目前，隨著物聯(lián)網(wǎng)(IoT)的發(fā)展，從手機(jī)和汽車到冰箱和燈開(kāi)關(guān)，幾乎所有的電子設(shè)備都可以連接到互聯(lián)網(wǎng)。現(xiàn)在連接到互聯(lián)網(wǎng)的設(shè)備數(shù)量正在迅速增長(zhǎng)，預(yù)計(jì)到2020年，這個(gè)數(shù)字將達(dá)到500億。
雖然物聯(lián)網(wǎng)看起來(lái)很有創(chuàng)意而且很方便，但這種趨勢(shì)也帶來(lái)了安全風(fēng)險(xiǎn)，企業(yè)和消費(fèi)者都將不可避免地要面對(duì)這些風(fēng)險(xiǎn)。具有操作系統(tǒng)的聯(lián)網(wǎng)設(shè)備都可能受到攻擊，所以這些設(shè)備可能會(huì)成為攻擊者入侵企業(yè)的后門。
以下，我們將討論物聯(lián)網(wǎng)的發(fā)展情況，并探討企業(yè)應(yīng)該如何應(yīng)對(duì)物聯(lián)網(wǎng)設(shè)備帶來(lái)的安全風(fēng)險(xiǎn)。
什么是IoT?為什么它越來(lái)越受歡迎?
IoT的概念正在迅速遍及整個(gè)社會(huì)，它幾乎可以改善每個(gè)人的生活和每個(gè)企業(yè)的運(yùn)作。這給企業(yè)創(chuàng)造了巨大的機(jī)會(huì)來(lái)開(kāi)發(fā)新的服務(wù)和產(chǎn)品，從而為其客戶提供更多的便利，并提高他們的滿意度。
而在用戶方面，谷歌公司最近宣布正在與主流汽車制造商(奧迪、通用汽車和本田)合作，將連接Android的汽車推向市場(chǎng)。目前，谷歌公司正在 開(kāi)發(fā)一款新的Android平臺(tái)，用以連接汽車到互聯(lián)網(wǎng)?？赡懿痪靡院?，汽車車主將能夠從計(jì)算機(jī)或者智能手機(jī)鎖定或者解鎖其車輛、啟動(dòng)發(fā)動(dòng)機(jī)甚至監(jiān)控車輛 性能。
除了給個(gè)人用戶帶來(lái)的這些好處，IoT設(shè)備還能夠給企業(yè)帶來(lái)巨大優(yōu)勢(shì)，企業(yè)移動(dòng)管理就是一個(gè)很好的例子。想象一下，快遞到企業(yè)的每個(gè)包裹附帶內(nèi) 置RFID芯片，該芯片可以連接到企業(yè)的網(wǎng)絡(luò)，并關(guān)聯(lián)到相關(guān)物流系統(tǒng)。或者在醫(yī)療環(huán)境，檢查室的每臺(tái)儀器都連接到網(wǎng)絡(luò)，并傳輸傳感器收集的病人數(shù)據(jù)。在養(yǎng) 殖業(yè)方面也有優(yōu)勢(shì)，試想一下，對(duì)每個(gè)動(dòng)物進(jìn)行數(shù)字化跟蹤，以監(jiān)視其位置、健康情況和行為。IoT的潛能是無(wú)限的，可連接到互聯(lián)網(wǎng)的設(shè)備數(shù)量也是無(wú)限的。
但是，在IoT帶來(lái)優(yōu)勢(shì)的同時(shí)，也帶來(lái)了很多風(fēng)險(xiǎn)。連接到互聯(lián)網(wǎng)的任何設(shè)備都有嵌入式操作系統(tǒng)部署在其固件中，由于嵌入式操作系統(tǒng)通常沒(méi)有將安 全性作為首要考慮因素，所以幾乎所有這種操作系統(tǒng)都存在漏洞，針對(duì)Android設(shè)備的惡意軟件數(shù)量就是最好的例子。類似威脅也可能在IoT設(shè)備間傳播。
企業(yè)和用戶必須準(zhǔn)備好應(yīng)對(duì)IoT的諸多風(fēng)險(xiǎn)問(wèn)題。下面列出了物聯(lián)網(wǎng)領(lǐng)域?qū)⒚鎸?duì)的七個(gè)風(fēng)險(xiǎn)問(wèn)題，并提出了可以幫助企業(yè)應(yīng)對(duì)這些風(fēng)險(xiǎn)的建議。
1.破壞性攻擊和拒絕服務(wù)攻擊
為了避免潛在的運(yùn)行故障和企業(yè)服務(wù)中斷，企業(yè)的重點(diǎn)工作是確保IoT設(shè)備的持續(xù)可用性。即使是增加新終端到網(wǎng)絡(luò)這樣看似簡(jiǎn)單的過(guò)程(特別是采用 機(jī)器對(duì)機(jī)器通信的自動(dòng)設(shè)備，例如幫助運(yùn)行電站或建立環(huán)境控制的設(shè)備)，企業(yè)都必須關(guān)注針對(duì)這些部署在遠(yuǎn)程位置的設(shè)備的物理攻擊。這將要求企業(yè)加強(qiáng)物理安全 以防止對(duì)安全外圍之外的設(shè)備的未經(jīng)授權(quán)訪問(wèn)。
破壞性網(wǎng)絡(luò)攻擊(例如拒絕服務(wù)攻擊)可能為企業(yè)帶來(lái)嚴(yán)重后果。如果數(shù)千臺(tái)IoT設(shè)備試圖訪問(wèn)企業(yè)網(wǎng)站或者數(shù)據(jù)feed，而發(fā)現(xiàn)其不可用時(shí)，企業(yè)曾經(jīng)滿意的客戶將會(huì)感到不滿，這會(huì)導(dǎo)致企業(yè)收入損失、客戶不滿，還可能影響企業(yè)在市場(chǎng)的聲譽(yù)。
IoT面臨的很多挑戰(zhàn)與攜帶自己設(shè)備到工作場(chǎng)所趨勢(shì)的挑戰(zhàn)很類似。管理丟失或被盜設(shè)備的功能(無(wú)論是遠(yuǎn)程擦除還是至少禁用其連接)對(duì)于處理受攻 擊IoT設(shè)備是關(guān)鍵因素。部署這種企業(yè)戰(zhàn)略將能夠幫助減小企業(yè)數(shù)據(jù)落入壞人之手后的風(fēng)險(xiǎn)。其他管理BYOD的政策也會(huì)有所幫助。
2.了解漏洞的復(fù)雜性
去年，一個(gè)未知攻擊者利用了流行的聯(lián)網(wǎng)嬰兒監(jiān)視器中的已知漏洞來(lái)窺探一個(gè)兩歲小孩。這個(gè)事件表明，IoT可能給企業(yè)和消費(fèi)者帶來(lái)巨大的風(fēng)險(xiǎn)。另 一個(gè)更具戲劇性的例子是，想象一下，使用溫控器等簡(jiǎn)單IoT設(shè)備來(lái)操作核電廠的溫度讀數(shù)。如果攻擊者攻擊了該設(shè)備，后果可能是災(zāi)難性的。因此，了解這些復(fù) 雜儀表的漏洞所在及其構(gòu)成的威脅嚴(yán)重性，是非常重要的工作。為了降低這種風(fēng)險(xiǎn)，任何涉及IoT設(shè)備的項(xiàng)目都必須在設(shè)計(jì)中考慮安全因素，并部署安全控制，以 及利用預(yù)先建立的基于角色的安全模型。由于這些設(shè)備可能涉及企業(yè)可能從未見(jiàn)過(guò)的硬件、平臺(tái)和軟件，漏洞的類型也可能也不同于企業(yè)先前面對(duì)的漏洞。企業(yè)絕對(duì) 不要低估IoT設(shè)備可能帶來(lái)的風(fēng)險(xiǎn)。