三步驟建立物聯(lián)網(wǎng)防護
開發(fā)和部署智能的安全架構(gòu)應(yīng)該著重在三個步驟：了解、隔離和保護。保護物聯(lián)網(wǎng)必須先了解哪些設(shè)備可以信任和管理，哪些設(shè)備不可信任，不可信任的設(shè)備就不允許存取某些網(wǎng)絡(luò)分區(qū)。
物聯(lián)網(wǎng)（IoT）是目前數(shù)字轉(zhuǎn)型（Digital Transformation）過程中最重要的技術(shù)之一，因為透過各種連接設(shè)備能夠收集前所未有的大量訊息，讓決策在擬定之前能有數(shù)據(jù)數(shù)據(jù)可以依循，藉此提升企業(yè)銷售成果和生活質(zhì)量。
然而，在過去的12個月里，我們不斷地看到針對物聯(lián)網(wǎng)設(shè)備的網(wǎng)絡(luò)攻擊，而且頻率和復(fù)雜性持續(xù)增加。不幸的是，太多的物聯(lián)網(wǎng)設(shè)備從未有過嚴(yán)謹(jǐn)?shù)陌踩钥紤]。這些設(shè)備常常是無頭（Headless）式設(shè)備，功率和處理能力有限，這同時意味著無法安裝安全的客戶端軟件，進一步更新應(yīng)用或修補漏洞。最近的研究顯示，大約70%的物聯(lián)網(wǎng)設(shè)備都非常容易受到網(wǎng)絡(luò)攻擊，這項結(jié)果一點也不奇怪。
隨著物聯(lián)網(wǎng)的普及，為安全官（CISO）帶來了壓力，包括其他的IT主管，他們都必須面對日益嚴(yán)峻的安全挑戰(zhàn)。每個安全官都有兩個目標(biāo)：提高生產(chǎn)力，并且維護安全。那么要如何平衡業(yè)務(wù)需求和安全需求呢？現(xiàn)今大部分的安全系統(tǒng)都不足以獨立完成安全工作，必須有一個更大的安全架構(gòu)，在其信任的框架上相互交織、彼此關(guān)聯(lián)、情資共享，并自動化地防護和偵測設(shè)備和系統(tǒng)的異常行為；最重要的是：能自動檢測、審查和允許連接到網(wǎng)絡(luò)的任何新用戶或設(shè)備，不管它實際的位置在何處。
簡單來說，開發(fā)和部署智能的安全架構(gòu)應(yīng)該著重在三個步驟：了解、隔離和保護。保護物聯(lián)網(wǎng)必須先了解哪些設(shè)備可以信任和管理，哪些設(shè)備不可信任，不可信任的設(shè)備就不允許存取某些網(wǎng)絡(luò)分區(qū)。
1. 了解。企業(yè)組織必須了解每個設(shè)備和網(wǎng)絡(luò)系統(tǒng)的功能和局限性。要做到這一點，安全解決方案要具備完整的網(wǎng)絡(luò)可視性（Visibility），來對所有物聯(lián)網(wǎng)設(shè)備進行身份驗證和分類。操作技術(shù)OT和工業(yè)控制系統(tǒng)ICS/SCADA的網(wǎng)絡(luò)和設(shè)備特別敏感，因為在某些情況下，甚至簡單地掃描它們都會產(chǎn)生負(fù)面影響。因此，組織必須采用基于信任的安全防護框架，自動實時辨識和分類設(shè)備，建立風(fēng)險檔案，并將設(shè)備指定至物聯(lián)網(wǎng)設(shè)備群組，同時將適當(dāng)?shù)陌踩吲伤椭涟踩O(shè)備和網(wǎng)段。
2. 隔離。一旦建立完整的可視性和集中化管理，就可以透過智能化的自動控制，將一些物聯(lián)網(wǎng)設(shè)備和通訊方案隔離在特定的安全網(wǎng)絡(luò)區(qū)段。這將能依據(jù)每個設(shè)備的風(fēng)險檔案，自動賦予和執(zhí)行基本的權(quán)限，而不會危及整個重要的網(wǎng)絡(luò)系統(tǒng)。
3. 保護。最后則是結(jié)合物聯(lián)網(wǎng)設(shè)備組群和內(nèi)網(wǎng)區(qū)段的安全政策，執(zhí)行多層次的監(jiān)控、檢查和安全政策，無論該活動是發(fā)生在分布式企業(yè)架構(gòu)的任何位置。
傳統(tǒng)的單點防護產(chǎn)品和平臺，并不足以保護物聯(lián)網(wǎng)環(huán)境。企業(yè)必須建立一個基于信任框架上的安全架構(gòu)，并能與物聯(lián)網(wǎng)和云端相互連結(jié)，才能自動化調(diào)整和因應(yīng)不斷演變的企業(yè)需求。
<本文作者劉乙為Fortinet臺灣區(qū)技術(shù)總監(jiān)>
