《亞馬遜云科技（AWS）：終極IoT安全最佳實踐指南（15頁）.pdf》由會員分享，可在線閱讀，更多相關《亞馬遜云科技（AWS）：終極IoT安全最佳實踐指南（15頁）.pdf（15頁珍藏版）》請在三個皮匠報告上搜索。

1、1internet of things終極 IoT 安全最佳實踐指南2internet of thingsinternet of things當今的物聯網(IoT)解決方案通過幾乎所有市場（包括工業、商業和消費類應用程序）的各種使用案例來加速實現業務成果。IoT 領域發展迅速：IDC 估計，到 2025 年全球將有 416 億臺互聯設備，生成總計 79.4 ZB 的數據。1Statista 預測，到 2025 年，網絡上將有超過 750 億個連接的終端節點。2為了保護您的客戶、設備和組織，IoT 生態系統的基礎應該圍繞安全性構建。最佳 IoT 安全解決方案可提供從邊緣到云的多層保護，為您的 I

2、oT 設備、其連接和數據提供妥善保護。它還應包括預防措施和主動監控/警報，以便您可以確保設備安全并在現場按預期運行，同時應對和管理新出現的安全問題。IoT 隊列提出了許多獨特的安全挑戰，單靠防火墻和防病毒軟件等傳統方法無法應對這些挑戰。實際上，事實證明，僅依靠這些傳統解決方案不足以保護任何系統、IoT 或非 IoT。對于 IoT 設備，有時甚至無法使用傳統方式。例如，防病毒軟件通常無法在受限設備上運行。IoT 設備的計算、內存和存儲功能通常都不強，這限制了直接在其硬件上實現安全的機會。此外，互聯設備的軟件和硬件組件通常由不同的制造商制造，這可能導致安全元素所有權不明確。新的攻擊途徑不斷涌現，需

3、要對設備設置和運行狀況進行持續審計，并修復已發現的安全問題（即更新固件和修補程序）。這意味著您的 IoT 安全策略需要面向未來，提供定期的固件更新和配置策略實施，以適應新設備、不斷膨脹的數據和不斷演變的威脅。本指南將為您提供成功保護 IoT 生態系統的實用建議，更重要的是，隨著 IoT 安全格局的變化和發展，始終保證您的 IoT 生態系統安全無憂。2引言關鍵術語定義IoT 生態系統 IoT 解決方案的所有元素，包括設備硬件和固件、本地和云中系統和軟件，以及設備制造、運輸和預置等流程。1 https:/ https:/ devices-worldwide3internet of things最出

4、色的 IoT 安全解決方案植根于云安全。云架構提供了內在安全規定和最佳實踐，為強大、易于管理的 IoT 保護提供堅實基礎。在云中保護 IoT 解決方案時，請遵循以下最佳實踐：1.了解責任共擔：了解您以及您的供應商和合作伙伴在維護設備安全方面的職責。這些職責應預先記錄下來，并且您應努力審查和選擇其安全實踐與您的業務目標相契合的可信賴的合作伙伴和供應商。2.實施強大的身份驗證體系：使用最小特權原則，并通過對每一次交互進行適當授權來強制執行職責分離。集中管理特權，減少甚至消除對長期證書的 依賴。3.實現可追溯性：實時監控和審計對環境執行的操作和更改并發送警報。將日志和指標與系統集成，以便自動做出響應

5、并采取措施。4.在所有層面應用安全機制：與其將重點僅放在保護單個外層上，不如應用深度防御方法和其他安全控制措施，將安全機制應用到所有層面（例如邊緣網絡、Virtual Private Cloud VPC、子網、負載均衡器、每個實例、操作系統和應用程序）。5.自動實施安全最佳實踐：借助基于軟件的自動化安全機制，您能夠以安全、快速且具有成本效益的方式實現擴展。建立安全架構（包括實施控制措施），可在版本控制模板中以代碼形式定義和管理。6.保護傳輸中的數據和靜態數據：按敏感程度對您的數據進行分類，并根據情況采用相應的機制（例如加密、令牌化和訪問控制）。7.限制對數據的訪問：創建相關機制和工具來減少或消

6、除直接訪問或人工處理數據的需求。這樣做可以降低由于處理敏感數據而導致數據丟失、被修改以及其他人為錯誤的風險。8.為應對安全事件做好準備：制定符合您組織要求的事件管理流程。開展事件響應模擬演練并使用具有自動化功能的工具來提高檢測、調查以及恢復的速度。有關構建事件響應流程的更多信息，請參閱 AWS 安全事件響應指南。了解架構完善的 AWS 云的安全最佳實踐 深入探索 AWS 云安全產品和最佳實踐 云安全最佳實踐關鍵術語定義最小特權原則 僅向您的身份授予在預期環境中執行預期操作所需的最少特權的安全最佳實踐。4internet of things4IoT 安全最佳實踐理想情況下，您可以依賴用于 IoT

7、 生態系統中各個構建塊的眾所周知且可重用的云安全實踐列表，并且這些原則將完全符合您的獨特要求和約束。然而，實際上，至少某些 IoT 安全職責必須由您承擔。不過，請放心，以下最佳實踐將幫助您從設計和實施到持續運營和管理各個層面，保護您的業務和 IoT 生態系統。除了最佳實踐本身之外，我們還就每條規則提供了概要建議列表。這些建議并非詳盡列舉，它們只是為了闡明每條規則背后的基本概念。1.為設備和系統預置唯一身份和憑證 為所有設備及本地或云中系統分配唯一身份。為每個身份分配唯一的加密憑證，例如 X.509 證書。創建機制以促進憑證的生成、分發、輪換和吊銷。選擇使用受硬件保護的模塊（例如可信平臺模塊 T

8、PM 或硬件安全模塊 HSM）來存儲憑證和執行身份驗證操作。創建機制以安全地管理對 IoT 服務和資源的訪問。5internet of thingsinternet of things2.應用身份驗證和訪問控制機制 根據您的威脅模型建立明確的信任邊界，并對這些邊界之外的所有訪問實施訪問控制。識別并減少易于偽造或欺騙身份的入口點問題以及未經授權的特權升級?？紤]部署服務，使您無需對密碼、令牌或其他密鑰進行硬編碼即可對身份進行身份驗證。如果威脅模型包括未經授權的攻擊者可能對設備進行的物理訪問，請對設備硬件采取防篡改措施，并在物理上和/或在固件或操作系統層禁用所有未使用的硬件接口。創建機制以定期評估憑

9、證和特權，并在它們的身份在生命周期事件中發生相關轉換時進行評估。強制執行資源消耗限制并進行限流以保護共享資源的可用性。5關鍵術語定義威脅模型 列出了對 IoT 生態系統相關潛在威脅以及相應緩解措施和可接受風險的動態文檔。還包括所有資產的完整清單、與之交互的系統、威脅邊界以及入口點?！盎诓呗缘陌踩允?AWS 的巨大優勢。如果我們的其中一臺設備出現惡意訪問，無需重新頒發證書。我們可以關閉該設備的策略。這非常簡單有效?！盕ranz GarsombkeRachio 首席技術官兼聯合創始人閱讀案例研究 6 63.使用加密網絡協議 使用經過驗證、受信任的 IoT 軟件開發工具包(SDK)將設備安全地連

10、接 到云。保護入站和出站短程和遠程網絡通信通道的機密性和完整性，以進行數據傳輸、監控、管理、預置和部署。通過使用加密網絡協議來檢測任何未經授權的修改，可以保護數據完整性（無論分類級別如何）。對于無法支持加密網絡協議的資源受限設備，請將網絡活動限制為網絡級信任邊界（如威脅模型中所標識）內的短距離連接。使用開放和標準的加密網絡協議，安全社區會公開持續地審查和執行同行評審。使用諸如單向哈希函數或加密函數之類的加密基元不能替代用于保護傳輸中數據的加密協議。加密協議考慮了執行數據傳輸安全控制所需的上下文信息。加密協議提供安全控制，例如收件人身份驗證、安全的加密密鑰交換或協商、消息順序完整性和成功的消息收

11、發驗證?？紤]在開放且維護良好的操作系統（例如 FreeRTOS）上運行設備，使您可以輕松、持續地添加安全功能和應用程序?！癆mazon FreeRTOS 為我們的業務和客戶帶來了令人振奮的飛躍。開發團隊現在可以將精力集中投入在應用程序上，而不是放在聯結、消息收發或安全問題上。相反，他們選擇了主板、芯片，然后無縫連接到 AWS IoT?！盉ritish Gas HIVE 首席技術官 Seb Chakraborty 促使我們的業務和客戶實現了飛躍。開發團隊現在可以將精力集中投入在應用程序上，而不是放在聯結、消息收發或安全問題上。相反，他們選擇了主板、芯片，然后無縫連接到 AWS IoT?！盉rit

12、ish Gas HIVE 首席技術官 Seb Chakraborty“Amazon FreeRTOS 促使我們的業務和客戶實現了令人振奮的飛躍。開發團隊現在可以將精力集中投入在應用程序上，而不是放在聯結、消息收發或安全問題上。相反，他們選擇了主板、芯片，然后無縫連接到 AWS IoT?！盨eb ChakrabortyBritish Gas HIVE 首席技術官internet of things閱讀案例研究 7internet of things4.創建持續更新和部署機制 使用加密網絡協議傳輸部署構件。在分布式部署構件上應用和驗證數字簽名。應用默認配置以自動部署安全更新和補丁。在部署構件存儲庫

13、及其分發系統上采用身份驗證和訪問控制。維護整個 IoT 生態系統中已部署軟件的清單，包括版本和補丁狀態。監控部署狀態并調查任何失敗或已停止的部署。使用版本控制機制來防止未經授權的攻擊者強迫固件或軟件降級。維護通知機制，以在基礎設施無法將安全更新部署到您的隊列時立即向利益相關者發出警報。創建機制以識別和替換無法接收更新的受限設備。創建檢測和響應機制，以處理部署的軟件或固件中未經授權的更改。關鍵術語定義部署構件 用戶在 IoT 設備或通用主機上安全可靠地安裝軟件或固件時所需的所有源代碼、配置和二進制文件。78internet of things86.建立安全機制的持續運行狀況檢查 通過使用金絲雀測

14、試等機制，持續檢查您的安全控制和系統是否完好。驗證在外部依賴項或內部系統出現故障的情況下，安全控制措施是否可以防止未經授權的訪問并維護其完整性。測試您的 IoT 設備，以確保它們在發生以下故障時能夠維持其安全性控制：電池電量不足或波動 內存或處理資源不足 物理傳感器或其他連接設備出現故障 引入格式錯誤的輸入，包括感測到的數據 缺少網絡連接或出現間歇性連接5.部署安全審計和監控機制 部署審計和監控機制，以持續收集和報告整個 IoT 生態系統的活動指標和日志。監控設備上的活動和設備外的相關活動，例如網絡流量和入口點、進程執行以及系統交互，以防出現任何意外行為。使用日志進一步監控事件并解決問題。維護

15、并定期執行安全事件響應計劃以及遏制和恢復機制。這應該與您的 IoT 元素運營商的技術技能水平及其部署和所有權模型相對應。記錄用戶、角色或服務采取的安全措施。關鍵術語定義 金絲雀測試 將編程代碼更改推送給沒有自發進行任何測試的少數最終用戶的軟件測試，目的是確保代碼更改是透明的，并且可以在實際環境中運行。internet of things“AWS IoT提供設備行為監控，這對于任何構建安全基礎設施的 IoT 公司都是必不可少的?！盕ranz GarsombkeRachio 首席技術官兼聯合創始人閱讀案例研究 9internet of things7.主動評估潛在安全事件的影響 創建并維護包含所有

16、資產和系統的威脅模型，該模型以您的責任共擔模型為依據。識別并衡量潛在安全事件對 IoT 設備、其感知的環境和驅動系統、關聯的本地和云基礎設施、操作員和供應鏈系統以及流程的影響?？紤]安全事件的不同要素，例如規模、復雜程度和未經授權的訪問級別，以評估潛在影響。創建預防、檢測、遏制和恢復的相應深入層。為設備和現場網關預置僅授予所需特權的憑證。8.最大限度地縮小 IoT 生態系統的攻擊面 識別并消除設備、現場網關和后端系統上未使用的入口點。禁用未使用的設備傳感器、傳動器、服務和/或未使用的功能。禁用依賴項中未使用的功能或不安全的默認配置。使用最少數量的依賴項，例如第三方庫和網絡服務。在整個 IoT 生

17、態系統中采用默認安全配置。僅添加維護良好的依賴項，并建立一種機制使其保持最新狀態。隨著 IoT 生態系統的發展，定期檢查并確定最小化攻擊面的機會。v關鍵術語定義攻擊面 惡意攻擊者為了獲取對資產的未授權訪問，可能會針對的所有系統入口點。910internet of thingsv109.避免不必要的數據訪問、存儲和傳輸 對整個 IoT 生態系統中收集的數據進行識別和分類，并了解其相應的業務使用案例。發現機會并采取相應舉措以停止收集未使用的數據或調整其粒度和保留時間。如果您不需要完整的特定數據，可以考慮使用令牌化和單向加密哈希?？紤]使用非對稱加密技術來保護 IoT 設備和僅負責臨時收集和批處理數據

18、的設備上的靜態數據，并定期將數據提交給其他系統進行處理。僅將數據存儲并傳輸到擁有強大所有權和嚴格安全控制的中央系統。在授予對任何收集數據的訪問權限時，遵循最小特權原則。確定并考慮您的 IoT 設備的獨特功能。這可能包括會影響您的監管和法律合規性的移動性、驅動性、感官數據收集和傳輸以及所有權轉移。在制造、分發和操作 IoT 設備和系統的區域中，考慮客戶對隱私和透明度的期望以及相應的法律要求。編纂并發布您面向客戶的隱私聲明。internet of things11internet of things1110.監控漏洞披露和威脅情報來源 隨時了解最近攻擊活動中使用的已公開漏洞、對抗技術、策略和程序，

19、并評估其潛在影響。將漏洞披露和威脅情報中的信息與審計事件、配置和元數據相關聯。這將幫助您在持續的對抗活動環境中檢測出任何涉及基礎設施參與或濫用的趨勢 為您的 IoT 解決方案創建一個漏洞披露程序，以促進與安全研究人員的互動，并鼓勵他們負責任地披露潛在安全問題。12internet of thingsAWS 如何提供幫助AWS 云安全性Amazon Web Services(AWS)結合了云服務和邊緣軟件，以提供真正的端到端 IoT 安全解決方案。AWS IoT 為您實現全面、持續、可擴展的 IoT 安全，提供了最簡單、最迅速和最具成本效益的途徑。AWS 經過精心構建，是當今最靈活、最安全的云計

20、算環境。我們的核心基礎設施旨在滿足軍事、全球銀行和其他高敏感性組織的安全要求。AWS 使用相同的安全硬件和軟件來構建和運營我們的每個區域，因此我們的所有客戶都將從這樣一種商業云中受益：其服務產品和相關供應鏈經過審查并被認為足以安全處理絕密工作負載。一組深層的云安全性工具為其提供支持，這些工具具有 200 多項安全性、合規性、管理服務和關鍵功能。我們的責任共擔模型將大部分安全責任放在了我們的肩上，因此您可以專注于自己的業務。AWS 管理和控制托管操作系統的組件和虛擬化層，甚至包括運行服務設施的物理安全性。您負責構建安全的應用程序，我們也可以為您提供相關幫助。AWS 提供各種最佳實踐文檔、加密工具

21、和其他指南，您可以利用它們提供應用程序級安全措施。此外，AWS 合作伙伴網絡提供了數百種工具和功能來幫助您實現安全目標，包括網絡安全、配置管理、訪問控制和數據加密。通過訪問 AWS 云安全性資源頁面了解更多信息 13internet of things在云中，AWS IoT 提供了預防性安全機制，例如設備身份和身份驗證、加密以及對設備數據的訪問控制。在邊緣，AWS IoT Greengrass 可對本地和云通信中的設備數據進行身份驗證和加密，因此，在沒有驗證身份的情況下，永遠不會在設備和云之間交換數據。此外，AWS IoT Device Defender 可持續監控和審計安全配置，以確保其符合

22、安全最佳實踐并提供警報，以便您可以采取措施（例如將安全修復程序推送到設備）來減少潛在問題和風險。為了進一步支持公司治理和安全法規，AWS IoT 存儲設備歷史記錄的時間比其他產品長 24 倍。右側列出了有關每項 IoT 服務安全性規定的更多詳細信息。單擊鏈接以獲取每個解決方案的詳細信息。AWS IoT 安全性Amazon FreeRTOS 是適用于微控制器的操作系統，隨附用于幫助保護設備數據和連接的庫。AWS IoT Greengrass 對本地和云通信的設備數據進行身份驗證和加密。AWS IoT Core 通過提供身份驗證和端到端加密，讓您輕松安全地將設備連接到云。AWS IoT Devic

23、e Defender 是一項完全托管的服務，可幫助保護您的 IoT 設備隊列。AWS IoT Device Management 支持您安全地大規模加入、組織、監控和遠程管理 IoT 設備。AWS IoT Analytics 是一項完全托管的服務，可以輕松運行大量 IoT 數據并對其進行操作復雜的分析。AWS IoT SiteWise 是一項托管服務，可輕松從大規模工業設備收集和組織數據。AWS IoT Events 幫助您檢測和響應來自 IoT 傳感器和應用程序的事件。AWS IoT Things Graph 是一項以可視方式輕松連接不同設備和 Web 服務以構建 IoT 應用程序的服務。A

24、WS IoT 服務“AWS IoT Device Defender 是我們實現并擴展高級別設備安全性和異常檢測最簡單、最迅速、最具成本效益的方式。它可以保護我們的客戶免受服務中斷的影響，并保護我們優質客戶服務的聲譽?！盤eter HuismanSolarNow 首席技術官13閱讀案例研究 14internet of thingsv分析師獎AWS 的 IoT 安全產品獲得了許多獎項，包括：AWS IoT Device Defender 榮獲 IoT 全球“最佳安全解決方案”獎 Frost&Sullivan 全球 IoT 平臺市場 增長創新領導雷達獎 IoT Eclipse 2019 IoT 開發

25、人員報告 第一 IoT 云平臺15internet of things結論 啟用（受保護的）物聯網現在，您已經更好地了解了云安全性和 IoT 安全性之間的共享關系，并且已經就這兩個方面獲得了行之有效的最佳實踐，是時候開始采取實際措施來保護設備、連接和數據了。立即訪問 AWS IoT 網頁以訪問指向有用資源、客戶成功案例以及特定用例指南的鏈接。開始使用 AWS 法律聲明本文檔僅出于提供信息的目的發布，不作為或暗示對設備、數據或任何其他所有資產的任何安全性或保護性措施的任何保證。AWS 建議您在執行本文檔中建議或詳述的任何操作之前，先咨詢組織內部和外部的安全專家。有關更多信息，請查看 AWS 服務條款 internet of thingsv15