Maciej Kranz

自“物聯(lián)網”成為專業(yè)術語以來已經過去了近二十年時間，但是我們仍然在追問一個同樣的問題：“保護數以億計的物聯(lián)網設備的安全是誰的職責?！笨紤]到這一市場的最新進展，有人可能認為我們現在已經搞清楚了其中的答案，但事情并非如此簡單。

盡管物聯(lián)網安全長期以來一直是熱門的討論話題，但是它正變得越來越重要，越來越具挑戰(zhàn)性。首先，由操作技術（OT）獨自負責保護物聯(lián)網安全的日子已經一去不復返了，其通常“通過隱匿性來實現安全”，即在物理上將產品操作、工業(yè)網絡與企業(yè)網絡和互聯(lián)網隔離起來。雖然企業(yè)已經意識到需要將IT與OT整合起來從而推動新的使用案例，在網絡和應用之間實現開放的數據流，支持更好的業(yè)務決策，降低成本，減少復雜性，但IT與OT實踐之間的諸多差距正成為新的攻擊面。

其次，網絡中的不法分子通過發(fā)現這些脆弱的攻擊面，正越來越多地將物聯(lián)網作為目標。研究顯示，將由物聯(lián)網僵尸網絡中的物聯(lián)網設備發(fā)起的DDoS（分布式拒絕服務）攻擊正呈上升趨勢。例如，Mirai僵尸網絡病毒已經感染了數十萬物聯(lián)網設備，這讓它們有能力協(xié)同發(fā)起大規(guī)模網絡攻擊。

再次，對于物聯(lián)網安全而言，每個垂直領域都不相同，一些涉及核心的或關鍵任務基礎設施，以及各種不同的規(guī)定。例如，在公共事業(yè)行業(yè)，美國政府近期強制將第五版NERC CIP（北美電力可靠性委員會關鍵基礎設施保護）標準作為網絡安全標準，而醫(yī)療行業(yè)則按照HIPPA要求保護數據的安全。

雖然企業(yè)IT、首席信息安全官和各國政府在物聯(lián)網安全中發(fā)揮著核心作用，但圍繞解決關鍵的安全性、數據保護和隱私而提出的一系列要求形成共識是每個人，尤其是行業(yè)的責任。

從設備至行業(yè)標準

設備和安全廠商對于物聯(lián)網生態(tài)系統(tǒng)都非常關鍵。盡管如此，設備廠商還是放慢了對安全性的投資，因為這會增加成本和復雜性，拖延上市時間。隨著許多制造商在安全性上栽了跟頭，如在設備中使用默認名稱和密碼，消費性物聯(lián)網小工具的安全性輕易就受到了威脅。

在2016年一系列重大的消費級物聯(lián)網攻擊事件發(fā)生后，不僅政府開始考慮相應法規(guī)，越來越多的廠商和設備制造商也終于開始對物聯(lián)網安全進行相應的投資。

與此同時，物聯(lián)網廠商開始合力制定關于物聯(lián)網安全的標準、互操作性和相關認證。如ODVA、OPC和ISA等標準組織正努力在安全性方面與IEC 62443標準看齊。這些標準將更高層面上垂直且針對特定行業(yè)的最佳實踐與將行業(yè)安全作為常量的水平方案有機結合到了一起。IETF、工業(yè)互聯(lián)網聯(lián)盟（IIC）安全工作組和IEEE等機構正在積極地開發(fā)和探索物聯(lián)網安全架構、標準和方法以確保由不同品牌、型號和類型組成且相互連接的物聯(lián)網系統(tǒng)的網絡安全。這將有助于公司在開發(fā)和部署自己的物聯(lián)網解決方案時降低風險。

與傳統(tǒng)的IT環(huán)境相比，物聯(lián)網環(huán)境更加分散、更加多元化、更加復雜，并且往往在規(guī)模上也更加龐大。這些獨特的挑戰(zhàn)讓所有參與者的工作更加復雜。這為我們引出了保護物聯(lián)網安全的下一道防線——你的職責。

最佳的業(yè)務實踐

隨著廠商開始重視物聯(lián)網安全挑戰(zhàn)并接受互操作標準，不同行業(yè)的公司也必須要將保護物聯(lián)網安全，防范潛在的災難性網絡攻擊作為自身工作的一部分。關鍵的策略是獲取網絡、網絡端點、物聯(lián)網設備和云基礎設施的可視性。要想實現這一目標，可以考慮下列工具和最佳實踐：

1.列出接入網絡的設備和系統(tǒng)清單

安全團隊通常只有被管理設備的快照視圖或過時的列表進行參考。如果可能的話，讓設備搜索能夠自動地準確知道哪些設備正在運行哪些操作系統(tǒng)，并迅速發(fā)送補丁堵上已知漏洞。此外，還要對集中平臺進行投資，這些平臺能夠整合所有的物聯(lián)網創(chuàng)新，提供可視性（和安全性），并從不同系統(tǒng)間的數據共享中獲得新的價值。

2. 實現實時監(jiān)測和漏洞檢測

對能夠密切監(jiān)測網絡流量、檢測攻擊者和追蹤物聯(lián)網設備與網絡和其他設備交互方式的解決方案進行調研。如果一部物聯(lián)網設備正在掃描其他設備或是可預見的流量模式發(fā)生了變化，那么這些都是惡意行為的明顯征兆。例如，如果一部HVAC系統(tǒng)正在與銷售點（POS）系統(tǒng)通信，或是POS竟然向云端發(fā)送數據，那么我們需要迅速標記并關閉這一行為。

3. 執(zhí)行基于網段和角色的訪問控制

確保只有經過授權的人、機器或進程可以訪問特定類別的設備或數據流。HVAC沒有任何理由可被允許與POS對話，不是嗎？為了阻止這種情況發(fā)生，應將這些系統(tǒng)隔離在一個獨立的網段內，并評估網段策略，定期測試其有效性。

4. 對員工進行培訓，讓安全意識成為一種文化

員工（無論他們的崗位是什么）應當成為抵御威脅的第一道防線。就像物聯(lián)網本身，安全教育并非一勞永逸的事情。IT和物聯(lián)網均面臨的另一個問題是60%的安全威脅源自內部。四分之一的違規(guī)事件為無意識操作，包括點擊釣魚郵件中的鏈接和為未經授權的人敞開大門。這就是我們?yōu)槭裁丛谇懊嫣岢鑫锫?lián)網安全是所有人的責任的原因。

盡管這些最佳實踐將幫助確保物聯(lián)網的安全，但是公司必須在物聯(lián)網安全方面采取一個基于策略的綜合性方案，將數據、設備和物理安全綜合在一起，這是一條底線。這些工作將會帶來一些新的物聯(lián)網使用案例，明確客戶的責任。隨著每年數以億計的新設備上線，為了保護物聯(lián)網系統(tǒng)的安全，我們將采取打破邊界或“通過隱匿性來實現安全”的防御方式。如果我們想享受互聯(lián)系統(tǒng)的所有便利，那么每個人都需要清楚并承擔起自己相應的責任。

請仔細思考，你在保護物聯(lián)網安全中的職責究竟是什么？