雖然在早期，網絡威脅主要針對企業IT設施，但在現代世界中，網絡威脅變得更加廣泛和頻繁。在討論物聯網采取安全措施之前，需要了解圍繞物聯網的一些網絡威脅向量。
物聯網設備和應用程序如今廣泛應用于人們的工作和生活中，無論是家庭、辦公室還是汽車中，幾乎所有物體都將變得智能化，以便能夠利用連接到全球互聯網的好處。物聯網世界正在快速蓬勃發展。
根據ABI研究公司進行的一項研究，到2020年，全球將有超過400億臺設備連接到網絡中。這些設備產生的大量數據通過網絡進行傳輸。雖然企業IT系統駐留在云平臺中，但大部分物聯網基礎設施駐留在邊緣。邊緣設備和工作負載的數量比在數據中心可能發現的設備數量要高出幾個數量級，而且它們在本質上是非常分散的。
雖然在早期，網絡威脅主要針對企業IT設施，但在現代世界中，網絡威脅變得更加廣泛和頻繁。在討論物聯網采取安全措施之前，需要了解圍繞物聯網的一些網絡威脅向量。
物聯網的常見威脅向量
威脅向(xiang)量是(shi)指網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)犯(fan)罪分(fen)子可以(yi)訪(fang)(fang)(fang)問企業在網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)中(zhong)運行的(de)(de)(de)(de)(de)核心(xin)系統的(de)(de)(de)(de)(de)路徑或手段。物(wu)(wu)聯網(wang)(wang)(wang)(wang)中(zhong)連接了大量的(de)(de)(de)(de)(de)設(she)備(bei)(bei)(bei)，最常(chang)見的(de)(de)(de)(de)(de)一(yi)些威脅向(xiang)量是(shi)： (1)沒有(you)物(wu)(wu)理邊(bian)界(jie) 物(wu)(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)(bei)(bei)超越了傳統的(de)(de)(de)(de)(de)網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)邊(bian)界(jie)，并(bing)且更加開放(fang)。限制訪(fang)(fang)(fang)問設(she)備(bei)(bei)(bei)的(de)(de)(de)(de)(de)傳統安全方法(fa)不再適用。這(zhe)些物(wu)(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)(bei)(bei)在需要(yao)時轉移到任何(he)新位(wei)置(zhi)(zhi)，并(bing)且可以(yi)訪(fang)(fang)(fang)問網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)。 (2)弱配(pei)置(zhi)(zhi)的(de)(de)(de)(de)(de)Wi-Fi和(he)藍牙 物(wu)(wu)聯網(wang)(wang)(wang)(wang)中(zhong)的(de)(de)(de)(de)(de)Wi-Fi和(he)藍牙配(pei)置(zhi)(zhi)對數據泄漏構成了主要(yao)威脅。弱加密方法(fa)可能允許網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)攻擊(ji)者(zhe)在網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)中(zhong)傳輸(shu)數據期間竊(qie)取(qu)憑據。此外在大多(duo)數情況(kuang)下(xia)，采用密碼不是(shi)為每臺設(she)備(bei)(bei)(bei)唯一(yi)設(she)置(zhi)(zhi)的(de)(de)(de)(de)(de)，如果只(zhi)有(you)一(yi)臺設(she)備(bei)(bei)(bei)受(shou)到網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)攻擊(ji)和(he)威脅，就會為未經授權的(de)(de)(de)(de)(de)訪(fang)(fang)(fang)問留下(xia)空隙。 (3)物(wu)(wu)理訪(fang)(fang)(fang)問物(wu)(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)(bei)(bei) 網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)攻擊(ji)者(zhe)獲得物(wu)(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)(bei)(bei)和(he)工(gong)作負(fu)載的(de)(de)(de)(de)(de)物(wu)(wu)理訪(fang)(fang)(fang)問權，這(zhe)是(shi)所有(you)威脅向(xiang)量中(zhong)最糟糕(gao)的(de)(de)(de)(de)(de)一(yi)種(zhong)。通(tong)(tong)過這(zhe)種(zhong)訪(fang)(fang)(fang)問，網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)攻擊(ji)者(zhe)可以(yi)輕(qing)松獲得物(wu)(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)(bei)(bei)內(nei)部信息及其內(nei)容，而使用Bus Pirate、Shikra或Logic Analyzers等工(gong)具(ju)，他(ta)們也可以(yi)讀(du)取(qu)網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)中(zhong)的(de)(de)(de)(de)(de)所有(you)通(tong)(tong)信流。通(tong)(tong)過物(wu)(wu)理訪(fang)(fang)(fang)問，網(wang)(wang)(wang)(wang)絡(luo)(luo)(luo)攻擊(ji)者(zhe)可以(yi)提取(qu)密碼、修(xiu)改其程(cheng)序或替換為他(ta)們控制的(de)(de)(de)(de)(de)其他(ta)設(she)備(bei)(bei)(bei)。
物聯網vsIT
雖然很多(duo)物聯(lian)網(wang)設備位(wei)于邊緣，但(dan)IT基礎設施位(wei)于云端。對物聯(lian)網(wang)安全(quan)的(de)(de)(de)(de)威(wei)脅(xie)可能(neng)會(hui)導致(zhi)網(wang)絡(luo)攻(gong)擊者通(tong)過物聯(lian)網(wang)威(wei)脅(xie)向(xiang)量獲得對核心IT網(wang)絡(luo)的(de)(de)(de)(de)訪(fang)問權限。以下是一(yi)些現實生活中(zhong)發(fa)生的(de)(de)(de)(de)網(wang)絡(luo)攻(gong)擊事(shi)件。 (1)通(tong)過暖通(tong)空調(diao)(HVAC)系(xi)統進入網(wang)絡(luo)導致(zhi)數據泄露(lu) Target公(gong)(gong)司是美(mei)(mei)國(guo)(guo)10大(da)零售商(shang)之(zhi)一(yi)，根據媒體(ti)的(de)(de)(de)(de)報道，黑客(ke)竊取(qu)該公(gong)(gong)司4000萬(wan)個信用卡號碼，這是全(quan)球規模最大(da)的(de)(de)(de)(de)數據泄露(lu)事(shi)件之(zhi)一(yi)。黑客(ke)竊取(qu)了(le)(le)(le)第三方(fang)HVAC供應商(shang)的(de)(de)(de)(de)憑證，進入HVAC系(xi)統，然后獲得了(le)(le)(le)對企業網(wang)絡(luo)的(de)(de)(de)(de)訪(fang)問權限。 (2)Subway PoS遭遇黑客(ke)攻(gong)擊 目(mu)前(qian)有一(yi)些與PoS相關的(de)(de)(de)(de)安全(quan)漏(lou)洞(dong)(dong)(dong)報告(gao)。Subway PoS的(de)(de)(de)(de)漏(lou)洞(dong)(dong)(dong)導致(zhi)1000萬(wan)美(mei)(mei)元損失，Subway公(gong)(gong)司至少有150個特許(xu)經營店成為攻(gong)擊目(mu)標。美(mei)(mei)國(guo)(guo)圖書銷售商(shang)Barnes&Noble公(gong)(gong)司也發(fa)生了(le)(le)(le)一(yi)起類似的(de)(de)(de)(de)黑客(ke)攻(gong)擊事(shi)件，其中(zhong)63家商(shang)店的(de)(de)(de)(de)信用卡讀卡器(qi)遭到攻(gong)擊和破壞。 (3)SamSam勒(le)索(suo)軟(ruan)件 另一(yi)個著名(ming)的(de)(de)(de)(de)系(xi)統漏(lou)洞(dong)(dong)(dong)案(an)例是SamSam勒(le)索(suo)軟(ruan)件進行的(de)(de)(de)(de)網(wang)絡(luo)攻(gong)擊，該軟(ruan)件于2018年襲擊了(le)(le)(le)美(mei)(mei)國(guo)(guo)科羅拉(la)多(duo)州(zhou)交(jiao)通(tong)部和圣地(di)亞(ya)哥(ge)港等(deng)管(guan)理部門，并突然中(zhong)止了(le)(le)(le)他們的(de)(de)(de)(de)服務。
物聯網法規
盡管一(yi)些(xie)(xie)國(guo)家和(he)(he)地區發(fa)布了(le)一(yi)些(xie)(xie)物聯網(wang)(wang)(wang)法(fa)(fa)規(gui)(gui)(gui)，但它們(men)不足(zu)以減(jian)輕網(wang)(wang)(wang)絡攻(gong)(gong)擊(ji)所涉及(ji)的(de)(de)風險。在遏制(zhi)網(wang)(wang)(wang)絡攻(gong)(gong)擊(ji)方(fang)面(mian)，加(jia)利福尼(ni)亞州(zhou)擁(yong)有(you)合理的(de)(de)安(an)(an)全級(ji)別法(fa)(fa)規(gui)(gui)(gui)。同樣，英(ying)國(guo)實施了(le)獨特(te)密碼政(zheng)(zheng)策(ce)(ce)，企業(ye)必須為連接(jie)到當地IT基礎設(she)施的(de)(de)物聯網(wang)(wang)(wang)設(she)備提供明確(que)的(de)(de)聯系方(fang)式以披(pi)露漏洞和(he)(he)定(ding)(ding)期(qi)進行(xing)安(an)(an)全更(geng)新。盡管這(zhe)些(xie)(xie)法(fa)(fa)規(gui)(gui)(gui)準則受到許多安(an)(an)全評論(lun)員的(de)(de)歡迎，但對于誰將執(zhi)行(xing)這(zhe)些(xie)(xie)政(zheng)(zheng)策(ce)(ce)并不清楚。評論(lun)員補(bu)充說，他們(men)正在努力了(le)解(jie)如(ru)何通過現有(you)的(de)(de)監管機構執(zhi)行(xing)這(zhe)些(xie)(xie)規(gui)(gui)(gui)定(ding)(ding)。（瀚云科技） 網(wang)(wang)(wang)絡攻(gong)(gong)擊(ji)者的(de)(de)戰略和(he)(he)措施更(geng)新速度要快得多，而這(zhe)些(xie)(xie)法(fa)(fa)規(gui)(gui)(gui)可能每年或每半(ban)年發(fa)布或實施。因此僅依靠(kao)監管政(zheng)(zheng)策(ce)(ce)很難跟上網(wang)(wang)(wang)絡攻(gong)(gong)擊(ji)者實施的(de)(de)攻(gong)(gong)擊(ji)。
企業必須采取什么安全措施
在遵循上述法規的(de)(de)(de)(de)(de)同時，企業必(bi)須為采用(yong)物(wu)聯網(wang)(wang)設(she)(she)備(bei)制定自己的(de)(de)(de)(de)(de)安(an)全(quan)(quan)措施(shi)。 首先(xian)，他們必(bi)須確(que)定物(wu)聯網(wang)(wang)設(she)(she)備(bei)的(de)(de)(de)(de)(de)安(an)全(quan)(quan)性(xing)(xing)。使用(yong)的(de)(de)(de)(de)(de)每(mei)一臺設(she)(she)備(bei)都(dou)必(bi)須具有(you)可以很好管(guan)理(li)的(de)(de)(de)(de)(de)唯一標識(shi)。這(zhe)是至關重要的(de)(de)(de)(de)(de)，并且構(gou)成(cheng)后來采用(yong)的(de)(de)(de)(de)(de)許多安(an)全(quan)(quan)措施(shi)的(de)(de)(de)(de)(de)基礎。 然(ran)后，還需(xu)(xu)(xu)要通(tong)過固(gu)件、簽名(ming)代碼、固(gu)件合(he)(he)規性(xing)(xing)或(huo)工(gong)作負(fu)載(zai)合(he)(he)規性(xing)(xing)等(deng)措施(shi)來保護軟(ruan)(ruan)件。所有(you)這(zhe)些措施(shi)都(dou)需(xu)(xu)(xu)要建(jian)立在身(shen)份層之上。 最(zui)后，企業必(bi)須擁有(you)最(zui)頂層的(de)(de)(de)(de)(de)合(he)(he)規性(xing)(xing)，以決定必(bi)須運(yun)行哪(na)些版本(ben)的(de)(de)(de)(de)(de)軟(ruan)(ruan)件，或(huo)者必(bi)須在設(she)(she)備(bei)上運(yun)行的(de)(de)(de)(de)(de)固(gu)件級別。 總(zong)而言之，對于物(wu)聯網(wang)(wang)設(she)(she)備(bei)的(de)(de)(de)(de)(de)完整(zheng)安(an)全(quan)(quan)解決方案(an)，身(shen)份管(guan)理(li)應該是所有(you)的(de)(de)(de)(de)(de)核心，其次是固(gu)件和(he)軟(ruan)(ruan)件的(de)(de)(de)(de)(de)管(guan)理(li)，最(zui)后需(xu)(xu)(xu)要在其上構(gou)建(jian)任何類型(xing)的(de)(de)(de)(de)(de)合(he)(he)規性(xing)(xing)。
