防范物联网漏洞是一项艰巨挑战（但并非如此）

到今年年底，全球物联网安全市场预计将增长到50.9亿美元，很明显，现代企业已经认识到安全物联网基础设施的重要性。 在开发技术解决方案时，漏洞可能是不可避免的，但漏洞常见并不意味着它们无害。让我们来看看近年来物联网漏洞带来的一些影响。

看似简单的物联网漏洞可能会产生重大影响

某品牌IP摄像头系列中存在一个已知的关键远程代码执行漏洞，该漏洞造成了重大危害，使全球2300多家组织面临被入侵的风险。该漏洞发生在这些摄像头的网络服务器中，可以允许黑客发出命令，授予他们对受影响设备的完整 root shell 访问权限——甚至摄像头的所有者都无权访问。一旦进入系统，他们就可以禁用物联网设备，破坏网络，并发起DDoS或其他攻击。 在其他地方，研究人员在 Throughtek 的 Kalay IoT 云平台中发现了一个严重缺陷，该平台覆盖了超过 8300 万台设备，包括安全摄像头和婴儿监视器。该缺陷的关键CVSS3.1评分为9.6/10，这说明受影响的设备可能会因访问UID而受到远程攻击，并且根据设备的功能可能会受到进一步的攻击。 这些漏洞并非孤立地出现在消费者物联网设备中。由于 CVSS v3 总得分为 9.8/10 的七个独立漏洞，医疗物联网设备目前成为攻击目标。这些被称为“Access:7”的物联网漏洞影响了医疗行业最流行的嵌入式设备平台之一（同一平台也可用于管理ATM、自动售货机和PoS系统等设备）。这些漏洞涉及范围广泛，从默认配置问题到未记录和未经验证的命令的处理。这使患者的个人信息处于危险之中，而且使用 DDoS来攻击医疗设备可能会导致生命损失。

保护设备免受物联网漏洞攻击的挑战

鉴于漏洞可以来自众多介质，包括物理设备、软件或网络元素，可能无法完全防止物联网漏洞。 为了帮助管理和解决这些问题，一些开发人员和安全组织部署了自动化和网络安全工具，以帮助扫描、检测和缓解软件方面的漏洞。尽管有些人将这些工具视为通过“消除人为因素”来提高效率的一种手段，但研究表明，自动化工具只能发现大约 45% 的整体漏洞。更糟糕的是，这些检测可能会产生错误的结果，从而导致延迟（误报）或带有已知漏洞的产品流向市场（误诊）。 如果他们希望发布一个合格的产品，即使是最好的开发人员也必须与安全专家一起工作。Enterprise Strategy Group 的一份报告发现，开发人员和安全团队之间的沟通不畅导致大约 48% 的产品带有易受攻击的代码。如果在发货之前发现漏洞，可能会导致产品发布延误，或者没有发现，这将导致不安全的产品流向市场。 当然，设计团队、开发人员和系统架构师也经常会忽略一些常见的盲点。此外，用户也会给系统带来新的风险，例如，使用移动终端为不良行为者提供了一个可能引入或提取潜在敏感信息的新途径。

如何处理漏洞和其他安全问题

物联网漏洞可能是不可避免的，但这并不意味着公司无法保护其系统免受入侵。一些最简单的解决方案包括：

保持密码最新和更新固件：黑客最常见的方式是使用默认密码，更新您的系统以使用独特密码，并保持所有固件的最新状态，可以大大降低风险因素。 隐藏网络：如果您的物联网网络隐藏在公共互联网之外，黑客将很难访问它。通过部署Soracom虚拟专用网关、Soracom Door等专用VPN或通过Soracom Canal的安全专用连接等解决方案，企业可以大大限制其物联网系统的公共足迹。 加密所有凭证和安全敏感数据：根据您选择的 Web 服务，传输到云的数据可能会在传输过程中被加密，但是您也应该在设备级别使用加密。如果您的设备被黑客获得，硬编码的用户名和密码可以被逆向工程。相反，您可以通过使用配置工具来完全避免在设备上保留凭证。 通过入侵检测系统或防火墙监控潜在攻击：虽然这些系统更多地是一种降低入侵成本的工具，但它们将密切监控网络流量，以发现任何可疑活动。一旦发现，公司应通过适当的事件响应来跟踪入侵。 制定应对 DDoS攻击的应急计划：制定应急计划，以使您的服务避免代价高昂的停机时间非常重要。一旦制定了初步的应对措施，就要审查流程以了解如何更好地解决，并且防止未来任何类似性质的入侵也很重要。