阻止发生在“大规模攻击”之前的物联网攻击

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

一般来说，“攻击”一词如今通常指试图使某个组织的服务不可用。这可能是因为DDoS攻击的频率和规模已对知名组织造成严重后果。由此引发的大量报道让大多数人形成了固有印象，认为“攻击”仅指一种攻击，即针对某个组织发起的DDoS攻击。

但在DDoS攻击发生之前，还有其他攻击。如果要着手应对日益严重的威胁，就必须重点关注这些攻击，因为忽视它们会导致“物联网僵尸网络”大军不断壮大。

如今，无论是分析师还是评论人士，都预测连接到网络的设备数量将快速增长，增速近乎呈指数级。攻击者利用消费级设备引发的轰动效应，可能让人觉得此类攻击更为普遍，但实际情况是，各组织正在大量采用物联网设备。针对这些设备的攻击也随之增加。想想其中最显眼的设备，道路标志，以及它们频繁遭到“入侵”的情况，就会很快意识到各类“设备”实际上有多么普遍。

请看一项近期调查。调查指出，未来两年，组织（而非家庭）中的平均设备数量将翻一番。该调查还指出，仅有28%的受访者知道所有这些设备位于何处。没错，大多数人只了解其组织内连接到互联网的部分设备和物联网终端。一项2016年SANS Institute调查聚焦金融行业，也得出了大致相同的结论：声称能够全面掌握包括物联网终端在内所有设备情况的受访者不足40%，约一半的受访者表示至少能掌握部分情况。

鉴于F5 Labs研究显示，针对这些设备的攻击数量年增长率高达1373%，我们必须思考，目前该如何保障如此庞大的潜在物联网僵尸设备群的安全。您可能还记得，Arxan/IBM的一项调查指出：“有44%的受访者承认，他们没有采取任何措施来防范攻击。他们确实担心这些应用会引发安全事件，其中58%的受访者认为物联网应用存在这种风险，53%的受访者认为移动应用存在这种风险，但他们并未采取任何应对措施。”

这个想法或许有些大胆，但首先阻止最初的“招募”攻击得逞，似乎是个不错的起点。一般来说，这意味着通过严格限制SSH和telnet访问来强化管理平面，然后保护可能存在的所有Web界面。

这是因为，攻击者入侵这些设备的主要方式仍是使用默认密码访问其命令行，或利用存在漏洞的Web界面。归根结底，这正是telnet扫描数量增长的原因。攻击者和已遭入侵的设备会扫描其他设备，尝试使用已知的默认凭据获取访问权限，然后通过感染该设备，将其也纳入攻击网络。

关注出站流量非常重要，因为这可能会暴露已遭入侵的设备：这些设备会加入现有的大量物联网僵尸设备，并试图利用网络外部（或内部）的其他设备。监控表现异常的“新”设备（例如产生过多流量或发起过多连接尝试），可能有助于发现网络中已有且需要处理的恶意设备。

根据近期研究，94%的受访者依赖传统网络防火墙来应对IoT威胁。然而，许多威胁可能正源自您自己的网络内部，包括已遭入侵的设备，或仅靠网络防火墙无法充分保护的Web界面。鉴于相当一部分人甚至不知道这些设备位于何处，防火墙不太可能基于目标IP地址阻止访问。此外，攻击者可以轻易改变攻击来源并发起分布式攻击，因此按源IP地址进行阻止的效果并不理想。

因此，可利用WAF保护管理界面和面向用户的应用，阻止攻击者利用这些界面中常见的Web漏洞发起攻击，因为这些漏洞也可能为攻击者提供轻易入侵的途径。无论是可用于植入恶意软件的漏洞，还是仅仅能够访问命令行的漏洞，针对管理界面的Web攻击都可能是将设备快速招募进日益壮大的物联网僵尸网络的途径。

此外，它也不太可能发现利用MQTT或CoAP等IoT协议招募设备的企图，因为这可能需要检查有效载荷。尽管目前大多数攻击利用的是传统设备管理协议（如Telnet和SSH），但通过MQTT直接攻击设备的威胁已得到关注。例如，OWASP已启动一个项目，旨在像推动Web安全一样帮助保护IoT。建议考虑使用IoT网关，保护设备免遭原生协议利用，降低设备遭入侵的风险。

简而言之，建议采取以下措施来保护IoT设备：

• 更改默认密码（预防）
• 严格限制telnet或SSH访问（预防）
• 保护Web界面（使用WAF）（预防）
• 投资部署IoT网关（预防）
• 监控异常的网络内部流量（检测）
• 监控新的出站流量发起方（检测）

目前来看，针对物联网设备的攻击似乎难以避免。大量此类设备已接入网络（并可通过互联网访问），而这些设备普遍缺乏安全防护，对攻击者而言极具诱惑，难以忽视。务必防止网络中的物联网设备成为问题的一部分，这意味着要检测并阻止发生在“大规模攻击”之前的攻击。

因为如果有一天，自己的设备反过来对自己发起DDoS攻击，那就相当尴尬了。

SANS还提供了一份关于检测针对物联网攻击的实用资源，非常值得一读。

关于作者

Lori Mac Vittie杰出工程师兼首席技术布道师 | F5

Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。

Lori Mac Vittie 的更多博客文章