【2011年12月8日 51CTO外电头条】IT专家们对iPhone的未来充满担忧，因为不久之后缺乏必要安全补丁的Anroid产品将使业务流程中充斥着恶意软件。
基于Android系统的设备在智能手机市场中已经占据了半壁江山（44%），研究公司ComScore指出，紧随其后的是拥有27%份额的苹果 iPhone以及掌控20%份额的Motion BlackBerry手机。但在商务领域中，iPhone才是当之无愧的领导者，占整体智能手机使用比例的 45%；ComScore的调查显示，其后为BlackBerry的32%和Android的21%。
我相信到2012年7月，Android在业务处理方面的应用比例将超过BlackBerry，甚至可能在2013年从iPhone手中夺过第一的宝座。而且无论届时实际应用比例怎样，Android企业级移动开发产品在访问企业网络及相关数据设备方面的增长速度是毋庸置疑的——这同时也构成了巨大的商业风险并给IT部门带来前所未有的挑战。
在过去的08年到10年这段时间内，IT人士普遍忧心iPhone的参与会提升企业的日常安全维护成本。但苹果公司适时在iOS 4系统中使用 Exchange ActiveSync（简称EAS）安全策略，并为各类第三方设备管理MDM（即移动设备管理）工具提供必要的API，这就使得iPhone对于绝大多数 企业而言成为一种安全设备；其在商务范畴中的应用也由此激增。
为什么Android会成为IT人士的噩梦
但Android的情况则完全不同。它同样由员工的个人喜好为契机向企业商务进发，但从安全及管理的角度来看，Android是一款相当危险的操作系统。它给商务流程带来了不容忽视的安全威胁，甚至比Windows系统给IT部门带来的麻烦更糟。具体原因如下所述：
Android简直是吸引恶意软件的磁铁。Android软件市场中充斥着各种伪装成合法应用程序的恶意软件，不仅窃取信息、还给机主带来高额的短信与通话费用。根据安全厂商McAfee的报告，为Android系统开发恶意软件非常简单，因此所有新型移动设备恶意软件都出现在Android上；也就是说，尽管iOS市场占有率遥遥领先，但犯罪分子并没有打它的主意，甚至连长期维持不变的BlackBerry OS都比Android难攻破。不过希望大家不要把恶意软件与病毒（病毒是一种会感染其它设备及个人电脑的应用程序）混为一谈——Android感染其它设备的机率其实很低，在这一点上我得说，卡巴斯基实验室、McAfee公司以及赛门铁克等以利己主义为优先进行宣传的公司实在是言过其实了。
Android系统的版本之多简直要人老命。Android系统的构成体系可以说是散漫而毫无规律可言的，每个阶段都有好几个操作系统版本供用户使用。当下正在发售的智能手机可以运行Android “Froyo” 2.2、“姜饼” 2.3或者是——本月刚刚放出的—— “冰淇淋三明治” 4.0。平板设备则可以运行Android 2.2、2.3或者“ 蜂窝 ”3.0、3.1以及3.2，连才出襁褓的Android 4.0也能够插进一脚来。比起一款平台，Android更像是众多一次性产品的集合体。相比之下，苹果公司同时只销售一个版本的iOS系统，而RIM公司基本上也对自己的BlackBerry OS采取同样的战略。
Android总是缺乏必要的补丁。更糟糕的是，这些错综复杂的版本带来了 纷乱难理的补丁机制——从一家运营商、制造商或者二者的结合体处我们可能会获得一套补丁（当然也可能干脆就没有），而到了别家补丁内容就不一样了。相比之下，苹果公 司会同时向所有运营商管理的所有设备发布操作系统更新及补丁程序，而且通常会包含在过去两年之内发布的每一款机型。RIM公司的产品组合策略则介于二者之 间，即为不同的硬件配备不同的操作系统，而补丁发布也随之变化，但总体来说还是要好过Android系统。
对于IT部门而言，最大的困扰在于根本没有一套完整的所谓“Android企业级移动开发平台”让他们管理。尽管Windows系统也同Android一样始终饱 受恶意软件的侵袭，但IT部门至少清楚所有由微软发布的操作系统补丁都适用于全部硬件供应商所提供的个人电脑产品——这样IT部门也就有了将这些补丁整合 并一次推出的能力。而在Android方面就不是这么回事儿了，IT部门此时不要说控制力、就连补丁内容的一致性都无法把握。
但这一切对用户来说都不构成影响，因为这压根不是用户该操心的事情；而随着自带设备办公逐渐成为大多数企业的正常规范，那么在欢迎iPhone与BlackBerry的同时抵触Android产品无疑算得上一种失策（全盘否定也不明智，毕竟纳入iPhone与BlackBerry设备对企业业务的确有很大提升）。#p#
IT部门要如何减少此类负面因素带来的影响
鉴于上述情况，在这里我建议大家做到以下几点：
坚持基本的EAS支持。 Android 3.x平板设备与4.0设备（同时包括智能手机与平板）支持EAS策略中的密码与设备加密部分，这与iOS系统所做的比较接近；拥有此类能力的机型包括由摩托罗拉出品的2011款Android 2.3智能手机与三星Galaxy II S以及Galaxy Note智能手机。大家不妨建议用户优先使用这些产品。此外，帮助大家了解哪些设备虽然支持Android 4.0系统，却由于本身的硬件限制而不支持加密功能，以此来确保他们选择能够满足我们自身安全要求的硬件设备（在企业中搞个专门的宣传栏或是搞一次机型推 荐活动也不错）。必须拒绝那些由不支持我们EAS策略的设备处发来的访问。类似最新的MobileIron 4.5这样的MDM服务工具能够以一套通用的EAS设置及补充政策为基础（它同样适用于iOS系统），帮我们检测出哪些设备不符合企业的安全要求，并根据实际需要适当调整不合格设备的访问权限等。
如果我们对智能手机的主要业务需求是处理电子邮件，那么不妨劝说那些坚持选择其它Android设备的用户使用NitroDesk出品的 TouchDown应用程序，它能够为企业邮件、联系人以及日程规划创建出一套沙箱容器，且与Adnroid 3.x与4.0一样符合EAS的密码与加密规范。某些MDM客户端，例如AirWatch、MobileIron、Sybase以及即将由 Enterproid推出的Divide应用程序等，都能够为企业服务提供类似的沙箱保护机制。
在可能的时候尽量使用反恶意软件。为iOS系统购买反恶意软件无疑是钱多了没处花的行为——但为Android投点资则十分必要。鉴于Android软件市场中泛滥的恶意软件之多与设备本身成为攻击者目标的几率之高，我相信大家除了按要求使用反恶意软件之外没有第二个选择。但这里我要提醒各位：目前的各大主要供应商几乎没 有推出过确切的反恶意软件，只有McAfee提供了一款客户端应用程序。赛门铁克目前还没有为Android系统打造反恶意软件，但据称正在紧锣密鼓的筹 备当中。
另一个问题是如何确保反恶意软件的实际使用。这件事的确有点棘手。举例来说，McAfee就表示其出品的反恶意软件只能通过同样来自他们自家的 MDM工具才能管理。赛门铁克则声称当大家为Android系统部署反恶意软件之后，应该利用第三方、面向应用程序的MDM服务来检测某台设备是否安装了 这套安全机制，进而以此为标准决定是否允许该设备进行访问；赛门铁克自家的MDM工具只能管理Android的EAS策略，其中并不包括应用程序检测功 能。这么说来，McAfee公司推出的面向应用程序的MDM工具客户端应该是不错的选择喽？然而该公司拒绝对该工具与其它产品之间的协作能力发表评论。大 家都了解这些企业说行未必行、不说准不行的风格，因此维护移动安全的重任看来也指望不上他们了。
某些面向应用程序的MDM工具，例如MobileIron，让我们能够在设置的基础上更进一步，为应用程序可能访问的位置信息、NPV、电话拨号器等等实行权限控制。这当然有助于防止软件造成的侵害，但同时也可能会限制合法应用程序进行的正当访问。
既然我们在面向应用程序的MDM工具上没什么好方案，那么最好的办法恐怕只有尽力劝说用户安装反恶意软件——并首先取消那些常常带来恶意软件的 Android用户的访问权限。我们应该始终——就算做不到，也要清楚这是“应该”做到的——具备修复异常以及处理违规个例的能力。
强化网络防御体系。.无论如何，这是非常重要的一步，因为网络边界的概念在今天这样数据交互如此发达的时代背景下简直是无稽之谈。我们应该在流量分 析工具、数据丢失防护（简称DLP）以及离散访问验证方面投资，以使自己能够监视使用任何设备连接到自身网络的用户，并进一步了解安全策略的执行情况。这 已经不仅是移动安全的问题，此类做法应该是长效且广泛使用的。好消息是，包括Aruba、思科以及Juniper在内的诸多网络巨头已经意识到这一点，并开始重新审视自己的产品。作为直接受益/受害者，我们自己当然也不能松懈。
出了问题，与用户共同承担。分担责任这一概念是IT消费化原则的重要组成部分。或者把它转化为这样的说法告知用户：自由源于责任。如果大家选择了Android设备，那就必须清楚这些设备比起iOS或是BlackBerry，会带来额外的维护费用，这笔开销是需要由各位来分摊的。因此，用户（或是他们的直属业务部门）应当为购买反恶意软件许可以及反恶意软件服务工具按比例 买单。不过MDM与网络工具方面的支出不应由他们承担，而是应该由全体使用者支付。
而用户们则应该了解到，他们的访问权限可能会受到限制，而限制的严苛程度与他们选用的设备安全性息息相关：用户及其设备越受信任，他们能够获得的访 问权限与操作能力就越多。IT部门应该尽可能合理放开控制力度，但绝对不能超出一定的风险水平，具体做法应该由IT部门与业务部门共同商定得出。最关键的 一点是，决策应该以风险为首要考量，而不是优先考虑终端用户的意见。最终结果是某些设备可能只获得了较少甚至完全没有访问权限，但决策并不是根据设备使用 者的立场制定的；指向任何特定设备的访问（并带来相应开支），都只应该被视为全局策略的一项结果——这就使得我们能够更加专注于商务风险并规避由对某些项 目支持能力的缺失而导致的“技术混战”。
