您家中可能有些不安全的裝置會帶來安全漏洞，您的辦公室可能也有，連您孩子的學校可能都會有。如攝影機、印表機、喇叭、門禁讀卡機、自動溫度控制器，甚至是心率感測器等，這些裝置都是或可以作為物聯網 (IoT) 裝置。這些 IoT 裝置完美地融入我們的現代生活以提高效率和對環境的控制，但眾所周知，它們並不安全。這是由於這些裝置的硬體具有一定的限制性以及運算能力有限，從而經常導致存取控制能力降低、採用硬編碼密碼以及無法進行遠端修補。
這種威脅的影響力可能非常大。2016 年 Mirai 機器人網路攻擊駭客利用數百萬部 IoT 裝置組成一個大規模的機器人網路，能夠發起多次 DDoS 攻擊，導以 2016 年 Mirai 機器人網路攻擊為例，致很多重要的網站癱瘓，其中包括 Twitter、Guardian 和 CNN。此類攻擊經常發生。Cloudflare 在 2021 年 3 月親身體驗到這類攻擊，當時我們一個潛在監視器供應商 Verkada 遭到網路入侵。駭客利用 Verkada 內部的支援工具來遠端管理監視器，並嘗試橫向入侵網路上的其他裝置。值得慶幸的是，Cloudflare 使用 Zero Trust 模式來防止駭客橫向移動。所以該事件只影響到監視器，沒有造成其他損失。
即使我們沒有受到影響，但是我們也將安全事件視為一種挑戰，並努力改進我們的安全產品。我們曾自問：我們是否能夠運用自家的產品來保護 IoT 裝置 — 即使是在與生產系統相同的網路上，確保隔離這些不安全裝置導致的任何漏洞？藉助 Cloudflare One，答案是肯定的。
現今的解決方案：以複雜方式實現安全性
Zero Trust 模式
如前所述，因為使用了 Zero Trust 模式，所以 Cloudflare 沒有受到 IoT 漏洞的影響。如果環境因素適合 (如在 Cloudflare 辦公室)，企業網路可以使用 Zero Trust 模式進行隔離。因為存取網路上的任何其他裝置都需經過身份認證，所以這可以防止橫向移動。鑑於 IoT 裝置本身並不是孤立的，特別注意要將所有其他網路入口設定在 Zero Trust 後。
但是，並非所有環境都有辦法嚴格控制。以資料中心為例，由於存在其他供應商、複雜的老舊生產網路和許多機器對機器連線，這表示在安裝 IoT 裝置 (例如：門禁讀卡器或攝影機) 時，無法提供像我們辦公室一樣的 Zero Trust。隨著環境日益複雜，想要成功部署 Zero Trust 模式，來防止 IoT 裝置的橫向移動只會變得更加困難。
VLAN
許多企業利用頻外網路或 VLAN 將 IoT 裝置部署在與生產環境完全分離的網路。雖然 VLAN 在第 2 層級建立隔離，但需要使用上游路由介面的存取清單來限制第 3 層級的流量。許多網路管理者想要增加設定來進行更嚴格的保護，例如：輸入和輸出流量的存取清單，以及成功和拒絕連線的紀錄。管理這些存取清單很容易就變得非常複雜，因為每個新的網路都需要另外保護、修補和偵測。
如果設定不當，VLAN 的安全保障就很容易遭到破壞。以一個擁有兩個獨立 VLAN 的網路為例，如果存取清單沒有同步套用到兩個交換器上，那麼一個 VLAN 上的裝置遭到入侵，漏洞很容易就會轉移到另一個 VLAN 上的裝置。雖然網路管理者可以在每個交換器都使用私有 VLAN，但這會讓它變得更加複雜。
想要成功部署 VLAN 來防止橫向移動，從存取清單規則到每個站點的裝置類型都要保持一致的設定與架構。隨著站點增加和環境足跡擴大，挑戰性會變得更大。
Cloudflare 解決方案
我們使用自己的產品來隔離裝置，無需部署在別的網路。如此可以提供安全保證且不需額外的硬體。這是一種無伺服器、無基礎結構的網路隔離解決方案。
如何做到？硬體裝置 (我們進行概念驗證時以 Verkada 攝影機為例) 連接到一台 Power over Ethernet 交換器，該交換器被設定成透過 Anycast GRE 將其流量傳輸到 Cloudflare 全球網路。我們可以從 Cloudflare 儀表板配來撰寫輸出規則，確保流量去到正確的地方，以此來防止橫向移動。
採用這種架構，網路管理者可以將原則即時套用在輸入和輸出流量，從而在儀表板上控制第三層級以上的流量。該架構提供設定一次就一勞永逸的解決方案，可以適應不斷變化的環境：讓保護與供應商無關、使用通用標準，並且自動收集事件記錄。與其他橫向移動保護相比，Cloudflare 提供了安全管理 IoT 裝置環境所需的卓越便利性、適應性和安全保障。
| Zero Trust | VLAN | Cloudflare One | |
|---|---|---|---|
| 透過適當的設定來防止橫向移動 | ✅ | ✅ | ✅ |
| 無需硬體 | ✅ | ❌ | ✅ |
| 自動記錄 | ✅ | ❌ | ✅ |
| 隔離 IoT 裝置 | ❌ | ✅ | ✅ |
| 單點設定 | ❌ | ❌ | ✅ |
| 增加裝置不會變得更複雜 | ❌ | ❌ | ✅ |
| 裝置無關 | ❌ | ❌ | ✅ |
| CF 網路的速度和效能優勢 | ❌ | ❌ | ✅ |
接下來呢？
在 2021 年第四季度，我們委託一個值得信賴的滲透測試合作夥伴對此設定進行測試，他們複製了一部試圖從 Cloudflare One 架構背後移轉到生產網路的惡意裝置。結果它無法橫向移動，這證實這個架構是有效的。
鑑於此架構已經過測試，我們將開始在內部的資料中心正式採用 Cloudflare One 作為實體安全提案的一部分，以保護我們最值得信賴的資產的安全。
卻進一步了解您的企業應如何使用 Cloudflare One，請與我們銷售團隊聯繫。