為了使物聯網（IoT）實施成功，網絡和安全人員需要創建包括三件事的物聯網安全路線圖。

對于許多IT項目而言，安全性通常是事后的想法，但這種方法會使組織的業務面臨重大風險。物聯網的興起為網絡增加了指數級的設備，為網絡攻擊者創造了更多的入口點。更大的問題是，許多物聯網設備比傳統IT設備更容易入侵。

物聯網廣泛應用于一些行業，但它仍處于大多數企業的早期階段。對于剛剛起步的企業來說，IT和安全領導者現在應該為他們的實現制定安全計劃。然而，安全的前景廣闊，但令人困惑，因此如何確保物聯網部署的安全可能并不明顯。以下是創建物聯網安全計劃時必須考慮的三件事。

物聯網安全計劃中包含的內容如下：

1. 可見性是物聯網安全的基礎

人們無法保證不可見事物的安全，所以保護物聯網首先是知道連接的是什么設備，問題是大多數企業都沒有線索。有關機構在今年早些時候進行了一項調查，并詢問受訪者對于他們知道哪些設備連接到網絡的自信程度。高達61%的人表示信心不足或沒有信心。更糟糕的是，這個數字比三年前的51%大幅上升，表明網絡和團隊在安全方面有些落后。

可見性是一個起點，但實現完全可見性有幾個步驟。這包括：

設備識別和發現。擁有一個能夠自動檢測、分析和分類網絡的內容，并且開發完整設備清單的工具非常重要。一旦配置文件，安全業界人員可以回答關鍵問題，例如“設備采用什么操作系統？如何配置？它是可信任的還不可信任的？”重要的是，該工具持續監控網絡，以便在設備連接后立即發現設備并對其進行分析。

預測分析。在發現之后，應該學習和基線化設備的行為，以便系統能夠在攻擊造成任何傷害之前對其作出反應。一旦建立了規范，就可以對環境進行異常監測，然后采取行動。這對于高級持久性威脅（APT）特別有用，在那里它們保持休眠并映射環境。任何行為的改變，無論多么微小，都會觸發警報。

2. 網絡分段可提高安全敏捷性，阻止威脅的橫向移動

這是當今較大的安全問題。Fortinet公司的John Maddison對于網絡分段如何為網絡增加靈活性和敏捷性，以及如何防止內部威脅和惡意軟件溢出進行了探討，這些惡意軟件已經感染了網絡的其他部分。他是在SD-WAN的背景下討論這個問題，而這個將會被物聯網放大。

網絡分段的工作原理是分配策略、分離資產和管理風險。當物聯網設備被破壞時，網絡分段會阻止威脅橫向移動，因為資產被分類并組合在一起。例如，可以在醫院中建立策略以將所有心臟泵置于安全區段中。如果違反了一項規定，則無法獲取醫療記錄。

在組合網絡分段平臺時，需要考慮三個關鍵事項。

風險識別。先是根據企業認為重要的標準對設備進行分類。這可以是用戶、數據、設備、位置或幾乎任何其他內容。然后應將風險分配給具有類似風險特征的組。例如，在醫院中，所有與核磁共振成像（MRI）相關的端點都可以被分離到它們自己的區段中。如果違反了一項規定，則無法訪問醫療記錄或其他患者的信息。

策略管理。隨著環境的擴展，需要發現新設備并應用策略。如果設備移動，則策略需要隨之移動。將策略管理完全自動化非常重要，因為人們無法快速進行更改以跟上動態組織的步伐。而策略是管理整個組織風險的機制。

控制。一旦威脅參與者獲得訪問權，威脅者就可以在網絡上漫游數周，然后再采取行動。隔離物聯網端點以及與其通信的其他設備、服務器和端口，允許企業在風險基礎上分離資源。從策略的角度選擇對與物聯網設備交互的部分網絡進行不同的處理，使組織能夠控制風險。

3. 設備保護在物聯網安全中位列首位

物聯網安全的首要任務是先保護設備，然后保護網絡。一旦一個物聯網設備被保護并加入網絡，它必須以與其他網絡元素協調的方式進行保護。保護物聯網端點是正確執行策略的問題。這是通過以下機制實現的：

政策靈活性和執行力。解決方案需要更加靈活，能夠在設備和訪問級別定義和實施策略。為了滿足物聯網的需求，需要強制執行控制設備行為、流量類型以及它在網絡上的位置的規則。物聯網端點、消費設備和云計算應用程序就是必須建立和實施不同策略的例子。

威脅情報。一旦建立了控制措施，就必須始終如一地執行策略，并在整個網絡中轉換合規性要求。這就創建了一種智能的自我學習結構，可以立即對威脅作出反應。當情報分布在整個網絡上時，可以在攻擊點采取行動，而不是等待威脅到達中心點。威脅情報應該是本地信息和全球信息的結合，以在威脅發生之前識別它們。

不幸的是，對于網絡和安全從業人士來說，在保護物聯網設備方面并不簡單。但是，通過正確的規劃和準備，即使是較大的物聯網環境也可以得到保護，因此企業可以繼續實施，而不會使其業務面臨風險。

責任編輯：ct