物聯網（IoT）最大的一個問題是確保網絡、數據和設備的安全。已經發生過很多與物聯網相關的安全事件，IT、安全和網絡管理人員擔心還會出現類似的事件也是情有可原。

安全標準和擔保公司HITRUST的標準副總裁兼首席信息安全官Jason Taule介紹說：“除了最嚴格的環境之外，幾乎所有環境中都將有物聯網設備。問題不在于是否允許，而是這些設備以怎樣的方式連接到網絡、系統和數據，并與之交互。”

物聯網安全：從小處入手

研究和咨詢公司ITIC的負責人Laura DiDio說，為了讓物聯網更安全，企業應該從網絡基礎設施中最小的組件開始，也就是代碼。

DiDio說：“大部分物聯網設備都很小。因此，源代碼往往是采用‘通用編程語言’編寫的——C或者C++和C#語言，這些語言往往會成為內存泄露和緩沖區溢出漏洞等常見問題的犧牲品。這些問題相當于網絡上的普通感冒。”

DiDio說，就像普通感冒一樣，這很煩人，也很難好。她說：“在物聯網環境中，這些問題會擴散，成為容易被忽視的安全大問題。這方面最好的防御措施是測試、測試、再測試。”DiDio介紹說，市場上很多備受好評的測試工具已經用于物聯網設備。

DiDio說，安全和IT管理人員也可以使用堆棧cookie。這些是隨機數據字符串，應用程序在指令指針寄存器之前就被編程寫入到堆棧中，在這一寄存器中，如果發生緩沖區溢出，那么數據就會溢出。她說：“如果發生緩沖區溢出，堆棧cookie就會被覆寫。”將對應用程序進一步進行編程，以驗證堆棧cookie字符串能繼續與代碼的最初編寫方式相匹配。如果堆棧cookie不匹配，應用程序將終止。

部署情景感知訪問控制措施

在物聯網環境中，控制訪問是企業在連接資產、產品和設備時面臨的最大的安全挑戰。這包括控制連接對象本身的網絡訪問。

咨詢公司IP Architects的總裁John Pironti是物聯網安全方面的專家，他說，企業應首先確定物聯網環境中被聯網設備視為可接受的行為和活動，然后制定相應的控制措施，但同時不會妨礙過程的推進。

Pironti說：“不要使用獨立的VLAN（虛擬局域網）或者網段——這些可能會對物聯網設備造成限制和過載，而是要在整個網絡中實施情景感知訪問控制措施，以允許適當的操作和行為，不僅是在連接層面上，而且是在命令和數據傳輸層面上。”

Pironti說，這將確保設備能夠按計劃運行，同時也限制了其進行惡意或者未經授權活動的能力。他說：“這一過程還可以為預期行為建立基準，然后記錄和監控這些行為，以發現異常，找到那些預期行為超出可接受閾值的活動。”

讓供應商對其物聯網設備負責

當然，企業會聘請各種服務提供商，在某些情況下，這些服務是通過放置在客戶本地的設備提供的。在物聯網時代，機器基本都會聯網，因此容易受到黑客攻擊和其他入侵。

如果出了問題，應該明確由誰來負責。

安全咨詢公司SideChannelSec合伙人Brian Haugli曾是保險公司漢諾威保險集團的安全高管，他說：“可以先從合同開始。你的供應商是否把物聯網作為其服務或者解決方案的一部分推向你的企業？如果是這樣，就必須了解它，明確它是合同/采購的一部分。”

Haugli說，一定要清楚誰負責設備的更新和生命周期，以及在發生事故時你是否有權訪問設備。他說：“我看到HVAC（采暖、通風和空調）和打印機公司沒有放棄訪問權限，這導致響應工作停滯。同樣是這些供應商，他們會把常規的打補丁和更新責任推到操作系統上。”

Haugli說，在某些情況下，合同可能沒有規定能保證客戶購買帶有支持操作系統的新設備，而供應商可能不愿意承擔這方面的費用。因此，一臺不受支持且易受攻擊的設備被允許在網絡上停留了太長的時間，遠遠超過它應該停留的時間。

Taule說：“如果我們沒有向供應商闡明我們的要求，沒有采取措施確認是否合規，也沒有讓他們承擔什么責任，那么，我們有什么依據來期待這些問題得到解決呢？同樣的，硬件原始設備制造商和軟件公司現在都希望對發現并快速解決其產品的漏洞負責，為我們提供我們越來越離不開的、數不清的物聯網設備的公司也應如此，這些設備包括IP攝像機、醫療設備、打印機、無線接入點、冰箱、環境控件，等等。”

Taule認為，企業應該把通用安全框架中列出的控制功能應用于物聯網設備。例如，在合同中包含安全功能要求；要求經常性地進行漏洞掃描，或者聲明自己進行掃描的權利；強制供應商提供及時更新，以解決已發現的漏洞；在任何固件更新后重新掃描設備以確保已發現的問題得到解決，不會引入新的問題。

防范物聯網身份欺騙

多年來，黑客們越來越老練，技術上也越來越精通，這會對物聯網安全構成巨大的威脅。

DiDio說：“就像造假者和偽造者一樣，他們也在不斷提高自己的水平。物聯網設備數量呈指數增長意味著攻擊面和攻擊途徑也呈指數增長。”

這將促使業務部門及其安全和IT部門必須驗證與之通信的物聯網設備的身份，并確定它們對于關鍵通信、軟件更新和下載是合法的。

DiDio說：“所有的物聯網設備必須有一個唯一的身份。”她說，在缺乏唯一身份的情況下，從微控制器層面到網絡邊緣的終端設備，再到應用程序和傳輸層，企業都面臨被欺騙或者遭受黑客攻擊的巨大風險。

為物聯網設備建立“單向”連接

Pironti指出，企業應該限制物聯網設備啟動網絡連接的能力，只有使用網絡防火墻和訪問控制列表才能連接它們。

他說：“通過建立單向信任原則，物聯網設備絕對不能啟動與內部系統的連接，這會限制攻擊者利用它們作為跳轉點來探測和攻擊網段的能力。”

雖然這無法阻止黑客們攻擊直接與其建立連接的系統，但能限制他們在網絡中橫向移動的能力，Pironti說。

企業還可以通過跳轉主機和/或者網絡代理來強制連接到物聯網設備。他說：“通過在一個匯集點代理連接，企業就能夠在網絡數據流進/出物聯網設備之前檢查這些網絡流量，并更有效地查詢數據流。”這使其能夠確定其承載的流量和有效負載是否適合物聯網設備接收或者傳輸。

考慮使用隔離網絡

很多類型的控制設備是通過無線連接的，例如，恒溫器和照明控制器等。電氣承包商Rosendin Electric公司的網絡安全和合規高級主管James McGibney指出，很多企業無線網絡都需要WPA2 Enterprise/802.1x。

McGibney說：“大多數這些設備不支持WPA2-Enterprise。開發更安全的設備才是理想的。但是，如果環境支持，你可以將這些設備放在自己的無線網絡上，與生產網絡隔離，只允許互聯網訪問。”

他認為，這需要創建一個單獨的服務集標識符（SSID）和虛擬局域網，并具有通過防火墻路由這些流量的能力。應該從一個集中的位置對隔離的無線網絡進行配置和管理。

McGibney說：“我們已經為一些需要互聯網接入的設備（例如，自動售貨機）做了這項工作，我們不控制這些設備。我們把它們放在客戶網絡上，與生產隔離開來。”它在相同的硬件上運行，但在一個單獨的虛擬局域網上。

在供應鏈中置入安全功能

物聯網方面的工作通常涉及供應鏈中的多個合作伙伴，包括技術供應商、運營商和客戶，安全是必須考慮的因素。

Taule認為：“如果你還沒有這方面的考慮，那就應該去找你的合同、財務或者公司其他管理供應鏈的部門。和他們開始對話，并建立聯系，除非安全部門同意，否則不會批準購買任何物聯網產品。”

Taule說，如果安全部門愿意承擔分析工作的重擔，這些部門將積極參與到合規工作中。

Taule說，怎樣更好地管理供應鏈供應商選擇過程，取決于企業自己，但他建議考慮支持獨立驗證的制造商；提倡在設備端設置寫保護開關，這樣固件就不能在你不知情的情況下進行更新；只買正品，不買假貨。