加速IoT云迁移：安全互操作策略

作者：Michael Tennefoss，Aruba IoT与战略合作伙伴副总裁，惠普企业公司旗下品牌。

将IoT工作负载迁移到云端，并安全地在云IoT服务与新旧IoT设备间交换数据，往往需要数月的定制工程。大多数IoT厂商以非互操作或专有格式发送传感器和执行器数据，必须重新格式化才能被云应用使用。此外，传统IoT设备缺乏现代网络安全机制和云兼容软件栈。更换传统设备成本高昂，而使IoT数据载荷可用的工程工作量巨大。这些费用可能是经常性的，例如随着时间推移添加不同厂商的新IoT设备、收购新公司后、或站点刷新后。

IoT厂商常提供网关解决这些问题，但网关本身引入新问题。网关采购、部署和维护昂贵。远程管理和故障排查困难，常需无法集成进现有IT管理系统的专用管理软件。网关其操作系统、密钥和证书管理机制，以及对网关IoT设备侧攻击缺乏可见性，可能引入新安全漏洞。最后，包含蜂窝或其他广域链路的网关可能为内部部署的IoT和IT网络提供后门。基于这些原因，许多首席信息安全官不允许专用IoT网关接入企业网络。

HPE Aruba Networking、Microsoft和reelyActive致力于解决这些问题，推出可在数小时而非数月内部署、无需定制工程、利用现有Wi-Fi接入点作为可信IoT网关替代专用硬件网关的解决方案。该方案建立在三大支柱上：

• 融合Wi-Fi IoT无线电的接入点，同时安全服务IT移动需求、连接IoT设备、充当嵌入式IT-to-IoT网关；
• HPE Aruba Networking IoT Transport for Azure，将通过接入点流式传输的IoT设备数据编码为兼容Microsoft Azure IoT Hub的格式；
• reelyActive Pareto Anywhere for Microsoft Azure（reelyactive.com/pareto/anywhere/integrations/azure），新的免费开源转换器，将IoT数据和测量单位（如温度和功率）重新格式化为兼容Power BI和其他Azure应用的通用格式。这些Azure应用可直接消费来自异构BLE、800/900MHz EnOcean和专用IoT设备的数据，这些设备插在HPE Aruba Networking接入点的USB端口上，无需专用内部网关。

接入点应用现代网络安全技术保护IT和IoT数据，其活动对IT管理工具和第三方安全应用可见。仅授权IoT设备可与接入点交换数据，通过接入点USB端口连接的设备无法访问接入点的操作系统或计算资源。IoT数据通过安全隧道直接发送到Azure IoT Hub，与接入点承载的所有其他流量隔离。安全隧道保护缺乏加密、基于证书认证和其他现代网络安全机制的传统IoT设备数据。

Microsoft Azure IoT Hub作为从Aruba接入点通过安全隧道发送的IoT数据终点。Pareto Anywhere for Azure抽象原始数据格式，使应用看到的数据为可理解、一致的即时可用数据流，单位可识别。这使应用开发者只需编写一次Azure应用，即可处理IoT数据而不顾其来源。结果，Microsoft的Azure Streaming Analytics、Power BI和相关应用可直接处理IoT数据，以最小工作量和费用创建数字孪生、if-this-then-that监控、数据归档、数据分析和其他高价值业务服务。

使用传统集成方法，IoT工作负载云迁移可从3-6个月缩短至60分钟以内。可消除内部网关，降低全生命周期成本，增强可见性，简化系统管理。拥有现有支持接入点的客户可在不拆除更换基础设施的情况下改造IoT服务。

相关资源：

• 承受高温：面向IT、IoT和OT应用的加固交换机
• 如何利用IoT推进战略业务目标
• 将IoT设备安全集成到IT网络中，用于复工和感染控制应用