11大物联网安全挑战及应对策略

虽然物联网具有影响力和益处，但它也引入了若干安全挑战，从设备发现和补丁管理到访问控制和网络攻击。

从智能手表到智能路灯，从智能家居设备到智能制造，物联网已经彻底改变了个人和组织的运营方式，提高了效率并优化了流程。

然而，伴随着这些好处而来的是一个重大挑战：物联网增加了企业和消费者面临的安全风险的数量和类型。任何连接到互联网的设备都是进入更大网络及其所含敏感数据的潜在入口点。与物联网相关的网络攻击可能对企业造成损害，在某些情况下甚至可能危及生命或致命。

以下是众多固有的物联网安全挑战中的11项以及如何缓解它们。

1. 不断扩大的攻击面

挑战： 物联网设备的庞大数量、种类和复杂性为安全团队创建了一个巨大的攻击面来管理和保护。然而，正如最古老的安全格言之一所说：“你无法保护你看不见的东西。”对于物联网来说尤其如此，小型传感器和连接互联网的小型设备部署在网络和地理区域，往往缺乏监督和管理。如果没有对其网络连接的设备有适当的可见性（即影子IT问题），组织就容易受到未经授权的访问、数据丢失、攻击和运营中断的影响。

解决方案：

执行资产发现。 使用端口扫描、协议分析和其他检测技术来确定哪些设备连接到网络。可以使用免费工具，如Nmap、Shodan和Masscan，以及帮助发现、识别和管理物联网设备的商业产品和服务。
创建和维护资产登记册。 在企业资产登记册上列出已批准的设备，以及每个设备相关的补丁管理流程和生命周期信息。
进行风险评估。 执行物联网风险评估，以了解设备可以且应该访问什么以及原因。

影子IT设备的例子包括监控摄像头、智能电视、无线打印机和非法蜂窝信号塔。

2. 访问控制

挑战： 物联网设备具有唯一的标识符，有助于身份验证和授权。在发现哪些设备连接到网络后，组织需要评估它们可以访问什么以及可以与什么通信。管理数百或数千个唯一ID可能是一项艰巨的任务。

解决方案：

最小权限原则。 使用POLP原则，仅允许设备访问其工作所必需的内容。
强密码。 更新任何带有出厂安装密码的设备。尽可能使用多因素认证。如果可行，考虑使用生物识别技术。
基于硬件的信任根。 通常被认为是最强的物联网安全选项，基于硬件的信任根直接构建在硬件中并嵌入在设备上。
数字证书。 可以使用数字证书，但某些物联网设备没有处理它们的能力。在这种情况下可以使用其他轻量级加密算法（更多内容见下面的“加密和数据安全”部分）。
零信任。 采取零信任安全方法来控制设备和访问权限。
物联网平台。 商业物联网平台提供管理设备的功能，并控制其他设备和网络设备可以访问哪些数据。

3. 物联网密码

挑战： 还记得2016年的Mirai攻击吗？它们被追溯到使用出厂默认或硬编码密码的连接摄像头和其他物联网设备。网络犯罪分子使用这些设备和已知凭据列表渗透了服务器——据某些说法，该列表仅包含60个用户名/密码组合。

解决方案： 硬编码密码是只有制造商才能解决的问题。组织应仅选择不使用硬编码密码的软件，制造商不应生产带有硬编码密码的产品。

对于其他默认和密码安全挑战，考虑以下策略：

如果可能，更新默认密码。
实施企业密码策略。
要求使用强且唯一的密码。

4. 补丁管理

挑战： 物联网设备在打补丁和更新方面提出了几个独特的挑战：

使用专有或过时软件、固件和硬件的物联网设备。操作系统、应用程序和通信技术可能因为老旧、遗留或退役而无法更新。
某些设备物理上无法接近。考虑分散在数百英亩农田上用于检测温度、湿度和水分的传感器。安装在桥梁顶部监测其振动和天气的传感器也面临类似的挑战。
并非所有设备都可以长时间离线进行更新。考虑关键的智能制造设备，如果工业物联网组织将其离线一小时，可能造成数百万美元的损失；数百万人依赖的智能电网提供供暖或电力；以及维持人们生命的智能医疗设备。
某些物联网设备没有用户界面或屏幕。而且，更复杂的是，有些甚至不接受更新。
供应商也会造成问题。某些设备达到寿命终止，不再受制造商支持。同样，一些供应商没有意识到在发现漏洞时发布安全更新，使客户面临泄露风险。
为运营技术打补丁很困难。运营技术网络历史上从未连接到互联网，并且不对IT网络构成直接威胁。遗留的运营技术系统（有些已有数十年历史）通常运行自己的专有系统，这可能使打补丁更加困难。

解决方案：

跟踪补丁。 在设备发现或采用过程中，将部署的每个物联网设备输入资产登记册。包括每个设备运行的软件、固件和硬件版本，并跟踪何时有更新可用和安装。同时，跟踪设备何时达到寿命终止并必须退役。
在部署前考虑打补丁。 在采用前考虑潜在的补丁和更新流程。确保空中更新的可用性和安全性。同时，决定是自动更新还是定期更新，因为每种方式都有其优缺点。
考虑物联网平台能力。 许多物联网平台包含简化补丁和更新流程的功能，例如自动化，并且可以管理需要回滚或重置的设备。

空中更新通过云向软件和固件交付补丁和更新。

5. 物联网网络攻击

挑战： 物联网系统与其他网络环境一样，面临相同的网络威胁，包括DDoS攻击、僵尸网络、恶意软件和勒索软件。

解决方案：

使用具有DDoS保护功能的入侵防御/检测系统。
与能够检测和过滤DDoS数据包的ISP合作。
遵循基本的网络卫生最佳实践，包括使用防火墙、反恶意软件、端点安全平台、端点检测与响应以及扩展检测与响应。
保持软件更新。
更改默认密码。
监控网络流量。
对物联网设备可以访问的数据和网络进行分段。
禁用物联网设备上不必要的功能。
定期备份设备和网络的数据。

6. 物理安全

挑战： 不仅要保护物联网设备免受网络安全威胁，还要保护其免受物理安全威胁。因为物联网硬件（包括物联网传感器、可穿戴设备和边缘设备）比其他网络组件更容易接近，所以容易受到物理损坏、篡改和盗窃。

例如，攻击者可以将一个用于窃取数据的设备连接到已被物理破坏的不安全的物联网设备上。或者，存储机制可能被移除，其数据被盗。

解决方案：

加固物联网设备。
在设备上嵌入安全功能。
确保适当的访问控制。
更改默认密码。
加密数据和连接。
移除或禁用未使用的端口。
确保物联网设备不易拆卸或移除组件。
如有必要，将设备放入防篡改外壳中，或在物理篡改后使设备无法使用。

7. 加密和数据安全

挑战： 密码学是一种防止隐私风险、保护数据完整性和确保安全通信的机制。然而，许多连接设备没有运行传统加密算法（如AES）所需的功率、处理能力或内存资源。此类设备必须使用安全性高但消耗低的算法——一种考虑资源受限设备的大小、功耗和处理能力的算法。

解决方案：

使用轻量级密码算法。 例如，椭圆曲线密码学提供了与RSA相当的安全性，但密钥尺寸更小，操作所需处理更少，使其成为存储空间、处理能力和电池寿命较低的设备的理想选择。其他轻量级密码包括Clefia（一种轻量级AES密码）、Enocoro（一种面向硬件的流密码）、Speck（一种加-旋转-异或密码）和Ascon（一个被NIST选为未来标准化的对称密钥密码标准系列）。
使用可信的安全协议。 考虑TLS或数据报TLS、IPsec、MQTT和OAuth 2.0等。
考虑PKI。 公钥基础设施可以在制造或企业级别嵌入到设备中。PKI向设备颁发唯一身份和数字证书，并支持公钥的分发和识别，使用户和设备能够安全地交换数据。
为量子计算做准备。 当量子计算变得可行时，它将能够破解非对称密码学，包括RSA和ECC等算法。组织应在其后量子安全规划中包括物联网设备。

8. 网络安全

挑战： 连接到企业网络的物联网设备的规模和多样性使得管理员难以管理和维护网络安全。

解决方案：

使用网络分段 分离物联网、运营技术和IT网络。将不同的网络或网络部分放入不同的区域以创建子网——分别为销售、财务、运营等各使用一个区域。根据每个区域的用户、设备和数据定制其安全策略。
使用物联网网关。 物联网网关可以缓解网络分段可能伴随的效率和连接性问题。安全网关作为设备和网络之间的中介，比连接到它的物联网设备具有更多的处理能力、内存和计算能力。因此，它可以在更靠近设备的地方实施更强的安全措施（如防火墙和反恶意软件），防止安全威胁传递到网络。
使用网络安全技术。 这些包括反恶意软件、防火墙、入侵检测系统和入侵防御系统。
管理端口。 禁用端口转发，不需要时绝不打开端口。
阻止未经授权的IP地址。 使用允许列表和拒绝列表来阻止未经授权和恶意的IP地址。
监控带宽。 根据需要增加带宽，以确保应用程序获得维持生产力和效率所需的带宽。
使用持续的流量管理和监控。 实时监控网络流量以保护数据和通信，检测异常活动并识别潜在威胁。
物联网通信协议。 考虑物联网通信协议的安全性，如蓝牙、低功耗蓝牙、蜂窝网络、MQTT、Wi-Fi、Zigbee和Z-Wave。不安全的通信容易受到窃听和中间人攻击。
渗透测试。 在渗透测试中包括连接设备以评估漏洞。
创建物联网策略。 建立策略和能力来管理丢失或被盗的设备，例如远程擦除和禁用连接。

考虑物联网部署中使用的物联网协议和标准的安全性。

9. 缺乏标准化

挑战： 物联网行业从一开始就受到缺乏标准化的困扰，无论是在安全方面还是其他方面。全球标准有助于确保产品和应用之间的一致性、兼容性和安全性——这是物联网环境平稳运行的必要条件。

解决方案： 立法、法规和标准正在涌现以弥补这一点，包括以下内容：

美国于2025年1月推出的网络信任标记计划是一个自愿性认证计划，有助于识别符合推荐安全标准的智能消费设备。
于2024年12月颁布的欧盟网络弹性法案要求制造商确保产品整个生命周期的安全性。
2021年5月，美国总统行政命令“改善国家网络安全”呼吁在2023年启动消费者物联网标签计划。该计划旨在告知消费者其智能家居设备的风险。
美国的2020年物联网网络安全改进法案要求NIST和美国管理和预算办公室制定关于联邦政府使用的物联网设备安全措施的指南和标准。
2018年批准的加州SB-327“信息隐私：连接设备”要求制造商为设备配备“合理”的安全功能，包括每个设备预编程的唯一密码以及首次使用时要求创建新密码的设置。
2018年，英国发布了“消费者物联网安全实践准则”，即欧洲电信标准协会的技术规范103 645，这是一个规范消费设备安全性的标准。

NIST已经引入了物联网指南，包括NIST特别出版物800-213A和NIST SP 800-213，以及几份机构间报告。其他立法，包括GDPR、HIPAA和CCPA，也影响物联网安全，行业法规也是如此。公司应随时了解任何新标准——无论是政府、消费者还是其他方面的。这些将影响未来的物联网设备制造和安全标准。

10. 技能差距

挑战： 技能差距已经影响到每个行业，物联网也不例外。物联网与其他行业不同的一点是，它仍然是一个相当新的学科。它也是IT和运营技术的融合，这意味着精通运营技术的人可能不熟悉IT，反之亦然。此外，物联网不是单一学科。成功的物联网专业人员需要许多技能，从网络安全和用户体验设计到机器学习、人工智能知识和应用开发。

解决方案：

已经出现了物联网特定的认证和培训，其中一些是物联网安全特定的，它们提供了连接环境的基础知识。
为内部员工投资培训和认证。
为物联网特定项目聘请第三方和顾问。

11. 远程工作和智能家居风险

挑战： 远程工作人员可能给组织带来安全风险，特别是如果员工的物联网设备（如智能电视、连接的婴儿监视器和智能冰箱）使用员工用于连接公司数据和系统的同一网络。例如，渗透智能恒温器的攻击者可能也会访问机密的企业数据。同样，智能扬声器如果窃听到电话会议或视频聊天，可能会产生隐私问题。

解决方案：

在定期的安全意识培训中包括物联网安全。
使用策略防止物联网设备造成企业安全问题。

Sharon Shea是Informa TechTarget的SearchSecurity网站的执行编辑。