强化网络边缘：五眼联盟机构建议企业保护关键设备

随着边缘设备攻击激增，导致攻击者进一步渗透企业网络，五眼联盟机构表示是时候人人加强安全游戏了

五国国家情报机构在一系列文件中向企业提供建议，教其如何在间谍游戏中击败间谍，旨在帮助保护网络边缘设备和设备（如防火墙、路由器、VPN网关、物联网设备、面向互联网的服务器、面向互联网的OT（运营技术）系统）免受网络攻击。

五眼联盟汇集澳大利亚、加拿大、新西兰、英国和美国情报机构。各机构从不同角度应对网络边缘安全挑战，于周二发布报告。

“外国对手例行利用网络边缘设备软件漏洞渗透关键基础设施网络和系统。损害对公私部门组织而言昂贵、耗时且声誉灾难性，”美国网络安全和基础设施安全局（CISA）在其指南介绍中称。“这些指南详述了妥协前后更安全弹性网络的各种考量和策略。”

新文件补充美国指南，帮助制造商构建设计时即安全的设备。加拿大网络安全中心（CCCS）牵头《边缘设备安全考量》，不仅为企业IT提供详细待办清单，还链接远程工作者安全、自带设备（BYOD）模式组织、边缘设备制造商的具体指南。

已解决的问题

在对网络管理接口（NMI）保护不善产品制造商的不那么含蓄讽刺中，它还指出，“供应商完全可能强化产品使其在NMI暴露于互联网时保持安全。这是个已解决的问题，客户应要求供应商强化设备以保护NMI。”

《网络设备和应用产品数字取证监控规范》，由英国国家网络安全中心（NCSC-UK）牵头，聚焦取证可见性最低要求。详述应记录什么、日志如何存储和保护、事件发生时取证数据获取要求。

“遵循本指南概述的最低可观测性和数字取证基线，设备制造商及其客户将更有能力检测和识别针对其解决方案的恶意活动，”文件称。“设备制造商也应用其建立网络设备和设备架构的标准功能基线，以便于网络防御者的取证分析。”

澳大利亚牵头两份文件：《边缘设备缓解策略：高管指南》和《边缘设备缓解策略：从业者指南》。这些指南由澳大利亚信号局澳大利亚网络安全中心（ASD's ACSC）牵头，提供保护、强化和有效管理边缘设备的缓解策略和最佳实践摘要，以及给运营、采购和网络安全人员实施的七项缓解策略技术细节，以降低边缘设备风险。

“澳大利亚信号局（ASD）澳大利亚网络安全中心（ACSC）注意到涉及边缘设备妥协的事件数量令人担忧地增加，”从业者指南称。“边缘设备暴露于互联网，通常难以监控且能访问网络上其他资产，为恶意行为者提供诱人的入口点和目标。”

最后一份文件由CISA牵头，是2023年制造商安全设计原则指南的更新，附带实施资源链接。

“以安全设计原则设计的产品将客户安全作为核心业务要求，而非仅视为技术特性，”介绍网页称。“在产品开发生命周期设计阶段，公司应实施安全设计原则，在广泛使用或消费前显著减少可利用缺陷。出厂即安全，额外安全功能如多因素认证（MFA）、日志记录、单点登录（SSO）无额外成本可用。”

大事……如果设备制造商遵从

制造商指南特别让IDC安全与信任组副总裁Frank Dickson兴奋。“这是超级大事，”他说。“如果设备制造商妥协并遵从这些要求，这真正是巨大的。”

“这些设备是任务关键型，”他补充道。“有些设备在流经数据量方面拥有荒谬的脆弱性。尽管如此，许多不提供内部可见性，客户无法评估制造商在更新固件和主动防护方面是否做得好。”

Gartner杰出VP分析师Katell Thielemann也对指南满意，但指出这仅是开始。

“建议书积极之处在于显示五眼社区协作带来最佳实践，”她说。并继续“提醒社区，任何联网设备默认暴露且为潜在目标。”

OT非IT

但她认为将联网防火墙、路由器、IoT设备和OT系统归为一类建议对社区无帮助，“称它们为‘边缘设备’也不行，因为它假设企业IT是宇宙中心而‘边缘’在外面。”

“这对防火墙、路由器、VPN网关可能适用，但不适用OT系统，”她继续道。“这些OT系统是网络物理系统（CPS），支撑价值创造生产和任务关键环境。它们不是边缘；它们是运营核心。”

许多联网以支持远程运维，她指出，“目标应是就如何安全远程接入这些系统给出建议，建议语调应针对IT安全工具和流程不总是好主意的生产现实。”

Dickson也认为指南是好第一步，但补充道，“如果我们允许日志和取证可见性，遇到问题时若真能在设备上做补救、某种拦截，那也不错。”

“这已是大问题一段时间了，”他说。“多个五眼国家大规模协调行动极其重要。强有力、响亮、恰当，全是好事。坦白说，我印象深刻他们宣布此事，我只是‘谢天谢地，我们终于在解决这个问题’。”

“我们只需让几个真正大组织将来把[指南]作为采购部分边缘设备的要求，[问题]就解决了。”