工業物聯網安全中 IAM 的區別性特征是什么

工業物聯網安全中IAM的區別性特征是：

• 工業物聯網端點的多樣性：IIoT部署包括需要唯一標識和驗證的各種端點，包括占用資源少、通常被部署在遠端以及通常是電池供電的現場設備，如連接的傳感器、油泵以及執行器。這些設備與物理環境交互，易受物理環境訪問和篡改的影響。在這些端點中，處于較高端的是服務器和網關，它們具有高內存和較強的處理能力，通常位于保證物理安全的數據中心設施中。

• 關于資源受限和棕地的考慮：處于低端的工業微控制器和物聯網傳感器會受到內存和其他資源的限制。為了確定用于管理設備標識的加密框架，我們必須考慮端點的內存和計算能力。非對稱加密算法通常會消耗大量計算能力、內存和電力資源，而某些基于對稱加密的技術能夠以更低的計算和功耗成本提供相互的身份認證。與IT系統不同，工業設備可持續工作數十年。因此，IIoT部署主要是棕地，其中身份識別和訪問控制必須考慮新舊系統。即使在面對新制造的物聯網設備時，考慮到其延長的壽命，我們也難以保證其未來的安全性，因為今天被認為是強大的安全控制可能在十年后失效。

• 物理安全性和可靠性：網絡物理系統的完整性會對系統可靠性以及環境和人類安全產生直接影響。與IT基礎設施不同，惡意端點可能在OT設置中產生災難性的影響。有些數據也可能導致嚴重后果，例如，來自欺騙性傳感器的數據，或者來自欺騙性的或受控的PLC的控制命令。為了獲得更高的可靠性，IIoT設備標識還可以與現有的物理訪問控制系統及邏輯訪問控制系統框架集成。

• 自治和可擴展性：在企業IT網絡中，端點可以通過與員工關聯的公司憑據來識別。在自治的M2M世界中，設備端點必須通過不需要人工交互的方式進行身份識別，這些標識符包括射頻識別、對稱密鑰、X.509證書或者燒錄在基于硬件信任根保險絲中的公鑰。

• 缺少事件記錄：傳統工業設備通常不生成用于報告的日志式數據，在ICS和SCADA系統中，通常并不維護事件事務歷史數據。歷史記錄數據包括處理歷史記錄，但它更多的是跟蹤控制器命令輸出，這不是設備可見性所需的事件日志式的歷史記錄。與賬戶相關的事件監控是IAM不可或缺的一部分，任何惡意或錯誤的活動或者功能異常都需要被及時標記。該領域需要進一步創新和強化。

• 基于訂閱的模型：在互聯網中，基于訂閱的服務模型普遍存在，其中設備由不同的組織租賃和監控。第三方組織不僅訪問從物聯網設備收集的數據，而且可能還需要訪問設備本身，這要求動態IAM基礎設施可以容納：

• 越來越復雜的身份攻擊：在IIoT環境中，基于身份攻擊的目標并不總是金錢。資金充足的國家安全威脅角色也可能設計和發動攻擊，以對某公司品牌造成長期影響，甚至引發市政或國家危機。網絡攻擊通常是協同的，如果一個系統出現故障，則會影響與其連通的其他系統。攻擊可能會危及主系統和備份系統。目前物聯網僵尸網絡涉及數百萬受攻擊的物聯網設備，它們經常被用于注入惡意軟件并發起DDoS和勒索軟件攻擊。利用零日漏洞并有充足資金的復雜技術使行業更容易受到身份攻擊，安全架構師必須將其納入到自身的IAM策略。

• 基于風險的訪問控制策略：實現身份識別和訪問控制可能代價高昂，這就是“通過評估和優先考慮威脅來使IAM戰略與風險水平保持一致”十分重要的原因。工業事故中的威脅對象有更大的動機和更多的資金，因此小型智能風電場的身份違規風險可能遠低于智能城市能源網。

回答所涉及的環境：聯想天逸510S、Windows 10。