保护智能设备：物联网安全最佳实践指南

本文将“物联网”或“IoT”作为统称，描述互联智能设备、机器对机器（M2M）通信及相关软硬件技术。

物联网技术提供的数据洞察与自动化潜力，为业务流程改进与各行业运营革命创造巨大机遇。这些设备普及度大幅上升——全球物联网市场预计2025年将达220亿活跃连接设备，覆盖不同物联网行业。

与任何新技术一样，物联网非无网络安全缺陷。任何寻求实施物联网设备的企业，若想保护设备、系统、数据安全，必须以网络安全为首要关注。

物联网如何助力企业？

物联网技术可为跨行业企业创造奇迹，在工业公司展现显著影响。

物联网设备与3D打印、人工智能、量子计算、储能进步等快速发展技术结合，激发工业公司能力前所未有的革命，引领所谓第四次工业革命。

物联网设备让工业公司能：

• 远程控制与监控供应链
• 将物联网传感器与现有技术结合，通过监测磨损迹象预测并实施预防性维护
• 借实时能源数据以更节能方式运营流程

对其他行业企业，物联网设备能带来显著变革，形式为改进数据洞察。这些改进可提供更强库存控制、调度效率提升、减少浪费等增益。

物联网的危险

虽然数据收集与自动化带来明显优势，但物联网非无风险。许多物联网与智能设备用户未意识到其设备多易被访问。搜索引擎Shodan搜刮密码保护薄弱设备并显示访问截图——最著名案例是商业空间与私人住宅用物联网安防摄像头流。

此列表远非详尽，但提醒我们：不安全物联网设备可被利用，实施时须审慎。

物联网与智能设备缺乏内置安全

企业欲利用物联网力量，须确保所用物联网设备制造商重视网络安全。

为大规模推广设备、压低成本，许多智能设备制造商选择放弃投资网络安全，转而优先设备成本效益吸引这个不断演进市场的买家。

虽然英国、美国等政府开始认真对待物联网网络安全立法，但总体上，外部压力未足以迫使智能设备制造商从开发第一天起就将网络安全作为优先事项。

许多智能设备未集成双因子认证（2FA）功能，也不加密收集传输的数据。在智能设备制造商因从第一天起优先实施安全被追责前，智能设备将继续成为网络安全威胁的可行载体。

物联网安全漏洞案例

历史上，物联网设备常被用作恶意软件攻击入口。提供进一步背景，以下几个高调案例。

分布式拒绝服务（DDoS）攻击

2016年，名为“Mirai”的僵尸网络通过利用各类物联网设备默认密码，发动分布式拒绝服务（DDoS）攻击。攻击导致美国东海岸大片区域失去互联网连接。

此攻击实施相对容易，揭示物联网技术如何被利用于邪恶目的，且远非唯一由被攻陷物联网设备驱动的僵尸网络攻击。

Stuxnet试图摧毁核设备

Stuxnet创作者未确证，但对这种高隐蔽蠕虫病毒的广泛研究确认其目的——针对核电厂离心机，重编程使其执行损坏物理组件的循环。Stuxnet提供警示：连接机械的漏洞造成的后果不止数据丢失、软件瘫痪——可能对设备造成严重物理损坏、甚至危及生命。

恒温器如何导致数据泄露

拉斯维加斯一家不知名赌场以最意想不到的方式丢失客户数据库——通过水族箱恒温器。赌场用WiFi连接物联网恒温器监控调节水族箱温度。因恒温器与客户数据同网，网络犯罪分子利用恒温器漏洞将其作为入口点。

从云计算转向雾计算

与普遍认知相反，物联网可在无外部云计算提供商情况下运行，但决定转向无云方案前必须强烈考虑云计算优势。

愿完全掌控数据的企业可利用自有本地控制的“雾计算”基础设施，处理传输物联网数据而不与外部云提供商共享。

雾计算是去中心化计算基础设施，将数据从物联网设备传输至本地网络（LAN）网关，由其处理传输至适当处理硬件——用本地硬件处理数据常称“边缘计算”。雾计算与边缘计算提供降低延迟、更强数据共享传输控制等优势，但非无漏洞。

利用雾/边缘计算存储传输数据的企业，是保护其收集数据所需物理、程序、技术网络安全措施的唯一提供者，这绝非小任务。

领先云计算提供商大量投入实施维护领先网络安全措施保护其存储、传输、处理数据，因其整个商业模式依赖可靠性与安全。单纯想用物联网设备升级常规运营的企业，未必能合理维护与云提供商同等安全级别，若雾计算使用不配等强网络安全措施，将导致更大网络安全风险。

如何安全使用物联网设备

虽有风险，物联网设备呈现前所未有的数据收集传输进步机遇，可带来能力与效率的惊人增益。安全使用物联网设备，可实施关键安全措施。

加密敏感数据

虽然发送至云提供商处理前加密数据可能导致传输延迟，但对敏感数据这是重要步骤。从物联网设备向云传输敏感数据（如医疗数据）的公司须严肃对待数据敏感性，较无害数据可不加密。

使用唯一密码

如Mirai僵尸网络DDoS攻击所示，利用物联网设备的方法之一是软件尝试用制造商已知出厂默认密码入侵。

除了将出厂默认密码改为唯一密码，使用的物联网设备制造方式须使设备无法重置为出厂默认密码，因为重置能力可为网络犯罪分子提供额外攻击载体。

为物联网设备使用独立网络

控制敏感数据的企业，该数据须置于独立于物联网设备的网络。因物联网设备安全相对不成熟，将它们置于独立网络降低其被用作主网络入口点的可能性。

明智选择物联网云与设备提供商

选择利用云计算能力为物联网设备服务的企业，需谨慎选择可信赖的物联网云平台提供商，以保护其存储处理的数据。也需选择网络安全作为重要关注点制造的物联网产品。

决定物联网设备提供商时考量：

• 设备制造商是否提供网络安全漏洞报告公开联系点？是否有重视这些报告的历史？
• 设备制造商将为产品提供安全更新多久？
• 设备制造商是否将网络安全作为生产授权一部分优先考虑？

物联网云服务提供商（CSP）网络安全考量：

• CSP是否有重视网络安全的历史？
• CSP采取什么网络安全措施保护数据？
• 随物联网基建增长，CSP能否大规模提供加密及其他安全措施？

以上列表远非详尽，每个业务用例有独特网络安全考量。随物联网技术持续贡献快速增长，寻求利用不断演进洞察与功能的企业，须将网络安全置首位，持续研究并为其需求实施最佳方案。