3.IOT漏洞管理

在IoT环境的另一大挑战是，弄清楚如何快速修复IoT设备漏洞以及如何优先排序漏洞修复工作。

由于大多数IoT设备需要固件升级来修复漏洞，远程完成修复工作将变得复杂。例如，如果打印机需要固件升级，IT部门不太可能像在服务器或桌面系统那样快速地安装补丁;升级自定义固件通常需要额外的时间和精力。

同样具有挑战性的是，如何处理IoT设备首次使用时提供的默认登录凭证。通常情况下，无线接入点或打印机等设备会使用已知的管理员ID和密码。 此外，设备可能提供一个内置web服务器，允许管理员远程连接、登录和管理设备。然而，这是一个巨大的漏洞，可能让IoT设备落入攻击者的手中。对于这个 问题，企业需要制定严格的调试过程，还需要创造一个开发环境来测试和扫描设备的初始配置，以发现其中的漏洞，并在设备转移到生产环境之前解决这些问题。同 时，这还需要合规团队来确认设备已经可用于生产环境，定期测试安全控制，并确保密切监测和控制对设备的任何更改，还有及时解决任何发现的操作漏洞。

4.确定和部署安全控制

在IT世界，冗余性是关键;如果一个产品故障了，另一个产品应该能够接替它。分层安全概念的工作原理与之类似，但这取决于企业如何分层安全和冗 余性来管理IoT风险。例如，在医疗保健行业，医疗设备不仅可以监控病人的健康状态，还能够基于设备执行的分析来配药。我们也不难想象到，如果这些设备遭 受攻击，后果将多么严重。

企业所面临的挑战在于，对于这些新兴的联网设备，哪些位置需要安全控制，以及如何部署有效地控制。鉴于这些设备的多样性，企业将需要进行自定义 风险评估，以发现有哪些风险以及如何控制这些风险，这种风险评估通常需要依赖于第三方的专业技术。这里一个有趣的例子是，前副总统Dick Cheney因担心恐怖分子会入侵他体内植入的医用心脏除颤器实施致命电击，而关闭了该除颤器的远程连接功能。遗憾的是，大多数企业无法让这些设备离线。 在所有情况下，拥抱IoT趋势的企业必须定义自己的信息安全控制来确保对IoT的可接受的充分的保护。随着这种趋势的日趋成熟，行业专业人士肯定会开发出 最佳做法。

5.满足对安全分析功能的需求

对于连接到互联网的各种新的Wi-Fi设备，企业将需要收集、汇总、处理和分析海量数据。虽然企业会在这些数据中发现新的商业机会，但这也意味着新的风险。

企业必须能够识别IoT设备上的合法和恶意流量模式。例如，如果企业试图下载看似合法的应用到其智能手机，而其实该应用包含恶意软件，企业最好 部署可操作的威胁智能措施来发现这种威胁。最佳分析工具和算法不仅能够检测恶意活动，而且还能够提高客户的支持力度，以及改进提供给客户的服务。

为了迎接这些挑战，企业必须构建正确的工作和流程以提供足够的安全分析功能。

6.模块化硬件和软件组件

在IoT的各个方面都应该考虑和部署安全性，从而更好地控制联网设备的部件和模块。企业还应该预计到，攻击者会试图破坏IoT设备的供应链，植 入恶意代码和其他漏洞，并在设备部署在企业环境后利用它们发动攻击。企业可能还有必要为IoT设备采用Forrester Zero Trust等安全模型。

如果可能的话，企业还应该隔离这些设备到其自身的网段或vLAN。此外，微内核或管理程序等技术可与嵌入式系统结合使用，以在安全泄露事故中隔离系统。