工业物联网安全：如何保护联网的机器

数字化转型正在无数的企业和行业中发生。供应链和金融技术中的大数据平台;仓库中的自动化;企业培训中的AR和VR;以及其他地方的工业物联网(IIoT)--这些只是整个工业4.0中创新和投资的几个热点。

工业物联网安全是任何参与审查、部署和使用联网机器和设备的专业人员持续关注的问题。随着网络-物理重叠的增长，预计IT预算在2022年及以后只会增长，但网络安全事件是不分国界的。因此，无论大小企业，如果不能确保其不断增长的IIoT设备网络的安全，就会将自己置于风险之中。

工业物联网安全出了什么问题？

IIoT在短短几年内得到了巨大的发展，从正确的角度来看，安全问题的规模变得很明显。

一家公司的数字化转型可能从在内部机器上安装互联传感器开始。不幸的是，在适当的情况下，如果没有适当的保护，这些都是可能的攻击媒介。

当公司在敏感的客户记录、公司IP或贩运其他敏感数据的网络附近部署互联物联网技术时，问题就会扩大。事后看来，没有人预见到塔吉特公司的客户数据泄露涉及互联网连接的空调，这似乎很奇怪。然而，这种情况总有一天会发生在某个人身上--现在已经发生了，应该很清楚其中的利害关系了。

今天，这已成为一种惯例。公司知道要审查暖通空调公司，吹嘘其互联网连接的空调产品上的安全协议的健全性。

数字化转型的早期阶段可能会促进内部的数据流动。后来的升级可能涉及与远程服务器的持续连接。当风险载体从一个零售连锁店的顾客中扩大时，会发生什么?在美国，公共事业通常由私营的、有点不透明的实体拥有和监督。

公用事业公司--水、互联网、电力、天然气--有很好的理由部署物联网设备以追求更好的服务和可靠性。然而，这个迅速扩大的连接网络在网络安全方面引入了许多潜在的故障点。

工业物联网安全问题的关键在于，每一台连接的数控机床和车床--以及每一英里的水或天然气管道上的每一个传感器--都可能给黑客提供一个进入的途径。遥测数据可能没有价值，但不安全的物联网传感器可能提供一条通往更有价值的奖品的路线，如财务数据或知识产权(IP)。

数字化的IIoT安全状况

工业物联网的安全问题是大写的，小写的。

庞蒙研究所和Tenable在2019年3月的一份报告中指出，90%积极部署运营技术的组织--包括运输和制造--在过去两年中遭受过一次或多次数据泄露。

提供关键公共服务的公司代表了一些基于IIoT的攻击的最重要的可能目标。

CNA金融公司和Colonial管道公司证明，大多数金融机构，包括一些最重要的攻击--以及大多数公共或准公共事业公司可能没有采取足够的措施来保护其数字系统。这些攻击中至少有一次涉及一个被破坏的连接工作站。

IBM发现，制造商是2021年网络攻击最频繁的目标行业。这并不特别令人惊讶。制造业公司是IIoT产品的最多采用者之一。

将物理和网络结合起来--通过收集丰富的数据并对其进行研究或建模--对整个行业的采购、制造、生产、加工和运输业务有巨大的好处。

到2025年，该行业将接近这一趋势的顶峰。这时专业人士预计，工业环境中约75%的运营数据，如工厂和配送中心，将使用边缘计算收集和处理。

边缘计算可能是IIoT的决定性特征。但不幸的是，它是一把双刃剑。2022年该行业的网络安全状况是决策者对IIoT的潜力感到兴奋而没有注意到可能的危害的结果。

关于工业物联网安全，企业家和企业领导人需要知道什么?

1.更改出厂默认的密码

德勤在2020年发表的研究报告称，多达70%的联网传感器和设备使用制造商默认的密码。因此，无论是在工厂车间还是在远程员工处理公司数据的智能家居中，当每个连接设备上线时，为其更改每个密码是至关重要的。

一个相关的问题是在多个IIoT设备或其他数字财产上使用弱的或重复的密码。同样，公司应该每次都使用独特、强大的密码，并确保培训材料也强调这一点的重要性。

2.谨慎地选择技术合作伙伴

Synopsys的研究表明，非常接近所有商业化的软件至少包含一些开源代码。然而，88%的组件是过时的。此外，过时的代码往往具有未修补的软件漏洞。

企业决策者必须至少对像这样的网络安全风险有部分了解，并知道向他们的潜在供应商和技术合作伙伴提出哪些问题。任何第三方的数字系统可能引入公司没有讨价还价的风险。

3.在工业物联网安全中创建结构化的更新流程

最初，对于数字足迹有限的公司来说，手动更新和维护其IIoT系统可能是直接的。今天，部署的设备数量之多可能意味着更新不那么频繁。IT团队也并不总是记得要切换自动更新机制。

研究人员在2021年发现了一个名为Name.Wreck的漏洞。Wreck，利用了四个有缺陷的TCP/IP堆栈，数以百万计的设备用来协商DNS连接。这些已知的漏洞此后已被修补--但运行旧版软件迭代的设备有被敌意远程接管的风险。因此，在许多消费和商业技术中，数十亿设备可能面临风险。

每家采用IIoT设备的公司都必须事先了解它们在整个生命周期内如何获得更新，以及在它们被认为过时后会发生什么。因此，企业应该坚持使用具有自动更新机制和预期操作寿命长的系统。

4.考虑一个外部管理团队

对制造业或任何其他部门的技术投资的优势和可能的弊端感到不知所措是可以理解的。但不幸的是，许多漏洞和成功的攻击是由于公司没有时间、资源和人员投入到理解信息技术和工业物联网安全文化中。

那些在投资工业4.0前瞻前顾后的公司，可能会采取一种 "设置它，忘记它 "的心态，使软件不打补丁，设备容易受到攻击。因此，2022年网络安全的首要趋势之一是更多的公司转向外部各方和技术，以获得安全可靠的持续访问和身份管理。

5.

软件即服务(SaaS)、机器人即服务(RaaS)、制造即服务(MaaS)，以及类似的商业模式正在增加。不幸的是，公司不能总是抽出现金支出来投资最新的连接技术，并随着时间推移跟上硬件和软件的更新。在许多情况下，将网络物理基础设施的安装和监控外包给远程管理团队更具有财政意义。

这卸载了一些实际负担，并确保了对最新技术的访问。它还得益于在硬件安全更新可用时立即交付。因此，IIoT维护，包括网络安全，成为一个可管理的预算项目，而企业规划人员可以专注于他们所做的真正增值工作。

6.对IT网络进行分类并实施强有力的设备管理

任何负责控制连接机器的IT网络应该与提供一般后台或访客连接的网络分开。它们也应该是隐蔽的，只在需要时向少数人提供凭证。

此外，不良或不存在的设备管理是许多数据泄露的原因，无论是丢失或被盗、对个人设备的社交工程攻击，还是误装在公司机器上的恶意软件。

管理不善的连接机器、工作站和移动设备是黑客进入网络的理想途径。以下是公司应该了解的设备管理。

消除或严格管理使用连接设备来处理公司数据。

利用远程刷卡功能，在移动设备丢失或被盗后删除敏感数据。

确保团队成员明白不要让登录的机器或工作站无人看管。

在所有连接的设备和机器上实施凭证锁定。

仔细审查所有API和第三方扩展或现有数字产品的附加组件。

使用双因素或多因素认证(2FA或MFA)来保护最关键的登录。

保障工业物联网安全

分布式计算带来了更广泛的威胁面。不幸的是，IIoT仍然是一个不成熟的经济部门。一些教训已经付出了惨痛的代价。

值得庆幸的是，考虑IIoT投资的公司有许多例子可以说明什么是不应该做的，并有资源可以了解最低限度的联网机器网络安全预期。例如，美国的国家标准与技术研究所(NIST)提供了关于物联网设备网络安全的指导。英国的国家网络安全中心也有类似的关于联网场所和事物的资源。

公司有保护其IIoT连接设备的选择，尽可能多地实施安全协议将是明智的。