不怪的技术。这是一个人的问题。
物联网是著名的不安全,但不是因为技术或安全这是不成熟的。同样,工业物联网安全严重不足缺乏意志。科技买家和供应商尚未投入相同的精力消耗在其他领域的科技世界创建和采取步骤将使每个人都安全,根据芯片制造商和分析师。
“我IIoT评估安全?不相信零,”理查德说,物联网联盟执行董事(IIC),这问题IIoT指南,和对象管理集团的董事长兼首席执行官。“几乎所有的实现IIoT我看过假设您将建造一堵墙周围,他们不需要额外的安全,因为周边将任何威胁。这是无稽之谈。消费者的互联网上,80%的违反涉及内心周长休息安全,无论是恶意软件,或电话网络钓鱼,内幕你不该信任。”
这一点尤其令人不安,因为连接到IIoT多少。不再仅仅是物联网和连接到工厂,IIoT有许多用例,从公用事业和交通在建系统,空调和照明。
“你听说很多可怕的故事,Pim Tuyls说,内在的首席执行官ID,芯片制造商提供安全产品和IP,包括不可变的物理识别旨在消除硅的可能性被造假者伪造或欺骗的攻击者假装友好的设备。”它可以比其他情况下工业物联网,不过,因为通常是一个物理攻击电网风险或水务除了数据泄露的风险。”
1703年的一项调查显示嵌入式系统设计师巴尔集团,在2018年初,发现各种各样的体系结构和应用程序意味着永远不会成为一个“放之四海而皆准”的安全解决方案。
技术提供商正在下降的工作在很多方面,根据巴尔组的分析。“大约在6的设计者可能有害的网络嵌入式系统是完全忽视安全,”该报告发现。
“这并不是说没有,”困局。“我认为块都有,或者差不多了。这是人们不知道如何使用它们。”
面对/分
许多技术问题导致骨折,不协调的本质安全IIoT市场,但最终用户的关注和安全习惯负责项目出现在几乎每一个讨论它。操作安全人员似乎不理解或相信安全风险在IT人员和芯片制造商一样,据史蒂夫•汉娜高级主要在美国德国英飞凌科技。
三个最大的贡献者IIoT支出在2018年,据IDC,将制造业(1890亿美元),运输(850亿美元),和公用事业(730亿美元)。
传统的IT人员处理终端用户,对付恶意软件和信息安全问题和回到处理更多的用户,他们是攻击者的访问来源一致。钓鱼emails-lying人们通过电子文本没有数字魔法involved-accounted 93%的社会攻击和参与所有事件(成功与否)的98%和88%的金融借口攻击,Verizon的网络安全报告的记录“2017年的数据违反调查报告”。
操作技术(OT)的员工来自不同的工厂环保,自动化和数控作为工业控制系统的一部分,其连接到互联网仔细过滤或不存在的。工业软件被设计为一个综合复杂的系统使用相同的安全控制,没有风险的直接网络连接,增加了一层物联网连接,或堆栈添加其余的互联网应用和协议。
“我不想把太多的责任归咎于OT的一面,但网络有一个非常不同的意义,如果我们回去几年在OT环境,”汉娜说。“你的工厂是一个单独的环境。它没有连接到除了总部。和它没有相同的协议或交叉连接作为一个企业网络。由于物联网,他们肯定做了。”
OT员工没有完全天真,首席技术官Gerardo Pardo表示实时创新。他们只是认为没有人会使用网络或互联网连接所以固有的缺陷。OT员工没有意识到洞他们失踪时忽视潜在的漏洞,需要最终用户和技术提供商共同锁定潜在威胁他们。
“安全是一个广泛的事,”帕尔多说。“有人在你的团队想要监视石油钻塔和iPad上运行Javascript WiFi网络你不太确定呢?你不妨建立一个高性能的车辆转向,不起作用,或没有传播。你不是高绩效,你脆弱。但有时你必须挖穿过几层发现,”帕尔多说。
指导方针和standards-pick,坚持下去
有大量的信息,以及大量的指导方针,从IIC, NIST, IEC、ISO、可信安全组,思科、IBM、Dell-focusedEdgeX铸造4.0,欧洲工业,对象管理组织,IEEE。
“这并不是说我们没有标准或指导方针,我们有太多的,”汉娜说。“我们没有一种最好的巩固和保安公司的参与,例如,帮助建立的集成的标准和支持结构的共同在其他领域。”
IIC已经发布了一系列的指南,指南文件,和框架,包括指导帮助IIoT设计师和厂商导航安全指南或其他组织发行的框架和第三个定义所有元素,进入一个“成熟”的物联网安全计划的设备(包括安全性、可靠性和可预测性设备的行为,除了简单的电阻被玩弄了。
即使所有这些详细的指导方针不太可能给很多公司他们需要确切答案,汉娜说。的最佳实践文档和通用标准的原因,可以填补空白。最佳实践followed-can保持相对安全的,即使那些负责建设项目和建设它的设备工作在一个相对真空,不知道如何处理关于安全的问题。
“这不是放之四海而皆准的工业领域,”汉娜说。“即使在设备层面需要导航多个级别的安全性,优化关键系统根据风险水平和设备选择一个适当的安全级别。我们需要一致的参与公司所有有关安全提供者,oem厂商,芯片制造商、集成商、运营商、服务提供商建立标准和最佳实践和认证,广泛适用于超过一个行业或一个技术提供者。”
”一个差距,大部分讨论物联网安全发生在运行环境中,与设备运营商,物联网的消费者正在技术和试图构建用例和应用程序最重要的他们,”根据Ranjeet Khanna产品管理总监委托Datacard物联网和嵌入式系统。
“如果这些讨论是一对一的,其余的oem厂商和设备制造商?我怎么知道如何出具设备?这些都是我们应该如何教育我们的同行的差距,”Khanna说。IIoT“我们有一个独特的机会,但也有责任创建一个物联网安全的基础。我们生活在一个竞争的世界,但我们可以与标准也让我们提供一个完整的产品。我的目标是出售我的产品或服务是的,但不是通过出售大量的责任转嫁到消费者头上,逃避自己的责任。”
硬件平台和操作环境的大量用于IIoT设备使互操作性困难,也是个人垂直市场的各种需求。
大问题,根据2018年的一项调查显示,嵌入式系统咨询和培训公司巴尔集团,然而,是一致的,所涉及的技术提供商未能做到让一个有凝聚力的社区或好的安全发生。
这两个缺陷和其他人可以使用众所周知的解决软件开发最佳实践,但是他们没有。
更好、更一致的安全可能行业的一大进步,但它不会消除每一个潜在的问题。
“一个挑战,从安全分析的角度来看,是很难确认安全工作目的,因为相同的架构,隐藏安全信息不方便验证,”据Atul普拉卡什,一个密歇根大学电子工程与计算机科学教授领导的一个团队破解,然后记录弱smarthome安全2016年,写了一个物联网信息流控制系统设备和应用程序上下文权限,但也想出如何愚弄AI转向自主车辆把贴在一个停车标志。
“你显然不想离开安全的部分暴露,但已经有担忧在供应链方面的芯片业务应使我们怀疑我们知道每一个补充的芯片来自,他们是否运行正确的代码和固件是否被破坏,”他说。
图1:嵌入式系统的硬件和软件体系结构的多样性。来源:巴尔集团
硬件的问题
设备本身也是一个问题。不像在x86的世界里,每一个IIoT设备是不同的。
大多数是建立一个学位或另一个手臂上皮层微控制器或IP,但大量定制所需完成的特定任务设计的一个项目,他们几乎没有相似之处或芯片组来自不同供应商之间的互操作性的机会。
几乎所有Arm微控制器IP包含某种程度的安全——或者至少连接,使安全的引导,加密、认证或公钥基础设施功能齐全的证书管理,罗布·库姆斯根据业务发展主任手臂物联网设备的IP业务。
手臂IP有信任执行环境和安全生态系统建立在自2002年以来,为资源受限的微控制器,传感器和其他低功耗设备和高功能的硬件。
“我们提供高质量的参考体系结构,和一系列的api和库函数,让它更容易,但这取决于他们如何他们想要实现它,“库姆斯说。“当你决定把在一个芯片,你可能会产生数十亿美元,一分钱的区别是大不了的所以你必须非常小心你现在投入——安全或什么,但安全多少。”
事实上,“很多所使用的芯片的硬件基本安全但90%到95%的oem厂商并没有实现这些功能,“根据Asaf德系,物联网安全产品的副总裁Rambus。
德系犹太人是为数不多的有机会检查各种硬件,他作为研究的一部分,放在一起Rambus CryptoManager物联网安全服务:基于云计算的服务,承诺锁定IIoT设备使用远程监控和认证设备基于Rambus的硅或其他供应商的范围。互操作性是可能只是因为其他供应商帮助Rambus开发sdk允许它,需要安装在每个客户端站点,德系犹太人说。
“每个厂商的硬件是不同的。即使你只看根的信任,每个人都有不同的方式,不同的内存限制装置,也许并不是所有的软件都是在没有完全实现,或者是“德系犹太人说。
如果供应商没有实现的大部分安全职能部门支持的特定的硅或IP设备,它可以是非常困难的对终端用户来说,外部安全提供者,甚至另一个芯片制造商发现一个安全的关键是如何存储,如何安全地识别装置和信任的根源必须处理,德系犹太人说。
甚至开始,安全服务需要三件事:
云服务或任何应用程序提供了控制能够与设备通信控制。它还必须阻止他们与未经授权的设备来减少感染的机会Mirai或任何其他的恶意软件,并建立一个数据库常见的行为作为一个模板和镇压任何不寻常的活动。
“他们非常基本的operations-wake,衡量的东西,将其发送到云,去睡觉,“说Rambus的德系犹太人。“你必须知道会发生什么,这样你就可以认识到当事情发生时这是一个问题。这不是魔术,这是一个很多的辛勤工作。没有某种服务,有些公司没有办法知道他们的设备或连接。我们有一个公司来找我们,部署1000设备,但3000连接到服务。这就是为什么你需要强大的身份验证和知道哪些设备连接,并没有妥协。
Rambus的CryptoManager物联网安全服务不是一个云访问安全代理(CASB),但它是一个附加的安全服务应用连接后,用户在商业和有人提供一个过滤器来防止灾难。
更难获得数十或数百或数千个新连接smart-factory设备要比保护一个类似的基于x86的个人电脑和服务器的数量,但设备只是一个开始,德系犹太人说。
大多数芯片都是建立在,或者至少包括一些IP的手臂,将包括安全启动,安全设备标识和可能支持基于证书的身份验证和/或SSL和TLS加密数据传输。但这并不意味着他们以同样的方式实现相同的功能。
有关的故事
向IIoT安全标准
工业物联网的样子如果是成熟、安全、可靠。
为什么IIoT安全是如此困难
市场支离破碎,生态系统意味着至少需要5年才能安全到有意义的水平。
IIoT安全威胁不断上升
值数据的上升和日益增长的复杂性或紧迫感。
数据泄漏和IIoT
工业设备连接到互联网在正常运行时间和效率提供了很大的改进,但它增加了安全问题。
IIoT增长,但这样做的风险
事工业物联网在一起,但安全是一个巨大的且不断增长的问题。
|
|
|
|
|
|
|
|
留下一个回复