導讀：根據(jù)ABI的研究，到2020年，將有超過400億臺設備連接到無線網絡。通過網絡在這些設備之間傳輸大量數(shù)據(jù)。
數(shù)字連接設備和應用正在滲入我們生活的方方面面，包括我們的家、辦公室、汽車甚至我們的身體。所有的物體都在變得智能，能夠利用連接到互聯(lián)網的好處。物聯(lián)網時代正在以前所未有的速度蓬勃發(fā)展。
根據(jù)ABI的研究，到2020年，將有超過400億臺設備連接到無線網絡。通過網絡在這些設備之間傳輸大量數(shù)據(jù)。雖然企業(yè)IT系統(tǒng)駐留在云中，但大部分物聯(lián)網基礎設施駐留在邊緣。邊緣設備和工作負載的數(shù)量比我們在數(shù)據(jù)中心可能發(fā)現(xiàn)的任何數(shù)量都要高幾個數(shù)量級，而且它們在本質上非常分散。
雖然在早期，威脅面僅限于企業(yè)IT設置，但在現(xiàn)代世界中，它變得更加廣泛。在我們討論IoT中的安全措施之前，讓我們先看看圍繞它的幾個威脅向量。
物聯(lián)網的常見威脅向量
威脅向量是網絡犯罪分子可以訪問您在網絡中運行的核心系統(tǒng)的路徑或手段。由于物聯(lián)網中連接了如此多的設備，最常見的威脅媒介是：
沒有物理界限
物聯(lián)網設備超越了傳統(tǒng)的網絡邊界，公開存在。限制訪問設備的傳統(tǒng)安全方法不再適用。這些設備可以在需要時轉移到任何新位置，并且可以配置為訪問網絡。
弱配置的Wi-Fi和藍牙
物聯(lián)網中的Wi-Fi和藍牙配置對數(shù)據(jù)泄漏構成了主要威脅。弱加密方法可能允許攻擊者在網絡中傳輸數(shù)據(jù)期間竊取憑據(jù)。此外，大多數(shù)情況下，密碼不是為每臺設備唯一設置的，如果只有一臺設備受到威脅，就會為未經授權的訪問整個網絡留下空白。
設備的物理占有
這可能是攻擊者獲得對設備和工作負載的物理訪問權的所有威脅向量中最糟糕的一種。通過這種訪問，攻擊者可以輕松訪問設備內部及其內容，但使用BusPirate、Shikra或LogicAnalyzers等工具，他們也可以讀取網絡中流動的所有通信。通過物理擁有物聯(lián)網設備，攻擊者可以提取密碼秘密、修改其程序或替換為他們控制下的其他設備。
物聯(lián)網與IT
雖然物聯(lián)網設備存在于Edge上，但IT基礎設施位于云端。對物聯(lián)網安全的一種妥協(xié)可能會導致攻擊者通過上述任何物聯(lián)網威脅媒介獲得對核心IT網絡的訪問權限。下面提到一些現(xiàn)實生活中的事件。
通過HVAC定位數(shù)據(jù)泄露
Target是美國10大零售商之一，據(jù)報道，黑客竊取了4000萬個信用卡號碼，這是歷史上最大的數(shù)據(jù)泄露事件之一。黑客竊取了第三方HVAC供應商的憑據(jù)，進入HVAC系統(tǒng)，然后獲得了對企業(yè)網絡的訪問權限。
地鐵PoS黑客攻擊
有幾起與PoS相關的安全漏洞報告。其中之一是價值1000萬美元的SubwayPoS漏洞，其中至少有150個特許經營權成為目標。Barnes&Noble還發(fā)生了另一起類似的違規(guī)事件，其中63家商店的信用卡讀卡器遭到入侵。
SamSam勒索軟件
另一個著名的系統(tǒng)漏洞案例是通過SamSam勒索軟件報告的，該軟件于2018年襲擊了美國科羅拉多州交通部和圣地亞哥港，并突然停止了他們的服務。
物聯(lián)網法規(guī)
盡管物聯(lián)網法規(guī)在許多地方都已到位，但它們不足以減輕攻擊所涉及的風險。在遏制攻擊方面，加利福尼亞州擁有“合理的安全級別”法規(guī)。同樣，英國實施了唯一密碼政策，公司必須向連接到國家IT基礎設施的物聯(lián)網設備提供明確的漏洞披露聯(lián)系方式和定期安全更新。盡管這些行為準則受到許多安全評論員的歡迎，但對于誰來執(zhí)行這些政策并不清楚。官員們補充說，他們正在努力了解如何通過現(xiàn)有的英國機構執(zhí)行這些規(guī)定。
攻擊者的戰(zhàn)略發(fā)展速度要快得多，而這些法規(guī)每年或最多每半年實施一次。僅依靠監(jiān)管政策很難跟上攻擊者的安全性。
企業(yè)必須做什么
在實施上述法規(guī)的同時，企業(yè)必須為物聯(lián)網設備制定自己的安全措施。
首先，他們必須清楚地識別物聯(lián)網設備。這些設備中的每一個都必須具有可以很好管理的唯一標識。這是絕對重要的，并且構成了后來建立的許多安全措施的基礎。
然后還需要通過固件、簽名代碼、固件合規(guī)性或工作負載合規(guī)性等措施來保護軟件。所有這些措施都需要建立在身份層之上。
最后，公司必須擁有最頂層的合規(guī)性，以決定必須運行哪些版本的軟件，或者必須在設備上運行的固件級別。
因此，總而言之，對于物聯(lián)網設備的完整安全解決方案，身份管理應該是所有的核心，其次是固件和軟件的管理，最后任何類型的合規(guī)性都需要建立在它之上。
（編譯/Cassie）
來源：千家網
在線咨詢
在線咨詢
0371-63319761