物聯(lián)網(wǎng)安全：究竟該由誰來擔(dān)責(zé)？

Maciej Kranz

自“物聯(lián)網(wǎng)”成為專業(yè)術(shù)語以來已經(jīng)過去了近二十年時間，但是我們?nèi)匀辉谧穯栆粋€同樣的問題：“保護(hù)數(shù)以億計的物聯(lián)網(wǎng)設(shè)備的安全是誰的職責(zé)?！笨紤]到這一市場的最新進(jìn)展，有人可能認(rèn)為我們現(xiàn)在已經(jīng)搞清楚了其中的答案，但事情并非如此簡單。

盡管物聯(lián)網(wǎng)安全長期以來一直是熱門的討論話題，但是它正變得越來越重要，越來越具挑戰(zhàn)性。首先，由操作技術(shù)（OT）獨自負(fù)責(zé)保護(hù)物聯(lián)網(wǎng)安全的日子已經(jīng)一去不復(fù)返了，其通?！巴ㄟ^隱匿性來實現(xiàn)安全”，即在物理上將產(chǎn)品操作、工業(yè)網(wǎng)絡(luò)與企業(yè)網(wǎng)絡(luò)和互聯(lián)網(wǎng)隔離起來。雖然企業(yè)已經(jīng)意識到需要將IT與OT整合起來從而推動新的使用案例，在網(wǎng)絡(luò)和應(yīng)用之間實現(xiàn)開放的數(shù)據(jù)流，支持更好的業(yè)務(wù)決策，降低成本，減少復(fù)雜性，但I(xiàn)T與OT實踐之間的諸多差距正成為新的攻擊面。

其次，網(wǎng)絡(luò)中的不法分子通過發(fā)現(xiàn)這些脆弱的攻擊面，正越來越多地將物聯(lián)網(wǎng)作為目標(biāo)。研究顯示，將由物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)中的物聯(lián)網(wǎng)設(shè)備發(fā)起的DDoS（分布式拒絕服務(wù)）攻擊正呈上升趨勢。例如，Mirai僵尸網(wǎng)絡(luò)病毒已經(jīng)感染了數(shù)十萬物聯(lián)網(wǎng)設(shè)備，這讓它們有能力協(xié)同發(fā)起大規(guī)模網(wǎng)絡(luò)攻擊。

再次，對于物聯(lián)網(wǎng)安全而言，每個垂直領(lǐng)域都不相同，一些涉及核心的或關(guān)鍵任務(wù)基礎(chǔ)設(shè)施，以及各種不同的規(guī)定。例如，在公共事業(yè)行業(yè)，美國政府近期強(qiáng)制將第五版NERC CIP（北美電力可靠性委員會關(guān)鍵基礎(chǔ)設(shè)施保護(hù)）標(biāo)準(zhǔn)作為網(wǎng)絡(luò)安全標(biāo)準(zhǔn)，而醫(yī)療行業(yè)則按照HIPPA要求保護(hù)數(shù)據(jù)的安全。

雖然企業(yè)IT、首席信息安全官和各國政府在物聯(lián)網(wǎng)安全中發(fā)揮著核心作用，但圍繞解決關(guān)鍵的安全性、數(shù)據(jù)保護(hù)和隱私而提出的一系列要求形成共識是每個人，尤其是行業(yè)的責(zé)任。

從設(shè)備至行業(yè)標(biāo)準(zhǔn)

設(shè)備和安全廠商對于物聯(lián)網(wǎng)生態(tài)系統(tǒng)都非常關(guān)鍵。盡管如此，設(shè)備廠商還是放慢了對安全性的投資，因為這會增加成本和復(fù)雜性，拖延上市時間。隨著許多制造商在安全性上栽了跟頭，如在設(shè)備中使用默認(rèn)名稱和密碼，消費性物聯(lián)網(wǎng)小工具的安全性輕易就受到了威脅。

在2016年一系列重大的消費級物聯(lián)網(wǎng)攻擊事件發(fā)生后，不僅政府開始考慮相應(yīng)法規(guī)，越來越多的廠商和設(shè)備制造商也終于開始對物聯(lián)網(wǎng)安全進(jìn)行相應(yīng)的投資。

與此同時，物聯(lián)網(wǎng)廠商開始合力制定關(guān)于物聯(lián)網(wǎng)安全的標(biāo)準(zhǔn)、互操作性和相關(guān)認(rèn)證。如ODVA、OPC和ISA等標(biāo)準(zhǔn)組織正努力在安全性方面與IEC 62443標(biāo)準(zhǔn)看齊。這些標(biāo)準(zhǔn)將更高層面上垂直且針對特定行業(yè)的最佳實踐與將行業(yè)安全作為常量的水平方案有機(jī)結(jié)合到了一起。IETF、工業(yè)互聯(lián)網(wǎng)聯(lián)盟（IIC）安全工作組和IEEE等機(jī)構(gòu)正在積極地開發(fā)和探索物聯(lián)網(wǎng)安全架構(gòu)、標(biāo)準(zhǔn)和方法以確保由不同品牌、型號和類型組成且相互連接的物聯(lián)網(wǎng)系統(tǒng)的網(wǎng)絡(luò)安全。這將有助于公司在開發(fā)和部署自己的物聯(lián)網(wǎng)解決方案時降低風(fēng)險。

與傳統(tǒng)的IT環(huán)境相比，物聯(lián)網(wǎng)環(huán)境更加分散、更加多元化、更加復(fù)雜，并且往往在規(guī)模上也更加龐大。這些獨特的挑戰(zhàn)讓所有參與者的工作更加復(fù)雜。這為我們引出了保護(hù)物聯(lián)網(wǎng)安全的下一道防線——你的職責(zé)。

最佳的業(yè)務(wù)實踐

隨著廠商開始重視物聯(lián)網(wǎng)安全挑戰(zhàn)并接受互操作標(biāo)準(zhǔn)，不同行業(yè)的公司也必須要將保護(hù)物聯(lián)網(wǎng)安全，防范潛在的災(zāi)難性網(wǎng)絡(luò)攻擊作為自身工作的一部分。關(guān)鍵的策略是獲取網(wǎng)絡(luò)、網(wǎng)絡(luò)端點、物聯(lián)網(wǎng)設(shè)備和云基礎(chǔ)設(shè)施的可視性。要想實現(xiàn)這一目標(biāo)，可以考慮下列工具和最佳實踐：

1.列出接入網(wǎng)絡(luò)的設(shè)備和系統(tǒng)清單

安全團(tuán)隊通常只有被管理設(shè)備的快照視圖或過時的列表進(jìn)行參考。如果可能的話，讓設(shè)備搜索能夠自動地準(zhǔn)確知道哪些設(shè)備正在運行哪些操作系統(tǒng)，并迅速發(fā)送補丁堵上已知漏洞。此外，還要對集中平臺進(jìn)行投資，這些平臺能夠整合所有的物聯(lián)網(wǎng)創(chuàng)新，提供可視性（和安全性），并從不同系統(tǒng)間的數(shù)據(jù)共享中獲得新的價值。

2. 實現(xiàn)實時監(jiān)測和漏洞檢測

對能夠密切監(jiān)測網(wǎng)絡(luò)流量、檢測攻擊者和追蹤物聯(lián)網(wǎng)設(shè)備與網(wǎng)絡(luò)和其他設(shè)備交互方式的解決方案進(jìn)行調(diào)研。如果一部物聯(lián)網(wǎng)設(shè)備正在掃描其他設(shè)備或是可預(yù)見的流量模式發(fā)生了變化，那么這些都是惡意行為的明顯征兆。例如，如果一部HVAC系統(tǒng)正在與銷售點（POS）系統(tǒng)通信，或是POS竟然向云端發(fā)送數(shù)據(jù)，那么我們需要迅速標(biāo)記并關(guān)閉這一行為。

3. 執(zhí)行基于網(wǎng)段和角色的訪問控制

確保只有經(jīng)過授權(quán)的人、機(jī)器或進(jìn)程可以訪問特定類別的設(shè)備或數(shù)據(jù)流。HVAC沒有任何理由可被允許與POS對話，不是嗎？為了阻止這種情況發(fā)生，應(yīng)將這些系統(tǒng)隔離在一個獨立的網(wǎng)段內(nèi)，并評估網(wǎng)段策略，定期測試其有效性。

4. 對員工進(jìn)行培訓(xùn)，讓安全意識成為一種文化

員工（無論他們的崗位是什么）應(yīng)當(dāng)成為抵御威脅的第一道防線。就像物聯(lián)網(wǎng)本身，安全教育并非一勞永逸的事情。IT和物聯(lián)網(wǎng)均面臨的另一個問題是60%的安全威脅源自內(nèi)部。四分之一的違規(guī)事件為無意識操作，包括點擊釣魚郵件中的鏈接和為未經(jīng)授權(quán)的人敞開大門。這就是我們?yōu)槭裁丛谇懊嫣岢鑫锫?lián)網(wǎng)安全是所有人的責(zé)任的原因。

盡管這些最佳實踐將幫助確保物聯(lián)網(wǎng)的安全，但是公司必須在物聯(lián)網(wǎng)安全方面采取一個基于策略的綜合性方案，將數(shù)據(jù)、設(shè)備和物理安全綜合在一起，這是一條底線。這些工作將會帶來一些新的物聯(lián)網(wǎng)使用案例，明確客戶的責(zé)任。隨著每年數(shù)以億計的新設(shè)備上線，為了保護(hù)物聯(lián)網(wǎng)系統(tǒng)的安全，我們將采取打破邊界或“通過隱匿性來實現(xiàn)安全”的防御方式。如果我們想享受互聯(lián)系統(tǒng)的所有便利，那么每個人都需要清楚并承擔(dān)起自己相應(yīng)的責(zé)任。

請仔細(xì)思考，你在保護(hù)物聯(lián)網(wǎng)安全中的職責(zé)究竟是什么？