2014企业移动应用有哪些安全风险

随着2014年移动互联网的快速普及，企业办公加速向移动端迁移，大量内部核心数据、核心业务流程都依托企业自建或第三方开发的移动应用承载。但彼时移动安全防护体系的完善速度远跟不上移动端业务的扩张节奏，各类针对企业移动应用的攻击手段持续增多，企业面临的移动安全风险不断走高，本教程结合2014年行业实际情况，拆解常见风险类型，介绍风险排查与应对的具体步骤，帮助企业梳理移动应用安全防护思路。

2014企业移动应用安全风险

步骤一：开展终端侧风险排查

2014年byod（自带设备办公）模式在企业快速兴起，多数企业移动应用运行在员工个人设备上。首先要排查设备是否存在越狱、root权限破解情况，这类操作会绕过系统原生安全防护，让恶意软件轻易窃取企业应用内的敏感数据；其次要检查终端安装的企业应用包是否来源正规，当时第三方应用市场大量企业安装包被黑客二次打包植入木马，是最常见的入侵途径。

步骤二：识别应用开发层面的固有风险漏洞

2014年多数企业移动应用开发忽略基础安全校验，普遍存在源代码泄露、明文存储敏感数据、通信传输不加密等问题。排查时首先反编译应用安装包，检查是否存在硬编码的密钥、api接口；其次校验用户密码、业务数据在本地存储时是否加密；最后抓包验证网络传输环节是否采用https加密，避免明文数据被中间人窃取。

步骤三：排查第三方服务依赖风险

2014年企业移动应用大量调用第三方统计、支付sdk，很多第三方sdk存在越权获取通讯录、位置信息、应用数据的权限漏洞，甚至会私自收集企业内部数据上传到第三方服务器。需要逐一核对应用集成的所有第三方sdk，梳理各sdk申请的权限，关闭不必要的敏感权限，对涉及核心业务的sdk做安全审计，避免第三方漏洞引发企业数据泄露。

步骤四：落实风险处置方案

针对梳理出的风险，第一时间对被植入木马的应用重新发版、下线旧安装包，通知员工更换；对存在漏洞的应用及时打补丁修复；同时要求设备开启锁屏密码，禁止越狱、root设备接入企业移动应用，从终端和应用两端筑牢安全防线。