物联网最大的问题之一(物联网)确保网络、数据和设备的安全。与iot相关的安全事件已经发生，IT、安全和网络管理人员担心类似的事件会发生是有道理的。
安全标准与保证公司(security standards and assurance company)负责标准与CISO的副总裁贾森•陶尔(Jason Taule)表示:“除了限制最严格的环境外，所有环境中都将有物联网设备。HITRUST。“那么，问题就不在于是否允许，而在于你将如何让这些设备连接到你的网络、系统和数据，并与之互动。”
组织可以做些什么来增强物联网安全?有很多选择—包括一些可能不那么明显的实践。
运行物联网安全测试的源代码
研究和咨询公司的负责人Laura DiDio说，为了在物联网中建立更好的安全性，组织应该从网络基础设施中最小的部分开始——代码国际信托投资公司。
“大多数物联网设备都非常小，”迪迪奥说。因此，源代码往往是用“通用语言”编写的——C或c++和c#语言，这些语言经常成为常见问题的牺牲品，如内存泄漏和缓冲区溢出漏洞。这些问题在网络上相当于普通感冒。”
迪迪奥说，就像普通的感冒一样，它们令人讨厌且顽固。她说:“在物联网环境中，它们可能会激增，成为一个大的、往往被忽视的安全问题。”“最好的防御就是测试，测试，再测试。DiDio表示:“市场上有各种备受关注的测试工具，它们已被用于物联网设备。
安全和IT管理员也可以使用堆栈cookie, DiDio说。这些是随机的数据字符串，应用程序在指令指针寄存器之前编码写入堆栈，如果发生缓冲区溢出，数据就会溢出到指令指针寄存器。“一旦发生缓冲区溢出，堆栈cookie就会被覆盖，”她说。应用程序将被进一步编码，以验证堆栈cookie字符串将继续与最初编写的代码相匹配。如果堆栈cookie不匹配，则应用程序终止。
部署访问控制
在物联网环境中控制接入是企业在连接资产、产品和设备时面临的更大安全挑战之一。这包括控制连接对象本身的网络访问。
咨询公司总裁John Pironti说，组织应该首先识别出物联网环境中被连接的事物认为可接受的行为和活动，然后对这些行为和活动进行控制，但同时又不妨碍过程IP架构师以及物联网安全专家。
Pironti说:“不要使用单独的VLAN[虚拟局域网]或网络段，这会对物联网设备造成限制和削弱，要在整个网络中实现上下文感知的访问控制，以允许适当的操作和行为，不仅在连接级别，而且在命令和数据传输级别。”
这将确保设备能够按计划运行，同时也限制了它们进行恶意或未经授权的活动的能力，Pironti说。他说:“这个过程还可以建立预期行为的基线，然后可以对其进行记录和监视，以确定异常或超出可接受阈值的预期行为的活动。”
要求物联网设备满足安全标准
组织当然会雇佣各种各样的服务提供者，在某些情况下，这些服务是通过放置在客户场地上的设备提供的。在物联网时代，机器很有可能被连接，因此容易受到黑客攻击和其他入侵。
如果出现问题，客户要确保有责任。
安全咨询公司的合伙人Brian Haugli说:“首先要从合同内部着手。SideChannelSec以及保险公司汉诺威保险集团(Hanover Insurance Group)的一位前安全主管。“你的供应商是否将物联网作为他们服务或解决方案的一部分推入你的企业?”如果是这样，你必须了解它，并把它作为合同/采购的一部分。”
Haugli说，要确保清楚谁负责更新和设备的生命周期，以及在发生事故时是否可以使用这些设备。他说:“我看到暖通空调(采暖、通风和空调)和打印机公司没有放弃接入，导致响应工作陷入停滞。”“同样是这些供应商，他们会将常规的补丁责任或升级推到”操作系统上。
Haugli说，在某些情况下，合同可能没有规定客户什么时候会购买带有支持操作系统的新设备，供应商可能不愿承担成本。因此，一个不受支持的、易受攻击的设备可能被允许在网络上驻留的时间远远超过它应该驻留的时间。
“如果我们不向供应商明确说明我们的需求，不采取步骤来确认遵从性，也不追究他们的责任，我们有什么依据来期望这些问题得到解决?””Taule说。”以同样的方式,硬件厂商和软件公司现在希望迅速识别并负责解决弱点在他们的产品,公司也应该为我们提供IP摄像机、医疗设备、打印机、无线接入点、冰箱、环境控制和无数的其他物联网设备我们越来越依赖。”
Taule说，公司应该将通用安全框架中列出的控制应用于物联网设备。例如，在合同中包含安全功能需求;要求最近的漏洞扫描或声称有权扫描他们自己;要求供应商提供及时的更新，以解决发现的缺陷;在固件更新后重新扫描设备，以确保所发现的问题已经解决，并且没有新问题出现。
防止物联网身份欺骗
多年来，黑客及其技术变得越来越熟练，这可能对物联网安全构成巨大威胁。
“他们像造假者和伪造者一样不断升级他们的游戏，”迪迪奥说。“物联网设备的指数级增长意味着攻击面或攻击矢量呈指数级增长。”
这就要求企业及其安全部门和it部门必须验证与之通信的物联网设备的身份，并确保它们在关键通信、软件更新和下载方面是合法的。
DiDio说，所有的物联网设备必须有一个唯一的身份。她说，在缺乏唯一身份的情况下，一个组织很有可能被欺骗或黑客攻击，从微控制器级别到网络边缘的端点设备，再到应用程序和传输层。
不要让物联网设备启动网络连接
Pironti说，公司应该限制物联网设备启动网络连接的能力，而只使用网络防火墙和访问控制列表来连接它们。
“通过建立单向信任原则，物联网设备将永远无法启动到内部系统的连接，这可能会限制攻击者利用它们作为跳转点来探索和攻击网络段的能力，”皮龙蒂说。
Pironti说，虽然这不能阻止对手攻击与它们建立了直接联系的系统，但会限制它们在网络内横向移动的能力。
企业还可以强制连接到物联网设备，通过跳转主机和/或网络代理，Pironti说。“通过将连接代理到一个漏斗点，一个组织就可以在来自物联网设备和到物联网设备之前检查网络流量，并更有效地查询(流量)，”他说。这使它能够确定它携带的流量和有效载荷是否适合物联网设备接收或发送。
给物联网一个自己的网络
许多类型的控制设备，如恒温器和照明控制，通过无线连接。然而，大多数企业无线网络需要WPA2-Enterprise/802.1x，美国电话电报公司(at)网络安全和合规高级主管詹姆斯•麦基尼(James McGibney)表示Rosendin电他是一家电气承包商。
“大多数设备不支持WPA2-Enterprise，”McGibney说。“开发一种更安全的设备将是最理想的。但是，如果环境支持的话，您可以将这些设备放在它们自己的无线网络上，与生产网络隔离，只允许访问Internet。”
McGibney说，这需要创建一个独立的服务集标识符(SSID)和虚拟局域网，并具备通过防火墙路由流量的能力。他说，隔离的无线网络将在一个集中的位置进行配置和管理。
McGibney说:“我们已经在一些设备上做了类似的工作，比如需要上网的自动售货机，但我们对这些设备没有控制。”“我们把它们放在我们的客户网络上，这个网络与制作是分开的。他说，它运行在相同的硬件上，但在一个单独的VLAN上。
将安全性插入供应链
物联网的努力通常涉及供应链中的多个合作伙伴，包括技术供应商、供应商和客户，而安全必须考虑到这一点。
陶尔说:“如果你还没有这样做过，那就去找你的合同、财务或其他管理供应链的部门。”“与他们展开对话和建立关系，除非获得安全团队的同意，否则不会批准任何物联网购买。”
Taule说，如果安全部门愿意承担分析工作的负担，这些部门将会积极遵守这一规定。
Taule说，具体如何最好地增强供应链供应商选择过程取决于单个组织，但他建议考虑允许独立验证的制造商;主张在设备端设置写保护开关，以便在您不知情的情况下无法更新固件;只买正品，不买仿冒品。