如今,快速發展的物(wù)聯網設備确實能夠在日常生(shēng)活中(zhōng)爲人們提供幫助,通過提供連接和智能服務,可以使人們的生(shēng)活更輕松。然而,當人們進入這個新的技術階段時,必須集中(zhōng)精力提高所有新設備和支持應用的安全性,需要保護自己免受網絡安全威脅。
物(wù)聯網(IoT)繼續呈增長勢頭。根據近期的研究表明,從2014年到2020年物(wù)聯網設備的數量将以23.1%的年複合增長率增長,到2020年将達到510億台。在未來3年内,連接到互聯網的設備數量是否達到這麽高的水平還有待時間來證明,顯然,傳感器和小(xiǎo)工(gōng)具的增長是爆炸性的。問題是如果物(wù)聯網設備繼續快速發展,那麽所有這些數據将如何保持保護、私有和安全?
消費(fèi)者對于便捷,永遠在線和無處不在的訪問似乎是永不滿足。例如,當購物(wù)者忘記了雜(zá)貨清單時,現在可能通過冰箱的通知(zhī)了解是否需要雞蛋或牛奶。這種類型的物(wù)聯網設備的能力增長高于人們的預期,而爲了保持一(yī)切正常運行,增加了數據中(zhōng)心基礎設施,人員(yuán),流程和技術的壓力。可以看出,這些物(wù)聯網設備的新用途正在網絡上開(kāi)辟了新端點,從而轉化爲潛在的安全問題。在某些情況下(xià),這些設備正在傳播信息,這爲網絡犯罪分(fēn)子尋找漏洞提供了主要目标。
爲了保持這些平台的安全性,首當其沖的責任将在于這些物(wù)聯網生(shēng)産商(shāng),這些企業擔負着保護物(wù)聯網和虛拟基礎設施的責任,并保護物(wù)聯網平台上的動态數據和信息的蓬勃發展。當許多人在考慮相關的安全風險時,大(dà)多數人并不知(zhī)道這些廠商(shāng)和技術隻能解決其中(zhōng)的一(yī)部分(fēn)問題。爲确保物(wù)聯網數據安全,基礎設施,人員(yuán),以及流程也很重要。
與物(wù)聯網有關的風險有很多。事實上根據行業媒體(tǐ)的報道,2016年的網絡攻擊的數量達到9000萬次,這意味着每分(fēn)鍾400次。随着數據通過虛拟生(shēng)态系統傳播時,其安全性必須超出設備本身。這意味着,保持信息和物(wù)理安全,以及部署合适的人員(yuán)監控和主動測試安全性的過程對于維護安全的環境至關重要。因此,各級部門必須采取各種保護和控制措施,将安全性“最強”的數據中(zhōng)心與較弱或更加脆弱的數據中(zhōng)心設施和系統分(fēn)開(kāi)。
物(wù)聯網的技術保障
到物(wù)聯網管理系統和設備的網絡路由:到物(wù)聯網管理界面以及設備本身的路由可能會打開(kāi)額外(wài)的安全漏洞。物(wù)聯網設備按定義進行通信;它們可以向管理系統推送數據,或者可以輪詢數據。API的開(kāi)放(fàng)端口都是惡意黑客查看協議運行并暴露弱點的機會。
1. 物(wù)聯網平台的管理人員(yuán)
在某些情況下(xià),攻擊可能是發送給系統管理員(yuán)請求的結果,該系統管理員(yuán)意外(wài)點擊它,從而使黑客進入系統。
2. 更新物(wù)聯網設備固件
這可能聽(tīng)起來很簡單,但檢查和更新固件可以讓企業比那些想要利用物(wù)聯網設備的人領先一(yī)步。如果物(wù)聯網設備存在可以利用的漏洞,生(shēng)産制造商(shāng)通常會在黑客訪問設備的環境之前識别并修複問題。
3. 默認密碼
默認密碼是物(wù)聯網設備不安全的區域。物(wù)聯網設備通常會帶有默認密碼,大(dà)多數人認爲這是非威脅性的,這意味着那些不具有敏感的詳細信息(如家庭智能恒溫器)。然而,可能并不是這樣,因爲這些設備可能有與物(wù)聯網管理平台進行通信的一(yī)種方式。
4. 回到基礎
将設備放(fàng)在網絡上的概念不一(yī)定是一(yī)個新的想法,開(kāi)發人員(yuán)多年來已經解決了這個設計挑戰。回想一(yī)下(xià),軟件架構已經進化和改變。例如,回顧過去(qù)25年來人們看到的各種軟件體(tǐ)系結構,例如胖客戶端,客戶端服務器,瘦客戶機,以及服務器。回到人們用于其他平台的基本安全原則,也适用于物(wù)聯網平台。
咨詢企業的物(wù)聯網設備供應商(shāng):在許多情況下(xià),這意味着企業需要詢問先前使用的平台架構提出的所有問題,并對“漏洞”進行“測試”。這些包括:設備如何捕獲,存儲,以及傳輸數據?設備數據是否加密?設備上的數據是否被推送到物(wù)聯網的管理界面?
基礎設施+人員(yuán)+流程
數據中(zhōng)心設施(如門禁,監控攝像頭和簽到表)的物(wù)理安全功能是至關重要的,但這些措施本身可能會受到影響。這就是爲什麽必須部署通過适當培訓的工(gōng)作人員(yuán)和控制措施來維護一(yī)個能夠支持所有這些平台的安全數據中(zhōng)心的原因。所有數據中(zhōng)心員(yuán)工(gōng)必須每年進行安全意識培訓,以便能及時了解最新的威脅和潛在問題。
培訓人員(yuán)必須超越那些管理數據中(zhōng)心的人員(yuán)。重要的是讓訪問數據中(zhōng)心的每個人(從運營,IT,甚至銷售和營銷人員(yuán))了解這些安全風險及其對他們的意義。每個接觸數據中(zhōng)心的員(yuán)工(gōng)都有可能危及基礎設施,人員(yuán)和流程。在物(wù)聯網平台上培訓員(yuán)工(gōng)至關重要,這樣他們才能對技術方面有一(yī)個很好的理解,從而更好地了解他們應該尋找的東西。
這些揮之不去(qù)的威脅需要采取積極措施。人們将看到諸如ISO 27001之類的信息安全标準變得越來越普遍,以确保不僅僅是工(gōng)具,還有更多的信息。該認證是使整個企業參與安全和合規計劃的一(yī)個很好的例子,并确保進行額外(wài)的控制,以幫助測試其信息安全管理系統(ISMS)的整體(tǐ)有效性。
基礎設施,人員(yuán),流程和技術是可以加強存放(fàng)物(wù)聯網數據的數據中(zhōng)心安全性的關鍵重點。但是讓人們不要忘記關于物(wù)聯網的其他一(yī)些風險因素。
物(wù)聯網正在改變人們對設備和應用程序的思考方式。它迫使越來越多的設備在公共網絡(即互聯網)上相互連接。将設備放(fàng)在網絡上并不是一(yī)個新穎的概念,在許多情況下(xià),如果在普通網絡接入大(dà)量輸入設備,這可能意味着爲黑客大(dà)開(kāi)門戶。這些設備中(zhōng)有許多是由公司和人員(yuán)建立和管理的,他們把功能放(fàng)在首位,而不是安全性。
企業需要采取積極主動的方式來處理物(wù)聯網安全,以确定他們有适當的控制和政策。政策是爲了保護企業,幫助确保一(yī)切順利,并且“正常運行”,這樣數據中(zhōng)心内的客戶就可以放(fàng)心地支持基礎設施、人員(yuán)、流程和技術來支持這些平台。安全處理程序,如事件響應、災難恢複和業務連續性計劃,應該是處理大(dà)量物(wù)聯網數據的業務的首要任務。
雖然這些新設備的設計使人們的工(gōng)作和生(shēng)活更加容易,但總是存在威脅,很多因素可能會導緻物(wù)聯網設備成爲黑客利用的工(gōng)具。而這些隻是在涉及物(wù)聯網安全風險時需要考慮的一(yī)些想法。
上一(yī)篇:安全人員(yuán)發現基于 .NET 平台且使用開(kāi)源項目的勒索軟件
下(xià)一(yī)篇:關于軟件定義數據中(zhōng)心(SDDC)的網絡安全分(fēn)析