七大物联网安全威胁盘点，有哪些措施能应对这些威胁呢？.doc

《七大物联网安全威胁盘点，有哪些措施能应对这些威胁呢？.doc》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、七大物联网安全威胁盘点，有哪些措施能应对这些威胁呢？背景介绍　　这些年，物联网的快速发展，也令连网设备的数量与日俱增。然而，有网络的地方就会有安全问题，根据安全研究员曝光的数据显示，物联网领域存在着诸多漏洞，从无线智能玩偶到重达数吨的汽车，无一幸免。好的方面是，这也令越来越多的公司关注并重视物联网的安全问题。　　如今，越来越多的员工都已经在家中部署了各种各样的物联网设备，甚至还会将这些设备连接企业网络进行办公，如此一来，势必会引爆更大的安全危机。与此同时，工业物联网也正面临同样的安全问题，员工所拥有并使用的物联网

2、系统已经成为影响工业物联网安全的第二个主要威胁面。　　根据Gartner最新发布的报告指出，近20%的企业机构在过去三年内至少观察到一次基于物联网的攻击。为了应对这些威胁，Gartner预测全球物联网安全支出将在2018年达到15亿美元，相比2017年的12亿美元增加了28%。　　针对物联网设备的安全问题，需要提高黑客攻击物联网设备的成本，降低物联网设备的安全风险。我们将从7个攻击面对设备进行安全评估分析，并给出应对措施。大家可以根据表单核查自身安全状况，有则改之无则加勉。　　综合来说，下述总结的一些威胁会攻击物

3、联网设备的独特属性，其他一些攻击会瞄准围绕这些设备的应用程序生态系统，还有一些威胁则是由于用户缺乏经验或系统限制而导致的配置错误等造成的结果。不过，无论在任何情况下，这些威胁都可能会导致隐私数据泄露，甚至失去设备控制权。7大物联网安全威胁　　1.糟糕的Web用户界面　　　　配置良好的Web用户界面是吸引用户的重要因素之一。对于物联网应用程序而言，良好的Web用户界面可以帮助用户实现各项控制功能，设置设备，以及更快、更轻松地将设备集成到系统中。但是麻烦的是，这些Web用户界面经常也会为网络犯罪分子提供同样的易用性。

4、　　大多数情况下，令人烦恼的物联网Web界面问题与Web应用程序的问题同样困扰着企业。虽然SQL注入在物联网应用程序中并不是什么大问题，但命令注入、跨站点脚本以及跨站点请求伪造都是编程错误，能够导致犯罪分子随时访问设备和完整的系统，以控制、监视和访问真实世界的运营操作。　　幸运的是，大多数Web用户界面安全问题的补救措施与多年来向Web开发人员反复灌输的内容相同，包括：验证输入、要求强密码（并且不允许在第一阶段的初始设置后使用默认密码）、不公开凭据、限制密码重试尝试，以及确保密码和用户名恢复程序的可靠性等。正如S

5、am在《卡萨布兰卡（Casablanca）》中所吟唱的那般，“……随着时光流逝，还是那一套”。　　威胁案例：在2014年的44Con大会上，研究人员MikeJordan就演示了如何利用佳能的Pixma打印机的Web界面修改打印机的固件从而运行Doom游戏。　　2.缺乏身份验证　　　　为物联网应用程序验证用户身份是一件好事。当应用程序可以控制建筑物访问和进行环境控制，或者为可能监视建筑物使用者的音频和视频设备提供访问权限时，身份验证似乎是“必备因素”，但在某些情况下，即使是最基本的身份验证也在实施中被遗漏了。　　对

6、于物联网应用程序来说，两种身份验证非常重要。首先是用户身份验证。考虑到许多物联网环境的复杂性，问题是每个设备是否需要身份验证，或者单个系统身份验证是否足以支持网络上的每个设备。易用性的考虑使大多数系统设计人员选择后者，所以对接入设备或控制中心的强身份验证显得至关重要。　　系统的单点登录也使得另一种类型的认证——设备认证——变得更为重要。由于用户没有在每个设备接口上进行身份验证，因此物联网网络中的设备应该要求它们之间进行身份验证，以便攻击者无法使用隐含的信任作为进入系统的凭证。　　与Web界面安全性一样，关闭这个安

7、全漏洞的前提是将物联网视为一个“真正的”应用程序网络。由于许多设备没有本机用户界面——这取决于浏览器UI或用于人机交互的应用程序——因此会出现“如何实现”的特殊问题，但任何设备缺乏身份验证，使得物联网周边的安全性变得更加脆弱。　　威胁案例：2018年5月，英国PenTestPartners的安全研究人员发现，由于Z-Wave协议安全类的nodeinfo命令完全未加密且未经过身份验证，最终导致超过1亿个物联网设备容易受到黑客降级攻击，允许攻击者在未设置安全性的情况下截获或广播欺骗节点命令类。　　3.使用默认配置　　

8、　　你知道IoT设备自带的默认用户名和密码吗？这是每个人都可以通过谷歌搜索得到解答的问题。所以，对于那些不允许改变默认设置的设备和系统来说，这将会是一个真正的问题。　　默认用户凭证（比如说常用的用户名“admin”）是物联网安全设置问题上的一个巨大威胁信号，但这并不是唯一重要的设置，包括使用的端口、设置具有管理员权限的用户、记录（或不记录）日志和事件通知，这些网络参数都是