新聞中心‎ > ‎資安分享‎ > ‎

2016-06-07企業期待創新商機之餘,須正視IoT資料外洩及安全風險,從網路端解決資安問題,在物聯網戰役中勝出

posted Jun 6, 2016, 10:00 PM by 紀彥宏
物聯網是科技旅程的一部份,這趟旅程正從機器對機器(Machine-to-Machine,M2M)的通訊年代,經由物聯網走向萬物聯網(Internet of Everything,IoE)的時代。這項發展主要有三種驅動力,包括全球連網裝置的增加、不受平台限制的應用程式爆炸性的成長,以及成熟的網路技術,可低成本不費力地連接成千上萬各種不同的設備。 
物聯網能帶來一些好處,包括即時的資訊情報、全年無休的可用性、自動化、便利與低成本。無論是企業、政府組織和消費大眾,都能因此獲得好處。 
市場商機非常巨大。例如,Gartner預估物聯網在2020年將會有約260億個設備,其產品和服務供應商在2020年將增加超過3,000億美元的營收。IDC則預測全球市場的IoT解決方案將從2013年的1.9兆美元,增加至2020年的7.1兆美元。 

▲從機器對機器(M2M)走向萬物聯網(IoE)時代的發展,全球連網裝置大量增加,可低成本不費力地連接成千上萬各種不同的設備,但也帶來潛在的巨大資訊安全風險。

  • 面對資料外洩威脅 
物聯網將改變我們做事的方法--無論是與人溝通、合作和交易。許多創新的解決方案和服務也會因物聯網而出現。 
然而,壞處是物聯網會帶來非常高的安全風險。首先,物聯網讓更多的資訊和活動上網,而這些資訊和活動可能會被破壞。其原因有兩個:由於引入物聯網設備,大大地增加了網路曝光的頻率,此外,驅動設備的軟體往往不安全而且很容易被駭。 
在消費者和員工都期望公司能保護他們個人資料的年代,物聯網可能是個致命的組合。現今公司的責任不僅在於保護企業資產,也必須保護客戶和員工的資訊,包括薪水、健康資訊、採購和搜尋記錄,以及其他的機密資料。從保護客戶防範未經授權的信用卡交易,轉變到保護他們的個人資料和隱私,這是全球都在發生的事,違反這些義務可能嚴重危及企業經營。
例如,根據Fortinet最近的一項物聯網全球調查報告,若發現家中的物聯網設備會暗中蒐集資訊並與他人分享,62%的受訪者會認為已受侵犯,且極度憤怒到會採取行動。如果已知的物聯網設備必須蒐集資訊,66%的受訪者堅持只有他們本人,或是已獲得他們授權的第三者才能讀取這些資料。 

  • 物聯網設備易遭入侵 
要駭入一個物聯網設備是非常容易的事,因為它們採用了各種不同的模組和內建程式庫(Common Libraries),而且經常是屬於開放源碼。它們也傾向採用更新的通訊協定,例如UPnP(Universal Plug and Play),和較舊的成熟協定相較,它們有更多的缺點和瑕疵。其次是,大多數的物聯網製造商在設計和建造設備時,並沒有將安全問題納入考量,當他們的設備遭到破壞時,並沒有必要的回應機制。 
舉例來說,大型的軟體廠商如微軟和Adobe,一向是傳統的攻擊目標,因此他們已建立了安全的產品開發週期,並定期發佈修補和更新檔。如果軟體有漏洞被發現,他們的產品安全事件反應小組(Sproduct Security Incident Response Teams,PSIRTs)會迅速地處理問題。 
此外,這些大型軟體商廠已為產品建立許多安全控管機制,使得威脅攻擊更難以得逞。例如,Adobe Reader現在內含一個沙箱(Sandbox),能更有效地抵抗威脅攻擊。至於物聯網設備,通常沒有如此嚴謹的安全控管,而且隨著時間的推移和安全漏洞數量的增加,物聯網將會有更多的整合,複雜度也會增加。這些有安全漏洞的地方,大多數可能是傳統用來控制物聯網設備的Web-based使用者介面。 
Fortinet的威脅研究團隊FortiGuard Labs,已經偵測到駭客正在探測非傳統的攻擊目標,例如物聯網。儘管目前攻擊數量還不多,但無疑地,未來幾個月後將會有增加的趨勢。物聯網的攻擊代表了一個最小抵抗阻力的路徑,同時也是駭客最好的機會。駭客們知道若沒有適當的PSIRT小組來管理和修補物聯網的安全問題,他們就能在更長的時間裡不斷地攻擊進而得逞。若連網設備具有儲存容量、記憶體和處理器,那它們便是完美的攻擊目標,很多時候,這些物聯網設備可以作為一個中介的攻擊跳板,在內部網路裡進行二次攻擊。 

  • 在網路解決安全問題 
隨著物聯網攻擊面變得更大,端點安全和管理就變得更加支離破碎。因為大多數的物聯網設備並不會有防毒控管機制,即使有,物聯網系統的規模和多樣性也會使防護程序複雜到不可能去管理。 
因此,以網路為基礎的安全檢測,是現階段保護物聯網的唯一方法。每一個網路都需要一個具備足夠智能的安全設備,可深入檢測針對這些非傳統平台所撰寫的程式碼。我們稱此為與平台無關(Platform Agnostic)的檢測,它是能隨著物聯網規模彈性調整的最好方法。 
針對每一個資料的要求,這個安全設備必須有能力確認三個重要資訊:使用者是誰?要往那裡去?需要什麼資料?這意味著網路將會需要整合傳統的網路防護技術,例如防火牆、入侵防護、網頁過濾和防惡意軟體解決方案,才能執行安全政策,控管應用程式,防止資料外洩。更重要的是,由於攻擊面逐漸擴大,內容的檢測也會成為必要的一環。現今網路威脅可以藏身在任何地方,若潛藏在合法的網路流量中,很容易就會被發現。 
唯有依賴像這樣的智能解決方案,搭配精巧的安全政策和機警的IT安全人員,企業才能從物聯網的安全戰役中勝出,並讓企業平穩營運。 

(本文作者現任Fortinet全球資安策略長) 

Comments