边缘计算安全性的挑战与好处

将更多工作负载移至其网络边缘处理的组织需要调整其保护和管理数据及设备的方式。但是还要注意哪些事项?

ABB公司是一家总部位于瑞士苏黎世的跨国集团，专注于机器人技术、电力、重型电气设备和自动化技术领域，该公司在其工厂中采用边缘计算技术，而首席安全官Satish Gannu的任务是确保新兴技术和数据收集的安全。

Gannu表示，他必须确保该公司工厂设备上数据的完整性、安全性和隐私性，并防止任何恶意软件从云端通过网络移动到终端设备本身。

他说：“在我们的工厂中，如果试图在几毫秒内采取措施，则需要在边缘进行。但是，一旦开始收集数据，边缘计算的安全性从第一天部署开始就至关重要。边缘位于IT边界之内，因此具有大量的安全措施。但是与此同时，我们正在建立一条从边缘到云平台的隧道。所以，现在在云平台边界之外建立连接，然后允许数据通过隧道。这就是流量可以离开边缘很重要的原因，但是返回隧道的内容需要进行身份验证，关键是控制数据的位置。无论数据是在边缘还是在云中，都必须弄清楚谁可以访问它，谁在监视它。”

Gannu表示，他采用了一系列方法来保护ABB公司的边缘计算计划和其中的数据，使用了一系列协议和技术——从防火墙到安全存储，再到安全注册过程，再到经过身份验证的流量。

随着边缘计算的蓬勃发展，像Gannu这样的安全主管面临着类似的边缘安全挑战，因为他们试图围绕越来越多的边缘设备制定和执行安全、隐私和合规标准，不断扩展的连接网络和各种新的软件部署，使网络边缘的实际计算能力成为可能。

阿尔斯特大学网络安全教授、电气与电子工程师研究所高级成员Kevin Curran说，“边缘计算涉及新的风险，但是不能说它的安全性较低;这只是需要考虑的另一组安全性问题。”

新的边缘计算安全风险

据专家介绍，边缘计算带来了一些新的安全风险。

总部位于伦敦的PA咨询公司的转型专家Proteus Duxbury表示，最令人关注的问题是设备的物理安全性，与安全地保存在企业内部的典型办公设备和技术相比，这些设备更容易受到恶意攻击和遭受各种灾难。

Duxbury说，“在高度分布式的模型中，存在物理安全性和完整性威胁，因为无法保证设备不会被他人使用。因此，需要检查手机、边缘设备和微型数据中心的物理安全性。”

他指出，诸如电信公司部署的微型数据中心(在某些情况下位于通信塔台上)引入了企业数据中心和大型云计算提供商所不存在的一定程度的物理漏洞。

同时，许多企业将面临挑战，以了解、跟踪和监视他们拥有的数据以及在何处，基于每个端点特定的数据和漏洞，在各个点需要什么样的保护，以及如何管理企业可能很快会出现的庞大基础设施。

Duxbury解释说，“当企业将数据保留在边缘时，将在系统中引入更多漏洞。但这并不是因为这是一种新的威胁，而是因为现在所做的事情越来越多。”

边缘计算安全性带来的好处

尽管边缘计算带来了新的挑战，但专家表示，它还提供了一些与安全性相关的好处。边缘计算是一种新兴技术，但专家建议IT领导者为其边缘计算能力制定安全、隐私和合规计划，就像为其传统的技术基础设施和数据存储制定计划一样。

Duxbury说，“在某些方面，边缘计算具有更大的弹性，但如果之间的距离足够近，一场大风暴可能就会影响到企业所有的数据中心，而企业就可以在边缘处理数据并进行计算，这使我们能够在数据和处理方面具有弹性。而且，无论是光纤电缆还是电话线缆，通过通信线路传输的数据都更少。因此，风险可能会更低，因为数据不会离开边缘。”

他说：“在某些方面，边缘计算带来了更大的安全性，因为企业现在的数据比较分散，并没有集中数据。因此漏洞的影响可以得到高度遏制。”

与此同时，物联网设备供应商在近几年因在这方面做得不够而受到批评之后，一直致力增加更多的边缘计算安全元素。加利福尼亚州2018年颁布的物联网安全法(IoT Security Law)从2020年开始实施，要求物联网设备的制造商包括旨在防止未经授权的访问、修改和信息披露的安全功能，这有助于将这一问题进一步推向前沿。

基本原理仍然适用

Curran表示，组织和IT领导者需要在其安全团队中培养新技能，以应对边缘计算带来的新型安全和合规性挑战，并指出安全工作者必须在安全虚拟网络基础设施方面发展更多的知识、基于规则的访问控制策略和多租户虚拟服务器基础设施。

他补充说，企业还必须保留迄今为止所需的常规安全性和合规性，因为安全性、合规性和隐私风险以及当今存在的治理需求并不会随着边缘计算的应用而消失。

实际上，专家指出，边缘计算的安全性和功能容易受到拒绝服务攻击、勒索软件和其他传统类型威胁的攻击。

尽管边缘计算是一种新兴技术，但专家建议IT领导者为其边缘计算能力制定安全、隐私和合规计划，就像为其传统的技术基础设施和数据存储制定计划一样。

Gannu说，“安全性的基本层面并没有改变：企业需要评估风险，并进行威胁和风险分析，然后确定需要做什么。”