据工业网络安全企业Claroty表示，与2021年下半年相比，2022年上半年在扩展物联网（XIoT）产品中发现的漏洞增长了57%。同时，来自另外一家物联网安全企业Phosphorus根据其部署在企业环境中的数百万IoT设备的分析中，发现其存在高风险和关键漏洞的情况非常普遍，有差不多50%的物联网设备存在8分（CVSS评，下同）以上的漏洞，有20%的设备则存在9-10分的关键漏洞，而与此同时，这些设备在密码保护和固件管理方面也存在有较大的安全问题。
由此可见，物联网风险形势已经愈发严峻，但需要指出的是，正如很多行业、场景一样，我们虽然无法消除所有的风险，但至少可以降低，在经过整理后，我们认为以下六种方法将会有利于帮助企业降低自身物联网设备的攻击面。
1、建立完整的资产清单并及时更新。
对于安全来说，任何时候最基础的工作就是做好资产发现、梳理工作，“你没办法保护你看不到的东西。”这句话在几乎所有的安全领域中都适用。
根据Phosphorus的报告显示，有近八成的企业安全团队无法识别他们网络中的多数物联网设备，这个数字的确非常惊人，在这样的条件下还有什么安全可言？这意味着攻击者入侵成功后在其设备间可以肆意地横向移动甚至波及IT网络。
当然， 物联网设备的资产清点并不容易，因为传统的IT资产发现工具从来都不是为了物联网而设计的，由于物联网的流量大多都是加密的，因此传统的网络行为检测系统难以识别，
更好的方法是通过查询设备所使用的本机语言发现物联网设备，这将允许组织创建一个包含物联网设备详细信息的清单，如设备版本、型号、固件版本、序列号、运行服务、证书和凭据，这使得企业除了发现他们之外，还有利于发现问题并在必要时对风险进行补救。
2、做好设备密码管理，避免初始密码用一生。
物联网设备还有一个非常普遍的不安全特征，那就是初始密码，相信有大量已在运行的物联网设备仍在使用初始密码，因此针对它们的攻击就很容易实施。根据数家物联网安全企业发布近几年发布的报告数据综合来看，在运行的物联网设备中，仍使用初始密码的比例大约在50%，如果是在一些特定类别的设备（如一些音视频类的物联网设备）中，这一比例甚至还会更高一些。而即便是不使用初始密码，在其整个设备使用的生命周期中，大多也只修改过一次密码，是的，就是刚开始使用时变更设置的那一次。
在理想情况下，所有的物联网设备都应该有自己唯一且复杂的密码，还要做到每一个月、一个季度进行一次更改，对于那些只能支持4位密码的老式物联网设备，更改的频率最好还要更密集一些。当然，如果成本不是太高，还是建议使用更新且支持复杂密码的设备对那些老式设备进行替换，因为从安全的角度衡量，如果因这些老设备的弱口令问题导致安全事件发生，其带来的损失可能还会远远高于更换设备的成本。
3、做好设备的固件管理。
固件也是物联网设备面临安全风险的一大入口，而与其相关的漏洞时常都会被发现，证明这是一个普遍性问题。固件漏洞是令设备容易遭受攻击的常见弱点，包括恶意软件、后门程序、远程
大多数物联网设备运行在过时的固件上，这带来了重大的安全风险，因为漏洞非常普遍。固件漏洞使设备容易受到攻击，包括商用恶意软件、复杂的植入和后门、远程代码执行、数据窃取、勒索软件甚至物理破坏等等，在一般情况下，一个设备的固件寿命大概是6年左右，超过这个时间之后，供应商一般不会在提供支持维护。
同所有连接网络的软硬件设备一样，物联网设备也应及时使用供应商提供的最新固件版本和安全补丁进行更新，但不可否认，这的确可能是一个挑战，特别是在大型组织中，它们会有数十万到数百万个这样的设备。可即便如此，越是大型企业就越是必须采取措施来保证网络的安全。
此外，需注意的是有时设备固件可能会采取降级的措施以保障安全，而不是更新，偶尔当一个漏洞被广泛利用，而没有可用的补丁（物联网供应商发布补丁的时间间隔通常比传统IT设备供应商更久），那么暂时将设备降级到不包含该漏洞的较早固件版本反而是可取的。
4、实施严格的访问控制并切断与设备运转非必需的网络连接。
很多物联网设备都具备很多种连接网络的方式，如有线和无线网络连接、蓝牙、telnet等等，这种混杂多样的网络连接就很容易被外部攻击者所利用。因而对企业来说，像对待IT网络那样去对系统进行加固就非常重要，包括关闭一些无用的端口和不必要的功能，比如既然使用了有线以太网连接，那就无须开启WiFi，蓝牙功能如不常用也应关闭。
限制物联网设备的互联网接入将减轻依赖于安装命令和控制恶意软件类（如勒索软件和数据窃取）的攻击。
5、确保证书有效。
确保安全授权、加密和数据完整性的物联网数字证书经常会出现管理不善、过时的情况，这个问题有时甚至会发生在一些关键的网络设备上，如无线网络接入点等等，这意味网络的初始接入点就没有得到足够的保护。因此，要验证这些证书的状态并管理起来，这方面可以有一些证书管理类的解决方案可以利用，有利于纠正可能发生的风险，如TLS版本、过期日期等。
6、设备加固后要关注后期可能会出现的各种变化。
一旦物联网设备被安全加固，确保它们保持这种加固状态是很重要的。设备的设置和配置可能会随着时间的推移而改变，因为包括固件更新、操作错误或人为破坏等多种可能性导致设备出现问题。
这方面尤其是要注意关键设备可能会出现的重要更改，比如权限的设定、因设备重置导致密码恢复为初始默认的状态等，还包括可以的账户口令修改、固件调整以及突然重启等一些不安全的行为。
数字化进程的加速在推动发展的同时，众多行业、领域的攻击面也在加速扩大，虽然形势都非常严峻，但至少目前看并非缺少应对之策，重点是在于这些对策是否在执行，而且是在有效执行，否则就等同于将企业的大门主动向攻击者打开。物联网安全领域目前面临的挑战的确比传统IT领域更多，但IT领域在安全方面的成功经验依然可以借鉴，比如文中提到的资产清单、密码管理以及固件管理等等，都被证明是有效的，虽然它们无法阻挡住所有的攻击，但在收敛攻击面，降低遭受攻击的可能性方面仍能发挥巨大作用，值得参考和运用。
京公网安备 11010802033237号
