數(shù)字連接設(shè)備和應(yīng)用正在滲入我們生活的方方面面，包括我們的家、辦公室、汽車甚至我們的身體。所有的物體都在變得智能，能夠利用連接到互聯(lián)網(wǎng)的好處。物聯(lián)網(wǎng)時代正在以前所未有的速度蓬勃發(fā)展。  

[[420467]] 

根據(jù)ABI的研究，到2020年，將有超過400億臺設(shè)備連接到無線網(wǎng)絡(luò)。通過網(wǎng)絡(luò)在這些設(shè)備之間傳輸大量數(shù)據(jù)。雖然企業(yè)IT系統(tǒng)駐留在云中，但大部分物聯(lián)網(wǎng)基礎(chǔ)設(shè)施駐留在邊緣。邊緣設(shè)備和工作負載的數(shù)量比我們在數(shù)據(jù)中心可能發(fā)現(xiàn)的任何數(shù)量都要高幾個數(shù)量級，而且它們在本質(zhì)上非常分散。

雖然在早期，威脅面僅限于企業(yè)IT設(shè)置，但在現(xiàn)代世界中，它變得更加廣泛。在我們討論IoT中的安全措施之前，讓我們先看看圍繞它的幾個威脅向量。

物聯(lián)網(wǎng)的常見威脅向量

威脅向量是網(wǎng)絡(luò)犯罪分子可以訪問您在網(wǎng)絡(luò)中運行的核心系統(tǒng)的路徑或手段。由于物聯(lián)網(wǎng)中連接了如此多的設(shè)備，最常見的威脅媒介是：

沒有物理界限

物聯(lián)網(wǎng)設(shè)備超越了傳統(tǒng)的網(wǎng)絡(luò)邊界，公開存在。限制訪問設(shè)備的傳統(tǒng)安全方法不再適用。這些設(shè)備可以在需要時轉(zhuǎn)移到任何新位置，并且可以配置為訪問網(wǎng)絡(luò)。

弱配置的Wi-Fi和藍牙

物聯(lián)網(wǎng)中的Wi-Fi和藍牙配置對數(shù)據(jù)泄漏構(gòu)成了主要威脅。弱加密方法可能允許攻擊者在網(wǎng)絡(luò)中傳輸數(shù)據(jù)期間竊取憑據(jù)。此外，大多數(shù)情況下，密碼不是為每臺設(shè)備唯一設(shè)置的，如果只有一臺設(shè)備受到威脅，就會為未經(jīng)授權(quán)的訪問整個網(wǎng)絡(luò)留下空白。

設(shè)備的物理占有

這可能是攻擊者獲得對設(shè)備和工作負載的物理訪問權(quán)的所有威脅向量中最糟糕的一種。通過這種訪問，攻擊者可以輕松訪問設(shè)備內(nèi)部及其內(nèi)容，但使用BusPirate、Shikra或LogicAnalyzers等工具，他們也可以讀取網(wǎng)絡(luò)中流動的所有通信。通過物理擁有物聯(lián)網(wǎng)設(shè)備，攻擊者可以提取密碼秘密、修改其程序或替換為他們控制下的其他設(shè)備。

物聯(lián)網(wǎng)與IT

雖然物聯(lián)網(wǎng)設(shè)備存在于Edge上，但IT基礎(chǔ)設(shè)施位于云端。對物聯(lián)網(wǎng)安全的一種妥協(xié)可能會導(dǎo)致攻擊者通過上述任何物聯(lián)網(wǎng)威脅媒介獲得對核心IT網(wǎng)絡(luò)的訪問權(quán)限。下面提到一些現(xiàn)實生活中的事件。

通過HVAC定位數(shù)據(jù)泄露

Target是美國10大零售商之一，據(jù)報道，黑客竊取了4000萬個信用卡號碼，這是歷史上最大的數(shù)據(jù)泄露事件之一。黑客竊取了第三方HVAC供應(yīng)商的憑據(jù)，進入HVAC系統(tǒng)，然后獲得了對企業(yè)網(wǎng)絡(luò)的訪問權(quán)限。

地鐵PoS黑客攻擊

有幾起與PoS相關(guān)的安全漏洞報告。其中之一是價值1000萬美元的SubwayPoS漏洞，其中至少有150個特許經(jīng)營權(quán)成為目標(biāo)。Barnes&Noble還發(fā)生了另一起類似的違規(guī)事件，其中63家商店的信用卡讀卡器遭到入侵。

SamSam勒索軟件

另一個著名的系統(tǒng)漏洞案例是通過SamSam勒索軟件報告的，該軟件于2018年襲擊了美國科羅拉多州交通部和圣地亞哥港，并突然停止了他們的服務(wù)。

物聯(lián)網(wǎng)法規(guī)

盡管物聯(lián)網(wǎng)法規(guī)在許多地方都已到位，但它們不足以減輕攻擊所涉及的風(fēng)險。在遏制攻擊方面，加利福尼亞州擁有“合理的安全級別”法規(guī)。同樣，英國實施了唯一密碼政策，公司必須向連接到國家IT基礎(chǔ)設(shè)施的物聯(lián)網(wǎng)設(shè)備提供明確的漏洞披露聯(lián)系方式和定期安全更新。盡管這些行為準(zhǔn)則受到許多安全評論員的歡迎，但對于誰來執(zhí)行這些政策并不清楚。官員們補充說，他們正在努力了解如何通過現(xiàn)有的英國機構(gòu)執(zhí)行這些規(guī)定。

攻擊者的戰(zhàn)略發(fā)展速度要快得多，而這些法規(guī)每年或最多每半年實施一次。僅依靠監(jiān)管政策很難跟上攻擊者的安全性。

企業(yè)必須做什么

在實施上述法規(guī)的同時，企業(yè)必須為物聯(lián)網(wǎng)設(shè)備制定自己的安全措施。

首先，他們必須清楚地識別物聯(lián)網(wǎng)設(shè)備。這些設(shè)備中的每一個都必須具有可以很好管理的唯一標(biāo)識。這是絕對重要的，并且構(gòu)成了后來建立的許多安全措施的基礎(chǔ)。

然后還需要通過固件、簽名代碼、固件合規(guī)性或工作負載合規(guī)性等措施來保護軟件。所有這些措施都需要建立在身份層之上。

最后，公司必須擁有最頂層的合規(guī)性，以決定必須運行哪些版本的軟件，或者必須在設(shè)備上運行的固件級別。

因此，總而言之，對于物聯(lián)網(wǎng)設(shè)備的完整安全解決方案，身份管理應(yīng)該是所有的核心，其次是固件和軟件的管理，最后任何類型的合規(guī)性都需要建立在它之上。