物聯網10大安全神話被揭穿

　　在科技界，你很難在一周中沒有聽到所謂“物聯網”這個詞。物聯網方面的進步已經改變了我們的生活，并將繼續(xù)改變，因為越來越多的設備連接到物聯網。物聯網對組織和普通人群產生了巨大的影響，但是那些連接物聯網設備的安全性又如何？安全性是極為重要的，但也有物聯網周邊安全的許多神話。以下你會發(fā)現關于頂級物聯網安全的一些神話：

　　10.“微小的物聯網設備沒有能力做到真正強大的安全性。”

　　即使是上世紀80年代只有2K，初級8位的RAM芯片可以使用256位密鑰長度實現橢圓曲線加密，并有效地使用2048位密鑰長度進行RSA加密，這對于美國“秘密”級國家安全信息是足夠強大的。這種加密每隔一小時使用的時間簽名或驗證數據，只使用一節(jié)AA電池這樣的小電池的電量可以運行二十多年。

　　9.“安全性太過復雜，特別是在物聯網。你永遠不會贏。”

　　真正有效的安全絕不是只有一個單一的殺手锏。相反，正如擋風遮雨的的房子需要幾面墻壁，屋頂和地板一樣，有效物聯網的安全性也需要一些重要因素組成：

　　·良好的加密保護認證和潛在的保護數據的機密性

　　·在允許該代碼運行于任何配置的情況下，對任何和所有代碼和配置進行加密驗證。

　　·通過安全專業(yè)的第三方安全運行，以應對任何代碼漏洞

　　·遠程管理功能，包括更新和軟件清單管理，遙測和策略管理的安全性靈活性

　　·安全分析發(fā)現和打擊復雜的對手

　　這些重要因素的組合簡單而強大，足以抵御技能最好的攻擊者。

　　8.“無法更新這些設備。”

　　很多設備都很難更新，但幾乎沒有一個是不可能的。工業(yè)系統(tǒng)平均部署了19年，在過去幾十年中，汽車和醫(yī)療設備的設計同樣如此?，F在，我們看到工業(yè)設備供應商為了設備的完整性對其使用了十年以下的舊設備進行更新，而人們現在所看到的醫(yī)療設備、自動取款機、銷售點的終端設備、零售亭，甚至連汽車也是如此。

　　7.“安全代價對于部署的數十億設備來說太昂貴了。”

　　人們認為在規(guī)模、安全的代價往往只有連接裝置，任何連接的設備超過了20美元，這似乎是完全負擔得起，而安全風險大意魯莽將會危及企業(yè)業(yè)務安全，當預防總是變化的風險時，有些代價有些太昂貴了。

　　6.“我們有airgaps，網關和網絡隔離保護我們?！?/p>

　　幾乎所有的系統(tǒng)都會以他們的創(chuàng)造者可能不知道的方式連接，但攻擊者會具有相當創(chuàng)造性地找到。這已在軍事、情報和關鍵基礎設施系統(tǒng)被反復證明，去年，德國的一個鋼鐵廠高爐遭受攻擊，破壞了其一個旨在保護操作網絡免受攻擊的網關。網關有助于減少風險，但不足以提供足夠的保護。正如airgaps不得力，VLAN和其他邏輯分離更有效。對于高價值的系統(tǒng)，要從內部進行強化，而不要冒險依賴網關，airgaps和網絡隔離。

　　5.“blockchain與PKI”

　　Blockchain是記錄交易和一個大臺賬制度數字（和物理）對象，因為他們去進行這樣的分類帳。不幸的是，大多數人忘記blockchains的臺賬水平，其核心停留在傳統(tǒng)的加密操作水平，并以較低的基礎與傳統(tǒng)的加密操作，每個交易的簽名庫、密鑰和證書。例如比特幣，使用橢圓曲線加密和256位密鑰的強度，如經常提倡的物聯網系統(tǒng)有無風格分類相同的需求鏈。密鑰管理是密碼系統(tǒng)的一個軟肋。這就是為什么價值十億美元以上的物聯網設備已經在使用世界上最成熟的密鑰管理系統(tǒng)、證書頒發(fā)機構提供管理公鑰基礎設施（PKI）。更好的PKI使得blockchain分類水平更強。換句話說，blockchain可以更好地利用PKI。

　　4.“我們只需要供應商和標準團隊更快來解決”

　　如今，供應商和標準團體正在取得進展，但這一過程需要時間。除非客戶開始詢問他們需要的安全類型，如上面提到的“成分”，設備供應商將繼續(xù)銷售設備，既沒有安全保障，并且更加危險，而安全作為一個形容詞，而不是真正衡量對手的指標。

　　3.“運行操作技術OPS隊只需要從中吸取教訓?！?/p>

　　IT供應商和工作人員在運營上的討論，并沒有良好的理由受到歡迎。操作限制因IT環(huán)境和后果遠遠不同，常有完全不同的時間尺度。無論是好是壞，OT側很多技術在IT方面已經使用了多年。然而，直到IT供應商和工作人員了解其語言和文化，其他團隊將不會對已被選中的并適合他們的環(huán)境的技術有任何信心。IT安全需要OTOPS團隊管理太多的工具。選擇正確的工具，并適當調整他們需要IT和OT之間的協作。

　　2.“我們的系統(tǒng)是如此的不起眼，沒有人能把它們弄清楚，并造成損害。”

　　如今，鋼鐵廠、污水處理廠、電網、工廠、發(fā)電廠以及其他無數的系統(tǒng)已經被黑客入侵，而管理和技術人員幼稚的信念導致出現這樣的結果。

　　1.“我可以獨自做到這一點?！?/p>

　　歷史和最近的頭條新聞充斥著那些試圖自己管理安全的企業(yè)的恥辱。沒有任何一家企業(yè)，也沒有任何一個供應商可以獨自打敗所有的攻擊者。捍衛(wèi)者需要團結起來，聘請專業(yè)人士，確保他們在硬件，軟件和云計算，以及相關的和特定的垂直方面有良好的合作伙伴。