 签 名 证 书 获 取 权 限 应 用 程 序 安 装 多 种 途 径, 有 一 些 途 径 可 能 带 来 风 险 网 络 浏 览 器 恶 意 脚 本 攻 击 浏 览 器, 获 取 浏 览 器 的 权 限 数 据 库 与 SQL 注 入 读 取 安 卓 系 统 数 据 库 中 敏 感 的 数 据 软 件 更 新 更 新 系 统 到 一 个 有 已 知 漏 洞 的 版 本
安 卓 系 统 风 险 与 漏 洞 已 知 安 全 风 险 非 法 获 取 root 权 限 非 法 获 取 安 卓 系 统 权 限 应 用 签 名 机 制 漏 洞 密 码 安 全 问 题 浏 览 器 下 载 恶 意 软 件 无 线 传 送 恶 意 软 件 破 坏 性 网 站 或 链 接 锁 定 SIM 卡 丢 失 硬 件 组 件 或 导 致 硬 件 功 能 紊 乱 潜 在 安 全 漏 洞 安 卓 源 代 码 公 开 被 发 现 的 漏 洞 安 卓 原 生 系 统 库 和 Linux 内 核 漏 洞 应 用 框 架 漏 洞 应 用 程 序 授 权 漏 洞 文 件 系 统 漏 洞 通 过 网 络 传 播 的 漏 洞 通 过 外 设 传 输 的 漏 洞
定 制 安 卓 系 统 企 业 级 安 全 特 性 可 信 硬 件 与 有 实 力 的 硬 件 厂 商 合 作 定 制 不 允 许 终 端 用 户 刷 ROM 可 信 操 作 系 统 深 度 定 制 开 源 安 卓 操 作 系 统, 去 掉 不 必 要 的 组 件 和 系 统 库 不 允 许 终 端 用 户 获 得 root 权 限 可 信 应 用 软 件 只 能 通 过 系 统 定 制 的 应 用 商 店 安 装 应 用 软 件 只 能 运 行 通 过 系 统 定 制 的 应 用 商 店 安 装 的 应 用 软 件 可 信 通 信 信 道 自 动 识 别 网 络 状 况, 选 择 最 合 适 的 接 入 方 式 安 全 的 接 入 企 业 内 网 既 验 证 终 端 用 户 设 备 信 息, 也 验 证 接 入 的 网 络 是 否 安 全
具 体 解 决 方 案 定 制 硬 件 ( 不 允 许 终 端 用 户 root 和 刷 ROM) 定 制 安 卓 操 作 系 统 ( 不 允 许 终 端 用 户 升 级 系 统 版 本 ) 回 收 root 权 限 ( 系 统 自 身 进 程 不 受 限 ) 仅 能 通 过 系 统 内 置 的 应 用 商 店 安 装 应 用 程 序, 不 允 许 通 过 其 它 任 何 方 式 安 装 第 三 方 应 用 程 序 只 允 许 通 过 加 密 的 或 安 全 的 网 络 信 道 访 问 相 关 业 务 系 统 对 外 设 进 行 管 控 加 密 文 件 系 统 强 制 安 全 策 略, 如 : 强 制 自 动 锁 屏 强 制 密 码 策 略
内 容 安 排 1 移 动 终 端 安 全 管 理 需 求 2 BYOD 解 决 方 案 简 介 3 可 信 移 动 企 业 终 端 安 全 环 境 方 案 简 介 4 众 筹 方 案 介 绍
BYOD 设 备 管 理 总 体 方 案 准 入 控 制 802.1X Portal 方 式 按 帐 号 给 移 动 终 端 授 权 所 能 访 问 的 网 络 资 源 与 联 软 UniNAC 方 案 完 全 融 合 提 供 无 需 Root 权 限 的 管 理 功 能 注 册 服 务 管 理 企 业 应 用 商 店 远 程 管 理 远 程 定 位 远 程 锁 屏 远 程 消 息 推 送 远 程 查 看 设 备 信 息 提 供 统 一 的 移 动 终 端 APP 安 全 开 发 框 架 支 持 ios/android/windows
部 署 示 意 图 网 络 准 入 控 制 器 ( 主 ) 网 络 准 入 控 制 器 ( 备 ) UniMobile 主 DB DB 无 线 接 入 点 UniMobile 备 LDAP LDAP 无 线 接 入 点 Internet 业 务 应 用 系 统 VPN
部 署 方 案 简 介 支 持 各 种 移 动 终 端 的 管 理 单 通 信 服 务 器 支 持 10 万 以 上 终 端 管 理 能 力
内 容 安 排 1 移 动 终 端 安 全 管 理 需 求 2 BYOD 解 决 方 案 简 介 3 可 信 移 动 企 业 终 端 安 全 环 境 方 案 简 介 4 众 筹 方 案 介 绍
总 体 思 路 建 设 思 路 总 体 规 划, 顶 层 设 计, 分 而 治 之, 分 步 实 施 最 终 建 立 一 套 集 中 统 一 的 安 全 管 控 平 台, 涵 盖 : 台 式 PC 笔 记 本 电 脑 平 板 电 脑 员 工 智 能 手 机 在 内 的 所 有 终 端 设 备 建 立 端 到 端 的 企 业 安 全 环 境 对 于 不 同 来 源 的 终 端 设 备, 采 取 不 同 的 技 术 方 案 移 动 终 端 传 输 通 道 企 业 应 用 之 间, 建 立 一 个 闭 环 体 系 实 现 端 到 端 的 企 业 安 全 环 境, 确 保 企 业 的 数 据 安 全 端 到 端 安 全 移 动 终 端 数 据 受 控 (1) 安 全 计 算 环 境 (2) 安 全 应 用 (3) 安 全 通 道 (4) 应 用 服 务 器
系 统 架 构 iphone ipad Android Phone Android Pad Windows 定 制 App( 适 用 于 BYOD) 定 制 OS 系 统 ( 企 业 配 发 ) 虚 拟 化 移 动 终 端 可 信 移 动 终 端 计 算 环 境 企 业 应 用 移 动 安 全 SDK 其 它 应 用 应 用 商 店 远 程 管 理 应 用 商 店 安 全 合 规 管 理 加 密 存 储 文 件 系 统 远 程 锁 定 远 程 擦 除 远 程 外 设 远 程 防 火 墙 虚 拟 化 远 程 控 制 客 户 端 防 止 截 屏 拷 贝 远 程 控 制 协 议 SRMP Over SSL 接 入 控 制 网 络 智 能 配 置 与 准 入 身 份 验 证 VPN 接 入 无 线 802.1x 接 入 远 程 管 理 应 用 发 布 管 理 安 全 网 关 移 动 终 端 管 理 系 统 网 络 准 入 认 证 与 合 规 性 资 产 管 理 模 块 安 全 策 略 与 合 规 性 管 理 报 表 统 计 模 块 基 础 功 能 模 块 ( 客 户 端 更 新 / 权 限 / 组 织 架 构 / 监 控 等 ) 云 存 储 ( 数 据 集 中 存 储 ) 虚 拟 化 平 台 ( 移 动 操 作 系 统 )
技 术 方 案 移 动 终 端 侧 基 于 Android 操 作 系 统 4.4, 进 行 定 制 开 发 系 统 基 于 Google Nexus 7( 实 验 系 统, 支 持 与 其 它 厂 商 合 作 定 制 ) 管 理 后 台 管 理 系 统 : 基 于 成 熟 产 品 管 理 后 台, 为 移 动 终 端 管 理 优 化 服 务 器 :Linux 服 务 器 主 要 创 新 点 大 并 发 通 信 基 础 组 件 在 Android 系 统 上, 实 现 类 似 黑 莓 的 安 全 性
定 制 终 端 安 全 特 性 (1) 定 制 的 移 动 终 端, 只 能 接 入 特 定 的 经 授 权 的 网 络 运 行 指 定 的 软 件 访 问 指 定 的 应 用 服 务 器 在 本 地 编 辑 处 理 文 档 文 档 在 本 地 加 密 保 存 只 能 在 本 地 存 储 器 和 指 定 应 用 服 务 器 间 流 转 以 下 操 作, 员 工 个 人 非 授 权 不 能 进 行 安 装 卸 载 软 件 访 问 非 授 权 IP 访 问 USB 蓝 牙 设 备 端 口
定 制 终 端 安 全 特 性 - 接 入 控 制 智 能 识 别 网 络 场 景 自 动 发 现 可 信 的 网 络 SSID, 自 动 接 入 自 动 启 动 Portal 认 证 自 动 启 动 VPN 客 户 端 双 向 验 证 设 备 与 网 络 的 证 书 支 持 多 要 素 关 联 绑 定 用 户 帐 户 设 备 网 络
定 制 终 端 安 全 特 性 -OS 定 制 开 机 启 动 画 面 文 件 系 统 加 密 精 简 系 统 组 件 关 闭 非 必 须 外 设 端 口 关 闭 非 必 须 服 务 进 程 桌 面 背 景 定 制 企 业 集 中 控 制 的 移 动 终 端 防 火 墙
支 持 的 移 动 终 端 硬 件 平 台 原 型 系 统 基 于 Google Nexus 7 开 发 3G/4G 通 信 模 块, 可 选
应 用 集 成 企 业 应 用 商 店 (App Store) 移 动 终 端 基 础 管 理 功 能 远 程 管 理 设 备 信 息 外 设 及 端 口 管 理 VPN Client 其 它 企 业 定 制 应 用
管 理 后 台 基 于 Linux 平 台 OS DB 应 用 中 间 件 等, 均 基 于 开 源 系 统 定 制 支 持 双 机 热 备 系 统 容 量 单 通 信 服 务 器 支 持 10 万 以 上 并 发 支 持 分 级 部 署 和 云 部 署 模 式 后 台 管 理 系 统 策 略 设 置 系 统 报 表 审 计 信 息
部 署 示 意 图 网 络 准 入 控 制 器 ( 主 ) 网 络 准 入 控 制 器 ( 备 ) UniMobile 主 DB DB 定 制 移 动 终 端 系 统 无 线 接 入 点 无 线 接 入 点 UniMobile 备 LDAP LDAP Internet VPN 业 务 应 用 系 统
演 示 1 VPN 连 接 演 示 2 应 用 下 载 安 装 一 个 APP, 不 提 供 其 它 应 用 商 店 3 防 火 墙 功 能 演 示 4 本 地 文 件 加 密 演 示 5 远 程 管 理 远 程 定 位 远 程 锁 屏 远 程 消 息 推 送 远 程 查 看 设 备 信 息
内 容 安 排 1 移 动 终 端 安 全 管 理 需 求 2 BYOD 解 决 方 案 简 介 3 可 信 移 动 企 业 终 端 安 全 环 境 方 案 简 介 4 众 筹 方 案 介 绍
众 筹 方 案 介 绍 需 求 解 决 方 案 定 制 产 品 运 营
谢 谢!