確保物聯(lián)網(wǎng)的安全是一項多方面的努力，需要大動作和小調(diào)整，以確保網(wǎng)絡(luò)、系統(tǒng)、數(shù)據(jù)和設(shè)備得到保護。以下是你可能沒有考慮過的7種安全措施。

　　物聯(lián)網(wǎng)（IoT）最大的問題之一是確保網(wǎng)絡(luò)、數(shù)據(jù)和設(shè)備的安全。物聯(lián)網(wǎng)相關(guān)安全事件已經(jīng)發(fā)生，IT、安全和網(wǎng)絡(luò)管理人員擔心類似事件會發(fā)生是有道理的。

　　安全標準和保證公司HITRUST的標準和CISO副總裁JasonTaule說：“除了最嚴格的環(huán)境之外，在所有環(huán)境中，你都將擁有物聯(lián)網(wǎng)設(shè)備?！薄皢栴}在于您將如何允許這些設(shè)備連接到您的網(wǎng)絡(luò)、系統(tǒng)和數(shù)據(jù)并與之交互?！?/p>

　　組織可以做些什么來增強物聯(lián)網(wǎng)的安全性？有很多選擇，包括一些可能不那么明顯的做法。

　　運行物聯(lián)網(wǎng)源代碼安全測試

　　研究和咨詢公司ITIC的負責人LauraDiDio說，為了在IoT中建立更好的安全性，組織應(yīng)該從其網(wǎng)絡(luò)基礎(chǔ)結(jié)構(gòu)中最小的組件開始。

　　“大多數(shù)物聯(lián)網(wǎng)設(shè)備都非常小，”DiDio說。“因此，源代碼往往是用通用語言——C、C++和C#語言編寫的，這些語言經(jīng)常會成為內(nèi)存泄漏和緩沖區(qū)溢出漏洞等常見問題的受害者。這些問題就相當于網(wǎng)絡(luò)上的感冒?！?/p>

　　DiDio說，就像普通感冒一樣，它們令人討厭且持久。她說：“在物聯(lián)網(wǎng)環(huán)境中，它們會激增并成為一個經(jīng)常被忽視的安全大問題?！薄斑@里最好的防御方法是測試、測試和重新測試?！盌iDio說，市場上有許多用于物聯(lián)網(wǎng)設(shè)備的備受好評的測試工具。

　　DiDio說，安全和IT管理員也可以使用堆棧cookie。這些是隨機數(shù)據(jù)字符串，應(yīng)用程序?qū)ζ溥M行了編碼，以將它們寫入指令指針寄存器之前的堆棧中，如果發(fā)生緩沖區(qū)溢出，則數(shù)據(jù)將溢出到堆棧中。她說：“如果確實發(fā)生緩沖區(qū)溢出，則堆棧cookie將被覆蓋?！睉?yīng)用程序?qū)⑦M一步編碼，以驗證堆棧cookie字符串將繼續(xù)與最初編寫代碼的方式匹配。如果堆棧cookie不匹配，則應(yīng)用程序終止。

　　部署訪問控制

　　在連接資產(chǎn)、產(chǎn)品和設(shè)備時，在物聯(lián)網(wǎng)環(huán)境中控制訪問是公司面臨的最大安全挑戰(zhàn)之一。這包括控制連接對象本身的網(wǎng)絡(luò)訪問。

　　咨詢公司IPArchitects的總裁、物聯(lián)網(wǎng)安全專家JohnPironti說，組織應(yīng)首先確定物聯(lián)網(wǎng)環(huán)境中的互聯(lián)事物認為可以接受的行為和活動，然后采取控制措施，做到這一點，但同時又不妨礙流程。

　　Pironti說：“不要使用單獨的VLAN（虛擬LAN）或網(wǎng)絡(luò)段，這可能會限制和削弱物聯(lián)網(wǎng)設(shè)備。而是在整個網(wǎng)絡(luò)中實施上下文感知的訪問控制，以允許適當?shù)膭幼骱托袨椋粌H在連接級別，而且在命令和數(shù)據(jù)傳輸級別?！?/p>

　　Pironti說，這將確保設(shè)備能夠按計劃運行，同時還限制了其執(zhí)行惡意或未經(jīng)授權(quán)的活動的能力。他說：“該過程還可以建立預(yù)期行為的基準，然后可以對其進行記錄和監(jiān)視，以識別超出預(yù)期行為的可接受范圍內(nèi)的異?；蚧顒印！?/p>

　　要求物聯(lián)網(wǎng)設(shè)備滿足安全標準

　　組織當然會雇傭各種各樣的服務(wù)提供者，在某些情況下，這些服務(wù)是通過放置在客戶場所的設(shè)備提供的。在物聯(lián)網(wǎng)時代，機器很有可能被連接起來，因此很容易受到黑客攻擊和其他入侵。

　　安全咨詢公司SideChannelSec的合伙人，保險公司漢諾威保險集團（HanoverInsuranceGroup）的前安全主管布萊恩·豪格里（BrianHaugli）說：“合同是一個起點。”“您的供應(yīng)商是否將物聯(lián)網(wǎng)作為其服務(wù)或解決方案的一部分推入您的企業(yè)？如果是這樣，您必須了解它，并了解它是合同/采購的一部分?！?/p>

　　Haugli說，請確保清楚由誰負責設(shè)備的更新和生命周期，以及在發(fā)生事故時你是否能訪問這些設(shè)備。他說：“我看到暖通空調(diào)（heating，ventural，andairconditioning）和打印機公司沒有放棄接入，導致響應(yīng)工作停滯。”。“這些廠商會推遲對操作系統(tǒng)的日常修補責任或升級”。

　　Haugli說，在某些情況下，合同可能不會明確規(guī)定客戶何時會購買帶有支持操作系統(tǒng)的新設(shè)備，而供應(yīng)商可能不愿承擔成本。因此，一個不受支持且易受攻擊的設(shè)備可能被允許在網(wǎng)絡(luò)上駐留的時間遠遠超過它應(yīng)該駐留的時間。

　　“如果我們不向供應(yīng)商闡明我們的要求，不采取措施確認合規(guī)性，也不追究他們的責任，我們有什么理由期待這些問題得到解決？”Taule說?！罢?a href="http://www.www27dydycom.cn/v/tag/1751/" target="_blank">硬件原始設(shè)備制造商和軟件公司現(xiàn)在都希望承擔責任，找出并迅速解決其產(chǎn)品的弱點一樣，為我們提供IP攝像機、醫(yī)療設(shè)備、打印機、無線接入點、冰箱的公司也應(yīng)承擔責任?！?/p>

　　Taule說，公司應(yīng)該將通用安全框架中列出的控制方法應(yīng)用到物聯(lián)網(wǎng)設(shè)備上。例如，在合同中包含安全功能需求；請求最近的漏洞掃描或主張自己進行掃描的權(quán)利；供應(yīng)商有義務(wù)提供及時的更新以解決發(fā)現(xiàn)的缺陷；在固件更新后重新掃描設(shè)備，以確保已發(fā)現(xiàn)的問題已經(jīng)解決，并且沒有引入新的問題。

　　防御物聯(lián)網(wǎng)身份欺騙

　　這些年來，黑客和他們的技術(shù)已經(jīng)變得越來越熟練，這可能是物聯(lián)網(wǎng)安全的一大威脅。

　　“他們不斷像造假者和偽造者一樣提高自己的游戲水平，”DiDio說?！拔锫?lián)網(wǎng)設(shè)備的指數(shù)級增長意味著攻擊面或攻擊媒介呈指數(shù)級增長?！?/p>

　　因此，企業(yè)及其安全和IT部門必須驗證與其通信的IoT設(shè)備的身份，并確保它們對于關(guān)鍵通信、軟件更新和下載是合法的。

　　DiDio說，所有物聯(lián)網(wǎng)設(shè)備都必須具有唯一身份。她說，在沒有唯一身份的情況下，組織很容易受到從微控制器級別到網(wǎng)絡(luò)邊緣到應(yīng)用程序和傳輸層的端點設(shè)備的欺騙或黑客攻擊。

　　不要讓物聯(lián)網(wǎng)設(shè)備啟動網(wǎng)絡(luò)連接

　　Pironti說，公司應(yīng)該限制IoT設(shè)備啟動網(wǎng)絡(luò)連接的能力，而只能使用網(wǎng)絡(luò)防火墻和訪問控制列表連接到它們。

　　Pironti說：“通過建立單向信任原則，物聯(lián)網(wǎng)設(shè)備將永遠無法啟動到內(nèi)部系統(tǒng)的連接，這將限制攻擊者利用它們作為跳轉(zhuǎn)點來探索和攻擊網(wǎng)絡(luò)段的能力。”。

　　Pironti說，雖然這并不能阻止對手攻擊與他們直接建立連接的系統(tǒng)，但會限制他們在網(wǎng)絡(luò)內(nèi)橫向移動的能力。

　　Pironti說，企業(yè)還可以強制與IoT設(shè)備的連接通過跳轉(zhuǎn)主機或網(wǎng)絡(luò)代理。他說：“通過在漏斗點代理連接，組織可以在進出IoT設(shè)備之前檢查網(wǎng)絡(luò)流量，并更有效地查詢流量?！边@使它能夠確定其承載的流量和有效載荷是否適合于要接收或傳輸?shù)腎oT設(shè)備。

　　為物聯(lián)網(wǎng)提供自己的網(wǎng)絡(luò)

　　許多類型的控制設(shè)備（例如恒溫器和照明控件）通過無線連接。然而，大多數(shù)企業(yè)無線網(wǎng)絡(luò)都需要WPA2-Enterprise/802.1x，電氣承包商RosendinElectric網(wǎng)絡(luò)安全和合規(guī)性高級總監(jiān)JamesMcGibney說。

　　“大多數(shù)這些設(shè)備不支持WPA2-Enterprise，”McGibney說?！伴_發(fā)一種更安全的設(shè)備將是理想的。但是，如果環(huán)境支持，你可以把這些設(shè)備放在它們自己的無線網(wǎng)絡(luò)上，與生產(chǎn)網(wǎng)絡(luò)隔離開，并且僅允許Internet訪問?！?/p>

　　McGibney說，這將需要創(chuàng)建一個單獨的服務(wù)集標識符（SSID）和虛擬局域網(wǎng)，并具有通過防火墻路由流量的能力。他說，隔離的無線網(wǎng)絡(luò)將在一個集中的位置配置和管理。

　　McGibney說：“我們已經(jīng)對某些設(shè)備進行了此操作，例如需要Internet訪問的自動售貨機，我們無法控制這些設(shè)備。”“我們將它們放置在訪客網(wǎng)絡(luò)中，該訪客網(wǎng)絡(luò)與生產(chǎn)隔離?！彼f，它在相同的硬件上運行，但在單獨的VLAN上。

　　將安全性納入供應(yīng)鏈

　　物聯(lián)網(wǎng)工作通常涉及到供應(yīng)鏈中的多個合作伙伴，包括技術(shù)供應(yīng)商、供應(yīng)商和客戶，安全性必須考慮到這一點。

　　Taule說：“如果您還沒有這樣做，請查閱合同，財務(wù)或組織中管理供應(yīng)鏈的任何其他部門?！薄伴_始對話并與他們建立關(guān)系，除非獲得安全團隊的同意，否則不批準任何物聯(lián)網(wǎng)購買。”

　　Taule說，如果安全部門愿意承擔分析工作的重擔，這些部門會積極配合。

　　Taule說，如何最好地增強供應(yīng)鏈供應(yīng)商的選擇過程完全取決于各個組織，但他建議考慮允許獨立驗證的制造商；提倡在設(shè)備端設(shè)置寫保護開關(guān)，這樣固件就不會在您不知情的情況下更新;只買正品，不買仿冒品。