物联网安全：如何保护物联网

物联网(IoT)作为一个概念既令人着迷又令人兴奋，但从中获取真正商业价值的关键在于架构中所有元素之间的有效交互，这样您就可以更快地部署应用程序，并以闪电般的速度处理和分析数据，从而尽快做出明智决策。

[[261679]]

物联网架构可以由四个部分组成：

• 东西(设备)：这些被定义为可识别的节点，主要是传感器，它们通过网络进行通信，无需人工干预。
• 网关：它们充当东西和云之间的中介，以提供所需的网络连接、安全性和可管理性。
• 网络基础设施：它由路由器、聚合器、网关、中继器和其他控制数据流的设备组成。
• 云基础架构：云基础架构包含连网的大型虚拟化服务器和存储池。

下一代趋势，即社交网络、大数据、云计算和移动性，已经使许多事情成为可能。除此之外，全球趋势和事件的融合正在推动和促进当今的技术进步和模式创新，包括：

• 关键垂直市场的效率和成本降低举措
• 政府对这项新技术的投资激励措施
• 降低智能设备的制造成本
• 降低网络连接成本
• 更高效的有线和无线通信
• 扩展且价格合理的移动网络

物联网正在为当前和新兴市场中的企业创造新机遇并提供竞争优势。它触及一切——不仅仅是数据，还涉及如何、何时、何地以及为何收集数据。创造物联网的技术不仅仅改变了互联网，而且也改变了与互联网相连的东西——网络边缘的设备和网关，它们现在可以请求服务或启动操作而无需进行人为干预。

因为数据的生成和分析对物联网至关重要，所以必须在数据的整个生命周期中对其进行有效保护。管理此级别的数据非常复杂，因为数据将跨越许多具有不同策略和意图的管理边界。一般来说，数据被处理或存储在功能有限且易受复杂攻击的边缘设备上。

考虑到构成物联网生态系统的各种技术和物理组件，将物联网视为一个系统体系是完全合理的。构建一个对企业来说具有商业价值的物联网系统往往是一项复杂任务，因为企业架构师致力于设计集成解决方案，其中包括边缘设备、应用程序、传输、协议和分析功能，这些内容构成了一个功能齐全的物联网系统。而这种复杂性也给保持物联网安全带来了挑战，并且还要确保物联网的特定实例不会被当成跳板去攻击其他企业 IT 系统。

国际数据公司(IDC)估计，实施物联网的组织中有90%在2017年遭遇了基于物联网后端IT系统的攻击。

物联网安全部署面临的挑战

无论您的企业在物联网生态系统中扮演什么角色——设备制造商、解决方案提供商、云提供商、系统集成商还是服务提供商，您都需要知道如何从这项新技术中获得最大利益——这项新技术提供了如此高度多样化和快速变化的机会。

处理大量现有和未来预计的数据，以及管理看似无限数量设备的复杂性令人望而生畏。由于面临诸多挑战，因此将大量数据转化为有价值的行动的目标似乎是不可能实现的。现有的安全技术可以在降低物联网风险方面发挥作用，但这些远远不够。目标是在正确的时间、以正确的格式将数据安全地保存到正确的位置。不过，说起来容易做起来难，而且原因也是多方面的。云安全联盟(CSA)在最近的一份报告中列出了一些挑战：

• 许多物联网系统的设计和实施不佳，并使用了各种协议和技术来创建复杂的配置。
• 缺乏成熟的物联网技术和业务流程。
• 物联网设备生命周期维护和管理的指导有限。
• 物联网带来了独特的物理安全问题。
• 物联网的隐私问题很复杂，而且并不总是很明显。
• 物联网开发人员可用的最佳实践有限。
• 物联网边缘设备的认证和授权缺乏标准。
• 基于物联网的事件响应活动没有最佳实践。
• 没有为物联网组件定义审计和日志记录标准。
• 受限制的接口用于物联网设备与安全设备和应用程序进行交互。
• 目前还没有将重点放在确定组织物联网资产安全态势的情景感知方法上。
• 对于平台配置而言，涉及支持多租户的虚拟化物联网平台的安全标准还不成熟。
• 不断变化的客户需求。
• 设备的新用途，以及新设备以极快的速度发展和增长。
• 创造和重新整合必备的特性和功能非常昂贵，需要时间和资源。
• 物联网技术的应用正在不断扩大和变化——通常在未知的领域。
• 开发能提供物联网价值的嵌入式软件既困难又昂贵。

恶意行为者可以利用的威胁和攻击媒介示例：

• 控制系统、车辆甚至人体都可以被入侵和操纵，从而造成伤害或更糟。
• 医疗保健服务商以不适当的方式诊断和治疗病人。
• 入侵者可以获得对家庭或商业企业的物理访问权。
• 车辆失去控制。
• 安全关键信息，如天然气管道破裂的警告可能会被忽视。
• 关键基础设施严重损坏。
• 入侵者可以窃取身份和金钱。
• 个人或敏感信息的意外泄漏。
• 未经授权跟踪人员的位置、行为和活动。
• 操纵金融交易。
• 物联网资产遭到破坏、盗窃。
• 能够未经授权访问物联网设备。
• 模拟物联网设备。

应对挑战和威胁

Gartner在孟买召开的安全与风险管理峰会上指出，超过20%的企业在2017年部署了安全解决方案，以保护其物联网设备和服务。物联网设备和服务通过将过去线下的物理设备转变为与企业网络通信的在线资产，从而扩大了对企业进行网络攻击的表面区域，因此，企业必须扩大安全策略的范围来应对这些新在线设备的安全威胁。

企业必须根据设备的独特功能以及连接这些设备的网络的相关风险，为每个物联网部署定制安全策略。BI Intelligence预计，在未来四年内，用于保护物联网设备和系统的安全解决方案支出将增加五倍以上。

最佳平台

为物联网开发解决方案需要对系统中的每个部分以及整个系统进行前所未有的协作、协调和连接。所有设备必须协同工作并与所有其他设备集成，同时，所有设备必须与连接的系统和基础架构进行无缝通信和交互。

最佳的物联网平台可以：

• 获取和管理数据，以创建基于标准、可扩展且安全的平台。
• 集成和保护数据以降低成本和复杂性，同时保护您的投资。
• 分析数据并从数据中提取商业价值，然后对其采取行动。

总结

安全需要作为物联网系统的基础，并具有严格的有效性检查、认证和数据验证，以及所有数据都要加密。在应用程序级别，软件开发人员需要更好地编写稳定、有弹性和可信任的代码，以及更好的代码开发标准、培训、威胁分析和测试。当系统相互交互时，必须拥有一个安全有效的互操作性标准。如果没有坚实的底部结构，我们在物联网中每增加一台设备，就会多增加一份威胁。我们需要的是一个具有隐私保护的安全物联网，这是一个艰难的权衡，但并非不可能实现。