物联网的危与机

文 | 本刊记者 姜红德



物联网的危与机

文 | 本刊记者 姜红德

到2020年，联网设备的数据将达到208亿。分析人士预测，网络犯罪造成的损失将随着联网设备数量的上升而大幅增长。

今年6月份，国内某知名安全企业提供的摄像头产品被曝泄露了用户隐私信息，在网络上闹得沸沸扬扬。据事后了解，该起事件背后是有黑客利用摄像头的漏洞，入侵了用户的家庭网络。虽然这件事情不是由该企业主导，但是由于它提供的产品存在的漏洞让黑客有了可乘之机，也让其难以脱离干系。

随着智能手机、可穿戴设备、无人机、机器人、门禁系统等智能终端的不断普及，越来越多的安全隐患出现在用户甚至企业的身边，这让物联网的安全问题逐渐成为当前安全业界重视的话题之一。

海量的联网设备凸显安全危机

早在数年以前，联网设备造成的安全隐患就引起了人们的重视。一位业内知名的黑客曾展示如何入侵糖尿病患者使用的胰岛素注射硬件，改变其注射频率与安全提醒功能，可能对患者造成难以逆转的危害。该黑客甚至表示可以利用信号传送器，在远程将恶意软件植入心脏病患者体内的去颤器、心律调节器等医疗硬件，在10公尺远的地方便可让对方心跳停止。

除此之外，报道称一些婴儿父母发现黑客会入侵婴儿监视器，偷窥婴儿的同时还会在深夜里对其大喊大叫。事件让一些监视器厂家受到了责罚，有关部门表示将把他们所生产的设备作为安全漏洞调查的一部分。

加上前文提到的摄像头事件，我们发现物联网安全危机并不遥远。“过去我们的数据大多是通过手机、电脑等设备传递和接收，今天的数据则可以通过各种智能终端来发送和接收，大量的设备会暴露更多的漏洞，但也是安全企业的新机会。”梆梆安全创始人阚志刚表示。目前中国开始已经进入物联网时代，终端产品包括平衡车、无人机、智能门锁等等，它们都会影响老百姓的生活。“物联网安全市场肯定会方兴未艾，智能终端设备最需要保护的是控制系统，比如无人机最重要、最核心的部件可能就是飞行控制系统，出了问题就会很麻烦。”

根据Gartner最近公布的数据，2016年全世界将有64亿联网设备，每天新增550万个联网产品。到2020年，联网设备的数据将达到208亿。分析人士预测，网络犯罪造成的损失将随着联网设备数量的上升而大幅增长。

安全业内专家在采访时表示，在整个环节中，物联网都存在安全漏洞：有人可以仿冒身份连接到传输数据的传感器；认证系统比较薄弱的企业可能无意中就让黑客进入其网络；一个不安全的连接可能引入网络犯罪。一旦黑客入侵，不知道会造成多少破坏，因为他可能获得整个物联网环境中的所有访问权限。

防护薄弱导致攻击升级

综观目前的国内外新创企业，并没有将硬件的安全防护列为第一优先顺位，顶多只能通过账号密码等简单机制，施以较为低度的保护。如此一来，这些看似富含智慧的物联网设备，都可能沦为黑客痛下毒手的管道。

归纳物联网时代的潜在信息安全威胁，大致可分为几种类型：首先是锁定物联网硬件本身的弱点，直接对此发动攻击；其次是先行潜入后端云端数据中心，掌握某些控制机能，再回头操控前端物联网硬件；再者则是入侵前端物联网硬件，然后循着前后端链接路径，逐步攻进后端云端数据中心，借以满足窃取机敏数据之目的。

面对一些连上网络的非IT硬件，也就是前段所提到的种种前端物联网硬件，显然不在IT人员的专长范畴内，一些前所未见的信息安全弊端，也就因此应运而生。专家建议，一是尽可能慎选相对安全的联网硬件，二是设法找出存在于自己网络上的所有不安全设备、尤其是非IT硬件，并加以移除。

在2016年世界移动大会移动安全论坛上，企业家和专家们的主流观点认为，应该从云端、传输和终端等几个层面入手，最终将这几个层面整合在一起形成统一的系统，才能真正对物联网安全起到防护的作用。

随着智能手机、可穿戴设备、无人机、机器人、门禁系统等智能终端的普及，越来越多的安全隐患出现在用户甚至企业的身边。

数据分析或能提供保障

随着云计算、大数据等技术的发展，可以借助一些新技术对日常访问的行为和日志进行分析，在一定程度上为物联网安全提供保障。

比如，企业可以使用大数据和物联网数据分析，获悉，识别和应对异常行为，借此可以判断其是否是一个潜在的漏洞。“技术不仅创造了这个问题，但也有助于缓解这个问题”，ISACA前任主席罗伯特.斯托特表示。同时设备供应商也为物联网生态系统提供了更多的关键的安全措施，云供应商为静态数据和传输数据提供加密，包括身份验证平台和身份网络。

此外，专家还建议建立通信协议标准，此举不仅能够实现网络之间的互通性，以获得更多应变力，还能更好的维护物联网安全性。因为只有把一切都连接在一起，我们才知道它们将如何运营，也才会知道如何可以将安全漏洞锁定，当然这需要设计更具应变力的系统，开发敏捷思维以更好地应对不断变化的威胁。

目前这些措施都没有完全就绪，上述专家说。例如使用大数据分析的企业必须同时实现在线流程管理，让他们的系统可以使用即时信息，及时回应。如果使用数据分析生成报告，或为审查标记问题，无法保证足够的安全性。

因此，对物联网安全保障来说，传统的合作仍然是至关重要的。企业的CIO，CISO和其他高管，特别是运营部门之间需要建立起理解和信任，这样他们作为一个团队就可以识别潜在的威胁，评估对于运营的风险，从而设计和部署适当的战略和技术系统来减轻这些威胁。