针对 IoT 设备实施零信任的正确方法

简介

企业面临数字化转型、云迁移和混合办公趋势，导致传统网络边界失效，物联网设备激增带来安全挑战。根据Palo Alto Networks Unit 42 2020物联网威胁报告，2020年物联网设备占企业设备的30%，预计到2030年CAGR增长约13%。物联网设备漏洞、难以修补和缺乏安全控制，导致企业需转向零信任方法。

什么是零信任安全

零信任是一种网络安全战略性方法，通过消除隐式信任和持续验证数字交互的每个阶段来确保企业安全。零信任框架涵盖身份、设备/工作负载、访问和事务四大支柱，旨在保护所有用户、应用和基础架构。

针对物联网设备实施零信任的正确方法

企业应采用零信任框架保护物联网设备，但现有解决方案存在挑战，如难以发现和识别、验证身份、定义策略和细分、持续评估以及解决方案安全性不足。

针对物联网设备实施零信任的挑战

1. 难以发现和识别：传统端点安全解决方案无法发现物联网设备，基于签名的发现技术无法覆盖所有设备，导致影子物联网。
2. 难以验证身份、定义策略和细分：物联网设备不支持传统身份验证流程，分段策略创建手动且耗时，缺乏可视性。
3. 难以持续评估：物联网设备不在漏洞扫描范围内，主动探测可能导致网络中断。
4. 物联网安全解决方案缺少安全性：现有解决方案缺乏情报和内置防御措施，策略制定手动且易出错。

针对物联网设备实现零信任

Palo Alto Networks IoT Security基于设备/工作负载、访问和事务三大支柱，通过以下原则实现零信任：

零信任原则一：设备/工作负载

1. 识别所有设备：使用机器学习和深度数据包检测发现和分类物联网设备，分析200个参数确定设备属性。
2. 风险评估：基于威胁、漏洞和资产环境评估风险，分配四个风险级别（专属设备、设备配置文件、站点、企业）。

零信任原则二：访问

1. 最低访问权限策略：通过机器学习确定正常行为模式，自动提供降低风险的策略，无需手动流程。
2. 网络分段策略：基于设备配置文件进行精细分段，降低交叉感染风险。支持新一代防火墙和NAC集成。
3. 策略实施：通过新一代防火墙或NAC集成实施推荐策略，Device-ID™技术跟踪设备并提供详细情境信息。

零信任原则三：事务

1. 持续监控：基于机器学习确定设备身份，建立正常行为基准，监控异常行为并触发警报。
2. 内置防御措施：通过IPS、恶意软件分析等技术阻止威胁，云交付安全服务协调情报，动态隔离受威胁设备。

在整个基础架构中实施零信任

企业需采用简化版IoT安全方法，结合零信任最佳实践，保护未托管物联网设备。建议使用Palo Alto Networks IoT Security实现自动化和智能化管理。