網(wǎng)絡(luò)安全、區(qū)塊鏈和工業(yè)物聯(lián)網(wǎng)
網(wǎng)絡(luò)安全、區(qū)塊鏈和工業(yè)物聯(lián)網(wǎng)
2019-01-02 16:25:34 來(lái)源:鏈人APP
搶沙發(fā)
2019-01-02 16:25:34 來(lái)源:鏈人APP
摘要:2018年9月28日,加州州長(zhǎng)簽署了加州SB327法令,這是美國(guó)第一部授權(quán)物聯(lián)網(wǎng)(IoT)設(shè)備制造安全條款的法律(有一部類(lèi)似的、但范圍更廣的聯(lián)邦法案叫做《物聯(lián)網(wǎng)2017年網(wǎng)絡(luò)安全改進(jìn)法案》),由國(guó)土安全和政府事務(wù)委員會(huì)負(fù)責(zé),我沒(méi)有看到該委員會(huì)最近有什么動(dòng)向。
關(guān)鍵詞:
區(qū)塊鏈
2018年9月28日,加州州長(zhǎng)簽署了加州SB327法令,這是美國(guó)第一部授權(quán)物聯(lián)網(wǎng)(IoT)設(shè)備制造安全條款的法律(有一部類(lèi)似的、但范圍更廣的聯(lián)邦法案叫做《物聯(lián)網(wǎng)2017年網(wǎng)絡(luò)安全改進(jìn)法案》),由國(guó)土安全和政府事務(wù)委員會(huì)負(fù)責(zé),我沒(méi)有看到該委員會(huì)最近有什么動(dòng)向。
新的加州法律規(guī)定,連接設(shè)備必須具有合理的安全特性。這意味著物聯(lián)網(wǎng)設(shè)備制造商可能需要開(kāi)始提供唯一的預(yù)編程設(shè)備密碼(而不是默認(rèn)密碼),或者在首次授予設(shè)備訪問(wèn)權(quán)限之前增加強(qiáng)制用戶(hù)進(jìn)行身份驗(yàn)證的功能。加州現(xiàn)有的法律已經(jīng)迫使企業(yè)實(shí)施和維持與收集數(shù)據(jù)的性質(zhì)相適應(yīng)的合理的網(wǎng)絡(luò)安全程序,但新的法律專(zhuān)門(mén)適用于事務(wù)。我看到新法律的批評(píng)者指出,這些要求含糊不清,忽視了加密,也沒(méi)有解決助長(zhǎng)這一問(wèn)題的潛在不良做法。
但幾乎每個(gè)人都認(rèn)同現(xiàn)在存在的問(wèn)題。安全狀況不佳的物聯(lián)網(wǎng)設(shè)備的使用助長(zhǎng)了Mirai僵尸網(wǎng)絡(luò)(Botnet 是指采用一種或多種傳播手段,將大量主機(jī)感染bot程序病毒,從而在控制者和被感染主機(jī)之間所形成的一個(gè)可一對(duì)多控制的網(wǎng)絡(luò))。在2016年破壞性的網(wǎng)絡(luò)攻擊,造成了無(wú)數(shù)其他網(wǎng)絡(luò)安全的噩夢(mèng)。在過(guò)去的幾周里,據(jù)報(bào)道一個(gè)新的Hakai物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)正在發(fā)展成為一種迫在眉睫的威脅,甚至產(chǎn)生了兩個(gè)不同的基于Hakai的變種,這些惡意軟件正在網(wǎng)上傳播。這些小程序主要由被劫持的物聯(lián)網(wǎng)設(shè)備提供動(dòng)力。加州這部將于2020年生效的法律是否會(huì)對(duì)遏制這一問(wèn)題產(chǎn)生任何影響仍有待觀察,但它表明,信息安全部門(mén)以外的人現(xiàn)在也在關(guān)注事務(wù)的安全,以及生活在智能和互聯(lián)世界中的影響。
雖然像Mirai這樣的僵尸網(wǎng)絡(luò)很大程度上是由被征用的消費(fèi)者物聯(lián)網(wǎng)設(shè)備驅(qū)動(dòng)的,并被用于拒絕服務(wù)(DoS)網(wǎng)絡(luò)攻擊,但工業(yè)物聯(lián)網(wǎng)(IIoT)網(wǎng)絡(luò)威脅背后的動(dòng)機(jī)可能對(duì)企業(yè)的利潤(rùn)構(gòu)成更大的威脅。我看到了IIoT支持的制造業(yè)的特殊弱點(diǎn),例如,Industry4.0鼓勵(lì)了供應(yīng)鏈中信息技術(shù)系統(tǒng)、設(shè)備和云資源的大規(guī)模整合。而現(xiàn)在,運(yùn)營(yíng)能力和知識(shí)產(chǎn)權(quán)都受到威脅。
最近的Vectra《2018年工業(yè)專(zhuān)題報(bào)告》指出,工業(yè)遭受了大量的惡意內(nèi)部網(wǎng)絡(luò)活動(dòng)、橫向移動(dòng)和偵察活動(dòng)(盡管他們是一家網(wǎng)絡(luò)安全公司);Deloitte在最近的一篇文章中也談到了這些漏洞。這表明攻擊者已經(jīng)滲透到這些網(wǎng)絡(luò)中,正在窺探關(guān)鍵資產(chǎn)或試圖破壞基礎(chǔ)設(shè)施。攻擊者可以利用持有者不小心部署下的不安全的IIoT設(shè)備和薄弱(或不存在)內(nèi)部網(wǎng)絡(luò)控制,輕松進(jìn)入這些網(wǎng)絡(luò)。
廣泛執(zhí)行更好的設(shè)備安全最佳做法的法律可能是解決這一問(wèn)題的一種辦法,但援助也可能來(lái)自更具創(chuàng)新性的方面。區(qū)塊鏈技術(shù)作為一個(gè)分布式數(shù)據(jù)庫(kù),以加密和不變的方式記錄在系統(tǒng)中移動(dòng)的每一個(gè)數(shù)據(jù)塊,它可能為我們連接的設(shè)備指明一個(gè)更安全的未來(lái)。區(qū)塊鏈很難被欺騙。從理論上講,它的對(duì)等結(jié)構(gòu)、去中心化結(jié)構(gòu)和對(duì)共識(shí)的依賴(lài)使其更難破解。根據(jù)我的觀察,基本上沒(méi)有中央控制可以進(jìn)入,也沒(méi)有驗(yàn)證者來(lái)愚弄。例如,攻擊者可能會(huì)以數(shù)字方式強(qiáng)行進(jìn)入一家公司的一個(gè)安全性較差的IIoT路由器。但是,試圖使用該入口點(diǎn)操作或與網(wǎng)絡(luò)中的其他節(jié)點(diǎn)進(jìn)行交互的嘗試可能會(huì)在區(qū)塊鏈模型中受到阻礙。在這種情況下,被攻擊路由器的哈?;顒?dòng)記錄將不再與網(wǎng)絡(luò)中的其他活動(dòng)相匹配,并且無(wú)法實(shí)現(xiàn)一致驗(yàn)證。
目前正在進(jìn)行許多規(guī)模較小的初步研究,包括對(duì)物聯(lián)網(wǎng)安全問(wèn)題進(jìn)行一次2018年的審查(需要注冊(cè)),以及對(duì)智能家居的區(qū)塊鏈安全進(jìn)行2017年的案例研究(需要注冊(cè)),并且已經(jīng)成立了聯(lián)盟,試圖將區(qū)塊鏈安全應(yīng)用于物聯(lián)網(wǎng)和IIoT網(wǎng)絡(luò)。但可行性分析的狀況不太樂(lè)觀。希望進(jìn)一步深入研究環(huán)境的科技領(lǐng)袖和創(chuàng)新者最好能探索Hyperledger或以太坊社區(qū),以了解新出現(xiàn)的能力和概念證明。
區(qū)塊鏈仍然是一項(xiàng)相對(duì)較年輕的技術(shù),目前它在規(guī)模和速度上面臨著限制,這在現(xiàn)代IIoT的部署中是必不可少的,但它的模式顯示出了希望。我相信,無(wú)論是誰(shuí)發(fā)現(xiàn)了解決這些限制的辦法,都會(huì)賺到一大筆錢(qián),并得到一百萬(wàn)IT經(jīng)理的感激。而遵循類(lèi)似邏輯的解決方案值得我們考慮。從傳統(tǒng)的客戶(hù)端-服務(wù)器模式轉(zhuǎn)向新興技術(shù)的想法可能是未來(lái)的唯一選擇。同時(shí),我認(rèn)為減輕安全問(wèn)題的最好方法是實(shí)際實(shí)施網(wǎng)絡(luò)安全(就像美國(guó)計(jì)算機(jī)應(yīng)急準(zhǔn)備計(jì)劃所概述的那樣),定期進(jìn)行審計(jì)、管理和監(jiān)控訪問(wèn)、利用分層防御等等。實(shí)際上,我們中很少有人這樣做,攻擊者也知道這一點(diǎn)。
有一件事是肯定的:我們現(xiàn)在做事情的方式太冒險(xiǎn)了。無(wú)論立法者在設(shè)備安全方面做了什么或不做什么,物聯(lián)網(wǎng)工業(yè)都必須加強(qiáng)應(yīng)對(duì)這一威脅。
第三十四屆CIO班招生
國(guó)際CIO認(rèn)證培訓(xùn)
首席數(shù)據(jù)官(CDO)認(rèn)證培訓(xùn)
責(zé)編:baiyl
免責(zé)聲明:本網(wǎng)站(http://www.www.gypb.net/)內(nèi)容主要來(lái)自原創(chuàng)、合作媒體供稿和第三方投稿,凡在本網(wǎng)站出現(xiàn)的信息,均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性,但不保證有關(guān)資料的準(zhǔn)確性及可靠性,讀者在使用前請(qǐng)進(jìn)一步核實(shí),并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏,概不負(fù)任何法律責(zé)任。
本網(wǎng)站刊載的所有內(nèi)容(包括但不僅限文字、圖片、LOGO、音頻、視頻、軟件、程序等)版權(quán)歸原作者所有。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí),請(qǐng)及時(shí)通知本站,予以刪除。