物联网 (IoT) 安全：问题和解决方案
已发表: 2023-10-30- 什么是物联网安全？
- 为什么物联网安全很重要？
- 物联网面临哪些安全挑战？
- 哪些类型的攻击通常会危害物联网设备？
- 固件漏洞攻击
- 途中攻击
- 凭证攻击
- 基于物理硬件的攻击
- 哪些物联网设备最容易遭受安全漏洞？
- 哪些安全措施可以更好地保护物联网设备？
- 将物联网安全框架纳入研发阶段
- 定期更新
- 强制设备身份验证
- 多重身份验证 (MFA)
- 更强的凭证安全性
- 加密
- 安全培训和最终用户教育
- 哪些企业最容易受到物联网攻击
- 结论——物联网安全的未来是光明的
- 常问问题
- 什么是物联网 (IoT)？
- 什么是物联网设备？
我们被 IoT（物联网）设备包围，现在依靠它们来完成日常任务。 每当您按门铃或使用手机调节恒温器时，您都会与物联网设备进行交互。
每个物联网设备都代表着消费者和网络安全专家的安全担忧，以及网络犯罪分子的机会。 随着传感器、芯片和软件进入更多物体，并且这些物体越来越成为日常生活和商业运营的一部分，这些担忧也在扩大。
仅 2022 年，针对物联网设备的攻击就超过1 亿次，同年上半年针对这些设备的恶意软件攻击增加了 75% 以上。
我们将介绍物联网行业的安全问题、物联网安全的现状、最佳安全措施，以及企业和最终消费者如何准备和应对这些挑战。
另请阅读：数字隐私：有关如何在互联网上保护自己的提示
什么是物联网安全？
物联网安全是保护物联网设备、网络和数据免受网络威胁的实践。 这是一门相对较新的学科，面临着不断增长的挑战。
为什么物联网安全很重要？
越来越多的物体配备了传感器和数据共享功能。 例如，现在有智能水瓶、除臭剂和皮带。
由于其非正统的制造工艺和管理的数据量巨大，这些设备中的每一个都代表着独特且严重的安全风险。 它们为攻击者提供了渗透网络并破坏与其连接的其他设备的网关。
成功入侵物联网设备可能会给个人和企业带来严重后果。 在几起引人注目的物联网设备被用作攻击网络入口点的案例中，其后果已经很明显。
2023 年 3 月，中国对讲机制造商Akuvox 生产的对讲机中发现了可帮助攻击者进行间谍活动的漏洞。
这些漏洞和潜在的严重后果凸显了对强大的物联网安全的迫切需求。 人们和企业需要最好的安全技术、协议和组件，才能充分享受物联网设备的优势，而不必担心被破坏。
物联网面临哪些安全挑战？
每当一种新型设备和应用程序进入物联网领域时，物联网安全领域就会变得更加广阔。 即使仅使用蓝牙连接的电子设备也会为威胁行为者提供更多的攻击面。
另请阅读： [已修复] 为什么我的蓝牙在 Windows 10/11 PC 中无法工作
保护制造过程中仅包含低于标准安全控制和协议的设备是一项艰巨的任务。 也就是说，许多其他挑战和问题阻止安全专家制定正确的策略来保护物联网设备免受网络攻击。 以下是专家正在努力解决的物联网安全问题。
物联网设备暴露在互联网上
物联网对象缺乏过滤和拒绝互联网上未经授权的连接的高级软件功能。 这种限制增加了它们的攻击面，并解释了为什么黑客活动（例如远程代码执行攻击）对它们有效。 物联网安全必须覆盖很多切入点才能解决这个问题。
有限的资源和成本
大多数物联网设备都使用薄弱的、低于标准的组件，并且缺乏增强安全性所需的技术。 包含此类功能和组件将增加这些设备的成本，从而降低其购买吸引力。
物联网设备处理大量数据
每天都有大量数据在物联网设备与其他设备和网络之间传输。 监控如此大量的数据是物联网安全问题之一，对于专家来说可能会非常困难。
物联网设备多种多样
物联网设备具有无限的外形尺寸并提供最广泛的功能。 在大多数情况下，物联网安全必须考虑每种外形尺寸和功能，以充分保护设备。 这个问题凸显了保护网络所需的大量资源。
多个连接设备
大多数物联网产品允许家庭或企业场所内的多个设备相互通信。 这种机制是物联网最吸引人的特征之一。 也就是说，它会带来严重的风险，因为最不安全的设备会使网络的其余部分容易受到攻击。
缺乏行业远见
从医疗保健到汽车行业，大多数行业都越来越多地采用不断发展的物联网技术来提高效率并降低成本。 然而，他们正在面临漏洞，因为当他们决定安装任何新的物联网设备时，安全性恰好排在优先考虑的位置。
许多物联网制造商也为了追求尖端功能、噱头和更快的发布而忽视了安全性。
缺乏加密
物联网设备主要通过未加密的网络与其他设备进行通信。 这种通信和数据传输方式意味着攻击者可以轻松查看网络上发生的情况。
另请阅读：文件安全：BitLocker 加密指南
哪些类型的攻击通常会危害物联网设备？
不良行为者关注物联网设备的许多漏洞，并选择最有效的攻击来破坏这些设备。 以下是物联网设备最容易遭受的黑客活动类型：
固件漏洞攻击
计算机、智能手机和平板电脑用户传统上使用操作系统 (OS) 操作其设备。 每个操作系统都在固件上运行，固件提供了处理硬件的基本代码。
操作系统在顶级设备固件上提供更多安全控制和支持。 用户可以通过定期软件和驱动程序更新来保护其系统免受攻击。 另一方面，对于物联网设备，固件兼作操作系统，但没有高级安全性。
另请阅读：终极指南：如何手动检查和安装 Windows 更新
一些物联网设备固件存在后门漏洞，制造商在设备发货后无法修复这些漏洞，从而使其容易受到攻击。
网络犯罪分子可以利用这些后门用恶意软件感染设备、劫持设备并窃取敏感数据。
有用阅读：如何保护您的电脑和数据免受后门攻击？
途中攻击
路径攻击也称为中间人 (MITM) 攻击。 当未经授权的行为者拦截、中继并可能改变物联网对象与其他设备和网络之间的通信时，就会发生这种情况。
攻击者将自己置于通信路径中，允许他们窃听、操纵数据或冒充其中一方。 这些攻击是可能的，因为物联网数据流量主要是未加密的。
您可以将途中攻击者视为坐在办公室等待拦截重要签证和护照申请的大使馆工作人员。 该员工可以读取有关申请人的敏感详细信息，窃取这些信息以谋取个人利益，甚至可以更改或删除它们。
凭证攻击
大多数物联网设备都附带默认密码，用户可以稍后更改。 然而，有些并不容易改变，用户大多不改变它们。 这些密码和用户名往往较弱且容易被猜测，从而允许黑客利用它们并获得访问权限。
暴力攻击（即不良行为者系统地输入可能的密码组合）通常用于破坏设备。
另请阅读：保持在线安全：存储密码的最佳方法
基于物理硬件的攻击
攻击者在获得对设备的物理访问权限后可以破解设备。 此类设备包括红绿灯、火警警报器、摄像头和其他公共设施。 虽然不良行为者一次只能破坏一台设备，但这些对象的信息可以让他们破坏其他设备，特别是当它们共享同一网络时。
哪些物联网设备最容易遭受安全漏洞？
根据CUJO AI Sentry 的网络安全报告，以下设备在全球范围内受到攻击最多：
- 网络附加存储设备
- 硬盘录像机
- 网络摄像机
- 婴儿监视器
- 音视频设备
也就是说，其他类型的物联网设备每年都会受到严重的攻击。 例如， Armis 的一份报告发现，医疗领域的物联网设备是数百万次攻击的受害者，其中护士呼叫系统的风险最高。 该报告还发现，打印机、VoIP（互联网协议语音）和 IP 摄像头位居遭受攻击最多的物联网设备之首。
哪些安全措施可以更好地保护物联网设备？
物联网网络安全面临的挑战之一是缺乏标准化。 业界对于正确的安全策略基本上缺乏共识。 然而，制造商可以采用物联网安全框架来帮助保护网络内外的设备。
将物联网安全框架纳入研发阶段
如果制造商从生产的初始阶段就加大对物联网设备安全性的投入，就可以解决大多数物联网安全挑战和担忧。 但它不应该在初始阶段结束。 安全性应该是整个产品生命周期中任何流程的核心方面。
参与构建设备关键部件的所有其他制造商（半导体设计师和制造商、电路板生产商和软件工程师）也应该使其产品防篡改。
定期更新
攻击者总是在寻找安全框架内的漏洞。 当不良行为者成功找到利用它们的方法时，每个安全组件或协议都会过时。 因此，制造商必须提供必要的手段来部署定期更新以应用关键安全补丁。 即使几天没有更新也会使设备容易受到攻击。
如果制造商无法远程应用这些更新，还应鼓励企业和用户应用这些更新。
强制设备身份验证
物联网设备旨在与服务器、计算机、电话和其他物联网设备共享数据。 每个设备在接受任何连接请求之前都应经过验证过程，以防止未经授权的设备接入网络。
大多数攻击者利用当前“即插即用”机制的漏洞渗透网络并劫持其他设备。 制造商可以确保其他设备在连接发生之前提供可验证的身份验证，例如PKI（公钥基础设施）和数字证书。
另请阅读：专业提示：如何创建电子签名
多重身份验证 (MFA)
MFA 或双因素身份验证在上一点的基础上增加了一层保护。 它可以作为建议的安全建议提供给用户，以允许他们使用多种方法对连接进行身份验证。 这样一来，即使攻击者成功破解了一个入口点，也无法得逞。
例如，如果黑客使用暴力破解或网络钓鱼攻击来获取设备的密码，用户仍需要经过第二次身份验证过程才能获得访问权限。 此时，用户可以识别攻击并采取安全措施来阻止它。
相关：终极指南：如何关闭双因素身份验证？
更强的凭证安全性
制造商在为设备创建管理员登录详细信息时可以避免使用相同的凭据或可发现的凭据模式。 他们可以偶尔更新这些凭据，或者为用户设计更直接的方法来更改它们。
更强大的安全措施是强制用户在首次设置设备时更改管理员密码。 他们还可以强制执行更强的密码以防止暴力攻击。 例如，管理员在创建新凭据时必须组合字母、数字和特殊字符。
另请阅读：如何重置忘记的 Windows 10 管理员密码？
加密
大多数物联网设备通过未加密的流量传输数据。 这种传输方法使得网络犯罪分子很容易执行路径攻击。 使用加密技术意味着第三方无法轻易渗透网络通信并窃取敏感数据。 即使他们掌握了数据，他们也无法破译它。
加密还有助于验证数据完整性。 通信设备可以验证接收或发送的信息在传输过程中没有被更改。
例如，如果物联网设备向另一台设备发送指令，加密可以帮助确保该指令正是发送的指令，没有任何更改。
另请阅读：高级数据保护：如何在 Windows 10 中加密文件
安全培训和最终用户教育
物联网安全是一个相对较新的领域。 目前，许多网络安全专家需要更好地熟悉旨在保护物联网设备和网络的流程和技术。 组织可以定期进行培训，教网络安全人员如何保护物联网设备。
他们还可以教育用户了解其设备的最佳安全实践。 其中包括拒绝来自未经授权的设备的连接请求、定期更新登录凭据以及选择可用的 MFA。
哪些企业最容易受到物联网攻击
对于在危急情况下部署这些设备的企业和组织来说，物联网安全的重要性怎么强调都不为过。 如果攻击者在不同的业务环境中使用物联网设备劫持系统，可能会造成灾难性后果。
例如，对水过滤和飞行控制系统等关键公共基础设施的攻击可能是毁灭性的。 同样，起搏器等受损的医疗设备也可能会危及生命。
即使生命损失不是一个特别令人担忧的问题，企业也可能会损失大量收入，导致失业和生活质量下降。
根据Palo Alto Networks 物联网威胁报告，大约 98% 的受监控物联网设备流量缺乏加密。 这个数字表明，几乎所有使用物联网设备的企业，从医疗保健行业的公司到房地产行业的组织，都容易受到攻击。
结论——物联网安全的未来是光明的
物联网设备将继续渗透到我们的日常生活和商业运营中，我们不能忽视它们的重要性。 尽管许多行业面临无数毁灭性攻击，但物联网的采用仍在经历爆炸性增长。
Transforma 预测，到 2032 年，全球物联网设备数量将超过 320 亿台。 根据IoT Analytics 发布的预测，这一数字可能比 2025 年更快达到 300 亿。
展望未来，物联网安全的未来并不完全黯淡。 随着人工智能驱动的威胁检测、增强的加密方法的进步以及以物联网为重点的立法的引入，我们正处于更光明的未来的风口浪尖。
随着设备制造商、软件开发商和最终用户之间的协作努力不断增长，我们可以安全可靠地实现物联网的巨大潜力。 请记住，我们有责任优先考虑安全性，以确保物联网的未来更加安全。
常问问题
什么是物联网 (IoT)？
物联网 (IoT) 是嵌入传感器和软件的物理设备网络，赋予它们互联网连接和数据传输功能。 通过物联网，从恒温器到手表的日常物品变得“智能”，并且可以相互交互以及与其他各种设备和网络交互。
什么是物联网设备？
物联网设备是能够连接到互联网并共享数据的对象。