物联网面临的7大网络安全威胁
专家库 | 人才库 | 企业库 | 项目库 | 投资机构库 | 招商信息库 | 前沿特攻队招募
前沿君微信：tech9999 手机：18501361766
转自：信息安全与通信保密杂志社
来源：51CTO译稿
曾经在物联网世界，一切都变得更加庞大。不仅是设备本身——有些小到只容纳几个芯片，他们通常隐藏其中，眼不见心不烦。但物联网中庞大的数据和设备规模令任何网络安全专业人士都感到头疼。
据广泛统计，目前的物联网数据产量为每天2.5万亿字节，在未来两年内，物联网包含多达300亿台设备，这一数字还将继续增长。数字风险分析主管Troy La Huis表示：“随着如此多的设备问世，物联网对每个人来说都是全新的，这对大多数企业来说都面临困难。”
随着规模的扩大，风险也在增加。下面来看看物联网即将面临的7个最重要的网络安全威胁，以及网络安全相关决策层如何应对挑战。
许多物联网设备都是为特定任务而设计的，比如感知温度或记录运动。但它们运行在微控制器和操作系统上，能够在后台做更多的事情。这对攻击者来说是一个巨大的机会，对企业和经营者来说也是一个重大的风险。
La Huis建议信息安全经理参与公司的物联网采购过程，就像参与任何其他技术收购一样。无论是服务器、储物架，还是航拍无人机和智能照明装置，“你总不会在一切都确定下来并购买之后出现问题再让IS 团队进入吧。”
许多物联网设备被设计成既看不见也听不见，只靠电源或一个硬币电池就能运行数年。它们可以嵌在墙壁和天花板上，也可以安装在工厂设备上，正常情况下，维修工人无法进入这些设备。
虽然它们这样使用起来非常方便——可靠且维护成本低。但对于IT资产和网络安全管理来说，这是一个真正的问题。“最大的失误之一就是人们忘记了他们的存在。”La Huis说。
要解决这一问题，需要建立并强制执行与数据中心服务器和笔记本电脑等IT设备相同的严格替换和更新周期。由于这么多的物联网设备可能被隐藏多年，这就需要更详细的更换计划文档，以便IT团队能够在更新或替换这些设备时找到这些设备。
物联网安全的防御方法可以从一些早期的物联网暴露和攻击中获得线索。智能摄像头和支付卡读卡器被攻击和窃取，将数据传递给未经授权的用户。最近，嵌入式系统成为勒索软件攻击的目标，勒索软件要求支付赔偿而不是关闭关键系统。但是，随着物联网设备种类的不断增加，攻击者可能更感兴趣的是写数据，而不是读取数据。
例如，一家配备物联网管理设备的工厂可能有数百个传感器，可以读取传送带上的当前供应水平，或测量管道中的流体压力。对于攻击者来说，仅仅阅读这些信息的价值相对较小。但是，如果破坏者能够植入虚假记录，就可能通过伪造数据造成生产中断，这些数据会使装配线浪费太多的组件，或者出现不符合额定负载的组件。国家标准与技术研究所(NIST)白皮书声明：“攻击者读取物联网设备中存储或传输的数据，可能不会获得任何优势或价值，然而攻击者一旦篡改数据，则会引发一系列事故。”
了解攻击者可能从未经授权的设备中访问什么是设计保护的重要第一步。
物联网设备通常被期望像家电一样运行：稳定、可靠、全天候可用。它们不希望定期停机进行维护。NIST指出：“物联网设备对性能、可靠性、弹性和安全性的操作要求可能与传统IT设备的网络安全实践相冲突。”
奇怪的是，用户不会接受或理解物联网设备经过15分钟安全补丁的休眠，而他们会接受智能手机或笔记本电脑的这种行为。使用冗余备份设备、有计划的维护以及相关的教育活动来解决这个问题，使用户的期望与安全需求保持一致。
物联网设备的设计初衷是为了方便，但这种方便也带来了风险。物联网良好的网络安全始于确保默认的管理员或超级用户能够立即更改或禁用。阻断和禁用通用即插即用(UPnP)功能，以及关闭经常用于物联网攻击的非必要网络端口，这都是值得采取的预防措施。
如果供应商做不到呢?不部署。这些设备并不总是天生安全的。有些不允许你更改用户名和密码。一些最大的漏洞来自供应商。
La Huis指出，内部风险往往比外部实体构成更大的威胁。这种内部风险可能是雇员出于自己的目的故意颠覆设备，或者通过网络钓鱼或其他社会途径被攻击者操纵。“物联网带来了这个问题的新形态——员工成为你的最后防线。”他说。“我们真的必须加强对该设备的使用权以及他们能用它做什么的关注。”
一般的网络钓鱼教育，往往侧重于避免电子邮件和社交媒体诈骗，可能是不够的。攻击者可能会试图哄骗员工重启或调整设备，如果员工在该设备工作，他可能会认为这是一个合理的要求。所以员工应该得到明确的指示，明确谁能授权与物联网设备进行交互，以及在没有IT监管的情况下，遇到什么情况可以对设备进行任何调整。
未打补丁、被遗弃或被遗忘的物联网设备的问题变得如此严重，黑客活动分子实际上用恶意软件感染了未受保护的设备。一些攻击者利用未修补的漏洞强行进入，借用修补漏洞关闭网络端口，以防止其他软件进入。物联网保卫战略应明确意识到这一风险，了解这些“灰帽黑客”的活动，并在他们能够采取行动之前采取行动。
| 一网打尽系列文章，请公号内回复以下关键词查看： |
|---|
| 创新发展：习近平 | 创新中国 | 创新创业 | 科技体制改革 | 科技创新政策 | 协同创新 | 科研管理 | 成果转化 | 新科技革命 | 基础研究 | 产学研 | 供给侧 |
| 热点专题：军民融合 | 民参军 | 工业4.0 | 商业航天 | 智库 | 国家重点研发计划 | 基金 | 装备采办 | 博士 | 摩尔定律 | 诺贝尔奖 | 国家实验室 | 国防工业 | 十三五 | 创新教育 | 军工百强 | 试验鉴定 | 影响因子 | 双一流 | 净评估 | 大学排名 |
| 预见未来：预见2016 |预见2020 | 预见2025 | 预见2030 | 预见2035 | 预见2045 | 预见2050 |
| 前沿科技：颠覆性技术 | 生物 | 仿生 | 脑科学 | 精准医学 | 基因 | 基因编辑 | 虚拟现实 | 增强现实 | 纳米 | 人工智能 | 机器人 | 3D打印 | 4D打印 | 太赫兹 | 云计算 | 物联网 | 互联网+ | 大数据 | 石墨烯 | 能源 | 电池 | 量子 | 超材料 | 超级计算机 | 卫星 | 北斗 | 智能制造 | 不依赖GPS导航 | 通信 | 5G | MIT技术评论 | 航空发动机 | 可穿戴 | 氮化镓 | 隐身 | 半导体 | 脑机接口 | 传感器 |
| 先进武器：中国武器 | 无人机 | 轰炸机 | 预警机 | 运输机 | 直升机 | 战斗机 | 六代机 | 网络武器 | 激光武器 | 电磁炮 | 高超声速武器 | 反无人机 | 防空反导 | 潜航器 |
| 未来战争：未来战争 | 抵消战略 | 水下战 | 网络空间战 | 分布式杀伤 | 无人机蜂群 | 太空战 | 反卫星 | 卫星 | 混合战争 |
| 领先国家：美国 | 俄罗斯 | 英国 | 德国 | 法国 | 日本 | 以色列 | 印度 |
| 前沿机构：战略能力办公室 | DARPA | 快响小组 | Gartner | 硅谷 | 谷歌 | 华为 | 阿里 | 俄先期研究基金会 | 军工百强 |
| 前沿人物：钱学森 | 马斯克 | 凯文凯利 | 任正非 | 马云 | 奥巴马 | 特朗普 |
| 专家专栏：黄志澄 | 许得君 | 施一公 | 王喜文 | 贺飞 | 李萍 | 刘锋 | 王煜全 | 易本胜 | 李德毅 | 游光荣 | 刘亚威 | 赵文银 | 廖孟豪 | 谭铁牛 | 于川信 | 邬贺铨 |
| 全文收录：2018文章全收录 | 2017文章全收录 | 2016文章全收录 | 2015文章全收录 | 2014文章全收录 |
| 其他主题系列陆续整理中，敬请期待…… |