全球物聯網網絡攻擊激增 | 行業觀察

　　物聯網(IoT)已成為我們日常生活中不可或缺的一部分。然而，隨著物聯網設備的使用越來越多，近年來針對這些設備的網絡攻擊有所增加，利用各種可利用的漏洞。

　　造成這一增長的一個因素是大流行期間教育和醫療保健等各個部門發生的快速數字化轉型。這種由業務連續性需求驅動的轉型通常在沒有適當考慮安全措施的情況下發生，從而留下漏洞。

　　網絡犯罪分子意識到，物聯網設備是網絡中最脆弱的部分之一，大多數設備都沒有得到適當的保護或管理。對于相機和打印機等物聯網設備，其漏洞和其他此類未受管理的設備可能允許直接訪問和嚴重侵犯隱私，使攻擊者能夠在企業網絡中初步立足，然后在被破壞的網絡內部傳播。

　　在2023年的前兩個月，幾乎每周，平均有54%的組織成為這些攻擊的目標，平均每個組織每周遭受近60次針對物聯網設備的攻擊——比2022年高出41%，是兩年前攻擊數量的三倍多。這些受到攻擊的物聯網設備包括各種常見的物聯網設備，如路由器、IP攝像機、DVR(數字視頻錄像機)、NVR(網絡視頻錄像機)、打印機等。音箱和IP攝像頭等物聯網設備在遠程工作和學習環境中變得越來越普遍，為網絡犯罪分子提供了大量潛在的切入點。

　　這一趨勢在所有地區和部門都可以觀察到。歐洲是目前遭受針對物聯網設備的攻擊最多的地區，平均每個組織每周遭受近70起此類攻擊，其次是亞太地區64起，拉丁美洲48起，北美37起(自2022年以來增幅最大，為58%)，非洲每個組織每周遭受34次物聯網網絡攻擊。

　　教育和研究部門目前正面臨著前所未有的針對物聯網設備的攻擊激增，每個組織每周遭受131次攻擊，是全球平均水平的兩倍多，比去年增長了34%，令人震驚。其他行業的攻擊也在激增，與2022年相比，大多數行業都出現了兩位數的增長。

　　一家全球領先的網絡安全解決方案提供商此前的報告顯示，由于學校網絡上存儲了大量個人數據，黑客更喜歡將學校作為“軟目標”，從而使學生和學校都容易受到攻擊。向遠程學習的轉變極大地擴大了網絡犯罪分子的攻擊面，因為將大量不安全的物聯網設備引入學校網絡使黑客更容易破壞這些系統。此外，學校缺乏對強大的網絡安全預防和防御技術的投資，這使得網絡犯罪分子更容易進行網絡釣魚攻擊和部署勒索軟件。

　　頂級攻擊

　　雖然物聯網漏洞利用的威脅環境包含數百個漏洞，但在針對企業網絡的掃描和攻擊嘗試中，有些漏洞比其他漏洞更為廣泛。根據CheckPoint Software Technologies Ltd.的數據，以下是自2023年初以來發現的五大漏洞：1、MVPower DVR遠程代碼執行，該漏洞平均每周影響49%的組織;2、Dasan GPON路由器身份驗證繞過，每周影響38%的組織;3、Netgear DGN命令注入，每周影響33%的組織;4、D-Link多個產品遠程代碼執行，每周影響23%的組織;5、D-Link DSL-2750B遠程命令執行，每周影響14%的組織。

　　常見的注入攻擊

　　命令注入是物聯網設備中一個重要且經常被利用的漏洞。攻擊者可以利用易受攻擊的應用的特權，向程序中注入命令。物聯網設備的廣泛采用使得這類漏洞成為網絡犯罪分子的主要目標。

　　漏洞掃描器廣泛用于識別和利用Web應用和API中的弱點。雖然這些工具具有合法用途，但攻擊者也可能將其用于惡意目的。兩個日益流行的工具包括帶外安全測試(OAST)和“Interact.sh”。

　　掃描技術可以作為一種過濾工具來確定潛在的受害者。當攻擊復雜性較低時，掃描已成為攻擊者首選的初始步驟。這個過程需要向一大群人發送一個簡單的有效載荷，易受攻擊的目標會響應初始請求，確認其脆弱性。這種方法屬于主動掃描，是企業斜接矩陣的第一步——網絡犯罪分子使用的攻擊策略和技術的分層框架。

　　掃描使攻擊者能夠驗證其目標的漏洞，并確保只有其收到實際的惡意負載。研究結果表明，在為期一周的測試期間，至少有3%的網絡受到這種掃描方法的影響。在物聯網設備上使用這種攻擊方法的主要漏洞包括Netgear DGN命令注入、Netgear R7000和R6400 cgi-bin命令注入、FLIR AX8熱像儀命令注入，以及多個物聯網命令注入。

　　防止物聯網攻擊

　　隨著組織在日常運營中越來越依賴物聯網設備，必須保持警惕，并積極主動地保護這些設備�？梢圆扇∫恍┐胧﹣硖岣呶锫摼W安全性，包括從信譽良好的品牌購買物聯網設備，優先考慮安全性;在設備內部實施安全措施，然后再投放市場;實施密碼復雜性策略，并在適用時使用多重身份驗證(MFA);確保連接的設備更新為最新的軟件，并保持良好的設備運行狀況;對連接資產實施零信任網絡訪問配置文件;以及盡可能分離IT和物聯網網絡。

　　隨著技術的不斷進步，網絡攻擊的復雜性和頻率也在不斷提高。通過實施強大的安全措施，隨時了解最新的威脅和最佳實踐，組織可以更好地保護自己及其物聯網設備免受網絡犯罪分子的侵害。