‧ 物聯網世界的安全問題正在迫近

來源：TechTarget中國

物聯網(Internet of Things，IoT)是否會帶給我們安全的風險?但願答案是否定的。但是，根據IBM和Intel安全專家的觀點，物聯網時代已經來臨，CIO必須把安全防護放到重要位置。

在不遠的將來，可能智慧家電會被駭客入侵，導致整個家庭都完全失控：前門被人從遠程打開，冰箱上的恒溫器被重置導致食物腐壞，電燈被反復開關，各種垃圾廣告被發送到眼鏡、手錶和跑步機上。

“這些其實都算不上什麼，真正的危害正在迫近。”在最近舉行的麻塞諸塞技術領導力委員會物聯網會議上，Intel的應用安全首席架構師和技術官Andy Thurai表示。

實際上，在物聯網的世界中，任何連接到網路上的人或者物都可能被遠端侵入，這也賦予了恐怖攻擊這個詞全新的含義。比如，醫院設備被侵入，從而危及人們的生命;一個城市的交通控制中樞遭到服務拒絕攻擊;對電網的攻擊可能會導致人們斷電數日之久。據Thurai舉例，安全顧問公司Red Tiger Security就已經標識出了美國能源領域的38000個薄弱環節。

“在物聯網世界中，我們需要保護的東西太多了。”IBM的WebSphere產品管理副總裁Michael Curry表示。Curry和Thurai一起主持了大會的閉幕環節“物聯網世界帶來的安全新趨勢”。

對於這個連接無處不在的世界，安全保護是非常困難的。迄今為止已有的各種攻擊都會擴散到那些保護不夠或技術級別較低的基礎設施上。Curry認為，很多物聯網中潛在的受攻擊目標很難有實體層面的安全保障。至少到目前為止，很多設備上的電力供應無法滿足解密或認證的計算能耗需求，從而只能依賴於設備所連接到的雲或者伺服器架構來提供安全性。除此之外，更為重要的一點是，現在還沒有針對物聯網的、統一的安全標準。

由於存在著如此多的廠商、設備和協定，如果沒有一致的標準，很難制定出具有普適性的安全性原則。Curry認為，安全標準最終會出現，但是之前仍需經過一段漫長的等待。

即便標準已經就位，物聯網的安全也是個不可能的任務。“我們可以做的，就是盡力降低風險。”Curry說：“但是，攻擊是無法杜絕的。安全的含義是評估風險並盡可能地在風險下運轉。”下面就是Curry關於物聯網安全的4個要素，CIO們可以據此來應對那些難以避免的攻擊和損害。

物聯網安全的4個要素

1. 物理設備安全

在Curry看來，已經有一些非常不錯的防篡改技術。比如，在設備被盜之後立即切斷其網路連接並銷毀所有資料。

另一個防篡改的技術是晶片廠商發明的安全啟動機制。在設備啟動時通過簽名機制檢查是否有什麼東西與上次啟動時不一致。“如果發現有任何改變，設備就不會繼續啟動。”Curry說。

另一個例子是認證控制，讓設備只能在特定的地點或區域內工作，或只能與伺服器進行特定的連接。為此，還需要用遠端服務軟體來管理設備。

“這些事情都是非常複雜的。”Curry說：“當你面對成千上萬的設備時，難度可想而知。”

2.資料安全

“關於資料安全，最重要的是知道資料是什麼。”Curry表示。設備上是否有個人識別資訊(personally identifiable information，PII)?資料是否能夠識別出隱藏在伺服器上的控制資訊?而有些資料又是無關緊要可以完全公開的。因此，要根據資料類型和業務風險來制定安全性原則。

“於是，事情又回到了剛才所說的，我們到底能承受多大的風險?”Curry說。

當CIO們面對敏感資訊時，Curry強烈建議使用端到端的加密方案。

“如果只關注了傳輸的層面，你可能會吧資料緩存留在了設備或伺服器上，這樣就會帶來資料外泄的風險。”Curry警告說。

應用層的策略也是極其重要的。“你需要審查內容，梳理結構以確定得到的是自己所希望的資料。”Curry說。插入攻擊(injection attacks)可以將代碼附著在資料消息中，以此探知安全性漏洞並篡改伺服器的返回結果。

Curry建議使用資料遮罩(data masking)技術，即生成結構相似但不含認證資訊(比如個人識別資訊或其他敏感資訊)的資料。有時，資料的洩露在你意想不到的環節發生，因此要從一開始就進行遮罩。“只有這樣，你才可以不必擔心資料流程到了不該去的地方。”Curry表示。

3.網路安全

網路方面的情況讓人感覺輕鬆些。“這是業界最為熟悉的領域，可能也是互聯網和移動技術中最為標準的環節。”Curry說。比如，端到端的授權策略對資料安全非常有用。

“對於特定設備能夠在伺服器上進行什麼操作，我們需要進行授權。同樣的，在反方向也需要進行授權。”Curry說。因此，雙向授權已經是業界普遍的策略。

針對諸如服務拒絕之類的互聯網上的攻擊，同樣的工具可適用於物聯網。“真正的問題在於受攻擊的物件更多了，比如感測器和計量器等設備。因此，你必須設法把這些易受拒絕服務攻擊的設備也納入到防護範圍之內。”Curry解釋到。

4.事件監視和回應

企業常犯的一個錯誤是沒有預想到最壞的情況。Curry認為，在物聯網的世界中，必須要時刻提醒自己會遭受攻擊。一旦形成了既定的認知，對於物聯網安全的戰略就會很自然地聚焦到事件監視和回應上。

對於網路中正在發生的一切，企業需要進行即時的監視。一旦發現問題，就要立即採取隔離措施，比如關掉感測器或者讓伺服器離線。“你要做的就是在問題擴散之前將其隔離。”Curry說。

為了進行即時的監視，企業需要對多個攻擊點上的資訊進行綜合分析，瞭解當下的情況並識別出於正常情況的不同之處。

Curry所在IBM公司現在可以在30秒之內辨識出攻擊並進行隔離，進一步，IBM希望再把這個時間縮短。

隱私相關

企業必須設計opt-in機制，即便現在還沒有法律對此有強制的要求。Curry認為，這樣有助於形成一種商業上的意識，即讓使用者決定自己的資料是否能被採集。通過一些額外的好處，可以讓用戶答應opt-in，比如折扣、服務費削減或其他高級的服務。

另外，這方面的立法也已經開始，而且企業也未必非得需要個人識別資訊。“即便沒有個人識別資訊，我們的分析工作也絲毫不受影響。”Curry表示。在他看來，那些到處販賣個人識別資訊的搜尋引擎，應該首先具備opt-in的政策;而對於那些主要關注建模的人，應該儘快去掉資料中的個人識別資訊。