Subscribe to receive notifications of new posts:

Subscription confirmed. Thank you for subscribing!

使用 Cloudflare One 保护物联网设备

Loading...

您的房子里可能有一个不安全的设备,带有可被利用的漏洞。还有您的办公室。甚至是您孩子的学校。相机、打印机、音箱、门禁读卡器、温度计和甚至心脏监控器……这些设备都是或可能是物联网(IoT)设备。这些物联网设备无缝集成到我们的现代生活中,以提高效率和对我们环境的控制——但它们出了名的不安全。这是因为设备硬件本质上受到约束且计算能力有限,往往导致最低程度的访问控制、硬编码的密码且无法远程打补丁。

这一威胁的现实有可能产生严重后果。例如,在 2016 年的 Mirai 僵尸网络攻击中,黑客利用数百万个物联网设备来组成一个大规模的僵尸网络,足以发动能导致互联网大部分瘫痪的 DDoS 攻击,包括推特、英国卫报和 CNN。这种攻击绝不罕见。Cloudflare 在 2021 年 3 月亲身体验了这一现实,当时我们潜在的物理安全摄像头供应商之一 Verkada 遭到入侵,一名黑客得以访问 Verkada 远程管理摄像头的内部支持工具,从而能够横向移动到网络中的其他设备。庆幸的是,Cloudflare 使用的一个 Zero Trust 模型阻止了黑客的横向移动;这次事件仅影响到摄像头,而非任何其他东西。

但即使我们没有受到影响,我们也将这一事件视为一个挑战,进一步推进我们的安全产品。因此,我们自问:能否使用我们自己的产品来保护物联网设备本身——即使它们与生产系统位于同一个网络上——从而确保这些出名不安全的设备一旦遭到入侵时会被隔离?使用 Cloudflare One,答案是肯定的。

当前解决方案:充满复杂性的安全

Zero Trust 模型

如前所述,Cloudflare 之所以没有受到一次物联网设备入侵的影响,是因为我们使用了一个 Zero Trust 模型。如果环境方面的考虑适合,例如在 Cloudflare 的公司办公室,企业网络可以利用一个 Zero Trust 模型进行隔离。访问网络的任何其他部分都要求进行访问验证,从而防止了横向移动。鉴于物联网设备本身没有被隔离,必须特别注意将所有其他网络入口置于 Zero Trust 保护之后。

然而,并非所有环境都能被如此尽职地控制。以数据中心为例。由于其他供应商的存在、老旧生产网络的复杂性以及机器对机器连接普遍存在,安装物联网设备时(例如门禁读卡器或摄像头),我们无法像公司办公室一样提供相同的 Zero Trust 安全保证。随着环境的复杂性增加,成功部署 Zero Trust 模型来阻止来自物联网设备的成功横向移动只会变得难上加难。

VLAN

很多企业利用带外网络或虚拟局域网(VLAN)将其物联网设备部署在与生产完全独立的网络上。虽然 VLAN 在第 2 层创建隔离,它们需要其上游路由接口的访问列表来限制第 3 层流量。而且,许多网络管理员需要额外配置来获得更严格的保证,例如针对入口和出口流量的访问列表,以及成功和拒绝连接的日志记录。这些访问列表的管理很快就会变得复杂:每个新网络都是另一个需要保护、修补和检测的区域。

若配置不当,VLAN 的安全保证可被轻易破坏。以一个包含两个独立 VLAN 的网络为例;如果没有对两个独立的交换机应用一致的访问列表,则其中一个 VLAN 中的被黑设备可轻易转至另一个 VLAN 下的一个设备。网络管理员可对每个交换机使用专用 VLAN,但这再次增加了复杂性。

要成功部署 VLAN 来阻止横向移动,需要一致的配置和架构选择,从访问列表规则到每个站点使用的设备类型。随着站点数量增加和环境的足迹扩大,这只会变得更具挑战性。

Cloudflare 的解决方案

我们使用自己的产品来隔离设备,而不是部署在一个独立的网络上。这可以在无需额外硬件的情况下提供安全保证。这是一个无服务器、无基础设施网络的隔离解决方案。

这是如何做到的?硬件设备(我们用于概念验证的是一个 Verkada 摄像头)连接到一个有源以太网(PoE)交换机,后者被配置为将流量通过 Anycast GRE 隧道传送到 Cloudflare 全球网络。在那里,我们可配置来自 Cloudflare 仪表板的规则来写入出口规则,确保传出流量只会前往它应该到的地方。这样就防止了横向移动。

利用这种架构,网络管理员可从单一仪表板对入口和出口流量立即应用策略,从而控制来自第 3 层及以上的流量。这种架构提供一个简单的“设后即忘”解决方案,可适应不断变化的环境:保护与厂商物管,使用常见标准,日志收集是自动进行的。与其他横向移动保护方法相比,Cloudflare 提供出色的易用性、适应性和安全保证,这些都是安全管理任何使用物联网设备的环境所必需的。

Zero Trust 架构 VLAN Cloudflare One
通过适当配置来阻止横向移动
不需要硬件
自动日志记录
隔离物联网设备本身
单点配置
复杂性不会随着设备数量增加
设备无关性
来自 Cloudflare 网络的速度和性能优势

下一步是什么?

2021 年第四季度,我们聘请了一个可信的渗透测试合作伙伴来测试这种配置:模拟一个流氓设备,尝试在 Cloudflare One 架构之后转向生产系统,他们无法横向移动,证明这种架构是有效的。

鉴于这种架构已经通过测试,我们将开始在我们的数据中心内部正式推出 Cloudflare One,这是物理安全计划的一部分,旨在保护我们最受信赖的资产。

若要详细了解如何在您的企业使用 Cloudflare One,请联系我们的销售团队。

我们保护 整个企业网络, 帮助客户高效构建 互联网规模应用, 加速一切 网站或互联网应用 , 抵御 DDoS 攻击, 阻止 黑客, 并可帮助您踏上 Zero Trust 之旅

从任何设备访问 1.1.1.1, 使用我们的免费应用加速和保护您的互联网。

如需进一步了解我们帮助构建更美好互联网的使命,请从 这里 开始。如果您正在寻找新的职业方向,请查看 我们的空缺职位

Cloudflare One (CN) Cloudflare Zero Trust (CN) Zero Trust (CN) 产品新闻 IoT (CN)

Follow on Twitter

Derek Chamorro |@theredinthesky
Cloudflare |Cloudflare

Related Posts

December 08, 2021 1:59PM

将 Cloudflare 的 Zero Trust 平台延伸至支持 UDP 和互联网 DNS

2020 年末,经 Cloudflare 授权的组织开始在我们的网络上构建私有网络。他们在服务器端使用 Cloudflare Tunnel,并在客户端使用 Cloudflare WARP,以此消除对传统 VPN 的需求。时至今日,已有数千家组织与我们一起踏上了这段旅程—弃用了传统的 VPN 集中...