我们必须在有人受伤之前保护物联网的安全

ACG Research 的 Robert Haim

美国前副总统迪克·切尼 (Dick Cheney) 曾因担心恐怖分子可能诱发心脏病发作而禁用对心脏起搏器的无线访问。在 2007 年的电影“Live Free or Die Hard”中，犯罪分子通过将华盛顿特区的所有交通信号灯变为绿色来阻塞交通并引发事故。

对我们现在称为物联网 (IoT) 的那些真实和虚构的攻击有可能造成生命损失。考虑到当今世界各地正在使用的所有物联网传感器和控件，薄弱的安全性允许不良行为者夺取控制权、实施危险行为或诱使操作员执行错误操作只是时间问题。

这只是时间问题。我们必须在有人受伤之前保护物联网。但是如何？

这些领域存在许多挑战。例如，身份管理。您是否真的确定哪些用户、设备或应用程序正在尝试访问您的数据？您如何在合理怀疑的情况下证明身份，同时不断增强您信任正确用户而不是恐怖分子的信心？这意味着实时行为监控。

接受保护关键信息的挑战，这些信息可能受到法律或行业的监管——或者对公司和窃贼来说非常有价值。这些数据可能会立即（如医疗设备）或稍后（如水电大坝安全系统的蓝图）影响生活。您如何确保数据和这些设备受到良好保护，免遭篡改或非法访问？

或者网络连接本身，将移动或固定线路设备连接回数据中心或云。连接是否安全？黑客能否通过破坏端点来获得访问权限……并且这些连接是否经过测试，确保其稳健、可扩展和不可穿透？让我们找出方法。

发现攻击。停止攻击

ACG Research 的首席分析师 Robert Haim 表示，实现“安全”网络（包括物联网部门）的挑战在于，“安全”是一个负面目标 ，专注于网络和电信行业。

他解释说：“不管对手会做什么，你都在努力实现一些目标，但你不知道对手的能力是什么。”由于许多物联网端点设备没有足够的内存来在其中包含复杂的安全软件。 “那我们该怎么办？”

实际上有两个问题必须解决，Haim 说：“我们必须担心设备本身的安全性，然后我们还必须考虑如果我们被黑客入侵，我们需要做什么。” 55% 的公司甚至不知道威胁来自哪里，问题出在他们的网络中，这无济于事。

看行动，而不仅仅是身份

Mark McGovern，威胁分析小组负责人，CA 技术 ，表示一旦获得访问系统的权限，就非常需要观察人们在做什么。他们做什么比他们是谁更重要。 “无论是为金融机构或大型有线电视公司实时授权 1 亿用户的现有系统，我们思考的方式都不是关于你声称是谁或你拥有的凭据，而是你所拥有的做。”

他解释说：“当你在街上遇到某人时，他们可能会说他们是 X 或他们是 Y，但事实是，随着时间的推移，你观察到他们在做什么？这就是您对人们的信任程度。”

CA 研究和分析被授权使用系统的实体的实际行为，并标记出与这些实体过去的行为不一致的事物。

“无论是 IP 地址、端点、登录名还是声称的身份，有哪些突出之处，既反对他们自己的行为，也反对人们的行为，”麦戈文说。 “这些数据加强了我们系统正在进行的学习以及我们嵌入到这些系统中的机器学习，并且还为我们的客户提供了价值。”

从威胁建模开始

“带上任何设备，比如物联网门锁，”Zimperium 首席产品官 John Michelsen 说 ，这使得基于人工智能的移动威胁防御软件。 “你必须在设备级别、网络级别或应用程序内容级别确定该设备可能被利用的方式。”然后你必须在进入市场之前阻止它们。

Michelsen 说，这是一个真正的问题。 “在 2017 年的黑帽大会上，有人证明了 15 个自动门把手中的 13 个可以在短短几个小时内打开。至少 70% 的物联网消费者 IT 设备是可破解的。”

这就是您需要威胁建模的原因，他说：“首先，您要进行威胁建模。然后，您确定要预防的方法 - 检测并围绕它构建解决方案。”

每个人都必须向外看

Ziften 高级副总裁 Roark Pollock 表示，每家公司都有用于测试软件、基础设施、产品和服务的内部安全资源，但这还不够 ，提供端点安全解决方案。

“你必须向外看。看看您的合作伙伴，并对他们测试您的产品持开放态度。他们可能会要求您完成整个认证过程——让自己通过那些合作伙伴认证。当今有安全审计公司。雇用他们。”

不要相信自己，他坚持说。让外部专家仔细检查你的工程师，仔细检查你的代码。

“然后再看看社区和开源项目，以确保有一个社区的人都在反复检查、重新检查、推动代码。”

Pollock 对任何公司都认为它可以在安全方面自己做到这一点不以为然。 “我认为获得外部帮助至关重要。”

使用人工智能来监管身份

Neustar 高级副总裁 Hank Skorny 一家身份管理公司表示，首先要确定访问物联网设备或其数据的用户（或设备或应用程序）的身份。但它并不止于此。 “你必须建立身份。您还必须始终对此表示怀疑，因为身份只是一种可能性，永远不会真正确定。”

您如何提高对该概率的信心？ “采用机器学习和人工智能，”他说，同时不断监视您正在构建的任何系统。

“你不会简单地识别某人或确定设备或其他任何东西。你要报警。监管纳秒级世界的唯一方法是使用计算机器学习和人工智能，不断寻找那些邪恶行为模式——以比人类更快的速度阻止它。

证明跨多个域的信任

一些数据受法律保护——想想军事机密或关于健康的个人身份信息，美国 1996 年的健康保险流通和责任法案 (HIPAA) 涵盖了这些信息。但是，还有其他信息非常敏感，即使没有包含在特定法规中。考虑一下有关职业运动员表现的数据：它不是 HIPPA 健康信息，而是价值数十亿美元的运动队的重要情报。

斑马运动 该公司的副总裁约翰·波拉德 (John Pollard) 解释说，这是一家收集美式足球运动员的训练时间和比赛日遥测数据的公司，该公司不得不努力工作，才能在美国国家橄榄球联盟 (NFL) 中取得进球。

“NFL 在评估各种技术时所采用的标准之一当然是安全性，”他说。 “我们收集了大量信息，并且必须将这些信息传输到软件和服务中，以便我们的主要垂直领域的客户能够评估这些信息。 NFL当然也体现了这一点。因为我们正在捕捉职业运动以前从未捕捉到的信息，所以我们谈论的是加速、减速、方向改变、总时间段内的接近度。”

帮助 Zebra 得分：其在零售、运输、物流、制造和医疗保健方面的丰富物联网经验。

“我们与这些行业合作的传统无疑帮助我们建立了一个有效的案例，成为 NFL 的合作伙伴，以获取此类信息，”波拉德说。

Pollard 说，这里的安全教训是，仅仅因为它是体育运动并不意味着它至关重要。与 NFL 相同的原则适用于军事或商业物联网。足球运动员的遥测与保安甚至导弹的遥测没有什么不同。第一个参数是使其安全。

创建信任区域 - 并实施它们

并非所有用户都是平等创建的，也并非所有用户都需要来自 IoT 设备的相同信息。医院 IT 人员需要验证来自透析泵的数据是否被正确的应用程序捕获并存储在正确的患者记录中……但他们不需要查看数据，事实上，HIPAA 可能会禁止他们访问。同样，IT 人员需要验证通往建筑物安全部分的门口是否正常工作，但同样，他们可能无权自行开门。

Lantronix 首席技术官 Sanjeev Datla 说：“如果您查看与该门锁互动的人数、角色、职责，就会发现信任区域不断建立。” ，构建工业物联网技术。 “门禁管理员有哪些不同级别的访问权限？对于护士来说，他或她与透析机互动吗？”

来访问或维修机器的现场服务技术人员呢？ “了解允许和不允许的角色和责任，”他说。

Datla 坚持认为这并不简单。 “你有一个带以太网端口的输液泵。该端口周围的信任环或访问控制（如果愿意）是什么？以及它是如何测试的？”正如上面 CA 的 Mark McGovern 所说，这必须比简单的访问控制列表更复杂。

“我们寻找行为分析，”达特拉说，“好吧，这个人此时不应该这样做。那么当他们这样做时，你会怎么做？您如何发出警报，并获得更高级别的批准或阻止？”

永远不要忘记：一切都是相连的

“物联网设备变得越来越智能，”Ziften 的 Pollock 说。 “我们不再谈论用于气隙控制单元的愚蠢微控制器。我们谈论的是网络中的智能传感器。我们谈论的是智能网关。”

此外，他指出，“许多物联网设备都是功能齐全的 PC，可满足所有实际用途，但我们并未像对待企业网络中的普通 PC 那样对待这些设备。”

“看，如果您要拥有所有这些连接设备，您必须能够监控该设备的状态和该设备的卫生状况。它必须在您的环境中得到强化。”

波洛克回应之前的评论，坚持认为公司必须监控物联网设备的行为，而不仅仅是访问控制。 “从行为的角度寻找异常值，并开始确定该设备发生了什么以及它在做什么。关注那些具有长尾曲线的异常值，了解正在发生的事情。识别正在执行异常操作的设备，然后查看这些设备并将其作为潜在问题进行调查。”

因为毕竟物联网设备和物联网应用容易受到攻击，生活将 危在旦夕。

作者是罗伯特海姆，首席分析师 - 商业分析和物联网，ACG Research