雖然通過這種大規(guī);ミB系統(tǒng)獲得的效率和可見性將帶來新的優(yōu)勢,但這也可能帶來新的挑戰(zhàn)。經(jīng)驗告訴我們,當(dāng)一切事物互連時,這一切也都容易受到攻擊。
事實上,創(chuàng)建系統(tǒng)的系統(tǒng)的方法并不是新鮮事。軍方已經(jīng)使用移動指揮所、無人駕駛車輛和可穿戴式計算機長達幾十年,這些設(shè)備和系統(tǒng)都連接到一個網(wǎng)絡(luò),來為戰(zhàn)士提供共同的操作畫面。
根據(jù)為軍方創(chuàng)建系統(tǒng)的企業(yè)所獲得的經(jīng)驗,為我們提供了對信息安全風(fēng)險的獨特視角。隨著網(wǎng)絡(luò)威脅日益復(fù)雜化,所有企業(yè)應(yīng)該注意以下四個方面:
1) 確保信息的可靠性以及系統(tǒng)具有彈性。 對于IoT生成的大量數(shù)據(jù),一個關(guān)鍵的問題是:“我怎么知道這個系統(tǒng)產(chǎn)生的數(shù)據(jù)是可靠的?”首席信息安全官(CISO)可以在信息保障戰(zhàn)略中找到答案。數(shù)據(jù)可以通過簡單的工具進行加密,例如安全/多用途因特網(wǎng)郵件擴展協(xié)議(S/MIME)或者更復(fù)雜的系統(tǒng),例如信息權(quán)限管理解決方案。
此外,還可以通過從軍事領(lǐng)域帶來的虛擬機技術(shù)、數(shù)據(jù)庫容器和跨域解決方案提供數(shù)據(jù)分離和風(fēng)險分隔。系統(tǒng)必須進行硬化處理,而不只是打補丁;不必要的服務(wù)和應(yīng)用程序必須被刪除,并適當(dāng)?shù)嘏渲檬S嗟能浖镮oT構(gòu)建的很多系統(tǒng)(無論是在設(shè)備端還是在云端)都是基于多用途操作系統(tǒng),并且有著很多功能具有潛在風(fēng)險。
2) 緊跟技術(shù)發(fā)展。 對于進入IoT領(lǐng)域的每個新設(shè)備,都會引入新的漏洞和威脅。網(wǎng)絡(luò)攻擊者不僅能夠利用這個新設(shè)備中的漏洞,而且他還得到了新的路徑來攻擊其它設(shè)備。企業(yè)不僅需要了解新設(shè)備在其生態(tài)系統(tǒng)帶來的新機會,也要了解其帶來的新風(fēng)險,并預(yù)先計劃好如何管理它們。
安全企業(yè)應(yīng)該有一個實驗室,用來研究新設(shè)備,不只是如何使用設(shè)備,而是了解設(shè)備中的結(jié)構(gòu);產(chǎn)生和傳輸什么數(shù)據(jù);設(shè)備傳輸數(shù)據(jù)到哪里;以及它將從其他設(shè)備獲得什么連接等。最重要的是,如果攻擊者能夠訪問這個設(shè)備的產(chǎn)生的數(shù)據(jù)以及傳感器,包括用戶攜帶的個人設(shè)備,企業(yè)必須做好準(zhǔn)備。
3) 專注于內(nèi)部威脅。 IoT是關(guān)于設(shè)備之間的連接,以及傳感器、云處理和存儲以及自動執(zhí)行器產(chǎn)生的大量數(shù)據(jù)。對這個環(huán)境的威脅可能會被外圍防御減慢,但安全專家都知道,最危險的威脅是內(nèi)部威脅。Target、維基解密和斯諾登都是這種內(nèi)部威脅的證據(jù),特別是有關(guān)財務(wù)成本和信任損失。Target的例子完全是關(guān)于IoT,通過首先進入加熱、通風(fēng)和空調(diào)控制器,攻擊者能夠滲透到POS設(shè)備。最終導(dǎo)致銀行和信用社損失超過2億美元。