網(wǎng)絡(luò)罪犯的目光是越來(lái)越集中在物聯(lián)網(wǎng)(IoT)設(shè)備上了。Hide 'N Seek 惡意軟件最新變種甚至首次將家居自動(dòng)化設(shè)備納入了感染范圍。為什么這些設(shè)備在罪犯眼中受到如此關(guān)注?有兩個(gè)原因：首先，這些設(shè)備出了名的易攻難守。其次，大多數(shù)公司企業(yè)連網(wǎng)絡(luò)上的傳統(tǒng)設(shè)備都登記不全跟蹤不了，更別說(shuō)成百上千的新IoT設(shè)備了。

[[240617]]

顯然，IoT設(shè)備漏洞與機(jī)會(huì)并存，讓很多安全團(tuán)隊(duì)大為頭疼。數(shù)字化轉(zhuǎn)型時(shí)代，IoT設(shè)備的作用越來(lái)越關(guān)鍵，能令公司企業(yè)在今日泛在化市場(chǎng)中更具競(jìng)爭(zhēng)優(yōu)勢(shì)。但同時(shí)，公司企業(yè)尚不具備在該新攻擊界面上鋪開(kāi)全面可見(jiàn)性所需的資源，尤其是在IoT設(shè)備采納速度過(guò)快的情況下。而且，公司企業(yè)現(xiàn)有的傳統(tǒng)孤島式安全設(shè)備也明顯無(wú)法勝任IoT網(wǎng)絡(luò)監(jiān)視職能。

那么需要做哪些安全措施來(lái)防止loT安全危機(jī)公司網(wǎng)絡(luò)呢?

1. 需要訪(fǎng)問(wèn)控制

安全首要原則就是可見(jiàn)性?？床灰?jiàn)就談不上控制。從打補(bǔ)丁到監(jiān)視到隔離，哪樣都離不開(kāi)在設(shè)備一接入網(wǎng)絡(luò)時(shí)就建立起可見(jiàn)性。因?yàn)樵L(fǎng)問(wèn)控制產(chǎn)品是新設(shè)備接入網(wǎng)絡(luò)時(shí)首先碰到的網(wǎng)絡(luò)元素，它們需能自動(dòng)識(shí)別IoT設(shè)備，確定設(shè)備是否被黑，然后基于設(shè)備類(lèi)型、預(yù)定目的地址、用戶(hù)角色等因素提供受控訪(fǎng)問(wèn)。

進(jìn)出網(wǎng)絡(luò)的IoT設(shè)備數(shù)量持續(xù)增加，訪(fǎng)問(wèn)控制解決方案的處理速度需得跟上時(shí)代的發(fā)展。另外，訪(fǎng)問(wèn)控制解決方案還需與網(wǎng)絡(luò)和安全控制措施無(wú)縫同步，確保IoT設(shè)備及其應(yīng)用在分布式網(wǎng)絡(luò)中的持續(xù)跟蹤和策略統(tǒng)一實(shí)施。

2. 網(wǎng)絡(luò)分隔與訪(fǎng)問(wèn)控制

識(shí)別并驗(yàn)證IoT設(shè)備之后，還需為其分配一個(gè)特定的網(wǎng)絡(luò)段。理想狀態(tài)下，IoT設(shè)備與生產(chǎn)網(wǎng)絡(luò)自動(dòng)隔離，防止關(guān)鍵內(nèi)部資源暴露在潛在威脅和攻擊方法面前。比如說(shuō)，直接與訪(fǎng)問(wèn)控制解決方案互動(dòng)的內(nèi)部分隔防火墻，就可將IoT設(shè)備置于專(zhuān)門(mén)的網(wǎng)段加以監(jiān)視和審查其應(yīng)用程序，識(shí)別并防止惡意軟件的橫向擴(kuò)散。同時(shí)，邊界防火墻可自動(dòng)阻斷受感染設(shè)備與外部C&C服務(wù)器通信。

3. 隔離與訪(fǎng)問(wèn)控制

訪(fǎng)問(wèn)控制還必須能夠向其他安全、聯(lián)網(wǎng)及管理設(shè)備發(fā)送IoT設(shè)備的信息，以便建立起IoT數(shù)據(jù)流基線(xiàn)并加以監(jiān)視，方便采用行為分析之類(lèi)的技術(shù)識(shí)別出流氓設(shè)備。

流氓設(shè)備一旦被揪出，整合的網(wǎng)絡(luò)與安全解決方案便可在及時(shí)處理威脅上發(fā)揮關(guān)鍵作用。無(wú)論是哪種安全工具或解決方案檢測(cè)出源自IoT設(shè)備的異?；驉阂饬髁?，都應(yīng)能自動(dòng)觸發(fā)協(xié)同響應(yīng)，包括重定向流量、封鎖通信信道，以及使用網(wǎng)絡(luò)訪(fǎng)問(wèn)控制(NAC)解決方案加以隔離——將被黑設(shè)備重分配到隔離網(wǎng)段留待評(píng)估、緩解或清除。

loT安全新常態(tài)

因?yàn)樵诮袢諗?shù)字市場(chǎng)舉足輕重，IoT設(shè)備代表著當(dāng)今IT新常態(tài)的一部分。然而，想要在不干擾業(yè)務(wù)目標(biāo)的情況下?lián)踝”缓贗oT設(shè)備帶來(lái)的風(fēng)險(xiǎn)，卻是難上加難。這是不僅僅是因?yàn)榘踩珗F(tuán)隊(duì)難以跟上設(shè)備及相關(guān)流量的爆發(fā)式增長(zhǎng)與IoT設(shè)備本身的不安全性，也因?yàn)榭煞烙木W(wǎng)絡(luò)邊界已經(jīng)消散，可以從世界各個(gè)角落訪(fǎng)問(wèn)公司網(wǎng)絡(luò)。更糟的是，安全人才的全球性短缺導(dǎo)致可用于檢測(cè)和響應(yīng)IoT相關(guān)事件的人手捉襟見(jiàn)肘。

只需一臺(tái)被黑掉的IoT設(shè)備，就可對(duì)公司網(wǎng)絡(luò)、基線(xiàn)和信譽(yù)造成嚴(yán)重打擊?，F(xiàn)代企業(yè)需要整合的自動(dòng)化安全框架，該框架要能執(zhí)行一系列關(guān)鍵功能，比如流量及行為監(jiān)視、安全網(wǎng)絡(luò)訪(fǎng)問(wèn)、協(xié)同威脅響應(yīng)等等，無(wú)論這些威脅是在分布式網(wǎng)絡(luò)的哪個(gè)角落被發(fā)現(xiàn)的。

黏合了訪(fǎng)問(wèn)控制和安全策略的集成安全方法，不僅可為企業(yè)帶來(lái)建設(shè)強(qiáng)安全所需的可見(jiàn)性，還能帶給企業(yè)檢測(cè)、預(yù)防及響應(yīng)威脅的自動(dòng)化過(guò)程。該方法確保了設(shè)備情報(bào)共享、訪(fǎng)問(wèn)控制泛在實(shí)施，以及被黑設(shè)備快速清除，對(duì)關(guān)鍵業(yè)務(wù)交易和工作流的影響可降至最低。IoT設(shè)備已成現(xiàn)代業(yè)務(wù)流必備部分，只要安全措施做到位，倒也未必會(huì)成為公司網(wǎng)絡(luò)的最弱一環(huán)。

【本文是51CTO專(zhuān)欄作者“”李少鵬“”的原創(chuàng)文章，轉(zhuǎn)載請(qǐng)通過(guò)安全牛（微信公眾號(hào)id:gooann-sectv）獲取授權(quán)】

戳這里，看該作者更多好文