如果你是一个Android用户——或者你想成为——你可能听说过谷歌的移动操作系统的所有安全风险。但这些威胁有多真实?它们能造成多大的损害?尽管存在这些担忧，但对于企业移动战略而言，Android设备真的是一个安全的赌注吗?
这些是有关Android的广泛部署或在BYOD情况下甚至是简单的接受Android设备的任何组织思考的关键问题。答案可能不是你所期望的。
(移动安全:iOS vs. Android vs.三星SAFE vs.黑莓vs. Windows Phone。|关于三星安卓安全系统Knox的真相。|鲍勃VIOLINO和罗伯特Scheier展示当今企业如何成功地采取移动技术的优势，在InfoWorld的移动支持数码射灯PDF特别报道。]
根据谈话对象的不同，您可能会听到关于Android安全性的可怕故事，这些故事“证明”需要解决多种解决方案。或者你可能会被建议购买一个单一的工具将消除你所有的Android恐惧。
事实是介于两者之间，在认真致力于Android作为移动平台之前，确定Android的相关安全问题在哪里，以及如何评估其实际风险和补救措施是很重要的。
Android的两个基本风险
移动安全专家表示，Android生态系统存在两大安全风险:
谷歌播放商店
设备和操作系统版本的碎片
谷歌游戏商店的风险。Android是一个真正开放的操作系统，这使得它有风险，Andrew Borg说，他是研究公司Aberdeen的企业移动和协作的研究主任。博格说:“与微软的Windows Phone或苹果的iOS不同，它没有围墙，如果管理不协调，就会导致潜在的安全漏洞。”
谷歌播放（以前称为Android市场），适用于Android设备的应用程序的数字发行平台，本身就是潜在的安全风险源。“随着谷歌玩，有一个包含恶意软件，或社会工程由一个数量级连接到恶意软件，比任何其他应用程序商店应用程序的比例较高，”博格说。“这不是一个良好的环境警力，而这些因素不断产生摩擦或阻力朝企业更多的采用Android系统。”
钱德拉谢卡尔思杰系统，基于云计算的移动提供商的移动平台集团的高级主管说，当用户从谷歌Play下载应用程序，他们往往不注重到一个应用程序可以有自己的设备上的权限范围和协作产品。“他们通常在安装过程中只需接受许可，”他说。“而更多的，往往不是应用程序要求更多的权限比他们真正需要的。”
影响Android设备的安全漏洞可能会导致实际的性能问题和数据丢失——不仅仅是一些小小的不便。
博格讲述了他在一次会议上看到的一个让他“胆战心惊”的演示。The demonstrator, a white hat hacker, took an out-of-the-box Android device and downloaded a game called Very Angry Birds, basically a clone of the popular Angry Birds game, from an app store. "The device had the latest McAfee and Symantec security for Android, but the game contained malware that neither solution flagged," Borg says.
一切看起来都很好，一旦游戏打开，设备上就没什么变化了。“然后演示者拿出一台笔记本电脑，打开一个控制流，他可以看到下载游戏的所有智能手机，可以查看它们，并查看它们下载的所有电子邮件。”
然后，他把Android设备的睡眠并合影留念从设备远程使用的笔记本电脑。“通常情况下，您会听到快门声，但这[恶意软件]已经关掉了声音，”博格说。“花的图片和视频，以及所有沿它看起来像设备是睡着了。”
对于博格来说，尽管Android在用户中广受欢迎，但这样的例子证明了它对Android的强烈厌恶。这是一个响亮的呼吁，安全不能想当然。我不认为这些(Android安全)问题被夸大了。”
Android碎片化的风险。Android平台也面临着碎片化的问题——市场上有多个版本的Android，甚至在目前的设备上也是如此。制造商通常会对Android做出自己的修改，所以他们可能会落后于谷歌的当前参考版本。此外，当谷歌更新时，运营商和制造商可能不会更新他们的设备的Android版本，或者他们需要几个月甚至几年的时间来更新。
其结果是，在同一个组织中的许多人可能使用可能有安全漏洞百出过时的版本。“人们专注于Android的恶意软件的风险，但可以说更大的风险是，条块分割导致不同的用户体验，” Ojas雷杰，在MobileIron的战略副总裁，企业移动管理产品供应商说。“该品种的用户体验，使得它很难教你如何采取安全措施的员工，因为每个设备上的体验是不同的。”
咨询公司Sepharim Group的首席分析师伊根(Bob Egan)说，研究显示，全球大多数Android设备用户的设备上都有非当前版本的操作系统。他说:“一些手机和操作系统在安全方面有非常公开的弱点。”
如果用户有老版本的Android，这可能意味着漏洞留下的操作系统打补丁和新功能将无法达到这些目标。“也许你可以解决安全漏洞的HTC之一，例如，但可能并不适用于旧的三星设备，”博格说。该碎片问题乘以攻击面;因此，没有单一的安全解决方案，将适合所有Android的变化，他说。
有些Android风险被夸大了，有些则被低估了
专家指出，一些Android的风险过高，而另一些没有得到足够的重视。
虽然Citrix的谢卡尔说，碎片不会在安全评估得到足够的重视，他认为Android的恶意软件的担心言过其实。“传统杀毒软件厂商经常炒作的Android恶意软件的威胁，”他说。虽然在用户从不受信任，私人商店访问应用程序隔离的情况存在这些威胁，恶意软件对企业的威胁被夸大了，他说。
安卓系统的另一个风险被夸大了，那就是“窃取钱包”。AirWatch是一家提供移动设备管理(MDM)产品的公司，该公司的安卓产品经理斯科特•凯利(Scott Kelley)说，安装在应用程序上的一个看不见的应用程序会在用户不知情的情况下操纵用户的关键手势进行购买。
但凯利说，一个经常被忽视的风险是，用户愿意为应用程序请求的任何权限点击Accept按钮。他表示:“由于缺乏对应用程序需要哪些权限的理解，开发者往往会过分热情地提出许可请求，这使得情况更加复杂。”“应用程序应该请求尽可能少的权限来正常运行，用户应该养成不自动授予那些功能似乎不需要它们的应用程序权限的习惯。”
如何建立一个安全的Android环境
如果你的组织正准备大规模推出Android设备或BYOD程序(包括运行该操作系统的设备)，那么它需要制定一项策略来保护公司免受已知的安全风险和漏洞。以下是该战略的关键组成部分。
开发一个信任模型。这部分包括确定哪些数据丢失的真正风险是iTunes上的雷杰说。基于这些风险，您确定哪些应该可在设备上的企业内容水平。
Rege说:“我们称之为建立一种信任模型，即在何种情况下，哪些用户、哪些数据或应用程序值得信任。”“每个主要组织都经历过数据分类，以建立其安全政策的基础。”But he notes, "This will take longer for Android because the Android fragmentation makes the process more complicated."
指定一名IT专家。一个关键的最佳实践是在组织中指定一个人作为Android专家，Rege说。他说:“整个IT团队中越来越多的人应该熟悉Android，但是我们的客户发现他们需要一个人来跟上Android生态系统的快速发展。”否则，它的Android知识库很快就会过时。
使用一个应用程序信誉服务。另一个好的做法是使用第三方应用程序信誉服务，评估应用程序并为它们分配一个风险评分。“那你可以使用这些风险评分设置策略”在MDM工具，雷杰说。例如，您可以设置，如果员工安装应用具有高风险评分，他或她的电子邮件被封锁政策，直到应用程序被删除该用户不能访问企业资源。
“对于移动设备，你必须假设随着应用程序的安装和操作系统版本的变化，环境也在不断变化，”Rege说。
你的安全层。与其他IT安全策略一样，分层安全对于Android环境是有意义的。如果你看移动安全堆栈层(从下到上)作为网络/载体层、硬件层、操作系统层和应用程序层,利用增加的机会当你爬上梯子,说泰勒盾牌,Forrester Research资深分析师为移动和应用程序安全性。希尔兹表示:“企业的控制权也越少，我们的排名越低。”
为了降低每一层的风险，Shields建议将移动安全技术结合起来，每一种技术都专门针对不同的安全层。他说:“基本的安全需求是让一个MDM系统管理环境中的每个设备。”“这将有助于远程清除功能，追踪丢失的设备，以及一般管理和基本的安全需求。”
部署MDM。已经推出了Android的公司广泛使用MDM的建议达成一致。“Android设备不应该在没有强大的MDM任何企业进行部署，” ABHI Beniwal，在Daymon的全球的互动子公司全球IT高级副总裁，店内产品演示零售商和制造商的供应商说。有了一个MDM平台，企业IT部门需要到移动设备中，可以主动地管理安全漏洞和威胁的知名度，Beniwal说。
互动已经部署了基于Android的平板电脑和移动应用在1000个多家专卖店在北美。它的大部分劳动力是基于现场的，和移动技术允许用户共享实时信息，Beniwal说。
Beniwal说，在公司部署任何Android设备之前，公司实现了一个来自AirWatch的MDM平台，它没有遇到任何与设备安全相关的问题。他补充称:“与此同时，我们非常认真地对待此事，并一直在监控和主动管理我们设备的任何潜在安全威胁。”
苏黎世的一家培训中心CYP也非常依赖MDM，它已经推出了1400台Android平板电脑，学生可以用这些平板电脑访问CYP的学习管理系统。CYP使用MobileIron的企业移动管理平台。该平台确保设备上只安装获批的应用程序，并报告任何违规行为。
CYP对Android安全管理的担忧包括数据丢失预防、恶意软件、操作系统版本控制和丢失设备上的数据。MobileIron平台解决了所有这些问题和其他问题，CYP副总经理Thomas Fahrni说，大多数重要的MDM系统也是如此。
创建遵从性策略。阿伯丁强烈建议公司为自带设备制定合规政策，这样就不是所有的智能手机或平板电脑都可以在工作环境中使用。
“企业应该测试最流行的平台和版本的漏洞并验证他们是否可以安全地管理”授予这些设备访问企业网络之前，阿伯丁的博格说。“这是有约束的BYOD政策。肆无忌惮的BYOD政策是非常有问题的”，因为它邀请的可能是不安全的设备接入网络。
博格说，这一努力不应该成为很多组织的障碍，因为三星Android智能手机的许多最新版本可能都符合公司的安全要求。他说:“如果你还在三星的世界里，就会有可用的、可靠的安全解决方案，可以使用MDM工具。”
停止支持旧的Android版本。企业应该为旧的操作系统支持设置一个特定的停止日期，以确保用户拥有最新版本的Android, Sepharim集团的Egan说。他还建议公司不要在电子邮件之外使用Android系统，“而且只在‘安全’设备上使用”。
新的安全的努力将让Android更安全
在Android生态系统，正在努力改善Android安全。