A las 3:00 de la mañana, el teléfono móvil de repente sacudió salvajemente, y la alarma mostró que 2.000 terminales inteligentes de agua en una provincia fueron anormalmente desconectados al mismo tiempo. Investigación de emergencia del equipo de operación y mantenimiento, se encontró que no es un fallo del equipo - pero disfrazado de tráfico normal CC ataque penetró en la protección nativa de la plataforma de Internet de las Cosas, el canal de datos está lleno, el equipo colectivo “perdido la conexión”. Si este ataque se superpone al robo de datos, las consecuencias son inimaginables. Este asunto me permite entender completamente: la seguridad de IoT, confiando únicamente en el cifrado del lado del dispositivo y la autenticación de la plataforma está lejos de ser suficiente. La protección del enlace de comunicación es el punto ciego de la mayoría de las empresas.
La comunicación de los dispositivos IoT tiene una característica fatal: conexión larga, paquetes pequeños e interacción de alta frecuencia. Las cámaras suben imágenes a cada momento, los sensores informan regularmente de datos medioambientales, los coches inteligentes siguen enviando información de posicionamiento. Estas comunicaciones pueden parecer triviales, pero el número es enorme y continuo, muy fácil de convertirse en la fuente de amplificación de ataques DDoS, pero también a los ojos de los hackers “mina de oro de datos”. Muchas empresas piensan que pueden estar tranquilas con el cifrado TLS, pero los ataques man-in-the-middle, las vulnerabilidades del protocolo y las fugas de claves pueden seguir ocurriendo. Lo que es aún más aterrador es que los atacantes suelen utilizar peticiones comerciales normales para mezclarlas con tráfico malicioso, y los cortafuegos tradicionales simplemente no pueden distinguir qué son datos reales y qué es un latido falso.
El año pasado, me ayudó en la auditoría de una plataforma de casa inteligente, y encontró que a pesar de que utilizan HTTPS, pero la verificación de certificados en realidad permite a cualquier CA para emitir, y el intermediario inserta un certificado falsificado puede ser descifrado en su totalidad. Además, su interfaz API para ser compatible con el equipo antiguo, no hizo limitación de la tasa, los atacantes con ataques de CC de baja tasa de agotar lentamente los recursos de back-end. Estos problemas no pueden evitarse con una única solución de seguridad. Seguridad de la IO debe ser en capas - y CDN de alta defensa, precisamente en la capa de comunicación para construir una “armadura sigilosa”.
El valor fundamental de una CDN de alta defensa es que empuja el nodo de limpieza de tráfico más cercano a la fuente del ataque. En lugar de conectarse directamente a la fuente, los dispositivos IoT acceden primero al nodo de borde de la CDN. Todo el tráfico se limpia primero aquí y luego se reenvía al servidor de origen. Esto significa que la IP de origen está completamente oculto, los ataques DDoS ni siquiera puede golpear su puerta. He probado, una plataforma IoT industrial CDN5, incluso si se encontró con 300Gbps UDP Flood, la latencia de negocio back-end es casi sin sentido - el tráfico en el nodo de borde será asesinado.
Pero la CDN de alta seguridad no es sólo anti-D. Para la fuga de datos, hace tres cosas clave: primero, actualizaciones de cifrado SSL de enlace completo, TLS 1.2 obligatorio o superior, soporte para certificados ECC y autenticación bidireccional, evitando que la clave sea crackeada; segundo, el módulo WAF inteligente, que identifica comportamientos anómalos específicos de los protocolos IoT, como los códigos de función anómalos de Modbus TCP y las solicitudes de suscripción ilegales de MQTT; En tercer lugar, la integración de la pasarela API, la identidad del dispositivo para hacer un control fino, ¿un dispositivo es robado? Retire inmediatamente el token negro e invalide el acceso.
Por ejemplo, CDN07, su solución de seguridad IoT cuenta con una función de “línea de base del comportamiento del dispositivo”. A través del aprendizaje automático para analizar la frecuencia de comunicación, el tamaño de los paquetes y el objetivo de acceso de cada dispositivo, una vez que un dispositivo de repente empieza a subir datos como loco (probablemente un robo controlado), o inicia una conexión en un momento en que no debería (como un contador inteligente a las 3 de la mañana), el sistema alertará automáticamente y lo bloqueará temporalmente. Esto es mucho más preciso que limitarse a mirar el tamaño del tráfico.
La configuración no es tan complicada. La mayoría de los proveedores de CDN de alta defensa ofrecen plantillas preestablecidas de IoT. Basta con hacer CNAME del nombre de dominio del dispositivo a la dirección proporcionada por la CDN y, a continuación, ajustar algunas políticas en la consola. Por ejemplo, en el fondo de 08Host, suelo dar a los clientes esta configuración:
No crea esos rumores de que “la CDN provocará una alta latencia en IoT”. Ahora los principales proveedores de CDN disponen de nodos de borde globales, enrutamiento inteligente para garantizar que el dispositivo se conecta al nodo más cercano. Medido, el aumento medio de latencia es de sólo 3-5 ms, pero la mejora de la seguridad es exponencial. Especialmente como la red CDN5 Anycast, el acceso del dispositivo se asigna automáticamente al nodo óptimo, los sensores de Hong Kong pueden ir a los nodos de Singapur, los dispositivos de red de automóviles de Alemania conectados al nodo de Frankfurt - la latencia puede ser menor que la conexión directa a la estación de origen.
Otro punto crítico: registros y auditoría. Las CDN de alta defensa registran todos los registros de acceso, incluidos el ID del dispositivo, la ubicación geográfica, el comportamiento de las solicitudes y los detalles de interceptación de ataques. Estos datos son extremadamente importantes para la trazabilidad a posteriori y el ajuste de políticas. Una vez me basé en los registros de CDN07 para descubrir un lote de cámaras a las que se les había pinchado maliciosamente el firmware: siempre accedían a un determinado dominio anómalo a una hora fija. Sin la visión global de CDN, este tipo de infiltración lenta no podría descubrirse en absoluto.
Por supuesto, no todas las CDN son adecuadas para escenarios IoT. La selección debe centrarse en cuatro aspectos: uno es el soporte de protocolos (como si es compatible con CoAP, MQTT sobre SSL), el segundo es la precisión de limpieza (no puede matar accidentalmente las instrucciones normales del dispositivo), el tercero es la elasticidad de la capacidad de expansión (no puede perder paquetes en caso de tráfico repentino), y el cuarto es el modelo de precios (según el número de dispositivos o la facturación por caudal). Los pequeños proyectos con el pago por volumen de 08Host es muy rentable, y los grandes proyectos recomiendan las soluciones personalizadas de CDN07. No elija nunca esas CDN tradicionales que sólo resisten el gran tráfico pero no hacen reconocimiento de protocolos, o los paquetes IoT pueden ser erróneamente considerados como un ataque.
Por último, la verdad: la CDN de alta defensa en la seguridad de la Internet de las Cosas es en realidad la “defensa invisible”. Los usuarios no perciben, los atacantes no pueden penetrar, operación y mantenimiento dormir bien. Pero no es una panacea - la seguridad del firmware del lado del dispositivo, gestión de claves, vulnerabilidades de la plataforma como de costumbre tienen que gestionar. Sólo enlace de comunicación este enlace, con CDN que la protección auto-construido es demasiada preocupación. En estos días, incluso CDN tiene que “evitar que los compañeros de equipo” (como el uso indebido de personal interno), por no hablar de los ataques de red ubicuos. Hacer un buen trabajo de defensa en capas, mucho más que apostar a la suerte.
Caso real: Después de que una plataforma de red para automóviles accediera a CDN5 el año pasado, no solo resistió trescientos ataques de nivel G, sino que también se basó en reglas WAF para bloquear múltiples intentos de penetración contra las API de control de vehículos. Después, el análisis descubrió que el atacante quería utilizar un resquicio para desbloquear la puerta del coche en bloque, pero la petición maliciosa fue identificada como anormal por el módulo de análisis de comportamiento de la CDN, que la bloqueó al instante. Sin este programa, se estima que se produciría otra fuga de datos de primer orden. Así que ah, la seguridad del Internet de las Cosas, más bien se prepara pero no se usa, no se usa pero no se prepara.
