在過去，網路靜態連線首先預留給有限數量的昂貴的計算機，隨後網路連線開始提供給企業、用戶家中、移動設備，現在開始連線到大量IoT設備。過去大量資源專門用於連線計算機到靜態網路，但在物聯網時代，這些資源已經減少。而專用於連線這些設備到網路的資源減少造成更少的資源來防止IoT安全威脅。如果企業還沒有受到IoT攻擊，這應該是企業計畫要處理的事情。IoT攻擊最終將會到來，所以企業要學會在為時已晚之前如何最有效地防止或低於它們。
基本介紹
- 中文名：網路安全風險
- 外文名：網路安全風險
介紹,日益增加,如何抵禦,未來發展,
介紹
物聯網（IoT）設備是最新一波直接連線到IP網路的設備，這也帶來新的網路安全風險。
日益增加
如果製造商和工程師第一次添加新的技術功能來連線其設備到網際網路，但還沒有學習到前輩開發人員的慘痛教訓，那么，他們在設計產品時將不可避免地犯同樣的錯誤—例如假定網路是可信，而沒有為安全事故做計畫。
雖然企業很難阻止因設備製造問題而導致的安全風險，但企業可以評估軟體開發做法，以了解信息安全是如何整合到製造商的軟體開發過程。如果製造商外包了設備聯網的部分工作，這可能是一個好跡象，因為這意味著經驗豐富的軟體開發人員正在幫助製造商部署正確的開發做法。
同樣需要注意的是，IoT設備與其他聯網設備一樣面臨著相同的攻擊，例如拒絕服務攻擊或者使用默認賬號和默認密碼，企業可能已經遇到過這樣的問題。儘管IoT設備的攻擊面比傳統桌面或伺服器要小，但當考慮到IoT設備的數量時，即使是很小的安全問題都可能帶來嚴重影響，這很像過去連線到網際網路的印表機或SCADA設備遇到的問題。
Akamai Technologies公司最近披露了重大IoT攻擊事件，該公司研究人員報告稱拒絕服務（DDoS）攻擊開始利用不安全的IoT設備配置。更具體地講，攻擊者發現可濫用簡單服務發現協定（SSDP）來放大惡意回響到偽造的IP流量以加入DDoS攻擊。研究人員指出，攻擊者通過掃描來瞄準網路範圍，並傳送SSDP搜尋請求來確定IoT設備；然後回響流量傳送到目標網路作為DDoS攻擊的一部分。
如何抵禦
一方面，企業應該確保SSDP的安全使用。SSDP使用應該限於特定網路以及速率限制，以最大限度地減少在攻擊中可產生的流量。企業可能還需要掃描其網路（類似於Shadowserver Project掃描網際網路）以尋找不安全配置的設備，如果發現這種設備，SSDP應該要被禁用或者限制在受批准的網路。該設備可能還需要作業系統或軟體更新來修復任何SSDP漏洞。
在另一方面，企業還必須知道如何抵禦基本的DDoS攻擊，企業需要在開發過程中或者生產環境中做好DDoS抵禦計畫。
然而，抵禦IoT相關的DDoS攻擊還需要額外的步驟。首先，強大的網際網路外圍保護必須只允許受批准的入站網路連線。如果IoT設備不能直接通過網際網路來連線，那么，攻擊者更難以讓它們參與DDoS攻擊。如果IoT設備需要通過網際網路來直接訪問，它應該分隔在其自己的網路，並有網路訪問限制。這個網路分段應該受到監控以發現潛在的惡意流量，當出現問題時，應立即採取行動。
企業可以通過常規資產管理或漏洞掃描來檢測其網路中的IoT設備。任何不匹配已知企業設備配置檔案的新設備都應該被隔離，並將其流量重定向到註冊入口網站或者網路管理系統，以自動檢查設備的安全性。這也可能讓這些設備部署在自己的網路段。
IoT設備開發人員應該投入更多資源來確保全全性，這包括在設備設計和配置中考慮更多安全性，因為這可能確保從供應商發貨的設備在默認情況下的安全性，並可能完全避免IoT DDoS安全問題。然而，對於開發人員來說，便利性、可用性和速度通常是比安全更重要的因素，實現這一目標就像是一場白日夢。
企業和網際網路服務提供商還倡導部署網際網路工程任務組的Best Current Practice 38，BCP 38專門用於減少欺騙性IP流量，這可以幫助防止不知情的設備參與DDoS攻擊。如果攻擊者不能傳送偽造流量到設備，那么，設備就不能傳送網路流量用於DDoS攻擊。
未來發展
物聯網給企業和個人提供了巨大的優勢，並且，物聯網的發展不太可能受到安全問題的影響，例如本文中所討論的安全問題。
很多通過IoT連線到網路的設備並沒有使用傳統技術來實現網路連線。對於這些新設備，應該會帶來新的默認安全設計，以及在默認安全的作業系統的頂部建立配置，其中，只有設備的核心操作功能會啟用並受到保護。新的和現有的開發人員應該在設計設備時解決這些安全挑戰，以防止未來的安全事故。
不過，在實現這一點之前，用戶和企業需要採取必要的預防措施和適當的控制來減少潛在的IoT安全威脅。
