雖然在早期，網(wǎng)絡(luò)威脅主要針對(duì)企業(yè)IT設(shè)施，但在現(xiàn)代世界中，網(wǎng)絡(luò)威脅變得更加廣泛和頻繁。在討論物聯(lián)網(wǎng)采取安全措施之前，需要了解圍繞物聯(lián)網(wǎng)的一些網(wǎng)絡(luò)威脅向量。

物聯(lián)網(wǎng)設(shè)備和應(yīng)用程序如今廣泛應(yīng)用于人們的工作和生活中，無(wú)論是家庭、辦公室還是汽車(chē)中，幾乎所有物體都將變得智能化，以便能夠利用連接到全球互聯(lián)網(wǎng)的好處。物聯(lián)網(wǎng)世界正在快速蓬勃發(fā)展。

根據(jù)ABI研究公司進(jìn)行的一項(xiàng)研究，到2020年，全球?qū)⒂谐^(guò)400億臺(tái)設(shè)備連接到網(wǎng)絡(luò)中。這些設(shè)備產(chǎn)生的大量數(shù)據(jù)通過(guò)網(wǎng)絡(luò)進(jìn)行傳輸。雖然企業(yè)IT系統(tǒng)駐留在云平臺(tái)中，但大部分物聯(lián)網(wǎng)基礎(chǔ)設(shè)施駐留在邊緣。邊緣設(shè)備和工作負(fù)載的數(shù)量比在數(shù)據(jù)中心可能發(fā)現(xiàn)的設(shè)備數(shù)量要高出幾個(gè)數(shù)量級(jí)，而且它們?cè)诒举|(zhì)上是非常分散的。

雖然在早期，網(wǎng)絡(luò)威脅主要針對(duì)企業(yè)IT設(shè)施，但在現(xiàn)代世界中，網(wǎng)絡(luò)威脅變得更加廣泛和頻繁。在討論物聯(lián)網(wǎng)采取安全措施之前，需要了解圍繞物聯(lián)網(wǎng)的一些網(wǎng)絡(luò)威脅向量。

物聯(lián)網(wǎng)的常見(jiàn)威脅向量

威脅向量是指網(wǎng)絡(luò)犯罪分子可以訪問(wèn)企業(yè)在網(wǎng)絡(luò)中運(yùn)行的核心系統(tǒng)的路徑或手段。物聯(lián)網(wǎng)中連接了大量的設(shè)備，最常見(jiàn)的一些威脅向量是： (1)沒(méi)有物理邊界 物聯(lián)網(wǎng)設(shè)備超越了傳統(tǒng)的網(wǎng)絡(luò)邊界，并且更加開(kāi)放。限制訪問(wèn)設(shè)備的傳統(tǒng)安全方法不再適用。這些物聯(lián)網(wǎng)設(shè)備在需要時(shí)轉(zhuǎn)移到任何新位置，并且可以訪問(wèn)網(wǎng)絡(luò)。 (2)弱配置的Wi-Fi和藍(lán)牙 物聯(lián)網(wǎng)中的Wi-Fi和藍(lán)牙配置對(duì)數(shù)據(jù)泄漏構(gòu)成了主要威脅。弱加密方法可能允許網(wǎng)絡(luò)攻擊者在網(wǎng)絡(luò)中傳輸數(shù)據(jù)期間竊取憑據(jù)。此外在大多數(shù)情況下，采用密碼不是為每臺(tái)設(shè)備唯一設(shè)置的，如果只有一臺(tái)設(shè)備受到網(wǎng)絡(luò)攻擊和威脅，就會(huì)為未經(jīng)授權(quán)的訪問(wèn)留下空隙。 (3)物理訪問(wèn)物聯(lián)網(wǎng)設(shè)備 網(wǎng)絡(luò)攻擊者獲得物聯(lián)網(wǎng)設(shè)備和工作負(fù)載的物理訪問(wèn)權(quán)，這是所有威脅向量中最糟糕的一種。通過(guò)這種訪問(wèn)，網(wǎng)絡(luò)攻擊者可以輕松獲得物聯(lián)網(wǎng)設(shè)備內(nèi)部信息及其內(nèi)容，而使用Bus Pirate、Shikra或Logic Analyzers等工具，他們也可以讀取網(wǎng)絡(luò)中的所有通信流。通過(guò)物理訪問(wèn)，網(wǎng)絡(luò)攻擊者可以提取密碼、修改其程序或替換為他們控制的其他設(shè)備。

物聯(lián)網(wǎng)vsIT

雖然很多物聯(lián)網(wǎng)設(shè)備位于邊緣，但I(xiàn)T基礎(chǔ)設(shè)施位于云端。對(duì)物聯(lián)網(wǎng)安全的威脅可能會(huì)導(dǎo)致網(wǎng)絡(luò)攻擊者通過(guò)物聯(lián)網(wǎng)威脅向量獲得對(duì)核心IT網(wǎng)絡(luò)的訪問(wèn)權(quán)限。以下是一些現(xiàn)實(shí)生活中發(fā)生的網(wǎng)絡(luò)攻擊事件。 (1)通過(guò)暖通空調(diào)(HVAC)系統(tǒng)進(jìn)入網(wǎng)絡(luò)導(dǎo)致數(shù)據(jù)泄露 Target公司是美國(guó)10大零售商之一，根據(jù)媒體的報(bào)道，黑客竊取該公司4000萬(wàn)個(gè)信用卡號(hào)碼，這是全球規(guī)模最大的數(shù)據(jù)泄露事件之一。黑客竊取了第三方HVAC供應(yīng)商的憑證，進(jìn)入HVAC系統(tǒng)，然后獲得了對(duì)企業(yè)網(wǎng)絡(luò)的訪問(wèn)權(quán)限。 (2)Subway PoS遭遇黑客攻擊 目前有一些與PoS相關(guān)的安全漏洞報(bào)告。Subway PoS的漏洞導(dǎo)致1000萬(wàn)美元損失，Subway公司至少有150個(gè)特許經(jīng)營(yíng)店成為攻擊目標(biāo)。美國(guó)圖書(shū)銷(xiāo)售商Barnes&Noble公司也發(fā)生了一起類(lèi)似的黑客攻擊事件，其中63家商店的信用卡讀卡器遭到攻擊和破壞。 (3)SamSam勒索軟件 另一個(gè)著名的系統(tǒng)漏洞案例是SamSam勒索軟件進(jìn)行的網(wǎng)絡(luò)攻擊，該軟件于2018年襲擊了美國(guó)科羅拉多州交通部和圣地亞哥港等管理部門(mén)，并突然中止了他們的服務(wù)。

物聯(lián)網(wǎng)法規(guī)

盡管一些國(guó)家和地區(qū)發(fā)布了一些物聯(lián)網(wǎng)法規(guī)，但它們不足以減輕網(wǎng)絡(luò)攻擊所涉及的風(fēng)險(xiǎn)。在遏制網(wǎng)絡(luò)攻擊方面，加利福尼亞州擁有合理的安全級(jí)別法規(guī)。同樣，英國(guó)實(shí)施了獨(dú)特密碼政策，企業(yè)必須為連接到當(dāng)?shù)豂T基礎(chǔ)設(shè)施的物聯(lián)網(wǎng)設(shè)備提供明確的聯(lián)系方式以披露漏洞和定期進(jìn)行安全更新。盡管這些法規(guī)準(zhǔn)則受到許多安全評(píng)論員的歡迎，但對(duì)于誰(shuí)將執(zhí)行這些政策并不清楚。評(píng)論員補(bǔ)充說(shuō)，他們正在努力了解如何通過(guò)現(xiàn)有的監(jiān)管機(jī)構(gòu)執(zhí)行這些規(guī)定。(瀚云科技) 網(wǎng)絡(luò)攻擊者的戰(zhàn)略和措施更新速度要快得多，而這些法規(guī)可能每年或每半年發(fā)布或?qū)嵤Ｒ虼藘H依靠監(jiān)管政策很難跟上網(wǎng)絡(luò)攻擊者實(shí)施的攻擊。

企業(yè)必須采取什么安全措施

在遵循上述法規(guī)的同時(shí)，企業(yè)必須為采用物聯(lián)網(wǎng)設(shè)備制定自己的安全措施。 首先，他們必須確定物聯(lián)網(wǎng)設(shè)備的安全性。使用的每一臺(tái)設(shè)備都必須具有可以很好管理的唯一標(biāo)識(shí)。這是至關(guān)重要的，并且構(gòu)成后來(lái)采用的許多安全措施的基礎(chǔ)。 然后，還需要通過(guò)固件、簽名代碼、固件合規(guī)性或工作負(fù)載合規(guī)性等措施來(lái)保護(hù)軟件。所有這些措施都需要建立在身份層之上。 最后，企業(yè)必須擁有最頂層的合規(guī)性，以決定必須運(yùn)行哪些版本的軟件，或者必須在設(shè)備上運(yùn)行的固件級(jí)別。 總而言之，對(duì)于物聯(lián)網(wǎng)設(shè)備的完整安全解決方案，身份管理應(yīng)該是所有的核心，其次是固件和軟件的管理，最后需要在其上構(gòu)建任何類(lèi)型的合規(guī)性。