被遗弃小松鼠如何成快乐宠物：网络安全启示录

认识Humphrey

Humphrey是灰松鼠，朋友捡到弃婴松鼠救回。数周间，朋友全家手工哺育。成长中Humphrey与家人亲密，常栖肩膀、钻怀里打盖。屋内自由活动，夜晚睡自备篮子。长大能独立生存后，家人放归野外。因恋人类家庭，Humphrey在后门外树上筑巢，全家院子坐时仍跳腿上肩上。

“尾巴”的两座城故事

救松鼠故事如何关联网络安全？反思网安话题，存在普遍重大漏洞，威胁房主与企业，多维度呼应Humphrey故事。

技术渗透社会，“连接物”或物联网（IoT）野蛮生长。IoT代表提供窄域实用功能的海量联网设备。SecurityToday.com估计：2020年将装310亿（billion）IoT设备，2025年超750亿！我家冰箱、炉灶、恒温器、门铃、电视、烟感全联网。还有“智能”咖啡机、慢炖锅、灯泡、音箱……不久凡插墙设备皆将“插”互联网。

什么网安隐患让每个CIO失眠，也该让每个房主和制造商警醒？现实：IoT设备设计初衷是功能、廉价、易装、易用，非安全。结果：大量安全存疑设备装机，成黑客狂欢。真实漏洞非失去IoT设备功能，而是给黑客后门入侵企业/家庭网络，潜在窃毁宝贵数据。2013年Target遭攻击即因暖通空调供应商IoT漏洞，损失超2亿美元。

这太疯狂了！

停下来考量你家/企业网络上的宝贵数据。若黑客入侵发动勒索软件切断所有信息访问，你能不付赎金恢复吗？更糟：黑客先毁备份再发动勒索。你有离线备份可用于恢复？可止此写备份弹性方案暴论，留待他日。

反思Humphrey救援，不必长想知处理野生动物风险。Humphrey萌翻天，也有锋利爪牙、强大颚力。若只盯美貌忽略安全预防，进急诊室不意外。同理，IoT设备若只盯功能忽略固有安全风险，我们就在排队，等数据系统受害。

松鼠笼

为保护敏感数据免黑客，需重构网络：享受IoT功能益处同时与核心数据系统隔离。网络术语称隔离与分离。

回顾Humphrey：幸好未咬抓救命恩人致就医，但若白天用笼子保护，自保同时降低伤人风险。同理，IoT设备需考虑将核心资产置“笼中”防被可能被黑IoT设备攻击。且众多IoT设备共网，或需各自隔离进“笼子”，防黑客攻破一设备后横向移动。

各行其道

无论家庭小网或企业大网，隔离与分离实施相对易，但需规划与能干硬件。网上有针对防火墙、交换机、无线控制器等具体硬件的详细指南，此处仅概念阐述。

隔离允许IoT设备运行网络、联网，但限制其与内部其他设备“通话”。方案在每个IoT设备间置防火墙，让管理员精确限制该设备向其他设备的允许连接。隔离分离下，单个IoT设备被攻破，黑客与网络其余组件隔绝。

橡果与树枝

松鼠用天然材料筑巢，隔离分离也有专属配置工具集。多数家用/小办公无线路由器支持创建额外客人网络，与主网络隔离。客人设置是许多路由器预置隔离方案：仅允许联网，阻止连接其他网络（有线/无线）设备。部分路由器还提供隔离，防客人网络设备互见。考虑将非关键IoT设备接入客人网络实施隔离。企业网络用虚拟局域网（VLAN）、路由规则、访问规则分段，提供更高定制化防护。

IoT设备通常不开放内置管理工具，我们难执行改默认用户名密码等基本安全操作。因此隔离是保护网络内这些设备的主要手段。如求与“友善”野生动物——Humphrey或心爱IoT设备——共存，实施合理安全协议，助我们安全、安心、幸福长久。

本博客为国家网络安全意识月（NCSAM）系列之一。系列其他博客：Celia Paulsen《建立安全文化》、Pat Toth《可疑心：你的企业可能被黑的非技术迹象》、Jennifer Kurtz《保护联网医疗设备》、Erik Fogleman和Jeff Orszak《连接设备的未来》。