物聯(lián)網(wǎng)成信息安全“重災(zāi)區(qū)”
近20％的組織過(guò)去三年內(nèi)遭受至少一次基于物聯(lián)網(wǎng)的攻擊。
我們有沒(méi)有想過(guò)，當(dāng)我們享受著物聯(lián)網(wǎng)給生活帶來(lái)的便利時(shí)，看不見(jiàn)的安全威脅可能已經(jīng)發(fā)生。
近年來(lái)，物聯(lián)網(wǎng)技術(shù)不斷發(fā)展與創(chuàng)新，深刻改變著傳統(tǒng)產(chǎn)業(yè)形態(tài)和人們生活方式，隨著數(shù)以億計(jì)的設(shè)備接入物聯(lián)網(wǎng)提供創(chuàng)新、互聯(lián)的新服務(wù)，整個(gè)生態(tài)系統(tǒng)中的詐騙和攻擊行為隨之增加，對(duì)用戶隱私、基礎(chǔ)網(wǎng)絡(luò)環(huán)境的安全沖擊尤為突出。
就在物聯(lián)網(wǎng)已經(jīng)逐步成為網(wǎng)絡(luò)安全“重災(zāi)區(qū)”的背后，是物聯(lián)網(wǎng)硬件設(shè)備廠商安全意識(shí)淡薄，安全防護(hù)投入不足的現(xiàn)狀。在日前召開(kāi)的“2018 isc互聯(lián)網(wǎng)安全大會(huì)”上，不少專家認(rèn)為，物聯(lián)網(wǎng)設(shè)備基數(shù)龐大，加上安全防護(hù)脆弱，可以預(yù)見(jiàn)的是，物聯(lián)網(wǎng)威脅將逐漸成為互聯(lián)網(wǎng)的常態(tài)。
消費(fèi)物聯(lián)網(wǎng)隱私泄露頻發(fā)
消費(fèi)物聯(lián)網(wǎng)是以消費(fèi)為主線，利用物聯(lián)網(wǎng)智能設(shè)備極大改善或影響人們的消費(fèi)習(xí)慣為目的生產(chǎn)打造的智能設(shè)備網(wǎng)絡(luò)。智能家居（包括智能家庭、家電等）是消費(fèi)物聯(lián)網(wǎng)最主要的消費(fèi)級(jí)產(chǎn)品。同時(shí)，智能穿戴設(shè)備如手環(huán)、眼鏡、便攜醫(yī)療設(shè)備也是消費(fèi)物聯(lián)網(wǎng)的主要應(yīng)用。
《經(jīng)濟(jì)參考報(bào)》記者了解到，消費(fèi)物聯(lián)網(wǎng)場(chǎng)景最貼近數(shù)量眾多的終端銷售者，因此也得到黑色產(chǎn)業(yè)鏈更多的關(guān)注。最近針對(duì)消費(fèi)物聯(lián)網(wǎng)的安全威脅事件日益增多，如英國(guó)某醫(yī)療公司推出的便攜式胰島素泵就被黑客遠(yuǎn)程控制，黑客完全可以控制注射計(jì)量，而這直接影響使用者的生命安全。2017年，日本國(guó)內(nèi)出現(xiàn)多起針對(duì)智能電視的勒索病毒事件。我國(guó)國(guó)內(nèi)也出現(xiàn)了多起家用攝像頭被黑客控制利用非法獲取敏感視頻對(duì)用戶進(jìn)行敲詐的情況。2017年8月，浙江某地警方破獲一個(gè)犯罪團(tuán)伙，在網(wǎng)上制作和傳播家庭攝像頭破解入侵軟件。查獲被破解入侵家庭攝像頭IP近萬(wàn)個(gè)，涉及浙江、云南、江西等多個(gè)省份。
對(duì)很多老百姓而言，安全威脅可能就潛伏在身邊。一旦攻擊者獲得遠(yuǎn)程控制權(quán)限，即便是小小的攝像頭也能夠成為泄露用戶隱私的元兇。最新的Gartner調(diào)查數(shù)據(jù)發(fā)現(xiàn)，近20％的組織在過(guò)去三年內(nèi)遭受到至少一次基于物聯(lián)網(wǎng)的攻擊。為了防范這些威脅，Gartner預(yù)測(cè)全球物聯(lián)網(wǎng)安全支出將在2018年達(dá)到15億美元，比2017年的12億美元增長(zhǎng)28％，預(yù)計(jì)2021年物聯(lián)網(wǎng)安全支出將達(dá)到31億美元 。
“作為一種新技術(shù)，物聯(lián)網(wǎng)的行業(yè)標(biāo)準(zhǔn)以及相關(guān)管理剛剛起步，但物聯(lián)網(wǎng)基數(shù)大、擴(kuò)散快、技術(shù)門檻低，已經(jīng)成為互聯(lián)網(wǎng)上不得不重視的安全問(wèn)題。”360企業(yè)安全集團(tuán)總裁吳云坤在接受《經(jīng)濟(jì)參考報(bào)》記者采訪時(shí)說(shuō)。他表示，目前針對(duì)消費(fèi)物聯(lián)網(wǎng)的主要威脅有如下幾點(diǎn)。第一，利用漏洞或者自動(dòng)安裝軟件等隱秘行為竊取用戶文件、視頻等隱私；第二，傳播僵尸程序把智能設(shè)備變成被劫持利用的工具；第三，黑客可以通過(guò)控制設(shè)備，反向攻擊企業(yè)內(nèi)部或其運(yùn)行的云平臺(tái)，進(jìn)行數(shù)據(jù)竊取或破壞。
設(shè)備廠商安全意識(shí)淡薄
據(jù)GSMA公布的數(shù)據(jù)，預(yù)測(cè)在2025年全球物聯(lián)網(wǎng)設(shè)備（包括蜂窩及非蜂窩）聯(lián)網(wǎng)數(shù)量將達(dá)到252億，遠(yuǎn)高于2017年的63億。在預(yù)測(cè)期內(nèi)，市場(chǎng)規(guī)模將幾乎是原來(lái)的四倍。工業(yè)物聯(lián)網(wǎng)設(shè)備聯(lián)網(wǎng)數(shù)量將在2023年超過(guò)消費(fèi)物聯(lián)網(wǎng)設(shè)備聯(lián)網(wǎng)數(shù)量，在2016年至2025年之間工業(yè)物聯(lián)網(wǎng)連接量將從24億增加到138億。
就在物聯(lián)網(wǎng)加速融入人們的生產(chǎn)生活同時(shí)，當(dāng)前不少物聯(lián)網(wǎng)設(shè)備生產(chǎn)廠商側(cè)重追求新功能，對(duì)安全重視嚴(yán)重不足。吳云坤指出，一方面，很多設(shè)備和硬件制造商缺乏安全意識(shí)和人才。另一方面，物聯(lián)網(wǎng)設(shè)備數(shù)量非常龐大，價(jià)格低廉是一大特點(diǎn)，很多廠商需要拼命壓縮成本，安全方面的投入自然會(huì)嚴(yán)重不足，無(wú)論是升級(jí)、配置還是補(bǔ)丁維護(hù)等，物聯(lián)網(wǎng)行業(yè)都非常薄弱。
一位業(yè)內(nèi)人士表示，面對(duì)層出不窮的網(wǎng)絡(luò)攻擊，對(duì)設(shè)備廠商提出了新的要求，不僅僅需要保證制造的冰箱、攝像頭、路由器這些產(chǎn)品的使用性，同時(shí)還必須要保證安全性。值得注意的是，物聯(lián)網(wǎng)應(yīng)用還較新，在監(jiān)管機(jī)構(gòu)出臺(tái)相關(guān)法律法規(guī)前，廠商缺少動(dòng)力將安全置于整個(gè)產(chǎn)業(yè)鏈中。
“從當(dāng)下的市場(chǎng)環(huán)境看，廠商強(qiáng)調(diào)智能化的功能設(shè)計(jì)，求新求快是物聯(lián)網(wǎng)行業(yè)中的主流，安全反倒是可有可無(wú)的選項(xiàng)，這讓物聯(lián)網(wǎng)環(huán)境更加具有脆弱性。”吳云坤說(shuō)。
物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)亟待設(shè)立
在日前召開(kāi)的“2018 isc互聯(lián)網(wǎng)安全大會(huì)”上，不少專家認(rèn)為，物聯(lián)網(wǎng)設(shè)備基數(shù)龐大，加上安全防護(hù)脆弱，可以預(yù)見(jiàn)的是，物聯(lián)網(wǎng)威脅將逐漸成為互聯(lián)網(wǎng)的常態(tài)。
360企業(yè)安全集團(tuán)董事長(zhǎng)齊向東在接受《經(jīng)濟(jì)參考報(bào)》記者采訪時(shí)表示，在目前互聯(lián)網(wǎng)高速發(fā)展的時(shí)期，任何一點(diǎn)安全風(fēng)險(xiǎn)都可能被放大，造成個(gè)人信息泄露、財(cái)產(chǎn)損失甚至人身安全等問(wèn)題，給人們生活和社會(huì)運(yùn)行帶來(lái)影響，而物聯(lián)網(wǎng)的安全威脅遠(yuǎn)未見(jiàn)頂，隨著物聯(lián)網(wǎng)在社會(huì)生活中的普及，應(yīng)用場(chǎng)景不斷豐富，安全風(fēng)險(xiǎn)也將隨之增加。
“關(guān)口前移是非常重要的，如果僅僅等到信息泄露后再補(bǔ)救，物聯(lián)網(wǎng)面臨的網(wǎng)絡(luò)威脅問(wèn)題將無(wú)法真正解決。”吳云坤說(shuō)。他表示，首先物聯(lián)網(wǎng)設(shè)備提供商要保障終端安全，引入安全開(kāi)發(fā)流程提升終端安全性，并在產(chǎn)品上市前進(jìn)行安全評(píng)估，其次物聯(lián)網(wǎng)平臺(tái)提供商應(yīng)重點(diǎn)關(guān)注平臺(tái)安全和設(shè)備、移動(dòng)端與自身的連接是否安全，要從各個(gè)維度和環(huán)節(jié)進(jìn)行把控，保障數(shù)據(jù)存儲(chǔ)的安全性。
業(yè)內(nèi)專家建議，首先，應(yīng)加強(qiáng)安全技術(shù)標(biāo)準(zhǔn)建設(shè)及合規(guī)性檢測(cè)，對(duì)因?yàn)樵O(shè)備自身漏洞引起的重大泄露事件，要對(duì)涉事企業(yè)進(jìn)行巨額罰款等。其次，構(gòu)建物聯(lián)網(wǎng)全生命周期立體防御體系。再次，要推進(jìn)攻防結(jié)合促進(jìn)物聯(lián)網(wǎng)安全技術(shù)發(fā)展，團(tuán)結(jié)行業(yè)力量打造物聯(lián)網(wǎng)安全生態(tài)。
原文來(lái)源：經(jīng)濟(jì)參考報(bào) | 作者： 楊燁
物聯(lián)網(wǎng)安全：安全問(wèn)題分析
一、物聯(lián)網(wǎng)的安全問(wèn)題
物聯(lián)網(wǎng)的安全問(wèn)題是多方面的，包括傳統(tǒng)的網(wǎng)絡(luò)安全問(wèn)題、計(jì)算系統(tǒng)的安全問(wèn)題和物聯(lián)網(wǎng)感知過(guò)程中的特殊安全問(wèn)題等。下面簡(jiǎn)要介紹物聯(lián)網(wǎng)系統(tǒng)中一些特殊的安全問(wèn)題。
( 1 ) 物聯(lián)網(wǎng)標(biāo)簽掃描引起信息泄露
由于物聯(lián)網(wǎng)的運(yùn)行靠的是標(biāo)簽掃描，而物聯(lián)網(wǎng)設(shè)備的標(biāo)簽中包含著有關(guān)身份驗(yàn)證的相關(guān)信息和密鑰等非常重要的信息，在掃描過(guò)程中標(biāo)簽?zāi)軌蜃詣?dòng)回應(yīng)閱讀器，但是查詢的結(jié)果不會(huì)告知所有者。這樣，物聯(lián)網(wǎng)標(biāo)簽掃描時(shí)可以向附近的閱讀器發(fā)布信息，并且射頻信號(hào)不受建筑物和金屬物體阻礙，一些與物品連在一起的標(biāo)簽內(nèi)的私密信息就有可能被泄露。在標(biāo)簽掃描時(shí)發(fā)生的個(gè)人隱私泄露可能會(huì)對(duì)個(gè)人造成傷害，嚴(yán)重的甚至?xí)：ι鐣?huì)的穩(wěn)定和國(guó)家的安全。
( 2 ) 物聯(lián)網(wǎng)射頻標(biāo)簽受到惡意攻擊
物聯(lián)網(wǎng)能夠得到廣泛的應(yīng)用在于其大部分應(yīng)用不用依靠人來(lái)完成，這樣不僅節(jié)省人力，還能提高效率。但是，這種無(wú)人化的操作給惡意攻擊者提供了機(jī)會(huì)。惡意攻擊者很可能會(huì)對(duì)射頻掃描設(shè)備進(jìn)行破壞，甚至可能在實(shí)驗(yàn)室里獲取射頻信號(hào)，對(duì)標(biāo)簽進(jìn)行篡改、偽造等，這些都會(huì)威脅到物聯(lián)網(wǎng)的安全。
( 3 ) 標(biāo)簽用戶可能被定位跟蹤
射頻識(shí)別標(biāo)簽只能對(duì)符合工作頻率的信號(hào)予以回應(yīng)，但是不能區(qū)分非法與合法的信號(hào)，這樣，惡意的攻擊者就可能利用非法的射頻信號(hào)干擾正常的射頻信號(hào)，還可能對(duì)標(biāo)簽所有者進(jìn)行定位跟蹤。這樣不僅可能會(huì)給被定位和跟蹤的相關(guān)人員造成生命財(cái)產(chǎn)安全隱患，還可能會(huì)造成國(guó)家機(jī)密的泄露，給國(guó)家?guī)?lái)安全危機(jī)。
( 4 ) 物聯(lián)網(wǎng)的不安全因素可能通過(guò)互聯(lián)網(wǎng)進(jìn)行擴(kuò)散
物聯(lián)網(wǎng)建立在互聯(lián)網(wǎng)基礎(chǔ)之上，而互聯(lián)網(wǎng)是一個(gè)復(fù)雜多元的平臺(tái)，其本身就存在不安全的因素，如病毒、木馬和各種漏洞等。以互聯(lián)網(wǎng)為基礎(chǔ)的物聯(lián)網(wǎng)會(huì)受到這些安全隱患的干擾，惡意攻擊者有可能利用互聯(lián)網(wǎng)對(duì)物聯(lián)網(wǎng)進(jìn)行破壞。在物聯(lián)網(wǎng)中已經(jīng)存在的安全問(wèn)題，也會(huì)通過(guò)互聯(lián)網(wǎng)進(jìn)行擴(kuò)散，進(jìn)而擴(kuò)大不利影響。
( 5 ) 核心技術(shù)依靠國(guó)外存在安全隱患
我國(guó)的物聯(lián)網(wǎng)技術(shù)興起較晚，很多技術(shù)和標(biāo)準(zhǔn)體系都還不夠完備，相較于世界上的發(fā)達(dá)國(guó)家，水平還很低。我國(guó)尚未掌握物聯(lián)網(wǎng)的核心技術(shù)，目前只能依靠國(guó)外?；诖?，惡意攻擊者有可能在技術(shù)方面設(shè)置障礙，破壞物聯(lián)網(wǎng)系統(tǒng)，影響物聯(lián)網(wǎng)安全。
( 6 ) 物聯(lián)網(wǎng)加密機(jī)制有待健全
目前，網(wǎng)絡(luò)傳輸加密使用的是逐跳加密，只對(duì)受保護(hù)的鏈進(jìn)行加密，中間的任何節(jié)點(diǎn)都可解讀，這可能會(huì)造成信息的泄露。在業(yè)務(wù)傳輸中使用的是端到端的加密方法，但不對(duì)源地址和目標(biāo)地址進(jìn)行保密，這也會(huì)造成安全隱患。加密機(jī)制的不健全不僅威脅物聯(lián)網(wǎng)安全，甚至可能威脅國(guó)家安全。
( 7 ) 物聯(lián)網(wǎng)的安全隱患會(huì)加劇工業(yè)控制網(wǎng)絡(luò)的安全威脅
物聯(lián)網(wǎng)的應(yīng)用面向社會(huì)上的各行各業(yè)，有效地解決了遠(yuǎn)程監(jiān)測(cè)、控制和傳輸問(wèn)題。但物聯(lián)網(wǎng)在感知、傳輸和處理階段的安全隱患，可能會(huì)延展到實(shí)際的工業(yè)網(wǎng)絡(luò)中。這些安全隱患長(zhǎng)期在物聯(lián)網(wǎng)終端、物聯(lián)網(wǎng)感知節(jié)點(diǎn)、物聯(lián)網(wǎng)傳輸通路潛伏，伺機(jī)實(shí)施攻擊，破壞工業(yè)系統(tǒng)安全，甚至威脅國(guó)家安全。
二、物聯(lián)網(wǎng)的安全特征
物聯(lián)網(wǎng)是一個(gè)多層次的網(wǎng)絡(luò)體系，當(dāng)其作為一個(gè)應(yīng)用整體時(shí)，各個(gè)層次的獨(dú)立安全措施簡(jiǎn)單相加不足以提供可靠的安全保障。物聯(lián)網(wǎng)的安全特征體現(xiàn)在以下3個(gè)方面。
( 1 ) 安全體系結(jié)構(gòu)復(fù)雜
已有的一些針對(duì)傳感網(wǎng)、互聯(lián)網(wǎng)、移動(dòng)網(wǎng)、云計(jì)算等的安全解決方案在物聯(lián)網(wǎng)環(huán)境中可以部分使用，而其余部分不再適用。物聯(lián)網(wǎng)海量的感知終端，使其面臨復(fù)雜的信任接入問(wèn)題；物聯(lián)網(wǎng)傳輸介質(zhì)和方法的多樣性，使其通信安全問(wèn)題更加復(fù)雜；物聯(lián)網(wǎng)感知的海量數(shù)據(jù)需要存儲(chǔ)和保存，這使數(shù)據(jù)安全變得十分重要。因此，構(gòu)建適合全面、可靠傳輸和智能處理環(huán)節(jié)的物聯(lián)網(wǎng)安全體系結(jié)構(gòu)是物聯(lián)網(wǎng)發(fā)展的一項(xiàng)重要工作。
( 2 ) 安全領(lǐng)域涵蓋廣泛
首先，物聯(lián)網(wǎng)所對(duì)應(yīng)的傳感網(wǎng)的數(shù)量和智能終端的規(guī)模巨大，是單個(gè)無(wú)線傳感網(wǎng)無(wú)法相比的，需要引入復(fù)雜的訪問(wèn)控制問(wèn)題；其次，物聯(lián)網(wǎng)所連接的終端設(shè)備或器件的處理能力有很大差異，它們之間會(huì)相互作用，信任關(guān)系復(fù)雜，需要考慮差異化系統(tǒng)的安全問(wèn)題；最后，物聯(lián)網(wǎng)所處理的數(shù)據(jù)量將比現(xiàn)在的互聯(lián)網(wǎng)和移動(dòng)網(wǎng)大得多，需要考慮復(fù)雜的數(shù)據(jù)安全問(wèn)題。所以，物聯(lián)網(wǎng)的安全范圍涵蓋廣泛。
( 3 ) 有別于傳統(tǒng)的信息安全
即使分別保證了物聯(lián)網(wǎng)各個(gè)層次的安全，也不能保證物聯(lián)網(wǎng)的安全。這是因?yàn)槲锫?lián)網(wǎng)是融合多個(gè)層次于一體的大系統(tǒng)，許多安全問(wèn)題來(lái)源于系統(tǒng)整合。例如，物聯(lián)網(wǎng)的數(shù)據(jù)共享對(duì)安全性提出了更高的要求，物聯(lián)網(wǎng)的應(yīng)用需求對(duì)安全提出了新挑戰(zhàn)，物聯(lián)網(wǎng)的用戶終端對(duì)隱私保護(hù)的要求也日益復(fù)雜。鑒于此，物聯(lián)網(wǎng)的安全體系需要在現(xiàn)有信息安全體系之上，制定可持續(xù)發(fā)展的安全架構(gòu)，使物聯(lián)網(wǎng)在發(fā)展和應(yīng)用過(guò)程中，其安全防護(hù)措施能夠不斷完善。
三、物聯(lián)網(wǎng)的安全現(xiàn)狀
目前，國(guó)內(nèi)外學(xué)者針對(duì)物聯(lián)網(wǎng)的安全問(wèn)題開(kāi)展了相關(guān)研究，在物聯(lián)網(wǎng)感知、傳輸和處理等各個(gè)環(huán)節(jié)均開(kāi)展了相關(guān)工作，但這些研究大部分是針對(duì)物聯(lián)網(wǎng)的各個(gè)層次的，還沒(méi)有形成完整系統(tǒng)的物聯(lián)網(wǎng)安全體系。
在感知層，感知設(shè)備有多種類型，為確保其安全，目前主要進(jìn)行加密和認(rèn)證工作，利用認(rèn)證機(jī)制避免標(biāo)簽和節(jié)點(diǎn)被非法訪問(wèn)。針對(duì)感知層加密，目前已經(jīng)有了一定的技術(shù)手段加以實(shí)現(xiàn)，但是還需要提高安全等級(jí)，以應(yīng)對(duì)更高的安全需求。
在傳輸層，主要研究節(jié)點(diǎn)到節(jié)點(diǎn)的機(jī)密性，利用節(jié)點(diǎn)與節(jié)點(diǎn)之間嚴(yán)格的認(rèn)證，保證端到端的機(jī)密性；利用與密鑰有關(guān)的安全協(xié)議，支持?jǐn)?shù)據(jù)的安全傳輸。
在應(yīng)用層，目前的主要研究工作是數(shù)據(jù)庫(kù)安全訪問(wèn)控制技術(shù)，但還需要研究其他相關(guān)的安全技術(shù)，如信息保護(hù)技術(shù)、信息取證技術(shù)、數(shù)據(jù)加密檢索技術(shù)等。
在物聯(lián)網(wǎng)安全隱患中，用戶隱私的泄露是危害用戶的極大安全隱患，所以在考慮對(duì)策時(shí)，首先要對(duì)用戶的隱私進(jìn)行保護(hù)。目前主要通過(guò)加密和授權(quán)認(rèn)證等方法，讓只擁有解密密鑰的用戶才能讀取通信中的用戶數(shù)據(jù)以及個(gè)人信息，這樣能夠保證傳輸過(guò)程不被他人監(jiān)聽(tīng)。但是如此一來(lái)，加密數(shù)據(jù)的使用就會(huì)變得極不方便。因此，需要研究支持密文檢索和運(yùn)算的加密算法。
另外，物聯(lián)網(wǎng)核心技術(shù)掌握在世界上比較發(fā)達(dá)的國(guó)家手中，這始終會(huì)對(duì)沒(méi)有掌握物聯(lián)網(wǎng)核心技術(shù)的國(guó)家造成安全威脅。所以，要想解決物聯(lián)網(wǎng)的安全隱患，必須加大投入力度，攻克技術(shù)難關(guān)，快速掌握物聯(lián)網(wǎng)全生命周期的核心技術(shù)。
來(lái)源：E安全
物聯(lián)網(wǎng)技術(shù)面臨的安全漏洞
物聯(lián)網(wǎng)（The Intrnet of Things）是在互聯(lián)網(wǎng)的基礎(chǔ)上，讓用戶延伸到任何物品與物品之間，從而進(jìn)行信息交互和通信的一種網(wǎng)絡(luò)。通俗的說(shuō)就是把所有物品通過(guò)信息傳感設(shè)備與互聯(lián)網(wǎng)連接起來(lái)，進(jìn)行信息交換，即物物相息，以實(shí)現(xiàn)智能化識(shí)別和管理。它具有普通對(duì)象設(shè)備化、自治終端互聯(lián)化和普適服務(wù)智能化3個(gè)重要特征。它一般包括傳感器技術(shù)、射頻識(shí)別技術(shù)（RFID）、互聯(lián)互通（M2M）、嵌入式技術(shù)等。
由于物聯(lián)網(wǎng)技術(shù)的快速發(fā)展，近幾年以及未來(lái)幾年內(nèi)物聯(lián)網(wǎng)的應(yīng)用將越來(lái)越廣泛，但是它同時(shí)也帶來(lái)了部分安全漏洞，尤其對(duì)于消費(fèi)者來(lái)說(shuō)，大部分人的信息安全意識(shí)不夠強(qiáng)，甚至面臨安全威脅時(shí)不知道如何應(yīng)對(duì)。
一、感知層安全問(wèn)題
感知層的主要設(shè)備是RFID和Zigbee等各種無(wú)線傳感器。他的功能是感知搜集特定目標(biāo)的信息。但是大部分傳感器設(shè)備部署在公共區(qū)域，無(wú)法人為的實(shí)時(shí)監(jiān)控，所以就很容易被攻擊者控制利用。
常見(jiàn)的攻擊方式有：
物理攻擊：主要針對(duì)感知設(shè)備本身的攻擊，可能會(huì)造成敏感信息泄露或者惡意追蹤等。
偽造攻擊：攻擊者偽造電子表點(diǎn)或者數(shù)據(jù)，想辦法通過(guò)系統(tǒng)的認(rèn)可傳輸?shù)较到y(tǒng)當(dāng)中。
重放攻擊：攻擊者在信息傳輸過(guò)程中截獲數(shù)據(jù)，修改成自己的惡意數(shù)據(jù)后重新發(fā)送。
信息盜用：用戶的特定身份認(rèn)證信息被惡意獲取去使用。
傳感信息竊聽(tīng)：攻擊者對(duì)信道中傳輸?shù)男畔⒏`取，最終分析出敏感信息。
路由器：攻擊者欺騙、篡改和重發(fā)路由信息最終在信道中形成錯(cuò)誤的信息或者信息傳輸延遲。
二、網(wǎng)絡(luò)層安全問(wèn)題
DDOS攻擊：DDOS攻擊來(lái)源于互聯(lián)網(wǎng)可擴(kuò)展到移動(dòng)互聯(lián)網(wǎng)，攻擊者可通過(guò)僵尸網(wǎng)絡(luò)創(chuàng)建DDOS攻擊，造成網(wǎng)絡(luò)擁堵。例如2016年9月的Mirai僵尸網(wǎng)絡(luò)感染250萬(wàn)個(gè)物聯(lián)網(wǎng)設(shè)備，其中有打印機(jī)和聯(lián)網(wǎng)攝像頭等，它們企圖連接到目標(biāo)網(wǎng)站，進(jìn)而使服務(wù)器崩潰，讓用戶都無(wú)法正常訪問(wèn)網(wǎng)站。
惡意數(shù)據(jù)：攻擊者將惡意數(shù)據(jù)比如垃圾郵件、病毒等進(jìn)行傳輸。例如2014年1月發(fā)生了一起郵件攻擊，針對(duì)電視機(jī)、路由器和至少一臺(tái)智能電冰箱，每天發(fā)送30萬(wàn)封垃圾郵件。
隱私泄露：網(wǎng)絡(luò)層的傳輸并不能完全保證敏感信息的安全，仍然會(huì)有人獲取到用戶的隱私問(wèn)題。
三、應(yīng)用層的安全問(wèn)題
身份盜用：物聯(lián)網(wǎng)中的設(shè)備一般是全自動(dòng)化的，所以就有可能攻擊者挾持這些設(shè)備，偽裝成真正用戶通過(guò)系統(tǒng)的身份驗(yàn)證，進(jìn)而向系統(tǒng)發(fā)送不安全數(shù)據(jù)。
應(yīng)用層設(shè)備漏洞：物聯(lián)網(wǎng)的應(yīng)用層大都存在其他設(shè)備的配合使用，它們很容易被攻擊者直接利用。現(xiàn)在專家表示，勒索軟件攻擊者開(kāi)始盯上智能設(shè)備只是個(gè)時(shí)間問(wèn)題。安全研究人員已經(jīng)演示了能夠?qū)⒗账鬈浖惭b到智能恒溫器上。比如說(shuō)，他們可以將溫度調(diào)高到95度，拒絕調(diào)回到正常溫度，除非受害者同意支付用比特幣支付的贖金。
數(shù)據(jù)保護(hù)：應(yīng)用層會(huì)處理大量數(shù)據(jù)，若處理方式不夠完善或者處理不夠及時(shí)就會(huì)造成數(shù)據(jù)丟失等問(wèn)題。
總而言之，新的互聯(lián)網(wǎng)革命面臨著巨大的安全隱患，這給將來(lái)技術(shù)的發(fā)展帶來(lái)不小的壓力。
來(lái)源：凱信特安全
物聯(lián)網(wǎng)安全
自 2005 年國(guó)際電信聯(lián)盟（ITU）正式提出“物聯(lián)網(wǎng)”這一概念以來(lái)，物聯(lián)網(wǎng)在全球范圍內(nèi)迅速獲得認(rèn)可，并成為信息產(chǎn)業(yè)革命第三次浪潮和第四次工業(yè)革命的核心支撐。物聯(lián)網(wǎng)技術(shù)的發(fā)展創(chuàng)新， 深刻改變著傳統(tǒng)產(chǎn)業(yè)形態(tài)和社會(huì)生活方式，催生了大量新產(chǎn)品、新服務(wù)、新模式，引發(fā)了產(chǎn)業(yè)、經(jīng)濟(jì)和社會(huì)發(fā)展新浪潮。
與此同時(shí)，數(shù)以億計(jì)的設(shè)備接入物聯(lián)網(wǎng)，物聯(lián)網(wǎng)產(chǎn)業(yè)規(guī)模不斷壯大，針對(duì)用戶隱私、基礎(chǔ)網(wǎng)絡(luò)環(huán)境的安全攻擊不斷網(wǎng)絡(luò)安全問(wèn)題已成為限制物聯(lián)網(wǎng)服務(wù)廣泛部署的障礙之一。增多，
一、物聯(lián)網(wǎng)安全發(fā)展態(tài)勢(shì)
一方面，全球聯(lián)網(wǎng)設(shè)備數(shù)量高速增長(zhǎng)，“萬(wàn)物互聯(lián)”成為全球網(wǎng)絡(luò)未來(lái)發(fā)展的重要方向。據(jù) GSMA 預(yù)測(cè)，2025 年全球物聯(lián)網(wǎng)設(shè)備（包括蜂窩及非蜂窩）聯(lián)網(wǎng)數(shù)量將達(dá)到 252億。LoRa、NB-IoT 和 5G 等通信技術(shù)的發(fā)展讓萬(wàn)物互聯(lián)成為現(xiàn)實(shí)。尤其面向低耗流物聯(lián)網(wǎng)終端的 NB-IoT，作為萬(wàn)物互聯(lián)網(wǎng)絡(luò)的一個(gè)重要分支，適合廣泛部署在智慧城市、智慧交通、智能生產(chǎn)和智能家居等眾多領(lǐng)域。
另一方面，物聯(lián)網(wǎng)安全事件頻發(fā)，全球物聯(lián)網(wǎng)安全支出將不斷增加。當(dāng)前，基于物聯(lián)網(wǎng)（IoT）的攻擊已經(jīng)成為現(xiàn)實(shí)。據(jù) Gartner調(diào)查，近 20％的企業(yè)或相關(guān)機(jī)構(gòu)在過(guò)去三年內(nèi)遭受了至少一次基于物聯(lián)網(wǎng)的攻擊。
二、物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)分析
物聯(lián)網(wǎng)應(yīng)用涉及國(guó)民經(jīng)濟(jì)和人類社會(huì)生活的方方面面，典型應(yīng)用如：車聯(lián)網(wǎng)、智能家居、智能監(jiān)控、智能物流、智能穿戴、智慧醫(yī)療和智慧能源等。通過(guò)對(duì)各應(yīng)用系統(tǒng)業(yè)務(wù)流程及實(shí)現(xiàn)原理進(jìn)行分析，總結(jié)物聯(lián)網(wǎng)應(yīng)用系統(tǒng)模型如圖 1。
圖 1 物聯(lián)網(wǎng)應(yīng)用系統(tǒng)模型
上述模型主要包括三部分：服務(wù)端系統(tǒng)、終端系統(tǒng)和通信網(wǎng)絡(luò)。各部分功能主要如下：
1.服務(wù)端系統(tǒng)：主要功能是從物聯(lián)網(wǎng)終端系統(tǒng)收集數(shù)據(jù)信息存儲(chǔ)至服務(wù)器中，并通過(guò)業(yè)務(wù)功能模塊處理后，將處理結(jié)果通過(guò)不同業(yè)務(wù)接口反饋給用戶界面顯示，用戶可以通過(guò) API 接口或者 UI 界面獲得數(shù)據(jù)結(jié)果。
2.終端系統(tǒng)：主要包括低復(fù)雜性設(shè)備、復(fù)雜設(shè)備和網(wǎng)關(guān)，它們通過(guò)有線及無(wú)線網(wǎng)絡(luò)將物理世界和互聯(lián)網(wǎng)彼此相連。常見(jiàn)的終端系統(tǒng)設(shè)備包括：運(yùn)動(dòng)傳感器、數(shù)字門鎖、車聯(lián)網(wǎng)系統(tǒng)、工業(yè)控制傳感器等。終端系統(tǒng)從周圍真實(shí)物理環(huán)境中收集數(shù)據(jù)，并將數(shù)據(jù)格式化后通過(guò)蜂窩或非蜂窩網(wǎng)絡(luò)傳輸至服務(wù)端系統(tǒng)，并在接收到服務(wù)端反饋時(shí)將信息顯示給用戶。
3.通信網(wǎng)絡(luò)：主要包括有線和無(wú)線通信網(wǎng)，負(fù)責(zé)連接服務(wù)端、終端，并為其間數(shù)據(jù)傳遞提供通道（電信網(wǎng)、互聯(lián)網(wǎng)、衛(wèi)星通信等），同時(shí)也承擔(dān)終端設(shè)備與用戶終端之間的信息交互（藍(lán)牙、WIFI、近場(chǎng)通信等）?；谀Ｐ头治隹芍?，物聯(lián)網(wǎng)安全風(fēng)險(xiǎn)主要也集中在服務(wù)端、終端、通信網(wǎng)絡(luò)三個(gè)方面。
三、物聯(lián)網(wǎng)安全防護(hù)策略
1. 分布式數(shù)據(jù)管理系統(tǒng)安全防護(hù)策略
物聯(lián)網(wǎng)系統(tǒng)中包含大量設(shè)備，相應(yīng)會(huì)產(chǎn)生海量數(shù)據(jù)，因此物聯(lián)網(wǎng)中需要配備大量服務(wù)器資源，組成一個(gè)分布式、去中心化的數(shù)據(jù)管理系統(tǒng)，以對(duì)網(wǎng)絡(luò)中海量數(shù)據(jù)進(jìn)行有效的存儲(chǔ)、管理、分析等。首先，該數(shù)據(jù)管理系統(tǒng)必須滿足分布式數(shù)據(jù)庫(kù)安全相關(guān)需求，包括身份驗(yàn)證、數(shù)據(jù)加密、數(shù)據(jù)備份與恢復(fù)機(jī)制等方面。其次，由于物聯(lián)網(wǎng)中部署大量服務(wù)器，物聯(lián)網(wǎng)服務(wù)端的數(shù)據(jù)管理系統(tǒng)也需要做到系統(tǒng)加固、漏洞檢測(cè)與修復(fù)、防黑客、抗 DDoS 攻擊、安全審計(jì)、行為檢測(cè)等服務(wù)器安全防護(hù)，以防發(fā)生由于主機(jī)被攻破導(dǎo)致的數(shù)據(jù)泄漏、數(shù)據(jù)篡改等安全問(wèn)題。
2.基于云計(jì)算的 Web 應(yīng)用安全防護(hù)策略
物聯(lián)網(wǎng)智能設(shè)備業(yè)務(wù)系統(tǒng)通常會(huì)配備與云端服務(wù)相對(duì)應(yīng)的基于 云計(jì)算的應(yīng)用，通過(guò)瀏覽器界面為用戶提供業(yè)務(wù)相關(guān)的數(shù)據(jù)統(tǒng)計(jì)、 展示及智能設(shè)備遠(yuǎn)程管理能力。這種應(yīng)用本質(zhì)上屬于 Web 應(yīng)用，因此物聯(lián)網(wǎng)服務(wù)端也需要著重解決 Web 應(yīng)用存在的安全隱患。在物聯(lián)網(wǎng)安全防護(hù)體系中，針對(duì) XSS、CSRF、SQL 注入、命令行注入、DDoS 攻擊、流量劫持、服務(wù)器漏洞利用等典型 Web 應(yīng)用攻擊方式， 按照“事前防范、事中防御、事后響應(yīng)”的原則，可采取以下措施， 最大程度減輕 Web 應(yīng)用安全隱患，確保物聯(lián)網(wǎng)服務(wù)端 Web 應(yīng)用系統(tǒng) 符合安全要求，維持系統(tǒng)穩(wěn)定運(yùn)行：
(1)設(shè)置安全基線，制定防篡改、防掛馬安全規(guī)范，提出監(jiān)測(cè)、防護(hù)與處置機(jī)制和要求;
(2)輔助以自動(dòng)檢測(cè)工具、檢查列表定期開(kāi)展檢查工作；
(3)不定期進(jìn)行 Web 威脅掃描、源代碼評(píng)價(jià)及滲透測(cè)試，查找系統(tǒng)漏洞、研判是否掛馬，及時(shí)對(duì)系統(tǒng)進(jìn)行更新升級(jí)；
(4)對(duì)收集的數(shù)據(jù)進(jìn)行統(tǒng)計(jì)、分析，定期形成系統(tǒng)安全態(tài)勢(shì)分析報(bào)告；
(5)安裝防病毒、通訊監(jiān)視等軟件。
來(lái)源：中國(guó)信息通訊研究院
文章來(lái)源：微信公眾號(hào)“中瀚安全”
在線咨詢
在線咨詢
0371-63319761