用户急于部署数据和服务而忽略了安全，因而边缘计算正快速成为网络安全新“前线”。巡逻边缘，护卫安全，你准备好了吗?
2017年，一家赌场酒店大堂鱼缸里的温度计被黑，攻击者以此渗透进赌场网络，将其“豪赌客”数据库传到了云端。
2018年5月，通过路由器、监视摄像头、数字录像机等IoT设备发起的拒绝服务攻击让某公司网站掉线四天。
IT部门不可避免地担负着维护企业安全的责任，这两起案例充分阐明了为什么IT部门越来越头疼边缘安全问题。随着越来越多的计算机以IoT设备、机器人和其他用在远程设施及用户环境的本地化系统及网络的形式被部署在企业边缘，IT部门的安全防护工作也越来越难做了。在这一全新的边缘计算环境中，有太多IT策略和安全问题需要处理和解决。
那么，关于边缘安全策略，有哪些重大漏洞领域需要加以关注，企业IT部门又该如何应对呢?
1. 遍布各处的资产
只要负责资产管理，全公司所有的IT资产就都是你的责任，无论这些资产来自公司IT还是终端用户。但凡有所疏漏，黑客便可乘隙而入。
但随着非IT人员越来越多地参与到边缘网络的部署与管理工作中，出现漏洞的风险也就越来越大。非IT人员在企业边缘部署和管理网络的做法会形成“孤岛效应”——IT部门之类中央安全机构不再拥有对所有设备和网络的可见性。
某案例中，酒店业某公司的IT部门甚至都没注意到该公司新安装了400台智能微波炉。如果这些微波炉结成的物联网络遭到拒绝服务攻击，弄不熟牛排的损失，让顾客失望的损失，会有多大呢?
边缘计算扩张的原因之一，是其部署从IT部门迁移到了终端业务部门。新一代雇员只求能在公司边缘就把工作任务完成，于是他们更惯于无视IT，忽视需保护自身部署的系统和IoT设备安全的责任。
因此，在IT采购决策中，全球90%的CIO如今有时候会被业务用户绕过，经常被无视的CIO则占比31%。知晓自家公司到底拥有哪些技术，已经成了一个非常现实的问题。
该问题的解决方案之一，是采用资产管理系统跟踪所有技术资产，无论该资产是中央部署的还是位于边缘的。但此类系统往往需要手动录入资产，而如果你不知道买了哪些资产，自然无法做到资产跟踪。
另一个解决方法是使用设备检测软件，自动检测新增设备，这样就能很好地跟踪资产变动情况，也能应用恰当的风险管理工具和策略了。
使用设备检测技术还可以看清主要流量来源。Uber采用设备检测技术已经取得了巨大的成功。首先，IT识别1级安全风险，并确保所有系统和设备都受到防护。然后，相对不那么重要的2级安全风险则任何人都可以签署。只要划分清楚安全等级，就可以应用相应的监视和风险管理措施。该方法的底线在于，IT需要知道边缘都部署了些什么，需要划分清楚安全风险等级并定义适用的工具和操作。最重要的是，IT需与用户紧密合作，作为安全的驱动者而非执行者。
2. 人的因素
在紧迫的生产计划表重压下，车间经理很容易只关心生产进度，计算机数控车床会不会被黑并不在他/她考虑之列。生产环境中，口令会被共享，专利信息会被交出，本应锁好机器人和IoT系统的房间门也会被打开。
应对方法之一，是强化硬件和IoT设备安全，加密它们存储/处理的数据。另一个方法，是采用零信任网络。
零信任概念在2010年由佛瑞斯特研究所最先提出，其核心思想是企业内部和外部的任何用户/设备都不可信，必须满足所有安全标准才可以获得网络的访问权。
零信任网络会检测并拦截企业网络上异常移动的数据流。因为仅授权一组相当有限的用户，这种检测得到了简化。零信任网络也是相当出色的边缘技术，弥补了企业边缘计算必须远程管理而非IT托管的缺陷。
3. 影子IT
Gartner研究称，影子IT如今占据了30-40%的企业技术支出。战略咨询公司埃弗莱斯集团的研究人员则发现，影子IT组成了企业计算的半壁江山。大多数影子IT都部署在企业边缘，当IT部门发现了这些影子技术，自然而然会想要在其上实施安全策略。
- IT部门需要改变这种头痛医头脚痛医脚的问题处理思路。此类情况不应被当成潜在安全问题来看待，反而应视作解决问题的机会。
- IT部门应审核并推荐终端用户可自行用于保护其系统的安全工具和服务。
另外，IT还可往每个系统中嵌入边缘计算安全和身份管理技术，无论这些系统是否位于企业边缘。
可以这么操作：
规定所有新技术都必须链入已实现了安全防护的零信任网络。由于该网络已建立，IT部门无需直面终端用户，终端用户自己就能推进其技术。另外，IT部门还可以发布能自行驱动终端用户安全的策略和工具集。举个例子，技术供应商是不会主动强化应用层、操作系统层、用户层和物理层设备的安全的，但如果终端用户知道在征求建议书(RFP)阶段提出这些安全功能要求，那技术供应商也就不得不认真夯实其安全基础了。这就是前期IT指导的作用。
4. 没打补丁的操作系统
终端用户自行部署各类设备和系统的做法存在很大的风险管理问题，主要体现在IT部门对这些晦涩难懂的操作系统不甚了解上。
在厨房安装智能微波炉的酒店，大量运用病人监视器、胰岛素泵和其他各种IoT设备的医疗机构，就特别容易遭到攻击——因为这些设备往往是最终用户自行安装并使用的，且其操作系统一般都不常见。
这种情况下，IT部门需要做到两点：
- 通过能自动检测新资产添加情况的网络，或者与最终用户紧密合作，即时发现或识别新上线的资产;
- 与这些设备或系统的供应商协作，拿出在这些不常见操作系统上执行定期软件更新的规程。
至于运行常见操作系统的设备，IT部门使用自动推送更新软件确保及时修复软件漏洞，实时管理软件补丁即可。
另外一种选择是采取“拉”更新策略，让终端用户享有自行决定补丁或操作系统版本安装时机的自由。但这种做法并非最佳操作，因为“拉”还是不“拉”更新取决于终端用户是否记得要安装更新。
5. 风险管理和灾难恢复
企业IT的安全措施肯定不仅止于设立零信任网络和交给终端用户安全管理工具及策略。将边缘计算融入企业风险管理和灾难恢复计划也是企业IT的责任。
调查数据显示，仅27%的公司有正式且持续的业务连续性计划。这反映出大多数公司企业很难做好灾难恢复工作的现状。
公司企业在更新边缘计算灾难恢复计划上有点落后于时代。部署在边缘的任务关键系统、网络及设备应事先被识别出来，并做好一旦被入侵的应对准备。如果真的发生了入侵事件，攻击者可能早已渗透进设备并四处查探许久了。应在风险管理框架下处理此类情况，查清安全事件对公司及品牌的影响。影响有可能是被客户和合作伙伴指责玩忽职守，有可能是损失几千万美元公司估值。没人想看的这些情况发生，所以必须设置有效的边缘计算安全策略。
6. 供应商审查
可以设置由防火墙保护的隔离网络，并提供双向身份验证及交易负载加密，来管理边缘设备访问点。另外，还可以靠传感器收集各组交易的信息，判断传感器数据模式是否有价值。
边缘技术供应商理应能提供上述功能。当然，公司企业更应与供应商一起探讨安全问题，看他们的软硬件都具备哪些安全特性。然后，用好这些安全功能。如果供应商无法提供恰当的安全保障，不如换一家。
结语
用户总是急于部署数据和服务，而把安全放到次要位置。IT部门可以通过往边缘计算安全防护和检测项目中引入身份管理、数据加密、零信任网络和补丁管理等检查点，提升公司整体安全策略的成功率。
【本文是51CTO专栏作者“”李少鹏“”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
