五個(gè)“小”物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)比你想象的還要大

盡管大流行導(dǎo)致物聯(lián)網(wǎng)支出有所放緩，但預(yù)計(jì)到2021年將恢復(fù)兩位數(shù)的增長(zhǎng)率。作為數(shù)字化轉(zhuǎn)型的一部分，許多企業(yè)正在投資物聯(lián)網(wǎng)，利用物聯(lián)網(wǎng)技術(shù)來(lái)創(chuàng)造更個(gè)性化、更吸引人的用戶體驗(yàn)，并提高生產(chǎn)力。

然而，對(duì)物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)的擔(dān)憂仍然是許多企業(yè)的首要任務(wù)。根據(jù)最近的一項(xiàng)調(diào)查顯示，一半的參與組織表示，確保數(shù)據(jù)、網(wǎng)絡(luò)和設(shè)備安全是成功采用物聯(lián)網(wǎng)的最大挑戰(zhàn)。

有很多不同的方式來(lái)審視物聯(lián)網(wǎng)安全問(wèn)題，例如，您可以查看最常見(jiàn)的攻擊類(lèi)型，例如勒索軟件?；蛘撸梢躁P(guān)注如何更好地使用物聯(lián)網(wǎng)安全技術(shù)來(lái)保護(hù)您的企業(yè)和客戶。

在本文，我們將采用另一種方式。我們正在關(guān)注經(jīng)常被公司忽視的五個(gè)“小事情”，這些可能被忽視的小事情實(shí)際上是您需要關(guān)注的嚴(yán)重物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)。

五個(gè)“小”物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)比您想象的還要大

安全測(cè)試不充分

未能對(duì)您的物聯(lián)網(wǎng)設(shè)備、應(yīng)用程序和網(wǎng)絡(luò)進(jìn)行適當(dāng)?shù)陌踩珳y(cè)試可能會(huì)造成嚴(yán)重后果。如果漏洞得不到解決，攻擊者很容易獲得對(duì)您的網(wǎng)絡(luò)和數(shù)據(jù)的訪問(wèn)權(quán)限。

漏洞會(huì)導(dǎo)致巨額罰款，更不用說(shuō)修復(fù)漏洞的相關(guān)成本了。額外的經(jīng)濟(jì)損失可能會(huì)影響您數(shù)年之久，因?yàn)槟鷷?huì)失去大量客戶。漏洞實(shí)際上成為了您的“品牌”——當(dāng)某人想到您公司時(shí)，首先想到的就是這件事。

確保您不會(huì)發(fā)生這種情況的最好方法是從一開(kāi)始就專(zhuān)注于安全性。

物聯(lián)網(wǎng)安全必須是設(shè)計(jì)和開(kāi)發(fā)過(guò)程中不可或缺的一部分。即使在部署之后，安全也必須保持優(yōu)先地位。物聯(lián)網(wǎng)設(shè)備、應(yīng)用和網(wǎng)絡(luò)應(yīng)在產(chǎn)品生命周期的所有階段進(jìn)行安全漏洞測(cè)試。

確保物聯(lián)網(wǎng)安全測(cè)試的全面性，并解決所有級(jí)別的安全問(wèn)題也很重要，其中包括：

▲硬件物聯(lián)網(wǎng)傳感器、邊緣設(shè)備、網(wǎng)關(guān)硬件、芯片、電路板

▲固件——軟件更新、密碼和密鑰存儲(chǔ)

▲網(wǎng)絡(luò)—無(wú)線通信技術(shù)、加密、身份認(rèn)證

▲網(wǎng)絡(luò)應(yīng)用程序——應(yīng)用程序接口、身份驗(yàn)證和消息管理

▲云托管——操作系統(tǒng)、網(wǎng)絡(luò)基礎(chǔ)設(shè)施

攻擊者只需要找到一扇門(mén)就可以進(jìn)入您的網(wǎng)絡(luò)，不管有多小，例如，攻擊者通過(guò)魚(yú)缸進(jìn)入賭場(chǎng)網(wǎng)絡(luò)。物聯(lián)網(wǎng)系統(tǒng)中的每一個(gè)部件和組件都很重要，值得進(jìn)行全面徹底的安全測(cè)試，以確保一切不會(huì)受到攻擊。

不定期更新

在許多情況下，可以通過(guò)安裝簡(jiǎn)單的更新或補(bǔ)丁來(lái)避免安全漏洞。

一項(xiàng)調(diào)查發(fā)現(xiàn)，有27％的組織報(bào)告說(shuō)他們因未修補(bǔ)漏洞而遭到攻擊，這證明了許多個(gè)人和組織仍然沒(méi)有做好適當(dāng)?shù)墓ぷ鱽?lái)及時(shí)更新安全補(bǔ)丁。當(dāng)涉及到單個(gè)物聯(lián)網(wǎng)設(shè)備時(shí)，尤其如此。

我們?cè)S多人在工作中使用個(gè)人設(shè)備，并將這些設(shè)備連接到公司網(wǎng)絡(luò)。如果我們不及時(shí)更新設(shè)備上的最新補(bǔ)丁，攻擊者就可以獲得機(jī)密信息。

對(duì)于較小的，看似微不足道的物聯(lián)網(wǎng)傳感器也是如此，這些傳感器可能在工廠車(chē)間或偏遠(yuǎn)的農(nóng)業(yè)環(huán)境中收集數(shù)據(jù)。這些較小的物聯(lián)網(wǎng)系統(tǒng)組件在維護(hù)時(shí)應(yīng)給予同等的“尊重”。

可用的修補(bǔ)程序和更新應(yīng)盡快安裝，這是確保攻擊者無(wú)法通過(guò)一扇較小門(mén)進(jìn)入大型網(wǎng)絡(luò)的最佳方法。

依賴(lài)默認(rèn)密碼

雖然我們都知道應(yīng)該更改物聯(lián)網(wǎng)設(shè)備上的默認(rèn)密碼，但我們中的許多人并未在物聯(lián)網(wǎng)安全方面采取這一簡(jiǎn)單（但很重要）步驟。Mirai僵尸網(wǎng)絡(luò)和Mirai的Satori變種就是攻擊者利用默認(rèn)用戶名和密碼進(jìn)行破壞的典型例子。

物聯(lián)網(wǎng)設(shè)備的開(kāi)發(fā)人員可以幫助用戶免受默認(rèn)密碼攻擊。最常見(jiàn)的方法是在制造過(guò)程中為每個(gè)設(shè)備生成唯一的用戶名和密碼組合。由于所有設(shè)備的用戶名和密碼不再相同，即使用戶不更改設(shè)備的默認(rèn)登錄信息，也能得到更好的保護(hù)。

但是在安全性方面，組織不能依賴(lài)物聯(lián)網(wǎng)設(shè)備制造商。收到設(shè)備后，應(yīng)立即更改默認(rèn)登錄憑據(jù)。多因素身份驗(yàn)證是提高物聯(lián)網(wǎng)安全性的最好方法，需要用戶采取多個(gè)步驟進(jìn)行登錄。

數(shù)據(jù)加密不足

當(dāng)然，連接到網(wǎng)絡(luò)的物聯(lián)網(wǎng)組件有可能會(huì)被打開(kāi)或關(guān)閉。但是，通常情況下，在任何給定的時(shí)間，至少有一部分組件正在收集數(shù)據(jù)、存儲(chǔ)這些數(shù)據(jù)，并將所有或部分?jǐn)?shù)據(jù)發(fā)送到云中進(jìn)行處理和存儲(chǔ)。

在過(guò)去的幾年里，數(shù)據(jù)隱私已成為熱門(mén)話題，諸如通用數(shù)據(jù)保護(hù)法規(guī)（GDPR）、加利福尼亞在線隱私保護(hù)法（CalOPPA）和最新的加利福尼亞消費(fèi)者隱私法（CCPA）等法規(guī)迫使許多公司采取額外措施來(lái)保護(hù)數(shù)據(jù)安全。（來(lái)源物聯(lián)之家網(wǎng)）其他規(guī)定，例如支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)（PCI-DSS）和HIPAA，則要求公司在處理財(cái)務(wù)或個(gè)人機(jī)密信息時(shí)采取一定的預(yù)防措施。

在與客戶合作時(shí)，無(wú)論客戶是否受到某些法規(guī)的約束，我們始終高度重視數(shù)據(jù)隱私?？蛻粝Ｍ麄兊臄?shù)據(jù)是安全的。即使是看似微不足道的公司數(shù)據(jù)也有可能給競(jìng)爭(zhēng)對(duì)手或黑客帶來(lái)可乘之機(jī)。

當(dāng)涉及到保護(hù)物聯(lián)網(wǎng)數(shù)據(jù)時(shí)，物聯(lián)網(wǎng)系統(tǒng)中的所有數(shù)據(jù)都應(yīng)該加密，無(wú)論是在靜態(tài)還是在傳輸過(guò)程中。與多因素身份驗(yàn)證類(lèi)似，加密會(huì)增加您的項(xiàng)目總成本，因?yàn)樗枰嗟挠?jì)算能力，但是，這絕對(duì)值得投資。

忽視遠(yuǎn)程員工

長(zhǎng)期以來(lái)，遠(yuǎn)程工作一直在增加，并且在受大流行影響的世界中，遠(yuǎn)程工作的數(shù)量創(chuàng)下了歷史紀(jì)錄。據(jù)預(yù)測(cè)，即使大流行平息下來(lái)，遠(yuǎn)程工作的趨勢(shì)仍將繼續(xù)。

我們所有人都需要意識(shí)到遠(yuǎn)程工作人員對(duì)安全的影響。自疫情爆發(fā)以來(lái)，攻擊企圖有所增加，包括黑客攻擊和數(shù)據(jù)泄露。

隨著越來(lái)越多的員工在家工作，您將需要重新評(píng)估遠(yuǎn)程工作的策略，以確保設(shè)備安全，攻擊者無(wú)法訪問(wèn)公司網(wǎng)絡(luò)。您可以采取以下幾個(gè)步驟來(lái)確保遠(yuǎn)程工作環(huán)境不會(huì)使您的企業(yè)更容易受到攻擊：

▲員工應(yīng)該清點(diǎn)家中的所有智能設(shè)備，包括其存儲(chǔ)的數(shù)據(jù)類(lèi)型

▲在所有家庭智能設(shè)備上使用雙因素身份驗(yàn)證

▲禁用設(shè)備上不必要的功能

▲執(zhí)行工作電話會(huì)議時(shí)，禁用虛擬助手設(shè)備上的麥克風(fēng)和攝像頭

您需要向員工強(qiáng)調(diào)采取這些措施以確保公司網(wǎng)絡(luò)安全的重要性。網(wǎng)絡(luò)安全策略應(yīng)概述物聯(lián)網(wǎng)安全的重要性以及每個(gè)員工必須采取的步驟。

遠(yuǎn)程工作物聯(lián)網(wǎng)安全性的其他技巧包括：

▲確保員工只能通過(guò)安全連接訪問(wèn)公司網(wǎng)絡(luò)。應(yīng)始終使用虛擬專(zhuān)用網(wǎng)絡(luò)（VPN）來(lái)保護(hù)存儲(chǔ)在公司筆記本電腦和機(jī)器上的信息。

▲提示員工定期更改密碼，并創(chuàng)建強(qiáng)有力的唯一密碼。

▲利用加密軟件保護(hù)員工設(shè)備上的數(shù)據(jù)。

▲需要在所有用于遠(yuǎn)程工作的員工設(shè)備上安裝最新的防火墻、防病毒軟件和反惡意軟件。

▲使公司能夠在設(shè)備丟失或被盜時(shí)遠(yuǎn)程擦除設(shè)備上的數(shù)據(jù)。

忽視這些“較小”的物聯(lián)網(wǎng)安全問(wèn)題可能很有誘惑力，但事實(shí)表明，它們會(huì)嚴(yán)重影響網(wǎng)絡(luò)和數(shù)據(jù)的安全性（以及聲譽(yù)）。我們強(qiáng)烈建議所有組織投入必要的時(shí)間和資源，以確保所有這些物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)得到妥善解決，這樣您就可以確信貴公司正在盡一切可能防范物聯(lián)網(wǎng)攻擊。

原文標(biāo)題：五個(gè)“小”物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)遠(yuǎn)比它們看起來(lái)要大

文章出處：【微信公眾號(hào)：物聯(lián)網(wǎng)技術(shù)】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。

責(zé)任編輯：haq