制造商越來越多地在他們的設(shè)備上增加連接，以利用互聯(lián)網(wǎng)所能提供的好處。近年來，不間斷電源(UPS)供應(yīng)商為UPS設(shè)備增加了物聯(lián)網(wǎng)功能，在電涌和停電期間提供電池備份電源。最近，美國(guó)網(wǎng)絡(luò)安全與基礎(chǔ)設(shè)施安全局(CISA)與美國(guó)能源部(Department of Energy)發(fā)布聯(lián)合警告，要求各機(jī)構(gòu)保護(hù)聯(lián)網(wǎng)UPS設(shè)備免受持續(xù)攻擊。在CISA最近發(fā)出的警告中，網(wǎng)絡(luò)犯罪分子通過未改變的默認(rèn)用戶名和密碼來攻擊這些聯(lián)網(wǎng)版本的UPS設(shè)備，以訪問它們所連接的網(wǎng)絡(luò)。如果攻擊者能夠遠(yuǎn)程接管UPS設(shè)備，他們就可以對(duì)企業(yè)的內(nèi)部網(wǎng)絡(luò)造成嚴(yán)重破壞，竊取數(shù)據(jù)，或者在更糟糕的情況下，切斷關(guān)鍵設(shè)備、設(shè)備或服務(wù)的電源。這里的問題是，物聯(lián)網(wǎng)設(shè)備經(jīng)常受到限制，在實(shí)施強(qiáng)大的安全策略時(shí)，制造商有時(shí)會(huì)做出權(quán)衡。通常，制造商使用出廠安裝的默認(rèn)憑證，這些憑證在安裝后需要更新。在這些情況下，如果通用密鑰在數(shù)百萬臺(tái)設(shè)備上使用，那么如果發(fā)現(xiàn)該憑據(jù)并用于利用具有相同身份驗(yàn)證的其他設(shè)備，就會(huì)出現(xiàn)單點(diǎn)故障。
我們?cè)诩彝ブ械奈锫?lián)網(wǎng)設(shè)備上也看到了類似的問題，黑客能夠利用保留默認(rèn)憑證的家庭路由器，因?yàn)橄M(fèi)者不知道或不更改默認(rèn)憑證。我們還看到被入侵的物聯(lián)網(wǎng)設(shè)備被用于DDoS攻擊，這種攻擊可以消耗服務(wù)器或后端資源，或者改變物聯(lián)網(wǎng)設(shè)備本身的預(yù)期行為。
使用連接的 UPS 設(shè)備的最佳安全實(shí)踐隨著制造商繼續(xù)采用與設(shè)備的連接，以獲得互聯(lián)網(wǎng)的好處，用于保護(hù)離線設(shè)備的傳統(tǒng)安全方法將不夠。以下是一些制造商應(yīng)該遵循的最佳安全實(shí)踐，以安全地使用連接的UPS設(shè)備。
調(diào)試設(shè)備后立即更改默認(rèn)密碼：連接的 UPS 設(shè)備中的漏洞通常是由于未能更新工廠安裝的默認(rèn)憑據(jù)造成的。具有出廠安裝默認(rèn)憑據(jù)的 UPS 設(shè)備必須在安裝后立即更新。在將設(shè)備重新部署到實(shí)際環(huán)境之前，管理員應(yīng)在新密碼中添加多層特殊和復(fù)雜的字符組合。實(shí)施多因素身份驗(yàn)證 (MFA)：需要強(qiáng)大的物聯(lián)網(wǎng)身份驗(yàn)證，以便可以信任連接的物聯(lián)網(wǎng)設(shè)備和機(jī)器，以防止來自未經(jīng)授權(quán)的用戶或設(shè)備的控制命令。身份驗(yàn)證還有助于防止攻擊者聲稱自己是物聯(lián)網(wǎng)設(shè)備，以期訪問服務(wù)器上的數(shù)據(jù)，例如記錄的對(duì)話、圖像和其他潛在的敏感信息。大多數(shù)物聯(lián)網(wǎng)設(shè)備都可以選擇啟用了雙重因素或多因素身份驗(yàn)證。這是一個(gè)兩步驗(yàn)證過程，涉及通過第二個(gè)設(shè)備（例如電話）驗(yàn)證您的身份。確保每臺(tái)設(shè)備都有唯一的憑證：發(fā)送受保護(hù)的數(shù)據(jù)是任何物聯(lián)網(wǎng)設(shè)備的基本功能。為了使此功能有效，用戶和制造商都需要相信他們收到的數(shù)據(jù)是真實(shí)的并且是為他們準(zhǔn)備的。隨著越來越多的連接 UPS 設(shè)備出現(xiàn)，每個(gè)設(shè)備都應(yīng)具有某種類型的唯一身份憑證以進(jìn)行識(shí)別。如果可以實(shí)施，使用非對(duì)稱證書是保護(hù)對(duì)部署在制造商或最終用戶網(wǎng)絡(luò)中的物聯(lián)網(wǎng)設(shè)備的訪問的一種非?？煽康姆椒?。許多物聯(lián)網(wǎng)設(shè)備使用對(duì)稱加密，其中使用單個(gè)密鑰來加密和解密數(shù)據(jù)。數(shù)據(jù)被加密的事實(shí)提供了一個(gè)安全的安全層，特別是與使用硬編碼或默認(rèn)密碼相比，但共享和存儲(chǔ)加密密鑰會(huì)產(chǎn)生風(fēng)險(xiǎn)。那是因?yàn)槿绻麗阂夥浇孬@了密鑰，它可以使用它來加密和解密數(shù)據(jù)。這意味著他們可以訪問整個(gè)系統(tǒng)并共享數(shù)據(jù)，甚至可以在制造商或最終用戶不知情的情況下通過操縱數(shù)據(jù)來充當(dāng)“中間人”。使用非對(duì)稱加密會(huì)生成唯一的公鑰和私鑰對(duì)。每個(gè)都有不同的用途（公鑰解密數(shù)據(jù)并可以公開共享，而私鑰加密數(shù)據(jù)，必須受到保護(hù)），并有助于解決其中的一些挑戰(zhàn)。利用基于證書的身份驗(yàn)證：如果 UPS 設(shè)備部署在可以利用額外安全層的網(wǎng)絡(luò)中，例如基于證書的身份驗(yàn)證——它在授予網(wǎng)絡(luò)訪問權(quán)限之前使用數(shù)字證書來識(shí)別用戶、機(jī)器或設(shè)備– 這將在設(shè)備的內(nèi)置安全策略之上提供更強(qiáng)大的安全態(tài)勢(shì)。公鑰基礎(chǔ)設(shè)施 (PKI) 管理數(shù)字證書的頒發(fā)，以為設(shè)備提供唯一的數(shù)字身份，并由維護(hù)受信任根證書列表的服務(wù)器和設(shè)備的樹狀結(jié)構(gòu)組成。使用基于證書的身份驗(yàn)證，數(shù)字證書通常排列在證書鏈中，其中每個(gè)證書都由另一個(gè)受信任證書的私鑰簽名，并且該鏈必須返回到全局受信任的根證書。這種安排建立了從受信任的根證書頒發(fā)機(jī)構(gòu)到通過每個(gè)中間證書頒發(fā)機(jī)構(gòu)安裝在設(shè)備上的最終實(shí)體“葉”證書的委托信任鏈。持續(xù)監(jiān)控證書和密鑰：強(qiáng)大的安全性歸結(jié)為實(shí)施。確保正確部署和持續(xù)監(jiān)控作為信任根的密鑰對(duì)、數(shù)字證書和 PKI 至關(guān)重要。這是因?yàn)槿魏戊o態(tài)系統(tǒng)本質(zhì)上都是不安全的。如果沒有持續(xù)的生命周期管理，使用中的數(shù)字證書、密鑰對(duì)和信任根將隨著時(shí)間的推移而減弱。正確的生命周期管理應(yīng)首先映射每臺(tái)設(shè)備，以便擁有所有使用中的唯一身份和身份驗(yàn)證的準(zhǔn)確清單。有了完整的清單，制造商就可以監(jiān)控所有證書和密鑰，以識(shí)別任何潛在威脅并進(jìn)行相應(yīng)調(diào)整。當(dāng)設(shè)備不再使用時(shí)，應(yīng)撤銷相關(guān)證書和密鑰。物聯(lián)網(wǎng)設(shè)備具有很大的積極變化潛力。但它們連接物體和共享信息的能力也使它們非常脆弱。那是因?yàn)榇嬖诘拿總€(gè)連接點(diǎn)都有被黑客入侵的風(fēng)險(xiǎn)。優(yōu)先考慮物聯(lián)網(wǎng)設(shè)備安全的制造商將繼續(xù)將創(chuàng)新設(shè)備推向市場(chǎng)，所有設(shè)備都具有必要的安全級(jí)別，以與客戶建立信任并防止破壞性網(wǎng)絡(luò)攻擊。
- 萬通發(fā)展：終止收購(gòu)索爾思光電60.16%股份
- 聯(lián)特科技預(yù)計(jì)2024年凈利潤(rùn)同比增長(zhǎng)220.96%—334.25%
- 有方科技預(yù)計(jì)2024年凈利潤(rùn)同比增長(zhǎng)365.41%
- 800G和400G高端光模塊銷售大增 中際旭創(chuàng)2024年凈利潤(rùn)增長(zhǎng)111.64%—166.85%
- 亞信安全：預(yù)計(jì)2024年實(shí)現(xiàn)扭虧為盈
- Arm發(fā)布芯粒系統(tǒng)架構(gòu)首個(gè)公開規(guī)范，加速芯片技術(shù)演進(jìn)
- 中國(guó)鐵塔擬新購(gòu)一套應(yīng)急無人直升機(jī)空中基站
- 427780臺(tái) 中國(guó)鐵塔啟動(dòng)智能維護(hù)攝像機(jī)產(chǎn)品集中招標(biāo)
- 規(guī)模267904臺(tái) 中國(guó)鐵塔啟動(dòng)2025年自研邊緣網(wǎng)關(guān)合作伙伴招標(biāo)
- 國(guó)家數(shù)據(jù)局聲明：未授權(quán)任何“數(shù)據(jù)要素×”相關(guān)有償活動(dòng)
免責(zé)聲明：本網(wǎng)站內(nèi)容主要來自原創(chuàng)、合作伙伴供稿和第三方自媒體作者投稿，凡在本網(wǎng)站出現(xiàn)的信息，均僅供參考。本網(wǎng)站將盡力確保所提供信息的準(zhǔn)確性及可靠性，但不保證有關(guān)資料的準(zhǔn)確性及可靠性，讀者在使用前請(qǐng)進(jìn)一步核實(shí)，并對(duì)任何自主決定的行為負(fù)責(zé)。本網(wǎng)站對(duì)有關(guān)資料所引致的錯(cuò)誤、不確或遺漏，概不負(fù)任何法律責(zé)任。任何單位或個(gè)人認(rèn)為本網(wǎng)站中的網(wǎng)頁(yè)或鏈接內(nèi)容可能涉嫌侵犯其知識(shí)產(chǎn)權(quán)或存在不實(shí)內(nèi)容時(shí)，應(yīng)及時(shí)向本網(wǎng)站提出書面權(quán)利通知或不實(shí)情況說明，并提供身份證明、權(quán)屬證明及詳細(xì)侵權(quán)或不實(shí)情況證明。本網(wǎng)站在收到上述法律文件后，將會(huì)依法盡快聯(lián)系相關(guān)文章源頭核實(shí)，溝通刪除相關(guān)內(nèi)容或斷開相關(guān)鏈接。
