工业物联网与网络安全
简介
近年来，支持联网的设备数量显著增加。随时随地接入网络，让各种物品实现联网成为可能，从重要的健康监测设备和自动驾驶车辆，到恒温器、健身追踪器，甚至水瓶。新型物联网（IoT）设备的快速涌现才刚刚开始。
天然气管道沿线的传感器。植入皮下的血糖监测仪。安防和监控系统。车辆、货物和包裹追踪。智能设备彼此通信并与我们互动的世界已经成为现实。物联网（IoT）以及制造、医疗、交通运输等众多行业中聚焦垂直领域的工业物联网（IIoT），其影响力正不断扩大。然而，要从IoT和IIoT中获得商业回报，取决于我们能否设计并构建网络基础设施，以有效管理并保护随着越来越多设备接入IIoT而产生的海量数据。
无论是服务提供商还是企业IT部门，您很可能已经需要应对随着物联网和工业物联网发展而激增的联网设备、应用和数据。正如“自带设备”改变了工作场所和企业移动办公，并提高了用户对更快速、更可靠地访问应用的期望一样，物联网也将影响我们日常生活的方方面面。
在一些行业中，积极创新的企业已开始利用工业物联网（IIoT）改善客户服务、提高现场资产利用率、减少生产和运输延误等。借助IIoT解决方案，业务运营和制造部门的负责人日益依赖物联网设备生成的数据，并由日趋智能的系统根据这些数据采取行动。这些系统每天可做出数百万次决策。因此，IIoT有助于催生新的业务模式，并推动企业重新关注生产力、敏捷性、效率和安全等关键因素。
设备越多，威胁越多
然而，IIoT的发展也确实带来了一系列挑战，包括设备、数据和物理基础设施面临的威胁；尚未得到验证的法规和定义不明确的标准；以及实施不当的隐私、加密和身份验证策略。这些问题以及其他诸多问题在很大程度上仍未得到解决，而早期迹象表明，IIoT可能会在之前稳健的解决方案全面建立。
这些问题与近期围绕云计算出现的问题并无太大不同。在这种情况下，消费类设备成为关注重点，服务提供商必须探索新的方法，为自身及其客户提高运营效率并改善基础设施管理。要充分利用这股强大力量，挑战不仅在于管理融合物理实体和虚拟实体、产生海量数据的分布式基础设施；组织还必须理解这些数据，才能确定流量的优先级并优化应用架构本身。
物联网市场的规模和新设备数量的增长很可能超出以往水平。这些设备及其支撑生态系统一旦发生故障，后果可能只是带来不便，也可能严重削弱用户的防护能力，例如发生以用户支付信息为目标的安全漏洞。因此，需要高度重视底层网络基础设施，以便连接、管理、监控这些设备并实现其商业价值，同时安全传输相关数据。
物联网设备如何连接
从定义上看，物联网是指通过互联网连接现实世界中的传感器和执行器的一系列设备和系统。但实际上，物联网涵盖多种不同类型的系统，包括：
- 智能手机和平板电脑，尤其是用于控制远程设备或系统时
- 智能仪表（用于水、电等公用事业）和智能物体
- 可穿戴设备，包括服装、医疗植入物、智能手表和健身设备
- 联网汽车
- 资产跟踪与管理
- 家庭自动化系统，包括恒温器、照明和家庭安防系统
- 用于测量天气、交通、海洋潮汐、道路信号等的传感器
- 互联制造组件，包括卡车和装配线传感器、机器人、仪表等。
在各类IIoT系统中，连接通常分为M2M（机器对机器）或M2P（机器对人员）。在这两种情况下，这些系统不仅采用传统设备的通信方式连接到互联网或网关，还支持更多连接方式，包括使用IP协议（TCP/UDP，包括蜂窝网络）的远距离Wi-Fi/以太网、短距离低功耗蓝牙、短距离近场通信（NFC），以及其他类型的中距离无线网络，包括点对点无线链路和串行线路。
在这些连接方式中，一些设备通过IPv4/IPv6等标准IP协议进行连接，另一些设备则需要专为IIoT构建、更专业且针对特定数据的协议。消息队列遥测传输协议（MQTT）和高级消息队列协议（AMQP）等协议不使用HTTP，但仍基于TCP/IP；而受限应用协议（CoAP）等其他协议则通过专门针对M2M通信优化HTTP的一个子集，力求尽可能降低HTTP带来的影响。
MQTT是常用协议之一，广泛应用于各种现代工业物联网（IIoT）解决方案。这种发布/订阅消息传递协议最初由IBM开发，专为轻量级机器对机器（M2M）通信而设计，现已成为开放标准。在发布/订阅系统中，信息提供者（发布者）不会直接连接到信息的各个使用者（订阅者）。发布者与订阅者之间的交互由网关或接收器（称为代理）控制。这样，设备便可向MQ代理发送一条很短的消息，再由代理将该信息传递给其他设备。在此模型中，客户端（例如执行器）订阅不同的主题；当消息发布到相应主题时，客户端会收到该消息的副本（见图1）。
如您所见，此模型支持MQTT客户端通过代理进行一对一、一对多和多对一通信。客户端可以是从简单开关到智能手机应用的各种设备和应用。例如，对于联网的仓库恒温器，现场管理员可通过移动应用，使用站点TCP/IP网络上的MQTT与恒温器通信，包括发送指令以及接收实时和历史温度读数。（有关MQTT的更多技术分析，请参阅“F5 BIG-IP在物联网环境中的MQTT协议支持和用例”。）
没有任何一种架构能够满足所有潜在IIoT设备及其要求。因此，服务提供商和企业IT组织部署可扩展架构至关重要。这类架构可根据需要增减资源，以支持当前及未来的各种场景。
工业物联网的影响与效应
对于联网设备的数量及其传输的数据量，各方估算不一，但毫无疑问，这些数字将十分庞大：
- 据Business Insider预测，到2020年，联网设备数量将达到340亿台。其中，物联网设备将占240亿台，传统计算设备（例如智能手机、平板电脑和智能手表等）将达到100亿台。
- 据Cisco报告，到2020年，全球IP网络将支持263亿台设备和连接。这相当于人均拥有3.4台设备和连接。
- 据Cisco预测，到2020年，M2M连接数预计将达到122亿（占所有联网设备的一半）；其中，近一半的M2M连接将来自联网家居设备。
- IDC预测，到2025年，全球物联网端点数量可能将超过800亿个。
随着运行所有这些设备所需的应用日益增多，规模和可靠性等传统基础设施问题将变得愈发关键。此外，身份和访问管理、改善最终用户或订阅者体验，以及加快服务配置等方面的挑战，可能会让IT部门不堪重负。显然，全球需要强大、可扩展的智能基础设施，以应对不久后即将出现的流量大幅增长。
全层级安全防护
近期发生的攻击表明，物联网可能会给整个系统带来漏洞，使安全保障工作面临前所未有的挑战，也变得比以往更加重要。2016年，KrebsOnSecurity遭到Mirai发起的DDoS攻击，攻击流量达到当时创纪录的每秒620吉比特。这或许是物联网安全缺陷最广为人知的案例。Mirai是一个由数千台不同的路由器、摄像头及其他物联网设备组成的僵尸网络。数月后，一个与之竞争但恶意程度低得多的僵尸网络Hajime感染了至少10,000台设备，并向受感染设备发送命令和更新，以保护这些设备免受Mirai等僵尸网络的攻击。尽管这些有充分记录的攻击主要针对闭路电视摄像头和消费类技术产品等安全防护薄弱的设备，但其对工业物联网的影响不容忽视。类似攻击即使规模较小，一旦侵入正在运行的工业物联网环境，也可能造成非常严重的影响。（如需详细了解物联网领域不断演变的威胁，请下载完整的F5 Labs威胁分析报告。）
在这种威胁环境中，要领先于攻击者并尽可能降低风险，无疑需要投入大量资源。服务提供商和企业IT组织都需要持续强化自身基础设施，并借助DDoS缓解等云服务来减轻攻击影响。为实现可靠的安全防护、智能路由和分析，多个网络层必须能够识别设备使用的协议。网络能够理解这些协议，才能相应地保护流量、确定流量优先级并进行路由（见图2）。
为未来做好准备：工业物联网与您的网络
归根结底，要确保IIoT服务的高可用性，离不开强大的自动化、管理和编排能力。完善的网络管理必须为业务连续性提供支撑，以降低风险并避免潜在损失。从项目规划的角度来看，监控能力可帮助组织掌握网络增长情况并快速分配资源，对于满足IIoT设备日益增长的需求至关重要。
发布于2017年7月21日