如何設(shè)計(jì)網(wǎng)絡(luò)架構(gòu),讓物聯(lián)網(wǎng)設(shè)備安全可靠?

責(zé)任編輯:editor005

作者:布加迪編譯

2016-12-19 14:04:41

摘自:51CTO

主要是由于物聯(lián)網(wǎng)傳感器將用在每個(gè)地方,用在醫(yī)院以監(jiān)測(cè)醫(yī)療設(shè)備,用在工廠(chǎng)以監(jiān)管生產(chǎn)運(yùn)營(yíng) ,用在大樓以控制溫度和照明,不一而足。X86機(jī)器接收、分段和加密傳感器數(shù)據(jù),并通過(guò)虛擬DMZ安全地傳輸?shù)交ヂ?lián)網(wǎng)上的廠(chǎng)商。

就在互聯(lián)網(wǎng)改變一切的同時(shí),一場(chǎng)名為物聯(lián)網(wǎng)的新革命有望帶來(lái)還要大的顛覆。

主要是由于物聯(lián)網(wǎng)傳感器將用在每個(gè)地方,用在醫(yī)院以監(jiān)測(cè)醫(yī)療設(shè)備,用在工廠(chǎng)以監(jiān)管生產(chǎn)運(yùn)營(yíng) ,用在大樓以控制溫度和照明,不一而足。

來(lái)自這些傳感器的數(shù)據(jù)將用于生產(chǎn)運(yùn)營(yíng)管理、預(yù)測(cè)維護(hù)及更多方面。與此同時(shí),所有這些應(yīng)用通常與企業(yè)的IT基礎(chǔ)設(shè)施整合起來(lái)。正因?yàn)槿绱?,它們帶?lái)了眾多新的安全挑戰(zhàn)。

就像在當(dāng)前的IT環(huán)境那樣,沒(méi)有萬(wàn)無(wú)一失的安全解決方案可以保護(hù)物聯(lián)網(wǎng)設(shè)備,避免每一種可能出現(xiàn)的網(wǎng)絡(luò)威脅。

由于物聯(lián)網(wǎng)會(huì)在不同的地方為眾多最終用戶(hù)(包括企業(yè)、客戶(hù)及合作伙伴)生成數(shù)據(jù),需要網(wǎng)絡(luò)分段和基于網(wǎng)段的拓?fù)浣Y(jié)構(gòu)來(lái)防范大規(guī)模攻擊。

比如說(shuō),合作伙伴網(wǎng)絡(luò)里面受危及的網(wǎng)段應(yīng)該無(wú)力危及企業(yè)網(wǎng)絡(luò)。

在最近的一次安全事件中,總部位于法國(guó)的主機(jī)托管提供商O(píng)VH成為了用物聯(lián)網(wǎng)設(shè)備發(fā)動(dòng)的一次大規(guī)模DDoS攻擊的受害者。據(jù)OVH聲稱(chēng),攻擊在高峰時(shí)期的流量達(dá)到了近1 Tbps。中招的物聯(lián)網(wǎng)設(shè)備主要是閉路電視監(jiān)視攝像頭和數(shù)字錄像機(jī)。

改變架構(gòu),防止物聯(lián)網(wǎng)設(shè)備被劫持

為了緩解劫持物聯(lián)網(wǎng)設(shè)備的大規(guī)模攻擊這種威脅,分支機(jī)構(gòu)和本地架構(gòu)都需要做一些重要的變化。

供合作伙伴使用的數(shù)據(jù)應(yīng)在來(lái)自企業(yè)網(wǎng)絡(luò)的第一跳(hop)處加以卸載。 如今,大多數(shù)合作伙伴網(wǎng)絡(luò)連接是通過(guò)非軍事區(qū)(DMZ)來(lái)實(shí)現(xiàn)路由的。這種回程傳輸(backhauling)給網(wǎng)絡(luò)基礎(chǔ)設(shè)施(路由器和交換機(jī))帶來(lái)了不必要的壓力。相反,這些數(shù)據(jù)可以通過(guò)VPN在本地卸載,只要在云端或運(yùn)營(yíng)商的托管設(shè)施建立第三方安全合作伙伴DMZ。在這里,多個(gè)有關(guān)方的VPN可以彼此對(duì)接,同時(shí)將這些DMZ限制在少數(shù)幾個(gè)地方。

這種模式的一大優(yōu)勢(shì)是,第一跳在每個(gè)站點(diǎn)卸載合作伙伴數(shù)據(jù),而不是在傳送到合作伙伴網(wǎng)絡(luò)之前,通過(guò)企業(yè)DMZ回程傳輸大量的站點(diǎn)數(shù)據(jù)。第二個(gè)好處是基于分段的拓?fù)浣Y(jié)構(gòu)。不是所有的合作伙伴都需要在每個(gè)地方對(duì)接。比如說(shuō),可以為合作伙伴提供這種靈活性:自由地對(duì)接,并在云端明確定義的投放點(diǎn)收集數(shù)據(jù)。這類(lèi)似實(shí)施基于云的VPN。

在制造生產(chǎn)環(huán)境下,用于工業(yè)自動(dòng)化的物聯(lián)網(wǎng)設(shè)備不是關(guān)聯(lián)用戶(hù),也沒(méi)有加密功能。因此,為了保持?jǐn)?shù)據(jù)完整性和機(jī)密性,網(wǎng)絡(luò)必須為物聯(lián)網(wǎng)設(shè)備提供加密之類(lèi)的安全服務(wù)。

X86機(jī)器接收、分段和加密傳感器數(shù)據(jù),并通過(guò)虛擬DMZ安全地傳輸?shù)交ヂ?lián)網(wǎng)上的廠(chǎng)商。

如前所述,在大多數(shù)當(dāng)前的部署環(huán)境下,傳感器數(shù)據(jù)通過(guò)企業(yè)DMZ和網(wǎng)絡(luò)來(lái)回程傳輸。這迫使IT部門(mén)為通過(guò)網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)制定復(fù)雜的策略。

在圖1中,x86白盒機(jī)器上的分區(qū)P0有自己的VPN,它管理連接至所有PLC的活動(dòng)。每個(gè)PLC的連接數(shù)據(jù)可以從網(wǎng)絡(luò)中的控制層來(lái)編程。在這種場(chǎng)景下,PLC和控制元件之間傳輸?shù)臄?shù)據(jù)含有與生產(chǎn)廠(chǎng)商有關(guān)的操作信息,還含有與工業(yè)設(shè)備提供商有關(guān)的操作信息。

一個(gè)數(shù)據(jù)源 (PLC控制器)必須在源處加以劃分,提供給兩家獨(dú)立的企業(yè)組織。來(lái)自同一P0 PLC數(shù)據(jù)源的數(shù)據(jù)可以由邊緣路由器放在兩個(gè)不同的VPN,每個(gè)VPN都有不同的拓?fù)浣Y(jié)構(gòu)。供生產(chǎn)廠(chǎng)商使用的數(shù)據(jù)可以在本地處理,然后在工廠(chǎng)車(chē)間回程傳輸,或者回程傳輸?shù)狡髽I(yè)數(shù)據(jù)中心。與PLC供應(yīng)商有關(guān)的數(shù)據(jù)在本地由分析引擎加以處理,然后發(fā)送給合作伙伴,供其使用。

這種架構(gòu)最好與從工廠(chǎng)連接到云端,然后連接到合作伙伴的VPN一起部署。這可以用企業(yè)管理的方法或運(yùn)營(yíng)商管理的方式來(lái)實(shí)現(xiàn)。

企業(yè)管理的方法

使用這種方法,企業(yè)構(gòu)建iDMZ VPN,并選擇投放數(shù)據(jù)讓合作伙伴處理的云位置。企業(yè)需要負(fù)責(zé)保護(hù)云端點(diǎn)和內(nèi)部工廠(chǎng)網(wǎng)絡(luò)。這就需要建立一套完整的安全架構(gòu),確保落實(shí)了足夠到位的保護(hù)措施。

運(yùn)營(yíng)商管理的方法

這里,運(yùn)營(yíng)商可以將云VPN作為一項(xiàng)服務(wù)提供給企業(yè)工廠(chǎng)網(wǎng)絡(luò)。運(yùn)營(yíng)商可以宣布VPN投放點(diǎn);根據(jù)分布位置,這些投放點(diǎn)可以分布在全球各地。企業(yè)可以指定哪個(gè)合作伙伴收集來(lái)自哪個(gè)地方哪個(gè)VPN的數(shù)據(jù)。運(yùn)營(yíng)商可以將所有的網(wǎng)絡(luò)功能作為完全托管的服務(wù)來(lái)提供,包括安全。使用互聯(lián)網(wǎng)作為安全傳輸機(jī)制,只有VPN對(duì)接地點(diǎn)對(duì)合作伙伴來(lái)說(shuō)是可見(jiàn)的。

下面圖2 顯示了這種連接模式,因而不需要構(gòu)建動(dòng)態(tài)、任意的VPN,并可以保護(hù)企業(yè)網(wǎng)絡(luò),避免傳輸無(wú)關(guān)的合作伙伴流量帶來(lái)的負(fù)擔(dān)。

想獲得物聯(lián)網(wǎng)的好處,企業(yè)必須發(fā)掘其生產(chǎn)設(shè)施里面的傳感器和設(shè)備的寶貴信息。不過(guò),它們需要合作伙伴的幫助,才能安全地分析大量數(shù)據(jù),又不給企業(yè)IT網(wǎng)絡(luò)增添負(fù)擔(dān)。構(gòu)建任意的VPN分段拓?fù)浣Y(jié)構(gòu)以便使用經(jīng)過(guò)優(yōu)化的數(shù)據(jù)導(dǎo)向和強(qiáng)加密,這是企業(yè)與合作伙伴共同打造物聯(lián)網(wǎng)生態(tài)系統(tǒng)的一種方法,從而在避免網(wǎng)絡(luò)暴露在安全威脅的前提下,保護(hù)數(shù)據(jù)的完整性。

原文標(biāo)題:How to architect the network so IoT devices are secure

作者:Khalid Raza

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)