根據(jù)ABI研究公司進行的一項研究，到2020年，全球?qū)⒂谐^400億臺設(shè)備連接到網(wǎng)絡(luò)中。這些設(shè)備產(chǎn)生的大量數(shù)據(jù)通過網(wǎng)絡(luò)進行傳輸。雖然企業(yè)IT系統(tǒng)駐留在云平臺中，但大部分物聯(lián)網(wǎng)基礎(chǔ)設(shè)施駐留在邊緣。邊緣設(shè)備和工作負載的數(shù)量比在數(shù)據(jù)中心可能發(fā)現(xiàn)的設(shè)備數(shù)量要高出幾個數(shù)量級，而且它們在本質(zhì)上是非常分散的。
雖然在早期，網(wǎng)絡(luò)威脅主要針對企業(yè)IT設(shè)施，但在現(xiàn)代世界中，網(wǎng)絡(luò)威脅變得更加廣泛和頻繁。在討論物聯(lián)網(wǎng)采取安全措施之前，需要了解圍繞物聯(lián)網(wǎng)的一些網(wǎng)絡(luò)威脅向量。
物聯(lián)網(wǎng)的常見威脅向量
威脅向量是指網(wǎng)絡(luò)犯罪分子可以訪問企業(yè)在網(wǎng)絡(luò)中運行的核心系統(tǒng)的路徑或手段。物聯(lián)網(wǎng)中連接了大量的設(shè)備，最常見的一些威脅向量是：
(1)沒有物理邊界
物聯(lián)網(wǎng)設(shè)備超越了傳統(tǒng)的網(wǎng)絡(luò)邊界，并且更加開放。限制訪問設(shè)備的傳統(tǒng)安全方法不再適用。這些物聯(lián)網(wǎng)設(shè)備在需要時轉(zhuǎn)移到任何新位置，并且可以訪問網(wǎng)絡(luò)。
(2)弱配置的Wi-Fi和藍牙
物聯(lián)網(wǎng)中的Wi-Fi和藍牙配置對數(shù)據(jù)泄漏構(gòu)成了主要威脅。弱加密方法可能允許網(wǎng)絡(luò)攻擊者在網(wǎng)絡(luò)中傳輸數(shù)據(jù)期間竊取憑據(jù)。此外在大多數(shù)情況下，采用密碼不是為每臺設(shè)備唯一設(shè)置的，如果只有一臺設(shè)備受到網(wǎng)絡(luò)攻擊和威脅，就會為未經(jīng)授權(quán)的訪問留下空隙。
(3)物理訪問物聯(lián)網(wǎng)設(shè)備
網(wǎng)絡(luò)攻擊者獲得物聯(lián)網(wǎng)設(shè)備和工作負載的物理訪問權(quán)，這是所有威脅向量中最糟糕的一種。通過這種訪問，網(wǎng)絡(luò)攻擊者可以輕松獲得物聯(lián)網(wǎng)設(shè)備內(nèi)部信息及其內(nèi)容，而使用Bus Pirate、Shikra或Logic Analyzers等工具，他們也可以讀取網(wǎng)絡(luò)中的所有通信流。通過物理訪問，網(wǎng)絡(luò)攻擊者可以提取密碼、修改其程序或替換為他們控制的其他設(shè)備。
物聯(lián)網(wǎng) vs. IT
雖然很多物聯(lián)網(wǎng)設(shè)備位于邊緣，但IT基礎(chǔ)設(shè)施位于云端。對物聯(lián)網(wǎng)安全的威脅可能會導(dǎo)致網(wǎng)絡(luò)攻擊者通過物聯(lián)網(wǎng)威脅向量獲得對核心IT網(wǎng)絡(luò)的訪問權(quán)限。以下是一些現(xiàn)實生活中發(fā)生的網(wǎng)絡(luò)攻擊事件。
(1)通過暖通空調(diào)(HVAC)系統(tǒng)進入網(wǎng)絡(luò)導(dǎo)致數(shù)據(jù)泄露
Target公司是美國10大零售商之一，根據(jù)媒體的報道，黑客竊取該公司4000萬個信用卡號碼，這是全球規(guī)模最大的數(shù)據(jù)泄露事件之一。黑客竊取了第三方HVAC供應(yīng)商的憑證，進入HVAC系統(tǒng)，然后獲得了對企業(yè)網(wǎng)絡(luò)的訪問權(quán)限。
(2)Subway PoS遭遇黑客攻擊
目前有一些與PoS相關(guān)的安全漏洞報告。Subway PoS的漏洞導(dǎo)致1000萬美元損失，Subway 公司至少有150個特許經(jīng)營店成為攻擊目標。美國圖書銷售商Barnes&Noble公司也發(fā)生了一起類似的黑客攻擊事件，其中63家商店的信用卡讀卡器遭到攻擊和破壞。
(3)SamSam勒索軟件
另一個著名的系統(tǒng)漏洞案例是SamSam勒索軟件進行的網(wǎng)絡(luò)攻擊，該軟件于2018年襲擊了美國科羅拉多州交通部和圣地亞哥港等管理部門，并突然中止了他們的服務(wù)。
物聯(lián)網(wǎng)法規(guī)
盡管一些國家和地區(qū)發(fā)布了一些物聯(lián)網(wǎng)法規(guī)，但它們不足以減輕網(wǎng)絡(luò)攻擊所涉及的風(fēng)險。在遏制網(wǎng)絡(luò)攻擊方面，加利福尼亞州擁有合理的安全級別法規(guī)。同樣，英國實施了獨特密碼政策，企業(yè)必須為連接到當?shù)豂T基礎(chǔ)設(shè)施的物聯(lián)網(wǎng)設(shè)備提供明確的聯(lián)系方式以披露漏洞和定期進行安全更新。盡管這些法規(guī)準則受到許多安全評論員的歡迎，但對于誰將執(zhí)行這些政策并不清楚。評論員補充說，他們正在努力了解如何通過現(xiàn)有的監(jiān)管機構(gòu)執(zhí)行這些規(guī)定。
網(wǎng)絡(luò)攻擊者的戰(zhàn)略和措施更新速度要快得多，而這些法規(guī)可能每年或每半年發(fā)布或?qū)嵤?。因此僅依靠監(jiān)管政策很難跟上網(wǎng)絡(luò)攻擊者實施的攻擊。
企業(yè)必須采取什么安全措施
在遵循上述法規(guī)的同時，企業(yè)必須為采用物聯(lián)網(wǎng)設(shè)備制定自己的安全措施。
首先，他們必須確定物聯(lián)網(wǎng)設(shè)備的安全性。使用的每一臺設(shè)備都必須具有可以很好管理的唯一標識。這是至關(guān)重要的，并且構(gòu)成后來采用的許多安全措施的基礎(chǔ)。
然后，還需要通過固件、簽名代碼、固件合規(guī)性或工作負載合規(guī)性等措施來保護軟件。所有這些措施都需要建立在身份層之上。
最后，企業(yè)必須擁有最頂層的合規(guī)性，以決定必須運行哪些版本的軟件，或者必須在設(shè)備上運行的固件級別。
總而言之，對于物聯(lián)網(wǎng)設(shè)備的完整安全解決方案，身份管理應(yīng)該是所有的核心，其次是固件和軟件的管理，最后需要在其上構(gòu)建任何類型的合規(guī)性。
版權(quán)聲明：本文為企業(yè)網(wǎng)D1Net編譯，轉(zhuǎn)載需注明出處為：企業(yè)網(wǎng)D1Net，如果不注明出處，企業(yè)網(wǎng)D1Net將保留追究其法律責任的權(quán)利。
京公網(wǎng)安備 11010502049343號