物聯網最大的問題之一是確保網絡、數據和設備的安全。與IOT相關的安全事件已經發(fā)生，IT、安全和網絡管理人員擔心類似的事件會發(fā)生是有道理的。
安全標準和保證公司HITRUST負責標準和CISO的副總裁Jason Taule說:“除了最嚴格的環(huán)境之外，所有環(huán)境中都將有物聯網設備。”“接下來的問題不是是否允許，而是如何允許這些設備連接到您的網絡、系統(tǒng)和數據，并與之交互。”
組織可以做些什么來增強物聯網的安全性?有很多選擇，包括一些可能不那么明顯的實踐。
1. 物聯網安全：從小處著手
研究和咨詢公司ITIC的負責人Laura DiDio說，為了在物聯網中構建更好的安全性，組織應該從網絡基礎設施中最小的組件開始——代碼。
“大多數物聯網設備都非常小，”DiDio說。“因此，源代碼往往是用通用語言編寫的——C或c++和c#語言，這些語言經常成為內存泄漏和緩沖區(qū)溢出漏洞等常見問題的受害者。這些問題相當于網絡上的普通感冒。”
DiDio說，就像普通的感冒一樣，它們討厭而且頑固。她說:“在物聯網環(huán)境中，它們可能會擴散，成為一個大的、常常被忽視的安全問題。”“這里最好的防御就是測試，測試，再測試。DiDio說:“市場上有很多被廣泛認可的測試工具已經被用于物聯網設備。
“安全和IT管理員也可以使用堆棧cookie” DiDio說。這些是隨機的數據字符串，應用程序被編碼在指令指針寄存器之前寫入堆棧，如果發(fā)生緩沖區(qū)溢出，數據將溢出到指令指針寄存器。“一旦緩沖區(qū)溢出發(fā)生，堆棧cookie就會被覆蓋，”她說。應用程序將進一步編碼，以驗證堆棧cookie字符串將繼續(xù)匹配最初編寫代碼的方式。如果堆棧cookie不匹配，應用程序將終止。
2. 部署上下文感知的訪問控件
控制物聯網環(huán)境中的接入是企業(yè)在連接資產、產品和設備時面臨的較大安全挑戰(zhàn)之一。這包括控制連接對象本身的網絡訪問。
組織應首先確定物聯網環(huán)境中被聯系事物認為可接受的行為和活動，然后實施控制措施以解決這一問題但同時不妨礙流程，咨詢公司總裁、IP架構師和物聯網安全專家John Pironti說。
Pironti說:“不要使用單獨的VLAN(虛擬LAN)或網絡段，這會限制和削弱物聯網設備，而是在整個網絡中實現上下文感知的訪問控制，允許適當的操作和行為，不僅在連接級別，而且在命令和數據傳輸級別。”
Pironti說，這將確保設備能夠按計劃運行，同時限制它們進行惡意或未經授權活動的能力。他說:“這個過程還可以建立一個預期行為的基線，然后可以對其進行記錄和監(jiān)控，以識別超出預期行為的異常或活動，使其達到可接受的閾值。”
3. 讓供應商對他們的物聯網設備負責
組織當然會雇傭各種各樣的服務提供者，在某些情況下，這些服務是通過放置在客戶場地上的設備提供的。在物聯網時代，機器很有可能被連接起來，因此容易受到黑客和其他入侵。
如果出了什么問題，客戶要確保有責任。
安全咨詢公司SideChannelSec合伙人、保險公司漢諾威保險集團(Hanover Insurance Group)前安全高管Brian Haugli表示:“首先要從合同內部著手。”“你的供應商是否正在把物聯網作為他們服務或解決方案的一部分推進你的企業(yè)?”如果是這樣，你必須了解它，并確保它是合同/采購的一部分。”
Haugli說，要確保弄清楚誰負責更新和設備的生命周期，以及在發(fā)生事故時你是否有權使用這些設備。他說:“我看到HVAC(采暖、通風和空調)和打印機公司沒有放棄接入，導致響應工作陷入停滯。”“同樣是這些供應商，他們會推遲對操作系統(tǒng)的例行修補職責或升級。”
Haugli說，在某些情況下，合同可能沒有規(guī)定客戶什么時候會購買帶有支持操作系統(tǒng)的新設備，供應商可能不愿承擔成本。因此，一個不受支持且易受攻擊的設備可以被允許在網絡上駐留的時間比它應該駐留的時間長得多。
“如果我們沒有向供應商闡明我們的需求，沒有采取步驟來確認遵從性，也沒有追究他們的責任，那么我們有什么基礎來期待這些問題得到解決呢?”Taule說。”就像硬件OEM和軟件公司現在都希望能夠確定并快速解決其產品中的弱點一樣，公司也應該為我們提供IP攝像機、醫(yī)療設備、打印機、無線接入點、冰箱、環(huán)境控制和無數我們越來越依賴的其他物聯網設備。”
Taule說，公司應該將通用安全框架中列出的控制應用于物聯網設備。例如，在合同中包含安全功能需求;要求最近的漏洞掃描或聲稱有權掃描他們自己;要求供應商提供及時的更新，以解決已識別的缺陷;并在固件更新后重新掃描設備，以確保已識別的問題已得到解決，且沒有新問題出現。
4. 防止物聯網識別欺騙
多年來，黑客及其技術變得越來越熟練，這可能對物聯網安全構成巨大威脅。
DiDio說:“他們像造假者和偽造者一樣不斷提高自己的水平。”“物聯網設備的指數增長意味著攻擊面或攻擊向量的指數增長。”
這使得企業(yè)及其安全部門和IT部門必須驗證與之通信的物聯網設備的身份，并確保它們在關鍵通信、軟件更新和下載方面是合法的。
DiDio說，所有的物聯網設備必須有一個獨特的身份。她說，在沒有獨特身份的情況下，組織面臨著從微控制器級別到網絡邊緣的端點設備被欺騙或攻擊到應用程序和傳輸層的高風險。
5. 為物聯網設備建立“單向”連接
Pironti說，公司應該限制物聯網設備啟動網絡連接的能力，而應該只使用網絡防火墻和訪問控制列表來連接它們。
“通過建立單向信任原則，物聯網設備將永遠無法啟動到內部系統(tǒng)的連接，這將限制攻擊者利用它們作為跳轉點來探索和攻擊網絡段的能力，”Pironti說。
Pironti說，雖然這不會阻止對手攻擊與他們建立了直接聯系的系統(tǒng)，但會限制他們在網絡中橫向移動的能力。
企業(yè)還可以強制連接到物聯網設備，通過跳轉主機和/或網絡代理，Pironti說。“通過在漏斗點代理連接，組織可以在來自和到達物聯網設備之前檢查網絡流量，并更有效地詢問[流量]，”他說。這使它能夠確定它攜帶的流量和有效載荷是否適合IoT設備接收或發(fā)送。
6. 考慮使用隔離網絡
許多類型的控制設備，如恒溫器和照明控制，通過無線連接。然而，大多數企業(yè)無線網絡需要WPA2-Enterprise/802.1x，電子承包商Rosendin Electric的網絡安全和合規(guī)高級主管James McGibney表示。
“大多數這些設備不支持WPA2-Enterprise，”McGibney說。“開發(fā)一種更安全的設備將是理想的選擇。不過，如果環(huán)境支持的話，你可以把這些設備放在它們自己的無線網絡上，與生產網絡隔離，只允許互聯網接入。”
McGibney說，這需要創(chuàng)建一個獨立的服務集標識符(SSID)和虛擬局域網，并具有通過防火墻路由流量的能力。他說，隔離的無線網絡將從一個集中的位置配置和管理。
“我們已經為一些設備做到了這一點，比如需要互聯網接入的自動售貨機，但我們無法控制這些設備。”McGibney說。“我們把它們放在與生產分開的客戶網絡上。它運行在相同的硬件上，但在一個單獨的VLAN上。
7. 將安全性插入供應鏈
物聯網通常涉及供應鏈中的多個合作伙伴，包括技術供應商，供應商和客戶，安全性必須考慮到這一點。
Taule提到，如果你還沒有這樣做過，那就去找你的合同、財務或其他管理供應鏈的部門。與他們展開對話，建立關系，除非安全團隊同意，否則不會批準任何物聯網購買。
Taule說，如果安全部門愿意承擔分析工作的重擔，這些部門將積極遵守這一規(guī)定。
Taule說，究竟如何最好地加強供應鏈供應商選擇過程取決于個別組織，但他建議考慮允許獨立驗證的制造商; 提倡設備端的寫保護開關，以便在您不知情的情況下無法更新固件; 并且只采購真正的產品而不是假冒產品。
京公網安備 11010502049343號