但是，物聯(lián)網(wǎng)安全威脅的影響可能被證明是物聯(lián)網(wǎng)實施中的主要問題。諸如DDoS、勒索軟件和社會工程學之類的IoT安全威脅可用于竊取人員和組織的關鍵數(shù)據(jù)。攻擊者可以利用IoT基礎設施中的安全漏洞來執(zhí)行復雜的網(wǎng)絡攻擊。
對于消費者而言，此類物聯(lián)網(wǎng)安全威脅可能更令人擔憂，因為他們不知道其存在，并且不擁有緩解這些威脅的資源。因此，企業(yè)領導者必須識別并應對這些安全威脅，才能為消費者提供高端產(chǎn)品和服務。
以下是常見的8種類型的IoT安全威脅：
一、僵尸網(wǎng)絡(Botnets)
僵尸網(wǎng)絡是將各種系統(tǒng)結合在一起的網(wǎng)絡，可以遠程控制受害者的系統(tǒng)并分發(fā)惡意軟件。網(wǎng)絡罪犯使用命令和控制服務器來控制僵尸網(wǎng)絡，以竊取機密數(shù)據(jù)，獲取在線銀行數(shù)據(jù)并執(zhí)行DDoS和網(wǎng)絡釣魚等網(wǎng)絡攻擊。網(wǎng)絡罪犯可以利用僵尸網(wǎng)絡來攻擊與筆記本電腦、臺式機和智能手機等其他設備相連的IoT設備。
例如，Mirai僵尸網(wǎng)絡已經(jīng)展示了物聯(lián)網(wǎng)安全威脅的危險性。 Mirai僵尸網(wǎng)絡已感染了250萬臺設備，其中包括路由器、打印機和智能攝像機。攻擊者使用僵尸網(wǎng)絡在多個IoT設備上發(fā)起分布式拒絕服務攻擊。在見證了Mirai的影響之后，多名網(wǎng)絡罪犯開發(fā)了多個高級IoT僵尸網(wǎng)絡。這些僵尸網(wǎng)絡可以對易受攻擊的物聯(lián)網(wǎng)設備發(fā)起復雜的網(wǎng)絡攻擊。
二、拒絕服務(Denial of service)
拒絕服務(DoS)攻擊故意通過發(fā)送多個請求來導致目標系統(tǒng)中的容量過載。與網(wǎng)絡釣魚和暴力攻擊不同，實施拒絕服務的攻擊者并非旨在竊取關鍵數(shù)據(jù)。但是，可以使用DoS減慢或禁用服務以損害企業(yè)聲譽。
例如，受到拒絕服務攻擊的航空公司將無法處理預訂新機票、檢查航班狀態(tài)和取消機票的請求。在這種情況下，客戶可能會切換到其他航空公司進行空中旅行。同樣，諸如拒絕服務攻擊之類的物聯(lián)網(wǎng)安全威脅也會破壞企業(yè)的聲譽并影響其收入。
三、中間人(Man-in-the-Middle)
在中間人(MiTM)攻擊中，黑客破壞了兩個單獨系統(tǒng)之間的通信通道，試圖在其中攔截消息。攻擊者可以控制自己的通信，并向參與系統(tǒng)發(fā)送非法消息。此類攻擊可用于入侵物聯(lián)網(wǎng)設備，例如智能冰箱和自動駕駛汽車。
中間人攻擊可用于攻擊多個IoT設備，因為它們實時共享數(shù)據(jù)。借助MiTM，攻擊者可以攔截多個IoT設備之間的通信，從而導致嚴重故障。例如，攻擊者可以使用MiTM改變燈泡或打開和關閉其顏色，從而控制諸如燈泡之類的智能家居配件。此類攻擊可能對工業(yè)設備和醫(yī)療設備等物聯(lián)網(wǎng)設備造成災難性后果。
四、身份和數(shù)據(jù)盜竊
多個數(shù)據(jù)泄露事件在2020年成為頭條新聞，原因是這些數(shù)據(jù)泄露了數(shù)百萬人的隱私信息。在這些數(shù)據(jù)泄露中，諸如個人詳細信息、信用卡和借記卡憑據(jù)以及電子郵件地址之類的機密信息被盜。
黑客現(xiàn)在可以攻擊諸如智能手表、智能儀表和智能家居設備之類的IoT設備，以獲取有關多個用戶和組織的其他數(shù)據(jù)。通過收集此類數(shù)據(jù)，攻擊者可以執(zhí)行更復雜和詳細的身份盜用。攻擊者還可以利用IoT設備中與其他設備和企業(yè)系統(tǒng)連接的漏洞。例如，黑客可以攻擊組織中易受攻擊的物聯(lián)網(wǎng)傳感器，并獲得對其業(yè)務網(wǎng)絡的訪問權限。通過這種方式，攻擊者可以滲透到多個企業(yè)系統(tǒng)并獲取敏感的業(yè)務數(shù)據(jù)。因此，物聯(lián)網(wǎng)安全威脅可能導致多個企業(yè)的數(shù)據(jù)泄露。
五、社交工程(Social Engineering)
Social Engineering一般指社會工程學。社會工程學(Social Engineering，又被翻譯為：社交工程學)是黑客米特尼克悔改后在《欺騙的藝術》中所提出的，是一種通過對受害者心理弱點、本能反應、好奇心、信任、貪婪等心理陷阱進行諸如欺騙、傷害等危害手段。
黑客利用社交工程手段操縱人們放棄他們的敏感信息，例如密碼和銀行詳細信息?；蛘撸W(wǎng)絡罪犯可以使用社交工程學來訪問用于秘密安裝惡意軟件的系統(tǒng)。通常，社交工程攻擊是使用網(wǎng)絡釣魚電子郵件執(zhí)行的，攻擊者必須開發(fā)令人信服的電子郵件來操縱人員。但是，在使用IoT設備的情況下，社交工程攻擊更易于執(zhí)行。
物聯(lián)網(wǎng)設備(尤其是可穿戴設備)會收集大量的個人身份信息(PII)，以為其用戶提供個性化的體驗。此類設備還利用用戶的個人信息來交付用戶友好的服務，例如，通過語音控制在線訂購產(chǎn)品。但是，攻擊者可以訪問PII以獲取機密信息，例如銀行詳細信息、購買歷史記錄和家庭住址。此類信息可使網(wǎng)絡罪犯執(zhí)行高級社交工程攻擊，從而使用易受攻擊的IoT網(wǎng)絡將用戶及其家人和朋友作為目標。通過這種方式，可以使用諸如社交工程學之類的物聯(lián)網(wǎng)安全威脅來獲得對用戶數(shù)據(jù)的非法訪問。
六、高級持續(xù)性威脅(Advanced Persistent Threats)
高級持續(xù)性威脅(Advanced persistent threats,APT)是由有組織的網(wǎng)絡罪犯集團執(zhí)行的，是各種組織面臨的主要安全問題。高級持續(xù)威脅是有針對性的網(wǎng)絡攻擊，入侵者會獲得對網(wǎng)絡的非法訪問，并在很長一段時間內(nèi)未被發(fā)現(xiàn)。攻擊者旨在監(jiān)視網(wǎng)絡活動并使用高級持續(xù)威脅來竊取關鍵數(shù)據(jù)。
此類網(wǎng)絡攻擊難以預防、檢測或緩解。隨著物聯(lián)網(wǎng)的出現(xiàn)，大量關鍵數(shù)據(jù)可以輕松地在多個設備之間傳輸。網(wǎng)絡罪犯可以將這些物聯(lián)網(wǎng)設備作為目標，以訪問個人或公司網(wǎng)絡。通過這種方法，網(wǎng)絡罪犯可以竊取機密信息。
七、勒索軟件(Ransomware)
勒索軟件攻擊已成為最臭名昭著的網(wǎng)絡威脅之一。在這種攻擊中，黑客使用惡意軟件對業(yè)務運營可能需要的數(shù)據(jù)進行加密。攻擊者只有在收到贖金后才會解密關鍵數(shù)據(jù)。勒索軟件可能是最復雜的物聯(lián)網(wǎng)安全威脅之一。研究人員已經(jīng)證明了使用智能恒溫器的勒索軟件的影響。通過這種方法，研究人員表明，黑客可以調(diào)高溫度并拒絕回到正常溫度，直到他們收到贖金為止。同樣，勒索軟件也可以用于攻擊IIoT設備和智能家居。例如，黑客可以攻擊智能家居，并向所有者發(fā)送通知以支付贖金。
八、遠程錄制(Remote Recording)
WikiLeaks發(fā)布的文件顯示，情報機構知道物聯(lián)網(wǎng)設備、智能手機和筆記本電腦中存在零時差攻擊。這些文件暗示安全機構計劃秘密記錄公開對話。網(wǎng)絡罪犯也可以使用這些零時差攻擊來記錄物聯(lián)網(wǎng)用戶的對話。例如，黑客可以攻擊組織中的智能攝像機，并記錄日常業(yè)務活動的視頻錄像。通過這種方法，網(wǎng)絡罪犯可以秘密獲取機密商業(yè)信息。此類物聯(lián)網(wǎng)安全威脅還將導致嚴重的隱私侵犯。
為了減輕其影響，業(yè)務領導者需要在其組織利用物聯(lián)網(wǎng)基礎設施之前，了解物聯(lián)網(wǎng)安全威脅并制定整體網(wǎng)絡安全策略。為此，他們可以聘請專門的網(wǎng)絡安全專家團隊來解決所有安全問題?；蛘撸绻麡I(yè)務領導者希望獨立進行網(wǎng)絡安全技術，則可以從確保其所有機密數(shù)據(jù)已加密并且出于安全目的定期審核其系統(tǒng)開始。企業(yè)還可以部署大數(shù)據(jù)、區(qū)塊鏈和AI等現(xiàn)代技術，以增強其網(wǎng)絡安全性。
京公網(wǎng)安備 11010502049343號