威脅物聯網的7大安全隱患

前言：

隨著越來越多的員工擁有各種各樣的家庭物聯網設備，他們經常連接到企業網絡來完成他們的工作。這意味著企業網絡正在面臨巨大的威脅。

1.糟糕的用戶界面

每個人都喜歡友好的Web用戶界面。對于物聯網應用程序，它們可以實現控制功能、配置設備并集成到應用系統中，比其他任何方式速度更快，更容易。然而這對于犯罪分子也同樣易用。

大多數情況下，物聯網Web界面的問題與Web應用程序的問題同樣困擾著企業。雖然SQL注入在物聯網應用程序中不是什么大問題，但命令注入、跨站點腳本編寫和跨站點請求偽造都是編程缺陷，它們可以讓犯罪分子隨時訪問設備和整個系統，以控制、監視和訪問用戶的操作。

幸運的是，大多數Web 界面安全問題的補救措施與多年來向web安全開發人員提供的安全解決措施基本相同，包括：驗證輸入、需要強密碼，并且不允許使用默認密碼第一階段的初始設置、不公開憑據、限制密碼重試嘗試，并確保用戶名和密碼恢復程序的健壯性。

2.缺少身份驗證

為一個物聯網應用程序驗證用戶身份是件好事。當應用程序可以控制建筑物的訪問和環境控制，或者提供對可能監視建筑物使用者的音頻和視頻設備的訪問時，身份驗證似乎是“必須的”，但在某些情況下，即使是最基本的身份驗證也在實施中被遺漏了。

對于物聯網應用程序來說，兩種身份驗證非常重要。首先是用戶身份驗證。考慮到許多物聯網環境的復雜性，問題是每個設備是否需要身份驗證，或者單個系統身份驗證是否足以支持網絡上的每個設備。易用性的考慮使大多數系統設計人員選擇后者，所以對接入設備或控制中心的強身份驗證顯得至關重要。

系統的單點登錄也使得另一種類型的認證——設備認證——更加重要。由于用戶沒有在每個設備接口上進行身份驗證，物聯網網絡中的設備應該要求它們之間進行身份驗證，這樣攻擊者就不能使用隱含的信任作為進入系統的憑證。

與Web界面安全性一樣，關閉這個安全漏洞的前提是將物聯網視為一個“真正的”應用網絡。由于許多設備沒有本機用戶界面(這取決于瀏覽器UI或用于人機交互的應用程序)，因此會出現“如何實現”的特殊問題，但任何設備缺乏身份驗證，使得物聯網周邊的安全性變得更加脆弱。

3.使用默認配置

你知道IoT設備自帶的默認用戶名和密碼嗎?每個人都可以進行谷歌搜索。對于那些不允許改變默認設置的設備和系統來說，這是一個真正的問題。

默認用戶憑證(比如說常用的用戶名“admin”)是在物聯網安全設置上的一個警告，但這并不是唯一重要的設置。包括使用的端口、設置具有管理員權限的用戶、是否記錄日志和事件通知，這些網絡參數都是應該關注的安全設置，應該通過這些安全設置來滿足部署需求。

除了允許將安全設置與環境現有的安全基礎設施更完全地結合起來之外，對默認設置的修改會減少IoT的攻擊面，增加了入侵者攻入系統的難度。但是，這和其他安全問題一樣，不是用戶能輕易改變的。另一種解決方案是，可以對物聯網上部署的安全基礎設施進行額外的審查。 

4.固件更新問題

固件就像細菌和豌豆一樣會不斷發展。開發人員會注意到哪里出了問題，哪里有漏洞，以及怎樣才能做得更好，并發布比最初版本更好的新固件。許多物聯網設備的問題是無法升級固件。這使得固件成為一個嚴重的漏洞。

不斷更新固件的優點之一是使系統成為移動的目標。當設備上的固件是固定的、不可移動的，攻擊者可以在空閑時間對其進行剖析，在他們自己的空閑時間開發漏洞，并對這些漏洞充滿信心地發起攻擊。今年5月爆發的VPNFilter攻擊就是這樣的一個例子，說明了當這些設備的固件無法進行更新時，可能會發生的攻擊，或者即使有更新的固件，用戶也不愿使用或根本無法更新。

顯然，如果設備可以更新，那么根據最佳安全實踐，設備應該保持最新的版本和補丁；如果設備不能更新，那么應該重點關注已知的漏洞，并采取其他安全措施確保這些漏洞在外圍的安全環境中被屏蔽。

5.云平臺接口問題

很少有商業自動化系統能夠在不依賴于云的情況下增強其處理能力和命令知識庫。尤其在使用語音處理和命令轉換的情況下，系統與云的連接可能成為一個重大漏洞。

想想在一個物聯網實例和它所依賴的云之間來回傳遞的消息類型。當然是簡單的控制數據包，可能會被用來錄制語音和視頻，任務列表，日歷事件以及DevOps框架和工具的指令。你是否知道，這些敏感數據流有沒有通過加密的隧道傳輸？

與物聯網安全的許多其他方面一樣，真正的問題是，在大多數情況下，用戶對如何保護云接口的安全沒有發言權。此外，大多數用戶都不知道云計算基礎設施所在的位置，而且可能存在安全責任劃分和監管歸屬的問題。所以你應該了解物聯網設備的功能，他們發送數據的位置，以及如何使用防火墻、入侵防御系統(IPS)和其他安全工具來彌補云接口的安全漏洞。

6.低級的網絡安全設計

一個寫得很差的物聯網設備應用程序可以從內到外暴露你的網絡，攻擊者可以通過這些漏洞滲透到你的系統中，并對物聯網設備和通用計算機發起攻擊。允許用戶在家庭網絡安裝物聯網設備，卻不更新防火墻的配置來增強防護，導致攻擊者利用防火墻的這一弱點。

在許多情況下，防火墻是應對外部攻擊的；也就是說，他們關注的是試圖進入網絡的外部流量。物聯網設備通過定期的心跳傳輸與內部控制服務器保持連接，攻擊者可以利用未加密和未經身份驗證的通信流中的漏洞，在打開連接時將惡意通信發送回網絡。

有些人可能會說攻擊者必須知道設備的連接和類型才能利用漏洞，他們是對的，但這些人可能沒有聽說過Shodan。使用一個簡單的Shodan搜索，就可以找到各種設備、通信和開放端口，而不需要花費太多的精力和時間。一旦找到，簡單的腳本就會自動處理問題。攻擊者可以輕松的利用互聯網的搜索功能找到物聯網系統的脆弱性。

7.MQTT通信協議問題

最后，當系統設計人員或開發人員完全忘記安全性時，問題就會出現。對于來自工業控制領域的通信協議MQTT，數以萬計的已部署系統甚至缺乏最基本的安全性。

多年來，工業控制安全模型過于簡單。首先，系統很少連接到任何更廣泛的區域網絡；其次，誰會想要攻擊和控制那些網絡？那里沒有什么值錢的東西!

當然，現在的系統依賴于互聯網，各種各樣的攻擊者都想獲得物聯網設備的訪問權或控制權，因為他們可以生成數據并作為進入其他系統的跳板。需要注意的是，對于MQTT和其他協議，漏洞可能并不存在于協議本身，而是存在于這些協議的實現方式中。

確保物聯網安全的關鍵是：掌握部署在物聯網上設備的作用，控制數據的流動，并通過云平臺分析、監測、預警來保障物聯網的安全性。

本文轉載自今日頭條號”e安教育“。