元鼎音訊
訂報優惠

《萬物互聯》二部曲--絕處逢生

  • 賴品如

台北訊

以自適性信賴防護模式自動化監控物聯網的一切

「不!不!我的天!我完全無法控制剎車!」萊絲莉.斯塔爾驚呼道。

萊絲莉.斯塔爾,美國CBS電視台新聞雜誌節目《60分鐘》的記者,驚呼當時正出現在節目裡,開著通用汽車的雪佛蘭Impala房車。畫面一轉,我們看到2010年時為博士研究生的Karl Koscher,正以其軟體從遠端控制通用汽車安裝在Impala車內、類似物聯網(IoT)的車載通訊管理系統OnStar。在另一個實驗中,Karl Koscher還攻破OnStar的安全漏洞讓Impala旋轉。(5年後通用汽車修復了這個漏洞。)

2016年9月18日,法國最大雲端服務與主機代管供應商OVH,面臨史上罕見的大規模DDoS(分散式阻斷服務)攻擊。連續4天,超過 100Gbps等級的攻擊至少出現26次。其原因是駭客利用Mirai惡意程式,感染物聯網連線設備,如網路監視器、IP Cam、路由器或是小型Linux設備,取得遠端操控這些裝置的權限,再利用這些遭駭的物聯網裝置,對特定目標發動DDoS攻擊。

2017年5月12日起,WannaCry(想哭)加密型勒索軟體,利用微軟Windows作業系統的安全漏洞,乘虛而入,加密個人電腦裡的檔案,要求受害的檔案擁有者給付解密贖金,至今受害者遍佈150個國家、超過20萬台電腦。台灣的國家安全局則在5月17日表示至當日止有 158台電腦受害,幸好並不嚴重。

但據IoT Institute報導,令人擔憂的是,物聯網恐成為WannaCry的下一個目標。例如在酷寒的冬天控制你家的恆溫器,要脅你再不付贖金就沒暖氣,或者不惜攻擊電網、工業設施或醫療院所以求獲得贖金。

不安全的物聯網置人於絕處險境

層出不窮的事件告訴我們,物聯網的致命弱點,就是安全性。不安全的物聯網將置人、物於絕處險境。而且,不注重舉足輕重的安全性,物聯網技術改變世界的承諾,將無法實現。

理由很簡單,如同美國華盛頓大學副教授Matt Reynolds所說:「物聯網的整個理念是,這個由人類和自動化系統所構成的組合,根據分布在我們環境和生活中的感測器及系統所輸入的資料,來決定時間和資源的配置。如果這些感測器輸入的資料不可信賴,人類和自動化系統要麼就是不理會感測器和系統,要麼就是更糟糕地做出錯誤決策。在極端情況下,這種錯誤決策可能造成經濟損失,甚至對人類和我們的環境造成傷害。」

我們可以合理的預測,未來企業在發展物聯網策略時,裝置(things)的安全性將比資料的安全性還重要。從Aruba 2017年的《物聯網:今天和明天》調查報告中,我們就看到84%的物聯網用戶表示他們至少經歷過一次物聯網違安事件,其中以惡意軟體、間諜軟體和人為錯誤是最常見問題;93%的高階主管則預期未來會遭遇物聯網安全違規行為。

轉危為安 始於瞭解網路上的一切

那麼,什麼樣的步驟或措施,可以確保物聯網的安全性,讓我們化險為夷?

首先,我們要徹底做到一個關鍵前提:對於網路上的一切,瞭如指掌。安全,始於瞭解網路上的一切。未受管理的智慧型手機、惡意的端點裝置、物聯網裝置等,都會增加攻擊面,威脅到企業安全。如果能看到網路上的一切,我們就可以更清楚了解公司網路的使用情況以及哪些人在使用。

IT必須能辨識並剖析每一個連線到網路的裝置,其類型、數量、連線來源位置,以及支援的作業系統,然後持續深入觀察變化。唯有符合安全和行為規範的裝置,才能連上網路,不合乎規範者必須被調整,否則就拒絕其連線。

第二,建立智慧型的安全原則,以便提供適當的使用者和裝置存取權,而不用考慮使用者、裝置類型或所在位置。第二步驟和第一步驟的關係密切。這是因唯有具備瞭解裝置的能力(即可見度),才能自動實施安全原則。

不過,對企業與工業領域中的組織來說,還應注意到有線的物聯網裝置,如動作感測器、醫療設備、工廠的製程控制器、會議室設備、IP 電話、印表機等,預期其數量將從35%成長到50%以上不等,視產業而定,因此安全原則必須涵蓋有線和無線網路。

這些原則可充分利用使用者角色、裝置類型、行動裝置管理/企業行動管理資料、憑證狀態、位置,以及星期幾等,輕鬆管理員工、學生、教師、訪客、企業主管及其所攜帶的無線裝置,以及網路交換器上的裝置連接埠。

第三,保護網路,尤其是保護愈來愈龐大的物聯網,需要自動化的作業流程。根據市場研究公司IHS 2016年預測報告,全球物聯網裝置的數量,將從2015年的154億個,2020年的307億個,成長到2025年的754億個裝置。

在每天有數千個不明的行動和物聯網裝置連線到企業網路,更多使用者採用遠端工作模式或購買新款行動裝置的情況下,想要依賴IT和支援人員手動指派及實施針對每個裝置的客製化安全原則,無疑是緣木求魚。

Aruba提出的Adaptive Trust(自適應信任防護)模式,一舉克服了上述三項挑戰。它利用緊密整合的解決方案,提供裝置身分識別、安全原則控制、工作流程自動化以及自動化威脅防護能力。

透過擷取並關聯即時的環境資料,企業或組織就能夠定義適用於任何環境(企業環境、院區或校園、飯店或大型球場)的安全原則,確保準確授予每個裝置應有的網路存取權限,將IT手動介入降至最低,並達成隨時隨地均能安全無虞的有線和無線網路環境。

儘管保護物聯網安全可能是一項艱巨的任務,頗令人心憂,但我們仍然可以有信心的指出,只要採取正確步驟、使用正確的工具,這些挑戰都能迎刃而解,讓你安心無虞。

在下一篇文章中,我們將進一步思考物聯網的最佳應用情境。循著最先發展物聯網的Auto-ID Center聯合創始人暨麻省理工學院機械工程教授Sanjay Sarma所提出的智慧城市願景,我們將探討物聯網技術在智慧型城市和智慧醫療的應用,包括國內的案例。第一篇精彩文章內容,請參考萬物互聯首部曲 – 邊緣革命