物聯網(IoT)正在迅速發展，并成為我們日常生活中不可分割的一部分。這使得物聯網安全比以往任何時候都更加重要。物聯網應用是安全中一個(ge)經常(chang)被忽視(shi)的(de)方面(mian)。除了確保(bao)物(wu)聯網(wang)設(she)備固件(jian)、網(wang)絡(luo)鏈接和云(yun)系統的(de)安全外，確保(bao)部(bu)署在物(wu)聯網(wang)設(she)備上的(de)應(ying)用遵循安全實踐并且不易被破壞也是至(zhi)關(guan)重要的(de)。
本文將(jiang)介(jie)紹應(ying)用(yong)安全的(de)(de)基礎知識，并展(zhan)示有(you)助于保護物(wu)聯網應(ying)用(yong)安全的(de)(de)重(zhong)要(yao)最(zui)佳(jia)實(shi)踐(jian)。
什么是應用安全，為什么它很重要?
應用(yong)(yong)安全是(shi)保(bao)護(hu)應用(yong)(yong)免(mian)受威脅和(he)漏洞(dong)的實踐(jian)，這些威脅和(he)漏洞(dong)可(ke)(ke)能會損(sun)害其機密性(xing)(xing)、完整性(xing)(xing)和(he)可(ke)(ke)用(yong)(yong)性(xing)(xing)。它(ta)是(shi)軟件開發(fa)的一個關(guan)鍵方面，對于確(que)保(bao)當(dang)今(jin)互聯世界中應用(yong)(yong)的安全性(xing)(xing)和(he)可(ke)(ke)靠性(xing)(xing)至(zhi)關(guan)重要。
應用安全的(de)重要性有以下幾個原因(yin):
數據保護
應(ying)用通常存(cun)儲、處(chu)理和(he)傳輸敏(min)感數據，如(ru)財務信(xin)息(xi)、個(ge)人數據和(he)知識產權(quan)。保(bao)護這些(xie)數據免(mian)受未經授權(quan)的訪(fang)問和(he)篡改對于維(wei)護個(ge)人和(he)組織(zhi)的隱私和(he)安全(quan)至關重要。
預防攻擊
應用(yong)經常成(cheng)為(wei)黑客和其他(ta)網絡(luo)犯罪分子(zi)的目標，他(ta)們試圖利(li)用(yong)漏洞訪問敏(min)感或(huo)有價值的數據，或(huo)破壞產(chan)品的運行。通過實施強(qiang)大的應用(yong)安全措施，可(ke)以(yi)防(fang)止這種攻(gong)擊(ji)并防(fang)止潛在(zai)的損失。
合規
許多行業和監管機構(gou)對應(ying)用(yong)的安全(quan)性(xing)有特定的要(yao)求(qiu)，例如用(yong)于處理信用(yong)卡(ka)交(jiao)易(yi)的電子(zi)商務(wu)應(ying)用(yong)的支付卡(ka)行業數據安全(quan)標準(PCI DSS)。不符合這些要(yao)求(qiu)可(ke)能會導致罰款和其(qi)他懲罰。
消費者信任
消費者(zhe)希望應(ying)用是安(an)(an)全的(de)，并且通(tong)常會(hui)避免使(shi)用被認為不安(an)(an)全的(de)應(ying)用。因(yin)此，確(que)保應(ying)用的(de)安(an)(an)全性對(dui)于(yu)維護(hu)消費者(zhe)的(de)信任和忠誠度至(zhi)關重要。
應(ying)用安(an)全有(you)許(xu)多不同的方法，包(bao)括實現安(an)全編碼實踐、測(ce)試應(ying)用的漏洞，以及部(bu)署防火墻、入(ru)侵檢測(ce)系統和(he)加(jia)密等安(an)全控制。這些措施可(ke)以幫(bang)助保(bao)護(hu)應(ying)用免受(shou)威(wei)脅，并確保(bao)它們(men)隨著時間的推移保(bao)持安(an)全可(ke)靠。
物聯網安全威脅
物聯網僵尸網絡
僵尸(shi)網(wang)(wang)絡所有者發(fa)現(xian)物聯網(wang)(wang)設(she)備是(shi)一個有吸引(yin)力的(de)目標。許(xu)多(duo)設(she)備的(de)安全配(pei)置很弱，這使得其很容易被加入僵尸(shi)網(wang)(wang)絡。
攻(gong)擊(ji)(ji)(ji)者可(ke)以通過未(wei)受保護的端口、網(wang)絡釣魚詐騙或其(qi)他技術(shu)，用(yong)惡意軟件(jian)感染物(wu)聯網(wang)設備(bei)，并將其(qi)納入物(wu)聯網(wang)僵尸網(wang)絡，用(yong)于(yu)發動(dong)大(da)規模(mo)網(wang)絡攻(gong)擊(ji)(ji)(ji)。這些僵尸網(wang)絡通常用(yong)于(yu)分布式拒絕(jue)服務(wu)(DDoS)攻(gong)擊(ji)(ji)(ji)，這些攻(gong)擊(ji)(ji)(ji)會使目標網(wang)絡不堪(kan)重(zhong)負，流量過大(da)。
物聯網勒索軟件
隨著(zhu)企(qi)業網(wang)(wang)絡越來越多地連接(jie)到不安全的物(wu)聯網(wang)(wang)設(she)(she)備(bei)，與(yu)物(wu)聯網(wang)(wang)相關(guan)的勒索軟件攻擊正在上升。黑客可以用惡(e)意軟件感染設(she)(she)備(bei)，將其變成(cheng)惡(e)意機(ji)器人，探(tan)測網(wang)(wang)絡入口點，并從設(she)(she)備(bei)的固件中檢索可用于滲透網(wang)(wang)絡的有(you)效憑據。
通過物聯網(wang)設備訪問(wen)網(wang)絡，攻(gong)擊(ji)者可以將專有數據泄露到云端，并勒索組(zu)織，除非支付(fu)贖金(jin)。在某些情況下，即使組(zu)織付(fu)費，勒索軟件(jian)還是會(hui)刪除其(qi)文件(jian)。勒索軟件(jian)影響各種(zhong)規模(mo)的組(zu)織，從(cong)小(xiao)型企(qi)業到政府服務和(he)食品供應(ying)商等關鍵組(zu)織。
影子物聯網
IT管理員并(bing)不總(zong)是能夠(gou)控制連(lian)接(jie)到(dao)網(wang)絡的(de)設備。這(zhe)就產生(sheng)了一種被稱為(wei)影子(zi)物聯網(wang)的(de)安全(quan)威脅。具有IP地址的(de)設備，如數字(zi)助理、健身追(zhui)蹤(zong)器和(he)無線打(da)印機，可以增加個(ge)人便利性，并(bing)幫助員工完成工作，但(dan)它們(men)并(bing)不總(zong)是符合組織的(de)安全(quan)標準(zhun)。
如果不能充(chong)分了(le)解(jie)影子物聯網(wang)(wang)(wang)環(huan)境，IT管理(li)員就無法(fa)驗證設備和軟件是否具有內置安全功能，也無法(fa)監(jian)控這(zhe)些(xie)物聯網(wang)(wang)(wang)端點是否存在惡(e)意流量。一旦黑客獲得(de)了(le)對影子物聯網(wang)(wang)(wang)設備的(de)(de)訪問權(quan)限，就可以提升訪問權(quan)限，以獲取受感染企業網(wang)(wang)(wang)絡上的(de)(de)敏感信息，或者使用這(zhe)些(xie)設備進行(xing)僵尸網(wang)(wang)(wang)絡和DDoS攻擊(ji)。
物聯網應用安全最佳實踐
保護物聯(lian)網(wang)應(ying)用不(bu)是一次性(xing)事件(jian)。這需要(yao)仔細規劃、采取(qu)主(zhu)動行(xing)動和定期監控。
1、了解最可能的威脅
威脅(xie)建模(mo)涉及識別、評估物(wu)聯網應用(yong)中的潛在漏洞并(bing)確(que)定其優先級。這使得(de)推薦安全活動成為(wei)可能，允(yun)許IT管理(li)員將物(wu)聯網應用(yong)集成到其整體安全策略中。安全模(mo)型必(bi)須不斷發展，以準(zhun)確(que)反映物(wu)聯網應用(yong)的狀態。
2、了解風險并確定風險的優先級
根據物聯網風險的(de)關注(zhu)程(cheng)度對(dui)其進行分類和(he)(he)優先排序，并實(shi)施相關行為(wei)。許多技術團隊忽略了將風險與實(shi)際業(ye)務場景和(he)(he)潛在結果結合起來的(de)這一方面。單個物聯網應用的(de)失敗或被(bei)破壞(huai)對(dui)IT部(bu)門來說(shuo)似乎微不足道，但也可(ke)能對(dui)企業(ye)產生重大的(de)財務影響。
3、定期更新物聯網應用
管理員需(xu)要(yao)盡快(kuai)對物聯網應用(yong)進行更新(xin)部(bu)署，以確保整體網絡安全。只使用(yong)經過(guo)批準(zhun)和驗證(zheng)的(de)更新(xin)，當遠程更新(xin)應用(yong)時，使用(yong)安全的(de)網絡方法如(ru)VPN，加密所有更新(xin)流(liu)。PKI是一(yi)種(zhong)安全的(de)公鑰基(ji)礎設施，可以對設備和系統進行身份驗證(zheng)。
4、使用服務網格
服(fu)(fu)務(wu)網(wang)格(ge)(ge)是(shi)控制網(wang)絡中(zhong)服(fu)(fu)務(wu)之(zhi)間(jian)通信的(de)(de)專(zhuan)用基礎結構(gou)層(ceng)。服(fu)(fu)務(wu)網(wang)格(ge)(ge)控制應用中(zhong)服(fu)(fu)務(wu)請求的(de)(de)分布。服(fu)(fu)務(wu)網(wang)格(ge)(ge)提供的(de)(de)常用功能包(bao)括服(fu)(fu)務(wu)發現、負載均(jun)衡、加密、容災等。服(fu)(fu)務(wu)網(wang)格(ge)(ge)可以(yi)使服(fu)(fu)務(wu)之(zhi)間(jian)的(de)(de)通信快速、可靠(kao)和安全。
5、確保網絡安全
安(an)(an)全(quan)(quan)通(tong)信(xin)協(xie)議(yi)、防火墻和(he)加密有助于保(bao)護物聯網應用免受惡意訪(fang)問。檢查網絡中使用的(de)(de)設(she)備、標準和(he)通(tong)信(xin)協(xie)議(yi)，確保(bao)網絡安(an)(an)全(quan)(quan)，并將(jiang)物聯網應用添加到常(chang)規(gui)的(de)(de)應用安(an)(an)全(quan)(quan)測試(shi)流程中，是非常(chang)重(zhong)要(yao)的(de)(de)。
6、啟用強認證
強大的(de)(de)密碼保護策略(lve)對于(yu)物聯(lian)網應用(yong)至(zhi)關(guan)重要(yao)，這包括開(kai)發安全的(de)(de)密碼生(sheng)成和更新流程。修改物聯(lian)網設備和應用(yong)的(de)(de)默認(ren)密碼至(zhi)關(guan)重要(yao)。在可(ke)能(neng)(neng)的(de)(de)情況(kuang)下，除了密碼之外，還應該使用(yong)多(duo)個身(shen)份(fen)驗證(zheng)因素(su)。使用(yong)加密的(de)(de)TLS通信協議(yi)可(ke)以(yi)降低身(shen)份(fen)驗證(zheng)數據在任何時候被泄露的(de)(de)可(ke)能(neng)(neng)性。
7、加密傳輸中的數據
通過加(jia)密物(wu)聯網(wang)設備(bei)、應用和后端(duan)系統(tong)之間的數據(ju)，以保護(hu)數據(ju)免受攻擊(ji)。這包括對(dui)傳(chuan)輸(shu)(shu)中(zhong)和靜態數據(ju)進(jin)行加(jia)密，并(bing)使用PKI安全(quan)模型來確保發(fa)送方和接收方在(zai)傳(chuan)輸(shu)(shu)之前都經過系統(tong)驗證。
8、保護控制應用
可以訪問物(wu)(wu)聯網應用(yong)的系統(tong)和應用(yong)程序也必(bi)須(xu)得到適當的保護。這可以防止(zhi)客戶端(物(wu)(wu)聯網設(she)備(bei)或系統(tong))受到外部攻(gong)擊(ji)的威脅，并防止(zhi)攻(gong)擊(ji)向下游傳播。
9、確保API集成是安全的
API是(shi)在(zai)系統(tong)和應用(yong)之間(jian)推送和拉取數據(ju)的(de)常(chang)用(yong)方(fang)法。這(zhe)是(shi)攻擊者可(ke)(ke)以連接物聯網應用(yong)的(de)另一種方(fang)式。當只有授權(quan)的(de)設備和應用(yong)可(ke)(ke)以與API通信時(shi)，威脅(xie)更容(rong)易(yi)被檢測到。IT管理員還應該使用(yong)API版本(ben)(ben)控(kong)制來識別過時(shi)或重復的(de)API版本(ben)(ben)并(bing)消除它(ta)們。
10、監控所有物聯網應用
監控(kong)物聯(lian)網應用是確保其(qi)安(an)(an)全的最(zui)后一步。監控(kong)物聯(lian)網應用使(shi)組織能(neng)夠及時檢測和響(xiang)應潛在的安(an)(an)全問題，提高事件響(xiang)應能(neng)力，最(zui)大限度地(di)減少攻擊或(huo)破壞的影響(xiang)。它還(huan)通過展示對安(an)(an)全的承諾來(lai)幫助組織滿足(zu)合規(gui)性(xing)要求并建(jian)立客(ke)戶信任。
總結
總(zong)之(zhi)，應(ying)用安(an)全是(shi)軟件開發(fa)的一個關(guan)鍵方面，對于確保物聯(lian)網應(ying)用的安(an)全性和可靠性至關(guan)重要。通(tong)過實施最佳實踐，例如了(le)解最可能的威(wei)脅、評估(gu)風險(xian)、定期(qi)更(geng)新物聯(lian)網應(ying)用、使用服務網格、保護控制(zhi)應(ying)用以(yi)及(ji)加密傳輸中的數據，組織可以(yi)防范威(wei)脅和漏洞(dong)，并保持(chi)客(ke)戶和利益相關(guan)者的信任(ren)。
監(jian)控物聯網應用(yong)對于及(ji)時發現和響應潛在的安(an)全問題也至關重要。實(shi)施(shi)強有力的應用(yong)安(an)全措(cuo)施(shi)，是確保(bao)物聯網項目(mu)成功以及(ji)維護敏感數據的完(wan)整性和機密性的關鍵。
