モバイルデバイスを外部攻撃から保護する手段。 モバイル機器および記憶媒体の使用に関する規制
3.1. 組織の IS におけるモバイル デバイスおよびストレージ メディアの使用とは、IS とモバイル デバイスおよびストレージ メディアの間で情報の処理、送受信を目的とした、IS インフラストラクチャへの接続を意味します。
3.2. IS では、組織の所有物であり、定期的な監査と管理の対象となる、登録済みのモバイル デバイスとストレージ メディアのみの使用が許可されます。
3.3. 組織が提供するモバイル デバイスでは、承認ソフトウェア登録簿に含まれ、PC パスポートに指定されている商用ソフトウェアを使用することが許可されています。
3.4. 組織が提供するモバイルデバイスおよび記憶媒体には、固定型ワークステーションと同じ情報セキュリティ要件が適用されます（追加の情報セキュリティ対策の適切性は情報セキュリティ管理者によって決定されます）。
3.5. 次の場合には、組織部門の長の主導により、モバイルデバイスおよび記憶媒体が組織の従業員に提供されます。
新しく雇用された従業員が職務を遂行する必要性。
組織の従業員に対する生産ニーズの発生。
3.6. 組織の従業員にモバイル デバイスとストレージ メディアを提供するプロセスは、次の段階で構成されます。
3.6.1. 承認された形式での申請書（付録 1）の作成は、組織の長に宛てて構造単位の長によって実行されます。
3.6.2. 準備された申請書を IT 部門の責任者と調整します (組織の従業員に申告されたモバイル デバイスおよび/または記憶媒体を提供する可能性について結論を得るために)。
3.6.3. 提供されたモバイル デバイスおよび/またはストレージ メディアを考慮して元の申請書を IT 部門に提出し、「組織」の領域外でモバイル デバイスを使用して作業する権利を持つ組織従業員のリストに変更を加えます。 IP にモバイル デバイスを登録するための技術設定を実行したり、組織のワークステーションでストレージ メディアを使用する権利を付与したりすることとして (アプリケーションが組織の長によって承認された場合)。
3.7. 組織の従業員が提供するモバイルデバイスの組織領域内への導入および組織外への持ち出しは、「モバイル端末を使用して作業する権利を有する組織の従業員のリスト」に基づいてのみ行われます。 「組織」の領域外にあるデバイス (付録 2)。承認されたアプリケーションに基づいて IT 部門によって維持され、セキュリティ サービスに転送されます。
3.8. 請負業者および第三者組織の従業員による、提供されたモバイルデバイスの組織領域内への導入、およびその境界外への持ち出しは、導入のために記入された申請書（別紙 3）に基づいて行われます。 /モバイルデバイスの削除。構造単位の長によって署名されます。
3.9. 組織の従業員に提供されるモバイル デバイスおよびストレージ メディアを使用する場合は、次のことを行う必要があります。
3.9.1. これらの規制の要件を遵守してください。
3.9.2. モバイル デバイスとストレージ メディアは職務を遂行する目的のみに使用してください。
3.9.3. 本規則の要件に違反する事実がある場合は、知的財産管理者に通知してください。
3.9.4. モバイルデバイスとストレージメディアは慎重に扱います。
3.9.5. メーカーの要件に従ってモバイル デバイスと記憶メディアを操作および輸送します。
3.9.6. あらゆる合理的な手段を使用して、モバイル デバイスとストレージ メディアの物理的なセキュリティを確保します。
3.9.7. モバイル端末や記録メディアの紛失（盗難）が発生した場合は、IS管理者に通知してください。
3.10. 組織の従業員に提供されるモバイル デバイスおよび記憶メディアを使用する場合、次のことは禁止されています。
3.10.1. モバイルデバイスとストレージメディアは個人的な目的で使用してください。
3.10.2. モバイル デバイスおよびストレージ メディアを他の人に譲渡すること (IP 管理者を除く)。
3.10.3. 物理的な安全を確保するための措置を講じない限り、モバイル デバイスとストレージ メディアを放置しておいてください。
3.11。 組織の従業員によって開始された IS と、行方不明の (個人用) モバイル デバイスおよび記憶媒体との間のあらゆるやり取り (情報の処理、受信/送信) は、不正とみなされます (IS 管理者と事前に合意されている場合を除く)。 ）。 組織は、そのようなデバイスやメディアの使用をブロックまたは制限する権利を留保します。
3.12. 組織の従業員による情報システム内のモバイル デバイスおよびストレージ メディアの使用に関する情報は記録され、必要に応じて、組織の管理部門だけでなく構造部門の責任者にも提供できます。
3.13。 組織の従業員にモバイルデバイスおよび記憶媒体の不正使用および/または悪用の疑いがある場合、組織の長によって構成が決定された委員会によって内部監査が開始されます。
3.14。 明らかにされた状況に基づいて、事件調査報告書が作成され、組織の地域規制および現在の法律に従って措置を講じるための構造単位の長に提出されます。 インシデント調査報告書と講じられた措置に関する情報は、IT 部門に転送される場合があります。
3.15。 組織が提供するモバイル デバイスおよび記憶媒体に保存されている情報は、マルウェアが含まれていないことの必須検証の対象となります。
3.16 従業員が解雇されたり、組織の別の構成単位に異動した場合、従業員に提供されたモバイル デバイスと記憶媒体は没収されます。
あなたの優れた成果をナレッジベースに送信するのは簡単です。 以下のフォームをご利用ください
研究や仕事でナレッジベースを使用している学生、大学院生、若い科学者の皆様には、大変感謝していることでしょう。
類似の文書
個人データ セキュリティ システムを作成するための前提条件。 情報セキュリティの脅威。 ISPD への不正アクセスのソース。 個人データ情報システムの設計。 情報セキュリティツール。 セキュリティポリシー。
コースワーク、2016/10/07 追加
自動車支援分野における既存のアプリケーションのレビュー。 ロードサイドアシスタンスを提供するためのモバイルアプリケーションの複合体のアルゴリズム設計の検討。 ドライバー アプリケーションでの認証テストの評価。
論文、2018/02/12追加
情報システムの概念、構成。 データベースの整合性管理。 セキュリティシステムを提供します。 クライアント アプリケーションの不正な動作をブロックします。 データベース管理システムの世界の動向。 基本的な機能、分類、およびアクセスのメカニズム。
コースワーク、2014/12/11 追加
タスクとその構成要素であるエンタープライズ プロセスのデータベース管理システム。 情報システム要件。 データベースへのクエリの構成。 情報オブジェクト間の接続と関係。 情報システムの動作とアーキテクチャのアルゴリズム。
コースワーク、2014/02/02 追加
個人データを保護するための法的枠組み。 情報セキュリティの脅威の分類。 個人データベース。 企業 LAN の設計と脅威。 PC の基本的なソフトウェアおよびハードウェアの保護。 基本的なセキュリティポリシー。
論文、2011/06/10 追加
銀行の情報セキュリティの特徴。 情報セキュリティを確保するための人的要因。 情報漏洩、違反の主な原因。 さまざまなソフトウェアとハードウェアの組み合わせ。 データの整合性を保証するメカニズム。
テスト、2013 年 10 月 16 日追加
対策を歴史的および国家単位に変換する必要性。 パソコンやモバイル機器、インターネット上のコンバータとその機能的特徴。 ビジュアル アプリケーションを開発するための方法論とその要件。
コースワーク、2017/01/11 追加
今年、モバイルデバイス市場が初めて PC 市場を追い抜きました。 この画期的な出来事は、モバイル デバイスのコンピューティング能力と機能の急速な成長と同様に、情報セキュリティの分野に新たな疑問と課題をもたらしています。
最近のスマートフォンやタブレットには、「兄貴分」と同様の、かなり大人向けの機能が含まれています。 リモート管理、VPN サポート、フラッシュと JavaScript を備えたブラウザ、メールの同期、メモ、ファイル共有。 これらはすべて非常に便利ですが、そのようなデバイス用のセキュリティ製品の市場はまだ十分に発展していません。 企業標準の好例は、サーバーによる集中管理、暗号化、およびデバイス上のデータをリモートで破棄する機能をサポートするスマートフォンである BlackBerry です。 しかし、その市場シェアはそれほど大きくなく、ロシア市場では事実上存在しません。 しかし、Windows Mobile、Android、iOS、Symbian をベースにしたデバイスは数多くありますが、それらははるかに保護されていません。 主なセキュリティ問題は、モバイル デバイスのオペレーティング システムの種類が非常に豊富であり、1 ファミリ内のバージョンの数も非常に多いという事実に関連しています。
それらの脆弱性のテストと検索は、PC 上の OS ほど集中的ではありません。同様のことがモバイル アプリケーションにも当てはまります。 最新のモバイル ブラウザはデスクトップのブラウザにほぼ追いつきましたが、機能を拡張すると複雑さが増し、セキュリティが低下します。 すべてのメーカーがデバイスの重大な脆弱性を解消するアップデートをリリースしているわけではありません。これはマーケティングと特定のデバイスの寿命の問題です。 攻撃者にとって有用となる可能性のある、スマートフォンに保存されている典型的なデータについて考えてみることを提案します。
1. メールとメールボックスへのアクセス
原則として、メール サービスへのアクセスとメールの同期はモバイル デバイスで一度構成されます。デバイスが紛失または盗難された場合、攻撃者はすべての通信と、このメールボックスに関連付けられているすべてのサービスにアクセスできるようになります。
2. インターネットポケベル
Skype、Icq、Jabber - これらすべては現代のモバイル デバイスに無関係ではなく、その結果、特定の個人とその連絡先リストのすべての通信が危険にさらされる可能性があります。
3. 書類、メモ
モバイル デバイス用の DropBox は、さまざまなメモやカレンダー イベントだけでなく、あらゆるドキュメントの侵害源となる可能性があります。 最新のデバイスの容量は USB ドライブの代わりにできるほど大きく、そこにあるドキュメントやファイルは攻撃者を満足させる可能性が非常に高いです。 メモはスマートフォン上で汎用パスワードのリファレンスブックとして使用されることが多く、マスターキーで保護されたパスワード保護されたアプリケーションも一般的です。 この場合、すべてのパスワードの強度がこのキーの強度とアプリケーションの正しい実装に等しいことを考慮する必要があります。
4.アドレス帳
特定の人に関する情報は非常に高価な場合があります。
5. ネットワークツール
スマートフォンやタブレットを使用して、VNC、TeamViewer、その他のリモート管理ツールを介して職場にリモート アクセスすることは、もはや珍しいことではありません。 VPN 経由で企業ネットワークにアクセスする場合も同様です。 従業員は自分のデバイスを侵害することで、「安全な」企業ネットワーク全体を侵害する可能性があります。
6. モバイルバンキング
従業員がモバイル デバイスでリモート バンキング システムを使用していると想像してください。最新のブラウザではこの種のアクティビティが完全に許可されており、同じモバイル デバイスが銀行にリンクされて SMS パスワードとアラートを受信します。 1 台のデバイスが失われると、リモート バンキング システム全体が危険にさらされる可能性があることは容易に推測できます。
モバイル デバイスの情報が侵害される主な方法は、紛失または盗難です。 ラップトップの紛失による組織の巨額の経済的損失の報告は定期的に受けますが、最新の財務情報が入った会計用タブレットの紛失も多くの問題を引き起こす可能性があります。 スマートフォンやタブレット用のマルウェアは、現在では恐ろしい神話やマーケティング ツールとしての印象が強いですが、この市場は猛烈なペースで発展しているため、油断してはいけません。 どのようなセキュリティ対策が存在し、それらが最新のモバイル オペレーティング システムにどのように実装されているかを見てみましょう。
モバイルOS保護ツール
モバイル デバイス用の最新のオペレーティング システムには、優れたセキュリティ機能が組み込まれていますが、多くの場合、特定の機能が使用されないか無効になっています。
WindowsMobile
市場で最も古い OS の 1 つ。 バージョン 5.0 と 6.x のソフトウェアには互換性があるため、それら用の保護ツールが多数存在します。 バージョン6.0以降、メモリカードの暗号化がサポートされています。 OS にはサードパーティの未検証のソースからのアプリケーションのインストールを防ぐツールがないため、マルウェアに感染しやすくなっています。 概念に加えて、このプラットフォームには実際のマルウェア プログラムが多数存在します。 企業向けソリューションは多くの企業によって提供されています (Kaspersky Endpoint Security for Television、Dr.Web Enterprise Security Suite、McAfee Mobile Security for Enterprise、Symantec Mobile Security Suite for Windows Mobile、ESET NOD32 Mobile Security、GuardianEdge Television Protection)。
これらのソリューションは、ウイルス対策保護だけでなく、モバイル デバイスのすべての通信チャネルを介したトラフィックのフィルタリング、暗号化ツール、一元的な導入と管理の手段も提供します。 GuardianEdge のソリューションには、DLP システムの要素が含まれています。 ActiveSync と Exchange Server を使用する OS ツールにより、デバイス上のデータをリモートで破壊できます。 Exchange Server を使用すると、ロック画面の使用法、PIN の長さなど、デバイスのセキュリティ ポリシーを構成できます。
脆弱性修正を含む新しいファームウェアのリリースはデバイスのメーカーによって異なりますが、一般に、これは非常にまれに発生します。 OSのバージョンアップを行うケースも極めて稀です。
Windows Phone 7 (WP7) はごく最近リリースされましたが、この OS を保護するための企業向けソリューションについては何も知られていません。
SymbianOS
Nokia が最近 WP7 を採用したにもかかわらず、Symbian は依然としてモバイル OS 市場を支配しています。 Nokia 用のアプリケーションは、開発者のデジタル署名が付いた sis パッケージの形式で配布されます。 自家製の証明書を使用して署名することも可能ですが、これによりソフトウェアの機能に制限が課されます。 したがって、システム自体はマルウェアの可能性から十分に保護されています。 Java アプレットと sis アプリケーションは、特定のアクション (オンラインになる、SMS の送信) を実行するための確認をユーザーに求めますが、ご理解のとおり、これによって常に攻撃者が阻止されるわけではありません。多くのユーザーは、OS が提案するすべての提案に同意する傾向があります。 、特に本質を読み取っているわけではありません。
Symbian にはメモリ カードを暗号化するツールも含まれており、強力なパスワードによるロックを使用でき、デバイス上のデータをリモートで破壊できる Exchange ActiveSync (EAS) ポリシーもサポートしています。 大手メーカーが提供する情報保護ソリューションは数多くあります (Symantec Mobile Security for Symbian、Kaspersky Endpoint Security for Television、ESET NOD32 Mobile Security)。それらは Windows Mobile バージョンと機能が似ています。
上記のすべてにもかかわらず、インストールされたソフトウェアの署名と権限をチェックする「installserver」ファイルを置き換えることによって完全なアクセスを取得する方法は数多くあります。 通常、ユーザーはこれを使用してクラックされたソフトウェアをインストールしますが、クラックされた後は当然署名が失われます。 この場合、一般に優れている OS セキュリティ システムが侵害される可能性があります。 Nokia は、自社デバイス、特に新製品のファームウェアを定期的にリリースしています。 デバイスの平均寿命は 2 ～ 2.5 年で、この期間中にデバイスの小児疾患の治癒と重大な脆弱性の修正が期待できます。
iOS
Apple のオペレーティング システム。 第 3 世代デバイス (3gs 以前) の場合、ハードウェア データ暗号化がシステムによってサポートされています。 この OS は EAS ポリシーをサポートしており、リモート データ消去のサポートを含む、Apple プッシュ通知サービスを介したリモート管理と構成が可能です。
プラットフォームの閉鎖的な性質と Apple Store の使用に重点を置いているため、マルウェアに対する高度な保護が提供されます。 企業向け保護製品を代表する企業は少数です (GuardianEdge スマートフォン プロテクション、Panda Antivirus for Mac、Sophos Mobile Control)。 さらに、Panda のソリューションは、Mac に接続されている iOS デバイスもスキャンできるデスクトップ用のウイルス対策製品です。 ソフォスからのソリューションは発表されましたが、開発中です (この記事の執筆時点、2011 年 3 月 - 編集者注)。 ただし、Symbian の場合と同様、脱獄によってシステムが侵害される可能性があります。 フラウンホーファー情報セキュリティ技術研究所による iOS のハッキングに関する最近のニュースがこれを証明しています。 Apple デバイスのファームウェアのアップデートと脆弱性は定期的にクローズされます。
AndroidOS
Google が考案したモバイル デバイス市場の若いシステムは、すぐに市場を征服しました。 バージョン 1.6 以降、Exchange Activesync プロトコルがサポートされるため、この OS を搭載したデバイスは企業セグメントにとって興味深いものになります。 EAS ポリシー (ただし、すべてではありません) もサポートされています。 OS ツールを使用したメモリ カードの暗号化は提供されません。 エンタープライズ向けセキュリティ ソリューションは数多くあります (McAfee WaveSecure、Trend Micro Mobile Security for Android、Dr.Web for Android、Kaspersky のソリューションが発表されています)。 アプリケーションは Android マーケットを通じて配布されますが、他のソースからのインストールを妨げるものはありません。 Android 用の悪意のあるソフトウェアは存在しますが、インストール中に OS はインストールされたプログラムに必要なすべてのアクションを表示するため、この場合はすべてがユーザーに直接依存します (ただし、インストール中に表示される警告を読む人はいずれにせよ誰もいません。ほとんどは完全に合法的なプログラムです)マーケットからは、システム内の考えられるすべての場所へのアクセスに対して大量の警告が発行されます - 編集者注)。
OS は変更から保護されていますが、Symbian や iOS と同様に、システムへの完全なアクセス (ここでは root と呼ばれます) を取得することは可能です。 root を取得すると、システム領域に書き込みをしたり、システム アプリケーションを置き換えたりすることもできます。 ファームウェアのアップデートと OS バージョンのアップグレード、バグ修正と脆弱性は、ほとんどのデバイスで定期的に発生します。
要約すると、最新のモバイル オペレーティング システムには、組み込みのセキュリティ対策と市販のセキュリティ対策の両方が備わっていると言えます。 主な問題は、アップデートの受信が適時でない、または不可能であること、ユーザー自身による保護を回避していること、およびモバイル デバイスに対する企業のセキュリティ ポリシーが欠如していることです。 オペレーティング システムとそのバージョンが異なるため、推奨できる単一のエンタープライズ ソリューションはありません。 ただし、デバイスを保護するためにどのような手順を実行する必要があるか、情報セキュリティ ポリシーを作成するときに何を考慮する必要があるかを見てみましょう。
1. デバイスのブロック。
あなたのスマートフォンが見知らぬ人の手に渡ったと想像してください。 ほとんどのユーザーにとって、これは誰かが一度にすべてにアクセスできることを意味します。 パスワード (強力なパスワード、または入力試行回数が制限されたパスワード) を使用してデバイスをロックする必要があります。その後、デバイス上のデータが上書きされるか、デバイスがブロックされます。
2. 暗号化手段の使用。
リムーバブルメディアやメモリカードなど、攻撃者がアクセスできるものすべてを暗号化する必要があります。
3. モバイル端末のブラウザへのパスワード保存の禁止。
ブラウザのパスワード マネージャーには、モバイルのパスワード マネージャーであってもパスワードを保存することはできません。 電子メールや SMS 通信へのアクセス制限を設定し、暗号化を使用することをお勧めします。
4. 企業アカウントに対するパスワードマネージャーの使用の禁止。
すべてのパスワードをモバイル デバイスに保存するように設計されたアプリケーションが数多くあります。 アプリケーションへのアクセスは、マスター キーを入力することで実現されます。 強度が十分でない場合、組織のパスワード ポリシー全体が危険にさらされます。
5. 未確認のソースからのソフトウェアのインストール、OS の「ハッキング」の禁止。
残念ながら、禁止を強制する手段は Windows Mobile デバイスでのみ使用できます。それ以外の場合は、ユーザーの言葉を信頼する必要があります。 大手の有名な開発者が提供するソフトウェアを使用することをお勧めします。
6. Exchange ActiveSync ポリシー、ウイルス対策ツール、その他の保護ツールを使用します。
可能であれば、これにより多くの脅威 (新たな脅威を含む) を回避でき、デバイスの紛失または盗難の場合にはデバイスをブロックし、デバイス上のデータを破壊できます。
7. 信頼されたゾーンへのアクセスが許可されている場合は、慎重に制御してください。
信頼されたゾーン (VPN 経由の内部ネットワーク、リモート管理ツール) にアクセスできるユーザーの場合は、上記のルールへの準拠をさらに注意深く監視する必要があります (認証データをアプリケーションに保存せず、IPSEC を使用することを推奨します)。 デバイスが侵害されると、内部/信頼ゾーン全体が危険にさらされる可能性があり、これは容認できません。
8. クラウド サービスに転送できるデータのリストを制限します。
最新のモバイル デバイスとアプリケーションは、多くのクラウド サービスの使用に重点を置いています。 機密データや企業秘密データが誤って同期されたり、これらのサービスのいずれかに送信されたりしないように注意する必要があります。
結論
結論として、エンタープライズ アプリケーションの場合は、一元的に構成および更新できるエンタープライズ クラスのソフトウェアがインストールされている同じプラットフォーム (または、できれば同じデバイス) を使用することが望ましいと言えます。 記事の本文から、モバイル デバイスの情報セキュリティ ポリシーを開発および実装し、その実装を確認し、EAS ポリシーの設定には必ず Exchange サーバーを使用する必要があることがわかります。 この記事では、BlackBerry OS については説明しませんでしたが (ロシア市場にはほぼ完全に存在していないため)、このプラットフォームが世界中の多くの国で企業標準となっている点は注目に値します。
現在、ユーザーは個人のデバイスでゲームをしたり、ビデオを見たり、ビデオ会議を行ったり、企業機密情報を操作したりすることができますが、BYOD (Bring Your Own Device) アプローチにはセキュリティ違反が伴います。
新旧のモバイルデバイスの違い
最初の携帯電話を購入したとき、ユーザーは携帯電話にどれだけの連絡先記録を保存できるかという疑問に興味を持っていました。SIM カードに保存するのは不便ではありましたが、非常に安全でした (PIN コードとデータへのアクセスをブロックする機能)。そして今日ではすべての携帯電話が保存できるようになりました。データは共有メモリ内にあり、さまざまなアプリケーションに対するアクセスはほとんど保護されていません。 多くのコミュニケーターでは個人データを暗号化できますが、個人データにアクセスできるアプリケーションは簡単にデータをキャッシュします。
最近のスマートフォンやタブレットには、「兄貴分」と同様の、かなり大人向けの機能が含まれています。 リモート管理、VPN サポート、フラッシュと JavaScript を備えたブラウザ、メールの同期、メモ、ファイル共有。 これらはすべて非常に便利ですが、そのようなデバイス用のセキュリティ製品の市場はまだ十分に発展していません。
メールとメールボックスへのアクセス
原則として、メール サービスへのアクセスとメールの同期はモバイル デバイスで一度構成されます。デバイスが紛失または盗難された場合、攻撃者はすべての通信と、このメールボックスに関連付けられているすべてのサービスにアクセスできるようになります。
メッセンジャー
Skype、WhatsApp - これらすべては現代のモバイルデバイスにとって異質なものではなく、その結果、特定の個人とその連絡先リストのすべての通信が危険にさらされる可能性があります。
書類、メモ
モバイル デバイス用の DropBox は、さまざまなメモやカレンダー イベントだけでなく、あらゆるドキュメントの侵害源となる可能性があります。 最新のデバイスの容量は USB ドライブの代わりにできるほど大きく、そこにあるドキュメントやファイルは攻撃者を満足させる可能性が非常に高いです。 メモはスマートフォン上で汎用パスワードのリファレンスブックとして使用されることが多く、マスターキーで保護されたパスワード保護されたアプリケーションも一般的です。 この場合、すべてのパスワードの強度がこのキーの強度とアプリケーションの正しい実装に等しいことを考慮する必要があります。
アドレス帳
特定の人に関する情報は非常に高価な場合があります。
ネットワークツール
スマートフォンやタブレットを使用して、VNC、TeamViewer、その他のリモート管理ツールを介して職場にリモート アクセスすることは、もはや珍しいことではありません。 VPN 経由で企業ネットワークにアクセスする場合も同様です。 従業員は自分のデバイスを侵害することで、「安全な」企業ネットワーク全体を侵害する可能性があります。
モバイルバンキング
従業員がモバイル デバイスでリモート バンキング システムを使用していると想像してください。最新のブラウザではこの種のアクティビティが完全に許可されており、同じモバイル デバイスが銀行にリンクされて SMS パスワードとアラートを受信します。 1 台のデバイスが失われると、リモート バンキング システム全体が危険にさらされる可能性があることは容易に推測できます。
モバイル デバイスの情報が侵害される主な方法は、紛失または盗難です。 ラップトップの紛失による組織の巨額の経済的損失の報告は定期的に受けますが、最新の財務情報が入った会計用タブレットの紛失も多くの問題を引き起こす可能性があります。 スマートフォンやタブレット用のマルウェアは、現在では恐ろしい神話やマーケティング ツールとしての印象が強いですが、この市場は猛烈なペースで発展しているため、油断してはいけません。 どのようなセキュリティ対策が存在し、それらが最新のモバイル オペレーティング システムにどのように実装されているかを見てみましょう。
モバイルOS保護ツール
モバイル デバイス用の最新のオペレーティング システムには、優れたセキュリティ機能が組み込まれていますが、多くの場合、特定の機能が使用されないか無効になっています。
1. デバイスのブロック。
あなたのスマートフォンが見知らぬ人の手に渡ったと想像してください。 ほとんどのユーザーにとって、これは誰かが一度にすべてにアクセスできることを意味します。 パスワード (強力なパスワード、または入力試行回数が制限されたパスワード) を使用してデバイスをロックする必要があります。その後、デバイス上のデータが上書きされるか、デバイスがブロックされます。
2. 暗号化手段の使用。
リムーバブルメディアやメモリカードなど、攻撃者がアクセスできるものすべてを暗号化する必要があります。
ブラウザのパスワード マネージャーには、モバイルのパスワード マネージャーであってもパスワードを保存することはできません。 電子メールや SMS 通信へのアクセス制限を設定し、暗号化を使用することをお勧めします。
すべてのパスワードをモバイル デバイスに保存するように設計されたアプリケーションが数多くあります。 アプリケーションへのアクセスは、マスター キーを入力することで実現されます。 強度が十分でない場合、組織のパスワード ポリシー全体が危険にさらされます。
残念ながら、禁止を強制する手段は Windows Mobile デバイスでのみ使用できます。それ以外の場合は、ユーザーの言葉を信頼する必要があります。 大手の有名な開発者が提供するソフトウェアを使用することをお勧めします。
6. Exchange ActiveSync ポリシー、ウイルス対策ツール、その他の保護ツールを使用します。
可能であれば、これにより多くの脅威 (新たな脅威を含む) を回避でき、デバイスの紛失または盗難の場合にはデバイスをブロックし、デバイス上のデータを破壊できます。
7. 信頼されたゾーンへのアクセスが許可されている場合は、慎重に制御してください。
信頼されたゾーン (VPN 経由の内部ネットワーク、リモート管理ツール) にアクセスできるユーザーの場合は、上記のルールへの準拠をさらに注意深く監視する必要があります (認証データをアプリケーションに保存せず、IPSEC を使用することを推奨します)。 デバイスが侵害されると、内部/信頼ゾーン全体が危険にさらされる可能性があり、これは容認できません。
8. クラウド サービスに転送できるデータのリストを制限します。
最新のモバイル デバイスとアプリケーションは、多くのクラウド サービスの使用に重点を置いています。 機密データや企業秘密データが誤って同期されたり、これらのサービスのいずれかに送信されたりしないように注意する必要があります。
結論
結論として、エンタープライズ アプリケーションの場合は、一元的に構成および更新できるエンタープライズ クラスのソフトウェアがインストールされている同じプラットフォーム (または、できれば同じデバイス) を使用することが望ましいと言えます。 記事の本文から、モバイル デバイスの情報セキュリティ ポリシーを開発および実装し、その実装を確認し、EAS ポリシーの設定には必ず Exchange サーバーを使用する必要があることがわかります。 この記事では、BlackBerry OS については説明しませんでしたが (ロシア市場にはほぼ完全に存在していないため)、このプラットフォームが世界中の多くの国で企業標準となっている点は注目に値します。
現代の多くのユーザーは、インターネットとの主な通信手段としてモバイル デバイスを選択することが増えています。 スマートフォンやタブレットの助けを借りて、ほぼすべてのインターネット ニーズを満たすことができるようになりました。 ここには、さまざまなアプリケーション (Instagram、Twitter、VK、Facebook)、内蔵カメラ、およびデバイスの持ち運びのしやすさがあります。 サイバー犯罪者が、情報セキュリティの分野に不慣れな人々が徐々に移行しつつあるモバイル プラットフォームを狙っていることは、まったく驚くべきことではありません。
導入
現代のサイバー犯罪者の主な目的は利益を上げることであることを忘れてはなりません。マルウェアが娯楽や破壊行為のために開発された時代はとうの昔に過ぎています。 そのため、攻撃者は一般ユーザーのモバイルデバイスから利益を得る方法に注目しています。 しかし、これらの方法とは何ですか?また、それらから身を守るにはどうすればよいでしょうか? これについては以下で見ていきます。
モバイル ランサムウェア
ランサムウェア マルウェアは、デスクトップ コンピュータ上で非常に一般的な種類の悪意のあるソフトウェアとなっています。 この成功を受けて、攻撃者はモバイル デバイスの場合にも同様のスキームを使用することにしました。 原則として、彼らはデバイスの操作をブロックし、被害者に身代金を要求し、身代金を支払った後、スマートフォンまたはタブレットの制御をユーザーに返します。
犯罪者は通話履歴、連絡先、写真、メッセージもターゲットにしており、ほとんどの場合、ユーザーは要求された金額の支払いを強制されます。
モバイル デバイス向けのランサムウェアの最も危険な例の 1 つは、アクセシビリティ サービスを使用する初のモバイル ランサムウェアです。 この悪意のあるプログラムには 2 つの恐喝ツールが装備されています。デバイスのメモリ内のデータを暗号化し、PIN コードを任意のコードに変更することもできます。
Android アクセシビリティ サービス (障害のある人がデバイスを使いやすくする) の使用は、サイバー犯罪者が採用する最も危険な技術革新の 1 つです。 したがって、攻撃者は最も人気のあるモバイル プラットフォームである Android への攻撃に成功します。
また、デバイスのセキュリティ上の欠陥を利用して、多くのことができるようになります。たとえば、4 月に発見されたトラストジャッキングの脆弱性です。 トラストジャッキングは、特別なコードを含むサイトにユーザーを誘導することによって使用される可能性があります。
Google と Apple が Google Play および App Store 用に開発したセキュリティ対策が役に立たない場合があります。 そこで、Google Playで専門家が発見しました。 インストール後、メッセンジャーは、デバイスの位置、保存された通話、オーディオとビデオの記録、テキスト メッセージ、およびユーザーのその他の個人情報に関する情報を収集する 2 番目のアプリケーションをロードしました。
暗号通貨とその為替レートの人気が高まるにつれ、攻撃者は、一般ユーザーのデバイスを犠牲にして所有者の暗号通貨を抽出するマイナー プログラムに興味を持つようになりました。 同じ Google Play で、研究者は正規のプログラムを発見しました。
機密データの収集は犯罪者にとっても興味深いため、Android オペレーティング システムを実行しているモバイル デバイスでユーザーによる通話を録音できる のようなアプリケーションを開発します。
多くの人は、iOS が主な競合他社よりも悪意のあるアプリケーションに対する保護機能に優れていると考えています。 ウラジオストク元首長イーゴリ・プシュカレフ氏が何らかの形で捜査を受けている。 プシュカレフ氏によれば、このシステムは保護する価値が極めて低いという。
非接触型決済（タップアンドペイ）
NFC (「近距離無線通信」、「近距離無線通信」) についてすでに聞いたことがありますか? 簡単に言うと、このテクノロジーは非接触カードの標準を拡張することを目的として設計されており、ユーザーはモバイル デバイスを使用して購入の支払いができるようになります。 したがって、スマートフォンには銀行口座やクレジット カードが関連付けられており、これがさらに詐欺師を惹きつけます。
NFC 使用時にユーザーの資金を盗むために、攻撃者は NFC の脆弱性を悪用する「バンプ アンド 感染」手法に訴えます。 この手口は過去にも証明されており、犯罪者が市民の口座からお金を盗むことができ、特にショッピングセンター、公園、空港などの場所で「バンプアンド感染」がよく使われています。
モバイルデバイスをサイバー脅威から保護する方法
このセクションでは、根本的に新しいことは何も書きません。おそらく、これらの推奨事項はすべてすでに聞いているでしょう。 ただし、モバイル デバイスを使用した安全な作業の基本については改めて思い出していただきたいと思います。モバイル デバイスは、一般ユーザーに情報の最低限のセキュリティを保証しており、現在の状況ではこれが必要不可欠です。
次のニュアンスを覚えておく必要があります。
- おそらく、一般のユーザーについて言えば、モバイル デバイスにウイルス対策プログラムをインストールすると便利でしょう。 モバイル デバイス向けのマルウェアが絶えず開発されているため、スマートフォンやタブレットをデスクトップ コンピュータのように扱う必要があり、ほとんどのユーザーは必ずどこかのメーカーのウイルス対策ソフトウェアを搭載しています。
- より複雑なパスワードを作成します。 ペットの名前をパスワードとして使用する習慣がまだある場合は、この方法を早急に変更してください。 少なくとも 8 文字の長さのパスワードを作成します。パスワードには文字、数字、記号が含まれている必要があることを忘れないでください。 子供や犬の名前など、推測しやすい単語を使用することは強くお勧めできません。
- ソフトウェアを常に最新の状態に保ちます。 また、今後のアップデートにより、攻撃者がファイルにアクセスするために使用する可能性のある特定の脆弱性が排除されるため、デバイス上のプログラムが最新であることを確認することもお勧めします。
- 銀行取引明細書やモバイル決済を確認してください。 モバイル決済や銀行取引明細書を定期的にチェックして、モバイル デバイスを使用して行われた不審な購入がないかを確認し、取引を常に把握できるようにしてください。
さらに、これは偏執的な人向けですが、未使用の機能を無効にします。 たとえば、GPS、Bluetooth、Wi-Fi は、使用するときのみオンにしておくのがよいでしょう。 また、可能であれば、モバイル デバイスに個人データ (パスワードやその他の資格情報) を保存しないでください。
結論
サイバー犯罪者が長い間、モバイル デバイスを優先ターゲットの 1 つと考えてきたことは明らかであり、これらのデバイスを詐欺師にとってさらにおいしいものにする NFC などのテクノロジーの導入は、火に油を注ぐことになります。 攻撃者は 2 つのことに興味があることを常に覚えておいてください。1 つはあなたのお金、もう 1 つは個人データ (その後、販売されたり、お金を盗むために使用される可能性もあります) です。 これに基づいて、デバイスに何を保存できるか、より安全なプラットフォームに何を任せたほうがよいかについて結論を導き出します。