Phenix Energy Group公司正在整個(gè)中美洲構(gòu)建原油管道，該公司首席運(yùn)營(yíng)官兼代理首席信息官Perrin希望整合“物聯(lián)網(wǎng)”到“所有可以想象的環(huán)境”。這意味著，不再是員工帶著鑰匙卡或PIN碼在整個(gè)建筑物中走動(dòng)，樓宇訪問(wèn)將通過(guò)面部識(shí)別軟件來(lái)控制。

Perrin認(rèn)為，企業(yè)物聯(lián)網(wǎng)是提高運(yùn)營(yíng)效率和減少人為錯(cuò)誤的關(guān)鍵。對(duì)于該公司而言，這些目標(biāo)有些緊急，該公司需要在18個(gè)月內(nèi)鋪設(shè)220英里陸地和海底管道，以及在6個(gè)月內(nèi)構(gòu)建其支持的油庫(kù)。除了時(shí)間期限的壓力外，還不允許有一點(diǎn)閃失。Perrin估計(jì)，每分鐘的停機(jī)將讓該公司損失1.8萬(wàn)美元。全面的系統(tǒng)故障將需要9個(gè)小時(shí)才能恢復(fù)，而這將讓該公司收入損失900萬(wàn)美元。

“我們希望在重復(fù)工作中剔出人類的因素，”Perrin表示，“這就是說(shuō)讓重復(fù)的工作自動(dòng)進(jìn)行，讓我可以完成真正的工作。”

但即使作為物聯(lián)網(wǎng)最大的冠軍之一，Perrin敏銳地意識(shí)到增加數(shù)百非傳統(tǒng)設(shè)備到其網(wǎng)絡(luò)的風(fēng)險(xiǎn)——設(shè)備運(yùn)行不同的操作系統(tǒng)，使用任意數(shù)量的專有協(xié)議，并且通常沒(méi)有資源支持高級(jí)安全配置。這些擔(dān)憂塑造了他的網(wǎng)絡(luò)設(shè)計(jì)和采購(gòu)策略。

“我們正在采取沙箱的做法，可能達(dá)到幾乎不合邏輯的程度，”Perrin稱，“但首席執(zhí)行官有天對(duì)我說(shuō)，‘如果人們進(jìn)來(lái)這里，并開(kāi)始亂弄我們的系統(tǒng)，我們做的第一件事情就是把你的頭釘在墻上，然后用別人去替代你。’我不喜歡這種想法，他是個(gè)好人，但我可不想被他釘在墻上。”

在消費(fèi)者市場(chǎng)的“嚇人的事故”包括攻擊嬰兒監(jiān)視器、攻擊聯(lián)網(wǎng)汽車以及對(duì)智能家庭的意外拒絕服務(wù)攻擊，隨著IT部門將這些物聯(lián)網(wǎng)項(xiàng)目轉(zhuǎn)移到其實(shí)驗(yàn)室和生產(chǎn)環(huán)境，有關(guān)企業(yè)物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)的討論越來(lái)越多。

根據(jù)Verizon2015年數(shù)據(jù)泄露事故調(diào)查報(bào)告指出，現(xiàn)在已經(jīng)發(fā)生了針對(duì)企業(yè)的“不廣為人知的物聯(lián)網(wǎng)設(shè)備數(shù)據(jù)泄露事故”，該報(bào)告稱到目前為止報(bào)告的漏洞都已經(jīng)被研究人員發(fā)現(xiàn)。然而，物聯(lián)網(wǎng)迅速移動(dòng)的性質(zhì)以及更廣泛的威脅形式意味著，這可能在任何時(shí)刻發(fā)生改變。網(wǎng)絡(luò)專業(yè)人員稱他們很擔(dān)心，在參與TechTarget2015年采購(gòu)意向調(diào)查的受訪者中，60%認(rèn)為安全是IoT面臨的最大挑戰(zhàn)之一。

Phenix Energy公司首席治理官John Becker表示，IoT威脅的嚴(yán)重程度已經(jīng)大大言過(guò)其實(shí)，但這并沒(méi)有阻止Phenix等公司加強(qiáng)其安全努力。

“我們看到很多關(guān)于IoT的新聞?wù)娴氖俏Ｑ月柭?tīng)，”Becker說(shuō)道，“我認(rèn)為底線是我們需要關(guān)注系統(tǒng)是如何設(shè)計(jì)的。”

危險(xiǎn)在哪里?

人們很容易這樣看待IoT：燈泡或HVAC系統(tǒng)不能運(yùn)行防病毒軟件，所以IoT一定有風(fēng)險(xiǎn)。但信息安全培訓(xùn)和認(rèn)證公司SANS研究所主管John Pescatore表示，這是一個(gè)過(guò)于簡(jiǎn)單的觀點(diǎn)。

“你知道還有什么不能運(yùn)行防病毒軟件嗎?iPhone，而且iPhone沒(méi)有感染病毒，”Pescatore稱，“因此，每當(dāng)你聽(tīng)到有人說(shuō)，‘噢，你不能在那上面運(yùn)行防病毒軟件，’你應(yīng)該說(shuō)，‘是的!’因?yàn)檫@通常意味著病毒也不會(huì)在上面運(yùn)行，因?yàn)榉啦《拒浖举|(zhì)上是一個(gè)工具包。”

在某些情況下，IoT設(shè)備在設(shè)計(jì)前期就有考慮安全因素，這是比電腦和服務(wù)器原有操作系統(tǒng)設(shè)計(jì)時(shí)更深思熟慮的做法。

雖然企業(yè)IoT設(shè)備可能最終成為吸引攻擊者的目標(biāo)，但這并不是因?yàn)樗麄兿胍蜷_(kāi)和關(guān)閉燈光。

“我會(huì)擔(dān)心HVAC或傳感器本身作為攻擊切入點(diǎn)——讓攻擊者可以進(jìn)來(lái)并攻擊我的系統(tǒng)，”啤酒分銷商Del Papa Distributing公司IT副總裁Steve Holtsclaw表示，“任何有IP地址的東西都可能以某種方式被攻擊。”該公司已經(jīng)在其倉(cāng)庫(kù)和卡車內(nèi)部署了IoT設(shè)備。

IDC公司研究主管Pete Lindstrom表示，這些威脅無(wú)法通過(guò)傳統(tǒng)安全方法來(lái)緩解。

“我們陷入框架控制，但我們?cè)诖蛑暗膽?zhàn)役，這是一個(gè)不同的環(huán)境，”Lindstrom表示，“我們需要對(duì)后端進(jìn)行更好的分析。”

這意味著所有目光都聚集在網(wǎng)絡(luò)，希望網(wǎng)絡(luò)來(lái)發(fā)揮引領(lǐng)作用。

“我們常說(shuō)，‘你們必須使用這個(gè)操作系統(tǒng)，而由于你使用那個(gè)操作系統(tǒng)，我認(rèn)為你需要使用這個(gè)安全軟件。’在物聯(lián)網(wǎng)時(shí)代，這種日子已經(jīng)結(jié)束，”Pescatore表示，“當(dāng)你不能把任何東西放在終端時(shí)，你可以從網(wǎng)絡(luò)做更多的安全操作。”

可見(jiàn)性和管理挑戰(zhàn)

你需要知道你網(wǎng)絡(luò)上有什么才能保護(hù)它們。這聽(tīng)起來(lái)很簡(jiǎn)單，但對(duì)于很多IT部門來(lái)說(shuō)，找到和關(guān)閉流氓設(shè)備是無(wú)休止的工作，而物聯(lián)網(wǎng)更是增加了工作難度，因?yàn)楹芏嗦┒垂芾硐到y(tǒng)可以識(shí)別“Bob的iPad”或“Carol的戴爾筆記本電腦”，但無(wú)法識(shí)別聯(lián)網(wǎng)的空調(diào)或門鎖。

Pescatore稱：“在物聯(lián)網(wǎng)中，大家需要解決的第一個(gè)問(wèn)題是能夠發(fā)現(xiàn)這些設(shè)備。”

他最近采訪了新英格蘭大學(xué)的首席信息安全官，該CISO發(fā)現(xiàn)在該大學(xué)剛搬進(jìn)的建筑物中有300個(gè)流氓設(shè)備。他的漏洞掃面軟件無(wú)法識(shí)別這些終端，他的團(tuán)隊(duì)手動(dòng)追蹤這些終端，并發(fā)現(xiàn)它們大多數(shù)是以前的房客留下的聯(lián)網(wǎng)設(shè)備，例如溫度傳感器和攝像頭。

“不幸的是，大多數(shù)現(xiàn)在做的工作都是‘不要問(wèn)，不會(huì)說(shuō)’，有點(diǎn)像Wi-Fi的早期時(shí)候。這就像，‘天哪，如果我開(kāi)始尋找，我會(huì)發(fā)現(xiàn)某個(gè)東西，然后我必須做一些工作，’”Pescatore表示，“那些在BYOD安全做得最好的企業(yè)實(shí)際上也能夠確保物聯(lián)網(wǎng)的最佳安全性，因?yàn)樗麄儾捎媚撤N形式的網(wǎng)絡(luò)接入控制，當(dāng)設(shè)備連接到其網(wǎng)絡(luò)時(shí)，他們可以檢測(cè)得到。”

除了缺乏可視性外，還有另一個(gè)問(wèn)題：物聯(lián)網(wǎng)設(shè)備制造商本身之間的差異化。

美國(guó)休斯頓衛(wèi)理公會(huì)醫(yī)院無(wú)線網(wǎng)絡(luò)架構(gòu)師George Stefanick對(duì)在醫(yī)療環(huán)境使用物聯(lián)網(wǎng)的可能性很感興趣。他的團(tuán)隊(duì)正在對(duì)一款移動(dòng)應(yīng)用進(jìn)行概念證明，該應(yīng)用可使用藍(lán)牙信標(biāo)和Wi-Fi來(lái)識(shí)別病人到達(dá)醫(yī)院、檢查他到達(dá)約定地點(diǎn)，并給他提供到其醫(yī)生辦公室的導(dǎo)航。

盡管建立網(wǎng)絡(luò)來(lái)支持這些舉措具有挑戰(zhàn)性，但這是Stefanick熟悉的領(lǐng)域。更大的障礙是評(píng)估和管理各種物聯(lián)網(wǎng)平臺(tái)。

“我們不應(yīng)該使用來(lái)自10個(gè)不同供應(yīng)商的10種不同設(shè)備，但現(xiàn)在正是這樣，”他說(shuō)道，“我們真的希望在單窗格管理這些設(shè)備。”

與PC和智能手機(jī)操作系統(tǒng)市場(chǎng)不同，IoT平臺(tái)預(yù)計(jì)不會(huì)整合。其結(jié)果是：企業(yè)越來(lái)越難以采用統(tǒng)一的安全方法。

“每個(gè)供應(yīng)商都有專用通信方法，并且，為了與其他公司的組件競(jìng)爭(zhēng)，他們必須開(kāi)放其部分功能來(lái)與其他設(shè)備通信，”Phenix Energy公司的Perrin表示，“這會(huì)帶來(lái)很多漏洞，因?yàn)槊看文愦蜷_(kāi)某個(gè)事物的端口，你就等于打開(kāi)一個(gè)門讓攻擊者可以進(jìn)來(lái)。”

Del Papa公司的Holtsclaw運(yùn)行的企業(yè)IoT環(huán)境主要基于思科的設(shè)備，但他也同樣在關(guān)注這個(gè)問(wèn)題。

“你使用所有這些設(shè)備，它們運(yùn)行在各種平臺(tái)——Linux、Unix、Windows、Android、iOS，并且，它們都在使用不同類型的通信協(xié)議，”他表示，“你如何控制這一切?你如何管理?如何確保安全性?”

通過(guò)網(wǎng)絡(luò)解決IoT安全

IoT帶來(lái)了新的挑戰(zhàn)，但網(wǎng)絡(luò)安全領(lǐng)域很多經(jīng)典的最佳做法仍然適用，包括分隔、基于區(qū)域的政策和關(guān)閉雜散端口，其他措施則取決于企業(yè)的風(fēng)險(xiǎn)承受能力以及IT部門的文化?，F(xiàn)在管理IoT環(huán)境的企業(yè)需要從各種角度來(lái)解決威脅，包括從專注于身份驗(yàn)證標(biāo)準(zhǔn)到完全鎖定第三方網(wǎng)絡(luò)設(shè)備的使用戰(zhàn)略等。

在休斯頓衛(wèi)理公會(huì)醫(yī)院，Stefanick發(fā)現(xiàn)IoT供應(yīng)商對(duì)802.1x的支持不一致，這是使用可擴(kuò)展身份驗(yàn)證協(xié)議(EAP)的企業(yè)級(jí)無(wú)線身份驗(yàn)證標(biāo)準(zhǔn)。作為一位無(wú)線工程師，他發(fā)現(xiàn)使用802.1x的IoT設(shè)備。

“當(dāng)你看到這些涌入的物聯(lián)網(wǎng)設(shè)備，我們發(fā)現(xiàn)他們都在使用預(yù)共享密鑰，”Stefanick稱，“我們實(shí)際上不得不創(chuàng)建測(cè)試網(wǎng)絡(luò)進(jìn)行概念證明，這種方式并不是很安全。我們的反饋是，‘我們不可能購(gòu)買這個(gè)東西，除非你能提高安全性，并且，我們需要EAP身份驗(yàn)證來(lái)做到這一點(diǎn)。’”

IoT設(shè)備制造商需要告知企業(yè)其產(chǎn)品與網(wǎng)絡(luò)的交互方式。

在看到供應(yīng)商兜售所謂的具有消費(fèi)級(jí)安全功能的企業(yè)設(shè)備后，Perrin采取了同樣謹(jǐn)慎的態(tài)度，并且，與Stefanick一樣，Perrin也避免使用云計(jì)算方式來(lái)維持更嚴(yán)格的控制。

而Phenix公司則采取了更積極的做法，其位于Honduras的辦公室和數(shù)據(jù)中心通過(guò)10 Gbps私有光纖連接到Palm港的冗余站點(diǎn)。在Honduras辦公室只有兩個(gè)端口開(kāi)放：一個(gè)用于電話，另一個(gè)用于基于互聯(lián)網(wǎng)的業(yè)務(wù)活動(dòng)。Perrin還阻止了網(wǎng)絡(luò)釣魚活動(dòng)率高的國(guó)家(例如巴西)的所有流量。

“我們正在進(jìn)行有效地切斷，我們已經(jīng)看到企業(yè)過(guò)來(lái)說(shuō)，‘我們與你們合作的唯一方式是你為我們打開(kāi)一個(gè)端口，’我們告訴他們，‘感謝您的光纜，請(qǐng)不要再來(lái)打擾我們，’”他表示，“我們不會(huì)為他們打開(kāi)端口，因?yàn)槲覀儾荒苊斑@個(gè)險(xiǎn)。”

Perrin也不會(huì)在工業(yè)設(shè)備和物聯(lián)網(wǎng)設(shè)備所在的管道使用銅纜。

“我們使用光纖是因?yàn)槟悴荒芡ㄟ^(guò)切斷它來(lái)制造破壞，”他表示，“當(dāng)然，切斷會(huì)立即告訴我們的系統(tǒng)和物聯(lián)網(wǎng)設(shè)備發(fā)生了異常情況，并且會(huì)立即關(guān)閉流經(jīng)該管道以及冗余光纖鏈接的數(shù)據(jù)流。”

在Del Papa，聯(lián)網(wǎng)的傳感器監(jiān)控照明、庫(kù)存和問(wèn)題——降低電力成本，并確保啤酒的庫(kù)存和冷卻正常。在倉(cāng)庫(kù)貨架的傳感器會(huì)檢測(cè)某處是否庫(kù)存偏低，這會(huì)觸發(fā)電子郵件警報(bào)來(lái)增加庫(kù)存。該公司卡車中的其他傳感器則可配置為報(bào)告員工是否在超速駕駛。

面對(duì)這么多關(guān)鍵操作，Holtsclaw表示，安全仍然是一個(gè)巨大的問(wèn)題。他目前正在測(cè)試來(lái)自戴爾和英特爾的IoT網(wǎng)關(guān)，其功能是作為其IoT設(shè)備和互聯(lián)網(wǎng)之間的單個(gè)接入點(diǎn)。

“這可以防止外部流量進(jìn)入網(wǎng)絡(luò)內(nèi)的這些設(shè)備，并與網(wǎng)關(guān)通信，”Holtsclaw表示，“我認(rèn)為這是IoT安全方面的關(guān)鍵因素。”