美国国土安全部(以下简称“DHS”)首席信息安全官办公室于2014年8月发布了DHS 4300A-Q2(敏感系统手册附件Q2)文件，该文件提供了在国土安全部（DHS）信息技术（IT）计划里安全使用移动设备的技术和规程，包含了DHS部门以及美国国家标准与技术研究院（NIST）、国家安全局（NSA）和国防部（DoD）等其他联邦单位已经在使用的许多安全技术和规程。
文件中覆盖的移动设备包括具有无线功能的笔记本电脑、智能蜂窝手机、双向寻呼机、移动无线电、个人通信服务（PCS）设备、多功能无线设备、具有无线功能的便携式音频/视频记录设备、扫描设备、短信设备以及其他任何能够存储、处理或传输敏感信息的无线客户端。文件指出：对移动设备实施严格的安全控制和管理主要包括在物理设备保护和无线连接安全保护两个方面：
物理设备保护
移动设备被视为DHS无线网络的重要组成部分，也是DHS网络基础设施的延伸。与移动设备相关的主要风险包括：用户和设备的认证、数据保护、集中管理、设备和应用程序的监控、病毒防护和物理安全。
认证
用户访问移动设备及设备上的数据时，需要进行身份识别与认证。
病毒防护
授权官员AO（Authorizing Officials）的责任是批准移动设备上防病毒软件的管理权限。软件支持和功能可能因平台而异。应该使用DHS企业IT系统和服务的信息安全机制来保护移动设备。例如，电子邮件在发送给移动设备之前，应在DHS电子邮件服务器上进行扫描。如果防病毒软件对于特定类型的移动设备无效，则必须禁用移动设备上易受攻击的功能，或者直接禁止使用移动设备。例如，禁用电子邮件附件，Java 2 Platform Micro Edition（J2ME）支持和Web浏览器，从而大大降低恶意代码被下载到移动设备的可能性。
禁用不良的移动设备功能
移动设备功能模块或应用程序若开启了不必要的权限，则可能被利用为移动设备或可信网络的攻击媒介，例如红外线、蓝牙、Wi-Fi、游戏以及其他内置工具和应用程序开启了不必要的无线功能权限。
移动设备和应用程序管理
IT安全管理员应当使用移动设备管理（MDM）系统将移动设备部署在DHS认可的设备、技术和应用程序中。MDM允许DHS集中管理移动设备，并通过支持以下关键功能来强制执行设备上的安全策略：恶意软件检测、无线（OTA）软件分发、配置更改检测、远程数据擦除、远程配置以及资产管理。
移动应用程序还应由DHS企业移动应用程序管理（MAM）进行集中管理，MAM负责评估和选择移动应用程序，并作为DHS用户的授权企业应用程序商店。它还为DHS提供监视已安装应用程序的功能，并根据需要远程升级或卸载应用程序。
数据保护
AO确保存储在移动设备上的所有信息都使用与存储信息敏感度相匹配的FIPS 140-2认证加密方案进行加密。实施诸如文件和数据加密之类的措施有助于确保设备上存储信息的机密性。
系统文件监控
信息系统安全官员（ISSO）应定期扫描所有移动设备上的系统文件和其他重要文件的未经授权的更改。
设备同步和备份
移动设备在进行无线同步时，必须使用经FIPS 140-2认证加密的产品或模块。
建议的维护活动
移动设备上的数据将在设备退役时进行清除或归零。需要注意的是：软复位或硬复位都不会永久删除移动设备上的数据，文件管理工具也无法永久性删除文件。
建议的外出保障
外出人员需要特别警惕、谨慎行事，以减少移动设备的丢失、被盗、被窃听等带来的风险。
无线连接安全保护
无线接口（移动设备和网络节点之间或两个移动设备之间的链路）是DHS网络基础设施的关键组成部分，易受到无线攻击。
认证
用户访问移动设备和设备上的数据需要与网络相互识别和双重认证。
身份访问管理在针对敏感无线系统的DHS IT安全规划手册和DHS IT安全体系结构指南应用程序基础设施设计第三卷中有进一步详细介绍。
端到端安全通信
端到端安全意味着整个消息从发送设备到接收设备都被加密。两台设备都必须使用适当的FIPS 140-2认证加密。安全套接字层（SSL）、互联网协议安全（IPsec）和安全外壳（SSH）是提供端到端加密的常用方法。 SSL和SSH也用于电子邮件和远程登录等应用程序。在端到端加密的过程中，证书的使用也是必不可少的。用户需要注意关于证书错误的相关安全警告。这些注意事项应该包含在移动安全意识培训中。
个人防火墙
个人防火墙是基于软件的解决方案，位于客户端机器中，既可以由客户端管理，也可以集中管理。防火墙通过阻止特定类型的带内和带外网络流量来保护移动设备不被非授权访问。在防火墙的管理方面，由于用户可轻松绕过客户端的安全设置，故不建议采用客户端管理。IT部门可集中配置和远程管理客户端设备，因此可托管部门内全部移动设备于IT部门，利用其解决方案对移动设备进行标准化的安全保护。尽管个人防火墙提供了一些保护措施，但并不能抵御所有的高级持续性攻击。
虚拟专网（VPN）
由于不受DHS控制，那些由第三方运维的网络可能会在DHS人员使用时带来安全风险。例如，蜂窝网络基础设施通常不归蜂窝网络运营商所有，其还可供其他运营商和分包商使用；因此，使用公共无线网络（如机场、会议中心和其他公共场所）的DHS人员应使用DHS VPN服务访问DHS资源。
入侵保护系统
入侵系统是基于主机或基于网络的技术，用于保护信息资产不被他人所用。
入侵防御系统（IPS）是一种主动防御技术，可根据应用内容自动进行访问控制决策。
入侵检测系统（IDS）是一种较为被动的检测技术，用于在发生攻击时或攻击之后检测攻击。系统安全计划应采用适当的网络保护机制，如IDS与IPS相结合。
网络接口保护
当提及网络接口或端点时，通常考虑两个基本组件：网络基站（例如，用于无线局域网（WLAN）接入的接入点）和客户端。
典型的移动设备无线接口如图2所示，例如蓝牙，WLAN和蜂窝技术。
图1典型的移动设备无线接口
蓝牙
蓝牙是一种无线个域网（WPAN）技术，通常用于耳机、键盘和其他外围设备等设备的近距离无线通信。由电气和电子工程师协会（IEEE）802.15.1标准化的蓝牙技术提供预共享密钥认证和加密功能，以使设备能够相互认证并加密数据业务，但其安全协议未经FIPS认证，该技术存在固有的弱点。当前有几种蓝牙版本可用，包括高速率3.0 + HS和低功耗（LE）4.0，并支持不同级别的安全模式。例如，对于蓝牙3.0，安全模式3是安全性最强的模式，因为它需要在蓝牙物理链路完全建立之前建立认证和加密。对于蓝牙LE 4.0，安全模式1的第3级被认为是安全性最强的模式，因为它需要认证配对和加密。 NIST SP 800-121“蓝牙安全指南”提供了详细的安全建议以及漏洞信息。
无线局域网（WLAN）
WLAN可以与配备有IEEE 802.11无线网络适配器的移动设备进行通信。虽然WLAN通常只覆盖有限的区域，但是想要截取数据的敌手可以通过使用特殊的定向设备大大扩展WLAN范围。
蜂窝技术
蜂窝无线广域网（WWAN）是由许多小型无线电小区组成的网络。每个小区覆盖有限的地理区域（半径3至5公里），并配备有一个固定的发射机，通过其空中接口将移动设备连接到蜂窝运营商的网络。商业蜂窝运营商提供的安全策略不符合DHS政策要求，因此，对于AO和系统所有者来说，确保移动设备系统管理员和用户受到适当的安全培训并且正确实施安全控制措施是至关重要的。
本文介绍了《DHS 4300A-Q2》(敏感系统手册附件Q2)的大致内容，以及美方对移动设备安全管控的政策要求，并详细说明可应用于移动设备的诸多措施。但是，由于无线技术的快速发展，并不是所有的移动设备都可以采用本文中所述的安全措施。随着科技的发展，一些新兴技术也可能会对保护移动设备的安全性提供新思路。比如生物识别和智能卡、环境适配的安全策略、近场通信安全政策等。
【本文为51CTO专栏作者“中国保密协会科学技术分会”原创稿件，转载请联系原作者】
