從預防、偵測、應變角度看物聯網時代的資安防禦(下篇)

2015 / 04 / 15

fb.com/iotrends

[上篇-從預防、偵測、應變角度看物聯網時代的資安防禦] 談到了，資安專家近期也指出，一個名為Bash Bug (CVE-2014-6271)的漏洞將影響數十億台Linux/Unix架構的裝置，包括物聯網設備。攻擊者可能已經對未更新修補程式的裝置展開攻擊。因此進一步談到，物聯網的資安威脅、目前企業對物聯網安全認知仍不足的狀況。接下來我們將接續談及如何可以從資安的角度去防禦。

（三）資安防禦
製造商在產品設計時就融入安全 Wind river在這篇 [http://www.2cm.com.tw/markettrend_content.asp?sn=1402260009]
文章中提出製造商可參考IT網路的安全方法並針對物聯網的特性進行修改，可採行多層次的安全架構。
首先，需經過安全啟動（Secure boot）機制，讓設備上的軟體、韌體都經過數位簽章驗證，以防止被植入惡意程式在設備上運作。
第二、實施存取控制（Access control）限制設備元件與應用程式只擁有該有的許可權。
第三、當設備在接收或傳輸資料時需進行雙向認驗證，也就是設備的身分認證。但這點要在小型的連網裝置上進行並不容易，需考量其低功耗、有限的運算能力與儲存空間，也需處理無線電連接協議（air interface）與通訊協定問題。
第四、採用防火牆或入侵防禦系統，需能針對連網設備特殊的通訊協定進行過濾，以識別惡意的流量。對於新開發的連網設備可直接內建防火牆或安全功能在其軟體中。
第五則是需能進行安全更新或程式升級。日前在Canonical發表的物聯網開發平台中，特別強調其具有自動安裝更新的功能。

    Intel Security資深技術經理沈志明指出，Intel強調在產品設計中就把安全融入其中。因此在Intel IoT Gateway中的Wind river linux作業系統上，即嵌有McAfee Embedded Control，它主要負責保護系統的一致性以免遭受未經授權竄改系統或植入惡意程式。透過白名單的機制，只有被允許的程式碼能在系統上執行，再加上變更控制的機制，只能允許例如設定檔的修改被執行。同時軟體也將監控記錄所有log，可將未經授權的嘗試登入記錄傳回給系統管理者。此外，McAfee的安全事件管理SIEM技術ESM(Enterprise Security Manager)未來也可能延伸到對大數據、儲存資料的關聯分析上。

在產品發表前進行滲透測試
    翁浩正指出對於攻擊者來說，網路設備、IoT 設備都是可以攻擊的對象，因此談到資安防禦必需要把設備當作一般的伺服器管控。他會開啟哪些連接埠、使用哪些服務、怎麼做連線，都必須要做控管。而製造商也必須在產品發表之前進行完整的滲透測試，找出所有可能被攻擊者利用的漏洞並修復，才不會因為攻擊者大量利用漏洞而傷害商譽。

    安華聯網總經理洪光鈞也曾表示，製造商應在產品開發階段設計一個關卡帶進安全檢測，他指出現階段企業許多資訊安全人員只負責MIS系統不負責產品資安，這都是值得再思考檢討之處。這也呼應了Gartner的看法。
企業可預先準備IoT網路安全管理政策
    另方面，Cisco在上述白皮書中，從網路層的觀點對資安長提出物聯網安全建議，並呼籲企業能預先準備。

首先，Cisco同樣指出設備的身分認證與信任，每個設備需向網路宣告具備可被驗證的認證，Cisco認為很可能在內外部的核心交換器或路由器上都將配備有X.509認證，以便能在公眾與私有網路或骨幹間進行信賴連線。
第二、需要精細的網路存取控制政策，由於連網裝置的多樣性、不同的位置與功能，需要能執行精細的存取控制政策，將不受信任或可疑行為的裝置隔離在特定IP網域、拒絕存取網路或嚴密監控。
第三、動態的流量管制與網路區段，因連網設備種類、通訊協定與資料敏感度將觸動網路區段政策，隨著物聯網應用範疇擴大，可能隨時會有數千個動態網段。軟體定義網路（SDN）將可能結合網路存取控制以應用在不同流量種類的動態網段上。
第四、無所不在的網路加密，物聯網將需要更精細的部署加密，SDN網路區段將視網段、通訊協定、網路流量觸動點對點或點對多點加密。
第五、更好的網路安全情資與資料分享，物聯網將增加對巨量資料安全分析的需求，當需要分析可疑的物聯網流量或惡意程式時。資安團隊需要有能力去擷取並分析分散的資料，將完整的封包擷取變成網路安全分析來源。此外要做情資分享需要M2M流量自動化以及高效能以進行即時分析。
最後則是自動修復，物聯網安全並不是要讓安全元件獨立運作，安全解決方案必須要能跟物聯網系統連接，能支援並瞭解M2M資訊以便能在不需要人工介入下採取立即自動的控制措施，因物聯網安全解決方案將產生大量的資料，不可能靠人力去追蹤威脅警告並即時調整安全控制措施。當偵測到安全事件時，整個安全網路需要能一起採取適當措施，例如攝影機對焦適當區域、將受影響區域的門禁系統上鎖、取消重要系統的存取權限，並同時通知安全人員處理。

    若談到解決方案，目前市場上針對物聯網安全的解決方案並不多，一家美國的資安新創公司Bastille專注於開發物聯網威脅偵測產品（IDS）與弱點管理，能保護Zigbee、藍牙等通訊協定的連網產品安全，預計在今年4月的RSA會議上發表產品。另一家Icon Labs則推出Rule－based 防火牆，可過濾既有嵌入式設備的安全威脅。

（四）威脅應變
從威脅偵測、防禦最後談到威脅應變，一旦連網設備遭到攻擊時，該如何處置應變。翁浩正指出，若是 IoT 設備遭到攻擊，也等同一般伺服器，必須先留存網路流量記錄，察看攻擊者的來源、攻擊方式、受害範圍，並且把同廠、同型號的設備先行下架。利用企業內部的 IDS、資安事件管理系統(SIEM) 等設備偵測未知攻擊行為是非常重要的。至於對設備製造商來說，最重要的仍然是需在產品設計階段就考量到安全，產品完成後進行完整滲透測試，以及做好後續的安全更新派送。

閱讀[從預防、偵測、應變角度看物聯網時代的資安防禦(上篇)]