文章轉(zhuǎn)載來源安全 / 發(fā)表評論 / 作者： 物聯(lián)之家網(wǎng)
到今年年底，全球物聯(lián)網(wǎng)安全市場預(yù)計將增長到50.9億美元，很明顯，現(xiàn)代企業(yè)已經(jīng)認(rèn)識到安全物聯(lián)網(wǎng)基礎(chǔ)設(shè)施的重要性。
在開發(fā)技術(shù)解決方案時，漏洞可能是不可避免的，但漏洞常見并不意味著它們無害。讓我們來看看近年來物聯(lián)網(wǎng)漏洞帶來的一些影響。
看似簡單的物聯(lián)網(wǎng)漏洞可能會產(chǎn)生重大影響
某品牌IP攝像頭系列中存在一個已知的關(guān)鍵遠(yuǎn)程代碼執(zhí)行漏洞，該漏洞造成了重大危害，使全球2300多家組織面臨被入侵的風(fēng)險。該漏洞發(fā)生在這些攝像頭的網(wǎng)絡(luò)服務(wù)器中，可以允許黑客發(fā)出命令，授予他們對受影響設(shè)備的完整 root shell 訪問權(quán)限——甚至攝像頭的所有者都無權(quán)訪問。一旦進(jìn)入系統(tǒng)，他們就可以禁用物聯(lián)網(wǎng)設(shè)備，破壞網(wǎng)絡(luò)，并發(fā)起DDoS或其他攻擊。
在其他地方，研究人員在 Throughtek 的 Kalay IoT 云平臺中發(fā)現(xiàn)了一個嚴(yán)重缺陷，該平臺覆蓋了超過 8300 萬臺設(shè)備，包括安全攝像頭和嬰兒監(jiān)視器。該缺陷的關(guān)鍵CVSS3.1評分為9.6/10，這說明受影響的設(shè)備可能會因訪問UID而受到遠(yuǎn)程攻擊，并且根據(jù)設(shè)備的功能可能會受到進(jìn)一步的攻擊。
這些漏洞并非孤立地出現(xiàn)在消費者物聯(lián)網(wǎng)設(shè)備中。由于 CVSS v3 總得分為 9.8/10 的七個獨立漏洞，醫(yī)療物聯(lián)網(wǎng)設(shè)備目前成為攻擊目標(biāo)。這些被稱為“Access:7”的物聯(lián)網(wǎng)漏洞影響了醫(yī)療行業(yè)最流行的嵌入式設(shè)備平臺之一（同一平臺也可用于管理ATM、自動售貨機和PoS系統(tǒng)等設(shè)備）。這些漏洞涉及范圍廣泛，從默認(rèn)配置問題到未記錄和未經(jīng)驗證的命令的處理。這使患者的個人信息處于危險之中，而且使用 DDoS來攻擊醫(yī)療設(shè)備可能會導(dǎo)致生命損失。
保護(hù)設(shè)備免受物聯(lián)網(wǎng)漏洞攻擊的挑戰(zhàn)
鑒于漏洞可以來自眾多介質(zhì)，包括物理設(shè)備、軟件或網(wǎng)絡(luò)元素，可能無法完全防止物聯(lián)網(wǎng)漏洞。
為了幫助管理和解決這些問題，一些開發(fā)人員和安全組織部署了自動化和網(wǎng)絡(luò)安全工具，以幫助掃描、檢測和緩解軟件方面的漏洞。盡管有些人將這些工具視為通過“消除人為因素”來提高效率的一種手段，但研究表明，自動化工具只能發(fā)現(xiàn)大約 45% 的整體漏洞。更糟糕的是，這些檢測可能會產(chǎn)生錯誤的結(jié)果，從而導(dǎo)致延遲（誤報）或帶有已知漏洞的產(chǎn)品流向市場（誤診）。
如果他們希望發(fā)布一個合格的產(chǎn)品，即使是最好的開發(fā)人員也必須與安全專家一起工作。Enterprise Strategy Group 的一份報告發(fā)現(xiàn)，開發(fā)人員和安全團(tuán)隊之間的溝通不暢導(dǎo)致大約 48% 的產(chǎn)品帶有易受攻擊的代碼。如果在發(fā)貨之前發(fā)現(xiàn)漏洞，可能會導(dǎo)致產(chǎn)品發(fā)布延誤，或者沒有發(fā)現(xiàn)，這將導(dǎo)致不安全的產(chǎn)品流向市場。
當(dāng)然，設(shè)計團(tuán)隊、開發(fā)人員和系統(tǒng)架構(gòu)師也經(jīng)常會忽略一些常見的盲點。此外，用戶也會給系統(tǒng)帶來新的風(fēng)險，例如，使用移動終端為不良行為者提供了一個可能引入或提取潛在敏感信息的新途徑。
如何處理漏洞和其他安全問題
物聯(lián)網(wǎng)漏洞可能是不可避免的，但這并不意味著公司無法保護(hù)其系統(tǒng)免受入侵。一些最簡單的解決方案包括：
保持密碼最新和更新固件：黑客最常見的方式是使用默認(rèn)密碼，更新您的系統(tǒng)以使用獨特密碼，并保持所有固件的最新狀態(tài)，可以大大降低風(fēng)險因素。
隱藏網(wǎng)絡(luò)：如果您的物聯(lián)網(wǎng)網(wǎng)絡(luò)隱藏在公共互聯(lián)網(wǎng)之外，黑客將很難訪問它。通過部署Soracom虛擬專用網(wǎng)關(guān)、Soracom Door等專用VPN或通過Soracom Canal的安全專用連接等解決方案，企業(yè)可以大大限制其物聯(lián)網(wǎng)系統(tǒng)的公共足跡。
加密所有憑證和安全敏感數(shù)據(jù)：根據(jù)您選擇的 Web 服務(wù)，傳輸?shù)皆频臄?shù)據(jù)可能會在傳輸過程中被加密，但是您也應(yīng)該在設(shè)備級別使用加密。如果您的設(shè)備被黑客獲得，硬編碼的用戶名和密碼可以被逆向工程。相反，您可以通過使用配置工具來完全避免在設(shè)備上保留憑證。
通過入侵檢測系統(tǒng)或防火墻監(jiān)控潛在攻擊：雖然這些系統(tǒng)更多地是一種降低入侵成本的工具，但它們將密切監(jiān)控網(wǎng)絡(luò)流量，以發(fā)現(xiàn)任何可疑活動。一旦發(fā)現(xiàn)，公司應(yīng)通過適當(dāng)?shù)氖录憫?yīng)來跟蹤入侵。
制定應(yīng)對 DDoS 攻擊的應(yīng)急計劃：制定應(yīng)急計劃，以使您的服務(wù)避免代價高昂的停機時間非常重要。一旦制定了初步的應(yīng)對措施，就要審查流程以了解如何更好地解決，并且防止未來任何類似性質(zhì)的入侵也很重要。
