零信任如何提高移动设备的安全性

　　员工的隐私、个人身份和特权访问凭证都面临风险，因为企业正在牺牲安全来完成更多的工作。尽管85%的企业有专门的移动安全预算，但超过一半(52%)的企业牺牲了移动和物联网设备的安全性，以“完成工作”。

　　移动设备攻击正变得越来越严重

　　Verizon的研究团队声称，自从多年前开始制定安全指数以来，移动设备攻击的严重程度从未出现过。报告移动安全攻击具有持久影响的企业从去年的28%上升到今年的42%，在12个月内增长了33%。尽管去年有近四分之一的企业遭遇了移动安全漏洞，但大多数企业(74%)表示影响重大。

　　牺牲安全性换取生产力

　　Zimperium的首席执行官ShridharMittal在该公司的《2022年全球移动威胁报告》中表示:“特别是在过去两年里，许多组织牺牲了安全控制来支持生产力和确保业务连续性。”因此，Verizon的安全专家团队表示：“当听到超过一半的受访者表示其牺牲了移动设备的安全时，并不感到惊讶。”

　　Verizon在全球范围内采访了632名安全专业人士，其中66%的受访者表示，他们曾面临牺牲移动设备安全性“以完成工作”的压力，但79%的人最终还是屈服于这种压力。这相当于超过一半(52%)的安全专业人士选择牺牲安全性来换取速度。

　　在安全与速度和生产力之间进行权衡，突显了为什么网络安全预算是一项影响企业运营各个领域以及员工身份的商业决策。

　　“对于企业来说——无论行业、规模或地图上的位置如何——停机时间就是金钱的损失。数据泄露意味着信任的丧失，虽然不是不可能，但很难从中恢复过来，”VerizonBusiness首席执行官SampathSowmyanarayan表示：“因此，企业需要在其安全架构上投入时间和预算，尤其是在外部设备上。否则，将很容易受到网络威胁者的攻击。”

　　常见的移动设备攻击模式

　　对网络攻击者来说，侵入员工的移动设备(同时也用于访问公司网络)是一座金矿。此外，网络攻击者还利用身份盗窃、窃取信用卡和银行数据，以及企业网络的特权访问凭证来创建欺诈性的信用卡、住房贷款和小企业贷款申请。

　　美国小企业管理局(SBA)的大流行贷款是网络攻击者从手机中窃取身份数据的一个重要场所。美国特勤局已经找回了网络攻击者使用被盗身份获取的2.86亿美元资金。自此开始，SBA就人们可以采取哪些措施来保护自己免受诈骗和欺诈提供了指导。

　　❶ 网络攻击者的目标是员工的私人数据、身份和特权访问凭证

　　移动网络攻击是致命的，因为其攻击的是一个人的身份、隐私和职业生活的交汇处。因此，持续的员工网络安全培训至今是至关重要的。此外，网络攻击者使用许多策略来访问手机最有价值的数据，例如:

　　❷ 针对Android和iOS应用程序的供应链攻击

　　Proofpoint的研究人员发现，今年早些时候，欧洲的恶意软件传递尝试增加了500%。网络攻击者和犯罪团伙合作将移动恶意软件插入应用程序中，因此每天有成千上万的用户下载它们。此外，为企业工作的数万名员工的手机上可能有恶意软件，这有可能危及企业网络。

　　在这两个平台中，Android更受这种攻击策略的欢迎，因为该平台支持许多应用商店，且其足够开放，允许从Web上的任何网站加载应用程序。不幸的是，这种便利变成了网络攻击的快车道，只需几个步骤就能破坏Android手机。对于企业及其高级管理团队而言，这是需要监控和评估手机的领域。

　　相反，Apple不允许侧加载应用程序，并且有更严格的质量控制。然而，iPhone仍然会遭到黑客攻击。对于企业来说，网络攻击者可以在短短1小时24分钟内进入网络并开始横向移动。Amazon的RingAndroid应用程序、Slack的Android应用程序、Klarna和其他应用程序可能出现的数据泄露就是一个很好的例子。

　　❸ 含有安装恶意软件链接的短信

　　这是网络攻击者将恶意软件植入移动设备的另一种常见策略。多年来，其一直被用于针对大型企业的高级管理团队，希望获得企业网络的特权证书。网络攻击者在暗网上挖掘高级管理人员的手机号码，并经常依靠这种技术在其手机上植入恶意软件。因此，联邦贸易委员会关于识别和报告垃圾短信的建议值得高级管理团队阅读和分享，他们很可能已经在其IM应用程序中看到过这种攻击策略。

　　❹ 网络钓鱼仍然是一个日益增长的威胁媒介

　　Verizon的数据泄露调查报告(DBIR)已经在其研究中涵盖了网络钓鱼15年，其中Verizon最新的MSI发现，“83%的企业都经历过成功的基于电子邮件的网络钓鱼攻击，在这种攻击中，用户被诱骗进行有风险的活动，如点击错误链接、下载恶意软件、提供凭证或执行电汇。与2020年相比，这是一个巨大的增长，当时的数字只有46%，”根据Verizon2022年的报告。

　　此外，Zimperium的《2022年全球移动威胁报告》发现，去年75%的钓鱼网站以移动设备为目标。

　　移动安全需要以零信任重新定义自己

　　将每个身份视为新的安全防线至关重要。Gartner的《2022年零信任网络访问市场指南》为安全团队设计零信任框架的需求提供了深刻见解。企业领导者应该考虑如何以零信任的方式开始保护自己的移动设备，从以下建议开始。

　　❶ 零信任和微分割将定义长期移动安全的有效性

　　移动设备在微细分计划中的包含程度部分，取决于企业对应用程序映射的理解程度。使用最新的一系列工具来了解通信路径是必不可少的。微分割是实现零信任最具挑战性的方面之一。要想做得好，就要从小处开始，采用迭代的方法。

　　❷ 在每个公司和BYOD设备上启用多因素身份验证(MFA)

　　领先的统一端点管理(UEM)平台，包括来自VMware和Ivanti的平台，都将MFA设计到其体系结构的核心代码中。MFA是零信任的主要组成部分之一，对于经常为预算而战的ciso来说，这通常是一个快速的胜利。在定义MFA实施计划时，一定要在移动设备的“你知道什么”(密码或PIN码)身份认证例程中添加“你是什么”(生物特征)、“你做什么”(行为生物特征)或“你拥有什么”(令牌)因素。

　　❸ 为批准的BYOD设备定义安全操作系统和硬件要求

　　如果允许在企业网络上的第三方设备中存在太多设备和操作系统级别的变化，企业就会陷入麻烦。在标准操作系统上进行标准化是最好的，特别是在平板电脑上，许多企业发现Windows10可以使UEM平台上的设备管理团队更加高效。

　　在固件中设计了隐式信任例程的低转速和传统移动设备是一个安全问题。它们是Meltdown和Spectre攻击的目标。大多数传统的移动设备都缺乏更新补丁，因此在最新的硬件和操作系统平台上安装整套设备对安全至关重要。

　　❹ 使用UEM管理BYOD和企业拥有的移动设备

　　采用UEM平台对于确保每台移动设备的安全至关重要。先进的UEM平台还可以提供自动化配置管理，并确保符合企业标准，以降低违规风险。CISO正迫使UEM平台供应商整合其平台，并以更低的成本提供更多的价值。

　　Gartner最新的统一端点管理工具的魔法象限反映了CISO对IBM、Ivanti、ManageEngine、Matrix42、Microsoft、VMware、Blackberry、Citrix等公司的产品战略的影响。Gartner的市场分析表明，终端弹性是另一个关键的购买标准。

　　端点安全领域的领导者包括AbsoluteSoftware的Resilience平台、CiscoAIEndpointAnalytics、CrowdStrikeFalcon、CyCognito、Delinea、FireEyeEndpointSecurity、Venafi、ZScaler等。

　　❺ 在所有公司设备和BYOD设备上自动化补丁管理

　　大多数安全专业人士认为补丁管理既费时又过于复杂，而往往拖延完成。此外，53%的受访者表示，组织和确定关键漏洞占用了其大部分时间。今年早些时候，在RSA2022上，Ivanti推出了一个基于AI的补丁智能系统。用于MicrosoftEndpointConfigurationMonitor(MEM)的NeuronsPatch依赖于一系列基于人工智能(AI)的机器人来寻找、识别和更新所有跨端点需要更新的补丁。其他提供基于AI的终端保护的供应商包括Broadcom、CrowdStrike、SentinelOne、McAfee、Sophos、TrendMicro、VMwareCarbonBlack、Cybereason等。

　　只需一台移动设备被入侵

　　正如微分割的情况一样，CISO及其团队需要认识到网络攻击是不可避免的。尽管Verizon发现82%的安全专业人士表示，他们的组织正在采取或积极考虑零信任的安全方法，但大多数人为了更快完成更多工作而牺牲了安全性。

　　随着移动攻击变得越来越致命，并专注于获取特权访问凭据。安全领导者必须面对一个发人深省的事实，即只需一台移动设备被入侵，基础设施就会遭到破坏。