在5G環(huán)境下，每一個(gè)物聯(lián)網(wǎng)安全問(wèn)題都將被放大。在部署企業(yè)的系統(tǒng)之前，請(qǐng)先解決本文介紹的8個(gè)方面的問(wèn)題。

超高速5G移動(dòng)網(wǎng)絡(luò)不僅有望能更有效地把人們連接起來(lái)，而且進(jìn)一步提高了連通性，從而更好地控制機(jī)器、物體和設(shè)備。其極高的Gbps數(shù)據(jù)傳輸速率、低延遲和大容量對(duì)消費(fèi)者和企業(yè)來(lái)說(shuō)是好消息。但是，正如一位早期采用者所體會(huì)到的，這也帶來(lái)了重大的新安全風(fēng)險(xiǎn)。

全球家電制造商惠而浦公司已經(jīng)開(kāi)始在旗下一家工廠推出5G技術(shù)。該公司在傳統(tǒng)局域網(wǎng)Wi-Fi網(wǎng)絡(luò)環(huán)境下，使用物聯(lián)網(wǎng)設(shè)備開(kāi)展預(yù)測(cè)性維護(hù)、環(huán)境控制和過(guò)程監(jiān)控等方面的工作，但在5G環(huán)境下，公司還能夠做一些Wi-Fi無(wú)法完成的工作，比如部署自動(dòng)叉車和其他車輛。

惠而浦北美地區(qū)IT和OT制造基礎(chǔ)設(shè)施應(yīng)用經(jīng)理Douglas Barnes介紹說(shuō)：“我的工 廠里有很多金屬物品。Wi-Fi會(huì)被金屬反射。即使我在工廠里用的是網(wǎng)格Wi-Fi，但金屬實(shí)在太多了。而5G則能穿過(guò)墻壁，不會(huì)被金屬反射?！?/p>

他說(shuō)，“這意味著一旦在工廠車間部署好5G，惠而浦就將迎來(lái)巨變。這將使我們能夠在整個(gè)工廠里使用真正的無(wú)人駕駛車輛，進(jìn)行維護(hù)、交付，以及支持制造運(yùn)營(yíng)的所有工作。這個(gè)業(yè)務(wù)案例非常重要，節(jié)省了很多成本。5G的回報(bào)太豐厚了。”

他說(shuō)，公司已經(jīng)進(jìn)行了測(cè)試，以確保無(wú)人駕駛車輛能夠正常工作。這個(gè)月會(huì)分配好資源，今年年底前，車輛將在5G環(huán)境中運(yùn)行。他說(shuō)：“如果我們成功了，我們?cè)跓o(wú)人駕駛車輛這一業(yè)務(wù)案例上的所有付出都是值得的?！?/p>

Barnes敏銳地意識(shí)到物聯(lián)網(wǎng)已經(jīng)給企業(yè)帶來(lái)了網(wǎng)絡(luò)安全問(wèn)題，這些問(wèn)題在很大程度上會(huì)因轉(zhuǎn)向5G而被放大?；荻峙c其5G合作伙伴AT&T一起解決了這些問(wèn)題。他說(shuō)：“我們每天都像是在打仗。在我們開(kāi)始之前，我們和AT&T討論的第一件事就是網(wǎng)絡(luò)怎樣才是安全的?！?/p>

以下是惠而浦等企業(yè)在制定5G實(shí)施計(jì)劃時(shí)需要考慮的8個(gè)方面的關(guān)鍵問(wèn)題。

加密和保護(hù)5G網(wǎng)絡(luò)數(shù)據(jù)流

隨著5G的出現(xiàn)，連接到網(wǎng)絡(luò)的智能設(shè)備數(shù)量將大幅增加，這些網(wǎng)絡(luò)的數(shù)據(jù)流量也將隨之大幅增加。Gartner預(yù)測(cè)，明年企業(yè)的汽車物聯(lián)網(wǎng)設(shè)備數(shù)量將增加到58億，比今年預(yù)計(jì)的48億物聯(lián)網(wǎng)終端總數(shù)增長(zhǎng)21%。由此，攻擊者認(rèn)為這些網(wǎng)絡(luò)環(huán)境中有豐富的被攻擊目標(biāo)，甚至比現(xiàn)在還要多。

Barnes說(shuō)，為了解決這個(gè)問(wèn)題，惠而浦將加密所有5G數(shù)據(jù)流，并將5G天線配置為只接受獲得許可的數(shù)據(jù)流。他說(shuō)：“當(dāng)我們添加設(shè)備時(shí)，我們將其配置為5G可接受設(shè)備。如果沒(méi)有被列入白名單，我們就不會(huì)接受它。既然是經(jīng)過(guò)加密的，我就不擔(dān)心有人試圖截獲信號(hào)，因?yàn)樗麄冏霾涣耸裁??！?/p>

他說(shuō)，如果數(shù)據(jù)流離開(kāi)本地網(wǎng)絡(luò)，通過(guò)公共5G或者互聯(lián)網(wǎng)流出，那么將通過(guò)受保護(hù)的VPN隧道對(duì)通信進(jìn)行保護(hù)。他說(shuō)：“由于我們可能不得不使用5G與外部進(jìn)行通信，因此，我們預(yù)先進(jìn)行了設(shè)置?！?/p>

2.保護(hù)和隔離易受攻擊的設(shè)備

下一個(gè)可能出漏洞的是設(shè)備本身。Barnes說(shuō)：“這個(gè)行業(yè)非常缺乏安全意識(shí)。特別是工業(yè)設(shè)備通常都有專有的操作系統(tǒng)，而且不能安裝補(bǔ)丁或者通過(guò)許可來(lái)禁用它們。它們?cè)谠O(shè)計(jì)之時(shí)并沒(méi)有考慮到補(bǔ)丁問(wèn)題?！?/p>

Barracuda網(wǎng)絡(luò)公司的高級(jí)安全研究員Jonathan Tanner認(rèn)為，事實(shí)上，大多數(shù)物聯(lián)網(wǎng)安全錯(cuò)誤都沒(méi)有得到解決。他說(shuō)，有些設(shè)備存在無(wú)法通過(guò)固件更新來(lái)修復(fù)的問(wèn)題，或者沒(méi)有更新固件的機(jī)制。即使設(shè)備制造商在下一代設(shè)備上增加了安全功能，而那些不安全的老設(shè)備仍然沒(méi)有得到保護(hù)。

Tanner補(bǔ)充說(shuō)，有些企業(yè)并不在意，甚至忽略了指出漏洞的安全研究人員。Tanner說(shuō)：“有些設(shè)備易受攻擊的企業(yè)已經(jīng)倒閉了。他們對(duì)設(shè)備原先存在的任何漏洞都聽(tīng)之任之。”

如果一家企業(yè)受困于這些不安全的物聯(lián)網(wǎng)設(shè)備時(shí)，應(yīng)該怎么辦？惠而浦的Barnes說(shuō)，網(wǎng)絡(luò)隔離措施與其他網(wǎng)絡(luò)安全技術(shù)相結(jié)合可以幫助保護(hù)他們。他說(shuō)：“我們的方法分為兩層。第一層是通過(guò)網(wǎng)絡(luò)安全功能監(jiān)視所有的數(shù)據(jù)流，第二層是采用受協(xié)議驅(qū)動(dòng)的安全措施，執(zhí)行深層數(shù)據(jù)包檢查，查找協(xié)議中嵌入的惡意活動(dòng)類型。”

除此之外，還有一般的安全環(huán)境保護(hù)措施，例如，盡可能打上補(bǔ)丁，定期對(duì)所有設(shè)備進(jìn)行安全審計(jì)，對(duì)網(wǎng)絡(luò)上的所有設(shè)備都建立完整的設(shè)備清單。

3.準(zhǔn)備好應(yīng)對(duì)更大的DDoS攻擊

一般來(lái)說(shuō)，5G并不意味著安全性會(huì)比前幾代無(wú)線技術(shù)差。諾基亞威脅情報(bào)實(shí)驗(yàn)室主任Kevin McNamee說(shuō)：“5G確實(shí)帶來(lái)了4G和3G所不具備的新安全功能。有了5G，整個(gè)控制平面都被遷移到網(wǎng)絡(luò)服務(wù)類型的環(huán)境中，在這種環(huán)境中，經(jīng)過(guò)了嚴(yán)格的身份驗(yàn)證，是非常安全的。這是一種進(jìn)步?！?/p>

McNamee介紹說(shuō)，僵尸網(wǎng)絡(luò)進(jìn)攻的機(jī)會(huì)也增加了，給加強(qiáng)安全帶來(lái)了挑戰(zhàn)。他說(shuō)：“5G將極大地提高設(shè)備的可用帶寬。帶寬的增加會(huì)提高物聯(lián)網(wǎng)機(jī)器人的可用帶寬?！?/p>

增加的帶寬會(huì)被用于尋找更容易受到攻擊的設(shè)備，并傳播感染，而僵尸網(wǎng)絡(luò)將發(fā)現(xiàn)更多容易受攻擊的設(shè)備。消費(fèi)者開(kāi)始越來(lái)越多地購(gòu)買智能家居設(shè)備。與惠而浦一樣，企業(yè)都是物聯(lián)網(wǎng)設(shè)備的大用戶。政府機(jī)構(gòu)和其他類型的組織也是如此。

5G技術(shù)支持將設(shè)備放置在偏遠(yuǎn)地區(qū)，在這些地方是難以進(jìn)行維護(hù)的。ESET安全研究員兼俄勒岡州無(wú)線互聯(lián)網(wǎng)服務(wù)提供商協(xié)會(huì)聯(lián)合主席Cameron Camp評(píng)論說(shuō)：“將會(huì)有成群的傳感器記錄從天氣到空氣質(zhì)量直至視頻的所有信息。這意味著新的機(jī)器群有可能被黑客入侵并成為僵尸網(wǎng)絡(luò)的一部分。由于這些傳感器大部分都是無(wú)人值守的，因此很難發(fā)現(xiàn)黑客并作出響應(yīng)?！?/p>

物聯(lián)網(wǎng)設(shè)備有時(shí)也會(huì)空閑一段時(shí)間。用戶不會(huì)去更換一個(gè)仍在正常工作的設(shè)備。攻擊者會(huì)對(duì)他們的僵尸網(wǎng)絡(luò)采取低調(diào)的方式，這樣他們就不會(huì)引起任何注意。即使有可用的補(bǔ)丁，或者制造商開(kāi)始銷售更新的、更安全的設(shè)備版本，客戶也可能不會(huì)費(fèi)心地去進(jìn)行更改。

與此同時(shí)，很多智能物聯(lián)網(wǎng)設(shè)備正在運(yùn)行真正的操作系統(tǒng)，例如嵌入式Linux，使其成為幾乎功能齊全的計(jì)算機(jī)。受感染的設(shè)備可用于承載非法內(nèi)容、惡意軟件、命令和控制數(shù)據(jù)以及其他對(duì)攻擊者有價(jià)值的系統(tǒng)和服務(wù)。用戶不會(huì)把這些設(shè)備視為需要防病毒保護(hù)、打補(bǔ)丁和更新的計(jì)算機(jī)。很多物聯(lián)網(wǎng)設(shè)備不保存流入和流出數(shù)據(jù)流的日志。這使得攻擊者能夠保持匿名，更加難以關(guān)閉僵尸網(wǎng)絡(luò)。

這就構(gòu)成了三重威脅。有可能被利用設(shè)備的數(shù)量、僵尸網(wǎng)絡(luò)的可用帶寬以及設(shè)備進(jìn)行DDoS攻擊的可用帶寬都在增加。5G環(huán)境中，很多設(shè)備仍然不安全，有些設(shè)備沒(méi)有補(bǔ)丁，DDoS攻擊呈指數(shù)增長(zhǎng)，因此，企業(yè)現(xiàn)在要為此做好準(zhǔn)備。

4.向IPv6遷移可能會(huì)使私有互聯(lián)網(wǎng)地址公開(kāi)

隨著設(shè)備的激增和通信速度的提高，企業(yè)可能會(huì)傾向于使用IPv6來(lái)替代現(xiàn)在常見(jiàn)的IPv4。支持更長(zhǎng)IP地址的IPv6在2017年成為互聯(lián)網(wǎng)標(biāo)準(zhǔn)。

IPv4地址不夠分配，只有大約43億個(gè)地址。2011年，一些注冊(cè)中心的地址數(shù)量逐漸用盡，2012年，一些組織開(kāi)始轉(zhuǎn)向IPv6。但據(jù)互聯(lián)網(wǎng)協(xié)會(huì)（Internet Society）的數(shù)據(jù)顯示，如今只有不到30%的谷歌用戶通過(guò)IPv6訪問(wèn)平臺(tái)。

諾基亞的McNamee說(shuō)，很多企業(yè)以及幾乎所有的家用設(shè)備和大量的移動(dòng)電話網(wǎng)絡(luò)都使用私有IPv4地址，而不是IPv6。他說(shuō)：“這為他們提供了一種自然保護(hù)，使他們免受攻擊，因?yàn)樗麄冊(cè)诨ヂ?lián)網(wǎng)上是不可見(jiàn)的。”

隨著全球轉(zhuǎn)向5G，運(yùn)營(yíng)商自然會(huì)轉(zhuǎn)向IPv6，以便為數(shù)十億臺(tái)新設(shè)備提供支持。如果他們選擇公共IPv6地址而不是私有地址，那么這些設(shè)備現(xiàn)在將是可見(jiàn)的。他說(shuō)，IPv6和5G都沒(méi)有問(wèn)題，但將設(shè)備從IPv4遷移到IPv6的企業(yè)可能會(huì)意外地把它們放到公共地址上。

5.邊緣計(jì)算增加了攻擊面

那些希望為客戶或者自己分散的基礎(chǔ)設(shè)施減少延遲和提高性能的企業(yè)，正越來(lái)越多地關(guān)注邊緣計(jì)算。在5G的支持下，終端設(shè)備的通信能力越來(lái)越強(qiáng)，邊緣計(jì)算的優(yōu)勢(shì)也越來(lái)越大。

但是，邊緣計(jì)算也顯著增加了潛在的攻擊面。那些還沒(méi)有開(kāi)始轉(zhuǎn)向零信任網(wǎng)絡(luò)架構(gòu)的企業(yè)現(xiàn)在應(yīng)考慮好這個(gè)問(wèn)題，然后才能對(duì)邊緣計(jì)算基礎(chǔ)設(shè)施進(jìn)行大量投資。當(dāng)他們真的開(kāi)始構(gòu)建時(shí)，安全是首要考慮因素，而不能當(dāng)事后諸葛。

6.新的物聯(lián)網(wǎng)供應(yīng)商關(guān)注的是率先上市，而不是安全

物聯(lián)網(wǎng)淘金熱將促使新的供應(yīng)商進(jìn)入這一領(lǐng)域，鼓勵(lì)現(xiàn)有供應(yīng)商競(jìng)相把新設(shè)備推向市場(chǎng)。Barracuda的Tanner說(shuō)，物聯(lián)網(wǎng)設(shè)備比尋找漏洞的安全研究人員多得多。他說(shuō)，隨著新制造商的加入，我們將看到一個(gè)全新的安全錯(cuò)誤周期。

Tanner看到業(yè)界正在一遍又一遍地犯著同樣的錯(cuò)誤，報(bào)告的物聯(lián)網(wǎng)設(shè)備漏洞越來(lái)越多，而不是減少。他說(shuō)：“還沒(méi)有從業(yè)內(nèi)其他人的錯(cuò)誤中汲取足夠的教訓(xùn)?！?/p>

Joe Cortese是合規(guī)與安全聯(lián)盟滲透測(cè)試實(shí)踐主管，他的主要工作是研究怎樣入侵企業(yè)網(wǎng)絡(luò)，他說(shuō)：“供應(yīng)商不在乎物聯(lián)網(wǎng)設(shè)備是否安全。今年年初，我購(gòu)買了5臺(tái)與電燈開(kāi)關(guān)相關(guān)的設(shè)備，我能從屋外使用其中的4臺(tái)。有些測(cè)試模式內(nèi)置在設(shè)備中，供應(yīng)商從未刪除這些模式?！?/p>

Cortese說(shuō)，所有供應(yīng)商都希望最先進(jìn)入市場(chǎng)。對(duì)于許多廠商來(lái)說(shuō)，推出設(shè)備最快的方法是使用現(xiàn)成的平臺(tái)，例如嵌入式Linux。他說(shuō)：“我曾為情報(bào)部門工作過(guò)。最近，我發(fā)現(xiàn)了一個(gè)物聯(lián)網(wǎng)惡意軟件，它只需要7行代碼就能攻破一臺(tái)設(shè)備?！彼f(shuō)，那些不加固設(shè)備的制造商很容易遭受這種攻擊。

比如說(shuō)，攻擊者可以利用它來(lái)關(guān)閉工廠或者關(guān)鍵的基礎(chǔ)設(shè)施，或者劫持公司的系統(tǒng)以進(jìn)行勒索。Cortese說(shuō)：“我還沒(méi)有看到這種情況發(fā)生，但這只是因?yàn)?G還沒(méi)有被廣泛部署。隨著5G的廣泛采用和物聯(lián)網(wǎng)的擴(kuò)展，我們可能會(huì)看到像制造業(yè)這樣的系統(tǒng)將遭受大量的攻擊?！?/p>

7.警惕假冒攻擊

由于大多數(shù)5G網(wǎng)絡(luò)都不是獨(dú)立的，仍然容易受到4G和舊協(xié)議固有的一些缺陷的影響。GTP協(xié)議就是一個(gè)例子，它用于在4G和更早的網(wǎng)絡(luò)上傳輸用戶和控制數(shù)據(jù)流。它有一個(gè)允許攔截用戶數(shù)據(jù)的漏洞，這可能導(dǎo)致假冒攻擊。

Positive科技公司最近發(fā)布了一份關(guān)于GTP漏洞及其對(duì)5G網(wǎng)絡(luò)影響的報(bào)告。它描述的一個(gè)漏洞是，GTP不檢查用戶的位置，因此很難確定哪一數(shù)據(jù)流是合法的。攻擊者只需假冒用戶的IMSI訂戶標(biāo)識(shí)和TEID隧道標(biāo)識(shí)即可。后者是很容易獲得的，而攻擊者有多種方法獲取IMSI，其中最簡(jiǎn)單的方法是在暗網(wǎng)上購(gòu)買數(shù)據(jù)庫(kù)。

為方便攻擊，攻擊者通常借助于執(zhí)行直通身份驗(yàn)證的服務(wù)來(lái)進(jìn)行假冒攻擊。這也可能使第三方合作伙伴遭受未經(jīng)授權(quán)的訪問(wèn)。

Positive科技公司的研究人員建議安全部門跟蹤用戶或者設(shè)備的位置，但要注意，大多數(shù)網(wǎng)絡(luò)并沒(méi)有部署執(zhí)行此類操作所需的安全工具。

8.應(yīng)有人為物聯(lián)網(wǎng)安全負(fù)責(zé)

物聯(lián)網(wǎng)安全的最大障礙不是技術(shù)上的，而是心理上的。沒(méi)有人愿意承擔(dān)責(zé)任。大家都想把責(zé)任推給別人。買方指責(zé)賣方?jīng)]有保證他們?cè)O(shè)備的安全。賣方指責(zé)買方選擇了更便宜、更不安全的產(chǎn)品。在5G的世界里，讓他人負(fù)責(zé)物聯(lián)網(wǎng)安全是不可想象的。

據(jù)Radware去年發(fā)布的一項(xiàng)調(diào)查，34%的受訪者認(rèn)為應(yīng)由設(shè)備制造商負(fù)責(zé)物聯(lián)網(wǎng)安全，11%的受訪者認(rèn)為應(yīng)由服務(wù)提供商負(fù)責(zé)，21%的受訪者認(rèn)為應(yīng)由消費(fèi)者負(fù)責(zé)，35%的人則認(rèn)為應(yīng)由業(yè)務(wù)部門負(fù)責(zé)。Radware的戰(zhàn)略副總裁Mike O‘Malley評(píng)論說(shuō)：“換句話說(shuō)，沒(méi)有共識(shí)?！贝送?，他還說(shuō)，消費(fèi)者不具備這些知識(shí)或者技能。企業(yè)招不到足夠的員工。制造商相互之間太不協(xié)調(diào)、太多而難以控制。

企業(yè)可以雇傭服務(wù)提供商來(lái)承擔(dān)一些工作，但這并不能解決消費(fèi)者設(shè)備不安全、制造商不愿做出改變以及缺乏一致的全球監(jiān)管和執(zhí)行等問(wèn)題。

每個(gè)人都應(yīng)該對(duì)物聯(lián)網(wǎng)安全負(fù)責(zé)。買方應(yīng)堅(jiān)持要求，他們購(gòu)買的產(chǎn)品不能有默認(rèn)密碼或者測(cè)試模式，通信是經(jīng)過(guò)加密和認(rèn)證的，設(shè)備要定期打上補(bǔ)丁和更新。供應(yīng)商應(yīng)該把不安全的設(shè)備下架，在產(chǎn)品設(shè)計(jì)過(guò)程開(kāi)始時(shí)就要考慮安全問(wèn)題，而不是在安全事件上了新聞?lì)^條后才開(kāi)始考慮。