Защита персональных данных в мобильных устройствах средств обработки накопления и хранения информации. Современные угрозы для мобильных устройств и методы защиты

Сегодня на своем личном устройстве пользователь может играть, смотреть видео, проводить видеоконференции и работать с конфиденциальной корпоративной информацией, однако подход BYOD (Bring Your Own Device) чреват нарушением безопасности.

Разница между старыми и новыми мобильными устройствами

При покупке первых сотовых телефонов пользователей интересовал вопрос, сколько записей-контактов он может хранить - хранение на SIM-карте было неудобно, зато достаточно безопасно (пин-код и возможность закрыть доступ к данным), а сегодня все данные лежат в общей памяти, доступ к которой для различных приложений почти не защищается. Многие коммуникаторы позволяют шифровать персональные данные, однако приложения, имеющие доступ к ним, запросто их кэшируют

Доступ к почте и почтовому ящику

Как правило, доступ к почтовым сервисам и синхронизация почты настраиваются на мобильном устройстве один раз, и в случае потери или хищения аппарата злоумышленники получают доступ ко всей переписке, а также ко всем сервисам, привязанным к данному почтовому ящику.

Мессенджеры

Skype, WhatsApp - все это не чуждо современным мобильным устройствам, в результате чего и вся переписка данного конкретного человека, и его контакт-листы могут быть под угрозой.

Документы, заметки

DropBox для мобильных устройств вполне может стать источником компрометации каких-либо документов, равно как и различные заметки и события в календаре. Емкость современных устройств достаточно велика, чтобы они могли заменить usb-накопители, а документы и файлы с них вполне способны порадовать злоумышленников. Нередко в смартфонах встречается использование заметок как универсального справочника паролей, также распространены хранящие пароли приложения, защищенные мастер-ключом. Необходимо учитывать, что в таком случае стойкость всех паролей равна стойкости этого ключа и грамотности реализации приложения.

Адресная книга

Иногда сведения об определенных людях стоят очень дорого.

Сетевые средства

Использование смартфона или планшета для удаленного доступа к рабочему месту посредством VNC, TeamViewer и прочих средств удаленного администрирования уже не редкость. Так же как и доступ к корпоративной сети через VPN. Скомпрометировав свое устройство, сотрудник может скомпрометировать всю «защищенную» сеть предприятия.

Мобильный банкинг

Представь, что твой сотрудник использует на своем мобильном устройстве систему ДБО - современные браузеры вполне позволяют осуществлять подобный вид деятельности, и это же мобильное устройство привязано к банку для получения sms-паролей и оповещений. Несложно догадаться, что вся система ДБО может быть скомпрометирована потерей одного устройства.

Основными путями компрометации информации с мобильных устройств является их пропажа или хищение. Сообщения о громадных финансовых потерях организаций из-за пропажи ноутбуков мы получаем регулярно, однако потеря бухгалтерского планшета с актуальной финансовой информацией тоже может доставить множество хлопот. Вредоносное ПО для смартфонов и планшетов в настоящее время скорее страшный миф и средство маркетинга, однако не следует терять бдительность, ибо этот рынок развивается бешеными темпами. Рассмотрим, какие существуют и как реализованы средства защиты в современных мобильных ОС.

Средства защиты мобильных ОС

Современные ОС для мобильных устройств имеют неплохой набор встроенных средств защиты, однако зачастую те или иные функции не используются или отключаются.

1. Блокировка устройства.

Представь, что твой смартфон попал в руки к постороннему человеку. Для большинства пользователей это означает, что некто получит доступ сразу ко всему. Необходимо блокировать устройство паролем (стойким или с ограниченным количеством попыток ввода), после которых данные на устройстве затираются или устройство блокируется.

2. Использование криптографических средств.

Необходимо использовать шифрование съемных носителей, карт памяти – всего, к чему может получить доступ злоумышленник.

Нельзя сохранять пароли в менеджерах паролей браузеров, даже мобильных. Желательно установить ограничение на доступ к переписке почтовой и смс, использовать шифрование.

Существует множество приложений, созданных для хранения всех паролей на мобильном устройстве. Доступ к приложению осуществляется вводом мастер-ключа. Если он недостаточно стоек, вся парольная политика организации компрометируется.

К несчастью, средства для принудительного запрета есть только для Windows Mobile устройств, в остальных случаях придется доверять пользователю на слово. Желательно использовать ПО от крупных, известных разработчиков.

6. Использование политик Exchange ActiveSync и средств антивирусной и прочей защиты.

Если это возможно, позволит избежать множества угроз (в том числе новых), а в случае потери или кражи устройства осуществить его блокировку и уничтожение данных на нем.

7. В случае предоставления доступа в доверенную зону осуществлять тщательный контроль.

Для пользователей, обладающих доступом к доверенной зоне (внутренней сети по VPN, средствами удаленного администрирования), необходимо еще более тщательно следить за выполнением вышеизложенных правил (рекомендовать им использовать IPSEC, не хранить аутентификационные данные в приложениях). В случае компрометации устройства возможна угроза для всей внутренней/ доверенной зоны, что недопустимо.

8. Ограничить список данных, которые можно передавать облачным сервисам.

Современные мобильные устройства и приложения ориентированы на использование множества облачных сервисов. Необходимо следить, чтобы конфиденциальные данные и данные, относящиеся к коммерческой тайне, не были случайно синхронизированы или отправлены в один из таких сервисов.

Заключение

В завершение можно сказать, что для корпоративного применения желательно использовать одну и ту же платформу (а лучше - одинаковые устройства) с установленным ПО корпоративного класса, которое можно конфигурировать и обновлять централизованно. Из текста статьи очевидно, что необходимо разработать и внедрить политику ИБ в отношении мобильных устройств, осуществлять проверки ее исполнения и обязательно использовать Exchange-сервер для задания политик EAS. В данной статье не была рассмотрена BlackBerry OS (ввиду практически полного отсутствия на российском рынке), однако стоит отметить, что данная платформа является корпоративным стандартом во многих странах мира.

Отправить свою хорошую работу в базу знаний просто. Используйте форму, расположенную ниже

Студенты, аспиранты, молодые ученые, использующие базу знаний в своей учебе и работе, будут вам очень благодарны.

Подобные документы

Предпосылки создания системы безопасности персональных данных. Угрозы информационной безопасности. Источники несанкционированного доступа в ИСПДн. Устройство информационных систем персональных данных. Средства защиты информации. Политика безопасности.

курсовая работа , добавлен 07.10.2016

Обзор существующих приложений в сфере оказания автомобильной помощи. Рассмотрение алгоритмического конструирования комплекса мобильных приложений по оказанию автомобильной помощи на дорогах. Оценка тестирования авторизации в приложении для водителя.

дипломная работа , добавлен 12.02.2018

Понятие, состав информационной системы. Управление целостностью БД. Обеспечение системы безопасности. Блокировка неверных действий приложений-клиентов. Тенденции в мире систем управления базами данных. Основные функции, классификация и механизмы доступа.

курсовая работа , добавлен 11.12.2014

Система управления базами данных задач и составляющих их процессов предприятия. Требования к информационной системе. Состав запросов к базе данных. Связи и отношения между информационными объектами. Алгоритмы работы и архитектура информационной системы.

курсовая работа , добавлен 02.02.2014

Законодательные основы защиты персональных данных. Классификация угроз информационной безопасности. База персональных данных. Устройство и угрозы ЛВС предприятия. Основные программные и аппаратные средства защиты ПЭВМ. Базовая политика безопасности.

дипломная работа , добавлен 10.06.2011

Особенности информационной безопасности банков. Человеческий фактор в обеспечении информационной безопасности. Утечка информации, основные причины нарушений. Комбинация различных программно-аппаратных средств. Механизмы обеспечения целостности данных.

контрольная работа , добавлен 16.10.2013

Необходимость перевода мер в исторические и национальные единицы. Конверторы на персональных компьютерах и мобильных устройствах, а также сети интернет, их функциональные особенности. Методика разработки визуального приложения и требования к нему.

курсовая работа , добавлен 11.01.2017

Блокировка с помощью секретного кода.

Смартфоны, планшетные ПК и другие мобильные устройства содержат конфиденциальные данные. В случае потери мобильного устройства любой человек, нашедший его, получит доступ к контактам, сообщениям и учетным записям веб-служб. Один из способов предотвратить кражу конфиденциальной информации с мобильного устройства - установить блокировку с помощью секретного кода. Такая настройка блокирует устройство и переводит его в энергосберегающий режим. Можно настроить блокировку так, чтобы она включалась с задержкой, через определенное время после перехода устройства в энергосберегающий режим. Распространенный способ перевести мобильное устройство в спящий режим - быстро нажать основную кнопку включения питания. Можно также настроить переход устройства в спящий режим через определенное время.

Существует множество видов блокировки с помощью секретного кода (рис. 1), которые различаются уровнем надежности. Секретный код нужно вводить каждый раз при включении устройства или его выхода из энергосберегающего режима. Вот несколько основных видов блокировки с помощью секретного кода:

Нет - отключает любой настроенный вид блокировки с помощью секретного кода.

Проведение пальцем - для снятия блокировки устройства пользователю нужно провести пальцем по значку, например замка или стрелки. Это наименее надежный вариант.

Снятие блокировки по лицу - для распознавания лиц используется камера. После распознавания сохраненного снимка лица блокировка устройства снимается.

Узор - устройство блокируется, когда пользователь рисует пальцем на экране определенный узор. Чтобы снять блокировку устройства, нужно воспроизвести на экране тот же узор.

PIN-код - для защиты устройства используется секретный PIN-код. Если PIN-код введен правильно, блокировка устройства снимается.

Пароль - для защиты устройства используется пароль. Это наименее удобный вариант, особенно если в качестве пароля используется сложное или длинное слово, но он может быть самым надежным.

Простой пароль - только на устройствах iOS. Если этот параметр включен, пароль должен быть четырехзначным числом. Если этот параметр выключен, можно использовать более сложные пароли, состоящие из букв, символов и цифр.

После настройки секретного кода его нужно вводить каждый раз при включении устройства или его выхода из энергосберегающего режима.

Чтобы настроить секретный код на устройстве Android, перейдите по следующим пунктам:

Настройки > Местоположение и безопасность > Блокировка экрана . Выберите тип секретного кода из списка и установите остальные параметры защиты экрана.

Чтобы установить секретный код на устройстве iOS, перейдите по следующим пунктам:

Настройки > Основные > Защита паролем > Включить пароль . Введите четырехзначное число (рис. 2). Для подтверждения введите снова то же самое число.

Если вы забыли пароль для устройства iOS, подключите его к компьютеру, с которым оно было синхронизировано в последний раз, и восстановите настройки через iTunes.

Для устройства Android необходимо также провести восстановление. Для этого включите устройство, удерживая нажатыми кнопки регулирования громкости, после чего появится функция восстановления. Конкретные инструкции приведены в документации изготовителя устройства Android.

Академия Cisco проводит аторизированные тренинги, практикумы Cisco, компьютерные

Защиту можно обеспечить различными путями:

1) Использовать антивирусное ПО

2) Внимательно просматривать требуемые разрешения, при установке приложений (что обычно игнорируется)

3) Использовать только официальные источники приложений

4) Воспользоваться сторонними разработками.

5) Система проверки ссылок. Позволяет исключить возможность перехода на зараженные и мошеннические ресурсы.

6) Проверка всех поступающих на устройство файлов. Позволяет уменьшить риск внедрения вредоносных программ из недоверенных источников, а также избежать скрытой загрузки незапрошенных компонентов приложений, содержащих вредоносный функционал.

7) Формирование списка разрешенных приложений. Позволяет уменьшить риск запуска неизвестных приложений без их предварительной проверки на безопасность.

8) Система ограничения доступа. Позволяет ограничить количество посещаемых ресурсов до необходимого минимума, что минимизирует риск заражения с сайтов, содержащих вредоносные объекты.

9) Антивирусный монитор. Позволяет исключить заражение с помощью вредоносных объектов, проникших на машину пользователя без проверки - в том числе в запароленных архивах или с помощью специальных протоколов передачи данных.

10) Антивирусный сканер. Дает возможность обнаружения вредоносных программ, каким-либо образом сумевших проникнуть на устройство (в том числе в тот период, когда сигнатура данной вредоносной программы еще не была добавлена в вирусные базы).

Современные операционные системы мобильных устройств имеют в своем арсенале возможности для централизованного управления, но часто их недостаточно - они фрагментировано защищают данные или требуют вмешательства пользователей, поэтому такие задачи решаются системами управления Mobile Device Management (MDM) и системами обеспечения безопасности данных в мобильных устройствах.

Функционал этих систем можно проиллюстрировать на примере решения типовых проблем защиты мобильных устройств в корпоративной среде средствами Trend Micro Mobile Security 7.0.

Рис. 4 Trend Micro Mobile Security 7.0.

Основные функции Trend Micro Mobile Security 7.0.:

1) Хаотичное подключение устройств к корпоративным ресурсам.

2) Распределение устройств и привязка к пользователям

3) Обеспечение единообразия корпоративного ПО

4) Распространение корпоративных настроек и политик на устройства

5) Защита данных в случае кражи

7) Защита от вредоносных программ

8) Защита от телефонного спама

Главным преимуществом данной программы я считаю использование ее в корпоративной среде. Похожие аналоги не могут предоставить защиту информации в корпоративной среде.

Для сравнения я решил продемонстрировать другой антивирус ESET NOD32 Mobile Security

Рис. 5 ESET NOD32 Mobile Security

ESET NOD32 Mobile Security доступен в двух вариантах: бесплатный (базовый) и платный (Premium).
В первые 30 дней пользователю предоставляется доступ ко всем функциям Premium-версии, в том числе: антивирусный сканер и монитор; модуль антивор; антифишинг; проверка приложений; защита SIM-карты.

В целом, программа неплохо справляется со своими задачами и может обеспечить комплексную защиту устройства. Однако есть и минусы. Например, отсутствие функций сканирования сетевого соединения и защиты личных данных. Так же отсутствует безопасность корпоративной среды.

Основные функции защиты у обеих программ являются передовыми и самыми совершенными на сегодняшний день, но ESET NOD32 Mobile Security не может обеспечить защиту корпоративной среды.

Заключение

В данной работе рассмотрена комплексная система безопасности ОС мобильных устройств на базе ОС Android.

Приведены основные сведения, которые требуются для организации такой защиты. К ним относятся теоретическая база, и практические решения информационной безопасности такие как: Способы защиты Мобильных персональных устройств, Виды воздействий на МПУ.

В заключении хочу сказать что число вредоносного и потенциально опасного ПО постоянно растёт и владельцы устройств на базе ОС Android уже не могут использовать свой смартфон без защитного ПО.

Список используемой литературы

1) Интернет ресурсы:

Http://www.osp.ru

Http://www.trendmicro.com.ru

Http://it-sektor.ru

Http://technomag.bmstu.ru

2) Техническая документация

Алексей Голощапов 2011 Google Android. Программирование для мобильных устройств

Дмитриев М.А., Зуйков А.В., Кузин А.А., Минин П.Е., Рапетов А.М., Самойлов А.С., Фроимсон М.И., Операционная система Android. 2012

Б. Шнайер. Секреты и ложь. Безопасность данных в цифровом мире. Питер, Спб, 2003. 368 с.

В этом году рынок мобильных устройств впервые обогнал рынок ПК. Это знаковое событие, а также стремительный рост вычислительной мощности и возможностей мобильных устройств ставят перед нами новые вопросы и проблемы в области обеспечения информационной безопасности.

Современные смартфоны и планшеты содержат в себе вполне взрослый функционал, аналогичный таковому у своих «старших братьев». Удаленное администрирование, поддержка VPN, браузеры с flash и java-script, синхронизация почты, заметок, обмен файлами. Все это очень удобно, однако рынок средств защиты для подобных устройств развит еще слабо. Удачным примером корпоративного стандарта является BlackBerry, смартфон с поддержкой централизованного управления через сервер, шифрованием, возможностями удаленного уничтожения данных на устройстве. Однако его доля на рынке не так велика, а на российском и вовсе практически отсутствует. Но существует масса устройств на базе Windows Mobile, Android, iOS, Symbian, которые защищены значительно слабее. Основные проблемы безопасности связаны с тем, что многообразие ОС для мобильных устройств весьма велико, также как и количество их версий в одном семействе.

Тестирование и поиск уязвимостей в них происходит не так интенсивно как для ОС на ПК, то же самое касается и мобильных приложений. Современные мобильные браузеры уже практически догнали настольные аналоги, однако расширение функционала влечет за собой большую сложность и меньшую защищенность. Далеко не все производители выпускают обновления, закрывающие критические уязвимости для своих устройств - дело в маркетинге и в сроках жизни конкретного аппарата. Предлагаю рассмотреть типичные данные, хранящиеся на смартфоне, которые могут быть полезны для злоумышленника.

1. Доступ к почте и почтовому ящику

2. Интернет-пейджеры

Skype, Icq, Jabber - все это не чуждо современным мобильным устройствам, в результате чего и вся переписка данного конкретного человека, и его контакт-листы могут быть под угрозой.

3. Документы, заметки

4. Адресная книга

Иногда сведения об определенных людях стоят очень дорого.

5. Сетевые средства

6. Мобильный банкинг

Средства защиты мобильных ОС

WindowsMobile

Одна из старейших ОС на рынке. ПО для версий 5.0 и 6.х совместимо, из-за чего для них существует большое количество средств защиты. Начиная с версии 6.0 поддерживается шифрование карт памяти. ОС не имеет средств предотвращения установки приложений из сторонних непроверенных источников, поэтому подвержена заражению вредоносным ПО. Кроме концептов существует ряд реальных вредоносных программ под эту платформу. Корпоративные решения представлены множеством компаний (Kaspersky Endpoint Security for Smartphone, Dr.Web Enterprise Security Suite, McAfee Mobile Security for Enterprise, Symantec Mobile Security Suite for Windows Mobile, ESET NOD32 Mobile Security, GuardianEdge Smartphone Protection).

Данные решения предлагают не только антивирусную защиту, но и средства фильтрации трафика через все каналы связи мобильного устройства, средства шифрования, централизованного развертывания и управления. Решение от GuardianEdge включает в себя элементы DLP-системы. Средства ОС с помощью ActiveSync и Exchange Server разрешают удаленное уничтожение данных на устройстве. С помощью Exchange Server можно настраивать политики безопасности на устройствах, такие как использование экрана блокировки, длина пин-кода и прочее.

Выход новых прошивок, содержащих исправления уязвимостей, зависит от производителя устройств, но в целом это происходит крайне редко. Случаи повышения версии ОС также крайне редки.

Windows Phone 7 (WP7) вышла в свет совсем недавно, о корпоративных решениях для защиты этой ОС пока ничего не известно.

SymbianOS

Несмотря на недавний переход Nokia в объятия WP7, Symbian все еще превалирует на рынке мобильных ОС. Приложения для Nokia распространяются в виде sis-пакетов с цифровой подписью разработчика. Подпись самодельным сертификатом возможна, однако это накладывает ограничения на возможности ПО. Таким образом, сама система хорошо защищена от возможной малвари. Java-апплеты и sis-приложения спрашивают у пользователя подтверждение на выполнение тех или иных действий (выход в сеть, отправка смс), однако, как ты понимаешь, злоумышленника это останавливает не всегда – многие пользователи склонны соглашаться со всеми выдвинутыми ОС предложениями, не особенно вчитываясь в их суть.

Симбиан также содержит средства для шифрования карт памяти, возможно использование блокировки со стойкими паролями, поддерживаются Exchange ActiveSync (EAS) policies, позволяющие удаленное уничтожение данных на устройстве. Существует множество решений защиты информации, представленных ведущими производителями (Symantec Mobile Security for Symbian, Kaspersky Endpoint Security for Smartphone, ESET NOD32 Mobile Security), которые по функционалу близки к Windows Mobile версиям.

Несмотря на все перечисленное, существует ряд способов получения полного доступа с подменой файла «installserver», осуществляющего проверку подписей и разрешений устанавливаемого ПО. Как правило, пользователи применяют это для установки взломанного ПО, которое, естественно, теряет подпись после взлома. В таком случае неплохая в целом система защиты ОС может быть скомпрометирована. Прошивки для своих устройств Nokia выпускает регулярно, особенно для новинок. Средний срок жизни аппарата 2-2,5 года, в этот период можно ожидать исцеления детских болезней аппаратов и исправления критических уязвимостей.

iOS

Операционная система от Apple. Для устройств третьего поколения (3gs и старше) поддерживается аппаратное шифрование данных средствами системы. ОС поддерживает политики EAS, позволяет осуществлять удаленное управление и конфигурацию через Apple Push Notification Service, в том числе поддерживается и удаленное стирание данных.

Закрытость платформы и ориентированность на использование Apple Store обеспечивает высокую защиту от вредоносного ПО. Корпоративные средства защиты представлены меньшим количеством компаний (GuardianEdge Smartphone Protection, Panda Antivirus for Mac, Sophos Mobile Control). Причем решение от Panda - это антивирус для десктопа, который может сканировать и iOS-устройства, подключенные к Mac. Решение от Sophos заявлено, но находится в разработке (на момент написания статьи, март 2011 – прим. ред.). Однако, как и в случае Symbian, система может быть скомпрометирована из-за сделанного Jailbreak’a. Недавняя новость о взломе iOS Фраунгоферовским институтом технологий защиты информации - тому подтверждение. Обновление прошивок и закрытие уязвимостей происходит для устройств от Apple регулярно.

AndroidOS

Молодая на рынке мобильных устройств система, детище Google, стремительно завоевала рынок. Начиная с версии 1.6 в ней поддерживается протокол Exchange Activesync, что делает устройства с данной ОС интересными для корпоративного сегмента. Политики EAS (впрочем, далеко не все) также поддерживаются. Шифрование карт памяти средствами ОС не предусмотрено. Существует ряд корпоративных решений для защиты (McAfee WaveSecure, Trend Micro Mobile Security for Android, Dr.Web для Android, заявлены решения от Kaspersky). Приложения распространяются через Android Market, однако ничто не мешает устанавливать их и из других источников. Вредоносное ПО для Android существует, однако при установке ОС показывает все действия, которые требуются для устанавливаемой программы, поэтому в данном случае все зависит напрямую от пользователя (впрочем, указан ные при установке предупреждения все равно никто не читает, большинство вполне легальных программ из Маркета выдают кучу ворнингов на доступ ко всем мыслимым местам системы – прим. ред.).

ОС имеет защиту от модификации, но, как и для Symbian и iOS, возможно получение полного доступа к системе, здесь это называется root. После получения root возможна запись в системные области и даже подмена системных приложений. Обновление прошивок и повышение версий ОС, исправление ошибок и уязвимостей происходит регулярно на большинстве устройств.

Подводя промежуточный итог, можно сказать, что современные мобильные ОС обладают неплохими средствами защиты - как встроенными, так и представленными на рынке. Основными проблемами являются несвоевременность или невозможность получения обновлений, обход защиты самим пользователем, отсутствие корпоративной политики безопасности для мобильных устройств. Из-за различия ОС и их версий не существует единого корпоративного решения, которое можно было бы посоветовать. Но рассмотрим, какие шаги необходимо предпринять для защиты устройств и что учесть при создании политик ИБ.

1. Блокировка устройства.

2. Использование криптографических средств.

3. Запрет на сохранение паролей в браузере мобильного устройства.

4. Запрет использования менеджеров паролей для корпоративных учетных записей.

5. Запрет на установку ПО из непроверенных источников, осуществление «взломов» ОС.

6. Использование политик Exchange ActiveSync и средств антивирусной и прочей защиты.

7. В случае предоставления доступа в доверенную зону осуществлять тщательный контроль.

8. Ограничить список данных, которые можно передавать облачным сервисам.

Заключение