影响物联网发展的安全因素有哪些

随着IoT继续增长，并且成为企业领导和消费者生活中的必需品，企业面临着很大的挑战。
Infoblox公司首席基础设施官Cricket
Liu表示，“大多数IT专业人士认识到物联网将会给其网络带来挑战，这些年来，网络管理员一直在试图满足‘携带自己的设备到工作场所(BYOD)’趋势，IoT将会造成终端的增长。”
随着越来越多连接系统和设备(从智能手机和平板电脑到汽车、制造系统、家用电器和监控摄像机)变得更加智能，物联网正迅速发展，生成和共享着大量数据。IoT承诺给企业带来更高的效率和更好的业务决策，大部分受访者表示他们认为这是一个潜在的机会。
然而，网络资源和安全被视为网络障碍。86%的受访IT专业人员表示，他们了解IoT带来的网络需求，78%表示他们有足够的预算，75%表示他们有足够的人员。并且，大多数人表示他们预计他们的预算和人员配备在明年将会增加，来更好地帮助他们满足物联网的需求。
46%的受访者表示他们希望其IoT解决方案的部署将会成为其现有网络的一部分。然而，这可能会带来网络容量问题，54%的受访者表示网络基础设施管理同样也会成为其企业的优先级事项。
Infoblox的Liu表示，这将需要企业更加重视网络管理和自动化解决方案，以应对上升的网络复杂性。
供应商和分析师预计物联网将会迅速增长。思科公司非常重视IoT，他们甚至创建了一个相关的业务部门，该公司预测，到2020年，将会有多达500亿台联网设备。Gartner分析师认为这个数字为260亿台，不包括电脑、平板电脑和智能手机。IDC分析师预计IoT收入将会从2013年的19万亿美元增长到2020年的71万亿美元。
智能联网设备的数量(以及它们之间的数字流量)的增长不仅会给网络造成压力，而且还会带来安全和隐私问题。根据思科表示，很难保护市场上已经有的100亿台联网设备，在未来6年增加400亿台将会扩大威胁环境，为攻击者提供了更多目标。
虽然63%的人认为物联网会带来网络安全问题，但另外37%的人认为这种担心只是炒作而已。
根据Infoblox的调查显示，“随着越来越多的对象和IP地址被添加进来，网络团队需要追踪其网络上的情况，同时也要记住所有这些对象和IP地址都是企业IT基础设施中的潜在薄弱环节。”
IT专业人士都看到了BYOD趋势的兴起，而IoT将会让他们很难追赶上添加到企业网络的设备的速度。56%的受访者表示，IT管理人员很难控制IoT部署的位置，45%的受访者称他们没有从业务线工作人员获得关于部署的足够的信息。然而，74%的受访者称他们的业务已经整合到IoT业务计划。
对于物联网，IT领导现在可以做的就是确保他们参与到IoT部署的早期规划中，在任何购买决策之前，他们还可以重新调整网络访问政策来确保新设备和系统连接不会给网络资源或安全带来威胁，并确保网络任务自动化，并且部署或扩展其IPv6计划来确保IPv4地址的短缺不会减缓他们的物联网工作。

物联网呢基本上在我们的日常生活中无处不在，因此如何确保物联网的安全也是亟待解决的话题。未来信息安全的几个重要的发展方向：第1个就是，攻击源由于lOT设备的加入，会成为一个非常巨大的这个敌人，而且这种巨大性是会越来越刚性的发展的，就是TB级的对抗会成为一种常态，第二个企业级数据中心作为一种有限资源的目标一定要把Securityas Service 就是运营商层面的安全服务纳入到你的防御架构当中，这是唯1可应对TB级流量的一个防御架构。第三个就是实体数据中心里面一定要走混合的架构，不能再像原来单一的以盒子的堆砌，作为这个防御架构的运维模式，一定要考虑用这个虚拟化的资源应对那些突发的，上百倍的这种流量的变化。这三个趋势实在是未来我们可能，非常快会遇到的一些挑战和事故，所以说我们必须从现在这个着手来应对这些风险。

简单介绍一下
一是统筹产业创新发展与保障数据安全。
二是尽快出台数据分类分级指南和管理细则，智能网联汽车行业可以借鉴金融、工业互联网等领域出台的相应的分类分级指南。
三是建立事前风险评估和事后应急响应机制。
四是重点关注跨境数据流动问题，希望后续在借鉴全球通用做法的同时，细化相应的数据流动规则。

DDOS攻击通俗的说就是分布式拒绝服务攻击。这种攻击大多会借助服务器技术，将多个计算机联合起来作为攻击平台，对一个或多个目标发动DDOS攻击，从而成倍地提高拒绝服务攻击的威力。比如通过大量合法的请求占用大量网络资源达到堆砌大量的垃圾数据的效果，使得用户的正常登陆被“堵塞”就是DDOS攻击的最简单手段。
例如工业用的管理系统，我们联合阿里云共同打造十级安全防御系统，保证车间现场数据不丢失。

传感网络是一个存在严重不确定性因素的环境。
被感知的信息通过无线网络平台进行传输时，信息的安全性相当脆弱。
在物联网的传输层和应用层也存在一系列的安全隐患，亟待出现相对应的、高效的安全防范策略和技术。

针对物联网设备的安全评估，这里总结七种评估方式，从七个方面对设备进行安全评估，最终形成物联网设备的安全加固方案，提升黑客攻击物联网设备的成本，降低物联网设备的安全风险。

硬件接口

通过对多款设备的拆解发现，很多厂商在市售产品中保留了硬件调试接口。通过 JTAG接口和COM口这两个接口访问设备一般都具有系统最高权限，针对这些硬件接口的利用主要是为了获得系统固件以及内置的登陆凭证。

弱口令

目前物联网设备大多使用的是嵌入式linux系统，账户信息一般存放在/etc/passwd 或者 /etc/shadow 文件中，攻击者拿到这个文件可以通过John等工具进行系统密码破解，也可搜集常用的弱口令列表，通过机器尝试的方式获取系统相关服务的认证口令，一旦发现认证通过，则会进行恶意代码传播。弱口令的出现一般是由厂商内置或者用户不良的口令设置习惯两方面造成的。

信息泄漏

多数物联网设备厂商可能认为信息泄露不是安全问题，但是泄露的信息极大方便了攻击者对于目标的攻击。例如在对某厂商的摄像头安全测试的时候发现可以获取到设备的硬件型号、硬件版本号、软件版本号、系统类型、可登录的用户名和加密的密码以及密码生成的算法。攻击者即可通过暴力破解的方式获得明文密码。

未授权访问

攻击者可以不需要管理员授权，绕过用户认证环节，访问并控制目标系统。主要产生的原因如下：

厂商在产品设计的时候就没有考虑到授权认证或者对某些路径进行权限管理，任何人都可以最高的系统权限获得设备控制权。开发人员为了方便调试，可能会将一些特定账户的认证硬编码到代码中，出厂后这些账户并没有去除。攻击者只要获得这些硬编码信息，即可获得设备的控制权。开发人员在最初设计的用户认证算法或实现过程中存在缺陷，例如某摄像头存在不需要权限设置session的URL路径，攻击者只需要将其中的Username字段设置为admin，然后进入登陆认证页面，发现系统不需要认证，直接为admin权限。

远程代码执行

开发人员缺乏安全编码能力，没有针对输入的参数进行严格过滤和校验，导致在调用危险函数时远程代码执行或者命令注入。例如在某摄像头安全测试的时候发现系统调用了危险函数system，同时对输入的参数没有做严格过滤，导致可以执行额外的命令。

中间人攻击

中间人攻击一般有旁路和串接两种模式，攻击者处于通讯两端的链路中间，充当数据交换角色，攻击者可以通过中间人的方式获得用户认证信息以及设备控制信息，之后利用重放方式或者无线中继方式获得设备的控制权。例如通过中间人攻击解密>

云（端）攻击

近年来，物联网设备逐步实现通过云的方式进行管理，攻击者可以通过挖掘云提供商漏洞、手机终端APP上的漏洞以及分析设备和云端的通信数据，伪造数据进行重放攻击获取设备控制权。例如2015年HackPwn上公布的黑客攻击TCL智能洗衣机。

---