物聯網的安全問題,威脅和防禦

物聯網(IoT ,Internet of Thing)的應用已經變得相當廣泛,所以它安全性的發展也必須能夠跟上。本文裡探討了物聯網安全的基礎知識,有助於框定其範圍、為什麼必要以及該如何實現。

什麼是物聯網裝置?


首先我們要定義物聯網裡的「物」,因為物聯網裝置的多樣性讓物聯網的範圍變得如此廣泛,其安全性也備受挑戰。物聯網裝置的主要特徵是能夠連接網路,並且透過資料的收集和交換與環境互動。裝置通常具備有限的運算能力並只有少數特定的功能。由於裝置如此的多樣性,有無數的方式可以將物聯網應用在各種不同的環境。

對一般使用者來說,智慧家庭展示了物聯網裝置是多麼容易使用。使用者只需要購買這類裝置,就可以更新家庭保全系統(藉由智慧安全鎖、IP攝影機和動作感測器)或改善娛樂系統(藉由智慧電視、智慧音箱和連網游戲機)。物聯網裝置通常也具備可攜性,能夠連接任何網路。一個典型例子是使用者可以將自己的裝置從家裡帶到辦公室(如智慧手錶和電子書閱讀器)。

雖然多樣性讓使用者有無數種裝置可選擇,但這也是物聯網碎片化的原因之一,並且帶來許多的安全問題。產業缺乏遠見和標準化導致了相容性問題,這也讓安全問題複雜化。裝置的可攜性讓惡意威脅更有可能侵害多個網路。除了這些問題以外,物聯網安全還有其他必須解決的問題。

物聯網存在哪些安全問題?


雖然物聯網裝置在討論物聯網安全時佔了相當大的比重,但將所有焦點放在它身上並無法全面性地說明物聯網安全的必要性以及其所包含的內容。今日有許多因素使得物聯網安全變得至關重要。

威脅和風險


物聯網安全之所以至關重要,主要是因為會遭遇網路威脅的受攻擊面不斷擴大。更糟的是使用者和企業不安全的做法,他們可能沒有資源或知識來更好地保護其物聯網生態系統。

這些安全問題包括:

  • 漏洞。
    漏洞是一個不斷困擾使用者和企業的嚴重問題。物聯網裝置脆弱的主要原因之一是它們缺乏內建的安全運算能力。漏洞如此普遍的另一個原因是開發和測試安全韌體的預算有限,這是受裝置價格及其相當短的開發週期所影響。有漏洞的標準部件也會影響數百萬台裝置,正如Ripple20URGENT/11所證明的那樣。除了裝置本身,物聯網裝置的網頁應用程式和相關軟體內的漏洞也可能導致系統被入侵。惡意軟體運營商正努力尋找這樣的機會攻擊,甚至對舊漏洞也相當的了解。
  • 惡意軟體。
    儘管大多數物聯網裝置的運算能力有限,但它們仍可能遭受惡意軟體感染。這在過去幾年來對網路犯罪分子發揮了巨大的作用。物聯網殭屍網路是最常見的惡意軟體之一,因為它們對網路犯罪分子來說既能有多用途又有利可圖。最知名的攻擊發生在2016年,當時Mirai使用大量的一般物聯網裝置癱瘓了主流網站和服務。其他惡意軟體家族包括了加密貨幣挖礦病毒和勒索病毒。
  • 升級的網路攻擊。
    受感染裝置通常被用於分散式阻斷服務(DDoS)攻擊。被劫持的裝置還可能被用作攻擊基地來感染更多電腦並掩蓋其惡意活動,或成為企業網路裡橫向移動的進入點。雖然企業可能看起來更加有利可圖,不過也可以在智慧家庭看到數量驚人的非預期網路攻擊
  • 資訊竊取和未知暴露。
    與所有跟網路有關的事物一樣,連網裝置增加了在網路上暴露的機會。重要的技術資訊甚或是個人資訊都可能在不知情下儲存在這些裝置裡並成為了攻擊目標。
  • 裝置管理不善和設定不當。
    安全疏忽、糟糕的密碼習慣和整體裝置管理不善都會讓這些惡意威脅更容易成功。使用者或許只是缺乏知識和能力去部署適當的安全措施,所以服務商和製造商可能需要協助其客戶來做到更好的保護。

新興問題


由於產業缺乏遠見,只花極少的時間制定策略和防禦措施來應對不斷成長物聯網生態系統內的常見威脅。預測新興問題是必須持續進行物聯網安全研究的原因之一。以下是一些需要監控的新問題:

  • 複雜的環境。在2020年,大多數美國家庭平均擁有10台連網裝置。這份報告將複雜的物聯網環境定義為至少有10個物聯網裝置的互連網路。人們幾乎不可能監督和控制這樣互連功能所建立的複雜網路環境。在這種情況下,一個被忽略的不當設定就可能帶來可怕的後果,甚至讓家庭的實體安全受到威脅。
  • 遠端工作的盛行。Covid-19疫情改變了許多對2020年的預測。它為全球組織帶來大規模的在家工作(WFH)配置,加劇了對家庭網路的依賴。物聯網裝置也被證明對許多使用者的在家工作很有用。這些變化凸顯了重新審視物聯網安全實作的必要性。
  • 5G連線。轉換到5G伴隨著諸多期待和期望。這一發展也將會帶動其他技術的發展。目前關於5G的大部分研究仍主要集中在它將如何影響企業以及該如何安全地實作

物聯網攻擊的可能後果


除了威脅本身,它們在物聯網環境所造成的後果可能更具破壞性。物聯網具有同時影響虛擬和實體系統的獨特能力。對物聯網生態系統的網路攻擊可能產生更多不可預期的影響,因為它們更容易轉化成實體世界的後果。這在工業物聯網(IIoT)領域最為明顯,過去的網路攻擊已經證明了連鎖後果。在醫療產業,物聯網裝置已被用來遠端監測患者的生命指數,並且在疫情爆發期間證明非常有用。對此類裝置的攻擊可能會暴露敏感的病患資訊,甚至危及他們的健康和安全。在智慧家庭中,暴露在網路上的裝置可能讓網路犯罪分子能夠監控家庭,入侵智慧安全鎖等保全裝置,利用裝置反過頭來對付其擁有者,就像寶寶監視器智慧恆溫控制器都曾出現過的駭客入侵事件一樣。

如何防護物聯網?


沒有任何解決方案可以立刻解決本文中提出的安全問題和威脅。要適當地保護特製系統和物聯網的各個方面,可能需要特定的策略和工具。不過使用者可以採用一些最佳實作來降低風險和防止威脅:

  • 指派管理員。
    讓人擔任物聯網裝置和網路的管理員有助於減少安全疏忽和網路暴露。他們會負責確保物聯網裝置的安全,即使在家裡也是如此。這一角色相當關鍵,尤其是在WFH期間,IT專家在防護家庭網路方面的控制力有限,而現在家庭網路對工作網路會造成更大的影響。
  • 定期檢查修補程式和更新。
    漏洞是物聯網領域一個主要且持續存在的問題。這是因為漏洞可能來自物聯網裝置的任何一層。即使是舊漏洞也會被網路犯罪分子用來感染裝置,這顯示未經修補的裝置可以在網路上出現多長時間。
  • 讓所有帳號都使用強且不同的密碼。
    強密碼有助於防止許多網路攻擊。密碼管理器可以幫助使用者建立唯一且強大的密碼,讓使用者儲存在應用程式或軟體裡。
  • 防護無線網路(Wi-Fi)。
    使用者可以採用的做法包括啟用路由器防火牆、停用WPS和使用WPA2安全協定,並且設定強大的連線密碼。確保安全的路由器設定也是這一步驟裡的重要一環。
  • 監控網路和裝置行為的基準線。
    網路攻擊可能很難被發現。了解裝置和網路的基準線(速度、一般使用頻寬等)可以幫助使用者發現可能代表惡意軟體感染的跡象
  • 應用網路分段。
    使用者可以為IoT裝置建立獨立的網路,並且為訪客連線建立另一個網路,從而將IoT相關攻擊的風險降到最低。網路分段還有助於防止攻擊散播,並隔離無法立即下線的可能有問題裝置。
  • 保護網路並利用它來加強安全防護。
    物聯網裝置可能會讓網路陷入危險,但使用者也可以在網路上部署各種安全措施來涵蓋所有的連接裝置。
  • 防護物聯網與雲端的融合,並應用雲端解決方案。
    物聯網和雲端正變得越來越融合。研究各種技術對另一種技術的安全影響是很重要的事情。還可以考慮雲端解決方案來為物聯網邊緣裝置提供額外的安全和處理功能。
  • 考慮安全解決方案和工具。
    使用者在保護物聯網生態系統時所面臨的一大障礙是自己實作這些步驟的能力有限。某些裝置可能會限制存取且難以設定。在這種情況下,使用者可以考慮提供多層次安全防護及端點加密的安全解決方案來補強防護。
  • 考慮物聯網裝置使用的不同協定
    為了進行通訊,物聯網裝置不僅使用網際網路協定,還會使用大量不同的網路協定,從眾所皆知的藍牙和近距離無線通訊(又名NFC),到不大為人所知的nRF24、nRFxx、443MHz、LoRA、LoRaWAN及光通訊、紅外線通訊。管理員必須了解其物聯網系統所用的整套協定,以降低風險並防範威脅。
  • 防護大量使用的GPS。
    一些物聯網裝置和應用程式大量地使用GPS,這會帶來潛在的安全問題。特別是企業,需要小心GPS訊號可能被干擾甚或是假造,尤其是當他們將定位系統用在製造、監控和其他功能時。如果這些定位系統對公司至關重要,那公司也應該要有監控GPS訊號的方法。另一種選擇是公司同時使用其他定位系統,如即時動態定位技術(RTK)或差分全球定位系統(DGNSS或DGPS)。

除了採用這些安全作法外,使用者還必須了解該技術的新發展。近來物聯網安全受到更多的關注。關於如何對保護特定產業、監控物聯網相關威脅以及為即將出現的遊戲規則改變者(如5G)做好準備的研究一直在進行。使用者必須明白,物聯網是一個活躍且不斷發展的領域,因此其安全防護將一直需要轉變並更上變化。

@原文出處:IoT Security Issues, Threats, and Defenses