为什么实施物联网安全非常困难

物联网(IoT)正在通过一个由电子、软件、传感器、执行器和连接性组成的庞大网络，越来越多地将物理世界和基于计算机的系统集成在一起。根据Statista的数据，物联网这个庞然大物正以每年近20%的速度增长，到2020年有望达到8.9万亿美元。与此同时，四分之一的物联网仍然致力于工业环境——工业物联网(IIoT)。

不幸的是，随着创新、效率和便利的新机会成倍增加，与IOT相关的漏洞和攻击浮出水面被恶意行为者利用。而且由于网络攻击利用了链条中最薄弱的环节，组织不能只是挑选要解决的物联网漏洞——它们必须实时地处理所有这些漏洞。

现实情况是:物联网安全是一项艰巨的挑战——涉及从难以实现标准的各个方面;难以触及工业部件;以及如何在旧的“棕地”和新“绿地”物联网系统和设备之间无缝集成安全的艰难选择。

有很多指导，但不够实用

物联网和工业物联网的安全挑战范围从不安全的web和移动接口以及网络服务，到糟糕的加密、身份验证和物理安全。特别是在工业环境中，组织意识到他们必须解决整个物联网生态系统，包括:在工厂地板上运行的操作技术(OT);连接到物联网云平台的新设备;连接到业务系统的IT系统;新的设备和传感器，以及介于两者之间的一切。

美国国家标准与技术研究所(NIST)和国际自动化学会(ISA)等组织曾试图通过发布物联网和工业物联网网络安全标准来提供帮助，但这些指导方针非常复杂，难以理解，也难以实施，因为它们往往缺乏明确的实施建议。设备制造商和集成商可以自行决定如何在其设备所需的安全级别上实现适当的安全性、可靠性、弹性和私密性。通常情况下，这意味着标准没有被实际应用，因为人们认为它们太复杂了。

例如，可信计算组的TPM 2.0标准提供了在微芯片和固件中嵌入唯一密钥的指导，以帮助证明物联网设备的身份，但该技术文档长达3000多页。

这些挑战使得业界对以IOT为中心的攻击毫无准备。事实上，最近的一项调查发现，97%的受访者认为，不安全的物联网设备对他们的组织会构成重大风险。

工业物联网尤其重要，甚至更难获得安全保障

从2010年的超级工厂病毒(Stuxnet)，一直到2018年扩大的Triton式攻击，工业系统已成为首要攻击目标——这一事实尤其令人不安，也具有重大影响。虽然Target或Equifax的数据泄露可能是毁灭性的，会危及数百万客户的隐私和财务，但对关键基础设施的网络攻击可能造成无法估量的损害、操作故障，甚至是生命损失。

想想1979年的三里岛核事故和2010年英国石油公司深水地平线漏油事故;它们可能都是意外，但所涉及的控制系统故障与执行良好的网络攻击很容易造成的故障类型相同。事实上，据称2014年德国一家钢厂发生的黑客攻击，破坏了一座高炉，导致高炉发生故障，对高炉设施造成重大损害。

请记住，对于炼油厂和其他一些复杂的工业企业来说，紧急停产可能需要一年或更长时间才能恢复。这意味着收入损失，名誉受损，甚至可能破产。

不幸的是，工业物联网安全特别难以实现。许多工业部件是很久以前制造的，设计成可以连续运行。这使得为安全而改造系统变得十分困难;一些工业控制系统已经存在了几十年，每年的维护时间仅有4个小时。

保护物联网安全的正确方法

企业越来越意识到，为了保护组织和维护运营，它们必须跨整个物联网生态系统实现安全性——尤其是在工业环境中。

最大的挑战是将安全性覆盖到涉及旧设备和遗留系统的“棕地”问题空间。与此同时，对于制造商来说，从一开始就确保正在开发的新“绿地”设备的安全性至关重要。

协调连接到“棕地”和“绿地”系统的物联网基础设施的安全性说起来容易做起来难。在棕地方面，一些系统根本无法升级——这意味着你唯一的选择是更换系统，或者找到一种方法在系统前面放置一个安全网关。其他棕地元素可以通过更强的身份验证、更多的加密或更好的web、移动或物理安全性逐步升级。在绿地方面，在所有设备和组件的开发和生产周期中，应尽早将安全性纳入其设计。

最后，开发人员应该明白，即使一个全新的系统从工厂获得了安全认证，如果它进入的环境没有全面的安全性，那么它的运营能力仍然可能受到影响。

在您自己的组织中实现更好的物联网安全性

到目前为止，应该清楚的是，没有一种万能的解决方案，人们可以简单地购买，然后轻轻一按开关就能打开。相反，物联网安全是必须用适合您组织及其漏洞的正确策略和行业伙伴关系来实现的。

无论您的具体实现方法是什么，它都应该包括一个安全堆栈，该堆栈可以跨不同的端点环境处理需求。另外，确保您的安全解决方案足够强大，能够增强存储、通信和容器化应用程序的安全性。并确保任何工业设备满足美国NIST 800-63B AAL3的要求(最高级别的认证保证)。

最重要的是，您实现这些高级别安全性的能力不应该被大量复杂的标准和指导手册所拖累。合适的行业合作伙伴可以将这种复杂性打包，以确保您获得适当的安全性和遵从性——而不会淹没在文档中。要求供应商提供全面的安全性，这种安全性仍然足够简单，易于理解和实现。

开发更强大的物联网安全性已成为所有组织的主要关注点——尤其是那些处理关键基础设施的组织。无论您是设备制造商还是服务提供商，每个人都可以更好地了解现有物联网安全领域，以及如何加强它。