当前位置： && 知识详情
【技术分享】IoT安全系列-如何发现攻击面并进行测试
阅读：1484次
作者：稿费：400RMB（不服你也来投稿啊！）投稿方式：发送邮件至，或登陆网页版在线投稿IoT是物联网的代名词，然而随着这些智能设备的安全性得到越来越多人的关注。要想对物联网设备安全性进行评估，需要先了解它所涉及的各种“组件”，以确定哪部分“组件”可能发生什么样的安全问题。IoT架构基础设施可分为三大类1.嵌入式设备2.软件和应用程序3.无线电通信设备设备是任何物联网架构的关键，这里的设备指的是架构中所涉及的任何硬件设备（网关、传感器、遥控器等）。在多数IoT智能环境中，设备通常包括网关和操作设备，网关作为其他设备的控制中心，而操作设备是执行实际动作的设备（如按键遥控器）或监控传感器（烟雾探测器、水浸传感器、红外探测器等）。设备漏洞指的是嵌入式设备中常见的漏洞，比如：串口root权限访问，闪存中提取固件等…软件和云组件物联网设备中的软件和云组件包括以下元素：1.设备固件2.WEB应用3.用于控制、配置和监控设备的移动应用程序IoT架构中每个“组件”部分都有特定的漏洞，后面将详细介绍固件部分以及基于IoT的WEB和移动应用漏洞。无线电通信无线电通信是IoT架构安全的重要方面，基于无线电通信，简单说任何通信都是发生于设备与设备或应用程序与设备之间。IoT中常用的通信协议有：WiFi、BLE、ZigBee、ZWave、6LowPAN和蜂窝数据等。对于本套IoT安全系列文章，我们将看看IoT使用哪些主要通信方式和针对它们的具体攻击方法。如何发现物联网设备的攻击面到目前为止在日常的工作当中我已经完成了大量的IoT测试业务，依据个人经验，有效的物联网设备的安全测试，你需要对于给定设备进行综合评估并发现所有的攻击面。评估IoT攻击面的技术相比于评估WEB应用程序、移动应用程序并没有改变很多，多数仍是以WEB攻击面为主，比如市面上常见的网关+路由器的组合，然而这里将涉及很多IoT架构中的“组件”攻击面析。常见IoT架构遵循以下步骤可以更快的发现IoT的攻击面：1.首先了解整个物联网设备架构，通过各种途径或在厂商文档信息中发现更多的相关细节。2.对指定设备的每个架构组件建立一个体系结构图，如果是两个“组件”之间的通信，用导向线画出并指定正在使用的通信协议等详细信息，如果应用程序是使用API与云端发送和接收数据，那就在体系结构图中标记它并记录使用的是哪个API。3.当完整的体系结构图准备好时就开始像攻击者一样去思考，如果你必须攻击某个特定“组件”的话你需要确定使用什么样的技术并提取哪些辅助攻击的相关信息，在表格中列出IoT架构中的组件和所需做的测试。下表是IoT架构中一个“组件”的攻击面分析：上述分析步骤完成，我们就可以执行实际的测试攻击，既然我们已经有了明确的想法接下来看看我们可以使用什么样的攻击技术。1.IoT网关基于硬件的攻击向量-串口通信，固件导出等…..获得访问固件的权限并提取存储在其中的敏感信息。嗅探发送到云端的通信数据。重放和伪造通信数据并发送到云端。2.设备基于硬件的攻击向量-串口通信，固件导出等…..获得访问固件的权限并提取存储在其中的敏感信息。设备和网关之间的无线电通信分析攻击如：Zigbee, zWave, 6LoWPAN。BLE(蓝牙低功耗技术)攻击。3.移动应用程序嗅探发送和接收的数据。重放和伪造通信数据并发送到云端或设备。移动应用程序逆向分析及敏感数据提取。4.云端/WEB程序常见WEB漏洞等…简单案例分析下面内容记录了对某款物联网设备的攻击面及安全分析，包括网关、设备、云端、移动客户端之间的通信安全，云端API接口逻辑、网关与设备绑定和解绑等关键操作的安全情况。通信安全网关-云端-移动客户端：在套用上面的攻击面分析模型后可以发现待测设备的机密性得到了良好的保护。联合报警网关、设备、云端系统、移动客户端四者之间的通信，除了日志统计信息(对于与 logs.***.com服务器的通信)外全部是加密通信，TCP 链接使用 TLS1.2 通信，使用 HTTPS 传输，UDP 数据使用 AES-128-ECB 加密后传输。完整性通用得到了良好的保护。HmacSHA256，HmacSHA1，HmacMd5 的方式保护，Hmac 的 Key 来自于用户登录之后服务端下发的 token，联合报警设备的旧系统固件将数据本地明文存储在 xml 文件中，新版本中本地数据是加密存储的。虽然保证了机密性和完整性但仍存在安全问题，云端接口无法抵御重放攻击。POST&/api/*****/version/check&HTTP/1.1
Host:&api.******.comapi.******.com无防重放机制，通过api.******.version.check获取当前APP版本，通过更改客户端版本到较低版本，再重放该请求，可以返回需要升级的Response包。POST&/api/*****/login&HTTP/1.1
Host:&api.*****.comapi.*****.login通过传输用户名和加密的密码和短信验证码结合才可登录，该接口可以重放，通过分析业务安全防护逻辑可发现虽然云端有IP登录次数限制，但在次数限制内更换代理IP可以持续爆破用户名和密码。POST&/api/*****/getit&HTTP/1.1
Host:&api.*****.comapi.*****.getit仍可以重放，客户端退出账户，云端未将客户端sessionid做过期处理，导致云端还可以接受该sessionid并且返回相应的返回值。类似这样的接口还很多在此不一一列举。客户端与服务端的通信安全：客户端逆向分析通信的系统和认证方式：身份认证移动客户端访问云端系统使用不同的认证方式，有 token 和 session 校验这两种。在IoT架构设计层面，云端为了验证每次移动客户端的请求都要求附带token，而每次移动客户端向云端请求token将增加云端服务的压力，故该联合网关报警产品允许单次批量获取token存储本地供请求时调用。默认每次申请10个token，将count值改为100甚至更多仍可获取相应数量的token。交互安全如果你接触过IoT设备，你会知道联合报警网关可搭配：烟雾探测器、水浸传感器、红外探测器等使用。实际上传感器与网关设备的绑定、解绑也存在安全问题。射频信号重放遥控、传感器与网关通信的频率为868MHZ，如下图所示：抓取到的报警信号如下图所示：休眠模式波形如下：静默模式：使用HackRF抓取传感器向联合报警网关发送的告警信号并重放，发现联合报警网关没有防重放机制，将抓取到的信号重放警报声马上响起。本篇文章主要分析了IoT安全-如何发现攻击面并进行测试，后续文章我将会继续以实际案例讲解IoT安全测试方法和侧重点以及涉及到的协议分析、固件分析、防护措施等。
本文由 安全客 原创发布，如需转载请注明来源及本文地址。本文地址：/learning/detail/3112.html
参与讨论，请先
马克一下，写的不错
赞，为什么至少五个字
写的还是很不错的，建议多分享些，web都搞烂了高点新鲜的
安全播报APP
Copyright & 360网络攻防实验室 All Rights Reserved 京ICP证080047号[京ICP备号-6]周鸿祎：IOT设备的急速增长将带来前所未有的全球性安全威胁
虎嗅注：第七届中美互联网论坛在12月2号在美国华盛顿召开，本次论坛的主题是“对话与合作”，360公司董事长周鸿祎代表中国互联网企业在论坛上发表演讲。他表示，中国的互联网并不是美国互联网的镜像或是复制品，中国已经成为全球最大的互联网大国之一，过去都是美国互联网模式到中国来，但未来，会有更多中国创造的模式到美国来。同时，随着IOT设备的急速增长，互联网将进入真正的大数据时代，这也将带来前所未有的全球性安全威胁。以下是演讲全文。我简单自我介绍一下，我的公司叫做360，说起来和微软有些渊源。起名字的时候，我特别喜欢微软的一个产品叫做X-Box360，所以我们就取了这个名字，表示我们做网络安全希望360度全方位的保护用户。我们做安全和其他的像赛门铁克、McAfee其他做安全的公司最大的不一样，我们在2006年的时候就相信网络安全是用户的一种基本需求，所以，就像搜索、邮件、即时通信一样我觉得它是互联网里的一个基础服务，就应该免费，所以，我们面对中国的六亿用户提供免费的安全服务，重新创造了一种新的免费安全的模式。我今天想分享一个观点，就是在下一个五年，对互联网、移动互联网安全最大的威胁和挑战是什么？IOT让威胁无处不在最近大家都在谈一个趋势IOT或者IOE，Internet of Thing或者叫做Internet of Everything，我觉得这是令人感到非常激动的一个趋势，也就是我们所有能看到的、能想象到的各种各样的硬件，无论是汽车、无论是家居还是我们身上可穿戴的各种东西，甚至到很多工业生产制造业里的这些设备都会智能化，我觉得不是简单的家电传感器，它都会变成一个不像手机的手机，它都会和网络实时的连接，也有人说IOT带来了巨大的机会，它真的可以把互联网和很多online和很多offline的东西联系在一起，而且它实际上是可能比3D打印机更让人激动的，是会带来第四次工业革命，我也经常和国内很多生产制造业的企业交谈说，IOT技术可以帮助他们来重新发明轮子，也就是说我们不可能把轮子从圆的变成方的，但我们可以在轮子里加入各种智能芯片和传感技术，同时我们可以把很多企业的商业模式从单纯的一次性去卖设备，把它变成实时与互联网相连，变成互联网服务。但是，今天我想说的是，这带来了三个巨大的对安全的挑战和威胁。√ 第一，我觉得这是对各种社会的攻击的可能性大大增加，传统企业安全在部署的时候，经常喜欢说，我们把我们的网络隔离起来，让我们在边界的地方加上防火墙，加上这种安全的控制，我们就以为企业的网络就可以高枕无忧了。事实上当各种各样的设备，无处不在的设备都是通过Wi-Fi、蓝牙等各种各样的无线的协议连接到整个企业网的时候，越来越多的连接点就意味着越来越多攻击的可能性。举个例子，中国有很多厂商要做这种智能汽车，他们也来找我们说智能汽车最大的问题不是自动驾驶，甚至不是电机充电，而是消费者会认为说如果我开在路上，到底它会不会被人攻击？事实上也有很多厂商认为自己用的系统非常坚固，但我就跟他讲一个道理，你的汽车上有蓝牙，你的汽车上有一个Wi-Fi，你用你的手机去当钥匙来控制，只要有这种机会，那么我通过先控制你的手机，我就能够进一步再去控制这辆汽车，甚至国内有不少的黑客已经试图用类似的方法去劫持像特斯拉汽车，可以让它在行驶的过程中出问题，所以，以后这种边界安全的概念将会变得非常的含糊。过去我们讲终端安全非常重要，但这个终端将会随着IOT设备数目十位数的增长，我觉得攻击点会特别多，所以，这对我们每个安全企业来说都是一个巨大的挑战和机会，也就是以后汽车里面是不是也要有防火墙。√ 第二，过去我们讲起网络攻击，大家的电脑被攻击了无非是损失一些文件，如果大家的手机被攻击了可能会有更多隐私的泄露，会有一些在线的欺诈。但一旦IOT普及后，这种对IOT设备的攻击可能会带来巨大的物理伤害或者人身伤害，举两个最典型的例子，一个是汽车，如果你的汽车在行驶过程中突然死机或者突然叫停在高速公路上，你有可能出现非常严重的问题。所以，过去在美国很多好莱坞大片里看到的这种，比如在布鲁斯·威利演的《虎胆龙威》第五集里恐怖分子可以通过网络去控制工厂，控制交通信号灯，控制电梯甚至控制你们家的门锁，我觉得这在下一步恐怕不是一个幻想的电影了，这样网络攻击的结果就会比现在仅仅是一些信息和个人隐私数据的丢失更为严重。√ 第三，是针对用户大数据带来的隐私问题。我们现在都在谈大数据，但实际上我觉得真正的大数据时代还没有到来，因为现在数据的产生比如PC只是在我们工作时间会产生一些数据，但有了手机之后除了睡觉我们都在用手机，我们在用手机各种APP的时候会产生各种数据，手机会比PC产生各种大数据的上传，但对于IOT来说，因为它的计算能力比较弱，它一定要把数据传到云端，其次，IOT设备的数目会是现在的十倍，现在中国有6亿网民，未来平均一个人用两部手机，一部iPhone一部Android，就是15亿部移动的设备，但是你想像一下，以后每个人身上至少有5到10个这种IOT的设备，你的家里可能有20个不同的设备，甚至包括灯泡和插座都是连到互联网上的，所以你会发现整个IOT设备的数目会比现在大10倍到20倍，也就是说几年之后仅仅在中国市场连接互联网的这种智能终端的数量不会是15亿部，很有可能是150亿到200亿部，这是一个巨大的数字。IOT设备还有一个特点，比如今天很多人戴的运动手环或者智能手表，在你睡觉的时候它也在工作，它也在时刻7×24小时的把你的数据传递给你，所以，IOT带来一个巨大的挑战，它真正产生了海量的数据，但这些大数据实际上把一个人的各个维度的数据都搜集上来，其实你发现在这个时代任何个体没有隐私可言了，你会变成一个透明的数码人，你所有的数据都被不同的互联网公司拿到他们的服务器上。用户隐私大数据的三原则所以，我觉得我们现在很多互联网企业也非常激动，非常热衷地谈说，我们拿着这么多大数据，我们就知道一些最终的问题，你是谁，你要干什么，你准备干什么，我们都知道，所以，我们准备渴望用大数据来对用户做更精准的营销，做各种智能的推荐，这里面确实有一个平衡，就是如何保护用户的隐私。美国有一个著名的作家叫做阿西诺夫，我非常喜欢他的作品，他写了很多经典的科幻小说，他当时定了一个机器人三定律，防止机器文明的发展如何能够不伤害人类，所以他提出了三定律。所以，我们在国内也和很多互联网公司交流，我们也提出了一个用户隐私大数据的三原则和大家分享一下。√ 第一，现在在法律上定义非常含糊，我用了这些智能设备，用了手机上的APP，所有这些产生的数据被传到云端的数据，虽然是放在互联网公司的云端服务器上，但它到底是谁的资产，我们觉得应该非常旗帜鲜明的定义这些资产应该是用户的资产，只不过是用户把它托管在各个互联网公司的服务器上。当然，我有一个概念要讲，IOT以后不光是互联网公司，以后很多的企业都会变成互联网公司，比如说过去卖电视的人没有用户数据，但电视机买回家成了用户和卖电视企业之间的连接，它要拿到用户的习惯。以后卖汽车的人也至少会有一个云端的服务器给每部汽车制作OTA自动的升级和更新，所以，从这个角度来说以后越来越多的企业用了IOT技术都会变成我定义的这种互联网公司，所以，这里面我们觉得第一个原则是用户数据是用户的资产。√ 第二，其实用户之所以心甘情愿把这些数据交给互联网公司去使用，它一定是换取了很多免费或者有价值的服务，比如你在用搜索的时候，因为你要搜索，所以你就自然把自己内心非常隐私的一种需求输入进去，让你的搜索请求会被存在搜索引擎的服务端。比如你在用WhatsApp或者微信这些新一代的手机和IM软件的时候，你就会把你的地址本全部上传上去，这样系统才能帮你匹配知道谁是你的朋友，谁是你朋友的朋友，你和谁联系最频繁的。当互联网公司要利用这些用户的数据牟利的时候，这是正当的商业模式，但最关键的是用户要有知情权和选择权，也就是说用户不是完全被动的，企业必须要得到用户的授权，要通过授权交换用户使用各种免费网站的服务。如果有少数用户说我确实不愿意我的隐私拿来做商业的这种交换，那么我觉得用户可以有权利要求互联网公司去销毁和删掉自己的数据或者把这些数据允许用户自己拿走。√ 第三，我刚才讲了最近我们在中国看到一些例子，很多用户信息的丢失是因为这些互联网公司自己的安全水平不过关，导致他们的服务器被人攻破，导致一个服务器被攻破，导致在一个电商网站上所有用户的信用卡记录都被拿走了，甚至有些网站用明文来储存信用卡的密码和信用卡最后三位，本来应该用加密的三位确认码都是明文，所以，我们就意识到说如果当很多企业很兴奋地说我也要利用IOT技术，我转型成互联网公司，你要扪心自问必须要有这种技术能力和产品能力，要做到安全的存储、安全的传输，也就是说当你一方面在夸耀你拿到了多少用户的这种习惯、用户的数据的时候，你一定要尽到一个责任来保护好用户的数据，因为这种用户数据一旦从服务器上被攻破拿走，它整个造成的后果不堪设想。因为很多用户都用一个密码在所有的网站、或者所有的APP上，意味着其他的网站其他的应用也会受到攻击，所以，这是我们提出的三原则，我们很希望说在未来我们和无论是美国还是中国所有做网络安全的公司，包括做用户隐私保护的公司，也包括和很多传统的互联网公司大家一起来讨论，我觉得只有让用户有安全感，让用户觉得自己的隐私得到了保护，我觉得用户才会花更多的时间使用各种互联网的新技术和产品，这也是我们一直做免费安全的一个哲学，就是安全，特别是用户安全的上网就像人权一样，应该是一个基本点，这样互联网才能繁荣。你设想一下，如果互联网大家上去不是有钓鱼网站，就是欺诈或者自己数据的泄露，我觉得不可能有一个真正美好的互联网。谢谢大家。
*文章为作者独立观点，不代表虎嗅网立场
授权 虎嗅网 发表，并经虎嗅网编辑。转载此文章须经作者同意，并请附上出处()及本页链接。原文链接/article/103012.html
未来面前，你我还都是孩子，还不去下载 猛嗅创新！
后参与评论直击 IoT 重点安全隐患 - 行业应用 - ITeye资讯
相关知识库：
引用原文：
作者： Jeff Pollard
译者：张新慧
审校：屠敏，关注 IoT 等领域，寻求报道或者投稿请发邮件。
引用守卫联网设备安全应是网络安全主管们的首要职责。本文将悉数IoT重点安全隐患。
谈及物联网（IoT）安全问题，近两年媒体的关注点都是联网汽车、可穿戴设备和智能家居等IoT设备遭受攻击的具体事件。
这些固然放大了某些IoT设备的弱点，加强了人们对IoT安全的重视，但只见树叶，不见森林。
IT安全部门应清楚，IoT在企业中的应用将集中在：联网设备以及联网业务流程。
全公司上下，不论是使用者，制造者，还是操作者对IoT的应用方式都各不相同；而这些利益攸关者中，处于同一条纵向业务线的人甚至需要IoT进一步个性化和定制化。
IoT设备可以升级企业的业务流程，但若操作者遍布全球，且使用的宽带网络质量参差不齐，那么安全人员须区分对待，而不是一刀切地认为他们跟享受优质网络连接的本地员工没什么不同。
核心系统危机
不仅仅是设备，核心系统或应用也容易成为黑客的目标，因为后者是收集、规范化以及储存海量IoT设备信息的重要载体。
尽管强有力的终端设备安全防范措施仍或不可缺，但应更多从黑客的角度思考问题：既然直接攻击应用就能让上百个车载娱乐系统染上僵尸病毒，那么攻击一台设备有什么意思？既然可以捣乱竞争对手供应链的物流数据而延迟交货，干嘛在一辆货车上费心思？
残酷现实
芯片组、形状系数和电池寿命的改良和创新让IoT设备甚至可以部署在恶劣或危险的环境下，让数据组和IoT之前无法想象的实时遥感勘测成为现实。一位Cisco（思科）研究者称：IoT最大特点在于——用户并没有意识到他们的，IoT是实体和数字的结合。举个例子，通过可穿戴设备可以知道一位20多岁的用户有着固定的慢跑路线，这对运动饮料的广告商很有价值，但也可能被坏人利用策划绑架。
危机意识
IoT设备为吸引消费者，提升服务提供了新机遇，但对于制造、销售或使用IoT设备的公司里的CISO（首席信息安全官）而言，也意味着紧迫的，包括很容易被忽略的固件更新缺陷。安全主管人员必须清楚：IoT攻击门槛并不高。很多安全专家以为IoT设备相比功能齐全的普通电脑数量那么少，就不会成为目标。这么想就错了。
实际上，Riot OS和Windows 10 IoT core（微软的物联网核心系统）等Linux操作系统就跟开放给IoT架构的普通OS没什么不同，这种情况下能攻击笔记本电脑的黑客转而攻击IoT设备易如反掌。IoT安全公司Senrio透露说：“两年前，我们公司两个实习生做一个公共项目，短短一个月就远程攻击了一台ATM、一个智能家居控制器、几台医疗设备、一台路由器。” 由此可见，黑客故技重施，将攻击电脑的那套法子拿来“绑架”IoT设备来赚钱也没什么不可能。
折了设备又赔钱
IoT安全防线要是没守住，影响的不但是设备本身，还有金钱损失。跟窃取信用卡和身份数据来偷钱的传统网络攻击不同，某一类IoT设备牵扯到生命健康。2016年8月，网络安全公司MedSec发现St Jude Medical公司生产的联网起搏器有致命缺陷。后来Muddy Waters研究公司的一份报告向投资者严厉批评了这一失误严重威胁了病人健康，潜在的产品召回和诉讼还有可能惊动监管部门。
消费者也很担心。Forrester的科技消费调查就发现64%的被调查者担心使用IoT设备会泄露身份信息。
受限物联网设备出现问题尤其难以解决。很多IoT设备是没有用户界面/屏幕的，所以不会像电脑那样推送更新及步骤。别奇怪，过不了几年你的邻居也许就会告诉你，他们买新的冰箱并不是要翻新厨房，而是因为冰箱的软件有不可修复的安全漏洞。
“人们掏钱买的是IoT设备，没人给开发团队付钱，”Cisco一位研究者说：“IoT设备寿命很长，如果制造商仅保修一两年，那么一两年以后就只能靠你自己了。”
隐私为重
海量的IoT设备需要隐私保护。为了了解消费者的背景和行为，公司须收集和分享大量数据，这就意味着CISO们需要强有力的隐私控制，特别是静态数据。消费者很难了解被收集了多少数据，其中又有多少给公司赚钱了。
安全主管人员需要向用户解释为什么要收集他们的信息，这些信息用来做什么，以及让用户自己来决定什么信息可以被收集、如何被使用、如何被分享。大概67%的安全主管人员担心IoT隐私侵犯问题。对于CISO们而言，这既是挑战，也是公司受益透明化，赢取用户信任的绝佳机会。
相关资源推荐物联网(IOT)：企业需要考虑的七个风险因素
　　随着物联网(IoT)的发展，从手机和汽车到冰箱和灯开关，几乎所有的电子设备都可以连接到互联网。现在连接到互联网的设备数量正在迅速增长，预计到2020年，这个数字将达到500亿。
　　然而，尽管物联网看起来很有创意而且很方便，但这种趋势也带来了安全风险，企业和消费者都将不可避免地要面对这些风险。具有操作系统的联网设备都可能受到攻击，所以这些设备可能会成为攻击者入侵企业的后门。
　　在这篇文章中，我们将讨论物联网的发展情况，并探讨企业应该如何应对物联网设备带来的安全风险。
　　什么是IoT?为什么它越来越受欢迎?
　　IoT的概念正在迅速遍及整个社会，它几乎可以改善每个人的生活和每个企业的运作。这给企业创造了巨大的机会来开发新的服务和产品，从而为其客户提供更多的便利，并提高他们的满意度。
　　而在用户方面，谷歌公司最近宣布正在与主流汽车制造商(奥迪、通用汽车和本田)合作，将连接Android的汽车推向市场。目前，谷歌公司正在开发一款新的Android平台，用以连接汽车到互联网。可能不久以后，汽车车主将能够从计算机或者智能手机锁定或者解锁其车辆、启动发动机甚至监控车辆性能。
　　除了给个人用户带来的这些好处，IoT设备还能够给企业带来巨大优势，企业移动管理就是一个很好的例子。想象一下，快递到企业的每个包裹附带内置RFID芯片，该芯片可以连接到企业的网络，并关联到相关物流系统。或者在医疗环境，检查室的每台仪器都连接到网络，并传输传感器收集的病人数据。在养殖业方面也有优势，试想一下，对每个动物进行数字化跟踪，以监视其位置、健康情况和行为。IoT的潜能是无限的，可连接到互联网的设备数量也是无限的。
　　但是，在IoT带来优势的同时，也带来了很多风险。连接到互联网的任何设备都有嵌入式操作系统部署在其固件中，由于嵌入式操作系统通常没有将安全性作为首要考虑因素，所以几乎所有这种操作系统都存在漏洞，针对Android设备的恶意软件数量就是最好的例子。类似威胁也可能在IoT设备间传播。
　　企业和用户必须准备好应对IoT的诸多风险问题。下面列出了物联网领域将面对的七个风险问题，并提出了可以帮助企业应对这些风险的建议。
　　1.破坏性攻击和拒绝服务攻击
　　为了避免潜在的运行故障和企业服务中断，企业的重点工作是确保IoT设备的持续可用性。即使是增加新终端到网络这样看似简单的过程(特别是采用机器对机器通信的自动设备，例如帮助运行电站或建立环境控制的设备)，企业都必须关注针对这些部署在远程位置的设备的物理攻击。这将要求企业加强物理安全以防止对安全外围之外的设备的未经授权访问。
　　破坏性网络攻击(例如拒绝服务攻击)可能为企业带来严重后果。如果数千台IoT设备试图访问企业网站或者数据feed，而发现其不可用时，企业曾经满意的客户将会感到不满，这会导致企业收入损失、客户不满，还可能影响企业在市场的声誉。
　　IoT面临的很多挑战与携带自己设备到工作场所趋势的挑战很类似。管理丢失或被盗设备的功能(无论是远程擦除还是至少禁用其连接)对于处理受攻击IoT设备是关键因素。部署这种企业战略将能够帮助减小企业数据落入坏人之手后的风险。其他管理BYOD的政策也会有所帮助。
　　2.了解漏洞的复杂性
　　去年，一个未知攻击者利用了流行的联网婴儿监视器中的已知漏洞来窥探一个两岁小孩。这个事件表明，IoT可能给企业和消费者带来巨大的风险。另一个更具戏剧性的例子是，想象一下，使用温控器等简单IoT设备来操作核电厂的温度读数。如果攻击者攻击了该设备，后果可能是灾难性的。因此，了解这些复杂仪表的漏洞所在及其构成的威胁严重性，是非常重要的工作。为了降低这种风险，任何涉及IoT设备的项目都必须在设计中考虑安全因素，并部署安全控制，以及利用预先建立的基于角色的安全模型。由于这些设备可能涉及企业可能从未见过的硬件、平台和软件，漏洞的类型也可能也不同于企业先前面对的漏洞。企业绝对不要低估IoT设备可能带来的风险。
　　3.IOT漏洞管理
　　在IoT环境的另一大挑战是，弄清楚如何快速修复IoT设备漏洞以及如何优先排序漏洞修复工作。
　　由于大多数IoT设备需要固件升级来修复漏洞，远程完成修复工作将变得复杂。例如，如果打印机需要固件升级，IT部门不太可能像在服务器或桌面系统那样快速地安装补丁;升级自定义固件通常需要额外的时间和精力。
　　同样具有挑战性的是，如何处理IoT设备首次使用时提供的默认登录凭证。通常情况下，无线接入点或打印机等设备会使用已知的管理员ID和密码。此外，设备可能提供一个内置web服务器，允许管理员远程连接、登录和管理设备。然而，这是一个巨大的漏洞，可能让IoT设备落入攻击者的手中。对于这个问题，企业需要制定严格的调试过程，还需要创造一个开发环境来测试和扫描设备的初始配置，以发现其中的漏洞，并在设备转移到生产环境之前解决这些问题。同时，这还需要合规团队来确认设备已经可用于生产环境，定期测试安全控制，并确保密切监测和控制对设备的任何更改，还有及时解决任何发现的操作漏洞。
　　4.确定和部署安全控制
　　在IT世界，冗余性是关键;如果一个产品故障了，另一个产品应该能够接替它。分层安全概念的工作原理与之类似，但这取决于企业如何分层安全和冗余性来管理IoT风险。例如，在医疗保健行业，医疗设备不仅可以监控病人的健康状态，还能够基于设备执行的分析来配药。我们也不难想象到，如果这些设备遭受攻击，后果将多么严重。
　　企业所面临的挑战在于，对于这些新兴的联网设备，哪些位置需要安全控制，以及如何部署有效地控制。鉴于这些设备的多样性，企业将需要进行自定义风险评估，以发现有哪些风险以及如何控制这些风险，这种风险评估通常需要依赖于第三方的专业技术。这里一个有趣的例子是，前副总统Dick Cheney因担心恐怖分子会入侵他体内植入的医用心脏除颤器实施致命电击，而关闭了该除颤器的远程连接功能。遗憾的是，大多数企业无法让这些设备离线。在所有情况下，拥抱IoT趋势的企业必须定义自己的信息安全控制来确保对IoT的可接受的充分的保护。随着这种趋势的日趋成熟，行业专业人士肯定会开发出最佳做法。
　　5.满足对安全分析功能的需求
　　对于连接到互联网的各种新的Wi-Fi设备，企业将需要收集、汇总、处理和分析海量数据。虽然企业会在这些数据中发现新的商业机会，但这也意味着新的风险。
　　企业必须能够识别IoT设备上的合法和恶意流量模式。例如，如果企业试图下载看似合法的应用到其智能手机，而其实该应用包含恶意软件，企业最好部署可操作的威胁智能措施来发现这种威胁。最佳分析工具和算法不仅能够检测恶意活动，而且还能够提高客户的支持力度，以及改进提供给客户的服务。
　　为了迎接这些挑战，企业必须构建正确的工作和流程以提供足够的安全分析功能。
　　6.模块化硬件和软件组件
　　在IoT的各个方面都应该考虑和部署安全性，从而更好地控制联网设备的部件和模块。企业还应该预计到，攻击者会试图破坏IoT设备的供应链，植入恶意代码和其他漏洞，并在设备部署在企业环境后利用它们发动攻击。企业可能还有必要为IoT设备采用Forrester Zero Trust等安全模型。
　　如果可能的话，企业还应该隔离这些设备到其自身的网段或vLAN。此外，微内核或管理程序等技术可与嵌入式系统结合使用，以在安全泄露事故中隔离系统。
　　7.快速增加的带宽需求
　　根据Palo Alto公司进行的一项研究显示，在2011年11月和2012年5月之间，在该供应商监测的网络中，网络流量增加了700%，这主要归功于流媒体、P2P应用和社交媒体。随着越来越多的设备连接到互联网，这一数字还将继续增加。
　　然而，对互联网的需求增加可能会提高业务连续性风险。如果关键应用不能获得其所需的带宽，消费者将获得糟糕的体验，员工工作效率会受到影响，企业盈利能力也可能会下降。
　　为了确保服务的高可用性，企业必须考虑增加带宽以及提高流量管理和监控。这不仅将降低业务连续性风险，还可以防止潜在的损失。此外，从项目规划的角度来看，企业需要进行容量规划，并检查网络的增长速度，以确保满足快速增长的带宽要求。
　　物联网给消费者以及企业带来了巨大的潜力，但同时也带来了风险。信息安全企业必须开始准备从保护个人电脑、服务器、移动设备和传统IT基础设施，过渡到管理更广泛的互连设备，包括可穿戴设备、传感器和我们目前无法预见到的技术。企业安全团队现在应该采取措施来研究最佳安全做法以保护这些新兴设备，并且，随着这些设备进入企业网络进行机器对机器通信、海量数据收集和很多其他用途，企业必须准备更新风险矩阵和安全政策。企业内增加的复杂性不容忽视，同时，为了在日益互连的数字世界确保基本的机密性、完整性和可用性，威胁建模将是关键。
第1页第2页第3页第4页第5页第6页第7页第8页第9页第10页
点击查看余下全文