長揚科技：零信任安全架構在IT、OT和IOT領域的應用

5）任何資產(chǎn)都不是天生可信的。企業(yè)監(jiān)控和衡量所有自有和相關資產(chǎn)的完整性和安全狀況。企業(yè)應在評估資源請求時評估資產(chǎn)的安全狀況。實施零信任的企業(yè)應該建立一個持續(xù)的診斷和緩解系統(tǒng)來監(jiān)控、修補和修復設備和應用程序的安全狀況。

AWS IoT Device Defender持續(xù)審計和監(jiān)控用戶的物聯(lián)網(wǎng)設備群，其可以采用的緩解措施如下：

將設備放置在具有有限權限的靜態(tài)對象組中；

撤銷權限；

隔離設備；

使用AWS IoT Jobs功能打補丁，并進行無線更新，以保持設備健康和合規(guī)；

使用AWS IoT安全隧道功能遠程連接到設備進行服務或故障排除。

6）所有資源認證和授權都是動態(tài)的，在允許訪問之前嚴格執(zhí)行。

默認情況下，零信任會拒絕物聯(lián)網(wǎng)設備之間的訪問（包括任何API調(diào)用）。使用AWS物聯(lián)網(wǎng)，通過適當?shù)纳矸蒡炞C和授權授予訪問權限，其中考慮了設備的運行狀況。零信任需要能夠跨IoT、IIoT、IT和云網(wǎng)絡，檢測和響應威脅。

7）企業(yè)盡可能多地收集有關資產(chǎn)、網(wǎng)絡基礎設施和通信的當前狀態(tài)信息，用于改善其安全狀況。

使用 AWS IoT Device Defender，用戶可以使用物聯(lián)網(wǎng)設備數(shù)據(jù)對安全狀況進行持續(xù)改進。例如，用戶可以打開AWS IoT Device Defender審計功能來獲取物聯(lián)網(wǎng)設備的安全基線。然后，用戶可以添加規(guī)則檢測或機器學習檢測功能來檢測連接設備中發(fā)現(xiàn)的異常情況，并根據(jù)檢測到的結果進行改進。

4.2、 Cyxtera Appgate的IOT安全

圖12、Appgate IOT安全架構

Appgate 物聯(lián)網(wǎng)安全架構相對來說比較簡單，Appgate采用物聯(lián)網(wǎng)連接器接入物聯(lián)網(wǎng)設備。Appgate物聯(lián)網(wǎng)連接器利用零信任的核心原則來保護非托管設備，限制橫向移動并減少組織的攻擊面。連接器提供了對設備連接到網(wǎng)絡的方式和時間以及它們可以連接哪些網(wǎng)絡資源的精細控制。連接器與Appgate SDP完全集成，Appgate SDP是一個統(tǒng)一安全平臺，在用戶設備、服務器和非托管設備上強制執(zhí)行一致的訪問策略。

Appgate連接器是連接物聯(lián)網(wǎng)設備和網(wǎng)絡之間的網(wǎng)關。Appgate連接器向Appgate控制器發(fā)出訪問請求。控制器以身份驗證質(zhì)詢進行響應，然后根據(jù)用戶、環(huán)境和位置評估訪問憑據(jù)并應用訪問策略。Appgate為每個設備會話創(chuàng)建一個動態(tài)的“一段式”網(wǎng)絡。一旦建立連接，對資源的所有訪問都會從設備通過加密的網(wǎng)絡網(wǎng)關傳輸?shù)椒�務器。所有訪問都通過LogServer記錄，確保有一個永久的、可審計的用戶訪問記錄。

4.3、 國外IOT零信任技術分析

當前國外的IOT零信任技術分為多個流派，有以云平臺安全接入為核心的云平臺企業(yè)，有以現(xiàn)有網(wǎng)絡設備或安全設備快速改造為核心的傳統(tǒng)安全企業(yè)，還有以SDP技術統(tǒng)一南北向所有設備安全接入為核心的創(chuàng)新企業(yè)，詳細的企業(yè)和技術對比分析如下表所示。

表7、國外IOT零信任技術對比分析

5零信任+工業(yè)互聯(lián)網(wǎng)安全

上一節(jié)我們分析了零信任技術在物聯(lián)網(wǎng)安全領域的成功應用，本節(jié)聚焦在工業(yè)互聯(lián)網(wǎng)安全領域，如何應用零信任技術解決企業(yè)的安全痛點？