「FreeBuf」2020年应该引起关注的8种移动安全威胁

如今，移动安全已成为每个公司关注的重点对象，因为现在几乎所有员工都能够定期地从智能手机访问公司数据，这意味着如果敏感信息被不法分子利用，那么事情就变得复杂了。现在说移动风险比以往任何时候都要高，这一点也不过分。根据Ponemon Institute 2018年的一份报告，企业数据泄露的平均成本高达386万美元。这比一年前的估计成本高出6.4％。

本文插图
说到移动安全，虽然大家很容易将注意力集中在引起轰动的恶意软件上，但事实是，鉴于移动恶意软件的性质以及现代移动操作系统中内置的固有保护，其感染数量并不多。根据一项估计，设备被感染的概率大大低于人被闪电击中的概率。在数据泄露事件中，恶意软件目前被认为是最不常见的手段。在Verizon的《2019年数据泄露调查报告》中恶意软件攻击在物理攻击之后，排名第二。更为现实的移动安全隐患位于一些容易被忽视的领域，这些领域的安全才是迫在眉睫：
一、数据泄漏数据泄漏被普遍认为是2019年企业安全最令人担忧的威胁之一。根据Ponemon的最新研究，公司在未来两年内，至少有28％的概率发生至少一次数据泄露事件。也就是说，几率是四分之一。
这个问题特别烦人的地方在于，从本质上讲，它并不是多大的问题。然而，仅是用户无意间就哪些应用程序能够查看和传输其信息做出错误建议的问题。
Gartner移动安全研究总监Dionisio Zumerle说：“主要的挑战是如何实施应用程序审核过程，而该过程不会使管理员不知所措，也不会使用户失望。 ” 他建议使用移动威胁防御（MTD）解决方案，诸如Symantec的Endpoint Protection Mobile ， CheckPoint的SandBlast Mobile和Zimperium的zIPS Protection之类的产品。这样的实用程序会扫描应用程序中的“泄漏行为” ，并可以自动阻止有问题的进程。
当然，即使那样也不总能预防因为用户低级的错误而导致的泄漏，诸如将公司文件传输到公共云存储服务，将机密信息粘贴到错误的位置或将电子邮件转发给无关者。医疗保健行业目前也正在努力克服这类困难。根据专业保险提供商Beazley的说法， “意外披露”是医疗保健组织在2018年第三季度报告的数据泄露的主要原因。在这段时间内，该类别与内部泄漏的总和几乎占报告所有事件的一半。
对于这种类型的泄漏，数据丢失防护（DLP）工具可能是最有效的保护形式。此类软件经过专门设计，可防止在意外情况下泄露敏感信息。
二、社会工程和台式设备一样，在移动端的欺骗策略同样令人困扰。尽管人们认为可以轻松地避免社会工程的手段，但真正发生后，它们仍然具有惊人的效果。
根据安全公司FireEye的2018年报告， 91％的网络犯罪始于电子邮件，这个数字是让人震惊的。该公司将此类事件称为“无恶意软件攻击” ，因为它们依靠假冒等策略诱骗人们单击危险链接或提供敏感信息。该公司表示，网络钓鱼在2017年期间增长了65％，并且移动用户面临巨大的安全风险，因为许多移动电子邮件客户端只显示发件人的姓名，这使得伪造虚假信息特别容易，欺骗用户以为电子邮件是来自他们认识或信任的人。
根据IBM的一项研究，实际上，移动设备上的网络钓鱼攻击的可能性是台式机的三倍，部分原因是人们最容易在手机上看到消息。 Verizon的最新研究也证实了该结论，并补充说，较小的屏幕尺寸以及智能手机上的详细信息显示有限（特别是在通知中，现在经常包含一键式选项以打开链接或响应消息），这也可能增加网络钓鱼的成功几率。
除此之外，在移动电子邮件客户端中，回复的按钮处在显着的位置，工作人员也倾向于使用以多任务、不集中的方式使用智能手机，都会扩大影响。而且大多数Web流量现在通常都在移动设备上，这也导致了攻击者将目光转向移动设备了。