xIoT設備成為網絡攻擊者橫向移動的最愛
擴展物聯(lián)網設備(xIoT)一直是尋求橫向移動并在企業(yè)網絡內建立持久性的網絡攻擊者的最愛。他們擁有壞人立足點所需的一切：他們的安全嚴重不足，他們大量存在（并且在網絡的敏感部分），而且最重要的是，他們通常沒有得到很好的監(jiān)控。在即將舉行的RSA會議上，安全研究員兼戰(zhàn)略家Brian Contos將向聽眾介紹如何使用這些設備對企業(yè)資源發(fā)起非常廣泛的攻擊，以及安全戰(zhàn)略家應該采取哪些措施來應對風險。
“我將進行一些xIoT黑客攻擊演示，因為每個人都喜歡看到東西被攻破，”Sevco Security首席戰(zhàn)略官Contos說。“但在xIoT世界中，突破和入侵很容易，所以我不會專注于此，而是關注如何將其用作跳板，攻擊本地設備、云端設備、竊取敏感數(shù)據(jù)、維護堅持不懈，逃避偵查。”
他的目標是展示攻擊的整個生命周期，以展示在企業(yè)環(huán)境中讓xIoT設備不受管理和監(jiān)控而即將產生的嚴重連鎖反應。
xIoT普遍不安全
正如Contos解釋的那樣，xIoT設備通常分為三種設備類別，它們都在業(yè)務環(huán)境中大量增加。
首先是企業(yè)物聯(lián)網設備，如相機、打印機、IP電話和門鎖。
第二種是OT(操作技術)設備，如工業(yè)機器人、閥門控制器和其他在工業(yè)環(huán)境中控制物理的數(shù)字設備。
第三種——通常是最少被記住的——是通用網絡設備，如交換機、網絡附加存儲和網關路由器。
“所有這些設備的共同點是它們都是專用設備，為特定目的而創(chuàng)建，”他指出。“它們是網絡連接的，你不能在它們上面安裝任何額外的‘東西’。所以，你不能在它們上面安裝防火墻或IPS，或反惡意軟件。所以，所有傳統(tǒng)的IT控制都不會必然適合這個xIoT世界。”
他說，他過去幾年的研究表明，在典型的企業(yè)網絡中，每個員工通常有三到五個xIoT設備四處流動。在某些行業(yè)——例如石油和天然氣或制造業(yè)，這個數(shù)字可以向上擴展到每名員工五到六臺設備。因此，一家擁有10,000名員工的制造公司很容易在其網絡上查看其中的50,000臺此類設備。
“你會發(fā)現(xiàn)，其中大約一半使用默認口令，我需要半秒鐘才能在Google上查找，”他說。“如果我用谷歌搜索，‘APC UPS系統(tǒng)的默認口令是什么，它會告訴我默認用戶名是‘apc’，默認口令是‘apc’。” 我可以根據(jù)經驗告訴你，我還沒有見過沒有‘apc-apc’作為用戶名和口令的APC UPS系統(tǒng)。”
警惕數(shù)據(jù)中心管理黑洞！黑客正在獲取各種聯(lián)網UPS設備的訪問權限
UPS網絡攻擊并非聳人聽聞！現(xiàn)代UPS電源或成網絡攻擊跳板或可淪為機房定時炸彈：TLStorm漏洞原理演示及攻擊實驗
數(shù)據(jù)中心機房的噩夢--UPS不間斷電源設備中發(fā)現(xiàn)的三個嚴重漏洞可讓攻擊者遠程操縱數(shù)百萬企業(yè)設備的電源
最重要的是，他解釋說，超過一半的xIoT設備還存在關鍵級別的CVE，這些CVE幾乎不需要黑客專業(yè)知識就可以遠程利用并獲得設備的root權限。
“由于數(shù)量的原因，如果你沒有進入前1,000到2,000臺設備，你很可能會進入接下來的1,000到2000臺，”他說。
經驗教訓
Contos的黑客演示將深入探討每個xIoT設備類別中的不同設備如何用于各種攻擊目的，從關閉電源到破壞資產，從泄露敏感數(shù)據(jù)到擴大整個網絡的攻擊范圍。他將分享有關民族國家行為者構建的xIoT黑客工具的信息，并解釋威脅行為者如何投入大量資金來投資此類攻擊。
“我希望聽眾了解這有多么容易，并了解這是一種風險，需要在他們的組織內給予一些關注，”他說。
作為討論的一部分，Contos將討論對策，包括圍繞xIoT的可靠資產管理、身份管理和補丁管理，以及分段和MFA等補償控制，以強化xIoT攻擊面。他還表示，他希望解釋防御不應“在泡沫中”計劃。換句話說，這不是那種應該由從云安全和其他安全組中移除的特別工作組開發(fā)的安全措施。
“這應該全部集成，因為所有這些設備都相互接觸，”他說。“它應該是一種更大方法的一部分。”
參考資源
1、https://www.darkreading.com/ics-ot/why-xiot-devices-are-gateway-drug-lateral-movement
2、https://www.rsaconference.com/USA/agenda/session/xIoT%20Hacking%20Demonstrations%20%20Strategies%20to%20Disappoint%20Bad%20Actors
來源：網空閑話
在線咨詢
在線咨詢
0371-63319761