智慧城市网

 

　　物联网的链条很长，从芯片、模块、智能设备、中间件、云平台，到行业应用，在每个层面上都会充斥着安全问题。物联网安全的意义已经被重新定义，超越了传统黑客层面的单纯对抗。从被动安全到主动安全，从“事后诸葛亮”到“防患于未然”，物联网安全持续升级，成长的速度不断被黑客倒逼，从这个角度来看也可谓“良性生长”。
 

 

　　在没有隐私的时代，安全将升级为“文化”
 

　　科技产品带来便利的同时，也获得了你的各种隐私。你的指纹、你的脸庞、你的消费记录、你的生活轨迹、你的家庭成员、你的血糖水平、你的体脂率…这些信息联网设备比你还要了解。当你在由物联网创造的信息世界“裸奔”时，安全感从何而来？
 

　　你的智能水壶可能被用来窥探，孩子的智能玩具可能已被入侵，父母的心脏起搏器可能已被黑客控制…已经发生的多种事件说明，互联产品的制造商是根本不具备给予消费者安全感的能力。
 

　　不是他们不想，而是他们没有余力。由于物联网和智能设备目前还是一个新兴领域，很多厂商都只能把注意力集中在实现核心功能上，导致很多联网产品在设计阶段就忽视了安全。这些物联网智能设备通常将带有漏洞的操作系统与软件一起出售，这终使黑客更容易掌握数据，有时还能控制设备。
 

 

　　与之呼应，物联网安*方案提供商作为一个独立的角色，正在创造一个越来越大的产业。如前所述，由于物联网应用涉及终端设备、应用软件、服务平台和通讯网络等多个层面，每一层面都可能面临安全的威胁，需要安全防护的范围很广，孕育了巨大的市场需求，相关行业的创新企业正在开拓一片全新天地。
 

　　万物互联的时代，意味着物联网设备的数量将会是移动互联网的十倍甚至上百倍，而物联网安全市场的规模并不是简单的乘积关系，而会呈现指数效应。在没有隐私的时代，人类的安全意识正在突飞猛进。物联网安全问题绝不仅仅是一个技术性问题，它正在升级为文化，植根于社会的“物联网安全”文化。
 

　　近一项针对7,882位消费者的调查发现，89%的受访者家中至少有一台联网设备，81%的受访者不止一个，90%的受访者认为厂商必须确保联网设备内置安全功能。2015年，为解决物联网安全问题而产生的安全费用不足行业年度预算的1%，根据Gartner预测，这一比例到2020年需要提高到20%。
 

　　对于物联网安全的职责划分，也正在发生结构化的调整。越来越多的企业认识到，安全的责任并不在物联网设备制造商手中，终一道安全责任仍旧把握在用户自己手中。保护企业业务数据的责任不在物联网方案提供商，而是要由公司自身确保没有数据泄漏。庆幸的是，调查也显示出相同的结论，56%的受访者认为终端用户和IoT设备制造商分担了确保物联网设备安全的责任，只有20%仍旧认为制造商负有全权责任。
 

　　随着物联网创新商业模式的形成，安全问题正在变得越来越棘手。过去商品的所有权划分干净利落，你买了一个扫帚，那么这个扫帚就是属于你的。现在的情况是，即使你买了扫地机器人，你也并不完全拥有它，制造商仍旧负责固件的更新以及远程维护。尤其是汽车、工业设备等“大件”，这种情况更加明显，使用者和制造商同时拥有商品的部分所有权。共享经济的发展，更是加剧了这一进程。前段时间，生产扫地机器人的企业iRobot，认为他们有权向苹果等公司出售他们收集的家庭户型布局数据，也是基于这个前提。在此情况下，物联网安全不再是独立的第三方产业，而是深度融入数字经济领域、成为数字经济的神经系统。
 

　　虽然物联网安全已经变得性命攸关，不过在国内，在当下，真正做物联网安全的创新公司却是凤毛麟角。
 

　　物联网安全公司的本质是物联网数据公司
 

　　孙正义用寒武纪大爆发来比喻物联网市场是有道理的，前文也提到过，物联网中的“物物”更接近生物属性。充满生物的自然界相当严酷，充满了各种未知病毒和攻击，各种生物虽然一生历经坎坷，但是大多仍旧可以长期存活。免疫系统、自我治愈、个体排毒在这个过程中发挥了重要作用，这套防御体系是经过多年的运行数据和经验积累进化得来。物联网的生态属性，也造就了物联网安全与互联网安全的本质不同。互联网安全的现有方法论，放到物联网世界里效果有限。
 

　　物联网安全领域容易诞生BAT，但是，我并不是说现有的物联网安全公司就能成长为BAT。在物联网时代，核心的资产是数据，谁掌握了数据，谁就掌握了主权。有机会变身为BAT的物联网安全公司，首先应该是物联网数据公司，在此基础之上“进化”出可以抵御未知攻击的防护体系。也就是说，有价值的物联网安全厂商，其本质都是数据分析，这也是该领域的厂商有机会成长为BAT的核心。
 

　　至于原因为何，解答的思维链路太长，此处献上一个字：略。
 

 

　　物联网安全日益成为一个吸引大量初创企业的地方，看好物联网安全项目的投资机构也越来越多。据市场研究机构CB Insights的数据，去年投资者共向网络安全企业投资35亿美元，开展了400多项交易。这些数据今年还将继续攀升，投资者今年季度对私人安全领域的投资创下了近5年的新高纪录。
 

　　然而传统的安*方案无法适用物联网安全领域，物联网企业需要真正定制化的方案。皆因物联网拥有3大特性：
 

　　，物联网系统的复杂性极高。
 

　　一个典型的物联网系统结构包括边缘节点、网关和云端平台三部分，在边缘节点之间、边缘节点与网关之间、与云端之间，又是通过不同的无线或有线通讯协议互联的。理想的安*方案，应该是能实现“端到端”全面的安全防护。而现实的情况是，物联网系统通常是经由不同制造商和用户的软、硬件组成，并由不同人进行管理和维护，每个环节的安全策略不尽相同、未必兼容、不能构成完整闭环，而系统整体的安全性往往就由“短的木板”决定。
 

　　第二，物联网设备的成本敏感度高。
 

　　以边缘节点而言，物联网中多数用户的终端设备都是结构简单、低功耗、低成本的，在设计规划时往往很少、甚至根本没有考虑安全预算。提升边缘节点的安全层级，直接的方式就是投入额外的硬件，不论是采用具备安全性能的MCU，还是嵌入安全芯片。这对于很多OEM，特别是对于增加几块钱的BOM成本就斤斤计较的消费型物联网产品来说，确实是件让人为难的事。
 

　　第三，整个物联网系统生命周期中，安全运营的管理难度大。
 

　　保障安全需要人力投入对系统中的设备连接进行安全性的设置和管理，如授权、加密等，这种对设备安全性的“个人化”管理也是一个可观的投入。不论是设备制造商还是用户、运营商，都需要有人去承担管理角色。 随着网络的规模逐年增长，这一类的运营和管理压力也将更为显著。此外，将不安全设备的废止或改造以提升物联网的安全性，还会为用户带来“沉没成本”，导致过往的投资损失。
 

　　鉴于以上现状，物联网安全使用的各项新技术，也正在发生崭新的迭代。近研究机构Gartner和Forrester Research分别汇总了的物联网安全技术，在此简述几种：
 

　　1. 端点检测和响应(EDR)
 

　　端点检测和响应(EDR)解决方案通过监控端点的异常行为和恶意活动迹象，来增强传统的端点预防性控制措施，例如防病毒。Gartner预测，到2020年，80%的大型企业，25%的中型企业和10%的小型企业将投资EDR能力。
 

　　人工智能的自动化以及强大的数据分析能力，为实现更快、更的漏洞发现和修复带来可能。越来越多的企业和厂商也开始利用其优点对抗网络安全威胁与网络异常检测，升级网络安全检测体系。
 

　　2. 网络流量分析(NTA)
 

　　网络流量分析(NTA)解决方案是一个有助于网络管理者进行网络规划、网络优化、网络监控、流量趋势分析等工作的工具。它通过监控网络流量、连接和对象，找出恶意的行为迹象。那些正在寻求基于网络的方法，来识别绕过周边安全性的攻击的企业应该考虑使用NTA技术来帮助识别、管理和分类这些事件。
 

　　3. 欺骗技术(Deception)
 

　　欺骗(Deception)技术，顾名思义，这是一种用来摆脱攻击者的自动化工具，或为对抗攻击争取更多时间的一种欺骗手段。本质就是通过使用欺骗手段阻止或者摆脱攻击者的认知过程，扰乱攻击者的自动化工具，延迟攻击者的行为或者扰乱破坏计划。例如，欺骗功能会制造假的漏洞、系统、分享和缓存，诱骗攻击者对其实施攻击，从而触发攻击告警，因为合法用户是不应该看到或者试图访问这些资源的。
 

　　4. 软件定义边界(SDP)
 

　　Gartner预测，到2017年底，至少10%的企业组织(目前低于1%)将利用软件定义边界SDP技术来隔离敏感的环境，这项技术在安全保障用户的访问同时，也可以改善便利性，而使用一个固定的边界来保护企业内部网站正在逐渐过时。软件定义边界由云安全联盟(CSA)于2013年提出，用应用所有者可控的逻辑组件取代了物理设备，只有在设备证实和身份认证之后，SDP才提供对于应用基础设施的访问。
 

　　5. 面向DevSecOps的OSS安全扫描和软件组成分析技术
 

　　信息安全架构师必须能够将安全控制自动融入到整个DevSecOps周期中，而不需要进行手动配置，在这过程中要尽可能对DevOps团队是透明的，且不会阻碍DevOps的敏捷性，但是又要履行法律和法规合规性以及管理风险要求。为了实现这一目标，安全控制必须能够在DevOps工具链中实现自动化。软件组合分析(SCA)工具专门分析开发人员用于识别和清点OSS组件的源代码、模块、框架和库，并在应用程序运用到生产环境之前，识别任何已知的安全漏洞或是许可问题。
 

　　6. 容器安全(Container Security)
 

　　容器使用共享的操作系统模式。对主机操作系统的漏洞攻击可能导致所有容器都受到破坏。容器本身并不安全，但是它们就是由以不安全的方式进行部署的，很少或完全没有安全团队参与，也很少有安全架构师进行指导。传统的网络和基于主机的安*方案对容器是无视的。容器安*方案保护容器的整个生命周期(从创建到生产)，大多数容器安*方案都提供了预生产扫描和运行时间监控和保护功能。
 

　　后，请牢记，就像世上不存在的物联网平台一样，没有一种物联网安全技术可以确保你能*。而身处物联网时代的你，除了做好“一生至少被入侵一次”的准备，终还是靠自己赋予自己物联网的安全感。（原标题：物联网哪里容易诞生BAT？万物病毒告诉你…）