原文：Tactics for defending IoT devices from hackers often overlooked, experts say

作者：Bill Siwicki

译者：汤益榕

医疗保健行业的安全专家拥有着极其丰富的手段来保护物联网设备免受攻击。在医保行业中中有很多专业的方法来保护物联网设备；然而，安全专家可以从时常被忽视的保护方法中获益，本文中安全专家分享一些对于防范黑客攻击有着极高的价值的保护方法，。

“物联网设备的使用越来越普遍了。在医疗设备方面，物联网的安全性十分重要，因为一旦出现危险，后果相比其他行业带来的影响要大得多。” IT 安全公司 Arxan Technologies 的首席技术官 Sam Rehman 说道， “应该采取一些措施，减少袭击的机会和影响程度。”

Rehman 提供了一系列最佳措施，包括：

修改设备的设置，不要在最初出厂设置的情况下使用。大多数黑客机器人使用默认设置作为第一次攻击的尝试。

如果设备不需要互联网访问权限，将它们的网络权限限制在仅能访问本地环网网络。否则，只允许出站网络，请勿开放端口监听。

确保设备的固件上是最新版本。

始终使用双重验证保护固件，使其不容易被攻破。

使用防御软件和白盒密码来保护嵌入式证书和密钥。

定期检查软件健康和设备情况。

“IoT设备现在被黑客用来查找秘密和协议来访问后端服务，并绕过数据中心的访问控制；这些设备还被用来劫持节点以拒绝服务，窃取数据或伪造数据处理，甚至作为跳板攻击其他节点；运行可能影响患者安全的未经授权的数据处理；劫持节点和服务器索取赎金，”雷曼说，“这些列表上的措施将使黑客获得对你的设备和机密的控制更加困难，并且还可以减少黑客攻击的传播和影响。”

安全技术供应商 Axis Communications 的业务开发行业部门和北美网络策略高级经理 John Bartolac 也分享了一些可能被一些医疗保健公司忽视的物联网设备保护策略。

“强制密码管理政策和推行不遵守密码保护的惩罚，”Bartolac 建议，“始终确保你有计划地对所有网络设备进行编排，并确保每六个月进行一次定期审核，以确保所有设备都具有最新更新的软件或固件。此外，只安装可信应用程序并禁用未使用的服务。”

关闭未使用的服务可能是防止恶意攻击的关键。

“在部署设备时不停用未使用的服务可能会使设备容易受到攻击，”Bartolac 表示，“从未经测试的开发人员处下载应用程序也是如此，因为它们可能包含攻击者可以利用的恶意脚本。禁用未使用的服务和仅安装受信任的应用程序可以减少潜在的犯罪者可能通过物联网设备破坏网络的机会。”

最后，不要忽略健全的密码管理措施。大多数基于 IP 的设备都附带默认密码和设置。

Bartolac 说，如果没有采用这些措施，并且没有在所有设备上实施正确的管理，黑客便可以轻松地获得未经授权的系统访问。

“使用密码来阻止攻击的最有效方法是使用至少八个难以猜测的字符作为密码，加上极其复杂的字符使用情况，定期更改密码，并对密码执行严格的管理策略，”他补充道， “如果设备支持使用真实性证书，并且你的网络架构支持此设置，请始终使用这些代替密码。”