聯網設備與時俱增，除了帶給人們更先進的科技與生活，連帶地也增加前所未見的安全風險，據此，維護網路設備安全勢在必行。使用者需辨別網路攻擊者及其動機，進一步建立安全機制，以維護軟硬體/韌體安全。
如今，物聯網設備正在加速部署，這意謂著攻擊者的攻擊表面越來越大。隨著住宅變得愈發智慧、車輛實現聯網，工廠的自動化水準愈發提升，人們對安保性、安全性以及可靠性的需求達到前所未有的高度。隨著這些設備逐漸深入人們的生活，讓使用者維持對這些設備的信心也變得十分必要。對此，行動網路業者或電信營運商是關鍵—是他們與外界連接。那麼，他們怎樣才能發揮好守衛職責，保護用戶免遭威脅呢？
網路設備安全防護支援物聯網基礎設施
一次又一次的記錄不斷向人們強調，安全是物聯網客戶最為關注的問題(圖1)。而這一點隨著近幾年物聯網攻擊的愈發普遍，而變得令人信服—比如Mirai惡意軟體，它透過攻擊路由器和其它物聯網設備，使之淪為僵屍網路。如今，行動電信營運商正尋求從商業化的基本聯網服務向加值服務擴展，因此在聯網設備中實現良好的物聯網安全性，可為他們帶來創收機會。
圖1 安全方面最引人關注的問題
讓基礎設施的核心具有良好的安全性，不僅有助於避免再次出現Mirai，還能夠減少後續的任何損害賠償責任。假如電信營運商的網路被用作進一步攻擊的發射台，則營運商可能因為疏忽而未能保護基礎設施，被提起訴訟。實際上，網路中斷是可以避免的。
誰是攻擊者？
為了明白該如何保護物聯網，人們需要瞭解誰是攻擊者以及他們的動機是什麼。動機通常分為三種：
第一個是出於好玩和吹噓自己—就像是那些在牆上塗鴉的孩子，雖然煩人，但比較容易對付。
第二個是犯罪性質的—出於金錢目的。Mirai就是一個典型的例子，據報導，那些透過感染路由器來形成僵屍網路的攻擊者，會將僵屍網路租賃出去，進而實現分布式拒絕服務攻擊的目的。網路罪犯通常身處沒有與西方國家簽定引渡條約的國家。
第三個動機與政治或國家相關。有時，發動攻擊的就是這些真實的國家，但一般情況下，是這些國家的附隨組織。據報導，美國大選和烏克蘭電網所遭遇的攻擊就是懷有政治動機的人員所發動的，如果讀者是最終的攻擊接收方，那麼這些攻擊究竟是由一個國家發起的還是由其「愛國」人士發起的，其實並不重要。因為攻擊者可能同時為這個國家和國有企業效力，因此二者的界限通常較為模糊。
保護網路設備所面臨的挑戰
電信和行動網路業者需要適當地應對網路安全問題，來保持網路的可靠性與安全性，維護用戶的信任。
由於客戶依賴營運商的網路，來實現串流媒體、進行工作，乃至利用網路來導航自動駕駛汽車，因此網路可靠性對營運商而言至關重要。一旦可靠性欠佳，他們便會受到威脅、遭受客戶流失以及受到業務損失。由於電信是一個競爭非常激烈的業務，因此設備必須安全可靠。
行動和電信營運商面臨的最大的挑戰為技術方面。大多數網路設備的設計初衷，並非是在現今的危險環境下運行。而如今的攻擊十分複雜，比如利用路由器和韌體攻擊中發現的零日漏洞等。物聯網設備面臨著相似的問題。既有設備當初沒有考慮到聯網，而現在卻聯網了。哪怕是最初設計時具備聯網功能的設備，現在也面臨著超出預期的威脅。攻擊者正在不斷提高自己的能力水準，防禦者也不能落後。
物聯網問題
以前用來連接電信網路的設備只有電話和手機。而現在，除了聯網電話，行動網路還有很多聯網設備。事實上，聯網物品的數量遠超過聯網的人員數。而這些聯網物品，比如路燈、聯網汽車或自動販賣機又面臨著不同的難題。
在過去，營運商關心消費者及其使用手機的目的，而一台自動販賣機可能需要在現場使用數十年，遭受愈發複雜的攻擊。這些易受攻擊的設備會給其它物聯網設備以及網路本身帶來巨大的威脅。
對症下藥
網路營運商如何應對惡意軟體和攻擊難題呢？從根本上而言，有三個選擇：保護設備、保護網路和保護伺服器。如果能夠保護設備，那麼就能保護它免遭感染，並阻止感染四處蔓延。可將此視為接種預防感染的疫苗。
但有時，保護設備並不實際。因為現場可能會有一些老舊設備。尤其是那些還在運行Windows XP或WindowsNT、DOS或專門作業系統的工業網路。同時，對一些尚未折舊攤提完畢的設備進行升級也不太切合實際。在家裡，使用者有時都沒有意識到哪台設備正在聯網，更別提讓他們對各個設備進行保護了。
這時，就需要考慮另外兩個方法了。若要保護網路安全，就需要一個安全閘道。這適用於營運商和電信網路營運商，他們可以將安全閘道月租出去，來保護設備免遭外部入侵。
聯網設備的數量正在不斷急速成長。一旦有設備遭到感染，網路便會被通訊流量所淹沒。以Mirai為例，通訊流量超過了600Mbps。它不僅僅會干擾網路路由器，還會感染IT聯網攝影機。近期爆發的網路問題可不止Mirai一個。另一個是「櫻花盛開(Cherry Blossom)」工具，據報導，它由CIA開發，旨在感染包含十大製造商在內的網路路由器。它會透過路由器擴散，進而嚴重影響電話和流量受到監控的消費者，也可能對網路營運商帶來嚴重影響，即源源不斷、且愈發複雜的攻擊。
儘管無法實現徹底的安全性，但安全閘道已經是當前保護網路安全最佳的方式了。這些閘道可以從防火牆開始，然後透過逐漸升級，來獲得入侵偵測和其它功能。只要安全閘道到位，哪怕有物聯網設備被感染，也能阻止它蔓延到其他設備。
第三個選項是保護雲端和伺服器的安全性。這裡用到的是人工智慧和大數據等技術，用於觀察行為模式。首先，觀察安全網路，然後培訓設備，使之能夠發現異常，比如突然開始的異常流量、流量導回已知的惡意行為者，或發現流量模式或流量的實際內容具有攻擊特徵。一旦發現這些模式，便能採取相關措施，比如關閉存在惡意流量的連接埠，或禁用似乎正在影響其它端點的特定端點。雲端安全透過診斷這些級別的問題，並提供修復方法，來增強設備和網路的安全性(圖2)。
圖2 阻止軟體攻擊
既然已經有了設備、網路和伺服器這三層安全性，為什麼還需要硬體安全呢？如果沒有硬體，人們就只能依賴軟體。遺憾的是，軟體有漏洞，有些漏洞容易遭受攻擊。根據Capers Jones等研究家的多年研究表明，商業軟體平均每個功能點，或者說是每千行代碼都有5個漏洞。哪怕是在航空業，每個功能點依然有一到兩個漏洞。由此可見，哪怕是最嚴格的測試和設計工作，也難以實現零漏洞程式。因此在物聯網設備實現零漏洞的概率相當小。而有了硬體，便能提高安全水準：安全性經過獨立評估並經過驗證，能夠提供當前最佳的安全性並抵禦多年攻擊，在某些情況下甚至可以抵禦數十年攻擊的安全性(圖3)。這便是智慧卡、硬體密碼器和其它安全攸關的領域所採用的安全性。
圖3 阻止韌體和硬體攻擊
它能夠保護金鑰、協定和通訊協定等極為重要的資訊。硬體安全為設備保護奠定了基礎，能夠保護其免遭攻擊者偽冒、向通訊流注入惡意消息，乃至危害路由器、交換機或安全閘道等安全攸關設備。
網路設備面臨著一個特殊挑戰，即應當盡可能地避免當機。事實上，許多營運商情願讓設備保持運轉，也不願意停機讓製造商來安裝安全更新。這意謂著這些網路設備可能在更新方面已經過時。這個問題蟄伏在資料中心和營運商機房中，也是保護聯網設備安全性十分具有挑戰性、以及將硬體安全劃為另一道防線十分重要的原因。
網路是提高安全性的關鍵
考慮到諸多老舊設備仍將繼續運行20年，人們不可能依靠物聯網設備來保護它們，對此，網路便在維持安全性方面發揮著核心作用。
網路安全可阻止大多數的攻擊，但它需要堅實的防火牆、交換機和路由器基礎，這三者大多在安全性方面發揮著關鍵作用。
在設備身分識別等用例、以及零接觸配置或遠端軟體完整性管理等更為複雜的領域中，晶片上安全十分重要。
第一個用例是設備身分識別，即有信心自己正在與正確的設備對話；這在保護聯網設備方面至關重要。
第二個用例是安全通訊，即能與聯網設備通訊，毋需擔心有人劫持對話或查看往來資料。
最後是安全更新軟體和硬體。儘管保持聯網電腦更新來防禦攻擊十分重要，但聯網設備卻不常更新。這些更新必須被推送到各個設備，然後以安全的方式進行更新，否則攻擊者就會推送他們自己的「更新」，導致設備有隙可乘。因此，需要為聯網設備和物聯網應用創建一個安全的軟體和硬體更新機制，這也是晶片上安全所能提供的內容。
聯網設備需建置安全防護機制
每一天，設備及其它端點的攻擊都在變得更加頻繁和複雜。讓聯網設備具備良好的安全性是保護基礎設施的關鍵(圖4)。網路設備製造商需要相應地提高自己來迎戰更大的威脅。
圖4 聯網設備：網際網路世界的神經系統
憑藉良好的安全性，行動和電信營運商可以協助客戶保護物聯網設備免遭當下的威脅。這意謂著他們將能給客戶提供加值服務，比如為住宅和商業客戶提供安全閘道。
一旦安全性得到適當落實，便能帶來紅利。高度的網路安全性將能幫助使用者的公司樹立信任感，進而在企業與客戶之間實現卓有成效的持久關係。
(本文作者任職於英飛凌)