从6个物联网安全层，塑造终极防御策略

现场的物联网设备通常“看不见，心不在焉”，这意味着管理员很容易忘记保护硬件的物理安全。由于计算和功率限制，物联网设备已经具有有限的设备安全选项。这些限制与许多物联网部署的远程性质相结合，使攻击者可以轻松地使用暴力破解、模糊测试、Rowhammer 或侧信道攻击找到网络入口点。

企业必须为传感器和网关建立外部防线。他们可以从积极寻找或设计具有内置安全措施的硬件开始。安全措施包括防篡改外壳和在篡改时禁用设备。物联网设备需要硬件级别的安全性，因为此级别的攻击很容易逃脱基于软件的安全措施的检测。仅靠软件安全性不足以防止攻击。

IT 管理员实施物联网安全措施最明显的地方是设备。物联网设备有多种形式，包括温度传感器、监控摄像头和可穿戴医疗设备。尽管硬件安全包括保护单个设备的步骤，但物联网设备安全包括更具体的最佳实践，例如设备发现和分类。

设备发现是任何企业必须采取的第一步。如果管理员不知道设备存在，他们将不会实施其他安全策略，例如更改默认密码、发布更新或关闭未使用的设备。

在安全标准和法规方面，物联网行业还没有赶上其他技术领域。物联网技术不会自动具有内置安全性，因为添加它会花费更多时间和金钱。然而，组织必须在他们的设备中构建安全性，包括他们的物联网软件。开发人员必须考虑他们用于创建物联网软件的平台、语言和工具，因为许多库和API都包含安全漏洞。物联网开发人员可能会使用开源软件来加速开发，但他们必须考虑可用的支持以及社区是否积极解决问题。软件安全必须包括限制访问和测试软件中的漏洞。

许多物联网部署使用云计算来满足物联网数据以及应用程序处理和存储需求。云为组织提供了更大的灵活性和可扩展性，但它可能会产生漏洞，例如边缘和云之间的不安全数据流。

企业可以通过查看安全审计报告和策略来比较云提供商的产品。提供商可能会提供不同的安全功能，包括设备监控和数据加密，但企业必须配置每个安全选项。管理员还必须了解他们必须承担哪些安全责任，以及哪些属于云提供商的责任。

攻击者针对具有漏洞的物联网应用程序，例如弱密码、脆弱的更新过程、过时的物联网应用程序组件以及不安全的网络接口和数据存储。管理员必须针对常见威胁进行规划，例如特权提升或欺骗。

标准的最佳安全实践——包括定期的应用程序更新、防火墙和访问授权——可以很好地保护应用程序。管理员还必须保护周边技术、API 集成以及设备和应用程序之间的通信。但是，当所有部件都安全时，他们还没有完成工作；他们还必须持续监控物联网应用程序的异常活动和威胁。

物联网的价值来自生成数据的商业洞察力。这些数据可以为流程提供信息，甚至可以确保医疗患者的健康和安全。然而，许多组织发现数据安全是最具挑战性的领域之一。物联网部署会生成大量数据并不断发送和接收这些数据。许多保护层必须协同工作，以确保物联网设备的数据隐私和持续功能。企业还必须决定在哪里存储其物联网数据。除了后勤方面的考虑外，立法机构还开始扩大组织必须遵守的数据保护和隐私法规。

管理员可以采取初步措施来限制访问，包括定期更改所有密码和更新每台设备。SSL 等物联网数据加密可确保数据不会被截获。他们还必须实施防火墙来保护设备并监控个人和应用程序如何使用敏感数据。