物聯(lián)網(wǎng)應(yīng)用安全最佳實踐

　　保護(hù)物聯(lián)網(wǎng)應(yīng)用不是一次性事件。這需要仔細(xì)規(guī)劃、采取主動行動和定期監(jiān)控。

　　1、了解最可能的威脅

　　威脅建模涉及識別、評估物聯(lián)網(wǎng)應(yīng)用中的潛在漏洞并確定其優(yōu)先級。這使得推薦安全活動成為可能，允許IT管理員將物聯(lián)網(wǎng)應(yīng)用集成到其整體安全策略中。安全模型必須不斷發(fā)展，以準(zhǔn)確反映物聯(lián)網(wǎng)應(yīng)用的狀態(tài)。

　　2、了解風(fēng)險并確定風(fēng)險的優(yōu)先級

　　根據(jù)物聯(lián)網(wǎng)風(fēng)險的關(guān)注程度對其進(jìn)行分類和優(yōu)先排序，并實施相關(guān)行為。許多技術(shù)團(tuán)隊忽略了將風(fēng)險與實際業(yè)務(wù)場景和潛在結(jié)果結(jié)合起來的這一方面。單個物聯(lián)網(wǎng)應(yīng)用的失敗或被破壞對IT部門來說似乎微不足道，但也可能對企業(yè)產(chǎn)生重大的財務(wù)影響。

　　3、定期更新物聯(lián)網(wǎng)應(yīng)用

　　管理員需要盡快對物聯(lián)網(wǎng)應(yīng)用進(jìn)行更新部署，以確保整體網(wǎng)絡(luò)安全。只使用經(jīng)過批準(zhǔn)和驗證的更新，當(dāng)遠(yuǎn)程更新應(yīng)用時，使用安全的網(wǎng)絡(luò)方法如VPN，加密所有更新流。PKI是一種安全的公鑰基礎(chǔ)設(shè)施，可以對設(shè)備和系統(tǒng)進(jìn)行身份驗證。

　　4、使用服務(wù)網(wǎng)格

　　服務(wù)網(wǎng)格是控制網(wǎng)絡(luò)中服務(wù)之間通信的專用基礎(chǔ)結(jié)構(gòu)層。服務(wù)網(wǎng)格控制應(yīng)用中服務(wù)請求的分布。服務(wù)網(wǎng)格提供的常用功能包括服務(wù)發(fā)現(xiàn)、負(fù)載均衡、加密、容災(zāi)等。服務(wù)網(wǎng)格可以使服務(wù)之間的通信快速、可靠和安全。

　　5、確保網(wǎng)絡(luò)安全

　　安全通信協(xié)議、防火墻和加密有助于保護(hù)物聯(lián)網(wǎng)應(yīng)用免受惡意訪問。檢查網(wǎng)絡(luò)中使用的設(shè)備、標(biāo)準(zhǔn)和通信協(xié)議，確保網(wǎng)絡(luò)安全，并將物聯(lián)網(wǎng)應(yīng)用添加到常規(guī)的應(yīng)用安全測試流程中，是非常重要的。

　　6、啟用強(qiáng)認(rèn)證

　　強(qiáng)大的密碼保護(hù)策略對于物聯(lián)網(wǎng)應(yīng)用至關(guān)重要，這包括開發(fā)安全的密碼生成和更新流程。修改物聯(lián)網(wǎng)設(shè)備和應(yīng)用的默認(rèn)密碼至關(guān)重要。在可能的情況下，除了密碼之外，還應(yīng)該使用多個身份驗證因素。使用加密的TLS通信協(xié)議可以降低身份驗證數(shù)據(jù)在任何時候被泄露的可能性。

　　7、加密傳輸中的數(shù)據(jù)

　　通過加密物聯(lián)網(wǎng)設(shè)備、應(yīng)用和后端系統(tǒng)之間的數(shù)據(jù)，以保護(hù)數(shù)據(jù)免受攻擊。這包括對傳輸中和靜態(tài)數(shù)據(jù)進(jìn)行加密，并使用PKI安全模型來確保發(fā)送方和接收方在傳輸之前都經(jīng)過系統(tǒng)驗證。

　　8、保護(hù)控制應(yīng)用

　　可以訪問物聯(lián)網(wǎng)應(yīng)用的系統(tǒng)和應(yīng)用程序也必須得到適當(dāng)?shù)谋Ｗo(hù)。這可以防止客戶端(物聯(lián)網(wǎng)設(shè)備或系統(tǒng))受到外部攻擊的威脅，并防止攻擊向下游傳播。

　　9、確保API集成是安全的

　　API是在系統(tǒng)和應(yīng)用之間推送和拉取數(shù)據(jù)的常用方法。這是攻擊者可以連接物聯(lián)網(wǎng)應(yīng)用的另一種方式。當(dāng)只有授權(quán)的設(shè)備和應(yīng)用可以與API通信時，威脅更容易被檢測到。IT管理員還應(yīng)該使用API版本控制來識別過時或重復(fù)的API版本并消除它們。

　　10、監(jiān)控所有物聯(lián)網(wǎng)應(yīng)用

　　監(jiān)控物聯(lián)網(wǎng)應(yīng)用是確保其安全的最后一步。監(jiān)控物聯(lián)網(wǎng)應(yīng)用使組織能夠及時檢測和響應(yīng)潛在的安全問題，提高事件響應(yīng)能力，最大限度地減少攻擊或破壞的影響。它還通過展示對安全的承諾來幫助組織滿足合規(guī)性要求并建立客戶信任。

來源：千家網(wǎng)