简介： 企业用户不必限定于使用一种设备来访问云服务：一名用户可以选择注册多种移动设备到一台企业服务器，以提高设备访问灵活性。这一灵活性使得拥有企业安全策略比以往任何时候都更为关键。为了帮助您了解访问云的移动设备的安全性，作者将介绍服务交付模式视图和环境的设备视图，并列出服务交付模式场景的清单。

移动设备的安全策略由 4 个变量决定：

• 使用什么样的操作系统来运行移动设备。
• 云服务是公有的还是私有的。
• 消费者对操作系统、软件和硬件有多大的控制权。
• 企业服务器是否用于管理移动设备远程操作。

服务交付模式视图

服务交付模式包括三层（按使用频率排序）：

• 面向软件及服务 (SaaS) 的移动设备（经常使用）
• 面向平台即服务 (PaaS) 的移动设备（不经常使用）
• 面向基础架构即服务 (IaaS) 的移动设备（最少使用）

对三个模式层使用移动设备的漏洞示例包括：

• Wi-Fi 访问：从一个面向 SaaS 的移动设备上窃取企业数据。
• Bluetooth 访问：在一个面向 PaaS 的移动设备上窃取企业电子邮件。
• 丢失的移动设备：对有关 IaaS 运行状况的数据没有提供保护。

为了减轻这些和其他漏洞的风险，您应当在策略中包含以下应对措施。

• 一段时间或关闭设备之后锁定移动设备。
• 加密所有内容，包括授权的企业地址和 microSD 媒体卡。
• 关闭 Bluetooth 和 Wi-Fi 访问。
• 阻止所有传入的消息，来自特定地址的消息除外。
• 尽快报告丢失或被盗的设备给 IT 咨询台，这样就可以远程消除设备的内存、内容和应用程序以预防数据损失。

面向 SaaS 的移动设备策略

策略关注于管理对特定 SaaS 应用程序的访问。

用户许可证决定并发访问 SaaS 应用程序的授权用户的最大数量。许可证不允许用户安装或卸载移动应用程序以及访问系统和虚拟机应用程序。

用户被分配给一个授权密码来进入特定 SaaS 应用程序。

面向 PaaS 的移动设备策略

策略重点在于保护数据和管理开发中的应用程序的访问。

用户许可证决定在企业生命周期中并发访问所有应用程序和在 PaaS 移动设备上构建 SaaS 应用程序的授权用户的最大数量。

用户需要在其移动设备上安装或卸载移动应用程序的权限。他们不得访问系统和虚拟机应用程序。

他们必须使用授权密码来进入面向 SaaS/PaaS 的移动设备上的 SaaS 应用程序且不能共用密码来访问该应用程序。

面向 IaaS 的移动设备策略

策略重点在于管理、访问和保护虚拟机上的数据。

用户许可证决定并发访问 IaaS 的授权用户的最大数量和使用面向 IaaS 的移动设备的 PaaS 用户的最大数量。

不允许 IaaS 用户访问位于虚拟机底层的传统计算资源的基础架构。他们需要权限来安装和卸装其移动设备上的应用程序。

他们必须使用授权密码进入应用程序，且不能与其拥有的其他移动设备共享该密码。

比较策略模式

我来总结一下策略模式的异同。

从最常使用到最不常使用的设备：

• 用于访问 SaaS 应用程序的移动设备常常使用。
• 用于在 PaaS 之上构建应用程序的移动设备不常使用。
• 用于检查 IaaS 的运行状况的移动设备最少使用。

从简单到复杂的策略重点：

• 面向 SaaS 的移动设备关注于管理访问。
• 面向 PaaS 的移动设备关注于管理访问和保护数据。
• 面向 IaaS 的移动设备关注于管理访问、保护数据和管理虚拟机扩展和部署。

应当将面向 SaaS 的移动设备设置为：

• 允许访问 SaaS 应用程序。
• 禁止移动应用。
• 禁止访问系统和虚拟机应用程序。

应当将面向 PaaS 的移动设备设置为：

• 允许在 PaaS 之上开发应用程序。
• 需要权限来安装或卸载移动应用程序。
• 禁止访问系统和虚拟机应用程序。

应当将面向 IaaS 的移动设备设置为：

• 允许移动应用程序检查 IaaS 上虚拟机的运行状况。
• 禁止应用程序检查位于虚拟机底层的传统计算资源的基础架构运行状况。

设备视图

下面是您在移动设备策略中应当考虑的主要属性：

• 它们是否有您可以设置的规则？
• 何时可关闭 Bluetooth？
• 加密强度如何？并非所有设备都有最强的加密级别。
• 如果一定数量的密码输入错误之后会发生什么？锁定？数据擦除？

要考虑的其他属性是：

• 您可以启用或禁用哪些应用程序权限？
• 什么类型的用户输入？仅限触摸屏，仅限 QWERTY 键盘或两种方式均可？
• 使用什么样的企业服务器来改进移动设备的安全策略？

Apple 设备的移动策略决策

使用 iPhone 和 IPad，您可以在显示屏上显示软键盘；物理键盘不是一个选项。

在飞行模式下，它禁用所有无线功能以遵守航空系统的规定。这预防您使用外部键盘和访问 SaaS、PaaS 或 IaaS。

您可以禁用视频、照片、MMS、应用程序安装和卸载以及应用程序购买。在发生一定数量的密码输入错误之后，您可以本地启用数据擦除。

联系您的管理员，将您的 iPad 注册到 iOS4 移动设备管理服务器。服务管理员可以

• 配置您的移动设备设置。
• 查询设备信息，获取强制执行的限制列表和授权在移动设备上安装的应用程序列表。
• 通过远程擦除、远程锁定和设备密码清除来管理设备。

Android 设备的移动策略决策

Android 设备包括带软键盘、物理键盘或双接口的 Samsung 智能手机。

在您的 Samsung Android 移动设备上，您可以：

• 选择 Microsoft Exchange Server 作为企业电子邮件服务。
• 配置锁定设置来预防手机的非授权使用。
• 选择移动消息传递选项：电子邮件，即时消息传递，图片消息传递，文本消息传递。

如果您想要的话，联系您的服务器管理员了解您的 Samsung Android 设备（Android 2.3 或更高）的 Afaria Advanced Enterprise Security。管理员可以：

• 实施移动设备加密、远程设备锁定、应用程序和数据的远程擦除、强密码安全性，以及用户和应用程序的黑名单。
• 控制应用程序安装和卸载、Bluetooth、WiFi、照相机和麦克风。
• 配置一个本地电子邮件客户端。
• 跟踪资产，比如无线网络的 SSID、隐藏的网络、用户组安装的应用程序。

RIM 设备的移动策略决策

RIM 设备 (BlackBerry) 有三种输入模式：软键盘、QWERTY 键盘和双接口。安全选项包括密码设置、应用程序安装和权限、阻止传入的消息（来自特定地址的那些除外）的防火墙。

您可以设置自动或手动内存清理。您可以选择通过设备、密码或同时使用设备和密码的方式来加密媒体卡中的内容。

您可以将设备设置为：

• 阻止它与启用 Bluetooth 的设备共享内容。
• 使用 Bluetooth 技术加密发送或接收的数据。
• 阻止他人使用 GPS 技术跟踪您的位置。

您还可以设置您的设备连接到这样一个 BlackBerry Enterprise Server：

• 强加设备锁定设置。
• 擦除一个丢失或被盗设备上的数据。
• 实施安全性设置，比如 Bluetooth 锁定。

Windows Mobile 设备的移动策略决策

Windows Mobile 设备可以有一层或两层访问。具有两层访问的设备具有更好的权限选项，如同 Windows Mobile 6 和更高版本上提供的那些。它限制应用程序启动和运行时权限。当签署的应用程序在执行时，应用程序权限（特权的和正常的）由证书决定。

如果用户允许未签署的应用程序执行，它只在正常权限下执行。但是，可能不允许用户安装未签署的应用程序到一个两层的面向 SaaS 的移动设备。用户可能需要请求授权安装未签署的应用程序到一个双层的面向 PaaS 的移动设备。

您需要桌面上的 Device Configuration Manager 来改变您的设备上的安全性配置。

最好注册您的移动设备到一个企业服务器。要让 Windows Mobile 设备连接到 BlackBerry Enterprise Server，您需要 BlackBerry Connect 技术。

Symbian 设备的移动策略决策

Symbian 设备 (Nokia) 的输入模式有触摸屏、QWERTY 键盘和双接口。Symbian OS v9 Security Architecture 是可定制的，且可调整为供移动设备用户、网络运营商和软件开发人员使用。

Symbian OS v9 Security Architecture 底层有两个驱动程序：

• 用于保护关键系统服务器的防火墙。
• 数据锁定，用于限制文件编排系统中对特定应用程序或流程可见的部分。

尽管 Symbian 智能手机的 Symantec Mobile Security 4.3 可用于保护 Symbian OS Version 9.x Series 60，但最好将您的移动设备注册到一个企业服务器。要让 Symbian 移动设备连接到 BlackBerry Enterprise Server，您需要 BlackBerry Connect 技术。

模式用户

让我们找出模式用户是谁以及他们在对移动设备做什么，以按需获取 SaaS、在 PaaS 上构建 SaaS 应用程序，以及检查 IaaS 的运行状况。

按需获取 SaaS

SaaS 移动终端用户对移动应用具有最少的控制，而提供商对此具有最多的控制。

• SaaS 移动终端用户：终端用户拥有的唯一控制是从移动设备上访问 SaaS 应用程序，不管他们是个人、企业（中小型）还是政府机构。SaaS 应用程序示例包括计费、客户关系管理、人力资源和电子表格。
• 移动应用的 SaaS 提供商：提供商至少通过限制可以并发访问应用程序的授权用户数量来管理访问控制，如用户阈值策略中所规定（参见 参考资料 中之前有关阈值策略的文章）。提供商控制需要下载和安装什么移动设备应用程序，以及运行 SaaS 应用程序所需的操作系统、服务器和网络基础架构。

在 PaaS 上构建 SaaS 应用程序

PaaS 用户比 SaaS 用户对拥有应用程序拥有更多控制。

• PaaS 移动用户/应用程序开发人员：开发人员控制和保护一个完整的企业生命周期中由独立软件供应商、初创公司或大型企业单位创建和托管的所有应用程序。例如，开发人员构建、部署和运行一个自定义零售管理应用程序。作为企业生命周期的一部分，开发人员使用电子表格、文字处理软件、计费、薪资核算和发票开具。
• 移动应用的 PaaS 提供商：提供商至少控制需要下载和安装什么样的移动设备应用程序，以及运行 PaaS 所需的操作系统、服务器和网络基础架构。提供商设置用户、资源和数据请求阈值水平。

检查 IaaS 的运行状况

IaaS 安全策略关注于访问和保护数据以及管理虚拟机。

• IaaS 移动用户/基础架构专家：专家控制虚拟机上的操作系统、网络设备和部署的应用程序。基础架构专家可以向上或向下扩展虚拟机或存储区块。
• 移动应用的 IaaS 提供商：提供商至少控制虚拟机底层的传统计算资源的基础架构以及访问 IaaS 所需的移动应用程序是什么。提供商设置用户、资源和数据请求阈值水平。

服务交付模式场景：清单

如您所见，移动策略决策因设备而异。例如，BlackBerry 手机有明确的防火墙规则，而其他手机则没有这么明显。我们需要的是一个可应用于所有移动设备的安全策略。

要制定这样一个策略，试着使用一个清单。在这个简化的场景中，下面是每个清单项目的一些使用须知。

• 目的：这是关于什么的？
• 范围：为您的策略划定界限。
• 背景：是否想了解更多？
• 行动：准备大干一场。
• 约束：对它们起作用。

目的：这是关于什么的？

为达到实施安全策略的目标，简要说明安全策略的目的是做什么。您可以使用一个像这样的模板来就如何说明目的给出一些想法：

策略的目的在于帮助云服务提供商为以下设备实施安全策略：

• 供最终用户（个人、企业和政府机构）使用的面向 SaaS 的移动设备。
• 供应用程序开发人员使用的面向 PaaS 的移动设备。
• 供虚拟机基础架构和网络专家使用的面向 IaaS 的移动设备。

范围：为您的策略划定界限

通过为您的安全策略 “划定” 界限来定义范围。在其界限内，指定策略涵盖的移动设备有哪些。

提供商需要弄清消费者是否会呆在界限内（遵守有关访问控制、数据保护和虚拟机管理的安全策略条款）。如果消费者在同意遵守之后跨出界限，则移动设备用户冒着违反策略的风险。在这种情况下，供应商必须指出不遵守相关条款的后果，从而确保消费者呆在界限内。

下面是说明范围时要使用的一个模板：

该策略适用于所有 SaaS 最终用户、PaaS 应用程序开发人员以及使用移动设备的 IaaS 基础架构和网络架构师。他们必须同意该安全策略的所有条款，并同意遵守有关访问控制、数据保护和虚拟机管理的所有条款和条件。如果任何最终用户、开发人员和网络架构师的行为违反了该策略、IT 策略和法规，其服务应受到提供商的限制或取消。

背景：看看策略背后是什么

一个消费者首先想知道的是提供商是内部的还是外部的，提供商与移动设备用户之间的控制管理界限是什么（例如，SaaS 终端用户具有最少的控制），提供商会如何管理访问控制、提供数据保护、管理虚拟机以及响应移动设备上的云安全攻击或事件。

移动设备用户想知道安全策略如何涵盖恢复移动设备的系统（和阈值水平）的问题，以及他如何快速获得 SLA 中规定的信用、空闲时间或终止服务的权利。

下面是就应当包含什么为您提供一些想法的一个模板。

云服务提供商由 IBM? 在外部托管，是电信行业的一个成员。

如果工作负载需求的激增导致系统性能从保证的可用性水平下滑 30 天，提供商必须向消费者提供 SLA 中规定的信用、空闲时间或终止服务的权利。提供商必须告知消费者阈值和安全策略的例外和约束。

行动：准备大干一场

下面是让消费者满意应采取的 5 个建议行动：

• 行动 #1。在消费者注册云服务以从其移动设备上进行访问之前，向其发送安全策略的副本和要解决的问题。
• 行动 #2。设置防火墙规则。
• 行动 #3。允许 PaaS 应用程序开发人员及其 SaaS 用户订阅共驻主存的 SaaS 应用程序。
• 行动 #4。让消费者加入一个企业设备管理服务器。
• 行动 #5。指定要在企业服务器上注册的移动设备上安装和卸载什么应用程序。

下面是一些您可以使用的模板：

设备注册：提供商在一个企业设备管理服务器中注册消费者的移动设备。

防火墙规则：提供商设置比移动设备中更强、更明确的防火墙规则。

安全培训：提供商设置对批准的云用户进行安全意识、数据标签和处理方面的安全培训的最低要求。

预定维护：提供商设置维护计划，包括升级用户访问管理、数据保护技术和虚拟机。

服务可用性：提供商设置正常工作期间云访问的可用性。

背景核对：提供商设置对预期云用户的背景核对的要求。

约束：对它们起作用

以您的这种方式很可能有一些约束。下面是一些您可以使用的模板。

由于最近的组织变更，策略管理组从 FGH 部门移到了 RST 部门。这需要更新安全策略、阈值策略和 SLA。

服务例外目前包含：

• 预定的主动 SaaS 应用程序行为变更或升级。
• 对移动设备和提供商主机的僵尸网络攻击。
• 提供商的预定维护。
• 提供商从 7AM 到 6PM 的正常服务可用性和从 8PM 到 11PM 的受限服务可用性。

结束语

制定一项移动设备安全策略需要大量的预先规划，以解决有关如何说明策略目的、范围和背景的问题。开发人员必须同时与提供商和移动设备用户（Apple、Android、RIM、Windows Mobile 和 Symbian）进行交流，交流内容包括：服务交付模式视图是什么、设备视图必须包括什么、谁是模式用户以及他们在对移动设备做什么。正如生活中的其他事物，消费者可以做的最重要的事情就是从提供商那里获取策略副本以供审查，并在与提供商协商之前向其发送您可能有疑虑的任何问题。

参考资料

学习

作者在 “在云环境中平衡工作负载”、“云计算与网格计算” 和 “在云上构建积极的阀值策略” 几篇文章中讨论了阈值策略。

作者在 “改变应用程序行为：从内部转到云上” 一文中讨论了在将应用程序迁移到云中时对其进行更改的主动和被动方式。

作者在 “云服务：降低风险，保持可用性” 一文中讨论了云服务安全性以及如何降低云服务风险来确保高正常运行时间可用性。

作者在 “Craft a cloud performance metrics policy” 一文中讨论了确保云性能（监控、测试和策略构建）的三个主动步骤。

在 developerWorks 云开发人员资源 中，发现和共享应用程序和服务开发人员有关构建云部署项目的知识和经验。

与本文相关的更多 developerWorks 资源，请参阅 developerWorks 中国网站 SOA and Web services 技术专区 。

了解如何 访问 IBM SmartCloud Enterprise。

加入云计算讨论组，了解和讨论云计算的最新技术、解决方案、趋势等内容。