如何將安全集成到物聯(lián)網(wǎng)項(xiàng)目中

李匯

物聯(lián)網(wǎng)正以驚人的速度發(fā)展。Gartner預(yù)測(cè)，2020年全球物聯(lián)網(wǎng)終端數(shù)量將增長(zhǎng)至58億臺(tái)，比2019年增長(zhǎng)21 %。從制造業(yè)、公用事業(yè)、交通運(yùn)輸和零售等眾多工商業(yè)的幕后應(yīng)用，到健身跟蹤器和健康可穿戴設(shè)備等面向消費(fèi)者的應(yīng)用，物聯(lián)網(wǎng)幾乎正在觸及地球上的每一個(gè)領(lǐng)域。

隨著連網(wǎng)終端數(shù)量的增加，網(wǎng)絡(luò)攻擊的風(fēng)險(xiǎn)也隨之增加。物聯(lián)網(wǎng)設(shè)備為網(wǎng)絡(luò)罪犯分子提供了大量潛在的漏洞，無論是直接竊取數(shù)據(jù)、獲得對(duì)更廣泛組織網(wǎng)絡(luò)的訪問權(quán)，還是僅僅是造成廣泛的破壞和中斷?！陡２妓埂饭烙?jì)，數(shù)據(jù)泄露在2019年前6個(gè)月就暴露了41億條記錄，這是一個(gè)非同尋常的數(shù)字，而且F-Secure的安全研究人員發(fā)現(xiàn)，在此期間，網(wǎng)絡(luò)攻擊流量的大幅增加主要與物聯(lián)網(wǎng)有關(guān)。

所有這一切意味著，如果您正在開展一個(gè)新的物聯(lián)網(wǎng)項(xiàng)目———無論是在開發(fā)新的物聯(lián)網(wǎng)產(chǎn)品或服務(wù)，還是在組織中部署物聯(lián)網(wǎng)系統(tǒng)———從頭開始集成強(qiáng)大的安全性是絕對(duì)必要的。

物聯(lián)網(wǎng)安全：趨勢(shì)與預(yù)測(cè)

首先，讓我們來深入了解物聯(lián)網(wǎng)安全的更廣泛的概念，并考慮一些讓安全管理員們憂心的主要趨勢(shì)。

5G是一個(gè)有力的例子。隨著部署持續(xù)，2020年很可能會(huì)出現(xiàn)專門針對(duì)5G網(wǎng)絡(luò)的攻擊。該協(xié)議越主流，通過該協(xié)議連接的傳感器和設(shè)備的數(shù)量就越多，尤其是在智慧城市生態(tài)系統(tǒng)方面。這能為網(wǎng)絡(luò)罪犯分子提供癱瘓整個(gè)街區(qū)或城市服務(wù)的手段嗎？時(shí)間會(huì)證明一切，但需要強(qiáng)調(diào)的是，與其他無線連接協(xié)議一樣，5G尤其容易受到分布式拒絕服務(wù)（DDoS）攻擊的影響。

物聯(lián)網(wǎng)安全關(guān)注的另一個(gè)重要領(lǐng)域是智能建筑。鑒于智能建筑在整個(gè)物聯(lián)網(wǎng)終端中占有相當(dāng)大的比例，它們成為網(wǎng)絡(luò)罪犯分子的誘人目標(biāo)也就不足為奇了。此外，典型智能建筑中涉及大量不同的供應(yīng)商和制造商，這可能會(huì)在確保第三方供應(yīng)商的安全方面帶來特定挑戰(zhàn)。2013年，由于針對(duì)其制冷承包商的網(wǎng)絡(luò)攻擊，Target有4 000萬張信用卡信息被泄漏———在智能建筑時(shí)代，此類事件可能會(huì)變得更加普遍。

物聯(lián)網(wǎng)安全原則

那么，將安全性集成到物聯(lián)網(wǎng)項(xiàng)目中的核心原則是什么？

設(shè)計(jì)安全

這是物聯(lián)網(wǎng)世界之外的公認(rèn)原則，但值得在此再次強(qiáng)調(diào)?？赡芘c您的期望相反，安全的設(shè)計(jì)方法并不總是物聯(lián)網(wǎng)開發(fā)人員和設(shè)計(jì)師的首要任務(wù)。觀念正在發(fā)生改變，尤其是考慮到物聯(lián)網(wǎng)設(shè)備和傳感器的整個(gè)生命周期，以及提供可使用的版本更新。無論是在開發(fā)還是部署物聯(lián)網(wǎng)產(chǎn)品，安全的設(shè)計(jì)方法都應(yīng)該是首要任務(wù)。

可信身份

物聯(lián)網(wǎng)網(wǎng)絡(luò)安全始于可信身份。也就是說，首先要能夠識(shí)別物聯(lián)網(wǎng)中的每一臺(tái)設(shè)備、服務(wù)和用戶，并確保它們的身份準(zhǔn)確無誤。這聽起來可能顯而易見，但鑒于典型物聯(lián)網(wǎng)部署的規(guī)模和復(fù)雜性，這是一個(gè)具有挑戰(zhàn)性的命題。像Device Authority這樣的組織正在重新考慮身份在物聯(lián)網(wǎng)時(shí)代的工作方式，并構(gòu)建解決方案，以實(shí)現(xiàn)大規(guī)模物聯(lián)網(wǎng)設(shè)備的安全注冊(cè)和配置。

傳輸和存儲(chǔ)中的數(shù)據(jù)加密

正如我們之前討論的那樣，物聯(lián)網(wǎng)從根本上講就是關(guān)于數(shù)據(jù)的———生成數(shù)據(jù)、分析數(shù)據(jù)和將數(shù)據(jù)轉(zhuǎn)化為有形的見解并加以利用。這意味著，在整個(gè)典型的物聯(lián)網(wǎng)生態(tài)系統(tǒng)中，無論是在端點(diǎn)設(shè)備之間，還是往返于集中式分析平臺(tái)之間，都傳輸了大量數(shù)據(jù)。

因此，在整個(gè)流程中，使用行業(yè)標(biāo)準(zhǔn)、經(jīng)過同行認(rèn)可的加密功能對(duì)這些數(shù)據(jù)進(jìn)行加密至關(guān)重要。從創(chuàng)建的那一刻開始，在每一個(gè)流程以及在存儲(chǔ)的任何位置，都必須使用強(qiáng)大的加密措施來保護(hù)數(shù)據(jù)。

無線自動(dòng)修復(fù)設(shè)備

任何IT安全要素的一個(gè)關(guān)鍵方面是，當(dāng)發(fā)現(xiàn)新的漏洞或不良行為者開發(fā)的新工具和技術(shù)時(shí)，都需要對(duì)硬件和軟件進(jìn)行升級(jí)或修復(fù)。在物聯(lián)網(wǎng)時(shí)代之前，打補(bǔ)丁已經(jīng)是一項(xiàng)運(yùn)維挑戰(zhàn)———物聯(lián)網(wǎng)引入的終端設(shè)備數(shù)量大幅增加意味著需要采取一種完全不同的方法。

一旦物聯(lián)網(wǎng)設(shè)備部署到位，就必須有一個(gè)安全的更新機(jī)制。也就是說，設(shè)備必須在升級(jí)時(shí)從供應(yīng)商處收到經(jīng)過加密簽名的更新，并且必須檢查更新的簽名，以確保該更新是有效的，且確實(shí)來自該供應(yīng)商。此外，更新還必須通過無線網(wǎng)絡(luò)自動(dòng)進(jìn)行，最終用戶不需要手動(dòng)操作。

管理和更新開源軟件

與上面相關(guān)的一點(diǎn)是管理和更新任何用于支持物聯(lián)網(wǎng)項(xiàng)目的開源軟件。假設(shè)所述項(xiàng)目的每一個(gè)元素都不是自定義編寫的，則需要跟上其開源組件中發(fā)現(xiàn)漏洞的速度，并確保有人負(fù)責(zé)每次發(fā)布漏洞時(shí)更新軟件、測(cè)試集成和重新評(píng)估風(fēng)險(xiǎn)。

注意Web應(yīng)用程序

大多數(shù)物聯(lián)網(wǎng)設(shè)備是使用Web應(yīng)用程序進(jìn)行管理的，這意味著與這些應(yīng)用程序相關(guān)的所有安全漏洞都將轉(zhuǎn)移到物聯(lián)網(wǎng)部署中。您的開發(fā)人員應(yīng)該在所有的Web開發(fā)中使用經(jīng)過審查的框架。

從一開始就整合物聯(lián)網(wǎng)安全

最重要的是，物聯(lián)網(wǎng)項(xiàng)目，無論是全新的設(shè)計(jì)和開發(fā)項(xiàng)目，還是現(xiàn)有技術(shù)的部署，都需要從頭開始考慮安全性。物聯(lián)網(wǎng)安全不能在項(xiàng)目結(jié)束時(shí)添加，也不能外包給完全獨(dú)立的個(gè)人或團(tuán)隊(duì)。從第一天起就需要將其徹底整合到項(xiàng)目中，并在最后進(jìn)行評(píng)估，然后再不斷進(jìn)行重新考量。

圍繞物聯(lián)網(wǎng)的威脅形勢(shì)異常動(dòng)態(tài)。網(wǎng)絡(luò)犯罪分子和破壞分子很快就能認(rèn)識(shí)到，全球范圍內(nèi)連網(wǎng)設(shè)備數(shù)量的巨大增長(zhǎng)，以及典型組織基礎(chǔ)設(shè)施中涉及的第三方數(shù)量的增加，為他們提供了大量破壞、盜竊、滲透和勒索的新機(jī)會(huì)。無論組織涉及物聯(lián)網(wǎng)的哪一部分，無論是向市場(chǎng)提供新的連網(wǎng)產(chǎn)品和服務(wù)，還是使用其他企業(yè)的物聯(lián)網(wǎng)產(chǎn)品來提高自己的運(yùn)營(yíng)效率和創(chuàng)新，安全都應(yīng)該是一個(gè)至關(guān)重要的問題。