數(shù)字連接設(shè)備和應(yīng)用正在滲入我們生活的方方面面，包括我們的家、辦公室、汽車甚至我們的身體。所有的物體都在變得智能，能夠利用連接到互聯(lián)網(wǎng)的好處。物聯(lián)網(wǎng)時(shí)代正在以前所未有的速度蓬勃發(fā)展。  

[[420467]] 

根據(jù)ABI的研究，到2020年，將有超過400億臺(tái)設(shè)備連接到無線網(wǎng)絡(luò)。通過網(wǎng)絡(luò)在這些設(shè)備之間傳輸大量數(shù)據(jù)。雖然企業(yè)IT系統(tǒng)駐留在云中，但大部分物聯(lián)網(wǎng)基礎(chǔ)設(shè)施駐留在邊緣。邊緣設(shè)備和工作負(fù)載的數(shù)量比我們?cè)跀?shù)據(jù)中心可能發(fā)現(xiàn)的任何數(shù)量都要高幾個(gè)數(shù)量級(jí)，而且它們?cè)诒举|(zhì)上非常分散。

雖然在早期，威脅面僅限于企業(yè)IT設(shè)置，但在現(xiàn)代世界中，它變得更加廣泛。在我們討論IoT中的安全措施之前，讓我們先看看圍繞它的幾個(gè)威脅向量。

物聯(lián)網(wǎng)的常見威脅向量

威脅向量是網(wǎng)絡(luò)犯罪分子可以訪問您在網(wǎng)絡(luò)中運(yùn)行的核心系統(tǒng)的路徑或手段。由于物聯(lián)網(wǎng)中連接了如此多的設(shè)備，最常見的威脅媒介是：

沒有物理界限

物聯(lián)網(wǎng)設(shè)備超越了傳統(tǒng)的網(wǎng)絡(luò)邊界，公開存在。限制訪問設(shè)備的傳統(tǒng)安全方法不再適用。這些設(shè)備可以在需要時(shí)轉(zhuǎn)移到任何新位置，并且可以配置為訪問網(wǎng)絡(luò)。

弱配置的Wi-Fi和藍(lán)牙

物聯(lián)網(wǎng)中的Wi-Fi和藍(lán)牙配置對(duì)數(shù)據(jù)泄漏構(gòu)成了主要威脅。弱加密方法可能允許攻擊者在網(wǎng)絡(luò)中傳輸數(shù)據(jù)期間竊取憑據(jù)。此外，大多數(shù)情況下，密碼不是為每臺(tái)設(shè)備唯一設(shè)置的，如果只有一臺(tái)設(shè)備受到威脅，就會(huì)為未經(jīng)授權(quán)的訪問整個(gè)網(wǎng)絡(luò)留下空白。

設(shè)備的物理占有

這可能是攻擊者獲得對(duì)設(shè)備和工作負(fù)載的物理訪問權(quán)的所有威脅向量中最糟糕的一種。通過這種訪問，攻擊者可以輕松訪問設(shè)備內(nèi)部及其內(nèi)容，但使用BusPirate、Shikra或LogicAnalyzers等工具，他們也可以讀取網(wǎng)絡(luò)中流動(dòng)的所有通信。通過物理擁有物聯(lián)網(wǎng)設(shè)備，攻擊者可以提取密碼秘密、修改其程序或替換為他們控制下的其他設(shè)備。

物聯(lián)網(wǎng)與IT

雖然物聯(lián)網(wǎng)設(shè)備存在于Edge上，但I(xiàn)T基礎(chǔ)設(shè)施位于云端。對(duì)物聯(lián)網(wǎng)安全的一種妥協(xié)可能會(huì)導(dǎo)致攻擊者通過上述任何物聯(lián)網(wǎng)威脅媒介獲得對(duì)核心IT網(wǎng)絡(luò)的訪問權(quán)限。下面提到一些現(xiàn)實(shí)生活中的事件。

通過HVAC定位數(shù)據(jù)泄露

Target是美國10大零售商之一，據(jù)報(bào)道，黑客竊取了4000萬個(gè)信用卡號(hào)碼，這是歷史上最大的數(shù)據(jù)泄露事件之一。黑客竊取了第三方HVAC供應(yīng)商的憑據(jù)，進(jìn)入HVAC系統(tǒng)，然后獲得了對(duì)企業(yè)網(wǎng)絡(luò)的訪問權(quán)限。

地鐵PoS黑客攻擊

有幾起與PoS相關(guān)的安全漏洞報(bào)告。其中之一是價(jià)值1000萬美元的SubwayPoS漏洞，其中至少有150個(gè)特許經(jīng)營權(quán)成為目標(biāo)。Barnes&Noble還發(fā)生了另一起類似的違規(guī)事件，其中63家商店的信用卡讀卡器遭到入侵。

SamSam勒索軟件

另一個(gè)著名的系統(tǒng)漏洞案例是通過SamSam勒索軟件報(bào)告的，該軟件于2018年襲擊了美國科羅拉多州交通部和圣地亞哥港，并突然停止了他們的服務(wù)。

物聯(lián)網(wǎng)法規(guī)

盡管物聯(lián)網(wǎng)法規(guī)在許多地方都已到位，但它們不足以減輕攻擊所涉及的風(fēng)險(xiǎn)。在遏制攻擊方面，加利福尼亞州擁有“合理的安全級(jí)別”法規(guī)。同樣，英國實(shí)施了唯一密碼政策，公司必須向連接到國家IT基礎(chǔ)設(shè)施的物聯(lián)網(wǎng)設(shè)備提供明確的漏洞披露聯(lián)系方式和定期安全更新。盡管這些行為準(zhǔn)則受到許多安全評(píng)論員的歡迎，但對(duì)于誰來執(zhí)行這些政策并不清楚。官員們補(bǔ)充說，他們正在努力了解如何通過現(xiàn)有的英國機(jī)構(gòu)執(zhí)行這些規(guī)定。

攻擊者的戰(zhàn)略發(fā)展速度要快得多，而這些法規(guī)每年或最多每半年實(shí)施一次。僅依靠監(jiān)管政策很難跟上攻擊者的安全性。

企業(yè)必須做什么

在實(shí)施上述法規(guī)的同時(shí)，企業(yè)必須為物聯(lián)網(wǎng)設(shè)備制定自己的安全措施。

首先，他們必須清楚地識(shí)別物聯(lián)網(wǎng)設(shè)備。這些設(shè)備中的每一個(gè)都必須具有可以很好管理的唯一標(biāo)識(shí)。這是絕對(duì)重要的，并且構(gòu)成了后來建立的許多安全措施的基礎(chǔ)。

然后還需要通過固件、簽名代碼、固件合規(guī)性或工作負(fù)載合規(guī)性等措施來保護(hù)軟件。所有這些措施都需要建立在身份層之上。

最后，公司必須擁有最頂層的合規(guī)性，以決定必須運(yùn)行哪些版本的軟件，或者必須在設(shè)備上運(yùn)行的固件級(jí)別。

因此，總而言之，對(duì)于物聯(lián)網(wǎng)設(shè)備的完整安全解決方案，身份管理應(yīng)該是所有的核心，其次是固件和軟件的管理，最后任何類型的合規(guī)性都需要建立在它之上。