如果您是Android用户 - 或者想要 - 您可能听说过Google移动操作系统的所有安全风险。但是这些威胁有多真实，他们能做多少伤害？尽管恐惧，Android设备是否实际上是一个安全的投注企业移动策略？
这些是对广泛的Android推出甚至简单地接受Android设备的任何组织的关键问题。答案可能不是您所期望的。
［移动安全:iOS vs. Android vs. Samsung SAFE vs. BlackBerry vs. Windows Phone．|关于三星Knox安卓安全的真相。|Bob Viorino和Robert Scheier展示了今天的业务如何成功地利用Mobile Tech，在InfoWorld的移动启用数码聚光灯中PDF特别报道．］
你可能会听到关于Android安全的可怕故事，“证明”需要多种解决方案来解决。或者你可能会被建议购买一个工具将消除你所有的Android恐惧。
事实是介于两者之间，在对Android作为一个移动平台做出认真的承诺之前，确定Android的相关安全问题在哪里，以及如何评估它们的实际风险和补救措施是很重要的。
Android的两个基本风险
移动安全专家表示，Android生态系统存在两大安全风险:
谷歌游戏商店
设备和操作系统版本的碎片化
谷歌Play Store的风险。研究公司Aberdeen的企业移动与协作研究总监安德鲁•博格(Andrew Borg)表示，Android是一个真正开放的操作系统，这就给它带来了风险。博格说:“不像微软的Windows Phone或苹果的iOS，它没有围墙花园，如果管理不统一，就会导致潜在的安全漏洞。”
Google Play（以前称为Android Market），用于Android设备的应用程序的数字配电平台，本身都是潜在的安全风险的源泉。博格说：“通过Google Play，包含恶意软件或社交工程的应用程序，其中包含恶意软件或社交工程，而不是任何其他应用程序存储的应用程序。”“这不是一个良好的环境，这些因素仍然在企业中更加采用的Android采用摩擦或抵抗力。”
当用户从Google Play下载应用程序时，他们往往不注意应用程序可以在其设备上的权限范围内，Citrix Systems（Citrix Systems）的移动平台组高级总监Chandra Sekar表示，基于云的移动性的提供者和合作产品。“他们通常只接受安装过程中的许可，”他说。“更频繁的是，应用程序要求更多的权限而不是真正需要的权限。”
影响Android设备的安全漏洞可能会导致实际的性能问题和数据丢失，而不仅仅是微小的不便。
博格讲述了他在一次会议上看到的一个让他“毛骨悚然”的演示。演示者是一名白帽黑客，他拿出一款开箱即用的Android设备，从一个应用程序商店下载了一款名为《愤怒的小鸟》(Very Angry Birds)的游戏，基本上是热门《愤怒的小鸟》(Angry Birds)游戏的克隆版本。“这款设备采用了最新的McAfee和赛门铁克(Symantec) Android安全系统，但游戏中包含了两种解决方案都没有发现的恶意软件，”博格说。
一切看起来都很好，当游戏打开时，设备上也没有任何改变。“然后，示威者拿出一台笔记本电脑，打开了一个控制流，他可以看到所有下载了游戏的智能手机，可以检查它们，看到他们下载的所有邮件。”
然后，他将Android设备放入睡眠状态并使用笔记本电脑远程从设备上拍摄照片。“通常，你听到了一个快门的声音，但这种[恶意软件]已经关闭了音频，”博格说。“它拍摄了图片和视频，一直都看起来像设备睡着了。”
对于博格，这一示例使其对Android的强烈厌恶是合理的，尽管它在用户之间具有巨大的普及。“这是一个Clarion呼叫，安全性无法理所当然。我不认为这些[Android Security]问题是夸大的。”
Android的分裂性风险。Android平台也面临着分裂性问题——即使是在当前的设备上，市场上也存在多个Android版本。制造商经常对Android做出自己的改变，所以他们可能是谷歌当前参考版本的幕后推手。此外，运营商和制造商可能不会在谷歌更新设备的Android版本，或者他们需要几个月甚至几年的时间来更新。
因此，同一组织内的许多人可能正在使用可能与安全漏洞绑定的过时版本。“人们专注于Android的恶意软件风险，但可以说的风险是碎片造成不同的用户体验，”业务流动管理产品提供商Motion战略副总裁Ojas Rege表示。“这种用户体验使您的员工难以教育如何采取安全措施，因为每个设备上的经验都不同。”
咨询公司Sepharim Group的首席分析师鲍勃·伊根(Bob Egan)说，研究显示，全球大多数Android设备用户使用的都是非当前版本的操作系统。“一些手机和操作系统在安全方面有非常明显的弱点，”他说。
如果用户有旧版本的Android，那可能意味着漏洞留下未被捕获，操作系统的新功能将无法到达它们。“也许你可以解决HTC的安全漏洞，例如，这可能不适用于旧的三星设备，”Borg说。碎片问题乘以攻击表面;因此，他说，没有单一的安全解决方案将适合所有Android的变化。
有些Android风险被夸大了，有些则被低估了
专家们注意，一些Android风险被夸大，而其他人则没有得到足够的重视。
虽然Citrix的Sekar表示，碎片不会在安全评估中获得足够的焦点，但他认为Android恶意软件恐惧覆盖。“传统的防病毒软件供应商经常估计Android恶意软件的威胁，”他说。他说，虽然这些威胁存在于孤立的场景中，但是，在用户访问不受信任的私人商店的应用程序中，对来自恶意软件的企业的威胁被夸大了。
移动设备管理(MDM)产品提供商AirWatch的Android产品经理斯科特•凯利(Scott Kelley)表示，另一个被夸大的Android风险是tapjacking，即应用顶部的隐形应用操纵关键手势，在用户不知情的情况下进行购买。
但凯利表示，一个经常被忽视的风险是，无论应用程序请求什么权限，用户都愿意点击“接受”按钮。他表示:“由于缺乏对应用程序需要哪些许可的理解，开发者通常会提出过分热情的许可请求，这就加剧了这种情况。”“应用程序应该请求尽可能少的权限才能正常运行，用户应该养成不自动授予功能似乎不需要的应用程序权限的习惯。”
如何构建安全的Android环境
如果你的组织正在准备一个重要的Android设备的推出，或者一个包含运行该操作系统的设备的BYOD程序，它需要制定一个策略来保护公司免受已知的安全风险和漏洞。以下是该战略的关键组成部分。
开发信任模型。其中一部分涉及识别数据丢失的真正风险，说MiblyIron的Rege。根据这些风险，您可以在设备上确定应提供的企业内容级别。
雷格说:“我们称之为开发信任模型，即在何种情况下，哪些用户可以被哪些数据或应用所信任。”“每个主要组织都经过数据分类，以建立其安全政策的这一基础。”但他也指出，“Android的分裂性会让这个过程变得更加复杂，所以这将需要更长的时间。”
指定一名IT领域的Android专家。Rege说，一个关键的最佳做法是在组织中指定一个人作为Android专家。“整个IT团队中，越来越多的人应该熟悉Android，但我们的客户发现，他们需要一个专门的人来跟上Android生态系统的快速步伐，”他说。否则，IT部门的Android知识库很快就会过时。
使用应用声誉服务。另一个良好的做法是使用第三方应用声誉服务，评估应用程序并将其分配风险分数。Rege说：“然后你可以在MDM工具中使用这些风险分数来设置策略”。例如，您可以设置一项策略，如果员工安装具有高风险分数的应用程序，他或她的电子邮件被阻止，并且该用户无法访问公司资源，直到删除应用程序。
Rege说道:“对于移动设备，你必须假设环境会随着应用的安装和操作系统版本的变化而不断变化。
你的安全层。与其他IT安全策略一样，分层安全对于Android环境也是有意义的。如果你看移动安全堆栈层(从下到上)作为网络/载体层、硬件层、操作系统层和应用程序层,利用增加的机会当你爬上梯子,说泰勒盾牌,Forrester Research资深分析师为移动和应用程序安全性。希尔兹说:“企业的控制力也越低。”
为了降低每一层的风险，Shields推荐了针对不同安全层的移动安全技术组合。他说:“基本的安全要求是让(一个MDM)系统管理环境中的每一台设备。”“这将有助于远程擦除功能，跟踪丢失的设备，以及通用管理和基本安全要求。”
部署MDM。已经推出Android的公司基本上都同意MDM的建议。达曼全球互动公司(Daymon Worldwide’s Interactions)全球IT高级副总裁阿比•贝尼瓦尔(Abhi Beniwal)表示:“任何企业都不应该在没有强大的MDM的情况下部署Android设备。”达曼互动公司是一家为零售商和制造商提供店内产品演示的公司。Beniwal说，有了MDM平台，企业IT部门就可以看到移动设备，并能够主动管理安全漏洞和威胁。
互动在北美超过1000家商店部署了基于Android的平板电脑和移动应用程序。Beniwal表示，其大多数员工是基于现场的，移动技术允许用户分享实时信息。
Beniwal表示，公司在部署任何Android设备之前，都使用了AirWatch的MDM平台，这些设备没有出现任何安全问题。他补充说:“与此同时，我们非常重视这一问题，一直在监控和主动管理我们设备的任何潜在安全威胁。”
同样严重依赖MDM的还有苏黎世的青年银行业专业人士中心(Center for Young Professionals in Banking, CYP)，这是一个培训中心，已经推出了1400台Android平板电脑，学生们可以使用该中心的学习管理系统。CYP使用MobileIron的平台进行企业移动管理。该平台确保设备上只安装经过批准的应用程序，并报告任何违规情况。
CYP对Android安全与管理的担忧包括数据丢失预防、恶意软件、操作系统版本控制以及丢失设备上的数据。CYP的副总经理Thomas Fahrni说，MobileIron平台解决了这些问题和其他问题，大多数严肃的MDM系统也是如此。
创建遵从性策略。阿伯丁强烈建议公司为自带设备制定一项合规政策，这样就不是所有的智能手机或平板电脑都可以在工作环境中使用。
“组织应该测试最流行平台和版本的脆弱性，并验证他们可以安全地管理，然后在授予这些设备访问公司网络之前，Aberdeen的Borg说。“这是一个与约束的BYOD策略。肆无忌惮的BYOD策略非常有问题”因为它邀请可能不安全的设备访问网络。
博格说，这种努力对很多组织来说应该不会造成太大的阻碍，因为三星最新版本的安卓智能手机很可能符合公司的安全要求。他说:“如果你一直呆在三星的世界里，就会发现与MDM工具一起工作的可行、强大的安全解决方案。”
停止支持旧的Android版本。Sepharim Group的Egan说，企业应该为旧操作系统的支持设定一个具体的停止日期，以确保用户拥有最新版本的Android。他还建议，除了电子邮件，企业不要将Android用于其他用途，“然后只在‘安全’的设备上使用。”
新的安全工作将使Android更安全
在Android Ecosystem中，正在努力改善Android安全性。