物联网安全挑战：5G时代下如何应对204亿设备的安全威胁

5G通信、智慧城市、智能制造……物联网时代即将到来

Gartner预测，2015年至2020年，物联网终端年均复合增长率为33%，全球物联网设备数量将达到204亿台。物联网终端厂商、主流运营商的物联网卡业务、云管控平台及应用开发商……

但目前物联网设备用户的安全意识普遍较弱，固件、补丁等基础安全能力严重缺乏，攻击门槛较低。一旦出现有效的恶意控制手段，影响就会迅速蔓延；再加上数量庞大的加持，其作为网络武器的威力不容小觑。

网络安全已成为发展道路上不可绕开、回避或忽视的重要因素，物联网亦是如此。继去年底与中国电信安全帮联合发布《2017物联网安全研究报告》后，绿盟科技于今年3月底推出了更为详细的《2017物联网安全年度报告》。基于其对物联网设备安全情报的研究积累，从网络空间物联网资产的暴露、脆弱性和风险以及（三层）防护体系的构建等方面总结了当前的威胁状况并给出了防护思路。

那么，这份《2017物联网安全年度报告》有哪些内容值得关注呢？

1.物联网攻击链

目前，社会对物联网安全事件高度敏感，主要集中在网络摄像头被破解后私人数据泄露。但物联网安全的范围更为广泛，包括工业互联网、远程抄表、智慧医疗等。物联网设备的一般攻击链可以概括如下：

第一步是设备选择：参考市场份额（以较高者为准）、公开的漏洞信息、厂商是否有安全团队支持等指标来选择目标设备；

第二步，本地漏洞挖掘：通过对购买后选定的目标设备进行拆解，获取设备指纹，从弱口令、厂商披露漏洞等角度对其进行安全测试，发现漏洞；

第三步是工具制作：利用本地挖掘的漏洞创建（半）自动化的漏洞识别和利用工具；

第四步：资产统计：利用上一步制作的目标设备识别和漏洞利用工具，对全网进行扫描，评估受影响范围；

第五步，效益转化：根据上一步的资产统计结果进行价值评估，通过出售工具、目标设备信息和受控设备获得收益。

2、越来越多的物联网设备和服务暴露在互联网上

报告基于绿盟科技自身对物联网设备智能特征（包括设备指纹识别、设备行为等）的积累，从全球和国内的角度对不同类型的暴露设备、物联网操作系统、云服务进行统计。 。

物联网设备曝光

除了上图中相对集中的路由器和视频监控设备外，绿盟科技还发现，一些较新的物联网应用，例如商用车统一通信网关、网络恒温器等也缺乏基础的安全防护。也就是说，从目前的趋势来看，随着物联网的发展，黑客对物联网设备的攻击面将会越来越大。

在云服务方面，情况同样不容乐观。

家庭物联网设备大部分时间都会工作在低功耗场景或睡眠模式下，仅在需要时才与云端建立连接来传输数据。因此，云服务必须时刻保持开启状态，以满足设备随时连接的需求。那么使用MQTT、AMQP、CoAP等面向物联网的协议的服务的暴露势必会随着物联网应用的增长而不断增加。

IoT云服务曝光

不难想象，越来越多的攻击者也将把攻击重点从防护手段成熟的网络和电子邮件服务转移到这些新兴的物联网服务上，针对用户隐私数据进行欺诈和攻击。

3、物联网安全防护需要分层处理

典型的物联网应用涉及终端设备制造商、物联网网络提供商、平台和应用提供商。这也对应了三个层次：感知层、网络层、平台和应用层。物联网发展的同时，其背后的安全风险却没有得到产业链厂商的重视。无论是感知层的设备嗅探和入侵，还是平台和应用层的数据盗窃、欺诈和业务中断，设备和服务基数庞大，漏洞普遍存在，片面追求功能和低成本使得物联网安全威胁成为网络空间的新常态。

报告提到，由受控物联网设备组成的僵尸网络目前具有很强的扩散能力。从地域上看，美国、越南和印度是全球三大僵尸网络的重灾区。从威胁角度来看，虽然大规模DDoS攻击仍是主要焦点，但也出现了一些新的趋势，包括：成为DDoS攻击的常用手段、攻击变得更加频繁、基于P2P技术（无需网络）的僵尸网络的出现。中央控制）。节点）等，这必然给物联网安全威胁的管理带来更大的挑战。

在防护思路上，报告认为，应对感知、网络、平台、应用等不同层面的威胁，可以根据不同物联网应用的业务特点，分层构建安全防护能力。

对于物联网安全解决方案，绿盟科技的思路是结合安全网关（威胁检测、访问安全）和扫描器（漏洞管理、弱口令等不当配置）进行持续的安全评估，利用基于云的物联网联网设备安全智能积累和大数据分析能力，构建物联网威胁态势感知平台，跟踪设备状态、攻击特征和趋势，协助厂商安全运维。同时，结合绿盟科技分布在全球的大量安全设备（DDoS缓解等传统旗舰产品），可以尽早应对可能的攻击。

4.未来方向

对于物联网安全的未来发展方向，绿盟科技认为软件定义边界（SDP）将成为物联网访问控制的有效手段。客户端通过设备可靠性（透明、多因素）和账户有效性认证后，用户才能与服务器建立服务连接。这意味着应用程序提供商可以在任何地方部署软件定义的边界，同时在获得认证之前保持对外界不可见和无法访问。

此外，物联网设备高度分散，结合去中心化的区块链技术，物联网设备的身份认证将更加可靠，而不是单一认证平台被攻破后迅速蔓延。

5.针对个人用户的安全建议：

报告下载：