摘要:過(guò)去一年,全球各地的惡意攻擊事件大幅增加,相關(guān)設(shè)備制造商爭(zhēng)相為自己當(dāng)前和未來(lái)的技術(shù)規(guī)劃尋找合適的機(jī)制,希望利用這些機(jī)制來(lái)幫助他們防御不斷演變的黑客。具體來(lái)說(shuō),汽車(chē)和物聯(lián)網(wǎng)設(shè)備尤其容易遭到一些最新的網(wǎng)絡(luò)攻擊,因此制造商們需要不斷增強(qiáng)他們?cè)诩用芎凸€基礎(chǔ)設(shè)施 (PKI) 方面的知識(shí),確保其未來(lái)的解決方案能夠安全地在相關(guān)領(lǐng)域發(fā)揮作用并擁有更長(zhǎng)的使用壽命。他們?cè)谲浖踩矫嫱度肓舜罅烤?,卻很容易忽略硬件選項(xiàng),但是,如果不同時(shí)考慮硬件和軟件,則無(wú)法實(shí)現(xiàn)“自動(dòng)防御故障”安全保護(hù)。最好的深度防御是兩種組件的強(qiáng)強(qiáng)聯(lián)合。本文介紹了物聯(lián)網(wǎng)、工業(yè)物聯(lián)網(wǎng)和汽車(chē)領(lǐng)域的制造商們?cè)谠O(shè)計(jì)新一代解決方案時(shí)需要調(diào)查的一些重要注意事項(xiàng)。
眾所周知,網(wǎng)絡(luò)攻擊會(huì)破壞我們的網(wǎng)絡(luò),但遺憾的是,只有在這些攻擊發(fā)生之后,我們才能知道其規(guī)模和破壞程度。最高級(jí)的攻擊是無(wú)法預(yù)測(cè)的,甚至當(dāng)它們已經(jīng)產(chǎn)生影響時(shí),我們可能還毫不知情。未被發(fā)現(xiàn)和記錄的攻擊會(huì)繼續(xù)存留在物聯(lián)網(wǎng)系統(tǒng)中,導(dǎo)致破壞持續(xù)存在更長(zhǎng)的時(shí)間。面對(duì)這些,我們不禁要問(wèn):為了應(yīng)對(duì)不可預(yù)測(cè)的和未知的網(wǎng)絡(luò)威脅,物聯(lián)網(wǎng)系統(tǒng)和設(shè)備制造商該如何進(jìn)行規(guī)劃?
了解網(wǎng)絡(luò)攻擊的復(fù)雜性
組織嚴(yán)密的攻擊正在以驚人的速度增加,無(wú)論是攻擊的復(fù)雜程度,還是協(xié)調(diào)配合能力,都經(jīng)過(guò)了攻擊者的精心策劃。攻擊通常與設(shè)備和行業(yè)無(wú)關(guān),無(wú)論是私有實(shí)體還是公共實(shí)體,都會(huì)成為攻擊對(duì)象。近來(lái),許多漏洞主要被國(guó)家贊助的組織或組織嚴(yán)密的犯罪集團(tuán)所利用。他們的最終目標(biāo)可能大相徑庭,其中包括想要獲取地緣政治利益、進(jìn)行錢(qián)財(cái)敲詐勒索,甚至只是想通過(guò)故意破壞系統(tǒng)來(lái)證明自己的能力。此類(lèi)最新攻擊中有許多都依賴(lài)于一種人們熟知的不斷發(fā)展的攻擊策略:分布式拒絕服務(wù) (DDoS)。
一些最新的 DDoS 攻擊主要集中在令網(wǎng)絡(luò)和網(wǎng)站的功能無(wú)法正常使用。2016 年發(fā)生了兩次比較有名的 DDoS 攻擊:一次發(fā)生在通過(guò) Akamai 托管的“Krebs on Security”博客網(wǎng)站上,另一次發(fā)生在為眾多社交網(wǎng)站的關(guān)鍵互聯(lián)網(wǎng)基礎(chǔ)設(shè)施提供支持的 Dyn DNS 服務(wù)器上。在這兩個(gè)案例中,攻擊者利用物聯(lián)網(wǎng)設(shè)備(如 IP 監(jiān)控?cái)z像頭、DVR 以及其他與目標(biāo)無(wú)關(guān)的消費(fèi)類(lèi)設(shè)備)創(chuàng)建了能夠破壞目標(biāo)(不相關(guān))服務(wù)的僵尸網(wǎng)絡(luò)。在 DNS 事件中,許多常用的互聯(lián)網(wǎng)服務(wù)遭到了破壞,包括 Netflix、Spotify、Twitter、Tumblr 等等。
貫穿在當(dāng)今眾多攻擊事件中的共同主題是:攻擊者將惡意代碼寫(xiě)入通常位于網(wǎng)絡(luò)附近或邊緣位置的設(shè)備的非易失性存儲(chǔ)中,意圖是令該設(shè)備成為惡意僵尸網(wǎng)絡(luò)的一部分。比較常見(jiàn)的情況是,在企業(yè)認(rèn)識(shí)到加密安全保護(hù)是新設(shè)計(jì)中穩(wěn)健周全的基礎(chǔ)支柱要素之前,大多數(shù)物聯(lián)網(wǎng)設(shè)備便都已部署完畢,這讓它們輕易就成為了黑客攻擊入侵的最新場(chǎng)地。
深度防御,對(duì)抗未知威脅
請(qǐng)務(wù)必了解最新的一些軟件和硬件安全產(chǎn)品,以便從頭開(kāi)始設(shè)計(jì)物聯(lián)網(wǎng)設(shè)備,使其具有適當(dāng)?shù)谋Wo(hù)和恢復(fù)能力??绻I(yè)物聯(lián)網(wǎng) (IIoT) 和汽車(chē)等不同行業(yè)的各種聯(lián)盟正在推動(dòng)形成新的網(wǎng)絡(luò)安全框架,重點(diǎn)強(qiáng)調(diào)實(shí)施安全解決方案的最佳做法。工業(yè)互聯(lián)網(wǎng)聯(lián)盟 (IIC) 發(fā)布了工業(yè)互聯(lián)網(wǎng)安全框架 (IISF),強(qiáng)調(diào)同時(shí)使用軟件和硬件,并從整體的角度考慮生態(tài)系統(tǒng)和設(shè)備級(jí)別的安全性。各公司開(kāi)始競(jìng)相在其生態(tài)系統(tǒng)的方方面面提供充分的安全保護(hù),但遺憾的是,由于更新這些設(shè)計(jì)是一項(xiàng)復(fù)雜的工作,并且需要一些資源,在許多情況下,物聯(lián)網(wǎng)端點(diǎn)仍然得不到重視。此外,人們還忽略了這樣一個(gè)策略:設(shè)計(jì)具有相應(yīng)的惡意軟件抵御能力的設(shè)備,并使之具有適當(dāng)級(jí)別的保護(hù)冗余,以防未來(lái)暴露出一些意想不到的安全漏洞。
被稱(chēng)為“深度防御”的全面端點(diǎn)安全保護(hù)策略可以采用分層設(shè)計(jì),如此一來(lái),即使惡意軟件能夠繞過(guò)一個(gè)系統(tǒng)安全保護(hù)層,也會(huì)很快在同一個(gè)系統(tǒng)中遇到下一層可能更難以攻破的保護(hù)屏障。盡管這種冗余級(jí)別聽(tīng)起來(lái)可能成本高昂、較為復(fù)雜甚至沒(méi)有必要,但對(duì)于零日(未知)漏洞風(fēng)險(xiǎn)不斷增加的環(huán)境而言,它絕對(duì)是實(shí)現(xiàn)全面端點(diǎn)安全保護(hù)的關(guān)鍵要素。換言之,通過(guò)添加保護(hù)層,您可以抵御您可能并不知道自己已經(jīng)遭遇的問(wèn)題。如果遵循 NIST 的建議使用硬件信任根,這種策略在許多情況下的實(shí)施效果都非常理想。一般而言,與在設(shè)備或系統(tǒng)級(jí)別僅實(shí)施軟件相比,硬件信任根要可靠許多。
了解硬件信任根和內(nèi)存
如今的硬件信任根有多種存在形式,許多硬件基元或安全加速器都可以在不同的硅基解決方案中找到。這些信任根可用于強(qiáng)化物聯(lián)網(wǎng)端點(diǎn)設(shè)計(jì),但可能會(huì)大幅增加復(fù)雜性,此外,要合理地了解并開(kāi)發(fā)這些設(shè)計(jì),需要用到大量設(shè)計(jì)資源。例如,可信平臺(tái)模塊 (TPM)、可信執(zhí)行環(huán)境以及其他充當(dāng)獨(dú)立解決方案的安全元素都屬于這類(lèi)情況。系統(tǒng)中已經(jīng)存在的組件也可能具備其他一些固有安全功能,例如,片上系統(tǒng)的處理器復(fù)合體以及系統(tǒng)非易失性存儲(chǔ)。重放保護(hù)內(nèi)存塊 (e.MMC)、符合 Opal 規(guī)范的固態(tài)硬盤(pán) (SSD),甚至 NOR & NAND 閃存塊鎖定等內(nèi)存保護(hù)功能可為整個(gè)系統(tǒng)級(jí)安全解決方案提供一個(gè)額外的保護(hù)層。
針對(duì)移動(dòng)中數(shù)據(jù)的保護(hù)(各網(wǎng)絡(luò)中或整條總線(xiàn)中數(shù)據(jù)的保密性)通常使用加密來(lái)控制,而加密則由加密密鑰基礎(chǔ)設(shè)施進(jìn)行管理,相應(yīng)地對(duì)數(shù)據(jù)流進(jìn)行加密和解密。如果數(shù)據(jù)的隱私性至關(guān)重要,則尤其需要維護(hù)加密密鑰基礎(chǔ)設(shè)施。另一項(xiàng)更加容易被忽視的需求是對(duì)靜態(tài)數(shù)據(jù)的保護(hù)。處于靜態(tài)的關(guān)鍵代碼或數(shù)據(jù)存儲(chǔ)在非易失性存儲(chǔ)中,直到系統(tǒng)為了啟動(dòng)、執(zhí)行某個(gè)應(yīng)用程序或運(yùn)行其他系統(tǒng)功能(如參數(shù)管理或更新)而訪問(wèn)它們?yōu)橹?。在許多情況下,各種攻擊會(huì)通過(guò)覆蓋這些關(guān)鍵代碼來(lái)植入持久性威脅,這些威脅則利用所入侵的設(shè)備作為工具,最終對(duì)生態(tài)系統(tǒng)發(fā)起僵尸網(wǎng)絡(luò)攻擊。如果對(duì)關(guān)鍵代碼施加某種級(jí)別的加密保護(hù),攻擊者植入惡意代碼的能力就會(huì)被大幅削弱。
網(wǎng)絡(luò)安全防御體系的發(fā)展正在設(shè)法跟上網(wǎng)絡(luò)攻擊的發(fā)展步伐,因此,充分利用軟件和硬件的現(xiàn)有功能是至關(guān)重要的。許多安全解決方案供應(yīng)商正不斷涌現(xiàn),他們推出了更新的集成解決方案,希望加快實(shí)施速度,并減輕因?qū)踩Wo(hù)作為基礎(chǔ)設(shè)計(jì)組件加以實(shí)施而產(chǎn)生的設(shè)計(jì)負(fù)擔(dān)。不要輕視物聯(lián)網(wǎng)網(wǎng)絡(luò)邊緣處的關(guān)鍵代碼保護(hù)工作。物聯(lián)網(wǎng)網(wǎng)絡(luò)邊緣可能會(huì)成為安全性最薄弱的位置,如果受到攻擊,最終會(huì)帶來(lái)重大的經(jīng)濟(jì)負(fù)擔(dān)。
作者:美光科技嵌入式產(chǎn)品事業(yè)部細(xì)分市場(chǎng)總監(jiān)Jeff Shiner