在2021年度RSA大會(huì)上對(duì)物聯(lián)網(wǎng)駭客的心理剖析中，安全專家 Itzik Feiglevitch 和 Justin Sowder 提出了各種物聯(lián)網(wǎng)設(shè)備易受攻擊的問題，以及企業(yè)網(wǎng)絡(luò)安全工作中另類的處理問題。通過一些驚人的案例，展現(xiàn)出企業(yè)的物聯(lián)網(wǎng)安全現(xiàn)狀。
很少會(huì)有網(wǎng)絡(luò)安全專家對(duì)企業(yè)的物聯(lián)網(wǎng)設(shè)備進(jìn)行跟蹤調(diào)查。通常情況下，智能電梯、各種傳感器、交互式網(wǎng)絡(luò)電視（IPTV）、打印機(jī)、監(jiān)控探頭等設(shè)備，只不過是一些零散設(shè)備隨意組合到一起，每個(gè)設(shè)備都采用獨(dú)立的操作系統(tǒng)及專有協(xié)議，許多設(shè)備都缺少一種合理的控制接口。這點(diǎn)您應(yīng)該理解，在您的企業(yè)中可能就存在數(shù)千個(gè)案例。
█物聯(lián)網(wǎng)設(shè)備為何會(huì)引入額外的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)
物聯(lián)網(wǎng)設(shè)備往往并不被看作是相關(guān)基礎(chǔ)設(shè)施。盡管大家會(huì)將網(wǎng)絡(luò)打印機(jī)視為網(wǎng)絡(luò)設(shè)備，卻不會(huì)把智能建筑組件甚至IP電話系統(tǒng)看作網(wǎng)絡(luò)設(shè)備。很明顯，這類設(shè)備常常會(huì)和企業(yè)的工作站連接在同一個(gè)網(wǎng)絡(luò)中。
企業(yè)員工的流動(dòng)或許會(huì)讓情況更加復(fù)雜。網(wǎng)絡(luò)安全和信息技術(shù)的人事變動(dòng)越頻繁，新員工就越有可能對(duì)連接到網(wǎng)絡(luò)的物聯(lián)網(wǎng)集群的狀況一無所知。
或許，最壞的狀況在于部分物聯(lián)網(wǎng)設(shè)備是可以從外界訪問的。外人可以以合法手段從外界訪問，比如供應(yīng)商對(duì)設(shè)備某些方面的控制，遠(yuǎn)程辦公的實(shí)現(xiàn)，以及維護(hù)行為。然而一邊把設(shè)備接入企業(yè)網(wǎng)絡(luò)，同時(shí)又將設(shè)備長(zhǎng)期連接到互聯(lián)網(wǎng)，這種做法風(fēng)險(xiǎn)極高。
雖然聽起來有些矛盾，但是現(xiàn)代電子產(chǎn)品功能的愈發(fā)強(qiáng)大，已成為又一個(gè)風(fēng)險(xiǎn)因素。一些物聯(lián)網(wǎng)設(shè)備的使用壽命非常長(zhǎng)，其運(yùn)行環(huán)境中的安全狀況早已比其出廠時(shí)要復(fù)雜得多。
舉個(gè)例子，某些設(shè)備上運(yùn)行著早已過時(shí)且易受攻擊的操作系統(tǒng)，這類操作系統(tǒng)不再更新。即便可以更新，大概也需要通過物理方式更新，而且操作困難到幾乎無法實(shí)現(xiàn)。部分功能無法更改密碼，還有那些在調(diào)試時(shí)不小心留在最終版固件中的后門，以及其他一些給IT安全工作添枝加葉的“驚喜”。
█攻擊者為什么對(duì)物聯(lián)網(wǎng)設(shè)備感興趣
網(wǎng)絡(luò)犯罪分子對(duì)物聯(lián)網(wǎng)設(shè)備感興趣的原因有幾個(gè)，包括對(duì)主機(jī)企業(yè)和其他企業(yè)的攻擊。受攻擊的智能設(shè)備通常會(huì)被用于：
為DDoS攻擊建立僵尸網(wǎng)絡(luò)；
加密貨幣挖礦；
盜取機(jī)密信息；
實(shí)施破壞；
作為進(jìn)一步攻擊和網(wǎng)絡(luò)橫向移動(dòng)的跳板。
█案例研究
研究人員講述了幾個(gè)非�；闹嚨陌咐�，都涉及連接到互聯(lián)網(wǎng)的標(biāo)準(zhǔn)設(shè)備，以及高度專業(yè)的設(shè)備。有兩個(gè)突出案例是關(guān)于使用Zigbee協(xié)議的超聲波機(jī)器和設(shè)備的。
超聲機(jī)
現(xiàn)代醫(yī)療保健行業(yè)組織廣泛使用物聯(lián)網(wǎng)醫(yī)療設(shè)備。為了對(duì)此類設(shè)備的安全性進(jìn)行測(cè)試，研究人員購(gòu)買了超聲波機(jī)器，并試圖對(duì)其實(shí)施破解。只需五分鐘，就能完成破解。該設(shè)備使用不再支持更新的Windows 2000的一個(gè)系統(tǒng)版本。除此之外，他們不僅能獲得對(duì)設(shè)備的控制，還能訪問前任機(jī)主未刪除的患者數(shù)據(jù)。
醫(yī)生往往會(huì)在不更新、不升級(jí)的情況下，使用醫(yī)療設(shè)備數(shù)年甚至數(shù)十年之久。這可以理解，如果機(jī)器不出問題就不用管。然而此類設(shè)備往往并不會(huì)在自己的第一個(gè)主人手下工作較長(zhǎng)時(shí)間，它們會(huì)被轉(zhuǎn)賣，隨后繼續(xù)服役。
Zigbee協(xié)議
Zigbee網(wǎng)絡(luò)協(xié)議是于2003年，為提高設(shè)備間無線通訊的能效而開發(fā)的通信協(xié)議。企業(yè)使用Zigbee網(wǎng)絡(luò)協(xié)議構(gòu)建Mesh網(wǎng)絡(luò)，以滿足智能建筑中各種組件的日常連接。這樣一來，在辦公室某處設(shè)置的網(wǎng)關(guān)就可以控制幾十種不同的設(shè)備，比如智能照明系統(tǒng)。
一些研究人員表示，網(wǎng)絡(luò)犯罪分子可以在普通筆記本上輕易模擬Zigbee設(shè)備，連接到網(wǎng)關(guān)，并安裝惡意程序。不法分子只需位于Zigbee網(wǎng)絡(luò)的覆蓋范圍內(nèi)，比如辦公室大廳，一旦控制網(wǎng)關(guān)，就能以多種方式實(shí)施破壞。比如，可以關(guān)閉建筑物中的所有智能燈。
█如何為企業(yè)網(wǎng)絡(luò)提供保護(hù)
安全經(jīng)理經(jīng)常拿不準(zhǔn)，是應(yīng)該保護(hù)企業(yè)網(wǎng)絡(luò)中的物聯(lián)網(wǎng)設(shè)備，還是保護(hù)企業(yè)網(wǎng)絡(luò)免受物聯(lián)網(wǎng)設(shè)備發(fā)起的攻擊。實(shí)際上，這兩種問題都需要解決。這里要注意的是，要保證網(wǎng)絡(luò)上的每個(gè)項(xiàng)目和行為都是可見的。建立企業(yè)安全，需要首先識(shí)別每一個(gè)連接到網(wǎng)絡(luò)中的設(shè)備，對(duì)其進(jìn)行正確分類，理想情況下要分析相關(guān)風(fēng)險(xiǎn)。
當(dāng)然，下一步就是根據(jù)分析結(jié)果進(jìn)行網(wǎng)絡(luò)分段。如果某個(gè)設(shè)備必要且無法取代，但存在無法修復(fù)的漏洞，就要配置網(wǎng)絡(luò)以拒絕易受攻擊的設(shè)備連接到互聯(lián)網(wǎng)，并在其他網(wǎng)段中移除其訪問權(quán)限。理想情況下，要使用零信任安全理念進(jìn)行細(xì)分。
監(jiān)視網(wǎng)絡(luò)流量以了解相關(guān)網(wǎng)段中的異常狀況，同樣有助于提高監(jiān)測(cè)能力，發(fā)現(xiàn)受攻擊的物聯(lián)網(wǎng)設(shè)備實(shí)施的DDoS攻擊以及挖礦行為。
最后，如果您想要獲取早期監(jiān)測(cè)能力，監(jiān)測(cè)在網(wǎng)絡(luò)中以物聯(lián)網(wǎng)設(shè)備作為跳板以攻擊其他系統(tǒng)的高級(jí)攻擊，請(qǐng)使用端點(diǎn)檢測(cè)和響應(yīng)解決方案。
