增強物聯網安全性的7個步驟

物聯網（IoT）最大的問題之一是確定網絡、資料和裝置的安全。物聯網相關安全事件已經發生，IT、安全和網絡管理人員擔心類似事件會發生是有道理的。

安全标準和保證公司HITRUST的标準和CISO副總裁Jason Taule說：“除了最嚴格的環境之外，在所有環境中，你都将擁有物聯網裝置。”“問題在于您将如何允許這些裝置連接配接到您的網絡、系統和資料并與之互動。”

組織可以做些什麼來增強物聯網的安全性？有很多選擇，包括一些可能不那麼明顯的做法。

運作物聯網源代碼安全測試

研究和咨詢公司ITIC的負責人Laura DiDio說，為了在IoT中建立更好的安全性，組織應該從其網絡基礎結構中最小的元件開始。

“大多數物聯網裝置都非常小，”DiDio說。“是以，源代碼往往是用通用語言——C、C++和C#語言編寫的，這些語言經常會成為記憶體洩漏和緩沖區溢出漏洞等常見問題的受害者。這些問題就相當于網絡上的感冒。”

DiDio說，就像普通感冒一樣，它們令人讨厭且持久。她說：“在物聯網環境中，它們會激增并成為一個經常被忽視的安全大問題。” “這裡最好的防禦方法是測試、測試和重新測試。” DiDio說，市場上有許多用于物聯網裝置的備受好評的測試工具。

DiDio說，安全和IT管理者也可以使用堆棧cookie。這些是随機資料字元串，應用程式對其進行了編碼，以将它們寫入指令指針寄存器之前的堆棧中，如果發生緩沖區溢出，則資料将溢出到堆棧中。她說：“如果确實發生緩沖區溢出，則堆棧cookie将被覆寫。” 應用程式将進一步編碼，以驗證堆棧cookie字元串将繼續與最初編寫代碼的方式比對。如果堆棧cookie不比對，則應用程式終止。

部署通路控制

在連接配接資産、産品和裝置時，在物聯網環境中控制通路是公司面臨的最大安全挑戰之一。這包括控制連接配接對象本身的網絡通路。

咨詢公司IP Architects的總裁、物聯網安全專家John Pironti說，組織應首先确定物聯網環境中的互聯事物認為可以接受的行為和活動，然後采取控制措施，做到這一點，但同時又不妨礙流程。

Pironti說:“不要使用單獨的VLAN(虛拟LAN)或網絡段，這可能會限制和削弱物聯網裝置。而是在整個網絡中實施上下文感覺的通路控制，以允許适當的動作和行為，不僅在連接配接級别，而且在指令和資料傳輸級别。”

Pironti說，這将確定裝置能夠按計劃運作，同時還限制了其執行惡意或未經授權的活動的能力。他說：“該過程還可以建立預期行為的基準，然後可以對其進行記錄和監視，以識别超出預期行為的可接受範圍内的異常或活動。”

要求物聯網裝置滿足安全标準

組織當然會雇傭各種各樣的服務提供者，在某些情況下，這些服務是通過放置在客戶場所的裝置提供的。在物聯網時代，機器很有可能被連接配接起來，是以很容易受到黑客攻擊和其他入侵。

安全咨詢公司SideChannelSec的合夥人，保險公司漢諾威保險集團（Hanover Insurance Group）的前安全主管布萊恩·豪格裡（Brian Haugli）說：“合同是一個起點。” “您的供應商是否将物聯網作為其服務或解決方案的一部分推入您的企業？ 如果是這樣，您必須了解它，并了解它是合同/采購的一部分。”

Haugli說，請確定清楚由誰負責裝置的更新和生命周期，以及在發生事故時你是否能通路這些裝置。他說：“我看到暖通空調（heating，ventural，and air conditioning）和列印機公司沒有放棄接入，導緻響應工作停滞。”。“這些廠商會推遲對作業系統的日常修補責任或更新”。

Haugli說，在某些情況下，合同可能不會明确規定客戶何時會購買帶有支援作業系統的新裝置，而供應商可能不願承擔成本。是以，一個不受支援且易受攻擊的裝置可能被允許在網絡上駐留的時間遠遠超過它應該駐留的時間。

“如果我們不向供應商闡明我們的要求，不采取措施确認合規性，也不追究他們的責任，我們有什麼理由期待這些問題得到解決?”Taule說。“正如硬體原始裝置制造商和軟體公司現在都希望承擔責任，找出并迅速解決其産品的弱點一樣，為我們提供IP錄影機、醫療裝置、列印機、無線接入點、冰箱的公司也應承擔責任。”

Taule說，公司應該将通用安全架構中列出的控制方法應用到物聯網裝置上。例如，在合同中包含安全功能需求；請求最近的漏洞掃描或主張自己進行掃描的權利；供應商有義務提供及時的更新以解決發現的缺陷；在固件更新後重新掃描裝置，以確定已發現的問題已經解決，并且沒有引入新的問題。

防禦物聯網身份欺騙

這些年來，黑客和他們的技術已經變得越來越熟練，這可能是物聯網安全的一大威脅。

“他們不斷像造假者和僞造者一樣提高自己的遊戲水準，” DiDio說。“物聯網裝置的指數級增長意味着攻擊面或攻擊媒介呈指數級增長。”

是以，企業及其安全和IT部門必須驗證與其通信的IoT裝置的身份，并確定它們對于關鍵通信、軟體更新和下載下傳是合法的。

DiDio說，所有物聯網裝置都必須具有唯一身份。她說，在沒有唯一身份的情況下，組織很容易受到從微控制器級别到網絡邊緣到應用程式和傳輸層的端點裝置的欺騙或黑客攻擊。

不要讓物聯網裝置啟動網絡連接配接

Pironti說，公司應該限制IoT裝置啟動網絡連接配接的能力，而隻能使用網絡防火牆和通路控制清單連接配接到它們。

Pironti說：“通過建立單向信任原則，物聯網裝置将永遠無法啟動到内部系統的連接配接，這将限制攻擊者利用它們作為跳轉點來探索和攻擊網絡段的能力。”。

Pironti說，雖然這并不能阻止對手攻擊與他們直接建立連接配接的系統，但會限制他們在網絡内橫向移動的能力。

Pironti說，企業還可以強制與IoT裝置的連接配接通過跳轉主機或網絡代理。他說：“通過在漏鬥點代理連接配接，組織可以在進出IoT裝置之前檢查網絡流量，并更有效地查詢流量。”這使它能夠确定其承載的流量和有效載荷是否适合于要接收或傳輸的IoT裝置。

為物聯網提供自己的網絡

許多類型的控制裝置（例如恒溫器和照明控件）通過無線連接配接。 然而，大多數企業無線網絡都需要WPA2-Enterprise / 802.1x，電氣承包商Rosendin Electric網絡安全和合規性進階總監James McGibney說。

“大多數這些裝置不支援WPA2-Enterprise，”McGibney說。“開發一種更安全的裝置将是理想的。但是，如果環境支援，你可以把這些裝置放在它們自己的無線網絡上，與生産網絡隔離開，并且僅允許Internet通路。”

McGibney說，這将需要建立一個單獨的服務集辨別符(SSID)和虛拟區域網路，并具有通過防火牆路由流量的能力。他說，隔離的無線網絡将在一個集中的位置配置和管理。

McGibney說：“我們已經對某些裝置進行了此操作，例如需要Internet通路的自動售貨機，我們無法控制這些裝置。”“我們将它們放置在訪客網絡中，該訪客網絡與生産隔離。”他說，它在相同的硬體上運作，但在單獨的VLAN上。

将安全性納入供應鍊

物聯網工作通常涉及到供應鍊中的多個合作夥伴，包括技術供應商、供應商和客戶，安全性必須考慮到這一點。

Taule說：“如果您還沒有這樣做，請查閱合同，财務或組織中管理供應鍊的任何其他部門。” “開始對話并與他們建立關系，除非獲得安全團隊的同意，否則不準許任何物聯網購買。”

Taule說，如果安全部門願意承擔分析工作的重擔，這些部門會積極配合。

Taule說，如何最好地增強供應鍊供應商的選擇過程完全取決于各個組織，但他建議考慮允許獨立驗證的制造商；提倡在裝置端設定寫保護開關，這樣固件就不會在您不知情的情況下更新;隻買正品，不買仿冒品。

原文連結