Phenix Energy Group公司正在整個(gè)中美洲構(gòu)建原油管道,該公司首席運(yùn)營(yíng)官兼代理首席信息官Perrin希望整合“物聯(lián)網(wǎng)”到“所有可以想象的環(huán)境”。這意味著,不再是員工帶著鑰匙卡或PIN碼在整個(gè)建筑物中走動(dòng),樓宇訪問(wèn)將通過(guò)面部識(shí)別軟件來(lái)控制。
Perrin認(rèn)為,企業(yè)物聯(lián)網(wǎng)是提高運(yùn)營(yíng)效率和減少人為錯(cuò)誤的關(guān)鍵。對(duì)于該公司而言,這些目標(biāo)有些緊急,該公司需要在18個(gè)月內(nèi)鋪設(shè)220英里陸地和海底管道,以及在6個(gè)月內(nèi)構(gòu)建其支持的油庫(kù)。除了時(shí)間期限的壓力外,還不允許有一點(diǎn)閃失。Perrin估計(jì),每分鐘的停機(jī)將讓該公司損失1.8萬(wàn)美元。全面的系統(tǒng)故障將需要9個(gè)小時(shí)才能恢復(fù),而這將讓該公司收入損失900萬(wàn)美元。
“我們希望在重復(fù)工作中剔出人類的因素,”Perrin表示,“這就是說(shuō)讓重復(fù)的工作自動(dòng)進(jìn)行,讓我可以完成真正的工作。”
但即使作為物聯(lián)網(wǎng)最大的冠軍之一,Perrin敏銳地意識(shí)到增加數(shù)百非傳統(tǒng)設(shè)備到其網(wǎng)絡(luò)的風(fēng)險(xiǎn)——設(shè)備運(yùn)行不同的操作系統(tǒng),使用任意數(shù)量的專有協(xié)議,并且通常沒(méi)有資源支持高級(jí)安全配置。這些擔(dān)憂塑造了他的網(wǎng)絡(luò)設(shè)計(jì)和采購(gòu)策略。
“我們正在采取沙箱的做法,可能達(dá)到幾乎不合邏輯的程度,”Perrin稱,“但首席執(zhí)行官有天對(duì)我說(shuō),‘如果人們進(jìn)來(lái)這里,并開(kāi)始亂弄我們的系統(tǒng),我們做的第一件事情就是把你的頭釘在墻上,然后用別人去替代你。’我不喜歡這種想法,他是個(gè)好人,但我可不想被他釘在墻上。”
在消費(fèi)者市場(chǎng)的“嚇人的事故”包括攻擊嬰兒監(jiān)視器、攻擊聯(lián)網(wǎng)汽車以及對(duì)智能家庭的意外拒絕服務(wù)攻擊,隨著IT部門將這些物聯(lián)網(wǎng)項(xiàng)目轉(zhuǎn)移到其實(shí)驗(yàn)室和生產(chǎn)環(huán)境,有關(guān)企業(yè)物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)的討論越來(lái)越多。
根據(jù)Verizon2015年數(shù)據(jù)泄露事故調(diào)查報(bào)告指出,現(xiàn)在已經(jīng)發(fā)生了針對(duì)企業(yè)的“不廣為人知的物聯(lián)網(wǎng)設(shè)備數(shù)據(jù)泄露事故”,該報(bào)告稱到目前為止報(bào)告的漏洞都已經(jīng)被研究人員發(fā)現(xiàn)。然而,物聯(lián)網(wǎng)迅速移動(dòng)的性質(zhì)以及更廣泛的威脅形式意味著,這可能在任何時(shí)刻發(fā)生改變。網(wǎng)絡(luò)專業(yè)人員稱他們很擔(dān)心,在參與TechTarget2015年采購(gòu)意向調(diào)查的受訪者中,60%認(rèn)為安全是IoT面臨的最大挑戰(zhàn)之一。
Phenix Energy公司首席治理官John Becker表示,IoT威脅的嚴(yán)重程度已經(jīng)大大言過(guò)其實(shí),但這并沒(méi)有阻止Phenix等公司加強(qiáng)其安全努力。
“我們看到很多關(guān)于IoT的新聞?wù)娴氖俏Q月柭?tīng),”Becker說(shuō)道,“我認(rèn)為底線是我們需要關(guān)注系統(tǒng)是如何設(shè)計(jì)的。”
危險(xiǎn)在哪里?
人們很容易這樣看待IoT:燈泡或HVAC系統(tǒng)不能運(yùn)行防病毒軟件,所以IoT一定有風(fēng)險(xiǎn)。但信息安全培訓(xùn)和認(rèn)證公司SANS研究所主管John Pescatore表示,這是一個(gè)過(guò)于簡(jiǎn)單的觀點(diǎn)。
“你知道還有什么不能運(yùn)行防病毒軟件嗎?iPhone,而且iPhone沒(méi)有感染病毒,”Pescatore稱,“因此,每當(dāng)你聽(tīng)到有人說(shuō),‘噢,你不能在那上面運(yùn)行防病毒軟件,’你應(yīng)該說(shuō),‘是的!’因?yàn)檫@通常意味著病毒也不會(huì)在上面運(yùn)行,因?yàn)榉啦《拒浖举|(zhì)上是一個(gè)工具包。”
在某些情況下,IoT設(shè)備在設(shè)計(jì)前期就有考慮安全因素,這是比電腦和服務(wù)器原有操作系統(tǒng)設(shè)計(jì)時(shí)更深思熟慮的做法。
雖然企業(yè)IoT設(shè)備可能最終成為吸引攻擊者的目標(biāo),但這并不是因?yàn)樗麄兿胍蜷_(kāi)和關(guān)閉燈光。
“我會(huì)擔(dān)心HVAC或傳感器本身作為攻擊切入點(diǎn)——讓攻擊者可以進(jìn)來(lái)并攻擊我的系統(tǒng),”啤酒分銷商Del Papa Distributing公司IT副總裁Steve Holtsclaw表示,“任何有IP地址的東西都可能以某種方式被攻擊。”該公司已經(jīng)在其倉(cāng)庫(kù)和卡車內(nèi)部署了IoT設(shè)備。
IDC公司研究主管Pete Lindstrom表示,這些威脅無(wú)法通過(guò)傳統(tǒng)安全方法來(lái)緩解。
“我們陷入框架控制,但我們?cè)诖蛑暗膽?zhàn)役,這是一個(gè)不同的環(huán)境,”Lindstrom表示,“我們需要對(duì)后端進(jìn)行更好的分析。”
這意味著所有目光都聚集在網(wǎng)絡(luò),希望網(wǎng)絡(luò)來(lái)發(fā)揮引領(lǐng)作用。
“我們常說(shuō),‘你們必須使用這個(gè)操作系統(tǒng),而由于你使用那個(gè)操作系統(tǒng),我認(rèn)為你需要使用這個(gè)安全軟件。’在物聯(lián)網(wǎng)時(shí)代,這種日子已經(jīng)結(jié)束,”Pescatore表示,“當(dāng)你不能把任何東西放在終端時(shí),你可以從網(wǎng)絡(luò)做更多的安全操作。”
可見(jiàn)性和管理挑戰(zhàn)
你需要知道你網(wǎng)絡(luò)上有什么才能保護(hù)它們。這聽(tīng)起來(lái)很簡(jiǎn)單,但對(duì)于很多IT部門來(lái)說(shuō),找到和關(guān)閉流氓設(shè)備是無(wú)休止的工作,而物聯(lián)網(wǎng)更是增加了工作難度,因?yàn)楹芏嗦┒垂芾硐到y(tǒng)可以識(shí)別“Bob的iPad”或“Carol的戴爾筆記本電腦”,但無(wú)法識(shí)別聯(lián)網(wǎng)的空調(diào)或門鎖。
Pescatore稱:“在物聯(lián)網(wǎng)中,大家需要解決的第一個(gè)問(wèn)題是能夠發(fā)現(xiàn)這些設(shè)備。”
他最近采訪了新英格蘭大學(xué)的首席信息安全官,該CISO發(fā)現(xiàn)在該大學(xué)剛搬進(jìn)的建筑物中有300個(gè)流氓設(shè)備。他的漏洞掃面軟件無(wú)法識(shí)別這些終端,他的團(tuán)隊(duì)手動(dòng)追蹤這些終端,并發(fā)現(xiàn)它們大多數(shù)是以前的房客留下的聯(lián)網(wǎng)設(shè)備,例如溫度傳感器和攝像頭。
“不幸的是,大多數(shù)現(xiàn)在做的工作都是‘不要問(wèn),不會(huì)說(shuō)’,有點(diǎn)像Wi-Fi的早期時(shí)候。這就像,‘天哪,如果我開(kāi)始尋找,我會(huì)發(fā)現(xiàn)某個(gè)東西,然后我必須做一些工作,’”Pescatore表示,“那些在BYOD安全做得最好的企業(yè)實(shí)際上也能夠確保物聯(lián)網(wǎng)的最佳安全性,因?yàn)樗麄儾捎媚撤N形式的網(wǎng)絡(luò)接入控制,當(dāng)設(shè)備連接到其網(wǎng)絡(luò)時(shí),他們可以檢測(cè)得到。”
除了缺乏可視性外,還有另一個(gè)問(wèn)題:物聯(lián)網(wǎng)設(shè)備制造商本身之間的差異化。
美國(guó)休斯頓衛(wèi)理公會(huì)醫(yī)院無(wú)線網(wǎng)絡(luò)架構(gòu)師George Stefanick對(duì)在醫(yī)療環(huán)境使用物聯(lián)網(wǎng)的可能性很感興趣。他的團(tuán)隊(duì)正在對(duì)一款移動(dòng)應(yīng)用進(jìn)行概念證明,該應(yīng)用可使用藍(lán)牙信標(biāo)和Wi-Fi來(lái)識(shí)別病人到達(dá)醫(yī)院、檢查他到達(dá)約定地點(diǎn),并給他提供到其醫(yī)生辦公室的導(dǎo)航。
盡管建立網(wǎng)絡(luò)來(lái)支持這些舉措具有挑戰(zhàn)性,但這是Stefanick熟悉的領(lǐng)域。更大的障礙是評(píng)估和管理各種物聯(lián)網(wǎng)平臺(tái)。
“我們不應(yīng)該使用來(lái)自10個(gè)不同供應(yīng)商的10種不同設(shè)備,但現(xiàn)在正是這樣,”他說(shuō)道,“我們真的希望在單窗格管理這些設(shè)備。”
與PC和智能手機(jī)操作系統(tǒng)市場(chǎng)不同,IoT平臺(tái)預(yù)計(jì)不會(huì)整合。其結(jié)果是:企業(yè)越來(lái)越難以采用統(tǒng)一的安全方法。
“每個(gè)供應(yīng)商都有專用通信方法,并且,為了與其他公司的組件競(jìng)爭(zhēng),他們必須開(kāi)放其部分功能來(lái)與其他設(shè)備通信,”Phenix Energy公司的Perrin表示,“這會(huì)帶來(lái)很多漏洞,因?yàn)槊看文愦蜷_(kāi)某個(gè)事物的端口,你就等于打開(kāi)一個(gè)門讓攻擊者可以進(jìn)來(lái)。”
Del Papa公司的Holtsclaw運(yùn)行的企業(yè)IoT環(huán)境主要基于思科的設(shè)備,但他也同樣在關(guān)注這個(gè)問(wèn)題。
“你使用所有這些設(shè)備,它們運(yùn)行在各種平臺(tái)——Linux、Unix、Windows、Android、iOS,并且,它們都在使用不同類型的通信協(xié)議,”他表示,“你如何控制這一切?你如何管理?如何確保安全性?”
通過(guò)網(wǎng)絡(luò)解決IoT安全
IoT帶來(lái)了新的挑戰(zhàn),但網(wǎng)絡(luò)安全領(lǐng)域很多經(jīng)典的最佳做法仍然適用,包括分隔、基于區(qū)域的政策和關(guān)閉雜散端口,其他措施則取決于企業(yè)的風(fēng)險(xiǎn)承受能力以及IT部門的文化?,F(xiàn)在管理IoT環(huán)境的企業(yè)需要從各種角度來(lái)解決威脅,包括從專注于身份驗(yàn)證標(biāo)準(zhǔn)到完全鎖定第三方網(wǎng)絡(luò)設(shè)備的使用戰(zhàn)略等。
在休斯頓衛(wèi)理公會(huì)醫(yī)院,Stefanick發(fā)現(xiàn)IoT供應(yīng)商對(duì)802.1x的支持不一致,這是使用可擴(kuò)展身份驗(yàn)證協(xié)議(EAP)的企業(yè)級(jí)無(wú)線身份驗(yàn)證標(biāo)準(zhǔn)。作為一位無(wú)線工程師,他發(fā)現(xiàn)使用802.1x的IoT設(shè)備。
“當(dāng)你看到這些涌入的物聯(lián)網(wǎng)設(shè)備,我們發(fā)現(xiàn)他們都在使用預(yù)共享密鑰,”Stefanick稱,“我們實(shí)際上不得不創(chuàng)建測(cè)試網(wǎng)絡(luò)進(jìn)行概念證明,這種方式并不是很安全。我們的反饋是,‘我們不可能購(gòu)買這個(gè)東西,除非你能提高安全性,并且,我們需要EAP身份驗(yàn)證來(lái)做到這一點(diǎn)。’”
IoT設(shè)備制造商需要告知企業(yè)其產(chǎn)品與網(wǎng)絡(luò)的交互方式。
在看到供應(yīng)商兜售所謂的具有消費(fèi)級(jí)安全功能的企業(yè)設(shè)備后,Perrin采取了同樣謹(jǐn)慎的態(tài)度,并且,與Stefanick一樣,Perrin也避免使用云計(jì)算方式來(lái)維持更嚴(yán)格的控制。
而Phenix公司則采取了更積極的做法,其位于Honduras的辦公室和數(shù)據(jù)中心通過(guò)10 Gbps私有光纖連接到Palm港的冗余站點(diǎn)。在Honduras辦公室只有兩個(gè)端口開(kāi)放:一個(gè)用于電話,另一個(gè)用于基于互聯(lián)網(wǎng)的業(yè)務(wù)活動(dòng)。Perrin還阻止了網(wǎng)絡(luò)釣魚活動(dòng)率高的國(guó)家(例如巴西)的所有流量。
“我們正在進(jìn)行有效地切斷,我們已經(jīng)看到企業(yè)過(guò)來(lái)說(shuō),‘我們與你們合作的唯一方式是你為我們打開(kāi)一個(gè)端口,’我們告訴他們,‘感謝您的光纜,請(qǐng)不要再來(lái)打擾我們,’”他表示,“我們不會(huì)為他們打開(kāi)端口,因?yàn)槲覀儾荒苊斑@個(gè)險(xiǎn)。”
Perrin也不會(huì)在工業(yè)設(shè)備和物聯(lián)網(wǎng)設(shè)備所在的管道使用銅纜。
“我們使用光纖是因?yàn)槟悴荒芡ㄟ^(guò)切斷它來(lái)制造破壞,”他表示,“當(dāng)然,切斷會(huì)立即告訴我們的系統(tǒng)和物聯(lián)網(wǎng)設(shè)備發(fā)生了異常情況,并且會(huì)立即關(guān)閉流經(jīng)該管道以及冗余光纖鏈接的數(shù)據(jù)流。”
在Del Papa,聯(lián)網(wǎng)的傳感器監(jiān)控照明、庫(kù)存和問(wèn)題——降低電力成本,并確保啤酒的庫(kù)存和冷卻正常。在倉(cāng)庫(kù)貨架的傳感器會(huì)檢測(cè)某處是否庫(kù)存偏低,這會(huì)觸發(fā)電子郵件警報(bào)來(lái)增加庫(kù)存。該公司卡車中的其他傳感器則可配置為報(bào)告員工是否在超速駕駛。
面對(duì)這么多關(guān)鍵操作,Holtsclaw表示,安全仍然是一個(gè)巨大的問(wèn)題。他目前正在測(cè)試來(lái)自戴爾和英特爾的IoT網(wǎng)關(guān),其功能是作為其IoT設(shè)備和互聯(lián)網(wǎng)之間的單個(gè)接入點(diǎn)。
“這可以防止外部流量進(jìn)入網(wǎng)絡(luò)內(nèi)的這些設(shè)備,并與網(wǎng)關(guān)通信,”Holtsclaw表示,“我認(rèn)為這是IoT安全方面的關(guān)鍵因素。”