AWS IoT Greengrass 中的配置和漏洞分析 - AWS IoT Greengrass
AWS 文档中描述的 AWS 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 AWS 服务入门

AWS IoT Greengrass 中的配置和漏洞分析

IoT 环境可能由大量具有不同功能、长期存在且地理位置分散的设备组成。这些特性导致设备设置复杂且容易出错。由于设备的计算能力、内存和存储功能通常有限,因而限制了在设备本身上对加密和其他形式的安全功能的使用。此外,设备经常使用具有已知漏洞的软件。这些因素不仅令 IoT 设备成为吸引黑客的目标,而且导致难以持续保护设备安全。

AWS IoT Device Defender 提供了识别安全问题和最佳实践偏离情况的工具,从而解决了这些难题。您可以使用 AWS IoT Device Defender 分析、审计和监控连接设备,以检测异常行为并降低安全风险。AWS IoT Device Defender 可以审计设备,以确保其遵守安全最佳实践,并检测设备上的异常行为。这使您能够跨多个设备实施一致的安全策略,并且能够在设备遭到破坏时快速响应。在与 AWS IoT Core 连接后,AWS IoT Greengrass 会生成可用于 AWS IoT Device Defender 功能的可预测客户端 ID。有关更多信息,请参阅 AWS IoT Core开发人员指南中的 AWS IoT Device Defender

在 AWS IoT Greengrass 环境中,您应注意以下事项:

  • 您有责任保护物理设备、设备上的文件系统和本地网络的安全。

  • AWS IoT Greengrass 不会对用户定义的 Lambda 函数强制实施网络隔离,无论它们是否在 Greengrass 容器中运行。因此,Lambda 函数可以通过网络与系统内外运行的任何其他进程进行通信。

如果您失去了对 Greengrass 核心设备的控制,并且希望阻止连接设备将数据传输到核心,请执行以下操作:

  1. 从 Greengrass 组中移除 Greengrass 核心。

  2. 轮换组 CA 证书。在 AWS IoT 控制台 中,您可以在组的 Settings (设置) 页面上轮换 CA 证书。在 AWS IoT Greengrass API 中,您可以使用 CreateGroupCertificateAuthority 操作。

    如果您的核心设备的硬盘驱动器容易被盗,我们还建议使用全磁盘加密。