【资料图】

如何使用物联网来保护易受攻击的连接设备

物联网和工业物联网创新继续蓬勃发展，但物联网设备安全仍然是事后才想到的。企业应该加强连接设备的保护。

物联网和工业物联网设备通常设计为体积小且成本低，使用最少的软件和资源来执行单一任务，通常无需人工交互。安全通常是事后才想到的。许多物联网和工业物联网设备缺乏内置安全性，使每个人和所有事物都面临风险——从个人和企业到关键基础设施和政府机构。因此，许多组织在没有充分了解其弱点以及这些漏洞可能对整体网络安全造成的影响的情况下部署了物联网设备。与此同时，消费者在将物联网设备连接到其网络之前，要么缺乏知识，要么缺乏更改默认密码和设置的动力。甚至可能不知道自己的设备是否被黑客入侵；一次成功的攻击不太可能显着降低性能或服务。如果没有物联网强化，物联网攻击会产生严重的影响。例如，2016年Mirai僵尸网络DDoS攻击影响了超过600,000台物联网设备，其中包括路由器和IP摄像机，并摧毁了包括Amazon、Netflix和Airbnb在内的数十家主要互联网网站。更令人不安的是2015年的一项调查，该调查表明，即使一辆吉普车的司机在圣路易斯的一条高速公路上以每小时70英里的速度行驶，黑客也能轻而易举地控制。

物联网设备的主要安全弱点

组织需要加强物联网设备及其运行平台，以避免其设备被感染、劫持和用于网络攻击。如果没有适当的物联网强化，物联网设备容易出现以下弱点：

缺乏设备认证。未经身份验证，未经授权的设备可以访问网络并充当攻击入口点。缺乏可见性。没有身份验证或唯一标识符，就很难跟踪、监控和管理物联网设备。嵌入式密码。虽然默认密码或硬编码密码可以简化安装和远程访问，但也让黑客更容易进行访问。修补和升级。通常没有简单的方法来修补或升级在物联网设备上运行的软件，从而使具有已知漏洞的设备暴露给黑客。物理访问。物联网设备通常安装在易于访问的位置，使黑客有可能损坏其或移除存储卡等组件。其他的则位于物理上偏远或难以到达的位置，使其难以管理。

由于其中许多漏洞源于设计和制造缺陷，因此组织和个人只考虑那些可以提供安全操作的产品非常重要。同样重要的是要避免带有多余功能的设备，例如不必要的USB端口，这可能会使产品暴露于不必要的攻击媒介。

如何加强物联网设备

物联网强化对于保护物联网设备和防止安全问题至关重要。以下是必须具备的物联网加强措施。

身份验证

只列出那些在加入网络之前进行安全身份验证的设备。唯一标识符使识别和监控更容易，并有助于防止恶意设备加入网络。集成SIM设备将识别功能直接嵌入硬件本身，减少了未经授权访问的机会。将设备ID和身份验证密钥存储在安全位置；泄露的密钥可能危及整个网络。

强密码

部署要求用户在设置过程开始时创建强密码的物联网设备。这避免了嵌入式或默认密码的问题。

防篡改

组织需要加强物联网设备及其运行平台，以避免其设备被感染、劫持和用于网络攻击。防篡改元件和检测物理篡改的能力提高了设备的安全性及其存储和处理的数据的安全性。确保监控系统在收到篡改信号时触发警报。当物联网设备部署在远程或不安全的位置时，这些功能尤为重要。

安全启动、数据存储和传输

由加密处理器（如可信平台模块芯片）提供的安全和加密存储和启动功能可提高设备及其所在物联网基础设施的安全性。对于不具备或不能支持这些功能的传统设备或受限设备，可以考虑将现场和云边缘网关作为一种选项，以安全地连接这些设备并通过互联网发送数据。

可扩展的安全更新

保持运行物联网网络的软件和操作系统的更新和保护是一个众所周知的标准做法。然而，更新物联网设备并不是那么容易。使用USB或其他手动过程来更新物联网设备是可行的，但无法扩展。尽可能自动修补和更新。无线物联网强化是一种有效的方式，可以将加密保证的配置、固件和应用更新分发到配备板载加密处理器的物联网设备。支持这些功能的设备最初可能比基本设备更昂贵，但更容易维护和更强的安全性使其从长远来看更具成本效益。

网络分割

专用于物联网的网段意味着运行物联网特定规则的安全控制。威胁情报源包含物联网设备的最新妥协签名指标，可帮助基于机器学习的防御抢先识别现场物联网传感器发现的问题。在发生物联网安全事件时，如果流量位于单独的网段，则可以快速阻止或隔离流量。

生命周期管理

执行涵盖整个物联网设备生命周期的安全政策和程序，从调试和维护到生命周期结束时的退役和处置。包括任何可能仍存储在设备上的任何敏感数据。对资产清单和网络架构图中的每个物联网设备进行分类和列出，确保它们的互连性和通信路径得到理解，并像任何其他网络设备一样得到正确监控、管理和审计。这减少了平均检测时间和意外停机时间。建立事件响应，并定期审查和测试。对于缺乏必要人员配备的组织，可以使用特定于物联网的云原生安全监控和分析平台。

法规仍然不够

尽管越来越多的法规和基本安全建议将重点放在物联网安全上，但制造商对产品创新的追求仍然使保持物联网设备安全的努力相形见绌。仅靠合规性并不能保证安全，设备制造商仍然没有动力投资于低成本设备的更好安全性。在有一个全球实体来定义和执行物联网安全标准之前，开发团队、组织和个人有责任发挥自己的作用，使这些设备不易受到攻击和滥用。通过只选择安全设备，买家可以向制造商施加压力，要求其扩展其产品的安全功能，以提供智能公用电网、智能工厂、智能汽车和智能家居所依赖的端到端安全和信任。