《演讲3：移动智能设备持续性安全管理探讨》由会员分享，可在线阅读，更多相关《演讲3：移动智能设备持续性安全管理探讨（21页珍藏版）》请在金锄头文库上搜索。
1、中国信息通信研究院，泰尔终端实验室 信息安全部副主任移动智能设备持续性安全管理探讨杨正军目录移动智能设备持续性安全管理探讨移动智能设备安全现状移动智能设备安全管理现状移动智能设备持续性安全管理探讨移动智能设备安全现状安全生态、移动漏洞、勒索病毒、数据安全移动智能设备安全生态产业生态生 产 领 域运 营 领 域技 术 生 态移动 智能 设备 安全 现状终端产业链是紧密结合在一起的一个整体的生态系 统，一个环节受到威胁，会影响系统中的其它成 员。安全威胁可能出现在终端生态系统各个环节，如 不对智能终端生态系统的进行整体安全管控，会 影响整个终端生态系统的发展。安全威胁日益严重，虽已在终端侧采用许多
2、安全设 计或检测防御手段，但由于攻击技术不断更新，安 全抵御效果较为被动。泰尔终端实验室抽取2017年上市的108家厂商的217款移动 智能设备，进行已知漏洞（选取262个）检测。 平均检测出漏洞数量为35个，其中严重漏洞16个，高危11 个，中危漏洞8个。 终端中存在小于10个漏洞的终端为83款，占比38%；10- 30个漏洞的终端为100款，占比46%；大于30个漏洞的终 端为34款，占比16%。终端系统漏洞频出，形势不容乐观严重漏洞16个 46%高危漏洞11个 31%中危漏洞11个 23%漏洞数量30 16%Google、芯片厂商、方案厂商、终端厂商、技术供应商 （TEE、APP SDK
3、等）均可能引入漏洞或安全风险。 方案商、芯片商修复不及时，很多设备维护周期较短。 消费者安全意识不足，百度安全实验室的报告显示近半 数国内iOS设备依然停留在受高危漏洞影响的旧版系统， 未升级的用户面临严峻的安全风险。产业链条复杂，引入风险不断增加22405961018262芯片1芯片2芯片3芯片4芯片厂商漏洞分布情况严重漏洞数量漏洞数量8429323220141910ODM1ODM2ODM3ODM4ODM厂商漏洞分布情况严重漏洞数量漏洞数量修复时间180天 46%21.20%20.80%20.50%23.40%平均严重高危中危总体漏洞未修复比例在21.2%，严重、高危、中危漏洞未 修复比例分
4、别在20.8%、20.5%、23.4%。 厂商打补丁不及时，平均延迟时间在165天，Top20厂商延 迟时间稍短为148天，其他厂商为191天。厂商修复能力不足，安全风险持续移动设备漏洞频出，安全形势严峻移动应用问题凸显，勒索病毒成趋势 泰尔终端实验室对7W多款预置应用进行评测，发现六成以上的预置应用申请了敏感权限如通话、联系人、位置和短信数据等，而多数权限在应用实际运行时并未使用。由于预置应用自身权限级别较高，权限滥用加大了应用脆弱性，若应用安全防护不足，有可能带来极大的安全隐患，增加终端攻击面。预置应用权限滥用情况严重 根据360烽火实验室的统计，2017 年1月-7月，共截获新增勒索软件
5、416258个，平均每天新增1963个。“薄利多销”且制作成本低廉的点对点式直接性敲诈软件颇受制马人的青睐，语音解锁与二维码解锁成为新的表现形式。勒索病毒成移动安全新趋势 泰尔终端实验室研究人员对303个移动应用的敏感信息保护进行了检测，发现其中96.2%移动应用存在内存敏感数据泄露风险。金融客户端安全问题凸显，内存敏感数据泄露问题严重 捆绑推广、难以卸载、关联启动、非法广告等泛安全问题泛滥。泛安全问题严重，侵犯用户权益情况日历数据 4%拍照和摄像 A 4%联系人数据 17%位置信息 12%麦克风 3%通话数据 21%传感器 0%短息数据 10%外部存储数据 29%88%71%62% 48%6
6、9% 57% 46%金融应用购物应用医疗健康应用交通与出行应用生活服务应用社交应用游戏应用移动数据被窃取、非授权获得情况加剧不正当竞争阻止应用分发阻止信息推送禁止必要权限禁止自启动保护消费者权益安全性系统稳定性功耗兼容性各执一词窃取隐私 非授权收集数据通话记录、短信 通讯录、本机号码身份证 账号信息位置信息、终端信息 应用列表信息音频、视频记录其他个人信息遭贩卖 垃圾短信、骚扰电话身份信息被贩卖 账号丢失导致财产损失基于“LBS”的广告 位置泄漏，安全存风险商业机密、个人信息存隐患 各类监听事件隐私问题越来越广泛 其他可能问题令人困扰恶意软件 终端厂商与互联网企业权限限度问题存在争议 终端厂商
7、与应用厂商用户数据归属权问题存在争议数据、权限之争隐私窃取泛滥移动智能设备安全管理现状多头管理，侧重于事前，缺少持续性监测手段移动设备安全监管现状-相关法规要保护个人、法人和其他组织的人身、财产等合法权利全国人大常委会关于维护互联网安全的决定明确了网络服务提供者的义务和责任赋予政府主管部门必要的监管手段国家保护能够识别公民个人身份 和涉及公民个人隐私的电子信息全国人大常委会关于维护互联网安全的决定国家对接入公用电信网 的电信终端设备、无线 电通信设备和涉及网间 互联的电信设备实行进 网许可制度电信设备进网管理办法移动智能终端应当符合 移动智能终端安全能 力技术要求通信行业 标准的一级安全能力要
8、 求关于加强移动智能终端 进网管理的通知电信业务经营者、互联网信息服 务提供者在提供服务的过程中收 集、使用用户个人信息，应当遵 循合法、正当、必要的原则电信和互联网用户个人信息保 护规定经 营 电 信 业 务，应当依法 取得电信管理 机构颁发的经 营许可证电信业务经营 许可管理办法明确互联网信息 服务规则和行为 边界规范互联网信息 服务市场秩序若 干规定规范移动智能终 端生产企业的移 动智能终端应用 软件预置行为， 以及互联网信息 服务提供者提供 的移动智能终端 应用软件分发服 务移动智能终端应 用软件（APP） 预置和分发管理 暂行规定互联网信息服务管理办法对经营性互联网 信息服务实行许
9、可制度对非经营性互联网 信息服务实行备案 制度中华人民共和国电信条例电信业务经营 许可制度电信设备进网制度电信安全保障 制度适用于移动 互联网恶意 程序及其控 制服务器、 传播服务器 的监测和处 置移动互联网恶 意程序监测与 处置机制智能终端安全移动应 用安全移动应 用安全个人信息安全中华人民共和国网中华人民共和国网 络安全法络安全法第二十二条 网络产品、服务 应当符合相关国家标准的强 制性要求。网络产品、服务 的提供者不得设置恶意程 序；发现其网络产品、服务 存在安全缺陷、漏洞等风险 时，应当立即采取补救措 施，按照规定及时告知用户 并向有关主管部门报告。移动智能设备安全监管面临的挑战缺乏全
10、面、权威的风险数据来源和安全风险 预警响应机制。 漏洞信息和恶意应用监测平台众多，但缺乏支撑 终端安全监测的全面、权威数据源。 缺乏数据有效关联分析机制，无法支持终端安全 风险预警响应。终端风险监控与安全预警主要依靠厂商自行维 护，时效性和可靠性较难保证。 厂商能力参差不齐，对威胁和脆弱性感知较为被 动，风险响应时效性较低。 缺乏规范和监管机制推动，依靠舆情影响和厂商 自律，较难保障用户权益。目前针对移动终端及移动应用的安全监管主要放在事前的进网检测方面，针对移动终端设备事中事 后监管主要通过证后监督检查、专项行动检查、服务质量通报、投诉举报等机制，终端持续性的、 主动的监管方式方法有待完善，
11、针对安全事件缺乏应急响应能力。国家 监管运营商、终端 厂商等企业行业认证政府监管，依托国家设备进网监管流程#事中#证后监督：抽查上市终端是否与进网终端一致 #事后#变更备案：上市后，终端系统、应用的安全更新需向工信部备案#事前#进网审核：依据电信设备进网管理制度在对终端设备进行安全检测行业规范TAF等行业协会推进智能终端及预置软件相关安全评估规范企业自律终端厂商：经过内部标准测试、质量部门把关后，送测工信部备案、运营商入库等运营商：预置应用送测前把关、预装应用版本一致性检测、上市后进行定期抽测移动智能设备安全监管的新形势 总理连续三年在政府工作报告中提出要改变政府管理方式， 推动简政放权、放管
12、结合、优化服务改革，加强事中事后监 管，坚持放管并重。 网络产品、服务的提供者不得设置恶意程序；发现其网络产 品、服务存在安全缺陷、漏洞等风险时，应当立即采取补救 措施，按照规定及时告知用户并向有关主管部门报告。 网络运营者不得收集与其提供的服务无关的个人信息，不得 违反法律、行政法规的规定和双方的约定收集、使用个人信 息，并应当依照法律、行政法规的规定和与用户的约定，处 理其保存的个人信息。 健全网络安全保障体系： 全天候全方位感知网络安全态势。加强网络安全态势感知、 监测预警和应急处置能力建设。建立统一高效的网络安全风 险报告机制、情报共享机制、研判处置机制，准确把握网络 安全风险发生的规
13、律、动向、趋势。建立政府和企业网络安 全信息共享机制，加强网络安全大数据挖掘分析，更好感知 网络安全态势，做好风险防范工作。建设针对移动终 端漏洞、移动恶 意 应 用 持 续 性 的、主动的监管 能力建设针对移动终 端及应用APP的 监测预警和应急 处置能力主管部门对移动 终端的安全监管 向事中、事后转 变，提高监管的 有效性和针对性移动设备持续性安全管理探讨数据采集、数据处理、预测评估、应急响应持续性监测为移动设备安全监管提供新的思路移 动 终 端 持 续 性 监 测移 动 终 端 持 续 性 监 测数据数据处理处理应急应急响应响应评估评估预测预测数据数据采集采集 对于上市终端以及终端设备升
14、级补丁插件后带来的智能终端设备受病毒感染或激活恶意行为进行感知监测，实现对检测后设备持续监测和管理，掌握智能终端设备运行环境安全，动态监测、响应、处置、改善移动终端设备安全状态。建立移动终端持续性和主动性监测能力 利用移动智能终端安全持续性监测能力，结合运营商、设备制造商、安全公司等，将海量终端设备数据进行整合分析，解决移动终端事中事后监管的关键技术难题。加强移动终端事中事后监管 能够对恶意攻击、恶意应用、安全事件进行溯源取证，对恶意应用的发布者进行追踪。同时能够移动终端安全进行监测预警和应急处置，准确把握网络安全风险发生的规律、动向、趋势增强移动终端攻击溯源与应急处置能力移动智能设备持续性安
15、全管理关键技术架构数据 采集运营商终端 厂商应用 商店其他终端安 全数据数据 分析移动恶意代 码数据终端设 备数据移动网络 流量数据终端漏 洞数据评估 预测数据预处理、数据融合终端其他 安全数据大数据处理（事件关联分析、机器学习）安全 评估态势 预测预测评估 病毒 溯源攻击 溯源溯源取证 漏洞 溯源脆弱性 分析威胁 分析风险分析应急 响应应急响应威胁预警可视化呈现监管 机构厂商公众 用户移 动 智 能 设 备 持 续 性 安 全 管 理 平 台安全 厂商服务提 供商中国泰尔实验室移动智能设备漏洞监控数据平台中国泰尔实验室移动智能设备漏洞监控数据平台中国泰尔实验室移动智能设备漏洞监控数据平台中国
16、泰尔实验室移动智能设备漏洞监控数据平台移动终端安全态势感知能力构建实现难点探讨1 目前移动终端安全防御（漏洞补丁等）基本依靠厂商自行维护，大家各管一摊，缺乏信息共享和沟 通，单一的供应商或者企业无法对终端威胁全景有完整和实时的掌握。 现有涉及移动设备安全监测平台功能不够全面，只具备移动应用、安全漏洞等某一方面的监测、分 析能力，缺乏全面的监测平台产业方面：厂商安全数据私有，缺乏上下游联动推力和依托机制3 移动智能设备持续性安全管理需要大量数据作为支撑，往往涉及个人隐私，为企业私有，在数据流 通上限制较多。 不同机构间数据共享范围不明、方式不清。不同机构之间是互相交换还是单方面的数据获取？跨行 业、跨区域机构数据合作如何实现？有待移动终端安全信息共享机制。 如何基于移动终端安全态势感知框架，建立安全监测的技术和管理体系，例如移动终端安全态势评 估及预测的指标体系、移动终端事中事后监管策略、移动终端应急响应管理体系等都是有待解决的 重要问题。政策方面：缺乏持续性安全管理
