IoT vs. BoT──物聯(lián)網(wǎng)刮起的安全風(fēng)暴

責(zé)任編輯:editor005

作者:Jim Huang

2017-06-23 13:43:54

摘自:物聯(lián)之家網(wǎng)

萬(wàn)物聯(lián)網(wǎng)已是必然的趨勢(shì),在擔(dān)心家中該如何使用智能冰箱、智能電視之前,更需要留意它們,是否已經(jīng)被吸收,而成為殭尸網(wǎng)絡(luò)一員了。其實(shí),安全防護(hù)能否健全的根基,始終來(lái)自于你對(duì)自身的弱點(diǎn)風(fēng)險(xiǎn)掌握,畢竟,黑客將施展的攻擊手法,是不可預(yù)知的。

萬(wàn)物聯(lián)網(wǎng)已是必然的趨勢(shì),在擔(dān)心家中該如何使用智能冰箱、智能電視之前,更需要留意它們,是否已經(jīng)被吸收,而成為殭尸網(wǎng)絡(luò)一員了。

物聯(lián)網(wǎng)(IoT)是一項(xiàng)被引領(lǐng)期盼的未來(lái)技術(shù)潮流,只是在人們不斷歌頌物聯(lián)網(wǎng)所帶來(lái)的美好未來(lái)時(shí),另一個(gè)造成恐慌的“未來(lái)”(Mirai惡意軟件),則在2016年底開(kāi)啟了物聯(lián)網(wǎng)安全威脅之門(mén)。

物聯(lián)網(wǎng)并不只是一個(gè)可以連上互聯(lián)網(wǎng)的裝置而已,事實(shí)上,物聯(lián)網(wǎng)可以說(shuō)是集合網(wǎng)絡(luò)、應(yīng)用程序、移動(dòng)化、云端等科技之大成,甚至包括大數(shù)據(jù)及AI人工智能等等;但相對(duì)的,這些科技所存在的安全問(wèn)題,也同樣被移植到物聯(lián)網(wǎng),并且產(chǎn)生復(fù)合性的威脅,而Mirai則是利用物聯(lián)網(wǎng)這項(xiàng)科技存在的漏洞威脅,所應(yīng)運(yùn)而生。

事實(shí)上,Mirai是一款?lèi)阂廛浖?,針?duì)執(zhí)行Linux的系統(tǒng),使之成為被遠(yuǎn)程操控的“殭尸”,透過(guò)殭尸網(wǎng)絡(luò)進(jìn)行大規(guī)模網(wǎng)絡(luò)攻擊。一群網(wǎng)絡(luò)攻擊者利用Mirai所發(fā)動(dòng)的DDoS攻擊,創(chuàng)下每秒Tb級(jí)的攻擊流量,另外,他們也成功癱瘓Dyn網(wǎng)絡(luò)服務(wù)商的DNS服務(wù)。

同時(shí),此次DDoS攻擊有效地?fù)糁幸Γ⑶以斐杀泵栏鞔缶W(wǎng)站受到影響,使用者無(wú)法瀏覽,而這些攻擊,則是來(lái)自高達(dá)10幾萬(wàn)臺(tái)被Mirai所感染的物聯(lián)網(wǎng)裝置(IP Camera),作為殭尸網(wǎng)絡(luò)利用。

更令人憂心的是,Mirai原始碼被該作者公布后,已經(jīng)促成新變種殭尸網(wǎng)絡(luò)形成。根據(jù)Level 3威脅研究中心研究估計(jì),Mirai殭尸裝置的數(shù)量從21.3萬(wàn)臺(tái),增加到49.3萬(wàn)臺(tái),并且已演化出能感染W(wǎng)indows裝置的版本,勢(shì)必?cái)U(kuò)大Mirai殭尸網(wǎng)絡(luò)的感染范圍。

雖然威脅越演越烈,但相對(duì)地,由于Mirai事件的爆發(fā),也同時(shí)驚醒人們對(duì)于物聯(lián)網(wǎng)安全的注意。

IoT vs. BoT──物聯(lián)網(wǎng)刮起的安全風(fēng)暴

IoT物聯(lián)網(wǎng)是融合網(wǎng)絡(luò)、應(yīng)用程序服務(wù)、移動(dòng)化、云端等多種科技的集成體,也因此,各項(xiàng)科技技術(shù)所存在的安全問(wèn)題風(fēng)險(xiǎn),也同樣存在于物聯(lián)網(wǎng),并且更容易產(chǎn)生復(fù)合性的攻擊威脅。(圖片來(lái)源/RSA Conference 2015)

物聯(lián)網(wǎng)設(shè)備是發(fā)動(dòng)DDoS攻擊的完美平臺(tái)

過(guò)往要實(shí)現(xiàn)一個(gè)DDoS攻擊并不容易,但隨著物聯(lián)網(wǎng)在業(yè)者的推波助瀾下,促使聯(lián)網(wǎng)的裝置系統(tǒng)大幅度增長(zhǎng)。

根據(jù)國(guó)際研究顧問(wèn)機(jī)構(gòu)Gartner預(yù)測(cè),2017年全球使用中的連網(wǎng)對(duì)象數(shù)量,將達(dá)到84億個(gè),到2020年更將增至204億個(gè)。而另一知名市調(diào)機(jī)構(gòu)IDC更預(yù)估,在2020年,全球物聯(lián)網(wǎng)裝置數(shù)量將達(dá)到300億個(gè)。

這樣的數(shù)量何其驚人!或許有人認(rèn)為“這一切都是假的,嚇不倒我......”,但現(xiàn)實(shí)中,光是我們?nèi)粘=佑|或使用的聯(lián)網(wǎng)裝置,就已不下數(shù)十種,例如:安全監(jiān)控設(shè)備(IP Camera)、無(wú)線基地及分享器、網(wǎng)絡(luò)儲(chǔ)存系統(tǒng)(NAS),或是任何冠上智能聯(lián)網(wǎng)的電器設(shè)備(Smart Devices)。

不過(guò),目前絕大多數(shù)的物聯(lián)網(wǎng),都以能夠快速投入市場(chǎng)為目標(biāo),因此,長(zhǎng)期以來(lái),僅以最低標(biāo)準(zhǔn)來(lái)看待“安全”議題。事實(shí)上,在Mirai所引發(fā)的攻擊前,便已經(jīng)有多起物聯(lián)網(wǎng)安全事件在警告著,包括華碩(Asus)、Belkin、Cisco Linksys、友訊(D-Link)、Netgear、小米、TP-Link等知名且廣為使用的無(wú)線路由器,都傳出暴露重大的安全漏洞問(wèn)題的消息,而令人擔(dān)憂的是,類(lèi)似的問(wèn)題發(fā)生,仍層出不窮。

有人說(shuō):“物聯(lián)網(wǎng)設(shè)備是發(fā)動(dòng)DDoS攻擊的完美平臺(tái)”?為何如此?這絕對(duì)與物聯(lián)網(wǎng)設(shè)備的特性有關(guān):

● 常保可連結(jié)性:物聯(lián)網(wǎng)設(shè)備與互聯(lián)網(wǎng)的連結(jié)幾乎是7/24不中斷,而人們也很愿意保持物聯(lián)網(wǎng)設(shè)備不斷網(wǎng)、不斷電的狀態(tài),即使設(shè)備是處于閑置的狀態(tài)。

● 具有不錯(cuò)的運(yùn)算能力:為了加速處理能力以提升服務(wù)質(zhì)量下,有越來(lái)越多的物聯(lián)網(wǎng)設(shè)備,都配置了不錯(cuò)的系統(tǒng)規(guī)格,舉例來(lái)說(shuō):一片Raspberry Pi 2配備了單顆4核心頻率900MHz的ARM Cortex-A7處理器,以及1GB內(nèi)存,而這樣的硬件組態(tài),就可以運(yùn)行500個(gè)Docker容器。

● 安全不設(shè)防的設(shè)計(jì):由于物聯(lián)網(wǎng)設(shè)備的多樣化與復(fù)雜性,因此,幾乎都沒(méi)有內(nèi)載、安裝安全軟件。當(dāng)然,沒(méi)有適合于物聯(lián)網(wǎng)型態(tài)的安全軟件,是因素之一,而另一層因素是為了避免影響效能。

● 嵌入式系統(tǒng):物聯(lián)網(wǎng)設(shè)備主要采用Linux或Windows嵌入式系統(tǒng)設(shè)計(jì),但嵌入式系統(tǒng)宛如復(fù)制人大軍,雖然方便物聯(lián)網(wǎng)設(shè)備大量生產(chǎn)或改造,但是被發(fā)現(xiàn)可利用的弱點(diǎn)時(shí),也將會(huì)造成通盤(pán)崩壞的局面。

基于上述的特性,物聯(lián)網(wǎng)設(shè)備對(duì)于黑客而言,無(wú)疑是個(gè)取之不盡、用之不竭的寶地。

以Mirai攻擊為例,受Mirai惡意軟件感染的裝置,會(huì)持續(xù)在互聯(lián)網(wǎng)上掃描物聯(lián)網(wǎng)裝置的IP地址,之后,Mirai會(huì)透過(guò)超過(guò)60種常用默認(rèn)用戶名稱(chēng)和密碼,辨別出易受攻擊的裝置,然后,登入這些裝置,以注入Mirai惡意軟件,而受感染的裝置將會(huì)繼續(xù)正常工作,只是成為Mirai所掌握的上萬(wàn)名殭尸網(wǎng)絡(luò)軍隊(duì)中的一員,靜靜地等待攻擊者下達(dá)攻擊指令。

物聯(lián)網(wǎng)已經(jīng)為全世界許多國(guó)家所使用,并且有多數(shù)遭受殭尸網(wǎng)絡(luò)感染而被利用著,中國(guó)及美國(guó)為全球主要的物聯(lián)網(wǎng)設(shè)備制造及使用的國(guó)家,因此分占第一、二名;而位居第三的巴西則應(yīng)與2016奧運(yùn)有關(guān)。(圖片來(lái)源/NexusGuard)

地下犯罪經(jīng)濟(jì)將助長(zhǎng)物聯(lián)網(wǎng)安全威脅

另一個(gè)物聯(lián)網(wǎng)安全陷入重大危機(jī)的因素,則是近幾年來(lái)的安全攻擊,已經(jīng)跟地下犯罪經(jīng)濟(jì)有著高度依存,而且,各類(lèi)型的黑客工具,已經(jīng)發(fā)展出專(zhuān)業(yè)化的黑客黑市交易平臺(tái),例如,提供DDoSaaS(DDoS服務(wù))、以每小時(shí)5美元起跳的不同等級(jí)服務(wù)。

黑客也將攻擊工具及服務(wù),猶如軍火演練一般,進(jìn)行實(shí)際展示。以最近臺(tái)灣證券業(yè)所遭受的DDoS勒索攻擊事件,也是透過(guò)黑客黑市所致,先不論攻擊的用意是否為了勒索或有其他目的,其結(jié)果已經(jīng)反映出,我們對(duì)于DDoS攻擊的應(yīng)變能力及處理能量上,是不足的。

同時(shí),黑客黑市也逐步將物聯(lián)網(wǎng)IoT,轉(zhuǎn)換成殭尸網(wǎng)BoT (BotNet of Things)。而且,除了Mirai之外,還有其他各類(lèi)型的惡意軟件,正悄悄運(yùn)作中,不斷吸納殭尸魁儡軍團(tuán),不僅可以針對(duì)指定的目標(biāo)及產(chǎn)業(yè),發(fā)起DDoS攻擊,也可以施展分隊(duì)游擊或聲東擊西,抑或是采取連續(xù)技(癱瘓安全設(shè)備->攻擊穿透->注入惡意軟件)等等不同的戰(zhàn)術(shù)。

就以近期狀況而言,我們看到attackscape.com針對(duì)全球各國(guó)物聯(lián)網(wǎng)殭尸網(wǎng)絡(luò)行為分布,提出了2016年第四季偵測(cè)分析結(jié)果,里面談到,全球至少有426,770臺(tái)具弱點(diǎn)可利用的物聯(lián)網(wǎng)設(shè)備,而且,基于Mirai感染機(jī)制下,將會(huì)有更多的殭尸網(wǎng)絡(luò)設(shè)備增加。另外,從Nexusguard《DDoS Threat Report Q4 2016》報(bào)告中顯示,中國(guó)及美國(guó)所占數(shù)量最多。

物聯(lián)網(wǎng)的安全需求

首先,你必須先了解物聯(lián)網(wǎng)的架構(gòu),以及對(duì)應(yīng)的安全管控議題,并且,避免將長(zhǎng)期受到訓(xùn)練的傳統(tǒng)安全防護(hù)概念,直接套用在物聯(lián)網(wǎng),歸零之后,再重新逐層建構(gòu)你的物聯(lián)網(wǎng)安全模型。

如前述提到,物聯(lián)網(wǎng)可說(shuō)是集合網(wǎng)絡(luò)、應(yīng)用程序、移動(dòng)化、云端之大成的進(jìn)化體,因此,其安全上的威脅議題,也變得比我們可以想象的還要更復(fù)雜。

對(duì)于物聯(lián)網(wǎng)的研發(fā)過(guò)程,業(yè)者必須更應(yīng)著重“安全的系統(tǒng)發(fā)展生命周期 (SSDLC)”,在考慮系統(tǒng)功能性的同時(shí),即導(dǎo)入安全性的思維──于系統(tǒng)開(kāi)發(fā)之初,就要進(jìn)行各項(xiàng)必要的安全防護(hù)措施。雖然這會(huì)拉長(zhǎng)設(shè)計(jì)的時(shí)程,卻降低了系統(tǒng)后續(xù)維護(hù)的成本,以及遭受到攻擊行為的損失。

我們可參考幾個(gè)近期實(shí)際案例,像是中國(guó)廠商“雄邁”所打造的機(jī)板,是Mirai殭尸網(wǎng)絡(luò)的重要組成份子,而最近則再次被公布用于閉路監(jiān)視設(shè)備(CCTV)的超級(jí)權(quán)限密鑰,這些信息已然泄露于網(wǎng)絡(luò)上,令人憂慮。

此外,于2017年初,美國(guó)聯(lián)邦貿(mào)易委員會(huì)(FTC)也提出指控,認(rèn)為臺(tái)灣網(wǎng)絡(luò)設(shè)備商友訊科技與其美國(guó)子公司,未能采取適當(dāng)?shù)陌踩胧?,?dǎo)致其無(wú)線路由器與網(wǎng)絡(luò)攝影機(jī)易遭黑客攻擊,進(jìn)而危及美國(guó)消費(fèi)者的隱私權(quán);先前,F(xiàn)TC也曾對(duì)華碩提告,而華碩則已于2016年2月和FTC達(dá)成和解。

就產(chǎn)業(yè)的發(fā)展而言,對(duì)于物聯(lián)網(wǎng)的安全規(guī)范及對(duì)策,也開(kāi)始受到重視,目前已有相關(guān)的組織機(jī)構(gòu)投入,并且著手制訂。

例如,由英國(guó)國(guó)家微電子研究所主導(dǎo),于近期成立的物聯(lián)網(wǎng)安全基金會(huì)(IoTSF),已經(jīng)獲得了30家以上的廠商與機(jī)構(gòu)的支持,其中,包括:Broadcom、Freescale、Imagination Technologies、Inside Secure,以及Tokyo Electron、Vodafone、u-blox等公司,同時(shí),還有一些學(xué)術(shù)單位。

除此之外,OWASP組織也推動(dòng)了“OWASP Internet of Things Project”。而這項(xiàng)計(jì)劃的主要宗旨,在于幫助制造商、開(kāi)發(fā)人員和使用者,能夠更為了解物聯(lián)網(wǎng)相關(guān)安全問(wèn)題,并促使任何環(huán)境中的用戶,在構(gòu)建、部署或評(píng)估物聯(lián)網(wǎng)技術(shù)時(shí),能夠做出更好的安全決策。

與其擔(dān)心DDoS攻擊,更應(yīng)關(guān)注未來(lái)更多的勒索威脅

在臺(tái)灣,我們?nèi)耘f習(xí)慣于消極被動(dòng)的安全應(yīng)對(duì)方式,如近期所發(fā)生的多家證券業(yè)者遭受DDoS勒索攻擊的事件下,即引發(fā)一波DDoS防護(hù)方案的熱潮,但也總是抱持尋求萬(wàn)靈丹的心態(tài),不愿意正視檢驗(yàn)自身不足之處,從“APT熱潮”到去年“加密勒索熱潮”都可見(jiàn)一班。

其實(shí),安全防護(hù)能否健全的根基,始終來(lái)自于你對(duì)自身的弱點(diǎn)風(fēng)險(xiǎn)掌握,畢竟,黑客將施展的攻擊手法,是不可預(yù)知的。

就以“破窗效應(yīng)(Broken Windows Theory)”來(lái)比擬,環(huán)境中的不良現(xiàn)象,如果被放任存在,就可能會(huì)誘使人們仿效,甚至變本加厲,而所要采取的解決之道,除了“要有好窗”之外,還要“經(jīng)常護(hù)窗”,并且“及時(shí)補(bǔ)窗”。

因此,當(dāng)前的安全保護(hù)方法就是“比快”,快速掌握趨勢(shì)、快速檢測(cè)找出可趁之處、快速建立應(yīng)變對(duì)策。

物聯(lián)網(wǎng)架構(gòu)主要包括:感測(cè)層、網(wǎng)絡(luò)層,以及應(yīng)用層,各層的設(shè)備系統(tǒng)擔(dān)負(fù)不同的角色功能,并涵蓋不同的維運(yùn)者,因此,在安全評(píng)量上,不能僅從單一維度思考,圖中的安全需求模型所列出的基礎(chǔ)項(xiàng)目,可做為參考。

OWASP前十大物聯(lián)網(wǎng)弱點(diǎn)項(xiàng)目

早在2014年,OWASP組織針對(duì)物聯(lián)網(wǎng)安全,提出了“OWASP Internet of Things Project”,目的在協(xié)助制造商、開(kāi)發(fā)人員及使用者,都能更清楚了解物聯(lián)網(wǎng)相關(guān)的安全議題,表中為物聯(lián)網(wǎng)前十大弱點(diǎn)項(xiàng)目。數(shù)據(jù)源:OWASP

1. 不安全的網(wǎng)頁(yè)接口(Insecure Web Interface)

2. 驗(yàn)證或授權(quán)不足(Insufficient Authentication/Authorization)

3. 不安全的網(wǎng)絡(luò)服務(wù)(Insecure Network Services)

4. 欠缺傳輸加密或完整性驗(yàn)證(Lack of Transport Encryption/Integrity Verification)

5. 隱私考慮(Privacy Concerns)

6. 不安全的云端服務(wù)接口(Insecure Cloud Interface)

7. 不安全的移動(dòng)應(yīng)用界面(Insecure Mobile Interface)

8. 安全組態(tài)的不足(Insufficient Security Configurability)

9. 不安全的軟件或韌體(Insecure Software/Firmware)

10. 貧乏的實(shí)體安全措施(Poor Physical Security)

鏈接已復(fù)制,快去分享吧

企業(yè)網(wǎng)版權(quán)所有?2010-2024 京ICP備09108050號(hào)-6京公網(wǎng)安備 11010502049343號(hào)