物联网安全检查清单

物联网安全为何重要

AT&T 的网络安全洞察报告对全球 5,000 多家企业进行了调查，发现有 85% 的企业正在部署或者打算部署物联网设备。但其中仅有 10% 的企业确信自己能够保护这些设备免受黑客攻击。而近期 GSMA 研究提供的证据显示，黑客攻击者已经对攻击物联网表现出了更大的兴趣。

物联网前景巨大，可以支持每一家企业成为互联服务企业，但要使物联网真正成为主流，企业就需要遵循清晰的检查清单来确保其物联网计划的安全。

面临的威胁

虽然攻击者的动机和成功攻击安全漏洞所造成的影响可能不同，但不同服务所面临的威胁以及用于应对这些威胁的潜在解决方案往往却极为相似。

黑客对物联网漏洞的攻击依然是最引人担忧的。如果研究人员已经能够成功侵入汽车等市售设备，那么我们如何来阻止意图犯罪的黑客呢？此外，对遭受过多数据困扰的恐惧也普遍存在，美国联邦贸易委员会调查发现，不到 10,000 个家庭每天就会产生 1.5 亿个离散数据点，而每个数据点都可能成为黑客的侵入点。

遭到窃听的威胁显然更加可怕，制造商或黑客能够以虚拟方式暗中监视私人住宅。研究人员利用智能仪表设备中的非加密数据，识别出了正在收看的电视节目，成功实施了窃听。

这些都是真实存在的问题，如果不能得到解决，就会削弱整个行业对物联网的信心，妨碍物联网充分发挥它的潜力。

安全防范是每个人的责任

就像所有其他行业一样，没有哪家供应商能够一肩挑起物联网的安全。相反，需要由一个完整的物联网安全生态系统来负责，通过大家通力合作来积极识别并提前防范不断发展变化的安全威胁。这一物联网安全生态系统包括：

l 物联网服务提供商 — 尽管很多服务提供商，比如汽车、医疗、消费类电子产品和市政服务等行业的服务提供商，可能认为他们的具体安全需求是其市场所独有的，但事实并非如此。比如，他们都要面临的一个重大挑战就是，用于管理隐私和数据保护的法律不一而足又多有相悖。

l 设备制造商 — 几乎所有物联网服务都是利用端点设备和服务平台组件构建的，这些端点设备和服务平台组件中包含与许多其他通信、计算和 IT 解决方案类似的技术。因此需要制定一套所有设备都应遵守的标准。

l 物联网供应商 — 安全设计应该贯彻始终，从一开始网络运营商提供的开发工具包，一直到用于部署、管理和保护互联设备，最终保护终端服务的各项策略，都应该把安全考虑进去。例如，物联网连接管理平台提供商必须支持异常行为检测，并且具备自动响应这类行为的能力，比如能够自动关闭行为可疑的设备。公司还需要将安全构建到与这些设备相关联的软件应用程序和网络连接当中。

l 网络运营商 — 网络运营商和物联网运营商通常在保护其资产方面具有相似的安全需求，因此他们就可以使用共同的安全解决方案，而不必部署重复（并有可能冗余）的安全基础设施。

总体来说，企业必须改变其管理物联网安全的方式。为了取得长久的成功发展，企业必须结束孤岛式管理，确保生态系统中的每个人都负起责任。

物联网安全检查清单

• 评估参与物联网服务的所有实体（即网关、端点设备、家庭网络、漫游网络和服务平台）的端 到端识别和身份验证
• 确保端点设备与后端服务器之间共享的所有用户数据得到加密
• 所有“个人”和管制数据依据本地隐私和数据保护规定进行存储和使用
• 充分利用物联网连接管理平台并建立基于规则的安全策略，以便在互联设备中检测到异常行为 时能够立即采取行动
• 采取网络级别的全面安全保护方法

Cisco Jasper 在物联网安全生态系统中扮演的角色

Cisco Jasper Control Center 可利用多层安全来保护您的设备、数据和平台 — 包括防止未授权或非法访问、欺诈性设备滥用，利用“击碎玻璃”式紧急协议预防重大违规，使用双因素身份验证和封闭式群组监控等。

端到端物联网安全体系结构从设备开始，一直延伸到云端。Cisco Jasper 物联网平台中所固有的这一体系结构的元素包括：

l 强大的设备级访问和身份验证 — GSM 标准可确保通过设备/SIM 卡完成身份验证和加密

l 加密数据传输 — GSM 网络还提供移动网络与设备之间的加密

l 将物联网流量分散到私有网络中 — 企业可以利用移动物联网创建安全的私有网络，利用定制接入点名称 (APN) 将局域网 (LAN) 向外延伸到远程设备

l 云应用程序的全面信息安全 — 要使 IT 安全框架能够充分保护物联网应用程序基础架构，它必须提供合适的身份管理系统、基于规则的访问权限和访问控制列表

l 异常检测和自动修复 — 持续监测设备行为能够实时检测异常，我们的自动化引擎也能够快速修复这类异常，防微杜渐。

本文由Cisco公司提供