應付物聯網安全問題 趨勢科技安全專家:由骨幹入手最有效

物聯網是未來大趨勢,真的說過很多遍,而物聯網衍生的資訊保安問題,本站也多次報導過。物聯網時代即將來臨,但仍然很多消費者未有正視有關問題,而有所正視的人卻又苦於缺乏有效的對策。未來資訊保安服務應該怎樣應對?趨勢科技雲端及數據中心保安副總裁兼總經理 Bill McGee,早前在港出席 CLOUDSEC 2014 論壇探討了物聯網時代下的保安對策。

物聯網是未來大趨勢,真的說過很多遍,而物聯網衍生的資訊保安問題,Unwire.pro 也多次報導過。物聯網時代即將來臨,但仍然很多消費者未有正視有關問題,而有所正視的人卻又苦於缺乏有效的對策。未來資訊保安服務應該怎樣應對?趨勢科技雲端及數據中心保安副總裁兼總經理 Bill McGee,早前在港出席 CLOUDSEC 2014 論壇探討了物聯網時代下的保安對策。

 

6 年後全球將有 260 億台物聯網裝置

據 IDC 預測,2014 年全球將有超過 90 億物聯網裝置付運;Gartner 更預測在 2020 年時更將超過 260 億台。TrendLabs 分析報告亦指出,至 2016 年全球將有超過 85% 的平面電視具備智慧功能,屆時全球智能電視年產量將成長至 1.98 億台。

隨著近年各種智能設備面世,物件與物件之間也能透過 Wi-Fi 或藍牙的方式連接溝通,物聯網一方面可作為工商機構拓展 Big Data 分析的利器,但物聯網的興起卻同時又為企業及家居 IT 環境帶來新的網絡保安挑戰,機構必須以嶄新策略和解決方案來應對所帶來的風險。

隨著雲端產業的發達,在未來以物聯網及雲端產業相互合作的應用是一個必然趨勢。趨勢科技雲端及數據中心保安副總裁兼總經理 Bill McGee,早前就來港出席 CLOUDSEC 2014 論壇就目前各類機構的主要保安疑慮提出獨到的見解,並發表主題演說:「保護你的萬物互聯主幹」。

 

不能只著眼支節上而忽略骨幹

「近年萬物互聯的發展一日千里,不少機構都研究並採納這科技趨勢。但很多時候方便的 IT 工具背後也是保安漏洞的溫床,這些採納物聯網的機構往往都忽略了同時升級其保安措施的必要性。」 Bill McGee 表示:「如果機構只是將現有的保安模式應用到物聯網環境,肯定會出現問題。」

Bill McGee 認為如一味著眼在支節上,IT 保安將永無寧日,因此與其思考怎樣在不同物件上安裝保安工具,還不如在主幹的後台服務入手來得實際。在物聯網時代做資訊保安,環境跟以前只有電腦的時代很不同。基本上每件物件在萬物互聯下都有可能連上網路,要使用者為每件物品都安裝保安軟件是不可能的。

物聯網令環境中連網裝置數量大為增加,加上企業愈來愈廣泛應用虛擬化技術,不僅令 IP 和應付系統運作量也快速增加,也使各個不同環節都可能出現漏洞,令企業 IT 管理人員愈來愈疲於奔命。但是這些連網裝置並非都是直接連到互聯網,而是跟一個核心的後台系統連接,換言之只要能從這骨幹部分著手就能解決很多問題。

 

前後端也可能成為入侵渠道

Bill McGee 把攻擊的目標分為四類,即是人、物、數據、程序。Bill McGee 簡化整個網絡架構為服務的「前端」和「後端」,前端可以是連網的物件,或者是網站前台,而後端則是伺服器。在這架構中,駭客攻擊可大致分為 4 大類型:針對前端的攻擊、針對後端的攻擊、針對後端前往前端的資料竊取,和以前端為踏板向後端進行的攻擊。

自動導航汽車為例,如果自動導航汽車被入侵也可能帶來大災難。Bill McGee 認為在這例子中自動汽車是前端,導航系統是後端,駭客要動手腳的話,就可從駭入汽車本身或是駭入後台導航系統,更可能以駭入汽車為跳板,攻擊後台導航系統,或是以駭入後台導航系統,再提供錯誤資訊給汽車引發車禍。

套回早面提過的四種攻擊目標,駭客是以誰為攻擊對象?要暗殺車中的重要人士(人)?要破壞這台汽車(物)?偷取他的日常出門習慣(數據)?為了搞亂全套導航系統(程序)?只要搞清楚目標就能有更清晰的方向來做保安。

 

前後端各需有相應保安對策

從前端來看,Bill McGee 認為保安的責任在於生產商,因此生產商有必要正視有關問題,一旦遇上漏洞便應給予消費者應對的方法。例如早前 Nest 智能調溫系統就是前端本身可被駭客動手腳,而廠商也立即透過送更新把修正。但他也同意並非所有廠商都有這種責任感,而在消費者的角度也只有「選購有責任感的廠商產品」的選擇,因為大多數消費者都沒能力自行為前端裝置做漏洞修補。

而從後端,即伺服器的角度來看就易解決,目前市面上已有各種第三方所提供的安全軟件為原有的服務加值。Bill McGee 表示,家居和企業環境並不一樣,透過在機構的核心網路中加入硬件防火牆系統,或是惡意程式偵測軟體,便能監察到所有經公司網絡來往的網路流量,如果出現有可疑流量的話,其實也能及早發現。

即使採用的是雲端的 IaaS 系統也同樣沒問題,因 Amazon Web Service、Microsft Azure、VMware Cloud 等都支援趨勢科技產品,可為後端平台即時加上保護。尤其在 VMWare 上更是非常便利,因趨勢科技與 VMWare 合作緊密,使趨勢科技的軟體甚至可在 Hypervisor 的層面上進行防護。至於前後端之間的溝通,即四種類型中的餘下兩種攻擊,Bill McGee 則認為可透過加密連線可提高安全性。

 

家居環境須靠提高消費者安全意識

但在家居以至戶外環境就較麻煩。由於公共設施也愈來愈智能,如果高速公路的燈號系統被入侵,可以引發的影響更不堪設想。早在今年六月時美國北卡羅來納州便有案例,有交通號誌遭到駭客入侵,將標誌上的內容改成「Hacked by Sun Hacker Twitt Wth Me」。

Bill McGee 表示,公共設施的物理保護可透過警備人員來提供,但如果日常家居使用的物品,就需要物主自己本身正視安全問題。以手機為例,有很多使用者會為了一些便利功能而自行替裝置破解,但這些 Jailbreak 或 Root 裝置卻很易成為駭客攻擊的目標。

而在家居的其他連網裝置,其實不少是透過手機或平板來連線,換言之只要手機本身不安全的話,其他裝置也不會能夠安全。從這角度而言,其實手機就負起了「後端」的角色,只要手機本身是安全的,這些裝置也能安全。

因此他給予一般數碼消費者的建議是,不要隨便為了便利而破解智能手機或平板裝置,也不要胡亂在可疑的地方下載程式安裝。如非必要的話,連網裝置不應長期連到互聯網,只局限在家居的內聯網就可以。