物聯(lián)網(wǎng)應(yīng)用安全最佳實(shí)踐

　　保護(hù)物聯(lián)網(wǎng)應(yīng)用不是一次性事件。這需要仔細(xì)規(guī)劃、采取主動(dòng)行動(dòng)和定期監(jiān)控。

　　1、了解最可能的威脅

　　威脅建模涉及識(shí)別、評(píng)估物聯(lián)網(wǎng)應(yīng)用中的潛在漏洞并確定其優(yōu)先級(jí)。這使得推薦安全活動(dòng)成為可能，允許IT管理員將物聯(lián)網(wǎng)應(yīng)用集成到其整體安全策略中。安全模型必須不斷發(fā)展，以準(zhǔn)確反映物聯(lián)網(wǎng)應(yīng)用的狀態(tài)。

　　2、了解風(fēng)險(xiǎn)并確定風(fēng)險(xiǎn)的優(yōu)先級(jí)

　　根據(jù)物聯(lián)網(wǎng)風(fēng)險(xiǎn)的關(guān)注程度對(duì)其進(jìn)行分類和優(yōu)先排序，并實(shí)施相關(guān)行為。許多技術(shù)團(tuán)隊(duì)忽略了將風(fēng)險(xiǎn)與實(shí)際業(yè)務(wù)場(chǎng)景和潛在結(jié)果結(jié)合起來(lái)的這一方面。單個(gè)物聯(lián)網(wǎng)應(yīng)用的失敗或被破壞對(duì)IT部門(mén)來(lái)說(shuō)似乎微不足道，但也可能對(duì)企業(yè)產(chǎn)生重大的財(cái)務(wù)影響。

　　3、定期更新物聯(lián)網(wǎng)應(yīng)用

　　管理員需要盡快對(duì)物聯(lián)網(wǎng)應(yīng)用進(jìn)行更新部署，以確保整體網(wǎng)絡(luò)安全。只使用經(jīng)過(guò)批準(zhǔn)和驗(yàn)證的更新，當(dāng)遠(yuǎn)程更新應(yīng)用時(shí)，使用安全的網(wǎng)絡(luò)方法如VPN，加密所有更新流。PKI是一種安全的公鑰基礎(chǔ)設(shè)施，可以對(duì)設(shè)備和系統(tǒng)進(jìn)行身份驗(yàn)證。

　　4、使用服務(wù)網(wǎng)格

　　服務(wù)網(wǎng)格是控制網(wǎng)絡(luò)中服務(wù)之間通信的專用基礎(chǔ)結(jié)構(gòu)層。服務(wù)網(wǎng)格控制應(yīng)用中服務(wù)請(qǐng)求的分布。服務(wù)網(wǎng)格提供的常用功能包括服務(wù)發(fā)現(xiàn)、負(fù)載均衡、加密、容災(zāi)等。服務(wù)網(wǎng)格可以使服務(wù)之間的通信快速、可靠和安全。

　　5、確保網(wǎng)絡(luò)安全

　　安全通信協(xié)議、防火墻和加密有助于保護(hù)物聯(lián)網(wǎng)應(yīng)用免受惡意訪問(wèn)。檢查網(wǎng)絡(luò)中使用的設(shè)備、標(biāo)準(zhǔn)和通信協(xié)議，確保網(wǎng)絡(luò)安全，并將物聯(lián)網(wǎng)應(yīng)用添加到常規(guī)的應(yīng)用安全測(cè)試流程中，是非常重要的。

　　6、啟用強(qiáng)認(rèn)證

　　強(qiáng)大的密碼保護(hù)策略對(duì)于物聯(lián)網(wǎng)應(yīng)用至關(guān)重要，這包括開(kāi)發(fā)安全的密碼生成和更新流程。修改物聯(lián)網(wǎng)設(shè)備和應(yīng)用的默認(rèn)密碼至關(guān)重要。在可能的情況下，除了密碼之外，還應(yīng)該使用多個(gè)身份驗(yàn)證因素。使用加密的TLS通信協(xié)議可以降低身份驗(yàn)證數(shù)據(jù)在任何時(shí)候被泄露的可能性。

　　7、加密傳輸中的數(shù)據(jù)

　　通過(guò)加密物聯(lián)網(wǎng)設(shè)備、應(yīng)用和后端系統(tǒng)之間的數(shù)據(jù)，以保護(hù)數(shù)據(jù)免受攻擊。這包括對(duì)傳輸中和靜態(tài)數(shù)據(jù)進(jìn)行加密，并使用PKI安全模型來(lái)確保發(fā)送方和接收方在傳輸之前都經(jīng)過(guò)系統(tǒng)驗(yàn)證。

　　8、保護(hù)控制應(yīng)用

　　可以訪問(wèn)物聯(lián)網(wǎng)應(yīng)用的系統(tǒng)和應(yīng)用程序也必須得到適當(dāng)?shù)谋Ｗo(hù)。這可以防止客戶端(物聯(lián)網(wǎng)設(shè)備或系統(tǒng))受到外部攻擊的威脅，并防止攻擊向下游傳播。

　　9、確保API集成是安全的

　　API是在系統(tǒng)和應(yīng)用之間推送和拉取數(shù)據(jù)的常用方法。這是攻擊者可以連接物聯(lián)網(wǎng)應(yīng)用的另一種方式。當(dāng)只有授權(quán)的設(shè)備和應(yīng)用可以與API通信時(shí)，威脅更容易被檢測(cè)到。IT管理員還應(yīng)該使用API版本控制來(lái)識(shí)別過(guò)時(shí)或重復(fù)的API版本并消除它們。

　　10、監(jiān)控所有物聯(lián)網(wǎng)應(yīng)用

　　監(jiān)控物聯(lián)網(wǎng)應(yīng)用是確保其安全的最后一步。監(jiān)控物聯(lián)網(wǎng)應(yīng)用使組織能夠及時(shí)檢測(cè)和響應(yīng)潛在的安全問(wèn)題，提高事件響應(yīng)能力，最大限度地減少攻擊或破壞的影響。它還通過(guò)展示對(duì)安全的承諾來(lái)幫助組織滿足合規(guī)性要求并建立客戶信任。

來(lái)源：千家網(wǎng)