前文我們介紹了企業(yè)的物聯(lián)網(wǎng)安全策略為什么總是遇到障礙，以及在制定物聯(lián)網(wǎng)安全策略時(shí)，需跳出防火墻去思考。本文將繼續(xù)介紹制定物聯(lián)網(wǎng)安全策略的方法。

處理補(bǔ)丁缺口

隨著企業(yè)找到了新的辦法從連接設(shè)備來(lái)獲得商業(yè)價(jià)值，把那些從未想過(guò)要連接或更新的設(shè)備連上去這種想法是有誘惑的。英特爾安全負(fù)責(zé)物聯(lián)網(wǎng)安全解決方案的副總裁Lorie Wigle說(shuō)：“物聯(lián)網(wǎng)部署往往包括一開(kāi)始并未打算聯(lián)網(wǎng)的連接設(shè)備，因此對(duì)它們并沒(méi)有進(jìn)行任何的安全設(shè)計(jì)。尤其是工業(yè)物聯(lián)網(wǎng)設(shè)備，往往將服役時(shí)間或可用時(shí)間長(zhǎng)作為其最高的優(yōu)先級(jí)。”

這意味著臨時(shí)修補(bǔ)是有問(wèn)題甚至是不合適的。另一個(gè)安全方面的擔(dān)憂是物聯(lián)網(wǎng)服務(wù)器往往不是放在有訪問(wèn)限制的機(jī)房里面，這意味著物理安全會(huì)是更大的隱患，因?yàn)楣粽呖呻S便折騰這些機(jī)器，如插入U(xiǎn)SB棒或者按按按鈕什么的，這些都是IT無(wú)法控制的

改進(jìn)安全評(píng)估

為了評(píng)估可能會(huì)暴露到外面的物聯(lián)網(wǎng)數(shù)據(jù)的敏感性，組織需要把流程演進(jìn)得更加敏捷，Zach Supalla說(shuō)。Zach Supalla是開(kāi)源物聯(lián)網(wǎng)工具包提供商Spark IO的創(chuàng)始人兼CEO。物聯(lián)網(wǎng)設(shè)備制造了大量的數(shù)據(jù)，有些是敏感的，有些則不是。采取適當(dāng)?shù)陌踩e措多少有點(diǎn)瑣碎，但是由于許多應(yīng)用敏感度不高，最大的問(wèn)題會(huì)是經(jīng)理在開(kāi)發(fā)產(chǎn)品時(shí)無(wú)法確定哪些東西要保證安全，哪些不需要。

從某些方面來(lái)說(shuō)，現(xiàn)在新的物聯(lián)網(wǎng)能力由于其不為人知的是可以享受到安全的好處的。采用各種不同的規(guī)范、協(xié)議太多，以至于惡意黑客很難開(kāi)發(fā)出可輕易攻擊大規(guī)模設(shè)備的惡意軟件。Keen IO的Kador說(shuō)：“我們目前處在標(biāo)準(zhǔn)化前期階段，因此對(duì)于黑帽來(lái)說(shuō)在這里浪費(fèi)太多時(shí)間沒(méi)有太大的意義，只需聚焦于Windows的利用即可。不過(guò)一旦物聯(lián)網(wǎng)規(guī)范標(biāo)準(zhǔn)化工作有了進(jìn)展，可以預(yù)期將會(huì)涌現(xiàn)出一波以這些規(guī)范為目標(biāo)的漏洞利用潮。”

對(duì)于企業(yè)來(lái)說(shuō)對(duì)現(xiàn)有的物聯(lián)網(wǎng)漏洞曝光制定清單也是個(gè)不錯(cuò)的想法。Laconicly的Rios說(shuō)大多數(shù)企業(yè)并未意識(shí)到在自己的環(huán)境中已經(jīng)有了一些物聯(lián)網(wǎng)設(shè)備。智能環(huán)境孔子和能源管理極其常見(jiàn)。在任何一個(gè)企業(yè)園區(qū)里面都有著各種不同的傳感器為智能HVAC、照明能源和訪問(wèn)控制系統(tǒng)提供信息。

Rios說(shuō)他曾偶然發(fā)現(xiàn)幾間會(huì)議室的可用性設(shè)備上顯示著會(huì)議室對(duì)真實(shí)的企業(yè)的調(diào)度安排。許多人沒(méi)有意識(shí)到的是這些設(shè)備存在著可怕的不安全。企業(yè)架構(gòu)師應(yīng)該關(guān)心許多這些設(shè)備是通過(guò)Exchange服務(wù)器來(lái)獲取會(huì)議室可用性情況的，這意味著它們通常拿到了一組企業(yè)證書(shū)。

資源約束設(shè)備

物聯(lián)網(wǎng)安全的實(shí)施挑戰(zhàn)性還會(huì)更大，因?yàn)樗玫氖菢O端資源約束型設(shè)備，Spark IO'的Supalla說(shuō)。運(yùn)行通用目的的操作系統(tǒng)如Windows或Linux的計(jì)算機(jī)建立與另一服務(wù)器的加密連接是沒(méi)有問(wèn)題的。但是咖啡壺里面的微控制器對(duì)于同樣地加密棧就沒(méi)有同等的資源和訪問(wèn)權(quán)，而且還可能無(wú)法獲得足夠額信息熵去生成真正的隨機(jī)數(shù)用于密鑰。這些問(wèn)題都可以解決，但是它們需要深思熟慮的實(shí)施和專業(yè)知識(shí)。

企業(yè)也許會(huì)考慮利用可幫助確保連接設(shè)備存取API和企業(yè)系統(tǒng)最佳實(shí)踐的物聯(lián)網(wǎng)工具包。比方說(shuō)，Spark IO可幫助工程師和組織開(kāi)發(fā)那種底層基礎(chǔ)設(shè)施已經(jīng)被照顧得很好的連接產(chǎn)品，這樣他就可以專注于應(yīng)用本身。安全性和可伸縮性都已經(jīng)內(nèi)置，這樣這些就不會(huì)是工程師必須擔(dān)心的問(wèn)題。

企業(yè)應(yīng)該考慮利用物聯(lián)網(wǎng)設(shè)備的限制通過(guò)白名單技術(shù)去改善安全架構(gòu)，英特爾的Wigle說(shuō)。由于物聯(lián)網(wǎng)設(shè)備并非一般用途設(shè)備，可考慮確定哪些應(yīng)用和代碼可在上面運(yùn)行而不是持續(xù)更新那些不能上面運(yùn)行的。比方說(shuō)，英特爾安全有超過(guò)200位客戶為自己的產(chǎn)品建立了白名單及變更控制解決方案。

利用物聯(lián)網(wǎng)安全行動(dòng)計(jì)劃

物聯(lián)網(wǎng)安全分析仍處于早期階段。企業(yè)可能可以考慮以下若干行業(yè)和政府行動(dòng)計(jì)劃來(lái)改善物聯(lián)網(wǎng)安全：

云安全聯(lián)盟正在與若干安全專家一起工作為早期采用者定義物聯(lián)網(wǎng)安全指南。其他組織如OWASP、Builditsecure.ly、 WhiteScope以及 I am the Cavalry也開(kāi)始為幫助組織建立安全物聯(lián)網(wǎng)做出重大貢獻(xiàn)。Open Interconnect Consortium有開(kāi)源物聯(lián)網(wǎng)化平臺(tái)，也正在進(jìn)行標(biāo)準(zhǔn)制定工作。Industrial Internet Consortium正在為公司提供安全指南。NIST正在致力于網(wǎng)絡(luò)物理系統(tǒng)的安全。思科最近為物聯(lián)網(wǎng)安全努力提供了一個(gè)“大挑戰(zhàn)”。英特爾安全也有一個(gè)開(kāi)發(fā)者計(jì)劃，用來(lái)給其他公司延伸安全管理，計(jì)劃叫做安全創(chuàng)新聯(lián)盟，可允許將解決方案植入ePolicy Orchestrator。

Rapid7的Stanislav說(shuō)：“目前物聯(lián)網(wǎng)創(chuàng)新最大的安全力度聚焦在固件、API及在這些設(shè)備上的軟件操作的標(biāo)準(zhǔn)化上面。這個(gè)萌芽中的物聯(lián)網(wǎng)時(shí)代實(shí)際上是技術(shù)的狂野西部，成千上萬(wàn)的供應(yīng)商幾乎在沒(méi)有分享什么技術(shù)DNA的情況下來(lái)制造設(shè)備。缺乏對(duì)物聯(lián)網(wǎng)設(shè)備制造的約束推動(dòng)了創(chuàng)新，但是這一點(diǎn)最終必須得到改變寶能保證可持續(xù)性以及安全的成熟度。”