微分段用于物聯(lián)網(wǎng)中的好處是什么

如果將微分段作為物聯(lián)網(wǎng)安全策略的一部分進(jìn)行部署，則可以對網(wǎng)絡(luò)進(jìn)行更精細(xì)的控制，并在出現(xiàn)安全漏洞的情況下實(shí)現(xiàn)更好的隔離。

物聯(lián)網(wǎng)(IoT)可以為企業(yè)帶來了一些巨大的好處，例如對企業(yè)資產(chǎn)和產(chǎn)品的性能有了更深入的了解，改進(jìn)制造過程，以及提供更好的客戶服務(wù)。不幸的是，與物聯(lián)網(wǎng)相關(guān)的棘手安全問題仍然是企業(yè)面臨的一個(gè)重大問題，在某些情況下，可能會(huì)使他們無法繼續(xù)推進(jìn)計(jì)劃。微分段是解決一部分物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)的一種解決方案，專家稱這是一種網(wǎng)絡(luò)概念，可幫助控制物聯(lián)網(wǎng)環(huán)境。

通過微分段，企業(yè)可以在其數(shù)據(jù)中心和云計(jì)算環(huán)境中創(chuàng)建安全區(qū)域，使他們能夠?qū)⒐ぷ髫?fù)載彼此隔離并分別進(jìn)行保護(hù)。在物聯(lián)網(wǎng)環(huán)境中，微分段可以繞過以外圍設(shè)備為中心的安全工具，從而使企業(yè)能夠更好地控制設(shè)備之間不斷增加的橫向通信量。

對于企業(yè)而言，將微分段用于物聯(lián)網(wǎng)仍處于競爭階段初期，但行業(yè)分析人士認(rèn)為，物聯(lián)網(wǎng)部署的潛力可能促使企業(yè)采用微分段，以提供比傳統(tǒng)防火墻所能提供的更精細(xì)、更簡單的保護(hù)。

物聯(lián)網(wǎng)帶來新的安全風(fēng)險(xiǎn)

物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)可能包括涉及物聯(lián)網(wǎng)設(shè)備本身、支持物聯(lián)網(wǎng)的軟件以及使所有連接成為可能的網(wǎng)絡(luò)的多種威脅。

隨著物聯(lián)網(wǎng)部署的增長，安全威脅也在增加。根據(jù)研究機(jī)構(gòu)波洛蒙研究所和風(fēng)險(xiǎn)管理服務(wù)機(jī)構(gòu)圣達(dá)菲集團(tuán)(SantaFe Group)的報(bào)告，自2017年以來，與物聯(lián)網(wǎng)相關(guān)的數(shù)據(jù)泄露事件急劇增加。使問題進(jìn)一步復(fù)雜化的是，大多數(shù)企業(yè)并不知道其環(huán)境中或第三方供應(yīng)商提供的每個(gè)不安全的物聯(lián)網(wǎng)設(shè)備或應(yīng)用程序。波洛蒙研究所的研究表明，許多企業(yè)沒有解決或管理物聯(lián)網(wǎng)風(fēng)險(xiǎn)的集中責(zé)任制，并且大多數(shù)企業(yè)認(rèn)為他們的數(shù)據(jù)可能在未來兩年內(nèi)泄露。

物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)對于醫(yī)療保健等行業(yè)而言可能特別高，這是因?yàn)槲锫?lián)網(wǎng)設(shè)備會(huì)通過網(wǎng)絡(luò)收集和共享大量敏感信息。在研究機(jī)構(gòu)Vanson Bourne公司調(diào)查的232個(gè)醫(yī)療保健組織中，82%的受訪者表示，在過去一年中經(jīng)歷了以物聯(lián)網(wǎng)為中心的網(wǎng)絡(luò)攻擊。當(dāng)被要求確定醫(yī)療機(jī)構(gòu)中最突出的漏洞存在的位置時(shí)，網(wǎng)絡(luò)被引用的頻率最高(50%)，其次是移動(dòng)設(shè)備和伴隨的應(yīng)用程序(45%)和物聯(lián)網(wǎng)設(shè)備(42%)。

微分段如何為物聯(lián)網(wǎng)安全提供幫助

微分段旨在使網(wǎng)絡(luò)安全性更加精細(xì)。下一代防火墻、虛擬局域網(wǎng)(VLAN)和訪問控制列表(ACL)等其他解決方案提供了一定程度的網(wǎng)絡(luò)分段。但是通過微分段，可以將策略應(yīng)用于單個(gè)工作負(fù)載，以提供更好的防御攻擊。結(jié)果，與VLAN等產(chǎn)品相比，這些工具可提供更細(xì)粒度的流量分段。

軟件定義網(wǎng)絡(luò)(SDN)和網(wǎng)絡(luò)虛擬化的出現(xiàn)，推動(dòng)了微段技術(shù)的發(fā)展。通過使用與網(wǎng)絡(luò)硬件分離的軟件，與軟件未與底層硬件分離相比，分段更容易實(shí)現(xiàn)。

由于與防火墻等外圍產(chǎn)品相比，微分段技術(shù)能夠更好地控制數(shù)據(jù)中心的流量，因此它可以阻止攻擊者進(jìn)入網(wǎng)絡(luò)進(jìn)行破壞。

微分段也有利于管理。研究機(jī)構(gòu)IDC公司的物聯(lián)網(wǎng)安全分析師Robyn Westervelt說：“如果可以正確地實(shí)現(xiàn)微分段，就可以在物聯(lián)網(wǎng)設(shè)備和其他敏感資源之間增加一層安全性，而不會(huì)在防火墻上造成漏洞。但底層基礎(chǔ)設(shè)施必須支持這種方法，可能需要安裝新的、現(xiàn)代化的交換機(jī)、網(wǎng)關(guān)等?！?/p>

出于安全或隱私的原因?qū)⒕W(wǎng)絡(luò)分成多個(gè)部分的概念并不新鮮。一段時(shí)間以來，企業(yè)一直在隔離一些關(guān)鍵或高風(fēng)險(xiǎn)資源。

Westervelt說，例如，網(wǎng)絡(luò)分段在零售領(lǐng)域很普遍。許多商家將其支付環(huán)境與其他網(wǎng)絡(luò)流量隔離開來，以減少支付卡行業(yè)數(shù)據(jù)安全標(biāo)準(zhǔn)(PCIDSS)的范圍，該標(biāo)準(zhǔn)旨在確保企業(yè)接受、處理、存儲(chǔ)或傳輸信用卡信息的一組安全標(biāo)準(zhǔn)維持安全的環(huán)境。

Westervelt說：“這并不是萬無一失的，因?yàn)檎缥覀冊诹闶凵蘐arget公司的數(shù)據(jù)泄露中所看到的那樣，網(wǎng)絡(luò)攻擊者可以找到從一個(gè)系統(tǒng)跳到另一個(gè)系統(tǒng)的方法。這樣做需要更多的技巧和資源;足以挫敗許多出于經(jīng)濟(jì)動(dòng)機(jī)的攻擊者。但這是可以做到的?！?/p>

Westervelt表示，多年來，Target公司數(shù)據(jù)泄露的細(xì)節(jié)一直讓人困惑。她說：“網(wǎng)絡(luò)攻擊者使用被竊取的憑證來訪問Target公司用來支付其暖通空調(diào)供應(yīng)商的承包商計(jì)費(fèi)系統(tǒng)。網(wǎng)絡(luò)攻擊者在那里訪問網(wǎng)絡(luò)，并橫向移動(dòng)到POS(銷售點(diǎn))系統(tǒng)?！?/p>

Westervelt表示，微分段還可用于隔離虛擬環(huán)境中的關(guān)鍵應(yīng)用程序工作負(fù)載。她說：“通過微分段這種方式，企業(yè)可以對關(guān)鍵工作負(fù)載設(shè)置更嚴(yán)格的控制，并密切監(jiān)視訪問和更改?！?/p>

微分段技術(shù)也被認(rèn)為是工業(yè)控制系統(tǒng)環(huán)境中的最佳實(shí)踐。Westervelt說：“企業(yè)可以使用工業(yè)防火墻和單向網(wǎng)關(guān)隔離分配給敏感過程的關(guān)鍵可編程邏輯控制器?！?/p>

在IT環(huán)境中，可以對具有全球互聯(lián)網(wǎng)連接的新部署的運(yùn)營技術(shù)(OT)進(jìn)行分段，以防止網(wǎng)絡(luò)攻擊者將其用作生產(chǎn)系統(tǒng)的過渡平臺或墊腳石。這就是微分段與物聯(lián)網(wǎng)相關(guān)的地方。

Westervelt說：“這些運(yùn)營技術(shù)(OT)技術(shù)包括現(xiàn)代建筑管理系統(tǒng)、太陽能電池板、電梯傳感器以及包括滅火系統(tǒng)在內(nèi)的物理安全機(jī)制。目前，這并不是一個(gè)重要的領(lǐng)域，但是我們看到一些大型銀行和金融服務(wù)公司減輕了數(shù)據(jù)中心設(shè)施中與這些運(yùn)營技術(shù)(OT)技術(shù)相關(guān)的風(fēng)險(xiǎn)。”

網(wǎng)絡(luò)專家說，將微分段作為廣泛的物聯(lián)網(wǎng)安全策略的一部分進(jìn)行部署可能很有意義。

獨(dú)立信息安全顧問Kevin Beaver表示：“這種網(wǎng)絡(luò)模型可以對網(wǎng)絡(luò)系統(tǒng)進(jìn)行更精細(xì)的控制，并在利用安全漏洞的情況下實(shí)現(xiàn)更好的隔離。這些好處不僅可以幫助改善安全可見性和控制力，而且還可以改善事件響應(yīng)和取證?！?/p>

研究機(jī)構(gòu)Gartner公司分析師Jon Amato表示，“這項(xiàng)技術(shù)可能是從IT系統(tǒng)中分割物聯(lián)網(wǎng)網(wǎng)絡(luò)的一種非常有效的方法。微分段產(chǎn)品創(chuàng)建‘虛擬段’的能力非常有用，即使在多個(gè)物理位置，也能將設(shè)備類型彼此分離。”

Amato說，這也與美國國土安全部(DHS)等組織的物聯(lián)網(wǎng)安全指南非常吻合。美國國土安全部(DHS)在其《確保物聯(lián)網(wǎng)安全的戰(zhàn)略原則》報(bào)告中建議組織權(quán)衡連通性的好處與它帶來的風(fēng)險(xiǎn)：“鑒于物聯(lián)網(wǎng)設(shè)備的使用以及與物聯(lián)網(wǎng)設(shè)備中斷相關(guān)的風(fēng)險(xiǎn)，物聯(lián)網(wǎng)用戶(尤其是在工業(yè)環(huán)境中)應(yīng)慎重考慮是否需要連續(xù)連接。物聯(lián)網(wǎng)消費(fèi)者還可以通過謹(jǐn)慎而有意識地進(jìn)行連接，并權(quán)衡物聯(lián)網(wǎng)設(shè)備潛在的破壞或故障風(fēng)險(xiǎn)與限制連接到互聯(lián)網(wǎng)的成本，幫助遏制網(wǎng)絡(luò)連接帶來的潛在威脅?！?/p>

Amato表示，微分割非常符合此建議。他說：“僅創(chuàng)建一個(gè)物聯(lián)網(wǎng)細(xì)分市場(還遠(yuǎn)遠(yuǎn)不夠，還需要將這些設(shè)備彼此分割開來。而且，大多數(shù)物聯(lián)網(wǎng)設(shè)備缺少基于主機(jī)的控制，因此企業(yè)只能使用微分段等外部解決方案來完成這一任務(wù)?！?/p>

物聯(lián)網(wǎng)安全的微分段發(fā)展緩慢

Amato表示，盡管具有潛在的優(yōu)勢，但迄今為止，似乎還沒有廣泛采用微分段技術(shù)來實(shí)現(xiàn)物聯(lián)網(wǎng)安全。

Amato說，“我所看到的是，只有已經(jīng)擁有成熟的物聯(lián)網(wǎng)安全計(jì)劃的組織才能通過實(shí)施微分段或?qū)⑵洮F(xiàn)有程序擴(kuò)展到物聯(lián)領(lǐng)域來建立這種基礎(chǔ)?！?/p>

Amato說，“對于大多數(shù)組織來說，將IT和物聯(lián)網(wǎng)彼此分開只是他們現(xiàn)在所能做到的最好事性。有時(shí)候，企業(yè)可以做的最好的事情必須足夠好。而且我聽到很多組織都在談?wù)撍?。（子午物?lián)ziwuiot.com）但是，在研究使物聯(lián)網(wǎng)全部工作所需的努力水平之后，實(shí)際上進(jìn)行物聯(lián)網(wǎng)微分段的企業(yè)要少得多?！?/p>

Beaver說，對于構(gòu)建物聯(lián)網(wǎng)基礎(chǔ)設(shè)施的企業(yè)來說，重要的是要考慮他們是否真的需要對物聯(lián)網(wǎng)安全進(jìn)行微分段。

Beaver說，“企業(yè)必須確定當(dāng)前的風(fēng)險(xiǎn)級別和業(yè)務(wù)流程，每一項(xiàng)新技術(shù)或控制都會(huì)帶來意想不到的后果。與零信任模型相關(guān)的額外復(fù)雜性是否會(huì)影響企業(yè)的安全計(jì)劃，從而否定任何可感知的好處?”

一個(gè)更好的做法是徹底了解物聯(lián)網(wǎng)將如何影響企業(yè)中的所有網(wǎng)絡(luò)，以便確定確保數(shù)據(jù)安全傳輸?shù)淖罴逊椒ā?/p>

Beaver說，“制定安全標(biāo)準(zhǔn)和政策，不僅是可執(zhí)行的，而且包括實(shí)際執(zhí)行的物聯(lián)網(wǎng)。如果以基于風(fēng)險(xiǎn)的角度進(jìn)行處理，并希望將網(wǎng)絡(luò)復(fù)雜性降至最低，那么也許就能夠控制其物聯(lián)網(wǎng)環(huán)境。”
責(zé)任編輯；zl