搜索

[10735] 2016-11-20_美国国土安全部发布《物联网安全指导原则》

文档创建者：s7ckTeam
浏览次数：5
最后更新：2025-01-18
2016-11-20_美国国土安全部发布《物联网安全指导原则》 美 国 国 土 安 全 部 发 布 《 物 联 网 安 全 指 导 原 则 》 c l o u d s   F r e e B u f   2 0 1 6 - 1 1 - 2 0 物 联 网 在 内 的 网 络 互 联 服 务 为 社 会 发 展 创 造 了 机 会 和 利 益 ， 而 物 联 网 自 身 的 安 全 却 跟 不 上 创 新 和 部 署 的 快 速 步 伐 。 如 今 ， 物 联 网 在 内 的 网 络 互 联 服 务 为 社 会 发 展 创 造 了 机 会 和 利 益 ， 而 物 联 网 自 身 的 安 全 却 跟 不 上 创 新 和 部 署 的 快 速 步 伐 。 如 今 ， 网 络 连 接 设 备 无 处 不 在 ， 物 联 网 的 增 长 和 普 及 大 大 方 便 了 人 们 的 生 活 ， 而 随 着 国 家 关 键 基 础 设 施 更 多 的 网 络 物 联 应 用 ， 个 网 络 连 接 设 备 无 处 不 在 ， 物 联 网 的 增 长 和 普 及 大 大 方 便 了 人 们 的 生 活 ， 而 随 着 国 家 关 键 基 础 设 施 更 多 的 网 络 物 联 应 用 ， 个 人 和 国 家 面 临 的 安 全 威 胁 越 来 越 严 重 ， 而 物 联 网 的 安 全 问 题 也 接 踵 而 来 ， 恶 意 攻 击 、 信 息 泄 露 、 业 务 中 断 、 大 规 模 网 络 攻 人 和 国 家 面 临 的 安 全 威 胁 越 来 越 严 重 ， 而 物 联 网 的 安 全 问 题 也 接 踵 而 来 ， 恶 意 攻 击 、 信 息 泄 露 、 业 务 中 断 、 大 规 模 网 络 攻 击 击 … … 网 络 驱 动 生 活 ， 物 联 网 安 全 事 关 国 家 安 全 。 网 络 驱 动 生 活 ， 物 联 网 安 全 事 关 国 家 安 全 。 本 报 告 向 物 联 网 设 备 和 系 统 相 关 开 发 商 、 生 产 商 、 管 理 者 及 个 人 提 供 了 一 组 安 全 规 则 建 议 ， 以 供 参 考 。 1   在 设 计 开 发 阶 段 考 虑 安 全 问 题 在 设 计 开 发 阶 段 考 虑 安 全 问 题 任 何 网 络 连 接 设 备 都 应 考 虑 安 全 问 题 ， 在 设 计 阶 段 的 安 全 建 设 ， 避 免 了 后 期 因 安 全 问 题 带 来 的 潜 在 业 务 中 断 和 高 昂 重 建 成 本 。 而 通 过 注 重 网 络 设 备 安 全 性 ， 也 能 为 生 产 商 和 服 务 商 提 供 市 场 分 化 机 遇 。 建 议 ： 以 独 特 的 方 式 设 置 难 以 破 解 的 默 认 用 户 名 密 码 。 用 户 从 来 不 会 修 改 由 生 产 商 提 供 的 默 认 用 户 名 密 码 ， 很 容 易 被 破 解 。 僵 尸 网 络 操 作 者 正 是 利 用 这 些 默 认 密 码 信 息 扫 描 I o T 设 备 ， 进 行 攻 击 感 染 。 当 然 ， 强 壮 的 安 全 控 制 应 该 是 让 用 户 具 有 修 改 禁 用 某 些 功 能 的 权 限 。 使 用 技 术 过 关 和 经 济 可 行 的 主 流 操 作 系 统 。 许 多 I o T 设 备 内 置 使 用 了 一 些 老 版 本 的 L i n u x 系 统 ， 造 成 更 新 不 及 时 ， 带 来 严 重 安 全 隐 患 。 使 用 安 全 集 成 硬 件 以 加 强 设 备 和 安 全 和 完 整 性 防 护 。 例 如 ， 在 处 理 器 中 嵌 入 安 全 集 成 芯 片 ， 并 提 供 加 密 和 匿 名 功 能 。 在 设 计 中 考 虑 系 统 和 操 作 中 断 因 素 。 只 有 了 解 造 成 设 备 故 障 的 原 因 ， 才 能 制 订 有 效 的 安 全 策 略 ， 甚 至 在 某 些 可 行 情 况 下 ， 为 了 减 缓 故 障 的 严 重 性 ， 开 发 商 应 该 为 设 备 设 计 一 种 安 全 无 损 的 失 效 模 式 。 2   加 强 安 全 更 新 和 漏 洞 管 理 加 强 安 全 更 新 和 漏 洞 管 理 即 使 在 设 计 阶 段 考 虑 了 安 全 性 ， 但 在 产 品 使 用 后 还 是 会 发 现 一 些 漏 洞 ， 这 些 漏 洞 可 以 通 过 更 新 和 漏 洞 管 理 策 略 来 进 行 缓 解 。 对 于 这 些 缓 解 策 略 的 制 订 者 来 说 ， 应 该 充 分 考 虑 设 备 故 障 造 成 的 影 响 、 设 备 运 行 持 续 性 和 预 期 维 修 成 本 。 而 对 于 生 产 商 来 说 ， 在 漏 洞 威 胁
日 趋 严 重 的 网 络 环 境 中 ， 如 果 没 有 部 署 或 设 置 安 全 更 新 能 力 ， 可 能 就 会 面 对 昂 贵 地 召 回 或 在 遗 弃 不 管 的 选 择 。 建 议 ： 考 虑 通 过 网 络 或 其 它 自 动 化 方 式 对 设 备 进 行 安 全 加 固 更 新 。 理 想 情 况 下 ， 补 丁 应 该 通 过 加 密 和 完 整 性 验 证 方 式 来 自 动 化 更 新 。 考 虑 协 调 第 三 方 供 应 商 来 进 行 软 件 更 新 ， 以 解 决 和 改 进 漏 洞 管 理 模 式 ， 确 保 消 费 者 使 用 设 备 具 有 一 整 套 的 安 全 防 护 措 施 。 开 发 漏 洞 自 动 化 处 理 更 新 机 制 。 例 如 ， 在 软 件 工 程 领 域 ， 建 立 来 自 安 全 研 究 者 和 黑 客 社 区 的 漏 洞 报 告 实 时 信 息 获 取 机 制 ， 这 对 软 件 开 发 人 员 或 后 期 维 护 人 员 来 说 都 能 得 到 及 时 的 信 息 反 馈 和 响 应 。 制 订 一 个 漏 洞 协 调 披 露 和 处 理 政 策 。 该 政 策 应 该 涉 及 开 发 商 、 生 产 商 、 服 务 商 和 应 急 响 应 组 织 ( C S I R T ) ， 通 过 应 急 响 应 组 织 ， 如 U S - C E R T 、 I C S - C E R T 提 供 的 漏 洞 报 告 进 行 定 期 的 漏 洞 分 析 和 预 警 。 针 对 物 联 网 设 备 制 订 一 个 使 用 期 限 策 略 。 I o T 设 备 不 可 能 进 行 无 限 期 的 更 新 和 升 级 ， 开 发 人 员 应 了 解 生 产 商 和 消 费 者 期 望 ， 考 虑 设 备 使 用 期 限 问 题 ， 并 明 确 超 出 使 用 期 限 带 来 的 安 全 风 险 。 3   建 立 一 套 公 认 的 安 全 操 作 方 法 建 立 一 套 公 认 的 安 全 操 作 方 法 许 多 针 对 传 统 I T 和 网 络 安 全 的 操 作 实 践 可 以 应 用 于 I o T 领 域 ， 这 些 方 法 可 以 帮 助 识 别 漏 洞 、 检 测 合 规 性 、 响 应 预 警 和 快 速 恢 复 。 建 议 ： 实 践 基 本 的 软 件 安 全 和 网 络 安 全 做 法 ， 并 通 过 适 配 、 灵 活 和 创 新 的 方 式 应 用 于 I o T 生 态 系 统 。 参 考 相 关 部 门 的 具 体 实 践 指 导 。 一 些 联 邦 部 门 制 订 有 相 关 安 全 实 践 条 例 ， 如 国 家 高 速 公 路 交 通 安 全 管 理 局 （ N H T S A ） 发 布 的 《 现 代 汽 车 网 络 安 全 最 佳 实 践 指 南 》 、 F D A 发 布 的 《 医 疗 设 备 网 络 安 全 的 售 后 管 理 》 。 执 行 深 度 防 御 。 开 发 商 和 生 产 商 应 该 采 用 分 层 防 御 和 用 户 级 别 威 胁 考 虑 的 整 体 安 全 防 护 策 略 ， 当 某 些 更 新 升 级 失 效 时 ， 这 能 很 好 地 发 挥 作 用 。 加 入 漏 洞 信 息 共 享 平 台 ， 积 极 通 报 漏 洞 ， 及 时 接 收 第 三 方 安 全 预 警 。 信 息 共 享 平 台 是 提 高 安 全 风 险 意 识 的 关 键 工 具 。 如 D H S 和 其 下 属 的 国 家 网 络 安 全 通 信 协 调 中 心 （ N C C I C ） 等 。 4   优 先 考 虑 造 成 潜 在 影 响 的 安 全 措 施 优 先 考 虑 造 成 潜 在 影 响 的 安 全 措 施 不 同 的 I o T 系 统 有 着 不 同 的 风 险 模 型 ， 如 工 业 用 户 和 零 售 用 户 所 考 虑 的 风 险 不 同 ， 而 且 不 同 用 户 设 备 造 成 的 安 全 故 障 后 果 也 不 尽 相 同 ， 而 破 坏 、 数 据 泄 露 、 恶 意 攻 击 等 行 为 将 导 致 潜 在 的 严 重 后 果 ， 应 该 给 予 重 视 。 建 议 ： 了 解 设 备 的 预 期 用 途 和 使 用 环 境 。 这 将 有 助 于 开 发 商 和 生 产 商 考 虑 I o T 设 备 的 技 术 特 点 、 运 行 机 制 和 必 要 的 安 全 措 施 。 以 黑 客 和 攻 击 者 视 角 建 立 “ 红 队 ” 操 作 模 式 ， 针 对 应 用 层 、 网 络 层 、 数 据 层 和 物 理 层 进 行 安 全 分 析 测 试 ， 由 此 产 生 的 最 终 结 果 和 相 关 缓 解 策 略 有 助 于 优 先 针 对 某 些 薄 弱 地 方 增 加 安 全 措 施 。 对 接 入 网 络 的 设 备 进 行 识 别 认 证 ， 尤 其 是 针 对 工 业 和 商 业 领 域 。 引 入 安 全 认 证 功 能 ， 将 使 关 键 和 重 要 领 域 用 户 对 其 组 织 架 构 内 的 设 备 和 服 务 进 行 有 效 控 制 管 理 。 5   促 进 整 个 物 联 网 生 命 周 期 的 透 明 度 促 进 整 个 物 联 网 生 命 周 期 的 透 明 度 开 发 商 和 生 产 商 应 该 了 解 其 组 织 外 部 供 应 链 使 用 或 提 供 的 软 硬 件 相 关 漏 洞 情 况 。 大 多 数 时 候 ， 因 为 在 开 发 和 生 产 过 程 中 忽 略 了 供 应 链 过 程 和 产 品 的 安 全 评 估 ， 一 些 代 成 本 、 易 使 用 的 软 硬 件 会 为 I o T 设 备 带 来 很 大 的 安 全 隐 患 。 另 外 ， 由 于 一 些 不 明 的 开 源 软 件 会 应 用 于 I o T 设 备 的 开 发 过 程 ， 更 增 加 了 由 此 产 生 的 风 险 威 胁 。 提 高 安 全 意 识 可 以 帮 助 制 生 产 商 和 工 业 消 费 者 识 别 、 应 用 安 全 措 施 或 建 立 冗 余 策 略 。 根 据 不 同 产 品 、 开 发 商 、 生 产 商 和 服 务 商 的 可 能 产 生 的 风 险 ， 设 置 适 当 的 威 胁 缓 解 和 漏 洞 处 理 措 施 ， 如 更 新 、 产 品 召 回 或 客 户 咨 询 。 建 议 ： 进 行 内 部 或 第 三 方 供 应 商 的 端 到 端 风 险 评 估 。 为 了 增 加 安 全 透 明 度 ， 开 发 商 、 生 产 商 、 供 应 商 和 服 务 商 都 应 参 风 险 评 估 过 程
。 另 外 ， 当 供 应 链 环 节 发 生 改 变 时 ， 相 应 的 安 全 措 施 也 应 该 进 行 改 变 或 调 整 。 考 虑 建 立 一 个 关 于 漏 洞 报 告 的 公 开 披 露 机 制 ， 如 漏 洞 众 测 模 式 的 赏 金 计 划 等 。 在 供 应 商 和 生 产 商 之 间 采 用 明 细 的 设 备 部 件 使 用 清 单 ， 以 共 建 信 任 机 制 。 一 份 明 细 清 单 对 I o T 生 态 系 统 的 风 险 管 理 和 威 胁 处 理 非 常 有 用 。 6   谨 慎 接 入 互 联 网 谨 慎 接 入 互 联 网 在 工 业 环 境 和 其 它 关 键 应 用 领 域 的 物 联 网 用 户 ， 应 审 慎 考 虑 是 否 需 要 把 I o T 设 备 接 入 网 络 ， 并 清 楚 由 此 导 致 的 中 断 和 其 它 安 全 风 险 。 在 当 前 复 杂 的 网 络 环 境 中 ， 任 何 物 联 网 设 备 在 其 生 命 周 期 内 都 有 可 能 会 遭 到 破 坏 ， 物 联 网 设 备 开 发 商 、 生 产 商 和 消 费 者 应 该 了 解 相 关 设 备 被 破 坏 和 中 断 对 主 要 功 能 和 业 务 运 营 造 成 的 影 响 。 建 议 ： 建 议 I o T 用 户 明 确 任 何 网 络 连 接 性 质 和 目 的 。 如 工 业 控 制 等 一 些 关 键 环 境 使 用 的 I o T 设 备 没 必 要 接 入 网 络 。 配 置 替 代 性 连 接 方 案 。 为 了 加 强 深 度 防 御 策 略 ， 在 不 接 入 互 联 网 的 情 况 下 ， 可 以 选 择 配 置 接 入 本 地 网 络 进 行 关 键 信 息 收 集 和 评 估 。 具 体 参 考 ： h t t p s : / / i c s - c e r t . u s - c e r t . g o v / r e c o m m e n d e d _ p r a c t i c e s 在 一 些 选 择 性 连 接 方 案 中 ， 允 许 生 产 商 、 服 务 商 和 用 户 禁 用 特 定 端 口 和 连 接 功 能 。 针 对 不 同 I o T 设 备 用 途 ， 设 置 用 户 端 指 导 和 控 制 方 案 。 * 参 考 来 源 ： D H S ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理