物聯(lián)網(wǎng)（IoT）最大的一個(gè)問題是確保網(wǎng)絡(luò)、數(shù)據(jù)和設(shè)備的安全。已經(jīng)發(fā)生過很多與物聯(lián)網(wǎng)相關(guān)的安全事件，IT、安全和網(wǎng)絡(luò)管理人員擔(dān)心還會(huì)出現(xiàn)類似的事件也是情有可原。

安全標(biāo)準(zhǔn)和擔(dān)保公司HITRUST的標(biāo)準(zhǔn)副總裁兼首席信息安全官Jason Taule介紹說：“除了最嚴(yán)格的環(huán)境之外，幾乎所有環(huán)境中都將有物聯(lián)網(wǎng)設(shè)備。問題不在于是否允許，而是這些設(shè)備以怎樣的方式連接到網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)，并與之交互。”

物聯(lián)網(wǎng)安全：從小處入手

研究和咨詢公司ITIC的負(fù)責(zé)人Laura DiDio說，為了讓物聯(lián)網(wǎng)更安全，企業(yè)應(yīng)該從網(wǎng)絡(luò)基礎(chǔ)設(shè)施中最小的組件開始，也就是代碼。

DiDio說：“大部分物聯(lián)網(wǎng)設(shè)備都很小。因此，源代碼往往是采用‘通用編程語(yǔ)言’編寫的——C或者C++和C#語(yǔ)言，這些語(yǔ)言往往會(huì)成為內(nèi)存泄露和緩沖區(qū)溢出漏洞等常見問題的犧牲品。這些問題相當(dāng)于網(wǎng)絡(luò)上的普通感冒。”

DiDio說，就像普通感冒一樣，這很煩人，也很難好。她說：“在物聯(lián)網(wǎng)環(huán)境中，這些問題會(huì)擴(kuò)散，成為容易被忽視的安全大問題。這方面最好的防御措施是測(cè)試、測(cè)試、再測(cè)試。”DiDio介紹說，市場(chǎng)上很多備受好評(píng)的測(cè)試工具已經(jīng)用于物聯(lián)網(wǎng)設(shè)備。

DiDio說，安全和IT管理人員也可以使用堆棧cookie。這些是隨機(jī)數(shù)據(jù)字符串，應(yīng)用程序在指令指針寄存器之前就被編程寫入到堆棧中，在這一寄存器中，如果發(fā)生緩沖區(qū)溢出，那么數(shù)據(jù)就會(huì)溢出。她說：“如果發(fā)生緩沖區(qū)溢出，堆棧cookie就會(huì)被覆寫。”將對(duì)應(yīng)用程序進(jìn)一步進(jìn)行編程，以驗(yàn)證堆棧cookie字符串能繼續(xù)與代碼的最初編寫方式相匹配。如果堆棧cookie不匹配，應(yīng)用程序?qū)⒔K止。

部署情景感知訪問控制措施

在物聯(lián)網(wǎng)環(huán)境中，控制訪問是企業(yè)在連接資產(chǎn)、產(chǎn)品和設(shè)備時(shí)面臨的最大的安全挑戰(zhàn)。這包括控制連接對(duì)象本身的網(wǎng)絡(luò)訪問。

咨詢公司IP Architects的總裁John Pironti是物聯(lián)網(wǎng)安全方面的專家，他說，企業(yè)應(yīng)首先確定物聯(lián)網(wǎng)環(huán)境中被聯(lián)網(wǎng)設(shè)備視為可接受的行為和活動(dòng)，然后制定相應(yīng)的控制措施，但同時(shí)不會(huì)妨礙過程的推進(jìn)。

Pironti說：“不要使用獨(dú)立的VLAN（虛擬局域網(wǎng)）或者網(wǎng)段——這些可能會(huì)對(duì)物聯(lián)網(wǎng)設(shè)備造成限制和過載，而是要在整個(gè)網(wǎng)絡(luò)中實(shí)施情景感知訪問控制措施，以允許適當(dāng)?shù)牟僮骱托袨椋粌H是在連接層面上，而且是在命令和數(shù)據(jù)傳輸層面上。”

Pironti說，這將確保設(shè)備能夠按計(jì)劃運(yùn)行，同時(shí)也限制了其進(jìn)行惡意或者未經(jīng)授權(quán)活動(dòng)的能力。他說：“這一過程還可以為預(yù)期行為建立基準(zhǔn)，然后記錄和監(jiān)控這些行為，以發(fā)現(xiàn)異常，找到那些預(yù)期行為超出可接受閾值的活動(dòng)。”

讓供應(yīng)商對(duì)其物聯(lián)網(wǎng)設(shè)備負(fù)責(zé)

當(dāng)然，企業(yè)會(huì)聘請(qǐng)各種服務(wù)提供商，在某些情況下，這些服務(wù)是通過放置在客戶本地的設(shè)備提供的。在物聯(lián)網(wǎng)時(shí)代，機(jī)器基本都會(huì)聯(lián)網(wǎng)，因此容易受到黑客攻擊和其他入侵。

如果出了問題，應(yīng)該明確由誰(shuí)來負(fù)責(zé)。

安全咨詢公司SideChannelSec合伙人Brian Haugli曾是保險(xiǎn)公司漢諾威保險(xiǎn)集團(tuán)的安全高管，他說：“可以先從合同開始。你的供應(yīng)商是否把物聯(lián)網(wǎng)作為其服務(wù)或者解決方案的一部分推向你的企業(yè)？如果是這樣，就必須了解它，明確它是合同/采購(gòu)的一部分。”

Haugli說，一定要清楚誰(shuí)負(fù)責(zé)設(shè)備的更新和生命周期，以及在發(fā)生事故時(shí)你是否有權(quán)訪問設(shè)備。他說：“我看到HVAC（采暖、通風(fēng)和空調(diào)）和打印機(jī)公司沒有放棄訪問權(quán)限，這導(dǎo)致響應(yīng)工作停滯。同樣是這些供應(yīng)商，他們會(huì)把常規(guī)的打補(bǔ)丁和更新責(zé)任推到操作系統(tǒng)上。”

Haugli說，在某些情況下，合同可能沒有規(guī)定能保證客戶購(gòu)買帶有支持操作系統(tǒng)的新設(shè)備，而供應(yīng)商可能不愿意承擔(dān)這方面的費(fèi)用。因此，一臺(tái)不受支持且易受攻擊的設(shè)備被允許在網(wǎng)絡(luò)上停留了太長(zhǎng)的時(shí)間，遠(yuǎn)遠(yuǎn)超過它應(yīng)該停留的時(shí)間。

Taule說：“如果我們沒有向供應(yīng)商闡明我們的要求，沒有采取措施確認(rèn)是否合規(guī)，也沒有讓他們承擔(dān)什么責(zé)任，那么，我們有什么依據(jù)來期待這些問題得到解決呢？同樣的，硬件原始設(shè)備制造商和軟件公司現(xiàn)在都希望對(duì)發(fā)現(xiàn)并快速解決其產(chǎn)品的漏洞負(fù)責(zé)，為我們提供我們?cè)絹碓诫x不開的、數(shù)不清的物聯(lián)網(wǎng)設(shè)備的公司也應(yīng)如此，這些設(shè)備包括IP攝像機(jī)、醫(yī)療設(shè)備、打印機(jī)、無線接入點(diǎn)、冰箱、環(huán)境控件，等等。”

Taule認(rèn)為，企業(yè)應(yīng)該把通用安全框架中列出的控制功能應(yīng)用于物聯(lián)網(wǎng)設(shè)備。例如，在合同中包含安全功能要求；要求經(jīng)常性地進(jìn)行漏洞掃描，或者聲明自己進(jìn)行掃描的權(quán)利；強(qiáng)制供應(yīng)商提供及時(shí)更新，以解決已發(fā)現(xiàn)的漏洞；在任何固件更新后重新掃描設(shè)備以確保已發(fā)現(xiàn)的問題得到解決，不會(huì)引入新的問題。

防范物聯(lián)網(wǎng)身份欺騙

多年來，黑客們?cè)絹碓嚼暇殻夹g(shù)上也越來越精通，這會(huì)對(duì)物聯(lián)網(wǎng)安全構(gòu)成巨大的威脅。

DiDio說：“就像造假者和偽造者一樣，他們也在不斷提高自己的水平。物聯(lián)網(wǎng)設(shè)備數(shù)量呈指數(shù)增長(zhǎng)意味著攻擊面和攻擊途徑也呈指數(shù)增長(zhǎng)。”

這將促使業(yè)務(wù)部門及其安全和IT部門必須驗(yàn)證與之通信的物聯(lián)網(wǎng)設(shè)備的身份，并確定它們對(duì)于關(guān)鍵通信、軟件更新和下載是合法的。

DiDio說：“所有的物聯(lián)網(wǎng)設(shè)備必須有一個(gè)唯一的身份。”她說，在缺乏唯一身份的情況下，從微控制器層面到網(wǎng)絡(luò)邊緣的終端設(shè)備，再到應(yīng)用程序和傳輸層，企業(yè)都面臨被欺騙或者遭受黑客攻擊的巨大風(fēng)險(xiǎn)。

為物聯(lián)網(wǎng)設(shè)備建立“單向”連接

Pironti指出，企業(yè)應(yīng)該限制物聯(lián)網(wǎng)設(shè)備啟動(dòng)網(wǎng)絡(luò)連接的能力，只有使用網(wǎng)絡(luò)防火墻和訪問控制列表才能連接它們。

他說：“通過建立單向信任原則，物聯(lián)網(wǎng)設(shè)備絕對(duì)不能啟動(dòng)與內(nèi)部系統(tǒng)的連接，這會(huì)限制攻擊者利用它們作為跳轉(zhuǎn)點(diǎn)來探測(cè)和攻擊網(wǎng)段的能力。”

雖然這無法阻止黑客們攻擊直接與其建立連接的系統(tǒng)，但能限制他們?cè)诰W(wǎng)絡(luò)中橫向移動(dòng)的能力，Pironti說。

企業(yè)還可以通過跳轉(zhuǎn)主機(jī)和/或者網(wǎng)絡(luò)代理來強(qiáng)制連接到物聯(lián)網(wǎng)設(shè)備。他說：“通過在一個(gè)匯集點(diǎn)代理連接，企業(yè)就能夠在網(wǎng)絡(luò)數(shù)據(jù)流進(jìn)/出物聯(lián)網(wǎng)設(shè)備之前檢查這些網(wǎng)絡(luò)流量，并更有效地查詢數(shù)據(jù)流。”這使其能夠確定其承載的流量和有效負(fù)載是否適合物聯(lián)網(wǎng)設(shè)備接收或者傳輸。

考慮使用隔離網(wǎng)絡(luò)

很多類型的控制設(shè)備是通過無線連接的，例如，恒溫器和照明控制器等。電氣承包商Rosendin Electric公司的網(wǎng)絡(luò)安全和合規(guī)高級(jí)主管James McGibney指出，很多企業(yè)無線網(wǎng)絡(luò)都需要WPA2 Enterprise/802.1x。

McGibney說：“大多數(shù)這些設(shè)備不支持WPA2-Enterprise。開發(fā)更安全的設(shè)備才是理想的。但是，如果環(huán)境支持，你可以將這些設(shè)備放在自己的無線網(wǎng)絡(luò)上，與生產(chǎn)網(wǎng)絡(luò)隔離，只允許互聯(lián)網(wǎng)訪問。”

他認(rèn)為，這需要?jiǎng)?chuàng)建一個(gè)單獨(dú)的服務(wù)集標(biāo)識(shí)符（SSID）和虛擬局域網(wǎng)，并具有通過防火墻路由這些流量的能力。應(yīng)該從一個(gè)集中的位置對(duì)隔離的無線網(wǎng)絡(luò)進(jìn)行配置和管理。

McGibney說：“我們已經(jīng)為一些需要互聯(lián)網(wǎng)接入的設(shè)備（例如，自動(dòng)售貨機(jī)）做了這項(xiàng)工作，我們不控制這些設(shè)備。我們把它們放在客戶網(wǎng)絡(luò)上，與生產(chǎn)隔離開來。”它在相同的硬件上運(yùn)行，但在一個(gè)單獨(dú)的虛擬局域網(wǎng)上。

在供應(yīng)鏈中置入安全功能

物聯(lián)網(wǎng)方面的工作通常涉及供應(yīng)鏈中的多個(gè)合作伙伴，包括技術(shù)供應(yīng)商、運(yùn)營(yíng)商和客戶，安全是必須考慮的因素。

Taule認(rèn)為：“如果你還沒有這方面的考慮，那就應(yīng)該去找你的合同、財(cái)務(wù)或者公司其他管理供應(yīng)鏈的部門。和他們開始對(duì)話，并建立聯(lián)系，除非安全部門同意，否則不會(huì)批準(zhǔn)購(gòu)買任何物聯(lián)網(wǎng)產(chǎn)品。”

Taule說，如果安全部門愿意承擔(dān)分析工作的重?fù)?dān)，這些部門將積極參與到合規(guī)工作中。

Taule說，怎樣更好地管理供應(yīng)鏈供應(yīng)商選擇過程，取決于企業(yè)自己，但他建議考慮支持獨(dú)立驗(yàn)證的制造商；提倡在設(shè)備端設(shè)置寫保護(hù)開關(guān)，這樣固件就不能在你不知情的情況下進(jìn)行更新；只買正品，不買假貨。