针对企业物联网设备实施零信任安全的正确方法

研报总结

简介

随着数字化转型、云迁移和混合办公模式的兴起，传统网络边界安全模型面临挑战。物联网(IoT)设备的激增（预计到2030年设备数量将达1亿台，目前企业设备中30%为IoT设备）显著扩大了威胁面，因这些设备通常存在漏洞且难以修补，易受攻击。传统安全策略已无法有效应对，企业需转向零信任安全模型。

什么是零信任安全

零信任安全是一种战略性方法，通过消除隐式信任和持续验证数字交互的每个阶段来确保企业安全。其核心框架涵盖身份、设备/工作负载、访问和事务四个关键支柱，旨在保护所有用户、应用和基础架构。

针对物联网设备实施零信任的正确方法

企业应采用零信任框架保护物联网设备，主要面临三大挑战：

1. 难以发现和识别：传统端点安全方案无法发现无代理的物联网设备，基于签名的发现技术无法覆盖所有新型设备，导致“影子物联网”问题。
2. 难以验证身份、定义策略和细分：物联网设备通常不支持传统身份验证流程，手动分段策略耗时且复杂。
3. 难以持续评估：物联网设备常被排除在漏洞扫描程序之外，主动探测可能中断业务。

针对物联网设备实现零信任

Palo Alto Networks IoT Security通过三大支柱（设备/工作负载、访问、事务）实现物联网设备的零信任：

零信任原则一：设备/工作负载

1. 探索：使用机器学习和众包遥测技术发现和分类所有物联网设备，分析200个参数准确识别设备类型、供应商和型号。
2. 风险评估：基于威胁、漏洞和资产环境评估风险，分配四个风险级别（专属设备、设备配置文件、站点、企业），帮助快速识别漏洞。

零信任原则二：访问

1. 最低访问权限策略：通过机器学习自动生成推荐策略，限制物联网设备访问权限，无需手动配置，节省80%策略创建时间。
2. 网络分段策略：基于设备配置文件进行精细分段，隔离任务关键型设备，降低交叉感染风险。支持与NAC解决方案集成，弥补未托管设备的可视性盲点。
3. 策略实施：通过Palo Alto Networks新一代防火墙或NAC解决方案实施策略，Device-ID™技术可跟踪单一设备并动态更新策略。

零信任原则三：事务

1. 持续监控：基于机器学习建立设备行为基准，检测异常行为并优先处理，通过安全警报通知管理员，自动阻止违规设备访问。
2. 内置防御措施：集成IPS、恶意软件分析、Web和DNS防御技术，云交付安全服务协调情报防止威胁，动态隔离受感染设备。

在整个基础架构中实施零信任

企业需采用简化的IoT安全方法，结合零信任最佳实践，全面保护未托管物联网设备，提升整体安全态势。建议通过Palo Alto Networks IoT Security实现零信任框架的快速部署。