文 |Jeff Shiner美光科技物聯網解決方案總監

今年6月27日，一款名為Petya的勒索病毒變種又開始肆虐。這場病毒迅速蔓延，全球最大的傳播集團WPP不幸中招，旗下眾多公司被迫切斷工作，以防電子設備感染病毒。

此次攻擊對西班牙電信公司和英國國家衛生系統(NHS) 等造成了重創，不僅感染了電腦，還可能影響到了 NHS 中的其他聯網設備，例如MRI 掃描儀、血液儲存冰箱和手術室設備。

不幸的是，這并不是個別事件。不妨想一想：

• 去年秋季，一種名為Mirai的惡意軟件侵入到世界各地的DVR、IP 攝像頭及其他設備中，發起了重大的惡意軟件攻擊活動，其中包括分布式拒絕服務(DDoS) 攻擊。DDoS 攻擊先是侵襲了域名系統(DNS) 提供商 Dyn，之后又將矛頭對準 Twitter、Reddit及其他重要網站，導致這些網站運行中斷。

• 今年早些時候，黑客攻擊了達拉斯市的緊急警報系統，在整個城市拉響了警報，直攻市政基礎設施網絡防御體系中的漏洞。

隨著物聯網的問世，大量更重要的目標成為了網絡犯罪分子的眾矢之的，因此，我們需要積極主動地應對這種情況并相應地進行規劃。

根據Sage Business Researcher的調查結果，聯網設備的數量預計在2020 年將達到 500 億。這一數字一直在以驚人的速度增長：2016年時尚且不到 250 億，2012 年時尚且不到100 億。制造商們一直在爭先恐后地向市場投放物聯網設備，有些時候，并未將安全性作為優先要務。

雪上加霜的是，物聯網并未實現標準化，尤其是與個人電腦(PC) 和智能手機市場的統一性相比，更是如此。物聯網設計受到了分散式安全實施方法的束縛，而后者又是由各種系統、半導體和軟件級選項決定的，這些選項組合到一起后，問題的復雜性大幅增加。最重要的一點是，提升一組物聯網設備的安全性并不能為數十億的其他設備帶來安全性的改進。

現在有人在努力建立安全框架來指導OEM 在設計中融入適當級別的安全性。推進這些計劃的團體提倡在軟硬件中集成重要的安全組件、設置深層防御安全性，以及實施其他策略來利用許多最新的已知解決方案。美國工業互聯網聯盟(IIC) 撰寫的一篇名為“工業互聯網安全框架”(IISF) 的文檔中就介紹了一個這個領域中的很好示例。此外，美國聯邦貿易委員會(FTC) 也一直在努力應對各種威脅，例如 2015 年，它敦促物聯網公司采用最佳安全保護做法。

盡管做了如此多的工作，漏洞問題仍然十分嚴峻，尤其是那些《財富》100強之外的公司，他們無力配備強大的網絡安全人員或劃撥相應預算，而且因為現成的物聯網安全解決方案缺乏統一性而受到阻礙。

出乎意料的是，在當前物聯網系統所存在的最大漏洞之一“代碼存儲內存”中，可能可以找到易于實施、可能也更安全的方法來應對這種挑戰。通過以全新的創新方式來利用存儲技術并將其與基于云的功能結合起來，有望創造更強大的安全性。

在比較高級的安全性攻擊中，惡意代碼被寫到非易失性存儲中。這種情況通常發生在位于網絡邊緣或網絡邊緣附近的設備上，也就是發生在端點或物聯網中的“物”上。一旦這些設備受到感染，攻擊者便可以利用它們，與其他設備組成更大的僵尸網絡或單獨在目標系統上行動。在這些攻擊中，許多都是在利用現如今已經發布的已知安全漏洞，并且一直在尋找可供利用的新“零日”漏洞。

2016 年底出現了其他一些常見的攻擊策略，其中就有基于 Mirai 的僵尸網絡攻擊。這種攻擊利用的是 DVR、IP 攝像頭和家用路由器等出廠時保留的不安全默認設置的物聯網設備。在高峰期，這些設備對各種網站發起 DDoS 攻擊，其中包括 Twitter、Amazon 和 Reddit，比較諷刺的是，KrebsOnSecurity 也在被攻擊之列。

在上述兩種攻擊策略中，設備 OEM 可以采用以下長期解決方案：重新設計主要硬件和軟件，部署設備和云解決方案以監控設備的完整性并在設備受到入侵時進行修復。

但是，哪里有弱點，哪里就有機會。如果可以通過加密方式對存放在存儲中的關鍵代碼執行身份驗證，并且該代碼可以成為相應物聯網設備的一部分，那么，將該代碼與云中的出色功能結合起來，便可以通過端到端身份驗證和加密固件管理極大地限制黑客在設備上植入惡意軟件的能力。

多年以來，人們一直使用一組名為“信任根”(RoT) 的功能來提高網絡安全性。RoT 提供通常駐留在可信計算模塊中的安全服務，并且可以由操作系統安全地用來驗證設備的身份和運行狀況，從而基本上確認該設備是網絡的組成部分并且未被感染。

到目前為止，提供這種安全性的重任還是由 CPU、SoC 和硬件安全模塊 (HSM) 來擔負。不幸的是，即便是使用這些組件及其所提供的安全保護，黑客也仍然可以在物聯網設備中邏輯組件之下的各個級別發動攻擊，并破壞或停止系統。隨著攻擊的復雜性越來越高，高級持久性威脅 (APT) 正在成為更嚴重的問題，這是因為，黑客將注意力放在了越過物聯網設備的邏輯部分，將代碼植入到設備的存儲之中。

通過提升解決方案的更多部分的安全性（即“縱深防御”）并確保將存儲考慮在內，可以提升安全性。此外，這種方法注定相對簡單、成本較低、影響不大，可以更廣泛地應用到當今那些正遭受各種攻擊的物聯網設備。

美光科技正在尋求一種方法來將設備 ID 和小型加密處理功能這兩個元素直接置于存儲中。這些元素組合起來將生成一些信息，從而使云計算資源能夠確認存儲的身份和運行狀況以及所含數據。這樣一來，可以通過 CPU、SoC 和 HSM 加強最低啟動級別及負載分流工作的安全性。

這一方法在近期微軟和美光宣布建立的安全合作伙伴關系中得到了印證。這兩家公司專注于兩個關鍵方面，從而可以簡化客戶為確保物聯網設備正常運行并啟用設備身份標識而實施安全保護的方式。第一步是創建內置在標準硬件中的端到端安全連接，使客戶能夠只通過軟件開發包 (SDK) 便可以提升系統功能。通過利用可信計算組織 (TCG) 的一種名為“設備身份合成引擎”(DICE) 的新標準，微軟 Azure 物聯網云和美光 Authenta?技術可幫助確保只有受信任的硬件才能訪問物聯網云。

該解決方案可驗證通常用來存儲關鍵代碼的硬件的身份和運行狀況，預期能為物聯網設備提供新的安全優勢。有了這一身份標識功能，Azure 物聯網樞紐可以驗證設備的狀態是“好”還是“壞”，并采取相應的后續措施，例如，啟用設備運行狀況證明和配置等較高級的功能，以及使管理員可以在現場安全地修復受到入侵的設備。

在存儲中執行物聯網設備身份驗證這種方法不僅在最低啟動級別提供了獨一無二的保護級別，還利用了數十億個物聯網設備中已有的標準閃存插槽。各家公司在當前設計和舊設計中均可利用支持 Authenta 的美光閃存，通過修改軟件來實現新的安全功能。微軟和美光均提供了帶有軟件開發包 (SDK) 的核心中間件，以便在 Azure 中的主機上、網關處甚至端點上啟用這些解決方案，這進一步簡化了軟件資源要求。這種解決方案旨在更輕松地為新平臺和設備提供安全的物聯網云管理和連接，以及能夠更輕松地改進舊系統。

任何一種安全機制都不是完美的，但是可以通過增添重要的縱深防御功能來提升安全性。尤其是在物聯網興起并且網絡邊緣易受攻擊設備的數量不斷增加的今天，更是如此。利用微軟和美光打造的這類全新解決方案，端到端設備管理將會更加安全，成本也會更低。監控和管理物聯網設備的運行狀況是企業要做出的最復雜決策之一。與此同時，要快速消除已知安全漏洞并使黑客的成本超出其所獲利益是非常困難的。通過利用最佳的網絡安全保護做法和新形成的生態系統，許多公司的安全實施都應該會開始變得更加有效且開銷更低。