加密与安全的数据中心

IT管理员必须考虑的问题是：对于传输到数据中心(支持IoT设备或与之整合)内应用的未加密数据，他们应该如何管理?IoT设备通常处于劣势，因 为在默认情况下它们不会加密数据。当IoT制造商在设计小型移动设备时，他们通常会避免添加加密等功能，这可能对数据中心的安全性带来严重的影响。很多时 候，IoT制造商会认为从其设备收集的数据是低价值的数据，至少对于他们是这样，这让他们可以避免部署安全控制。

然而，这种观念是不正确的，所有数据都有与其相关的一定水平的责任。安全人员需要对每个应用执行评估，并了解其所传输的信息的影响。毕竟我们很难知 道入侵者的动机，例如，攻击者可能会瞄准制造业务物流相关的元数据，那么，叉车的移动信息对于攻击者就是有价值的信息，让他可以扰乱制造业务。另一个潜在 有价值的信息可能是管理人员的习惯，以便攻击者可创建更好的网络钓鱼攻击。

企业可制定政策要求加密IoT设备的网络流量，这可以防止攻击者从明文通信中获取有价值的信息。最好的办法是让IoT设备本身支持基于主机的加密。但是，由于在IoT领域缺乏标准，以及加密所需的处理要求和电池要求，在IoT通信中很难部署终端到终端加密。

另一种替代方法是在网络边缘加密IoT数据。目前有几种方法可以做到这一点，其中一种简单的方法是在IoT虚拟LAN(VLAN)和数据中心之间建 立IPsec隧道。还有一种方法是创建覆盖来分隔和加密IoT流量到单独的虚拟可扩展局域网(VXLAN)，这种方法中是假定所有IoT设备都将位于单独 的VLAN中。为了实施这样的政策，企业应该考虑部署某种形式的网络访问控制(NAC)来防止未经授权的IoT设备连接到非IoT VLAN。

但NAC并不总是可行或者可用。另一种选择是隔离IoT应用到单个数据中心VLAN，类似的做法是隔离服务器;目前这种方法主要用来为支付卡行业 (PCI)数据创建高安全区。企业可制定路由政策来加密所有路由到IoT安全区的数据，这类似于加密所有发送到PCI安全区的明文数据。

恶意IoT用户

另外一个更加难以抵御的威胁是内部恶意IoT用户。在这里，企业面临的挑战之一是通过非技术措施执行安全政策，这是因为，为了拥有安全的数据中心， 企业既需要书面政策来规定IoT的使用，还要有成熟的程序来保护对IoT设备的物理访问。如同所有政策一样，这里也有挑战，例如当设备被感染或当授权最终 用户有意执行恶意活动时。

第一层防御始终应该是基于应用的访问控制。该应用应该确保授权用户只有适当的权限，而不能对系统执行任何破坏性操作。这里的目标是防止受感染设备发出破坏性授权命令。

为此，供应商向其安全产品增加了功能来检查常用IoT命令流量。试想一下，当非法承包商打算破坏变电站的监视控制和数据采集(SCADA)网络时，他们可能试图设置一个不可接受的温度计，而我们可制定相关规定将防止这种活动，以及限制或终止他们对网络的访问。

合规性

如果没有围绕合规性的讨论，那么，有关创建安全数据中心的讨论将是不完整的。合规性是很重要的话题，特别是如果你的企业在受监管的行业，例如能源、 健康或支付卡处理。企业应该制定专门适用于其特定IoT环境的政策。同时，对于任何政策，网络管理员应确保他们可以执行政策中的内容，而不是采用工作人员 无法通过收集系统数据验证的做法。

根据Gartner表示，到2020年将有200亿设备连接互联网，这是目前数据的四倍多。现在企业应该开始做好准备以确保安全的数据中心。

原文发布时间为：2016年8月9日

本文来自云栖社区合作伙伴至顶网，了解相关信息可以关注至顶网。