物联网应用安全最佳实践

　　保护物联网应用不是一次性事件。这需要仔细规划、采取主动行动和定期监控。

　　1、了解最可能的威胁

　　威胁建模涉及识别、评估物联网应用中的潜在漏洞并确定其优先级。这使得推荐安全活动成为可能，允许IT管理员将物联网应用集成到其整体安全策略中。安全模型必须不断发展，以准确反映物联网应用的状态。

　　2、了解风险并确定风险的优先级

　　根据物联网风险的关注程度对其进行分类和优先排序，并实施相关行为。许多技术团队忽略了将风险与实际业务场景和潜在结果结合起来的这一方面。单个物联网应用的失败或被破坏对IT部门来说似乎微不足道，但也可能对企业产生重大的财务影响。

　　3、定期更新物联网应用

　　管理员需要尽快对物联网应用进行更新部署，以确保整体网络安全。只使用经过批准和验证的更新，当远程更新应用时，使用安全的网络方法如VPN，加密所有更新流。PKI是一种安全的公钥基础设施，可以对设备和系统进行身份验证。

　　4、使用服务网格

　　服务网格是控制网络中服务之间通信的专用基础结构层。服务网格控制应用中服务请求的分布。服务网格提供的常用功能包括服务发现、负载均衡、加密、容灾等。服务网格可以使服务之间的通信快速、可靠和安全。

　　5、确保网络安全

　　安全通信协议、防火墙和加密有助于保护物联网应用免受恶意访问。检查网络中使用的设备、标准和通信协议，确保网络安全，并将物联网应用添加到常规的应用安全测试流程中，是非常重要的。

　　6、启用强认证

　　强大的密码保护策略对于物联网应用至关重要，这包括开发安全的密码生成和更新流程。修改物联网设备和应用的默认密码至关重要。在可能的情况下，除了密码之外，还应该使用多个身份验证因素。使用加密的TLS通信协议可以降低身份验证数据在任何时候被泄露的可能性。

　　7、加密传输中的数据

　　通过加密物联网设备、应用和后端系统之间的数据，以保护数据免受攻击。这包括对传输中和静态数据进行加密，并使用PKI安全模型来确保发送方和接收方在传输之前都经过系统验证。

　　8、保护控制应用

　　可以访问物联网应用的系统和应用程序也必须得到适当的保护。这可以防止客户端(物联网设备或系统)受到外部攻击的威胁，并防止攻击向下游传播。

　　9、确保API集成是安全的

　　API是在系统和应用之间推送和拉取数据的常用方法。这是攻击者可以连接物联网应用的另一种方式。当只有授权的设备和应用可以与API通信时，威胁更容易被检测到。IT管理员还应该使用API版本控制来识别过时或重复的API版本并消除它们。

　　10、监控所有物联网应用

　　监控物联网应用是确保其安全的最后一步。监控物联网应用使组织能够及时检测和响应潜在的安全问题，提高事件响应能力，最大限度地减少攻击或破坏的影响。它还通过展示对安全的承诺来帮助组织满足合规性要求并建立客户信任。

来源：千家网