天地和兴：不同行业的物联网设备及其安全措施

北京2020年9月17日 /美通社/ -- 物联网（IoT）彻底改变了人类日常活动中的数字化。如今，数据分析、自动化、连接性和远程监控取得了长足的进步，并在现代文明的各个领域带来了创新。根据Gartner的预测数据库，预计到2022年，将有大约140亿台设备连接到互联网。天地和兴工业网络安全研究院认为，随着连接设备数量的增加，将会改变人们开展业务和使用资源的方式。所有类型的设备都可以从其环境中收集和共享信息，万物互联的世界将为大多数人类活动带来无限的机会。

一、制造业

物联网实现了智能制造，提高了安全性，改善了性能和服务，并减少了时间和成本。它一直是工业4.0运动的推动力。借助IoT，高效的数据收集，增强的自动化和分析都是可能的。利用各种各样的物联网设备，制造单位能够更有效，更准确地利用其工作流程。例如，公司使用放置在设备中的IoT传感器跟踪资产、收集数据和执行分析。这些传感器监控设备的功能，以实现自动恢复并缩短维护的停机时间。根据The Atlantic的统计，预计到2020年底，国际公司在IoT解决方案上的投资将超过700亿美元。IoT技术在制造业中具有巨大潜力，制造业是过去几年受物联网影响最大的行业之一。物联网在制造业中很重要，因为它使操作自动化。智能工厂中的操作技术包括可编程逻辑控制器、工业物联网设备（IIoT）、分布式控制系统、嵌入式系统等。总的来说，这些系统会增加潜在的网络威胁的风险。例如，网络安全和基础设施安全局（CISA）列出了1200多个与OT系统相关的漏洞。这些问题来自300多个OEM（原始设备制造商）。这些网络威胁激增的根本原因是，OT和IT等领域往往没有与安全策略同步。以下是建立健全制造业网络安全计划的关键安全策略：

• 进行网络安全成熟度评估

网络安全评估模型提供了一条前进的道路，可以帮助组织更好地了解他们在这道路上所处的位置。它可以帮助组织改善网络安全工作，并与高层管理人员进行沟通以获得所需的支持。根据《福布斯》上发表的一篇文章，网络安全能力成熟度模型（C2M2）和美国国家标准技术研究所网络安全框架（NIST CSF）是众多推荐选择的模型中的两种，每种模型都提供了涵盖网络安全所有方面的更广泛方法。

• 根据风险概况确定操作的优先级

对于组织而言，使用CSRF分析（网络安全风险框架）来识别风险非常重要。有几种CSRF，例如OCTAVE、NIST、ISO等。组织可以采用不同的方法进行风险评估，其中最好的模型之一是由Radanlive创建的。旨在捕获物联网网络风险。

• 内置安全性

考虑购买具有内置安全性的设备，防止网络攻击。在没有任何安全保证的情况下，有大量的设备可用。例如，一个灯泡的背面有一个基于星级的能效评级系统，它的内置安全措施也应该有相同的评级系统。电子安全组织Underwriter laboratory已经为物联网设备引入了安全评级。

二、农业

物联网技术正在推动农业产业迈向新的革命。它提供有关土壤水分、品施用、牲畜健康等方面的信息。这些信息使农民可以实时跟踪农场的运营，并在提高农场生产力和执行预防性维护方面做出更明智的决策。基于物联网的农业可帮助全球农民提高生产力并较大限度地利用其资源。借助物联网技术，农业的发展将帮助农民使他们的生产与不断增长的粮食需求相匹配。在农业产业中，不安全的物联网设备已经大量集成。在大多数情况下，减轻网络安全风险并不是农民的主要利益所在。为了降低网络安全风险，每件联网的农业设备都必须经过认证程序。农业中使用的物联网设备与医疗保健和制造业等其他行业使用的设备没有区别，智能农业设备中的网络威胁同样危险。认证将阻止合同的障碍和侵犯隐私的行为。由于精准农业文化的广泛采用，农业中物联网设备的数量激增。农民和种植者被要求将重点转移到缓解可能的网络攻击上，而这从来不是他们的首要目标。

三、卫生保健

物联网通过在医院、家庭、办公室和旅行中提供医疗服务，消除了作为护理人员和患者障碍的复杂性。根据医疗行业46％的受访者表示，音频设备和移动电话是提供更好医疗服务的最基本设备。根据这项研究，57％的护理者利用视觉分析来提高个性化治疗和医疗服务的水平。例如，借助实时远程健康监控设备、可穿戴智能药丸、糖尿病管理系统等物联网解决方案，监控患者的健康状况并制定治疗决策变得更加容易和高效。从健康管理、智能手表到癌症后期护理，物联网正在全方位影响医疗保健。由于先进技术和设备的使用，网络攻击的脆弱性和风险增加，这意味着医疗行业面临更多网络风险。以下是NIST（美国国家标准与技术研究所）推荐的针对物联网设备的四种网络安全风险缓解策略：

• 对于医疗保健提供商而言，重要的是在设备的整个生命周期中保持IoT设备的准确清单；
• 医疗机构应该投资于审查软件和固件，以发现漏洞；
• 为了防止未经授权的访问，采用访问管理策略来使用或管理IoT设备至关重要；
• IoT设备需要受到持续监控，以跟踪潜在的安全事件和异常活动。

四、运输

物联网技术具有独特的定位，可提供有助于交通运输行业的解决方案。例如，通过基于物联网的安全解决方案，车辆可以传达即将发生的事故和恶劣的天气情况。

美国交通部（USDOT）的目标是使用IoT安全解决方案将车祸减少80％。物联网解决方案可以帮助跟踪当前路线中的传入交通延误，并建议更好的路线。同时，车辆维护解决方案可以帮助实时跟踪车辆的健康状况，以确保其正常运行。地理围栏有助于围绕特定兴趣点创建虚拟围栏和参数；它帮助物流经理接收货运更新。许多物联网解决方案有助于运输行业更高效，更准确地运行。对此，美国运输安全管理局、运输部、美国海岸警卫队和运输系统部门（TSS）利益相关者制定了一份与TSS最相关的实施指南。目的是为运输系统部门提供指导、资源指导和选项目录，以帮助TSS组织努力采用NIST框架。运输系统中的网络攻击和数据泄露可能导致更大的损失,组织应该考虑在支持物联网的智能交通生态系统中部署网络安全，尽管意识到工业物联网带来的安全威胁的增加，但只有38％的人投资了新的安全技术，有39％的人与安全专家合作以寻求帮助。造成这种反应的一个原因是缺乏相关技能，有59％的受访者表示他们缺乏具备网络安全技能的人员来交付其工业物联网部署。随着工业物联网增加了网络攻击的潜在攻击面，企业并没有为这些风险做好准备。运输企业必须确保其强化物联网部署的每个要素。如果没有安全的工业IoT网络，企业可能会遭受旨在破坏运输和物流基础设施，勒索软件或工业间谍活动的网络攻击的影响。真正安全的工业IoT部署必须从头开始内置安全性。这必须包括安全访问管理、安全执行环境、增强的数据加密以及传感器，网关和软件编排平台之间的智能验证和身份验证。

五、能源产业

物联网帮助能源行业利用绿色能源。与物联网相连的绿色能源设备在很大程度上消除了人为干预。此外，能源供应商正在使用智能电表来跟踪有关绿色和不可再生能源使用情况的信息。这使得不可再生和绿色能源的生产和交付变得更加容易。随着物联网在能源和公用事业行业中的发展，它增加了系统中网络攻击的风险。行业领导者将网络威胁视为行业中的主要威胁之一。如果有1000个智能电表，则有1000个入侵系统的潜在入口。第三方服务提供商的使用打开了更大的大门。最突出的是，物联网数据和基于物联网的见解对于现代资产绩效管理至关重要。预计会有75％的公用事业单位采用此数据，从而将运营绩效提高多达10％。许多上游采矿和开采公司或石油和天然气生产商也已将其工业资产连接到物联网。他们在工厂级别监视机器的性能，以满足组织的KPI指标，并确保机器的最佳生产率。基于物联网数据和基准测试，对设备进行微调或进行预测性维护，以避免计划外停机。液化天然气厂、管道和存储的中游运营商以及多式联运的提供商可以将其移动和固定的工业资产都带入物联网。当涉及海洋和陆基舰队和特种车辆时，物联网数据使管理人员能够了解这些资产的性能、有效载荷和位置。通过分析性地检查IoT数据，分销经理可以随时了解管道完整性和工作负载的潜在恶化。在消费者分布、公用事业、发电、石油和天然气精炼以及风能和太阳能发电的下游领域，物联网数据分析还有更多独特、有价值的应用程序。公用事业正在以越来越快的速度采用物联网解决方案，分析师预计，到2025年该细分市场的物联网采用率将增长20％以上。能源行业中的物联网场景再次包括预测性维护和资产绩效管理。此外，物联网分析可以帮助公用事业公司确保其网格的可靠性，并执行切实可行的需求计划。物联网在保持对环境、质量、财务、消费者保护和其他法规的合规性方面的潜在利益是巨大的，但是大多数公司尚未在此用例上取得重大进展。在金融、环境、市场和其他数据集的背景下收集和分析来自提取、生产、分配和消费的实时物联网数据，使公司更容易遵守法规要求和企业标准以确保生产的质量和一致性输出。它还可以确保工厂、设施、管道、车队和配电基础设施的无害环境和安全运行。

六、针对物联网网络攻击采取的建议

• 更改默认设置

通常，IoT设备带有默认设置，包括标准用户名、密码等。在大多数情况下，设备默认设置使黑客能够访问设备。对于黑客设备，黑客会尝试猜测默认名称、ID和设备内部设置，自定义设置并防止轻易被猜中很重要。

• 通过双重身份验证（2FA）保护密码

使用双重身份验证访问设备非常重要，因为它可以充当额外的安全层。由于2FA流程要求用户提交OTP（一次性密码）以授予对设备的访问权限，该设备是由系统生成并以保密方式呈现给用户的。它可以保护系统免受未经授权的访问，并降低其遭受网络攻击的脆弱性。建议设置一个由数字、符号、大写字母和小写字母组成的唯一强密码。

• 禁用UPnP功能

UPnP（通用即插即用）功能允许任何IoT设备与其他设备连接。例如，智能灯泡可以连接到基于语音命令的设备，如GoogleHome和Alexa。禁用UPnP功能非常重要，这样攻击者如果成功入侵一台设备，就无法访问其他系统。

• 定期更新设备

许多物联网设备制造商发布了安全功能，以保护用户的隐私免受网络攻击。用户需要定期更新设备，以保护他们的数据免受不断演变的网络攻击模式的侵害。

• 避免使用公共WiFi网络

如果是通过智能手机或其他设备远程管理IoT设备，则建议避免使用公共WiFi网络。为避免使用公共WiFi网络可能造成的网络攻击漏洞，可以使用VPN。有一些VPN服务提供商可以为公共和家庭WiFi网络提供多种安全功能。

随着技术的成熟和供应商的竞争，解决方案变得更加完善。物联网技术将在未来十年继续推动各行各业的变革。对物联网潜力有了更好理解的企业将很好地在未来获得收益。根据统计，预计到2025年，全球物联网市场规模将超过12500亿美元，高于2019年的6900亿美元，2020年至2025年的复合年增长率（CAGR）为10.53％。由于采用这些变化是强制性的，因此每个行业都必须专注于利用物联网技术的潜力，以保持与其业务的相关性。