后PC时代来临之时的安全管理将何去何从

 

无可否认的是智能移动终端和移动应用的普及让人们迅速进入后PC时代,不管是商业应用还是终端消费领域,皆可见到大量用户从个人电脑转向移动终端。

以苹果、谷歌和微软为代表的国际巨头基本上已经在全球初步建立起了完备的称动互联网生态链,大量的移动应用程序、快速而廉价的无线网络连接……人们使用移动终端的目的已经不再仅仅是为了沟通,移动设备如智能手机和平板的便携性使台式机和笔记本电脑羞愧,更重要的是对于越来越多的终端用户,移动便携式计算设备已经可以取代传统的个人电脑了,他们不需要运行重量级的应用程序和执行复杂的运算任务,简单的商务和娱乐功能已经能够满足多数需求。

不过,在人们享受后PC所带来的便利的同时,也需注意随之而来的大量的安全威胁,偷偷访问移动设备数据的移动应用程序、鱼龙混杂的云计算服务、虚假的诈骗式无线热点、专为移动设备定制的网络病毒、移动社交工程学攻击者、安全保护体系薄弱的云存储、甚至还有那些专门偷抢高端移动设备的贼人……

在个人电脑时代,公司可以通过在边界网络设置防火墙等安全措施防范来自外部的威胁,在终端电脑上设置终端安全套件如防病毒等等来应对来自内部的安全威胁。

在后PC时代,这个网络边界变得模糊不清甚至消失了,移动终端的资产的所有权问题更是让公司难以像规范个人电脑一样来建立移动终端安全准则。

昆明亭长朗然科技有限公司的安全分析师Bob Xue说:“今天企业安全管理人员不仅要保护员工使用的智能终端本身的安全,比如防盗和防恶意代码,更要注意的是保护存储在智能终端上的企业机密信息数据,这些包括但并不限于常见的访问权限如进行企业应用系统的用户名和密码、工作邮件、企业通讯录等等。”

毋庸置疑的是后PC移动计算来临,传统的安全管理方法受到挑战,多数技术控制措施已经不再适用,紧跟时代与时俱进很必要。

然而,安全管理负责人是否应该立即评估和采购针对移动设备的安全管理方案呢?亭长朗然公司的移动信息安全行业观察员Kevin Cao称:“每家组织都不一样,对移动安全管理方案的要求也不尽相同,正确的方法是从业务角度出发,先考虑移动应用,看哪些商业流程和应用已经或者可以通过“移动化”来提升效率和降低成本和进行业务创新;在此基础上建立适当的移动设备使用的安全政策;进一步,完善相关的移动应用所需遵循的安全标准、控管流程及技术工具,并且配置相关的资源,即接触移动安全供应商洽谈移动安全管理方案和产品服务等。”

最后,还是要强调的一点是,后PC时代,安全控管面临挑战,无论是面向最终消费者还是商业用户的智能终端的普及速度远快过移动安全管理解决方案的创新速度。这就需要安全负责人解放思想,勇于探索,抢占安全管理的战略制高点,加强对移动设备和应用的最终用户进行安全基础意识和安全操作技能的培训,无疑是开明组织的必选之路。

移动金融服务安全性的未来思考

移动设备在生活的各个方面的使用仍然在快速增长,从几乎每天使用银行应用程序到远程访问工作,它成为一个可行的,目前非常有利可图的渠道,黑客可以通过该渠道来窃取敏感数据。在过去几年中,我们已经看到网络犯罪集团将其传统的以桌面为重点的武器库,扩展到现在包括移动计算领域。对此,相信人们不会陌生,不过,昆明亭长朗然科技有限公司移动计算安全专员董志军表示:成熟的网络犯罪团伙不仅已经闯入移动领域,更有一些新的玩家在积极部署移动银行木马,一些泄露的源代码表明,进入移动金融服务木马领域的门槛并不高。

现在,银行升级其网络安全措施以包括移动设备的安全性,是一件比以往任何时候都更加重要的工作,以便无论用户使用哪种渠道使用金融服务,最终都受到保护。

移动金融服务攻击手法分析

网络犯罪团伙通过引入克隆外貌但实质上虚假的登录页面来欺骗用户,它们看起来与用户在浏览银行合法网站时或使用官方移动应用程序时看到的内容相同,这与人们常说的钓鱼网站还有一些差别,在于它们被打包在木马应用程序中,它们拥有或者根本没有不断变化的难以追踪的后台服务系统。

一旦设备被感染,该木马就发挥其强大的功能,可以识别该设备上的哪些银行应用程序,或受害者当前正在查看的银行网站,并使用该信息显示相应的虚假页面。从视觉上看,没有任何东西可以向最终用户表明他们将敏感信息直接输入到了恶意应用程序中。

安全防范之道探讨

金融服务业者如银行该如何防范这类攻击呢?对此,董志军说:移动金融应用主要是为了提升便利性,所以在交易认证方面没有传统的多重认证措施如物理令牌等的安全性高,尽管不少银行也推出针对手机的多因子认证硬件,但由于这些玩艺儿需要额外携带,多少有些不便,所以很多银行都只是在一定限额之上才启用它。很多移动应用都是在用户刷指纹后对小额交易“无密”支付。不管如何,这种方法要求用户输入他们的银行登录账号和密码,同时提供了与他们正在进行的特定交易相关的短期一次性代码。无可质疑的是,这使攻击者更难以尝试从受感染的移动电话进行欺诈性交易。

不过,是不是金融服务业者更新了如手机多因子认证等移动金融安全措施之后,就可以免受犯罪团伙的操控,可以高枕无忧地使用移动金融交易呢?董志军警示说:不要太过乐观,路子还很长,一方面,移动木马应用程序可以冒充成“中间人”,进而击溃多因素身份认证,在用户进行移动金融交易时进行欺骗;另一方面,仍然是传统的社交工程诈骗威胁,即所谓大众媒体常称的电信诈骗,再强大的安全技术措施,也难防范犯罪团伙对用户的大脑操控。

那么,该如何从移动金融应用终端层面入手,防范不断翻新的移动金融服务攻击呢?董志军强调:要回归到安全控管的本质核心三要素,即人员、技术、流程,在不断加强技术和流程方面的移动金融安全管控之时,金融服务业者也应该不断强化人员的安全工作,即提升用户的安全技能和意识。这样,方能让人员、技术和流程三者有机紧密结合,用户的安全防范意识提升了,移动金融应用的操作更符合安全流程要求,当然犯罪团伙便很难利用“人脑”的脆弱和恶意的移动木马程序来实施欺诈性交易。

移动金融安全攻防总结

说到底,移动金融的安全技术和管理控制措施都是要应用于人员(用户)的身上的,如果用户的安全能力跟不上,不理解或不支持这些安全控管措施,远远落后于网络犯罪团伙的知识能力,那这种严重的安全攻防势态的不对等、不平衡态势必将造成大量的“冲突”,即不断出现欺诈性交易事件。

昆明亭长朗然科技有限公司常年专注于帮助各类型的机构强化对其员工及/或用户的安全意识教育,我们不仅提供标准化的安全意识教程,更能针对各组织机构的独特业务与信息安全情况,根据信息安全标准、流程和各类控管措施,设计制作相对应的信息安全意识防范宣教内容。欢迎有需要或有兴趣的客户及行业合作伙伴联系我们,洽谈业务合作。

  • 电话:0871-67122372
  • 手机:18206751343
  • 微信:18206751343
  • 邮箱:[email protected]
  • QQ:1767022898