數字連接設備和應用正在滲入我們生活的方方面面，包括我們的家、辦公室、汽車甚至我們的身體。所有的物體都在變得智能，能夠利用連接到互聯網的好處。物聯網時代正在以前所未有的速度蓬勃發展。  

[[420467]] 

根據ABI的研究，到2020年，將有超過400億臺設備連接到無線網絡。通過網絡在這些設備之間傳輸大量數據。雖然企業IT系統駐留在云中，但大部分物聯網基礎設施駐留在邊緣。邊緣設備和工作負載的數量比我們在數據中心可能發現的任何數量都要高幾個數量級，而且它們在本質上非常分散。

雖然在早期，威脅面僅限于企業IT設置，但在現代世界中，它變得更加廣泛。在我們討論IoT中的安全措施之前，讓我們先看看圍繞它的幾個威脅向量。

物聯網的常見威脅向量

威脅向量是網絡犯罪分子可以訪問您在網絡中運行的核心系統的路徑或手段。由于物聯網中連接了如此多的設備，最常見的威脅媒介是：

沒有物理界限

物聯網設備超越了傳統的網絡邊界，公開存在。限制訪問設備的傳統安全方法不再適用。這些設備可以在需要時轉移到任何新位置，并且可以配置為訪問網絡。

弱配置的Wi-Fi和藍牙

物聯網中的Wi-Fi和藍牙配置對數據泄漏構成了主要威脅。弱加密方法可能允許攻擊者在網絡中傳輸數據期間竊取憑據。此外，大多數情況下，密碼不是為每臺設備唯一設置的，如果只有一臺設備受到威脅，就會為未經授權的訪問整個網絡留下空白。

設備的物理占有

這可能是攻擊者獲得對設備和工作負載的物理訪問權的所有威脅向量中最糟糕的一種。通過這種訪問，攻擊者可以輕松訪問設備內部及其內容，但使用BusPirate、Shikra或LogicAnalyzers等工具，他們也可以讀取網絡中流動的所有通信。通過物理擁有物聯網設備，攻擊者可以提取密碼秘密、修改其程序或替換為他們控制下的其他設備。

物聯網與IT

雖然物聯網設備存在于Edge上，但IT基礎設施位于云端。對物聯網安全的一種妥協可能會導致攻擊者通過上述任何物聯網威脅媒介獲得對核心IT網絡的訪問權限。下面提到一些現實生活中的事件。

通過HVAC定位數據泄露

Target是美國10大零售商之一，據報道，黑客竊取了4000萬個信用卡號碼，這是歷史上最大的數據泄露事件之一。黑客竊取了第三方HVAC供應商的憑據，進入HVAC系統，然后獲得了對企業網絡的訪問權限。

地鐵PoS黑客攻擊

有幾起與PoS相關的安全漏洞報告。其中之一是價值1000萬美元的SubwayPoS漏洞，其中至少有150個特許經營權成為目標。Barnes&Noble還發生了另一起類似的違規事件，其中63家商店的信用卡讀卡器遭到入侵。

SamSam勒索軟件

另一個著名的系統漏洞案例是通過SamSam勒索軟件報告的，該軟件于2018年襲擊了美國科羅拉多州交通部和圣地亞哥港，并突然停止了他們的服務。

物聯網法規

盡管物聯網法規在許多地方都已到位，但它們不足以減輕攻擊所涉及的風險。在遏制攻擊方面，加利福尼亞州擁有“合理的安全級別”法規。同樣，英國實施了唯一密碼政策，公司必須向連接到國家IT基礎設施的物聯網設備提供明確的漏洞披露聯系方式和定期安全更新。盡管這些行為準則受到許多安全評論員的歡迎，但對于誰來執行這些政策并不清楚。官員們補充說，他們正在努力了解如何通過現有的英國機構執行這些規定。

攻擊者的戰略發展速度要快得多，而這些法規每年或最多每半年實施一次。僅依靠監管政策很難跟上攻擊者的安全性。

企業必須做什么

在實施上述法規的同時，企業必須為物聯網設備制定自己的安全措施。

首先，他們必須清楚地識別物聯網設備。這些設備中的每一個都必須具有可以很好管理的唯一標識。這是絕對重要的，并且構成了后來建立的許多安全措施的基礎。

然后還需要通過固件、簽名代碼、固件合規性或工作負載合規性等措施來保護軟件。所有這些措施都需要建立在身份層之上。

最后，公司必須擁有最頂層的合規性，以決定必須運行哪些版本的軟件，或者必須在設備上運行的固件級別。

因此，總而言之，對于物聯網設備的完整安全解決方案，身份管理應該是所有的核心，其次是固件和軟件的管理，最后任何類型的合規性都需要建立在它之上。