把更多的物聯(lián)網(wǎng)設(shè)備連接到您的網(wǎng)絡(luò)，將增加您的攻擊面，降低對(duì)潛在威脅的可見性，并需要在IT和OT(運(yùn)營(yíng)技術(shù))之間進(jìn)行更大規(guī)模的協(xié)調(diào)。

業(yè)務(wù)和運(yùn)營(yíng)環(huán)境中的物聯(lián)網(wǎng)系統(tǒng)增加了攻擊面，并給許多企業(yè)的關(guān)鍵數(shù)據(jù)和系統(tǒng)的保密性、完整性和可用性帶來了新的風(fēng)險(xiǎn)。

[[327166]]

安全主管需要更新其組織的威脅概況，以說明這些風(fēng)險(xiǎn)，并實(shí)施一個(gè)正式的計(jì)劃來主動(dòng)管理這些風(fēng)險(xiǎn)。否則，它們就有可能成為利用脆弱的物聯(lián)網(wǎng)環(huán)境進(jìn)行間諜、竊取數(shù)據(jù)、發(fā)起分布式拒絕服務(wù)(DDoS)攻擊、提升權(quán)限和以其他方式干擾行動(dòng)的對(duì)手的軟目標(biāo)，分析人士說。

“物聯(lián)網(wǎng)設(shè)備具有獨(dú)特的風(fēng)險(xiǎn)，因?yàn)槠髽I(yè)的IT和OT網(wǎng)絡(luò)上通常會(huì)有數(shù)百個(gè)此類設(shè)備，每個(gè)都擴(kuò)大了攻擊面，增加了組織的風(fēng)險(xiǎn)，”Booz Allen Hamilton的首席工程師兼高級(jí)助理Kyle Miller表示。

近年來，互聯(lián)網(wǎng)連接設(shè)備在傳統(tǒng)IT和運(yùn)營(yíng)環(huán)境中得到了激增。那些希望將自己改造成互聯(lián)企業(yè)的組織已經(jīng)在工廠、設(shè)備、現(xiàn)場(chǎng)和其他地方都部署了物聯(lián)網(wǎng)傳感器和設(shè)備，這導(dǎo)致了大規(guī)模的數(shù)據(jù)洪流。

在企業(yè)內(nèi)部，從設(shè)施管理和安全監(jiān)控系統(tǒng)到打印機(jī)和照明系統(tǒng)的一切都連接到了互聯(lián)網(wǎng)。分析人士預(yù)計(jì)，在未來幾年，企業(yè)將部署數(shù)十億的物聯(lián)網(wǎng)設(shè)備，以支持無數(shù)的用例。這將迫使組織在開發(fā)威脅模型時(shí)重新考慮以下因素。

有哪些關(guān)于物聯(lián)網(wǎng)的擴(kuò)散控制措施?

埃森哲全球網(wǎng)絡(luò)安全業(yè)務(wù)北美網(wǎng)絡(luò)防御主管Robert Boyce表示，企業(yè)內(nèi)部的很多物聯(lián)網(wǎng)使用都是以增量的、非戰(zhàn)略性的方式進(jìn)行的，很少受到IT或安全的監(jiān)管。“許多組織在部署物聯(lián)網(wǎng)設(shè)備時(shí)沒有經(jīng)過正式的治理流程，”他說。因此，很少有人對(duì)物聯(lián)網(wǎng)資產(chǎn)的前景和相關(guān)風(fēng)險(xiǎn)有清晰的認(rèn)識(shí)。從威脅的角度來看，小型物聯(lián)網(wǎng)部署有時(shí)完全被忽視了。

例如，在企業(yè)設(shè)置中使用的許多設(shè)備，包括IP攝像頭、數(shù)字助理和其他智能設(shè)備，都會(huì)直接連接到internet。“很多這樣的設(shè)備都可以在家里進(jìn)行升級(jí)，”Boyce說。“很多時(shí)候，甚至是在國外。”

同樣，DENIM GROUP的首席技術(shù)官DAN CORNELL表示，當(dāng)員工和高管作為一個(gè)團(tuán)隊(duì)或個(gè)人與語音激活的虛擬助理等技術(shù)進(jìn)行互動(dòng)時(shí)，數(shù)據(jù)保密性和隱私也可能會(huì)成為重要問題。

在會(huì)議室或執(zhí)行辦公室發(fā)生的對(duì)話可能涉及被發(fā)送到設(shè)備制造商云端的特權(quán)和受保護(hù)的信息，Cornell說。諸如機(jī)密數(shù)據(jù)是存儲(chǔ)在本地還是存儲(chǔ)在云中、數(shù)據(jù)的傳輸位置以及可追蹤性等因素，對(duì)于理解和減輕威脅都是至關(guān)重要的，他說。

通過物聯(lián)網(wǎng)系統(tǒng)安全的發(fā)送數(shù)據(jù)則是另一個(gè)挑戰(zhàn)，因?yàn)楹艽笠徊糠至髁繘]有加密。組織也可能會(huì)低估在沒有正式的威脅建模的情況下圍繞設(shè)備識(shí)別與認(rèn)證、供應(yīng)與維護(hù)的風(fēng)險(xiǎn)，Cornell說。

這些問題在運(yùn)營(yíng)技術(shù)和工業(yè)環(huán)境中的后果遠(yuǎn)遠(yuǎn)大于在IT網(wǎng)絡(luò)中的后果。對(duì)物聯(lián)網(wǎng)漏洞的攻擊或由這些環(huán)境中的弱點(diǎn)導(dǎo)致的安全故障可能會(huì)導(dǎo)致物理損害和與安全相關(guān)的后果。

越來越多的組織正在將智能設(shè)備與新舊工業(yè)控制系統(tǒng)(ICS)和其他運(yùn)營(yíng)技術(shù)相連接。關(guān)鍵的運(yùn)營(yíng)系統(tǒng)和網(wǎng)絡(luò)曾經(jīng)被安全地從外部世界空投出去，而現(xiàn)在則開放了互聯(lián)網(wǎng)接入，因此更容易受到攻擊。在運(yùn)營(yíng)系統(tǒng)很少擴(kuò)展到操作環(huán)境之外的地方，業(yè)務(wù)用戶、供應(yīng)商和其他人現(xiàn)在都將可以訪問它們了。

風(fēng)險(xiǎn)增加的還有第三方制造商，他們將新的訪問功能放入了關(guān)鍵的工業(yè)控制系統(tǒng)，然后將其進(jìn)行鎖定，這樣其他人就無法更新它們了。但埃森哲的Boyce表示，這使得許多組織處于了這樣一種境地，即第三方將與運(yùn)營(yíng)環(huán)境有著直接和永久的聯(lián)系。

你對(duì)物聯(lián)網(wǎng)網(wǎng)絡(luò)的可見性有多高?

可見性是理解和建模物聯(lián)網(wǎng)環(huán)境威脅的關(guān)鍵，Cornell說。為了降低物聯(lián)網(wǎng)的風(fēng)險(xiǎn)，你需要了解你的資產(chǎn)，并以系統(tǒng)和有計(jì)劃的方式識(shí)別與它們相關(guān)的威脅。這涉及到需要識(shí)別某種特定物聯(lián)網(wǎng)資產(chǎn)可能成為安全負(fù)債的所有的不同方式，然后應(yīng)用某種措施來降低發(fā)生這種情況的可能性，他說。這些措施可以包括刪除或禁用有風(fēng)險(xiǎn)的特性、部署操作控制或以不同的方式來實(shí)現(xiàn)技術(shù)。

在建立威脅模型時(shí)，不要孤立地看待物聯(lián)網(wǎng)設(shè)備，尤其是在工業(yè)和運(yùn)營(yíng)環(huán)境下，德勤風(fēng)險(xiǎn)與財(cái)務(wù)咨詢公司的網(wǎng)絡(luò)主管Mark Nicholson說。在評(píng)估與物聯(lián)網(wǎng)相關(guān)的威脅時(shí)，組織需要考慮這些設(shè)備可能存在的更廣泛的生態(tài)系統(tǒng)。這意味著要去研究這些設(shè)備將如何相互連接，如何與其他設(shè)備、服務(wù)器和主機(jī)相連接，他說。“如果你只關(guān)注設(shè)備的安全性，而不了解設(shè)備如何與環(huán)境和數(shù)據(jù)的其他部分進(jìn)行交互，你可能也會(huì)漏掉一些信息，”他說。

獲得進(jìn)行威脅建模所需的可見性是很困難的。物聯(lián)網(wǎng)設(shè)備的多樣性、缺乏標(biāo)準(zhǔn)架構(gòu)以及同一類型設(shè)備之間安全特性的不一致，都給威脅建模帶來了挑戰(zhàn)。“物聯(lián)網(wǎng)設(shè)備和系統(tǒng)有著各種各樣的風(fēng)格，并不是所有的設(shè)計(jì)或建造都具有同等程度的網(wǎng)絡(luò)安全健壯性，”Booz Allen Hamilton公司的Miller說。許多物聯(lián)網(wǎng)設(shè)備使用的是簡(jiǎn)化的、實(shí)時(shí)的或遺留的操作系統(tǒng)和軟件框架，這些操作系統(tǒng)和軟件框架不支持與傳統(tǒng)IT系統(tǒng)相同的安全保護(hù)級(jí)別。由于這些原因，在企業(yè)環(huán)境中實(shí)現(xiàn)物聯(lián)網(wǎng)系統(tǒng)的可見性將變得更具挑戰(zhàn)性，他說。

“大多數(shù)公司應(yīng)該采取的第一步是準(zhǔn)確了解物聯(lián)網(wǎng)設(shè)備在其網(wǎng)絡(luò)中已經(jīng)部署的情況，”Miller說。“這往往是我們客戶最大的盲點(diǎn)之一，因?yàn)樗婕暗劫Y產(chǎn)庫存。”

組織可以使用多種的主動(dòng)和被動(dòng)網(wǎng)絡(luò)和無線發(fā)現(xiàn)工具來幫助發(fā)現(xiàn)物聯(lián)網(wǎng)資產(chǎn)，Miller說。一旦一個(gè)組織了解了他們的物聯(lián)網(wǎng)資產(chǎn)，他們就可以開始實(shí)施安全控制了，如網(wǎng)絡(luò)隔離和威脅監(jiān)控，以幫助保護(hù)他們。

在采購過程中如何審查設(shè)備安全性?

Denim Group的Cornell表示，對(duì)于未來的部署，最好是從采購開始。采購物聯(lián)網(wǎng)設(shè)備的企業(yè)能夠要求供應(yīng)商在其設(shè)備中實(shí)施必要的安全功能。采購過程是進(jìn)行威脅建模和評(píng)估的好時(shí)機(jī)，可以用來識(shí)別計(jì)劃中的物聯(lián)網(wǎng)部署的潛在風(fēng)險(xiǎn)和漏洞，他說。“在完成采購流程之前，你會(huì)有更大的影響力來影響供應(yīng)商的行為，”而不是在此之后。

如果你計(jì)劃使用的物聯(lián)網(wǎng)設(shè)備是面向消費(fèi)者的，那么供應(yīng)商就不太可能有銷售渠道來向企業(yè)銷售或支持企業(yè)級(jí)的安全需求。因此，企業(yè)需要謹(jǐn)慎地對(duì)待設(shè)備的來源，Cornell說。

為了充分了解合同中的風(fēng)險(xiǎn)并建立防范措施，物聯(lián)網(wǎng)采購需要與安全組織合作進(jìn)行。要獲得物聯(lián)網(wǎng)環(huán)境中所有組件的全面材料清單和審計(jì)權(quán)，德勤的Nicholson說。組織需要了解這些組件來自哪里，以及他們可能打算使用的任何物聯(lián)網(wǎng)軟件的出處。

如果第三方將管理你的物聯(lián)網(wǎng)設(shè)備，特別是工業(yè)和OT網(wǎng)絡(luò)中的設(shè)備，那么合同也需要討論供應(yīng)商或承包商對(duì)任何安全事故的責(zé)任，Boyce補(bǔ)充說。“我還建議對(duì)物理設(shè)備本身進(jìn)行安全審查，”以確保它能夠滿足安全要求，他說。

IT和OT如何就物聯(lián)網(wǎng)安全進(jìn)行溝通?

降低物聯(lián)網(wǎng)風(fēng)險(xiǎn)最關(guān)鍵的一步是讓IT安全組織也參與進(jìn)來，安全分析師表示。通常，那些正在增加物聯(lián)網(wǎng)足跡的組織，特別是在工業(yè)方面的，幾乎沒有意識(shí)到潛在的安全影響。

雖然一些組織已經(jīng)開始在他們的ICS環(huán)境中構(gòu)建安全功能了，但是在許多情況下，OT和IT端還是很少互相通信，Boyce說。盡管存在巨大的安全隱患，但這兩個(gè)組織之間很少進(jìn)行協(xié)調(diào)。OT組常常擔(dān)心IT安全團(tuán)隊(duì)會(huì)在沒有完全了解其潛在影響的情況下在環(huán)境中引入控制。

“你不能再單獨(dú)的經(jīng)營(yíng)這些組織了，”Boyce說。“必須有持續(xù)的交叉教育。”