物聯網設備可能是網絡安全的薄弱環節
企業在其業務中越來越多地使用物聯網設備并不是一件壞事。它們有助于提高員工的工作效率，優化有限的資源，甚至自動化完成一些繁瑣而平凡的任務。但其帶來的好處仍然不能消除物聯網設備對企業帶來的風險。
物聯網安全的誤區
隨著企業在其業務各個方面加強安全性，人員仍然是最薄弱的環節，并且他們很容易對物聯網網絡的安全性視而不見，因為它們是基于技術的。但是，使用可以更好地執行任務的遠程工具和設備代替物理任務并不總是完美的解決方案。
企業通常采用了一些物聯網設備，例如為辦公室部署更多物聯網設施，而需要檢查的鎖、鑰匙和安全攝像頭就越多。盡管這些設備設計支持網絡安全，例如筆記本電腦、平板電腦和桌面設備，但物聯網設備并不安全，企業不能依靠物聯網制造商提供的安全功能來保護，這需要進行更多的改變。
在過去幾年中，全球70%的組織和機構遭受了基于物聯網的網絡攻擊，其中典型的一個安全事件是一家賭場的數據庫被黑客從其魚缸溫度計入侵。這不是使用復雜的技術秘密訪問網絡的情況。這種方法相對簡單，因為溫度計是一種連接到互聯網和賭場內部網絡的物聯網設備。
除了經常使物聯網設備容易受到網絡攻擊的疏忽之外，它們在生產時通常是致力于提高生產力和便利性，并沒有首先考慮安全性。
(1)有限的計算能力
大多數物聯網設備最多只能完成一些任務。由于任務通常非常簡單且不需要大量計算能力，因此制造商不會特意加強其設備的容量以保持合理的價格。然而，適當的安全措施通常需要足夠的計算能力才能發揮作用。
(2)操作系統老舊和缺乏更新
由于物聯網設備所需的功能不會隨時間變化，因此大多數物聯網設備制造商不會持續向設備發送操作系統更新。這使他們容易受到各種網絡攻擊。
(3)物理安全性差
如果網絡攻擊者可以訪問物聯網設備，他們可以直接訪問其所在的網絡。與攜帶敏感文件和數據的員工筆記本電腦和平板電腦不同，物聯網設備通常并沒有受到嚴密的保護，并且安裝在偏遠地區且長時間無人監管。缺乏物理安全措施使設備面臨被篡改的高風險，并通過破壞設備或直接通過其端口安裝惡意軟件或間諜軟件。
(4)不安全的通信協議
大多數物聯網設備在設備本身、云計算服務和企業的主要網絡之間傳輸數據時不使用安全通信協議。例如，一些中間人(MITM)攻擊利用不安全的密鑰交換實踐來截獲和訪問傳輸期間的數據。
如何保護物聯網設備
盡管使用的物聯網設備有很多缺點，但并不一定意味著不能解決和克服。企業可以采用多種方法來保護物聯網設備，并最大程度地降低風險，其復雜性和重要性各不相同。
(1)更改密碼
密碼登錄與多重身份驗證似乎是顯而易見的第一步，但47%的IT人員在將物聯網設備連接到其內部網絡時不會更改它們的默認密碼和設置。應該在物聯網設備上使用適用于帳戶和設備密碼的相同規則：
- 每30到90天更改一次密碼。
- 在不同情況下在密碼中使用隨機字母、數字和符號的復雜組合。
- 使用雙因素或多因素身份驗證。
- 使用密碼管理器——或完全放棄書面密碼以進行無密碼登錄。
- 避免通過不安全的通信渠道在員工之間共享密碼。
(2)遠離開放的互聯網
物聯網設備只有在連接到更大的網絡或設備或云平臺時才能正常工作。但是，最好將物聯網設備嚴格連接到企業的內部網絡，而不是開放的互聯網。這是因為，根據NETSCOUT發布的威脅情報調查報告，物聯網設備在連接到互聯網后大約五分鐘就會受到網絡攻擊。
(3)對自動連接選項小心謹慎
在默認情況下，大多數物聯網和智能設備都有自動連接網絡的選項。這本身對普通人來說是一種安全風險，同時它可能會增加企業遭受物聯網網絡攻擊的風險。
大約三分之二的全球性公司發現1000多個公司或個人的物聯網設備連接到其內部網絡。與企業發布的物聯網服務不同，無法確保所有這些服務都對其安全性進行了必要的改進。
除了設置阻止未經授權的物聯網設備連接到網絡的障礙之外，還應考慮實施監控系統。企業可以使用它密切關注設備的所有健康狀況，并在出現異常情況(例如異常數據流)時提醒。
(4)禁用所有不必要的功能
大多數物聯網設備都啟用了許多默認設置，以提高便利性和生產力而不是安全性。將新的物聯網設備添加到網絡之后，需要檢查其設置和附加功能，并禁用任何不使用的功能。物聯網設備提供的任何類型的數據或附加服務都可能是潛在的安全漏洞。
(5)與以安全為導向的物聯網制造商合作
對于物聯網設備來說，軟件更新并不那么頻繁。當進行更新時，企業通常會專注于改進用戶界面或實現一兩個新功能。通過只從面向安全的制造商采購物聯網設備，還可以確保定期更新，其中包括安全更新以及已修復錯誤和漏洞的報告。
