2020年实现物联网安全的7个流程

 

在新的一年到来的时候，安全行业的人士总在问这些问题：在未来一年面临的安全挑战是否与往年有所不同?企业是否应该改变防御策略，尤其是在运营技术(OT)、物联网(IoT)和关键基础设施组件方面?

 

安全厂商Nominet公司网络安全副总裁Stuart Reed表示：“在网络安全的总体趋势中，我们看到的是，这里一直都是一个充满活力的地方，但现在网络攻击没有界限。”他解释说，那些针对运营技术(OT)跨越边界的网络攻击可能会产生超出IT系统之外，甚至对人类的生命和安全产生直接影响。

 

运营技术(OT)和物联网(IoT)设备的安全性工作很复杂，而运营技术(OT)和物联网(IoT)的设计安全性目前不是IT系统的标准。Reed说：“许多控制系统和运营技术(OT)基础设施从来没有设计过以数字方式连接到其他任何地方。”他解释说，但是数字化的持续发展趋势意味着很少有运营技术(OT)系统可以长期隔离网络攻击。

 

随着网络犯罪分子和激进国家的网络威胁不断发展，安全团队应采取哪些步骤来保护其组织拥有的运营技术(OT)和物联网(IoT)系统?网络安全专家对如何应对2020年物联网威胁提出了一些建议。他们希望在未来一年无论威胁环境如何变化，都确保其运营技术(OT)系统尽可能安全。以下是网络安全专家提出的七个安全注意事项：

 

1.注意边缘

 

nVisium公司首席执行官Jack Mannino说：“随着边缘计算和分布式传感器网络的增长，云计算基础设施和边缘设备成为网络攻击者越来越关注的目标。使边缘设备不受攻击者控制的关键是采用混合方法来解决问题。”

 

Mannino说，“边缘计算需要采用混合云方法，其中边缘设备和云计算服务必须在每一层建立信任。用户决定如何建立信任并成为业务流程的一部分，首先要详细分析边缘设备如何生成数据、生成什么类型的数据，以及将数据传输到应用程序基础架构的其余部分的过程。”

 

就像传统的IT攻击者通常选择用户作为进入网络的方式一样，那些想要破坏企业物联网设备的网络攻击者可能会看到边缘设备托管最简单的进入端口，这使用户将注意力集中在网络中心上，忽视了边缘上比较脆弱的设备。

 

2.安全培训

 

Reed说，尽管恶意软件和基于物联网的攻击变得越来越复杂，但成功进行攻击并不需要高度复杂的技术。他解释说：“如果人们不了解自己在良好的网络卫生中所扮演的角色和责任，那么可能会发生一些非常基本的攻击。”

 

这些角色和职责包括一些显而易见的要点，比如不要点击来自未知或意外来源的附件，但它们远远超出了这些基本要求。毕竟，保护重要的数据和基础设施，Information Security Forum常务董事Steve Durbin表示：“首先要求最终用户接受数据需要保护的理念。由于有着不同的社会规范，涉及数据的公认价值，因此需要保护数据，以及谁应该首先负责保护数据。”

 

Reed说，最大限度地降低员工行为风险的关键是安全教育和培训。他解释说：“除了培训课程，我认为安全教育可以采取多种不同的形式。例如在线媒体在更广阔网络安全教育方面扮演着非常关键的角色。”

 

3.物联网的可见性

 

与安全专家进行对话时，一个共同的主题是需要更好地了解用户的网络和基础设施。这种需求不会随着传统IT和物联网设备之间的划分而停止。

 

Thycotic公司首席安全科学家Carson说：“如果没有物联网设备及其带来的风险，就无法确定物联网数据的潜在安全和隐私风险。要了解物联网设备的风险，用户首先想知道其功能或用途，例如是数据收集器、数据处理器还是数据相关器。在确定作为基础设施的一部分的设备之后，了解功能是第二步。”

 

安全专业人员在提高其整体基础设施的物联网的可见性方面应该做些什么?nVisium公司Mannino说，“这项工作应该从对物联网设备等资产的架构蓝图进行一致的安全分析，以找出缺失和设计错误的架构控制，并在允许的情况下采用一致的安全代码分析。”

 

4.消费者设备问题

 

如果用户有一个网络，则很有可能将消费类设备连接到基础设施。企业员工已将消费类设备作为日常生活的一部分，大多数员工都不愿意放弃这些设备的优势。Durbin说，“当这些消费者工作时，他们也希望将这些功能强大的设备用于业务应用，而在过去的几年中，这导致组织与个人之间，个人信息与公开可用的详细信息之间的界限越来越模糊。”

 

在许多情况下，问题并非始于员工使用自己的设备，而是始于许多消费类设备在设计之初就并未被设计为安全的业务设备。此外，Dubirn说，“这些设备的使用方式模糊了个人和企业使用与行为之间的界限。其潜在的风险包括滥用设备本身、外部利用软件漏洞，以及部署未经测试的、不可靠的业务应用程序。”

 

在处理整个物联网环境中可能涉及的云计算服务和物联网设备时，安全专业人员需要积极与他们的供应商和合作伙伴互动，以确保基本组件能够安全使用。例如，Acceptto公司首席安全架构师Fausto Oliveira表示，物联网设备必须具有更改默认用户名和密码的能力，以及与网络中上游和下游系统进行加密通信的能力。Oliveira说：“企业需要供应商提供强有力的指导，并确保在选择过程中，安全是一项明确定义的功能。”他表示，这符合供应商及其用户的最大利益，以确保整个系统尽可能安全。