守护居家办公者：应对 IoT 威胁全景

Greg Day, Palo Alto Networks

办公与家庭边界模糊，企业与个人 IoT 设备日益重叠——创造全新网络安全挑战，要求企业与居家办公者共同应对，Palo Alto Networks EMEA 区副总裁兼 CSO Greg Day 解析。

非业务 IoT 涌入业务网络

远程混合办公激增，导致消费级 IoT 小工具更频繁滑入企业网络。我们为期两年的 IoT 安全研究，覆盖 EMEA、APAC、美洲 18 国，追踪此趋势。

2021 年研究发现，全球 78% 已部署 IoT 设备的 IT 领导者报告：过去一年远程员工带入的非业务 IoT 连接上升。美国高达 84%。

设备类型多样。最常报告的非业务 IoT 设备为可穿戴医疗监测仪，其次是智能灯泡、联网健身器材、咖啡机、游戏机、甚至宠物喂食器。趋势反映 WFH 习惯催生的智能家居套件与健康健身穿戴的双重繁荣。

网络安全缺陷与威胁

设备阵列虽显奇趣，实构严重威胁：单一脆弱设备即成攻击载体。许多消费级 IoT 产品缺乏强健安全——常售价不足 100 美元（€88.59）——且未按企业级软件严格编码标准构建，导致补丁缓慢、漏洞长期存在。

Palo Alto Networks 威胁情报单元 Unit 42 记录了利用居家办公 IoT 漏洞的攻击。2021 年 2 月，Mirai 变种瞄准众多消费设备安全缺陷。更惊人的是，近期证据显示勒索软件组织部署 eCh0raix 变种攻击居家办公者 NAS 设备。策略似为利用受害个人设备为跳板，对大型企业发动供应链攻击，因潜在赎金丰厚。

研究证实消费级 IoT 对企业构成显著风险。全球 81% 部署 IoT 设备的 IT 领导者称疫情驱动的远程办公转变加剧了未受保护设备的暴露。其中 78% 表现为 IoT 相关安全事件上升。

远程办公与 IoT 扩散持续，加强 IoT 防御压力剧增。全球调查显示 2021 年 96% 受访者（2020 年 95%）认为组织 IoT 安全策略需加强，25% 主张全面重构。

WFH 员工如何助力

有效缓解需三层策略，始于家庭。

组织必须教育并强制远程员工提升家庭网络卫生，从路由器配置入手。关键动作包括：更新默认设置、启用 WPA3 Personal（或不可用时 WPA2 Personal）、审计连接设备——禁用闲置者。

此外，远程员工应利用路由器固件常见的微分段能力创建独立网络——将访客和 IoT 设备与企业流量隔离。

分段对企业与家庭环境均关键。调查显示 51% 部署 IoT 的 IT 领导者将其隔离于独立网络，区别于 HR、邮件、财务等核心业务系统。但五分之一领导者承认 IoT 设备与关键业务应用共网，英国更达三分之一——即无分段。

最后，企业应放弃将所有流量汇聚单一 VPN 的枢纽辐射模式。当今异构连接环境下，一刀切失效。用户常关闭 VPN 以访问视频会议等必要服务。基于边缘的上下文感知安全可提供无缝防护不干扰工作流，消除禁用防护的动机。

应用零信任

强健 IoT 保护还仰赖内部控制，防止流氓设备入网。

实施最小权限访问策略，确保仅经验证的设备和用户可连接。零信任框架通过持续验证每个设备可信度，防止数据泄露、保障业务连续性。

实时监控对 IoT 安全必不可少。提供最新资产清单——含未见和被遗忘设备——让组织利用现有防火墙能力自动推荐并执行基于风险的策略。整合方案可将企业安全延伸至远程员工，交付统一策略管理和安全访问服务边缘（SASE）以实现上下文感知防护。

别等法律救赎

虽即将出台的法规旨在强制制造商内嵌更强安全，但 EU 和英国立法仍处萌芽，需数年生效。强健 IoT 防御的责任终归员工及其组织。

鉴于 IoT 在现代工作生活的核心地位，组织必须从被动转向主动网络安全——将网络卫生嵌入从 C-suite 到每位员工的所有层级。这种文化鼓励投资预防实践，遏制攻击、减轻甚至看似无害设备造成的损害。

—Greg Day, VP and CSO EMEA, Palo Alto Networks.