A las 3:00 de la ma\u00f1ana, el tel\u00e9fono m\u00f3vil de repente sacudi\u00f3 salvajemente, y la alarma mostr\u00f3 que 2.000 terminales inteligentes de agua en una provincia fueron anormalmente desconectados al mismo tiempo. Investigaci\u00f3n de emergencia del equipo de operaci\u00f3n y mantenimiento, se encontr\u00f3 que no es un fallo del equipo - pero disfrazado de tr\u00e1fico normal CC ataque penetr\u00f3 en la protecci\u00f3n nativa de la plataforma de Internet de las Cosas, el canal de datos est\u00e1 lleno, el equipo colectivo \u201cperdido la conexi\u00f3n\u201d. Si este ataque se superpone al robo de datos, las consecuencias son inimaginables. Este asunto me permite entender completamente: la seguridad de IoT, confiando \u00fanicamente en el cifrado del lado del dispositivo y la autenticaci\u00f3n de la plataforma est\u00e1 lejos de ser suficiente. La protecci\u00f3n del enlace de comunicaci\u00f3n es el punto ciego de la mayor\u00eda de las empresas.<\/p>\n
La comunicaci\u00f3n de los dispositivos IoT tiene una caracter\u00edstica fatal: conexi\u00f3n larga, paquetes peque\u00f1os e interacci\u00f3n de alta frecuencia. Las c\u00e1maras suben im\u00e1genes a cada momento, los sensores informan regularmente de datos medioambientales, los coches inteligentes siguen enviando informaci\u00f3n de posicionamiento. Estas comunicaciones pueden parecer triviales, pero el n\u00famero es enorme y continuo, muy f\u00e1cil de convertirse en la fuente de amplificaci\u00f3n de ataques DDoS, pero tambi\u00e9n a los ojos de los hackers \u201cmina de oro de datos\u201d. Muchas empresas piensan que pueden estar tranquilas con el cifrado TLS, pero los ataques man-in-the-middle, las vulnerabilidades del protocolo y las fugas de claves pueden seguir ocurriendo. Lo que es a\u00fan m\u00e1s aterrador es que los atacantes suelen utilizar peticiones comerciales normales para mezclarlas con tr\u00e1fico malicioso, y los cortafuegos tradicionales simplemente no pueden distinguir qu\u00e9 son datos reales y qu\u00e9 es un latido falso.<\/p>\n
El a\u00f1o pasado, me ayud\u00f3 en la auditor\u00eda de una plataforma de casa inteligente, y encontr\u00f3 que a pesar de que utilizan HTTPS, pero la verificaci\u00f3n de certificados en realidad permite a cualquier CA para emitir, y el intermediario inserta un certificado falsificado puede ser descifrado en su totalidad. Adem\u00e1s, su interfaz API para ser compatible con el equipo antiguo, no hizo limitaci\u00f3n de la tasa, los atacantes con ataques de CC de baja tasa de agotar lentamente los recursos de back-end. Estos problemas no pueden evitarse con una \u00fanica soluci\u00f3n de seguridad. Seguridad de la IO debe ser en capas - y CDN de alta defensa, precisamente en la capa de comunicaci\u00f3n para construir una \u201carmadura sigilosa\u201d.<\/p>\n
El valor fundamental de una CDN de alta defensa es que empuja el nodo de limpieza de tr\u00e1fico m\u00e1s cercano a la fuente del ataque. En lugar de conectarse directamente a la fuente, los dispositivos IoT acceden primero al nodo de borde de la CDN. Todo el tr\u00e1fico se limpia primero aqu\u00ed y luego se reenv\u00eda al servidor de origen. Esto significa que la IP de origen est\u00e1 completamente oculto, los ataques DDoS ni siquiera puede golpear su puerta. He probado, una plataforma IoT industrial CDN5, incluso si se encontr\u00f3 con 300Gbps UDP Flood, la latencia de negocio back-end es casi sin sentido - el tr\u00e1fico en el nodo de borde ser\u00e1 asesinado.<\/p>\n
Pero la CDN de alta seguridad no es s\u00f3lo anti-D. Para la fuga de datos, hace tres cosas clave: primero, actualizaciones de cifrado SSL de enlace completo, TLS 1.2 obligatorio o superior, soporte para certificados ECC y autenticaci\u00f3n bidireccional, evitando que la clave sea crackeada; segundo, el m\u00f3dulo WAF inteligente, que identifica comportamientos an\u00f3malos espec\u00edficos de los protocolos IoT, como los c\u00f3digos de funci\u00f3n an\u00f3malos de Modbus TCP y las solicitudes de suscripci\u00f3n ilegales de MQTT; En tercer lugar, la integraci\u00f3n de la pasarela API, la identidad del dispositivo para hacer un control fino, \u00bfun dispositivo es robado? Retire inmediatamente el token negro e invalide el acceso.<\/p>\n
Por ejemplo, CDN07, su soluci\u00f3n de seguridad IoT cuenta con una funci\u00f3n de \u201cl\u00ednea de base del comportamiento del dispositivo\u201d. A trav\u00e9s del aprendizaje autom\u00e1tico para analizar la frecuencia de comunicaci\u00f3n, el tama\u00f1o de los paquetes y el objetivo de acceso de cada dispositivo, una vez que un dispositivo de repente empieza a subir datos como loco (probablemente un robo controlado), o inicia una conexi\u00f3n en un momento en que no deber\u00eda (como un contador inteligente a las 3 de la ma\u00f1ana), el sistema alertar\u00e1 autom\u00e1ticamente y lo bloquear\u00e1 temporalmente. Esto es mucho m\u00e1s preciso que limitarse a mirar el tama\u00f1o del tr\u00e1fico.<\/p>\n
La configuraci\u00f3n no es tan complicada. La mayor\u00eda de los proveedores de CDN de alta defensa ofrecen plantillas preestablecidas de IoT. Basta con hacer CNAME del nombre de dominio del dispositivo a la direcci\u00f3n proporcionada por la CDN y, a continuaci\u00f3n, ajustar algunas pol\u00edticas en la consola. Por ejemplo, en el fondo de 08Host, suelo dar a los clientes esta configuraci\u00f3n:<\/p>\n
No crea esos rumores de que \u201cla CDN provocar\u00e1 una alta latencia en IoT\u201d. Ahora los principales proveedores de CDN disponen de nodos de borde globales, enrutamiento inteligente para garantizar que el dispositivo se conecta al nodo m\u00e1s cercano. Medido, el aumento medio de latencia es de s\u00f3lo 3-5 ms, pero la mejora de la seguridad es exponencial. Especialmente como la red CDN5 Anycast, el acceso del dispositivo se asigna autom\u00e1ticamente al nodo \u00f3ptimo, los sensores de Hong Kong pueden ir a los nodos de Singapur, los dispositivos de red de autom\u00f3viles de Alemania conectados al nodo de Frankfurt - la latencia puede ser menor que la conexi\u00f3n directa a la estaci\u00f3n de origen.<\/p>\n
Otro punto cr\u00edtico: registros y auditor\u00eda. Las CDN de alta defensa registran todos los registros de acceso, incluidos el ID del dispositivo, la ubicaci\u00f3n geogr\u00e1fica, el comportamiento de las solicitudes y los detalles de interceptaci\u00f3n de ataques. Estos datos son extremadamente importantes para la trazabilidad a posteriori y el ajuste de pol\u00edticas. Una vez me bas\u00e9 en los registros de CDN07 para descubrir un lote de c\u00e1maras a las que se les hab\u00eda pinchado maliciosamente el firmware: siempre acced\u00edan a un determinado dominio an\u00f3malo a una hora fija. Sin la visi\u00f3n global de CDN, este tipo de infiltraci\u00f3n lenta no podr\u00eda descubrirse en absoluto.<\/p>\n
Por supuesto, no todas las CDN son adecuadas para escenarios IoT. La selecci\u00f3n debe centrarse en cuatro aspectos: uno es el soporte de protocolos (como si es compatible con CoAP, MQTT sobre SSL), el segundo es la precisi\u00f3n de limpieza (no puede matar accidentalmente las instrucciones normales del dispositivo), el tercero es la elasticidad de la capacidad de expansi\u00f3n (no puede perder paquetes en caso de tr\u00e1fico repentino), y el cuarto es el modelo de precios (seg\u00fan el n\u00famero de dispositivos o la facturaci\u00f3n por caudal). Los peque\u00f1os proyectos con el pago por volumen de 08Host es muy rentable, y los grandes proyectos recomiendan las soluciones personalizadas de CDN07. No elija nunca esas CDN tradicionales que s\u00f3lo resisten el gran tr\u00e1fico pero no hacen reconocimiento de protocolos, o los paquetes IoT pueden ser err\u00f3neamente considerados como un ataque.<\/p>\n
Por \u00faltimo, la verdad: la CDN de alta defensa en la seguridad de la Internet de las Cosas es en realidad la \u201cdefensa invisible\u201d. Los usuarios no perciben, los atacantes no pueden penetrar, operaci\u00f3n y mantenimiento dormir bien. Pero no es una panacea - la seguridad del firmware del lado del dispositivo, gesti\u00f3n de claves, vulnerabilidades de la plataforma como de costumbre tienen que gestionar. S\u00f3lo enlace de comunicaci\u00f3n este enlace, con CDN que la protecci\u00f3n auto-construido es demasiada preocupaci\u00f3n. En estos d\u00edas, incluso CDN tiene que \u201cevitar que los compa\u00f1eros de equipo\u201d (como el uso indebido de personal interno), por no hablar de los ataques de red ubicuos. Hacer un buen trabajo de defensa en capas, mucho m\u00e1s que apostar a la suerte.<\/p>\n
Caso real: Despu\u00e9s de que una plataforma de red para autom\u00f3viles accediera a CDN5 el a\u00f1o pasado, no solo resisti\u00f3 trescientos ataques de nivel G, sino que tambi\u00e9n se bas\u00f3 en reglas WAF para bloquear m\u00faltiples intentos de penetraci\u00f3n contra las API de control de veh\u00edculos. Despu\u00e9s, el an\u00e1lisis descubri\u00f3 que el atacante quer\u00eda utilizar un resquicio para desbloquear la puerta del coche en bloque, pero la petici\u00f3n maliciosa fue identificada como anormal por el m\u00f3dulo de an\u00e1lisis de comportamiento de la CDN, que la bloque\u00f3 al instante. Sin este programa, se estima que se producir\u00eda otra fuga de datos de primer orden. As\u00ed que ah, la seguridad del Internet de las Cosas, m\u00e1s bien se prepara pero no se usa, no se usa pero no se prepara.<\/p>","protected":false},"excerpt":{"rendered":"
A las 3:00 de la ma\u00f1ana, el tel\u00e9fono m\u00f3vil de repente sacudi\u00f3 salvajemente, y la alarma mostr\u00f3 que 2.000 terminales inteligentes de agua en una provincia fueron anormalmente desconectados al mismo tiempo. Investigaci\u00f3n de emergencia del equipo de operaci\u00f3n y mantenimiento, se encontr\u00f3 que no es un fallo del equipo - pero disfrazado de tr\u00e1fico normal CC ataque penetr\u00f3 en la protecci\u00f3n nativa de la plataforma de Internet de las Cosas, el canal de datos est\u00e1 lleno, el equipo colectivo \u201cperdi\u00f3 la conexi\u00f3n\u201d. Si este ataque se superpone al robo de datos, las consecuencias son inimaginables. Este asunto me permite entender completamente: la seguridad de la IO, confiando \u00fanicamente en el cifrado del lado del dispositivo y la autenticaci\u00f3n de la plataforma est\u00e1 lejos de ser suficiente. La protecci\u00f3n del enlace de comunicaci\u00f3n es el punto ciego de la mayor\u00eda de las empresas. La comunicaci\u00f3n de los dispositivos IoT tiene una caracter\u00edstica fatal: conexi\u00f3n larga, paquetes peque\u00f1os, interacci\u00f3n de alta frecuencia. Las c\u00e1maras suben im\u00e1genes a cada momento, los sensores informan regularmente de datos medioambientales y los coches inteligentes env\u00edan continuamente informaci\u00f3n de posicionamiento. Estas comunicaciones pueden parecer triviales, pero el n\u00famero de paquetes grandes y continuos, extremadamente<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-936","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/936","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=936"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/936\/revisions"}],"predecessor-version":[{"id":1189,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/936\/revisions\/1189"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=936"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=936"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=936"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=936"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}