什么是物联网攻击面？如何防范物联网安全风险

作者：Mary K. Pratt | Jessica Lulka，发布于2023年6月27日

什么是物联网攻击面？

主要物联网安全风险

如何防范物联网安全风险

物联网终端已经成为黑客攻击的主要目标。

事实上，Forrester Research在其《2023年物联网安全状况》报告中得出结论，物联网设备是报告最多的外部攻击目标；他们比移动设备或计算机受到的攻击更多。

考虑到保护物联网生态系统的挑战，这并不奇怪。

首先，物联网行业没有一套明确的安全标准供开发人员和制造商构建一致的安全性。IT管理员经常发现很难跟踪和更新设备，这些设备可能会在现场保留多年。

与此同时，黑客扫描网络中的设备和已知漏洞，并越来越多地使用非标准端口来获取网络访问权限。 一旦他们拥有设备访问权限，就可以更轻松地通过设备上的无文件恶意软件或软件内存避免被检测到。

因此，IT管理员必须在其物联网部署中解决许多物联网安全威胁，然后实施预防策略。

什么是物联网攻击面？

在基本层面上，攻击面是未经授权的系统访问的入口点总数。物联网攻击面不仅限于入口点，还包括物联网设备、互联软件和网络连接的所有可能的安全漏洞。

人们对物联网设备安全的关注包括攻击者不仅可以破坏物联网设备的网络和软件，还可以破坏设备本身。此外，物联网设备的更新速度，往往快于安全、可靠连接的流程和协议的更新。

企业组织可以采取一些措施来保护物联网攻击面，但这需要专业人员和专业知识来制定适当的策略，以主动检测威胁并被动地应用措施来缩小攻击面的规模。

主要物联网安全风险

以下是六个常见的物联网漏洞和六个构成最重大风险的外部威胁。

不断扩大的攻击面

对企业组织保护其物联网环境的最大威胁之一是其庞大的规模。 每个研究人员对世界上实际联网设备数量的估计各不相同，但这些设备的数量一直在数十亿，并且还在不断增长。 例如，IoT Analytics网站在其"State of IoT -- Spring 2023" report报告中预计，2022 年活跃物联网端点数量为143亿个，比上一年增长18%。IoT Analytics预计，到2023年，全球联网的物联网设备数量将增长16%，达到167亿个活跃端点。

当然，单个组织需要保护的设备要少得多。尽管如此，这个数字仍然在快速增加。最近由Ponemon Institute进行并由Adaptiva赞助的一份报告"Managing Risks and Costs at the Edge"发现，每个组织平均管理着大约135,000台端点设备。 此外，物联网设备通常全天候（24/7）运行，其中许多（尽管不是全部）持续连接。

不安全硬件

单个终端设备可能会给整个IoT生态系统，甚至是企业的IT环境的安全带来风险。由于在算力和低功耗设计上的局限性，嵌入式设备往往缺乏内生安全机制。因此，许多设备无法支持身份验证、加密和访问控制等安全功能。而且，即使终端设备确实具有一些安全控制（例如密码），一些企业组织仍然在不使用或启用这些可用安全选项的情况下部署它们。

维护和更新挑战

维护设备、更新软件所面临的挑战会产生更多的安全漏洞。这里有一些促成因素。首先，设备供应商可能不会愿意提供更新，例如用于解决黑客可能利用的漏洞的安全补丁，特别是如果设备是旧型号的话。 其次，由于连接限制以及设备有限的计算和供电能力可能导致无法更新现场部署的设备。

缺少资产管理

即使可以进行更新，企业组织也可能不知道他们是否有需要更新的设备。Ponemon Institute的报告发现，大多数企业组织无法了解其所有物联网设备部署；事实上，其调查显示，平均48%的设备（即每个组织近65,000台）面临风险，因为它们“不再被组织的IT部门检测到，或者终端设备的操作系统已经过时”。该报告进一步发现，63%的受访者认为，“缺乏对终端设备的可见性是实现强大安全态势的最大障碍”。

影子IoT

还有一个潜在的风险是影子IoT，即在没有IT或安全部门官方支持或许可的情况下部署的物联网设备。 这些未经批准的物联网设备可能是具有IP地址的个人物品，例如健身追踪器或数字助理，也可能是企业组织的设备，例如无线打印机。无论哪种方式，它们都会给企业带来风险，因为它们可能不符合组织的安全标准，即使满足，它们的配置和部署也可能不遵循安全最佳实践。此外，IT管理员和安全团队通常缺乏对这些部署的了解，因此可能不会监控它们或其流量，从而使黑客更有可能在不被发现的情况下成功破坏它们。

未加密的数据传输

物联网设备在测量和记录大量数据。它们将大部分数据发送到集中位置（通常在云端）进行处理、分析和存储；有时候，设备还会收到控制命令，以便实现某种操作。Palo Alto Networks 2020年的一份报告发现，98%的物联网设备流量未加密，“在网络上暴露个人和机密数据，使攻击者能够监听未加密的网络流量、收集个人或机密信息，然后利用该数据在暗网上牟利。”

IoT僵尸网络

除了漏洞之外，还存在来自IoT外部的威胁。僵尸网络就是此类威胁之一。企业IT和安全领导者始终将其列为继近十年前出现的Mirai等主要僵尸网络攻击之后的首要威胁。

在此类攻击中，攻击者通过未受保护的端口或网络钓鱼软件感染IoT设备，并将其纳入IoT僵尸网络，用于发起大规模网络攻击。黑客可以轻松地在互联网上找到恶意代码，这些代码可以检测易受攻击的机器，或者在另一个代码模块向设备发出信号以发起攻击或窃取信息之前隐藏代码以防止检测。

IoT僵尸网络经常用于DDoS攻击，以淹没目标的网络流量。僵尸网络编排者发现物联网设备是一个有吸引力的目标，因为安全配置较弱，并且可以委托给用于目标组织的僵尸网络的设备数量很多。2023年《诺基亚威胁情报报告》发现，参与僵尸网络驱动的DDoS攻击的物联网机器人数量比上一年从约20万台设备增加到100万台设备。

DNS威胁

许多企业组织使用IoT从没有最新安全标准的旧机器收集数据。当组织将旧设备与IoT相结合时，可能会使网络面临旧设备漏洞的威胁。IoT设备连接通常依赖于DNS，这是20世纪80年代的一种去中心化命名系统，它可能无法处理可能增长到数千台设备的IoT部署规模。黑客可以利用DDoS攻击和DNS隧道中的DNS漏洞来获取数据或引入恶意软件。

恶意节点注入

黑客还可以通过将虚假节点插入或注入合法连接节点的网络来攻击物联网生态系统，从而使黑客能够改变和/或控制虚假节点和合法节点之间的数据流，并最终控制网络中的所有节点。

IoT勒索软件

随着连接到企业网络的不安全设备数量增加，物联网勒索软件攻击也随之增加。黑客用恶意软件感染设备，将其变成僵尸网络，探测接入点或在设备固件中搜索可用于进入网络的有效凭据。

通过物联网设备进行网络访问，攻击者可以将数据泄露到云端，并威胁要保留、删除或公开数据，除非支付赎金。 有时，付款不足以让组织取回所有数据，勒索软件无论如何都会自动删除文件。勒索软件可能会影响企业或重要组织，例如政府服务或食品供应商。

篡改物理设备

另一个风险是黑客篡改物理设备。这可能意味着攻击者可以物理访问物联网设备以窃取数据，篡改设备以在其上安装恶意软件，或者访问其端口和内部电路以侵入组织网络。

固件漏洞

黑客可以针对IoT设备中的已知固件漏洞，就像他们针对组织IT环境中部署的软件漏洞一样。

如何防范物联网安全风险

IT团队必须采取多重方法来缓解物联网安全风险。企业组织可以实施更广泛的最佳实践和策略，但管理员还应该针对不同类型的IoT攻击制定具体的防御措施。

IoT安全是策略执行和软件的结合，用于检测和解决任何威胁。

监督IoT设备的IT团队应该针对网络上的任何设备制定强大的密码策略，并使用威胁检测软件来预测任何潜在的攻击。

他们还应该有一个全面的资产检测和管理计划。IT团队对企业中部署的终端设备以及设备上的数据了解越多，主动检测安全风险和威胁就越容易。

IT管理员可以用来防止安全攻击和实现弹性的基本策略包括设备漏洞评估、禁用不需要的服务、定期数据备份、灾难恢复程序、网络分段和网络监控工具。

IT管理员可以通过DNS安全扩展(DNSSEC) 确保DNS漏洞不会对IoT安全构成威胁。这些规范通过数字签名保护DNS，确保数据准确且未经修改。当IoT设备连接到网络进行软件更新时，DNSSEC会检查更新是否到达预期位置，而没有被恶意重定向。组织必须升级协议标准，包括MQTT，并检查协议升级与整个网络的兼容性。IT管理员可以使用多个DNS服务来实现连续性和额外的安全层。

此外，组织应遵循基本的网络安全措施，例如身份验证、定期更新和补丁，并在将IoT设备添加到网络之前确认其符合安全标准和协议。

数据保护策略是提高IoT安全性的另一种方法。IT团队可以通过使用可视化工具、数据分类系统、数据加密措施、数据隐私措施和日志管理系统来帮助确保数据安全。

对于物理安全措施，组织应将设备放置在防篡改的盒子中，并删除制造商可能在部件上包含的任何设备信息，例如型号或密码。物联网设计人员应将导体埋入多层电路板中，以防止黑客轻易访问。如果黑客确实篡改了设备，那么设备应该具有禁用功能，例如打开时短路。

审核编辑：黄飞