为保障安全而让渡物联网控制权

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

我想可以肯定地说，科技总能让我们感到欣喜。只需引入科技，平凡之事便会变得神奇。当然，新鲜感终会逐渐消退，但到那时，又会有其他任务可以通过设备或手机来控制，于是这个循环再次开始。

现实情况是，大多数人并不会像IT部门管理系统那样管理自己（数量日益增多）的设备。即使IT人员也不例外。还记得那项Tripwire调查吗？调查发现，“30%的IT专业人员和46%的受访员工甚至不会更改无线路由器的默认密码”。这一比例略高于另一项研究的发现：在遵循基本安全建议方面，“40%的美国人表示，他们太懒、觉得太麻烦，或者根本不在乎……”5

因此，在安全专业人士的不断督促和行业媒体的频频批评下，至少面向消费者的IoT制造商似乎正在加大安全投入，这并不令人意外。只需勾选复选框，即可定期向联网设备推送自动更新、补丁和热修复程序。

至少，消费者正将控制权交给那些承诺保护其设备免受攻击的制造商。

以上说的是消费级领域。到目前为止，即使涉及IoT设备，企业似乎也不会允许这种行为。在可预见的未来，企业无疑仍会继续掌控此类事项。毕竟，一次失败的更新可能会在数据中心内造成相当广泛的影响。

但这种方法无法扩展。根据我们自己的研究以及对Shodan.io的观察，我们非常清楚，相当大比例的IoT设备位于组织内部，不仅暴露在互联网上，还存在漏洞。

如果这些设备存在漏洞，就意味着应该有（也许已经有？）可用的补丁。但如果这两点都成立，可供招募为物联网僵尸设备的设备不是应该更少吗？

IDC两年前的一项研究显示，普通IT员工每周有20.7%的时间用于补丁、更新和安装。即使采用自动化，他们似乎也无法扩展管理能力，以应对未来两年预计将翻倍的设备数量（从目前的9,259台增至18,631台）。

那么，企业该如何应对？

我们必须回答的问题是：是否应鼓励制造商更进一步，自动更新位于企业内部的设备？如果不考虑补丁疲劳和人员不足可能导致这些补丁根本无法应用，就责怪制造商，未免有失公允。正如Tripwire的一项有趣研究所指出的：“2015年，新分配的CVE超过6,000个。即使其中只有十分之一的漏洞影响到您负责范围内的设备，您每年也需要修复630个漏洞，相当于每个工作日修复2.5个漏洞。”

需要处理的漏洞可真不少，相应的补丁数量也同样庞大。

遗憾的是，补丁发布并不意味着会立即应用。正如Tripwire调查所指出的：“影响补丁部署所需时间的一个关键因素是测试。调查询问受访者是否会在部署前测试补丁，47%的受访者表示会测试桌面设备补丁，55%的受访者表示会测试服务器补丁。”深入了解安全补丁实际投入生产环境所需的时间后，会发现一些令人担忧的数据。具体而言，93%的受访者能在不到1个月内完成安全补丁的测试和部署。

考虑到典型的中大型企业需要应对大量系统及其相应的漏洞，这样的表现相当不错。

但不妨想一想，当时公布的CVE-2017-8225影响了一家中国IP摄像头制造商。不到两个月，该制造商生产的60多万台摄像头便感染了Persirai。这相当于每天有1万台设备感染。因此，一个月的时间实在太长了。而这还只是一个漏洞。

随着越来越多的传感器、监控设备以及各种未知设备接入企业环境，这些设备通常可被访问且容易受到攻击，IT部门该如何跟上形势？ 即使 借助自动化，IT部门就能跟上吗？

所以，我真正想问的是：您愿意吗？如果制造商愿意承担更多责任，维护其设备的安全性，您是否愿意放弃对IoT设备的控制权？（我知道这个前提很难成立，但不妨设想一下，以便进一步探讨。）

您可以在此回答这个问题（并查看同行的看法）。欢迎畅所欲言！

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章