偏執狂和角色：物聯網的安全基礎

　　首先，是偏執狂。

　　由于物聯網系統中運動部件的數量龐大，黑客可以利用眾多向量來攻擊。在整個物聯網系統的檢查過程中，健康的偏執狂可以確保徹底探索系統并選擇適當的安全控制措施。但是，與其他系統一樣，物聯網安全應該由業務風險驅動。因此，諸如隱私法，合規性和商業價值等內容都應該平衡偏執狂與實用主義。

　　大多數物聯網設備都根據其功能性質進行了評估，例如溫度，遙測，視頻流等。由于數據通常用于上級決策制定，所以有一個隱含的價值影響整個系統的結果。例如，來自物聯網設備的溫度可能會驅動滅火系統，或者來自視頻源的面部識別可能會提醒物理安全服務。

　　因此，接管物聯網設備可用于執行數據完整性攻擊，從而改變上游系統的行為。例如，有關您的家庭或企業對公用事業供應商的能源消耗的信息可能會改變，以操縱賬單，服務和狀態。所有這種性質的威脅都會危及對信息傳遞的信任，最終會影響整個基礎設施。

　　國內最大的物聯卡交易平臺物聯卡之家（http://www.sunsut.com）表示，針對設備制造商，云服務提供商和物聯網解決方案提供商的攻擊有可能造成最大程度的損害。這些當事方將被委托大量數據，其中一些數據本質上是高度敏感的。這些數據對IoT提供商也有價值，因為它提供的分析功能代表了核心的戰略業務資產 - 如果暴露出來則是一個重大的競爭性漏洞。

　　其次，使用基于角色的方法。

　　物聯網系統由許多供應商組成，每個供應商都關注其核心優勢，無論是制造，連接，數據倉庫，分析還是其他功能。因此，物聯網系統的安全性只能通過所有供應商的協作才能實現，但仍然是系統供應商的責任。設計和審查系統安全需求的有效方法是借用產品開發中使用的基于角色的方法。這涉及識別IoT系統中涉及的每個不同角色(包括買方，設備制造商，云提供商，開發商和其他供應商)，然后分析這些方之間的所有交互并安裝相關安全控制。這些控制措施應該通過縱深防御戰略來推動同時盡量減少摩擦，特別是對于人物角色。安全控制帶來的任何摩擦都會促使人們找到繞過它們的方法(所有這些都以生產力和效率為名)，所以這個過程可以幫助確保應用安全控制，從而最大限度地提高用戶的安全感和同情心。

　　應為每個角色分配適當級別的數字身份驗證級別，例如分配給機器的證書和人為的多因素身份驗證。真實性保證的水平應該與角色可以訪問的數據的商業價值成正比。進一步授權訪問數據應該基于最小權限原則，因此任何給定的角色都只能訪問它需要交付或消費商業價值的數據。

　　所有與系統相關的數據也應該進行分類，然后給予它所需的適當保護級別。加密應該用于所有敏感數據和通信，以保持最高級別的完整性。

　　最后，必須特別關注基礎 - 網絡監視，漏洞修補，對設備使用篡改檢測和代碼簽名以驗證他們正在做的事情。

　　從一開始就應用健康的偏執狂水平并做好最糟糕的準備，對于為物聯網建立安全基礎至關重要。