物聯網 (IoT) 安全：問題與解決方案
已發表: 2023-10-30- 什麼是物聯網安全？
- 為什麼物聯網安全很重要？
- 物聯網面臨哪些安全挑戰？
- 哪些類型的攻擊通常會危害物聯網設備？
- 韌體漏洞攻擊
- 途中攻擊
- 憑證攻擊
- 基於實體硬體的攻擊
- 哪些物聯網設備最容易遭受安全漏洞？
- 哪些安全措施可以更好地保護物聯網設備？
- 將物聯網安全框架納入研發階段
- 定期更新
- 強制設備身份驗證
- 多重身份驗證 (MFA)
- 更強的憑證安全性
- 加密
- 安全訓練和最終用戶教育
- 哪些企業最容易受到物聯網攻擊
- 結論－物聯網安全的未來是光明的
- 常問問題
- 什麼是物聯網 (IoT)？
- 什麼是物聯網設備？
我們被 IoT（物聯網）設備包圍，現在依靠它們來完成日常任務。 每當您按門鈴或使用手機調整恆溫器時，您都會與物聯網設備互動。
每個物聯網設備都代表消費者和網路安全專家的安全擔憂，以及網路犯罪分子的機會。 隨著感測器、晶片和軟體進入更多物體，並且這些物體越來越成為日常生活和商業運作的一部分，這些擔憂也在擴大。
光是 2022 年，針對物聯網裝置的攻擊就超過1 億次，同年上半年針對這些裝置的惡意軟體攻擊增加了 75% 以上。
我們將介紹物聯網產業的安全問題、物聯網安全的現狀、最佳安全措施，以及企業和最終消費者如何準備和應對這些挑戰。
另請閱讀：數位隱私：有關如何在網路上保護自己的提示
什麼是物聯網安全？
物聯網安全是保護物聯網設備、網路和資料免受網路威脅的實踐。 這是一門相對較新的學科，面臨著不斷增長的挑戰。
為什麼物聯網安全很重要？
越來越多的物體配備了感測器和數據共享功能。 例如，現在有智慧水瓶、除臭劑和皮帶。
由於其非正統的製造流程和管理的資料量龐大，這些設備中的每一個都代表著獨特且嚴重的安全風險。 它們為攻擊者提供了滲透網路並破壞與其連接的其他設備的網關。
成功入侵物聯網設備可能會對個人和企業帶來嚴重後果。 在幾個引人注目的物聯網設備被用作攻擊網路入口點的案例中，其後果已經很明顯。
2023 年 3 月，中國對講機製造商Akuvox 生產的對講機中發現了可協助攻擊者進行間諜活動的漏洞。
這些漏洞和潛在的嚴重後果凸顯了對強大的物聯網安全的迫切需求。 人們和企業需要最好的安全技術、協定和組件，才能充分享受物聯網設備的優勢，而不必擔心被破壞。
物聯網面臨哪些安全挑戰？
每當一種新型設備和應用程式進入物聯網領域時，物聯網安全領域就會變得更加廣闊。 即使僅使用藍牙連接的電子設備也會為威脅行為者提供更多的攻擊面。
另請閱讀： [已修復] 為什麼我的藍牙在 Windows 10/11 PC 中無法工作
保護製造過程中僅包含低於標準安全控制和協議的設備是一項艱鉅的任務。 也就是說，許多其他挑戰和問題阻止安全專家製定正確的策略來保護物聯網設備免受網路攻擊。 以下是專家正在努力解決的物聯網安全問題。
物聯網設備暴露在互聯網上
物聯網物件缺乏過濾和拒絕網路上未經授權的連線的高階軟體功能。 這種限制增加了它們的攻擊面，並解釋了為什麼駭客活動（例如遠端程式碼執行攻擊）對它們有效。 物聯網安全必須涵蓋很多切入點才能解決這個問題。
有限的資源和成本
大多數物聯網設備都使用薄弱的、低於標準的組件，並且缺乏增強安全性所需的技術。 包含此類功能和組件將增加這些設備的成本，從而降低其購買吸引力。
物聯網設備處理大量數據
每天都有大量資料在物聯網設備與其他設備和網路之間傳輸。 監控如此大量的資料是物聯網安全問題之一，對於專家來說可能會非常困難。
物聯網設備多種多樣
物聯網設備具有無限的外形尺寸並提供最廣泛的功能。 在大多數情況下，物聯網安全性必須考慮每種外形尺寸和功能，以充分保護設備。 這個問題凸顯了保護網路所需的大量資源。
多個連接設備
大多數物聯網產品允許家庭或企業場所內的多個設備相互通訊。 這種機制是物聯網最吸引人的特徵之一。 也就是說，它會帶來嚴重的風險，因為最不安全的設備會使網路的其餘部分容易受到攻擊。
缺乏產業遠見
從醫療保健到汽車行業，大多數行業都越來越多地採用不斷發展的物聯網技術來提高效率並降低成本。 然而，他們正在面臨漏洞，因為當他們決定安裝任何新的物聯網設備時，安全性恰好排在優先考慮的位置。
許多物聯網製造商也為了追求尖端功能、噱頭和更快的發布而忽略了安全性。
缺乏加密
物聯網設備主要透過未加密的網路與其他設備進行通訊。 這種通訊和資料傳輸方式意味著攻擊者可以輕鬆查看網路上發生的情況。
另請閱讀：檔案安全：BitLocker 加密指南
哪些類型的攻擊通常會危害物聯網設備？
不良行為者關注物聯網設備的許多漏洞，並選擇最有效的攻擊來破壞這些設備。 以下是物聯網設備最容易遭受的駭客活動類型：
韌體漏洞攻擊
電腦、智慧型手機和平板電腦使用者傳統上使用作業系統 (OS) 操作其設備。 每個作業系統都在韌體上運行，韌體提供了處理硬體的基本代碼。
作業系統在頂級設備韌體上提供更多安全控制和支援。 使用者可以透過定期軟體和驅動程式更新來保護其係統免受攻擊。 另一方面，對於物聯網設備，韌體兼作作業系統，但沒有進階安全性。
另請閱讀：終極指南：如何手動檢查和安裝 Windows 更新
一些物聯網設備韌體存在後門漏洞，製造商在設備發貨後無法修復這些漏洞，使其容易受到攻擊。
網路犯罪分子可以利用這些後門用惡意軟體感染設備、劫持設備並竊取敏感資料。
有用閱讀：如何保護您的電腦和資料免受後門攻擊？
途中攻擊
路徑攻擊也稱為中間人 (MITM) 攻擊。 當未經授權的行為者攔截、中繼並可能改變物聯網物件與其他裝置和網路之間的通訊時，就會發生這種情況。
攻擊者將自己置於通訊路徑中，允許他們竊聽、操縱資料或冒充其中一方。 這些攻擊是可能的，因為物聯網資料流量主要是未加密的。
您可以將途中攻擊者視為坐在辦公室等待攔截重要簽證和護照申請的大使館工作人員。 該員工可以讀取有關申請人的敏感詳細信息，竊取這些信息以謀取個人利益，甚至可以更改或刪除它們。
憑證攻擊
大多數物聯網設備都附帶預設密碼，用戶可以稍後更改。 然而，有些並不容易改變，使用者大多不改變它們。 這些密碼和使用者名稱往往較弱且容易被猜測，從而允許駭客利用它們並獲得存取權限。
暴力攻擊（即不良行為者係統地輸入可能的密碼組合）通常用於破壞設備。
另請閱讀：保持線上安全：儲存密碼的最佳方法
基於實體硬體的攻擊
攻擊者在獲得對設備的實體存取權限後可以破解設備。 此類設備包括紅綠燈、火警警報器、攝影機和其他公共設施。 雖然不良行為者一次只能破壞一台設備，但這些物件的資訊可以讓他們破壞其他設備，特別是當它們共享同一網路時。
哪些物聯網設備最容易遭受安全漏洞？
根據CUJO AI Sentry 的網路安全報告，以下設備在全球範圍內受到攻擊最多：
- 網路附加儲存設備
- 硬碟錄影機
- 網路攝影機
- 嬰兒監視器
- 影音設備
也就是說，其他類型的物聯網設備每年都會受到嚴重的攻擊。 例如， Armis 的一份報告發現，醫療領域的物聯網設備是數百萬次攻擊的受害者，其中護理師呼叫系統的風險最高。 該報告還發現，印表機、VoIP（網際網路協定語音）和 IP 攝影機位居遭受攻擊最多的物聯網設備之首。
哪些安全措施可以更好地保護物聯網設備？
物聯網網路安全面臨的挑戰之一是缺乏標準化。 業界對於正確的安全策略基本上缺乏共識。 然而，製造商可以採用物聯網安全框架來幫助保護網路內外的設備。
將物聯網安全框架納入研發階段
如果製造商從生產的初始階段就加大對物聯網設備安全性的投入，就可以解決大多數物聯網安全挑戰和擔憂。 但它不應該在初始階段結束。 安全性應該是整個產品生命週期中任何流程的核心面向。
參與建造設備關鍵部件的所有其他製造商（半導體設計師和製造商、電路板生產商和軟體工程師）也應該使其產品防篡改。
定期更新
攻擊者總是在尋找安全框架內的漏洞。 當不良行為者成功找到利用它們的方法時，每個安全組件或協定都會過時。 因此，製造商必須提供必要的手段來部署定期更新以應用關鍵安全性修補程式。 即使幾天沒有更新也會使設備容易受到攻擊。
如果製造商無法遠端套用這些更新，也應鼓勵企業和使用者應用這些更新。
強制設備身份驗證
物聯網設備旨在與伺服器、電腦、電話和其他物聯網設備共享資料。 每個設備在接受任何連接請求之前都應經過驗證過程，以防止未經授權的設備接入網路。
大多數攻擊者利用當前「即插即用」機制的漏洞滲透網路並劫持其他設備。 製造商可以確保其他設備在連線發生之前提供可驗證的身份驗證，例如PKI（公鑰基礎設施）和數位憑證。
另請閱讀：專業提示：如何建立電子簽名
多重身份驗證 (MFA)
MFA 或雙重認證在上一點的基礎上增加了一層保護。 它可以作為建議的安全建議提供給用戶，以允許他們使用多種方法對連線進行身份驗證。 這樣一來，即使攻擊者成功破解了一個入口點，也無法得逞。
例如，如果駭客使用暴力破解或網路釣魚攻擊來取得設備的密碼，使用者仍需要經過第二次身份驗證程序才能獲得存取權限。 此時，用戶可以識別攻擊並採取安全措施來阻止它。
相關：終極指南：如何關閉雙重認證？
更強的憑證安全性
製造商在為設備建立管理員登入詳細資訊時可以避免使用相同的憑證或可發現的憑證模式。 他們可以偶爾更新這些憑證，或為使用者設計更直接的方法來更改它們。
更強大的安全措施是強制使用者在首次設定裝置時更改管理員密碼。 他們還可以強制執行更強的密碼以防止暴力攻擊。 例如，管理員在建立新憑證時必須組合字母、數字和特殊字元。
另請閱讀：如何重設忘記的 Windows 10 管理員密碼？
加密
大多數物聯網設備透過未加密的流量傳輸資料。 這種傳輸方法使得網路犯罪分子很容易執行路徑攻擊。 使用加密技術意味著第三方無法輕易滲透網路通訊並竊取敏感資料。 即使他們掌握了數據，他們也無法破解它。
加密還有助於驗證資料完整性。 通訊設備可以驗證接收或發送的資訊在傳輸過程中沒有被更改。
例如，如果物聯網裝置向另一個裝置發送指令，加密可以幫助確保指令正是發送的指令，沒有任何變更。
另請閱讀：進階資料保護：如何在 Windows 10 中加密文件
安全訓練和最終用戶教育
物聯網安全是一個相對較新的領域。 目前，許多網路安全專家需要更熟悉旨在保護物聯網設備和網路的流程和技術。 組織可以定期進行培訓，教導網路安全人員如何保護物聯網設備。
他們還可以教育用戶了解其設備的最佳安全實踐。 其中包括拒絕來自未經授權的裝置的連線請求、定期更新登入憑證以及選擇可用的 MFA。
哪些企業最容易受到物聯網攻擊
對於在危急情況下部署這些設備的企業和組織來說，物聯網安全的重要性怎麼強調都不為過。 如果攻擊者在不同的業務環境中使用物聯網設備劫持系統，可能會造成災難性後果。
例如，對水過濾和飛行控制系統等關鍵公共基礎設施的攻擊可能是毀滅性的。 同樣，起搏器等受損的醫療設備也可能會危及生命。
即使生命損失不是一個特別令人擔憂的問題，企業也可能會損失大量收入，導致失業和生活品質下降。
根據Palo Alto Networks 物聯網威脅報告，約 98% 的受監控物聯網設備流量缺乏加密。 這個數字表明，幾乎所有使用物聯網設備的企業，從醫療保健行業的公司到房地產行業的組織，都容易受到攻擊。
結論－物聯網安全的未來是光明的
物聯網設備將繼續滲透到我們的日常生活和商業營運中，我們不能忽視它們的重要性。 儘管許多行業面臨無數毀滅性攻擊，但物聯網的採用仍在經歷爆炸性增長。
Transforma 預測，到 2032 年，全球物聯網設備數量將超過 320 億台。 根據IoT Analytics 發布的預測，這一數字可能比 2025 年更快達到 300 億。
展望未來，物聯網安全的未來並不完全黯淡。 隨著人工智慧驅動的威脅檢測、增強的加密方法的進步以及以物聯網為重點的立法的引入，我們正處於更光明的未來的風口浪尖。
隨著設備製造商、軟體開發商和最終用戶之間的協作努力不斷增長，我們可以安全可靠地實現物聯網的巨大潛力。 請記住，我們有責任優先考慮安全性，以確保物聯網的未來更加安全。
常問問題
什麼是物聯網 (IoT)？
物聯網 (IoT) 是嵌入感測器和軟體的實體設備網絡，賦予它們互聯網連接和資料傳輸功能。 透過物聯網，從恆溫器到手錶的日常物品變得“智慧”，並且可以相互互動以及與其他各種設備和網路互動。
什麼是物聯網設備？
物聯網設備是能夠連接到互聯網並共享資料的物件。