本文来自微信公众号“安全牛”。
随着现代企业数字化转型的深入发展，云计算、大数据、物联网、移动互联等创新技术的应用加速落地，组织原有的网络边界被打破，各种类型的终端设备成为了新的安全边界。在此背景下，确保组织高效办公的灵活性、安全性和隐私性是指引新一代终端安全建设与发展的三大基石，要让终端计算设备具有与时俱进的安全能力，而不是一味通过管理措施去限制员工对终端设备的使用。
终端安全防护的挑战
终端是指连接到企业网络系统中的各种计算设备，主要包括了笔记本电脑、台式机、平板电脑、智能手机以及新型物联网终端设备等。如果威胁分子成功利用这些终端设备上的安全漏洞，就可以轻松进入企业网络并非法访问数据资源，造成难以挽回的危害。因此，增强终端安全对于确保整体组织的数字化应用安全至关重要。
但是，要实现全面的终端安全防护并不容易，企业安全团队在开展终端安全能力建设时将面临以下7大挑战：
01
缺乏可见性
在企业组织中，可能使用多种终端设备，包括移动设备、笔记本、无线设备和桌面设备等。这些终端设备运行在不同的操作系统上，因此要跟踪记录所有联网终端的操作与使用情况非常困难，这也使得安全团队对终端设备使用的可见性非常有限。缺乏可见性严重影响了企业及时发现易受攻击的终端和发生在这些设备上的可疑活动。而大量的恶意软件正是利用这一特点，长期潜伏在已被攻陷的终端设备中，伺机窃取或加密组织的敏感数据。
终端数量激增的趋势将在很长时间内延续下去，准确跟踪所有终端对于开展新一代终端安全能力建设非常重要，企业应该优先考虑升级部署功能更强大的统一终端监控管理工具。
02
远程办公
远程办公已经成为现代企业工作模式的新常态，这让保护远程终端安全变得颇具挑战性。由于远程办公时，员工是在企业物理网络之外工作，往往难以严格遵循企业网络安全管理的最佳实践要求。此外，企业对远程办公终端的安全控制能力也很有限。比如说，员工一旦在咖啡馆等公共场所遗失手机、笔记本等终端设备，就会危及企业整体的数据安全。
为了克服远程工作带来的网络安全风险，企业应该部署并要求员工使用多因素身份验证（MFA）、虚拟专用网（VPN）、网络分段、终端监控等端点安全防护措施，并对远程办公人员进行基于行为的安全意识培训。
03
BYOD设备
目前，很多企业都会允许并鼓励员工在自带设备（BYOD）上办公，它有诸多好处，包括提高生产力、降低运营成本以及减轻IT运维团队的技术支持压力。但BYOD设备属于员工个人所有，企业如果无法对这些设备进行有效的管理和控制，将是企业未来终端安全建设中面临的一大挑战。
如何安全地实施BYOD政策以保护数字化业务的安全开展呢？企业应该为BYOD的使用制定明确的安全策略和指导方针，包括统一的安全要求和告知确认。同时，企业应确保BYOD设备安装远程隐私数据的擦除功能，以便可以快速销毁丢失或被盗设备中的重要数据。此外，企业应该定期监控和审核BYOD设备，以确保员工遵守安全法规和政策。
04
影子IT
影子IT是指员工在企业IT部门未知情或未批准的情况下违规使用第三方物联网设备、工具、软件和IT服务。比如说，由于员工认为Google Drive的访问速度更快，可能擅自使用Google Drive来保存敏感数据，而不是使用企业要求的文件共享系统。
影子IT无疑增加了企业终端安全建设的难度，因为其加剧了终端资产的可见性缺失。很多看似无害的影子IT使用行为却可能带来严重的安全风险，并导致数据泄露或恶意软件侵入。企业安全团队应该教育指导员工，帮助他们按要求使用正确的工具完成工作，并简化审查和批准过程，管控影子IT的潜在使用风险。
05
未打补丁的设备
过时的操作系统与软件应用是企业终端安全防护中面临的最严重威胁之一。研究数据显示，近七成的网络攻击是利用过期操作系统中的已知漏洞进入企业网络，从而引发安全事件。因此，及时更新终端系统的版本和补丁程序至关重要。但在当前的数字化发展环境下，由于终端设备数量激增，加大了企业管理终端应用系统更新和安全补丁的难度。企业应该开启自动更新机制，并使用统一端点管理来集中进行版本和补丁的更新，并积极与定期推送更新的第三方服务合作。
06
网络钓鱼
数据显示，以网络钓鱼为代表的社会工程攻击对企业终端安全构成了严峻的挑战。即便企业在所有终端系统上部署了完善的安全防护方案，也无法解决员工主动点击各种恶意链接。由于开展网络钓鱼活动的成本不断降低，网络钓鱼已经成为目前最常用的终端安全攻击途径之一。据思科公司研究报告显示，86%的企业都遇到过至少一次钓鱼攻击。只要有一名内部员工沦为网络钓鱼攻击的受害者，他们就可能无意中将恶意软件传播到整个网络。这么做可能会危及设备的安全性，导致严重的后果，包括数据被盗、经纱损失或公司声誉受损。由于网络钓鱼攻击变得日益复杂，因此，企业要采用正确的措施来保护所有终端免受网络钓鱼攻击。
07
USB端口
尽管很多终端安全方案中都会包括对USB端口的管理，但是这仍然是威胁企业终端安全的主要因素之一。研究人员发现，攻击者正在构建更加隐蔽的USB投放攻击，利用新一代的社会工程伎俩来大量感染端点。如果企业没有足够重视管理和保护各种终端上的USB端口，就很难防止这种攻击。企业应该将USB设备列入白名单，并定期进行安全审计，这可以帮助企业防止不安全的USB端口构成威胁。另外为了安全起见，应该禁用未使用的USB端口。
新一代终端安全应用趋势
研究机构Forrester在其发布的《终端安全管理的未来》研究报告中指出，终端安全防护市场将在未来五年保持快速增长态势。对所有终端设备进行有效的安全防护和管理是保护企业数字化转型安全开展的基础。而组织在开展新一代终端安全防护能力建设时，也需要重点关注以下技术发展趋势：
01
加大AI技术应用
将新一代AI技术用于终端安全建设已经越来越普遍，可以在无需人员干预的情况下自动修复端点问题。此外，AI为终端系统自我修复带来了更大的弹性。研究人员认为，新一代终端安全防护平台需要在应用程序、操作系统和固件这三个主要层面提供自我修复，才能起到实际效果。其中，嵌入在固件中的自我修复将最重要，因为它确保端点上运行的所有软件。固件层面的自我修复也很有必要，如果在端点上运行的端点安全代理崩溃或损坏，固件层面的自我修复有助于快速修复。
02
体系化的终端安全能力
统一终端安全防护平台可以提供终端检测和响应（EDR）、漏洞管理、反网络钓鱼以及生物特征验证。调查发现，企业组织需要为整合的终端安全管理和防护平台提供统一视图，实时了解所有终端的安全运行情况，体系化解决方案能力也将成为评价终端安全厂商竞争力的重要因素。
03
增强用户的应用体验感
新一代终端安全解决方案需要广泛收集用户体验监测数据，并作为产品优化的参考依据。增强用户体验可以先从缩短设备启动时间的这一场景开始，随后范围会扩大到应用程序、网络和身份验证机制等。增强用户体验的目的是提供更安全的终端安全应用，同时让用户几乎感觉不到对数字化业务的影响。
04
以隐私数据保护为中心
企业需要在支持员工自带设备的同时，加大对核心应用和隐私数据的保护，因此，新一代终端安全能力建设需要更关注以数据和应用程序为中心的保护，而不是对硬件设备的保护。目前，独立的数据安全技术已经被大量采用，即便在员工自己购买的终端设备上，也可以使用虚拟化隔离系统，来分离公司数据和个人数据，这样不仅为员工提供了更好的灵活性，也为企业带来了更好的安全性。
