随着攻击者瞄准不断增长的物联网攻击面，企业可以通过这六种安全最佳实践来降低风险。成都联想代理商

物联网是一个巨大的攻击面，每天都在变大。这些设备通常充斥着基本的安全问题和高风险漏洞，它们正成为黑客瞄准的目标

许多人长期以来一直将物联网攻击与分布式拒绝服务和加密挖掘僵尸网络等较低级别的威胁联系起来。但实际上，越来越多的勒索软件、数据盗窃攻击使用物联网作为进入包括云在内的更大 IT 网络的初始接入点。高级威胁参与者也在使用物联网设备在这些网络中实现持久性，同时逃避检测，正如最近在QuietExit 后门中看到的那样。

在我们对部署在企业环境中的数百万个物联网设备的分析中，我们发现高风险和关键漏洞（基于通用漏洞评分系统，或 CVSS）都很普遍。一半的物联网设备存在 CVSS 评分至少为 8 分的漏洞，20% 的设备存在 CVSS 评分为 9-10 分的严重漏洞。同时，这些设备在密码保护和固件管理方面也存在一些基本的安全故障。

虽然物联网风险无法完全消除，但可以降低。以下是公司应采取的几个步骤。

创建全面且最新的资产清单

在我们的研究中，我们发现 80% 的企业安全团队甚至无法识别其网络上的大多数物联网设备。这是一个惊人的数字，它显示了问题的严重性。如果一家公司甚至不知道其网络上有哪些设备，那么它如何在物联网成功入侵后保护它们免受攻击或保护其 IT 网络免受横向移动？

不过，盘点物联网并不容易。传统的 IT 发现工具从来都不是为物联网设计的。网络行为异常检测系统会监听跨端口上的流量，但大多数物联网流量都是加密的，即使没有加密，传输的信息也没有足够的识别细节。

仅仅知道某物是一台没有任何细节的 HP 打印机是不够的，特别是如果它有需要修复的漏洞。旧版漏洞扫描程序可以提供帮助，但它们通过发送格式错误的数据包来运行，这对于物联网识别来说并不好，甚至可能会使物联网设备脱机。

更好的方法是通过询问设备的母语来发现物联网设备。这将允许企业创建包含有关 IoT 设备的详尽详细信息的清单，例如设备版本、型号、固件版本、序列号、运行服务、证书和凭证。这使企业能够实际补救这些风险，而不仅仅是发现它们。

密码安全至关重要

对物联网设备的攻击很容易实施，因为其中许多设备仍然具有默认密码。我们发现大约 50% 的物联网设备都是这种情况，在特定类别的设备中甚至更高。

例如，95% 的音视频设备物联网设备都有默认密码。即使设备不使用默认密码，我们发现它们中的大多数在长达 10 年的时间里只经历了一次密码更改。

理想情况下，物联网设备应具有唯一、复杂的密码，每 30、60 或 90 天轮换一次。但是，并非所有设备都支持复杂密码。一些较旧的物联网设备只能处理四位数的 PIN，而另一些则只允许 10 个字符，还有一些不接受特殊字符。

了解物联网设备的所有细节和功能非常重要，这样才能使用有效的密码并安全地进行更改。对于密码参数较弱或无法提供任何级别身份验证的旧设备，请考虑将这些设备替换为更现代的产品，以实现更好的安全实践。

管理设备固件

大多数物联网设备运行在过时的固件上，由于漏洞如此普遍，这会带来重大的安全风险。固件漏洞使设备容易受到攻击，包括商品恶意软件、复杂的植入物和后门、远程访问攻击、数据盗窃、勒索软件、间谍活动，甚至物理破坏。我们的研究确定，设备固件的平均使用时间为 6 年，大约四分之一的设备 (25–30%) 已报废，不再由供应商提供支持。

物联网设备应使用供应商提供的最新固件版本和安全补丁进行更新。诚然，这可能是一个挑战，尤其是在拥有数十万到数百万台此类设备的大型组织中。但是，必须以一种或另一种方式来确保网络安全。企业物联网安全平台可以大规模自动化此和其他安全流程。

但是，有时设备固件应该降级，而不是更新。当漏洞被广泛利用并且没有可用的补丁时——因为物联网供应商发布补丁的时间通常比传统的 IT 设备制造商要长——那么建议暂时将设备降级到不包含脆弱性。

关闭无关的连接，并限制网络访问

IoT 设备通常很容易被发现，并且默认启用了太多的连接功能，例如有线和无线连接、蓝牙、其他协议、安全外壳和远程登录。这种混杂访问使它们成为外部攻击者的轻松目标。

对公司来说，像对 IT 网络一样对物联网进行系统强化非常重要。物联网设备强化涉及关闭这些无关端口和不必要的功能。一些示例是运行 SSH 而不是 telnet，使用有线以太网而不是 Wi-Fi 运行，以及关闭蓝牙。

公司还应该限制他们在网络之外进行通信的能力。这可以通过网络防火墙、单向二极管、访问控制列表和虚拟局域网在第 2 层和第 3 层完成。限制物联网设备的互联网访问将减轻依赖于安装命令和控制恶意软件的攻击，例如勒索软件和数据盗窃。

确保证书有效

在我们的研究中，我们发现确保安全授权、加密和数据完整性的物联网数字证书经常过时且管理不善。这个问题甚至出现在关键的网络设备上，比如无线接入点，这意味着即使是网络的初始接入点也没有得到适当的保护。

验证这些证书的状态并将它们与证书管理解决方案集成以补救可能发生的任何风险（例如 TLS 版本、到期日期和自签名）非常重要。

注意环境变化

一旦物联网设备得到保护和强化，确保它们保持这种状态就很重要。环境漂移是一种常见现象，因为固件更新、错误和人为干扰会导致设备设置和配置随时间发生变化。

【公司名称】成都鸿盛广达科技有限公司

【代理级别】成都联想服务器总代理

【销售经理】成都鸿盛广达科技有限公司

【联系方式】座机：028-85952921 手机：13981931555

【公司地址】成都市武侯区人民南路四段一号时代数码广场A座17楼