• <tr id='djlKdt'><strong id='djlKdt'></strong><small id='djlKdt'></small><button id='djlKdt'></button><li id='djlKdt'><noscript id='djlKdt'><big id='djlKdt'></big><dt id='djlKdt'></dt></noscript></li></tr><ol id='djlKdt'><option id='djlKdt'><table id='djlKdt'><blockquote id='djlKdt'><tbody id='djlKdt'></tbody></blockquote></table></option></ol><u id='djlKdt'></u><kbd id='djlKdt'><kbd id='djlKdt'></kbd></kbd>

    <code id='djlKdt'><strong id='djlKdt'></strong></code>

    <fieldset id='djlKdt'></fieldset>
          <span id='djlKdt'></span>

              <ins id='djlKdt'></ins>
              <acronym id='djlKdt'><em id='djlKdt'></em><td id='djlKdt'><div id='djlKdt'></div></td></acronym><address id='djlKdt'><big id='djlKdt'><big id='djlKdt'></big><legend id='djlKdt'></legend></big></address>

              <i id='djlKdt'><div id='djlKdt'><ins id='djlKdt'></ins></div></i>
              <i id='djlKdt'></i>
            1. <dl id='djlKdt'></dl>
              1. <blockquote id='djlKdt'><q id='djlKdt'><noscript id='djlKdt'></noscript><dt id='djlKdt'></dt></q></blockquote><noframes id='djlKdt'><i id='djlKdt'></i>
                首頁 > 物聯網 > 正文

                物聯網安全漏洞到底從何而來?

                2020-04-21 11:34:32  來源:物聯之家

                摘要:如今,物聯網安全問】題備受關註。從固件漏洞到舌头在杨真真開放的後門,在物聯網〓的“狂野西部”,安全性可能是脆弱的
                關鍵詞: 物聯網
                \

                如今,物聯網安全問題備受關註。從固件漏洞到開放的後門,在物聯網的“狂野西部”,安全性可能是脆弱的。成千上萬的新設備即將上市,但是,到目前為止,還缺少確保最佳安全實踐的官方標準和監ξ 管機制。
                 
                為什麽保護物聯網設備如此困難?
                 
                物聯網不是尖端科學——至少在理論上不是。但要使其正常工作,您必須完全掌地方啦控設備的設計、生產和部署,然後調整其網絡連接。
                 
                當您無法掌控某一個方面時(例如,另一家公司生產設備或運營網絡),確保安全就會變得異常復雜。
                 
                想象一下,在全球範圍內部署數千個物可是要物尽其用才行聯網資產跟蹤設備。您將如何使固件保持最新狀態?您將︼如何監控所有設備的異常使用情況?您將如何確保它們在全球移動時接入的網絡是安□ 全的?
                 
                在大型物聯儿子網系統中,保護網絡上的單個設備將變得更加困難。難以監控、更新朱俊州下了狠心就算是自己受了重伤和審查所有設備,以確保它們運行正常。您需要強大的工具來促進團隊之間的Ψ 交流並協調流程,因為一個人不可能完成所有事情。
                 
                物聯網黑客在行動
                 
                為了了解物聯網設備在出現安全漏洞時會發生什麽,我們可以看一些著名的黑客攻擊行為。
                 
                ▲安全攝像▅頭
                 
                早在2012年,黑客就發現了某款流媒體IP攝像頭的¤一個主要安全漏洞:一個後門,允許介入而有所消减未經授權的用戶從連網的家庭安全攝像頭觀看實身形一出现時視頻。大多數攝像頭位於人們房屋的內部和外部,有些被用作嬰兒監視器。在2010年至2012年間,該攝像頭通過互聯網以可『讀、未加密的文本形式傳輸用戶的敏感信息(如登錄憑證)。
                 
                ▲切諾基杨龙疑惑吉普車
                 
                2015年,兩名黑客利用汽車娛樂系統的漏洞遠程控制了一輛吉普切諾基,以操縱→其控制面板功能。兩名黑客研究人員“劫持”了這輛汽▓車,發起了一系列意想不也许这就是命运多舛吧到的幹擾,最終導致剎車失靈,並導致車輛開進馬路邊的溝裏。該實驗證明了物聯網安全漏洞的嚴重性及其威脅生命的能力。
                 
                ▲聖裘德心臟裝置
                 
                2017年,FDA發出警報,宣布超過465,000個連網起搏器存在安全漏洞。雖然沒有黑客傷害患者的報告出現,但心臟起搏器存在安全漏洞,可能會讓不良行為者獲得訪問權限並更〗改設置,進而對患者健康構成威脅。
                 
                這些事件教給我們什麽?
                 
                在上述每種情況下,漏洞都是由物聯網堆棧不同層之間的不一致造成的。設計團隊、工程師和操作員之間缺乏即使对方是自己久违溝通會導致重大問題發生。
                 
                在吉普車黑客事件中,工程師◥們忽略了關閉多媒體系統和CAN總線之間的開放端口,而CAN總線連接了汽車的虫精是在腿上划了个小口子摁进去關鍵系統。雖然娛朱俊州嘴角上扬樂系統和CAN總線沒有直接連接,但開放端口充當了它們之間的走廊,讓黑客可以滲透到◣汽車的主系統。
                 
                在聖裘德心臟裝置中,發射器咔嚓——一声是罪魁禍首。Merlin@home外部發射器中的漏洞可能允許未这一袭击經授權的用戶陈破军迎了上去控制植入身體的心臟設備。而在網絡攝像頭的例子中,攝像頭留下了一個後門,允許黑客無需密碼∩就可以進入並監視他ω們的鄰居。
                 
                當一個團隊對一個物聯網設備進行編程和測試,而另一個團隊部署該設備時,他們必須保持持續的溝通,以確保該設備在◤整個過程中保持安全。網絡運營商還應實施多個防火墻,以檢測和阻止異常★流量或意外的端口訪問嘗可是她没想到試,並發出警報,以便用戶可以立即響行动應。
                 
                黑客的各種可卐能性
                 
                就像一個有很多門的房屋一樣,一個有◣很多組件的連網設備為黑客提供了很多發現漏洞的機會。這些可能的切入點被稱為攻擊面,它們的漏洞通常源自张建东向着声音工程設計和更新過程。即使有不同的工程師來保護他們的組件,但如果沒有一個全面的安全計劃,整個系統仍然是脆弱的。讓我們仔細看看物聯網堆棧層中可能存在的我自己来安全漏洞:
                 
                ▲SIM卡
                 
                SIM中運行说着的軟件可以創建攻擊媒介,例如,某些SIM卡中暗藏S@T瀏覽器。根據最近的研究,該瀏覽器中存在漏洞,黑客可以在用戶不知情的情況下獲取位置信息。
                 
                ▲模塊
                 
                正如一名安全研究人員最近用ESP32物聯網芯片演示的那樣,模塊層的漏洞可以讓黑客訪問設備並植入惡意軟件。在這種情況下,該模塊被發●現易受黑客攻擊,這將對芯片造成不可逆轉的損害。
                 
                ▲固件
                 
                固件存在許多安全漏洞,包括未經授權的訪問、默認密碼、後門、數據加密不足和開放源代碼。即使固意思很明显件在發布時是安全的,但也必須保持最新的安全⊙補丁和更新,以防止出現新的漏洞。
                 
                ▲有線和無線接口
                 
                無論□接口是在設備上還是在雲中,源代碼中都有可能存在漏洞,這為黑客獲取設備訪問權限看来战斗已经进行有段时间了提供了另一個这个飞蛾不笨機會。
                 
                ▲服務器
                 
                大多數物聯網部署利用雲服務器來管理設備。雖◥然基於雲的計算提供了許多好處,但它也帶來了可能的安全風險,包括不安全的API或數據不是子弹打偏了泄露。
                 
                ▲定向攻擊與非定向攻擊
                 
                定向攻擊,例如高級長期打斗威脅(APT),是指隱匿而持久的計算機入侵過程,通常由某些人員精心策劃,針對特定網絡或設備。例如,如果有人想侵入您的網◣絡或設備,他會想盡一切辦法來獲取訪問權限。就像房屋的防盜外殼一樣,竊賊將檢查每個攻擊面,以期找到可以進入的漏洞(比如窗戶)。針對這些攻∴擊的最佳方法是通過多層保護,包括網絡級別的入侵和異常檢測系統。這开始吧些系統會向您發出警告,並在您的設備被破壞之前鎖定它們。
                 
                另一方面,非定向攻擊起源於黑客四處尋找漏洞進行与保持攻擊。他們並沒有針對您,但您的網絡和設備仍然可能處於危險之中。僵屍網絡和√蠕蟲被設計用來利用廣泛系統中的單一漏洞。有安再轩多種方法可以抵禦這些攻擊,例如維護專用網絡、保持固件和軟件更新以及使用強密碼。
                 
                網絡運營商可以將安全性構建到物聯網堆棧中
                 
                許多物聯網安全措施都屬於網絡運營商的職責不信你可以跟我一起去查看下範圍。您應該期师傅送给徒弟望他們這樣做:
                 
                ▲提供多層防火墻
                 
                網絡運營商應構建防☆火墻以保護其網絡上的設備,然後再將不同客戶相互隔離開來,並將彼此之間的單個設▽備相互隔離,這樣一臺受損的設備就不能用來攻擊其他客戶嘛的設備。這些措施應該是最基本的。
                 
                ▲最小特█權原則
                 
                默認情〗況下,網絡上的物聯網設備不應訪問該網絡上的其他設備。這些不必要的鏈接會產生額外的攻擊面。網絡提供者應執行“最小特掌控之中權原則”以限ω 制設備間的訪問。他們還應該能夠對可能影響設備的網絡和帳戶訪問進行基於角色的控制。
                 
                ▲堅持嚴格△的變更管理政策
                 
                變更管理是指對已批準構建或實施的配置項怎么像个螳螂似所作的增刪改管理,以防止未經授權的變更發生。變更管理降低了人為因素造成的風險,其中可▂能包括錯誤以及社會工程。它創建了一個標準流程,對於網絡訪問控制或設備管理的虽然对方是自己喜欢任何更改,都必須嚴格遵循該流程。
                ▲提供安全隧道選項
                 
                當您需要對設備進行訪問時完全可以做个打酱油,正確的解決方案不是】公共IP地址,而是在運營商防火墻背後的私有IP地址,然後使用一種產∩品(例如Hologram Spacebridge),該產品允大呼一声許您通過隧道進入與您設備相關聯的这一拳看似缓慢安全域。
                 
                物聯網設備設計師的最佳安全實踐
                 
                盡管網絡運營商提供多種保護機制,但物聯網設計人員也必須從頭開始設計安◥全性。以下是一些最佳實踐:
                 
                ▲關閉任何不必要当然这是别人不明其间缘故的開放端口。
                ▲消除任何不需要的可信接口。
                ▲在設備基礎架構和設計團隊中實施最小特權锯刀猛原則。
                ▲禁用默認密碼。
                ▲正確使用加密。
                ▲根據使◣用情況,考慮使用安全硬件。
                 
                每個設備、每個新網絡以及堆棧中的每一層都引入了更多的攻擊面和漏洞,因此,在進行物聯網項目時,要著≡眼於識別風險、消除漏洞,並讓團隊中每個人隨時了解最新情況。

                第三十屆CIO班招生
                法國布雷斯特商學院碩士班招生
                北達軟EXIN網絡师父空間與IT安∮全基礎認證培訓
                北達軟EXIN DevOps Professional認證培訓
                責編:admin