網(wǎng)絡(luò)安全、區(qū)塊鏈和工業(yè)物聯(lián)網(wǎng)

責(zé)任編輯:zsheng

2018-11-14 10:53:19

摘自:太平洋電腦網(wǎng)

9月28日,加州州長簽署了加州SB327法令,這是美國第一部授權(quán)物聯(lián)網(wǎng)(IoT)設(shè)備制造安全條款的法律(有一部類似的、但范圍更廣的聯(lián)邦法案叫做《物聯(lián)網(wǎng)2017年網(wǎng)絡(luò)安全改進(jìn)法案》),由國土安全和政府事務(wù)委員會負(fù)責(zé),我沒有看到該委員會最近有什么動向。

9月28日,加州州長簽署了加州SB327法令,這是美國第一部授權(quán)物聯(lián)網(wǎng)(IoT)設(shè)備制造安全條款的法律(有一部類似的、但范圍更廣的聯(lián)邦法案叫做《物聯(lián)網(wǎng)2017年網(wǎng)絡(luò)安全改進(jìn)法案》),由國土安全和政府事務(wù)委員會負(fù)責(zé),我沒有看到該委員會最近有什么動向。

新的加州法律規(guī)定,連接設(shè)備必須具有合理的安全特性。這意味著物聯(lián)網(wǎng)設(shè)備制造商可能需要開始提供唯一的預(yù)編程設(shè)備密碼(而不是默認(rèn)密碼),或者在首次授予設(shè)備訪問權(quán)限之前增加強(qiáng)制用戶進(jìn)行身份驗證的功能。加州現(xiàn)有的法律已經(jīng)迫使企業(yè)實施和維持與收集數(shù)據(jù)的性質(zhì)相適應(yīng)的合理的網(wǎng)絡(luò)安全程序,但新的法律專門適用于事務(wù)。我看到新法律的批評者指出,這些要求含糊不清,忽視了加密,也沒有解決助長這一問題的潛在不良做法。

但幾乎每個人都認(rèn)同現(xiàn)在存在的問題。安全狀況不佳的物聯(lián)網(wǎng)設(shè)備的使用助長了Mirai僵尸網(wǎng)絡(luò)(Botnet 是指采用一種或多種傳播手段,將大量主機(jī)感染bot程序病毒,從而在控制者和被感染主機(jī)之間所形成的一個可一對多控制的網(wǎng)絡(luò))。在2016年破壞性的網(wǎng)絡(luò)攻擊,造成了無數(shù)其他網(wǎng)絡(luò)安全的噩夢。在過去的幾周里,據(jù)報道一個新的Hakai物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)正在發(fā)展成為一種迫在眉睫的威脅,甚至產(chǎn)生了兩個不同的基于Hakai的變種,這些惡意軟件正在網(wǎng)上傳播。這些小程序主要由被劫持的物聯(lián)網(wǎng)設(shè)備提供動力。加州這部將于2020年生效的法律是否會對遏制這一問題產(chǎn)生任何影響仍有待觀察,但它表明,信息安全部門以外的人現(xiàn)在也在關(guān)注事務(wù)的安全,以及生活在智能和互聯(lián)世界中的影響。

雖然像Mirai這樣的僵尸網(wǎng)絡(luò)很大程度上是由被征用的消費(fèi)者物聯(lián)網(wǎng)設(shè)備驅(qū)動的,并被用于拒絕服務(wù)(DoS)網(wǎng)絡(luò)攻擊,但工業(yè)物聯(lián)網(wǎng)(IIoT)網(wǎng)絡(luò)威脅背后的動機(jī)可能對企業(yè)的利潤構(gòu)成更大的威脅。我看到了IIoT支持的制造業(yè)的特殊弱點,例如,Industry4.0鼓勵了供應(yīng)鏈中信息技術(shù)系統(tǒng)、設(shè)備和云資源的大規(guī)模整合。而現(xiàn)在,運(yùn)營能力和知識產(chǎn)權(quán)都受到威脅。

最近的Vectra《2018年工業(yè)專題報告》指出,工業(yè)遭受了大量的惡意內(nèi)部網(wǎng)絡(luò)活動、橫向移動和偵察活動(盡管他們是一家網(wǎng)絡(luò)安全公司);Deloitte在最近的一篇文章中也談到了這些漏洞。這表明攻擊者已經(jīng)滲透到這些網(wǎng)絡(luò)中,正在窺探關(guān)鍵資產(chǎn)或試圖破壞基礎(chǔ)設(shè)施。攻擊者可以利用持有者不小心部署下的不安全的IIoT設(shè)備和薄弱(或不存在)內(nèi)部網(wǎng)絡(luò)控制,輕松進(jìn)入這些網(wǎng)絡(luò)。

廣泛執(zhí)行更好的設(shè)備安全最佳做法的法律可能是解決這一問題的一種辦法,但援助也可能來自更具創(chuàng)新性的方面。區(qū)塊鏈技術(shù)作為一個分布式數(shù)據(jù)庫,以加密和不變的方式記錄在系統(tǒng)中移動的每一個數(shù)據(jù)塊,它可能為我們連接的設(shè)備指明一個更安全的未來。 區(qū)塊鏈 很難被欺騙。從理論上講,它的對等結(jié)構(gòu)、去中心化結(jié)構(gòu)和對共識的依賴使其更難破解。根據(jù)我的觀察,基本上沒有中央控制可以進(jìn)入,也沒有驗證者來愚弄。例如,攻擊者可能會以數(shù)字方式強(qiáng)行進(jìn)入一家公司的一個安全性較差的IIoT路由器。但是,試圖使用該入口點操作或與網(wǎng)絡(luò)中的其他節(jié)點進(jìn)行交互的嘗試可能會在區(qū)塊鏈模型中受到阻礙。在這種情況下,被攻擊路由器的哈?;顒佑涗泴⒉辉倥c網(wǎng)絡(luò)中的其他活動相匹配,并且無法實現(xiàn)一致驗證。

目前正在進(jìn)行許多規(guī)模較小的初步研究,包括對物聯(lián)網(wǎng)安全問題進(jìn)行一次2018年的審查(需要注冊),以及對智能家居的區(qū)塊鏈安全進(jìn)行2017年的案例研究(需要注冊),并且已經(jīng)成立了聯(lián)盟,試圖將區(qū)塊鏈安全應(yīng)用于物聯(lián)網(wǎng)和IIoT網(wǎng)絡(luò)。但可行性分析的狀況不太樂觀。希望進(jìn)一步深入研究環(huán)境的科技領(lǐng)袖和創(chuàng)新者最好能探索Hyperledger或以太坊社區(qū),以了解新出現(xiàn)的能力和概念證明。

區(qū)塊鏈仍然是一項相對較年輕的技術(shù),目前它在規(guī)模和速度上面臨著限制,這在現(xiàn)代IIoT的部署中是必不可少的,但它的模式顯示出了希望。我相信,無論是誰發(fā)現(xiàn)了解決這些限制的辦法,都會賺到一大筆錢,并得到一百萬IT經(jīng)理的感激。而遵循類似邏輯的解決方案值得我們考慮。從傳統(tǒng)的客戶端-服務(wù)器模式轉(zhuǎn)向新興技術(shù)的想法可能是未來的唯一選擇。同時,我認(rèn)為減輕安全問題的最好方法是實際實施網(wǎng)絡(luò)安全(就像美國計算機(jī)應(yīng)急準(zhǔn)備計劃所概述的那樣),定期進(jìn)行審計、管理和監(jiān)控訪問、利用分層防御等等。實際上,我們中很少有人這樣做,攻擊者也知道這一點。

有一件事是肯定的:我們現(xiàn)在做事情的方式太冒險了。無論立法者在設(shè)備安全方面做了什么或不做什么,物聯(lián)網(wǎng)工業(yè)都必須加強(qiáng)應(yīng)對這一威脅。

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號-6京公網(wǎng)安備 11010502049343號