絕大多數IoT設備存在致命漏洞 工程師該如何防範

研究發現大部分IoT存在致命漏洞，駭客能輕易入侵。Aruba, a Hewlett Packard Enterprise Company (紐約證交所代碼：HPE)委託Ponemon Institute進行全球研究調查，發現大部分資訊科技安全團隊認為其企業的整體資安策略存在漏洞，因無法分析來自物聯網(Internet of things，簡稱IoT)裝置的惡意攻擊而帶來危機。事實上，超過四分三受訪者認為其IoT裝置不夠安全，而75%更認為IoT裝置會構成威脅。三分二受訪者亦承認自己只有少許或甚至沒有能力保護其裝置免受攻擊。

這份由Ponemon Institute負責，名為「利用自動化與AI技術消除IoT時代的資安漏洞」(Closing the IT Security Gap with Automation & AI in the Era of IoT)研究報告，訪問了美國、歐洲與亞洲4,000名資訊科技安全人員與IT專才，以了解安全問題難解的原因，以及企業需要什麼類型的技術和流程才能在新威脅環境中抵擋嶄新的攻擊。

研究結果指出，在保護資料及其他重要資產的過程中，結合機器學習與其他以AI技術為基礎的安全系統是偵測和遏止針對鎖定使用者與IoT裝置攻擊的重要工具。大多數亞太地區受訪者認為結合AI功能的安全產品能夠：

降低假警報機率(66%)提升團隊工作效率(62%)提升調查效率(57%)讓團隊更快發現與回應以避免周邊防禦系統的秘密攻擊(53%)

29%的亞太地區受訪者表示他們現時已採取某種形式的機械學習或AI技術為基礎安全解決方案，而29%則計畫於未來12個月中部署這類型產品。持續監察網絡流量、封閉迴路偵測與應變系統，以及偵測對等群組IoT裝置的異常行為均被認為是最有效的網絡保護方式。

目前的安全工具不足夠應付所需

Ponemon Institute總裁Larry Ponemon表示：「我們的調查發現，儘管企業投入大量資金加強網絡安全，大多數企業仍無法有效阻擋鎖定目標的進階式攻擊。縱使企業已使用了10至75個安全解決方案， 59%受訪者認為他們的防禦工具並未發揮最大效用。這情況將帶來不堪設想的後果。近一半受訪者表示要防禦複雜多變的攻擊是非常困難。然而，在缺乏具相關技能及經驗資安人員的協助下，要對抗持續不懈、經驗豐富、訓練有素而且具強大財力後盾的攻擊者更是難上加難。面對等級不斷攀升的網絡攻擊，以AI為基礎的安全工具儼然已成為企業的重要武器，因為這類工具能自動執行作業，讓IT人員能專注管理其他安全問題。」

IoT與雲端導致風險加劇

調查結果也指出網絡能見度及能否定義使用者與IoT裝置可存取哪些資源的能力亦非常重要。48%的亞太地區受訪者表示網絡存取控制是公司安全策略的重要元素，也是降低內部攻擊範圍的關鍵。宏觀全球，其比例則逾65%，反映亞太地區比全球更不重視網絡存取控制（Network Access Control ，簡稱NAC）。此外，74%亞太地區受訪者表示其企業採用了NAC，而令人震驚的是，只有16%受訪者有信心知道所有於不同時間連接到他們網絡的用戶身份和設備。

超過一半(55%)受訪者表示，為了同時支援公司的IoT、BYOD、移動化與雲端計畫，使得網絡邊界不斷擴張，且日漸模糊，大大增加防禦工作難度。

IoT安全的職責歸屬也會帶來風險。當問到公司內部負責IoT安全性的人員時，回答的對象包括了CIO、CISO、CTO與各業務部門等不同主管，可見受訪者在這方面缺乏共識。只有33%受訪者認為這是CIO的責任，而超過20%的受訪者表示沒有這方面的主管或功能的團隊。令人驚訝的是，回答「無此功能」的比重占15%，位居第三高。