Phenix Energy Group公司正在整個中美洲構建原油管道，該公司首席運營官兼代理首席信息官Perrin希望整合“物聯(lián)網(wǎng)”到“所有可以想象的環(huán)境”。這意味著，不再是員工帶著鑰匙卡或PIN碼在整個建筑物中走動，樓宇訪問將通過面部識別軟件來控制。
Perrin認為，企業(yè)物聯(lián)網(wǎng)是提高運營效率和減少人為錯誤的關鍵。對于該公司而言，這些目標有些緊急，該公司需要在18個月內鋪設220英里陸地和海底管道，以及在6個月內構建其支持的油庫。除了時間期限的壓力外，還不允許有一點閃失。Perrin估計，每分鐘的停機將讓該公司損失1.8萬美元。全面的系統(tǒng)故障將需要9個小時才能恢復，而這將讓該公司收入損失900萬美元。
“我們希望在重復工作中剔出人類的因素，”Perrin表示，“這就是說讓重復的工作自動進行，讓我可以完成真正的工作。”
但即使作為物聯(lián)網(wǎng)最大的冠軍之一，Perrin敏銳地意識到增加數(shù)百非傳統(tǒng)設備到其網(wǎng)絡的風險——設備運行不同的操作系統(tǒng)，使用任意數(shù)量的專有協(xié)議，并且通常沒有資源支持高級安全配置。這些擔憂塑造了他的網(wǎng)絡設計和采購策略。
“我們正在采取沙箱的做法，可能達到幾乎不合邏輯的程度，”Perrin稱，“但首席執(zhí)行官有天對我說，‘如果人們進來這里，并開始亂弄我們的系統(tǒng)，我們做的第一件事情就是把你的頭釘在墻上，然后用別人去替代你。’我不喜歡這種想法，他是個好人，但我可不想被他釘在墻上。”
在消費者市場的“嚇人的事故”包括攻擊嬰兒監(jiān)視器、攻擊聯(lián)網(wǎng)汽車以及對智能家庭的意外拒絕服務攻擊，隨著IT部門將這些物聯(lián)網(wǎng)項目轉移到其實驗室和生產(chǎn)環(huán)境，有關企業(yè)物聯(lián)網(wǎng)安全風險的討論越來越多。
根據(jù)Verizon2015年數(shù)據(jù)泄露事故調查報告指出，現(xiàn)在已經(jīng)發(fā)生了針對企業(yè)的“不廣為人知的物聯(lián)網(wǎng)設備數(shù)據(jù)泄露事故”，該報告稱到目前為止報告的漏洞都已經(jīng)被研究人員發(fā)現(xiàn)。然而，物聯(lián)網(wǎng)迅速移動的性質以及更廣泛的威脅形式意味著，這可能在任何時刻發(fā)生改變。網(wǎng)絡專業(yè)人員稱他們很擔心，在參與TechTarget2015年采購意向調查的受訪者中，60%認為安全是IoT面臨的最大挑戰(zhàn)之一。
Phenix Energy公司首席治理官John Becker表示，IoT威脅的嚴重程度已經(jīng)大大言過其實，但這并沒有阻止Phenix等公司加強其安全努力。
“我們看到很多關于IoT的新聞真的是危言聳聽，”Becker說道，“我認為底線是我們需要關注系統(tǒng)是如何設計的。”
危險在哪里?
人們很容易這樣看待IoT：燈泡或HVAC系統(tǒng)不能運行防病毒軟件，所以IoT一定有風險。但信息安全培訓和認證公司SANS研究所主管John Pescatore表示，這是一個過于簡單的觀點。
“你知道還有什么不能運行防病毒軟件嗎?iPhone，而且iPhone沒有感染病毒，”Pescatore稱，“因此，每當你聽到有人說，‘噢，你不能在那上面運行防病毒軟件，’你應該說，‘是的!’因為這通常意味著病毒也不會在上面運行，因為防病毒軟件本質上是一個工具包。”
在某些情況下，IoT設備在設計前期就有考慮安全因素，這是比電腦和服務器原有操作系統(tǒng)設計時更深思熟慮的做法。
雖然企業(yè)IoT設備可能最終成為吸引攻擊者的目標，但這并不是因為他們想要打開和關閉燈光。
“我會擔心HVAC或傳感器本身作為攻擊切入點——讓攻擊者可以進來并攻擊我的系統(tǒng)，”啤酒分銷商Del Papa Distributing公司IT副總裁Steve Holtsclaw表示，“任何有IP地址的東西都可能以某種方式被攻擊。”該公司已經(jīng)在其倉庫和卡車內部署了IoT設備。
IDC公司研究主管Pete Lindstrom表示，這些威脅無法通過傳統(tǒng)安全方法來緩解。
“我們陷入框架控制，但我們在打之前的戰(zhàn)役，這是一個不同的環(huán)境，”Lindstrom表示，“我們需要對后端進行更好的分析。”
這意味著所有目光都聚集在網(wǎng)絡，希望網(wǎng)絡來發(fā)揮引領作用。
“我們常說，‘你們必須使用這個操作系統(tǒng)，而由于你使用那個操作系統(tǒng)，我認為你需要使用這個安全軟件。’在物聯(lián)網(wǎng)時代，這種日子已經(jīng)結束，”Pescatore表示，“當你不能把任何東西放在終端時，你可以從網(wǎng)絡做更多的安全操作。”
可見性和管理挑戰(zhàn)
你需要知道你網(wǎng)絡上有什么才能保護它們。這聽起來很簡單，但對于很多IT部門來說，找到和關閉流氓設備是無休止的工作，而物聯(lián)網(wǎng)更是增加了工作難度，因為很多漏洞管理系統(tǒng)可以識別“Bob的iPad”或“Carol的戴爾筆記本電腦”，但無法識別聯(lián)網(wǎng)的空調或門鎖。
Pescatore稱：“在物聯(lián)網(wǎng)中，大家需要解決的第一個問題是能夠發(fā)現(xiàn)這些設備。”
他最近采訪了新英格蘭大學的首席信息安全官，該CISO發(fā)現(xiàn)在該大學剛搬進的建筑物中有300個流氓設備。他的漏洞掃面軟件無法識別這些終端，他的團隊手動追蹤這些終端，并發(fā)現(xiàn)它們大多數(shù)是以前的房客留下的聯(lián)網(wǎng)設備，例如溫度傳感器和攝像頭。
“不幸的是，大多數(shù)現(xiàn)在做的工作都是‘不要問，不會說’，有點像Wi-Fi的早期時候。這就像，‘天哪，如果我開始尋找，我會發(fā)現(xiàn)某個東西，然后我必須做一些工作，’”Pescatore表示，“那些在BYOD安全做得最好的企業(yè)實際上也能夠確保物聯(lián)網(wǎng)的最佳安全性，因為他們采用某種形式的網(wǎng)絡接入控制，當設備連接到其網(wǎng)絡時，他們可以檢測得到。”
除了缺乏可視性外，還有另一個問題：物聯(lián)網(wǎng)設備制造商本身之間的差異化。
美國休斯頓衛(wèi)理公會醫(yī)院無線網(wǎng)絡架構師George Stefanick對在醫(yī)療環(huán)境使用物聯(lián)網(wǎng)的可能性很感興趣。他的團隊正在對一款移動應用進行概念證明，該應用可使用藍牙信標和Wi-Fi來識別病人到達醫(yī)院、檢查他到達約定地點，并給他提供到其醫(yī)生辦公室的導航。
盡管建立網(wǎng)絡來支持這些舉措具有挑戰(zhàn)性，但這是Stefanick熟悉的領域。更大的障礙是評估和管理各種物聯(lián)網(wǎng)平臺。
“我們不應該使用來自10個不同供應商的10種不同設備，但現(xiàn)在正是這樣，”他說道，“我們真的希望在單窗格管理這些設備。”
與PC和智能手機操作系統(tǒng)市場不同，IoT平臺預計不會整合。其結果是：企業(yè)越來越難以采用統(tǒng)一的安全方法。
“每個供應商都有專用通信方法，并且，為了與其他公司的組件競爭，他們必須開放其部分功能來與其他設備通信，”Phenix Energy公司的Perrin表示，“這會帶來很多漏洞，因為每次你打開某個事物的端口，你就等于打開一個門讓攻擊者可以進來。”
Del Papa公司的Holtsclaw運行的企業(yè)IoT環(huán)境主要基于思科的設備，但他也同樣在關注這個問題。
“你使用所有這些設備，它們運行在各種平臺——Linux、Unix、Windows、Android、iOS，并且，它們都在使用不同類型的通信協(xié)議，”他表示，“你如何控制這一切?你如何管理?如何確保安全性?”
通過網(wǎng)絡解決IoT安全
IoT帶來了新的挑戰(zhàn)，但網(wǎng)絡安全領域很多經(jīng)典的最佳做法仍然適用，包括分隔、基于區(qū)域的政策和關閉雜散端口，其他措施則取決于企業(yè)的風險承受能力以及IT部門的文化?，F(xiàn)在管理IoT環(huán)境的企業(yè)需要從各種角度來解決威脅，包括從專注于身份驗證標準到完全鎖定第三方網(wǎng)絡設備的使用戰(zhàn)略等。
在休斯頓衛(wèi)理公會醫(yī)院，Stefanick發(fā)現(xiàn)IoT供應商對802.1x的支持不一致，這是使用可擴展身份驗證協(xié)議(EAP)的企業(yè)級無線身份驗證標準。作為一位無線工程師，他發(fā)現(xiàn)使用802.1x的IoT設備。
“當你看到這些涌入的物聯(lián)網(wǎng)設備，我們發(fā)現(xiàn)他們都在使用預共享密鑰，”Stefanick稱，“我們實際上不得不創(chuàng)建測試網(wǎng)絡進行概念證明，這種方式并不是很安全。我們的反饋是，‘我們不可能購買這個東西，除非你能提高安全性，并且，我們需要EAP身份驗證來做到這一點。’”
IoT設備制造商需要告知企業(yè)其產(chǎn)品與網(wǎng)絡的交互方式。
在看到供應商兜售所謂的具有消費級安全功能的企業(yè)設備后，Perrin采取了同樣謹慎的態(tài)度，并且，與Stefanick一樣，Perrin也避免使用云計算方式來維持更嚴格的控制。
而Phenix公司則采取了更積極的做法，其位于Honduras的辦公室和數(shù)據(jù)中心通過10 Gbps私有光纖連接到Palm港的冗余站點。在Honduras辦公室只有兩個端口開放：一個用于電話，另一個用于基于互聯(lián)網(wǎng)的業(yè)務活動。Perrin還阻止了網(wǎng)絡釣魚活動率高的國家(例如巴西)的所有流量。
“我們正在進行有效地切斷，我們已經(jīng)看到企業(yè)過來說，‘我們與你們合作的唯一方式是你為我們打開一個端口，’我們告訴他們，‘感謝您的光纜，請不要再來打擾我們，’”他表示，“我們不會為他們打開端口，因為我們不能冒這個險。”
Perrin也不會在工業(yè)設備和物聯(lián)網(wǎng)設備所在的管道使用銅纜。
“我們使用光纖是因為你不能通過切斷它來制造破壞，”他表示，“當然，切斷會立即告訴我們的系統(tǒng)和物聯(lián)網(wǎng)設備發(fā)生了異常情況，并且會立即關閉流經(jīng)該管道以及冗余光纖鏈接的數(shù)據(jù)流。”
在Del Papa，聯(lián)網(wǎng)的傳感器監(jiān)控照明、庫存和問題——降低電力成本，并確保啤酒的庫存和冷卻正常。在倉庫貨架的傳感器會檢測某處是否庫存偏低，這會觸發(fā)電子郵件警報來增加庫存。該公司卡車中的其他傳感器則可配置為報告員工是否在超速駕駛。
面對這么多關鍵操作，Holtsclaw表示，安全仍然是一個巨大的問題。他目前正在測試來自戴爾和英特爾的IoT網(wǎng)關，其功能是作為其IoT設備和互聯(lián)網(wǎng)之間的單個接入點。
“這可以防止外部流量進入網(wǎng)絡內的這些設備，并與網(wǎng)關通信，”Holtsclaw表示，“我認為這是IoT安全方面的關鍵因素。”
京公網(wǎng)安備 11010502049343號