物聯(lián)網(wǎng)安全的四點(diǎn)成熟經(jīng)驗(yàn)

■鐵生

物聯(lián)網(wǎng)安全的四點(diǎn)成熟經(jīng)驗(yàn)

■鐵生

現(xiàn)在的互聯(lián)網(wǎng)包含嵌入式計(jì)算機(jī)、不顯眼的傳感器、全球系統(tǒng)以及大數(shù)據(jù)分析環(huán)境，也就是很多人所謂的物聯(lián)網(wǎng)(IoT)。這些系統(tǒng)、傳感器和設(shè)備都在進(jìn)行互相通信，構(gòu)建了一個(gè)與我們的生活無(wú)縫連接的無(wú)處不在的網(wǎng)絡(luò)。

雖然通過(guò)這種大規(guī)?；ミB系統(tǒng)獲得的效率和可見(jiàn)性將帶來(lái)新的優(yōu)勢(shì)，但這也可能帶來(lái)新的挑戰(zhàn)。經(jīng)驗(yàn)告訴我們，當(dāng)一切事物互連時(shí)，這一切也都容易受到攻擊。

事實(shí)上，創(chuàng)建系統(tǒng)的系統(tǒng)的方法并不是新鮮事。軍方已經(jīng)使用移動(dòng)指揮所、無(wú)人駕駛車輛和可穿戴式計(jì)算機(jī)長(zhǎng)達(dá)幾十年，這些設(shè)備和系統(tǒng)都連接到一個(gè)網(wǎng)絡(luò)，來(lái)為戰(zhàn)士提供共同的操作畫(huà)面。

根據(jù)為軍方創(chuàng)建系統(tǒng)的企業(yè)所獲得的經(jīng)驗(yàn)，為我們提供了對(duì)信息安全風(fēng)險(xiǎn)的獨(dú)特視角。隨著網(wǎng)絡(luò)威脅日益復(fù)雜化，所有企業(yè)應(yīng)該注意以下四個(gè)方面：

1)確保信息的可靠性以及系統(tǒng)具有彈性。對(duì)于IoT生成的大量數(shù)據(jù)，一個(gè)關(guān)鍵的問(wèn)題是：“我怎么知道這個(gè)系統(tǒng)產(chǎn)生的數(shù)據(jù)是可靠的?”首席信息安全官(CISO)可以在信息保障戰(zhàn)略中找到答案。數(shù)據(jù)可以通過(guò)簡(jiǎn)單的工具進(jìn)行加密，例如安全/多用途因特網(wǎng)郵件擴(kuò)展協(xié)議(S/MIME)或者更復(fù)雜的系統(tǒng)，例如信息權(quán)限管理解決方案。

此外，還可以通過(guò)從軍事領(lǐng)域帶來(lái)的虛擬機(jī)技術(shù)、數(shù)據(jù)庫(kù)容器和跨域解決方案提供數(shù)據(jù)分離和風(fēng)險(xiǎn)分隔。系統(tǒng)必須進(jìn)行硬化處理，而不只是打補(bǔ)丁;不必要的服務(wù)和應(yīng)用程序必須被刪除，并適當(dāng)?shù)嘏渲檬Ｓ嗟能浖?。為IoT構(gòu)建的很多系統(tǒng)(無(wú)論是在設(shè)備端還是在云端)都是基于多用途操作系統(tǒng)，并且有著很多功能具有潛在風(fēng)險(xiǎn)。

2)緊跟技術(shù)發(fā)展。對(duì)于進(jìn)入IoT領(lǐng)域的每個(gè)新設(shè)備，都會(huì)引入新的漏洞和威脅。網(wǎng)絡(luò)攻擊者不僅能夠利用這個(gè)新設(shè)備中的漏洞，而且他還得到了新的路徑來(lái)攻擊其它設(shè)備。企業(yè)不僅需要了解新設(shè)備在其生態(tài)系統(tǒng)帶來(lái)的新機(jī)會(huì)，也要了解其帶來(lái)的新風(fēng)險(xiǎn)，并預(yù)先計(jì)劃好如何管理它們。

安全企業(yè)應(yīng)該有一個(gè)實(shí)驗(yàn)室，用來(lái)研究新設(shè)備，不只是如何使用設(shè)備，而是了解設(shè)備中的結(jié)構(gòu);產(chǎn)生和傳輸什么數(shù)據(jù);設(shè)備傳輸數(shù)據(jù)到哪里;以及它將從其他設(shè)備獲得什么連接等。最重要的是，如果攻擊者能夠訪問(wèn)這個(gè)設(shè)備的產(chǎn)生的數(shù)據(jù)以及傳感器，包括用戶攜帶的個(gè)人設(shè)備，企業(yè)必須做好準(zhǔn)備。

3)專注于內(nèi)部威脅。IoT是關(guān)于設(shè)備之間的連接，以及傳感器、云處理和存儲(chǔ)以及自動(dòng)執(zhí)行器產(chǎn)生的大量數(shù)據(jù)。對(duì)這個(gè)環(huán)境的威脅可能會(huì)被外圍防御減慢，但安全專家都知道，最危險(xiǎn)的威脅是內(nèi)部威脅。Target、維基解密和斯諾登都是這種內(nèi)部威脅的證據(jù)，特別是有關(guān)財(cái)務(wù)成本和信任損失。Target的例子完全是關(guān)于IoT，通過(guò)首先進(jìn)入加熱、通風(fēng)和空調(diào)控制器，攻擊者能夠滲透到POS設(shè)備。最終導(dǎo)致銀行和信用社損失超過(guò)2億美元。

在這個(gè)新環(huán)境中，企業(yè)必須部署專注于內(nèi)部的安全和持續(xù)監(jiān)控解決方案，用來(lái)檢測(cè)異常行為、未經(jīng)授權(quán)特權(quán)用戶活動(dòng)，以及確定信息什么時(shí)候被不恰當(dāng)?shù)脑L問(wèn)。企業(yè)必須部署行為分析，而不是簡(jiǎn)單的規(guī)則和政策。

4)擁抱數(shù)據(jù)分析來(lái)減少網(wǎng)絡(luò)威脅。隨著新設(shè)備和系統(tǒng)被添加到這個(gè)生態(tài)系統(tǒng)，IoT將會(huì)產(chǎn)生更多數(shù)據(jù)。分析方面的創(chuàng)新將會(huì)帶來(lái)有效的程序，還有檢測(cè)威脅的新方法。例如，成功的數(shù)據(jù)分析程序采用的算法能夠在大量數(shù)據(jù)中發(fā)現(xiàn)攻擊者感興趣的領(lǐng)域。在這個(gè)新的生態(tài)系統(tǒng)，分析將會(huì)是預(yù)測(cè)威脅的關(guān)鍵因素。

IoT已經(jīng)從軍隊(duì)轉(zhuǎn)移到我們的日常生活中，讓我們能夠創(chuàng)造和處理更多數(shù)據(jù)，從我們購(gòu)買的產(chǎn)品到關(guān)鍵電力和水，到我們?nèi)绾卧诟咚俟飞闲旭?。確保這個(gè)系統(tǒng)的安全性將幫助我們確保IoT帶來(lái)其承諾的便利性和效率。