物联网面临的七大网络安全威胁,网络安全相关决策层如何应对挑战?

曾经在物联网世界，一切都变得更加庞大。不仅是设备本身——有些小到只容纳几个芯片，他们通常隐藏其中，眼不见心不烦。但物联网中庞大的数据和设备规模令任何网络安全专业人士都感到头疼。

据广泛统计，目前的物联网数据产量为每天2.5万亿字节，在未来两年内，物联网包含多达300亿台设备，这一数字还将继续增长。数字风险分析主管TroyLaHuis表示：“随着如此多的设备问世，物联网对每个人来说都是全新的，这对大多数企业来说都面临困难。”

随着规模的扩大，风险也在增加。下面来看看物联网即将面临的7个最重要的网络安全威胁，以及网络安全相关决策层如何应对挑战。

1. 潜在的隐患

许多物联网设备都是为特定任务而设计的，比如感知温度或记录运动。但它们运行在微控制器和操作系统上，能够在后台做更多的事情。这对攻击者来说是一个巨大的机会，对企业和经营者来说也是一个重大的风险。

LaHuis建议信息安全经理参与公司的物联网采购过程，就像参与任何其他技术收购一样。无论是服务器、储物架，还是航拍无人机和智能照明装置，“你总不会在一切都确定下来并购买之后出现问题再让IS团队进入吧。”

2. 被遗忘的设备

许多物联网设备被设计成既看不见也听不见，只靠电源或一个硬币电池就能运行数年。它们可以嵌在墙壁和天花板上，也可以安装在工厂设备上，正常情况下，维修工人无法进入这些设备。

虽然它们这样使用起来非常方便——可靠且维护成本低。但对于IT资产和网络安全管理来说，这是一个真正的问题。“最大的失误之一就是人们忘记了他们的存在。”LaHuis说。

要解决这一问题，需要建立并强制执行与数据中心服务器和笔记本电脑等IT设备相同的严格替换和更新周期。由于这么多的物联网设备可能被隐藏多年，这就需要更详细的更换计划文档，以便IT团队能够在更新或替换这些设备时找到这些设备。

3. 识别物联网攻击目标

物联网安全的防御方法可以从一些早期的物联网暴露和攻击中获得线索。智能摄像头和支付卡读卡器被攻击和窃取，将数据传递给未经授权的用户。最近，嵌入式系统成为勒索软件攻击的目标，勒索软件要求支付赔偿而不是关闭关键系统。但是，随着物联网设备种类的不断增加，攻击者可能更感兴趣的是写数据，而不是读取数据。

例如，一家配备物联网管理设备的工厂可能有数百个传感器，可以读取传送带上的当前供应水平，或测量管道中的流体压力。对于攻击者来说，仅仅阅读这些信息的价值相对较小。但是，如果破坏者能够植入虚假记录，就可能通过伪造数据造成生产中断，这些数据会使装配线浪费太多的组件，或者出现不符合额定负载的组件。国家标准与技术研究所(NIST)白皮书声明：“攻击者读取物联网设备中存储或传输的数据，可能不会获得任何优势或价值，然而攻击者一旦篡改数据，则会引发一系列事故。”

了解攻击者可能从未经授权的设备中访问什么是设计保护的重要第一步。

4. 平衡安全性和用户期望

物联网设备通常被期望像家电一样运行：稳定、可靠、全天候可用。它们不希望定期停机进行维护。NIST指出：“物联网设备对性能、可靠性、弹性和安全性的操作要求可能与传统IT设备的网络安全实践相冲突。”

奇怪的是，用户不会接受或理解物联网设备经过15分钟安全补丁的休眠，而他们会接受智能手机或笔记本电脑的这种行为。使用冗余备份设备、有计划的维护以及相关的教育活动来解决这个问题，使用户的期望与安全需求保持一致。

5. 不负责任的供应商

物联网设备的设计初衷是为了方便，但这种方便也带来了风险。物联网良好的网络安全始于确保默认的管理员或超级用户能够立即更改或禁用。阻断和禁用通用即插即用(UPnP)功能，以及关闭经常用于物联网攻击的非必要网络端口，这都是值得采取的预防措施。

如果供应商做不到呢?不部署。这些设备并不总是天生安全的。有些不允许你更改用户名和密码。一些最大的漏洞来自供应商。

6. 内部风险

LaHuis指出，内部风险往往比外部实体构成更大的威胁。这种内部风险可能是雇员出于自己的目的故意颠覆设备，或者通过网络钓鱼或其他社会途径被攻击者操纵。“物联网带来了这个问题的新形态——员工成为你的最后防线。”他说。“我们真的必须加强对该设备的使用权以及他们能用它做什么的关注。”

一般的网络钓鱼教育，往往侧重于避免电子邮件和社交媒体诈骗，可能是不够的。攻击者可能会试图哄骗员工重启或调整设备，如果员工在该设备工作，他可能会认为这是一个合理的要求。所以员工应该得到明确的指示，明确谁能授权与物联网设备进行交互，以及在没有IT监管的情况下，遇到什么情况可以对设备进行任何调整。

7. 保卫废弃设备

未打补丁、被遗弃或被遗忘的物联网设备的问题变得如此严重，黑客活动分子实际上用恶意软件感染了未受保护的设备。一些攻击者利用未修补的漏洞强行进入，借用修补漏洞关闭网络端口，以防止其他软件进入。物联网保卫战略应明确意识到这一风险，了解这些“灰帽黑客”的活动，并在他们能够采取行动之前采取行动。