IT業界資訊媒體

【擁抱IoT】9成裝置存風險 動態隔離技術助企業堵截非法連線

 

數年前,有黑客遙距入侵澳洲一間賭場的監視器系統,偷看其中一間貴賓室內的撲克牌局,然後暗中通知現場的同謀下注,八局下來詐贏了將近3,300 萬美元。另一個讓人意想不到的場景,則是 2018 年某酒店大廳中壯觀的新式魚缸,雖然讓顧客們置身於愉悅的環境中,但魚缸內與酒店電腦系統相連的智能溫度監察器,卻存在網絡安全漏洞,結果成為絕佳的跳板,讓黑客成功闖入酒店電腦系統⋯⋯

IoT(Internet of Things, 物聯網)的發展速度愈來愈快,上述的個案恐怕只會愈來愈多。IoT(Internet of Things, 物聯網)的發展速度愈來愈快,根據最新數字顯示*,預計 2021 年將會有 250 億 IoT 連接上網。報告同時指出當中約 9 成缺乏網絡安全保護,透明度亦不夠高,令企業及使用者難以有效監管這些 IoT 產品。不過,IoT 卻是讓企業達成數碼轉型、提升產能的重要助力,難以棄之不用。與其斬腳趾避沙蟲,企業應積極採用有效的管理工具,分析可疑的網絡傳輸活動,在簡化管理作業的同時亦避免可能通過 IoT 發動的攻擊,享受 IoT 帶來的優勢。

銷量第一懶理安全防護

不少企業管理者對 IoT 存有很多誤解,認為大多數 IoT 都屬於民用產品,例如無線喇叭、智能手錶、智能電視等。事實上,企業內部早已添置大量 IoT,其中網絡打印機、監控鏡頭、投影設備、智能燈光及窗簾等,都是最容易被企業管理者忽視的 IoT 商用產品。IoT 市場的競爭異常激烈,為了壓低成本及加快開發周期,開發商未必將網絡安全重要性放在首要位置,以至這些 smart device 在網絡保安層面上並不算 smart,反而保安漏洞百出,例如現時不少產品內的無線晶片仍舊只支援過時的 802.11n / 2.4GHz 頻譜通訊技術;再者大部分開發商也缺乏漏洞修補政策及售後支援,變相令黑客可通過不少已知的漏洞發動攻擊。

要安全地將 IoT 應用引入企業環境,企業首先聯想到的或許是做好網絡分隔(Network Segmentation)工作, 限制不同種類 IoT 使用獨立的傳輸通道,以及為每類產品加裝防火牆攔截攻擊。說起來容易,實際執行卻有一定難度,先撇除大規模的應用個案,即使企業只是加裝少量監視器、網絡打印機、監控鏡頭,網絡管理員其實有不少問題需要解決,例如制定 IoT 驗證方式、認出網絡上每台有線或無線產品的功能及存取權限,設定以分析連線行為作主導的安全政策,並非可以簡單地 「plug and deploy」。

身份行為雙重驗證  簡化設定與管理作業

Aruba 網路解決方案供應商推出的 Dynamic Segmentation 動態隔離技術,便有助網絡管理員避免上述的麻煩。以往交換器(Switch)在驗證連接裝置與傳輸埠時,會以 MAC address 作為驗證方式;但由於 MAC address 有可能被冒認及用以修改轉換器的記錄,達成中間人攻擊,所以要持續確認連接裝置的身份確有一定難度,特別是某些 IoT 裝置會持續向交換器發出含 MAC address 的連線請求,大大增加被冒認的風險。Aruba 的動態隔離技術則能持續鎖定已配對的裝置及連接埠,直至該裝置真正被移除網絡及關機,杜絕 MAC address spoofing 的可能性。

IoT 的廣泛應用,令連接的設備數量增多,傳統做法是由網絡管理員額外為各類設備指定 subnet,方便日後的管理及執行安全檢查。雲端交付平台 ClearPass Device Insight 則能自動化探索企業網絡,搜出所有經有線或無線連接的裝置,大大提升網絡裝置的可視性;一經認證,如有其他未經授權的裝置接入網絡,系統便可進行攔截,或根據安全政策,僅給予最低的訪客權限。ClearPass Device Insight 亦會透過機器學習及深度封包檢測(Deep Packet Inspection)技術,準確辨認出各類裝置的身份及用途,完成識別後,就能配合 Aruba 的 ClearPass Policy Manager,賦予每個裝置不同的訪問及存取權限,如發現有裝置發出不合符其身份的網絡要求,例如監控鏡頭要求讀取檔案,又或網絡打印機不停向外部網站發出訪問要求,ClearPass 便會自動隔離裝置或將其從網絡中刪除,阻截黑客盜取機密檔案或借助裝置發動 DDoS 攻擊,大大簡化系統設定手續。

另外,為了讓網絡管理員更簡單及快速地實施統一的安全政策,Aruba 可以其無線熱點連接有線的交換器,然後將所有網絡連線引導至 Aruba Mobility Controller 內的 Policy Enforcement Firewall,這樣便可令所有裝置都在同一安全政策下運作,毋須進行重複的設定,增加企業網絡連線的透明度。

(Article sponsored by HPE Aruba)

資料來源:https://bit.ly/2oy8nJA

相關文章:【安全第一】企業上網方案Wi-Fi加密技術更勝5G