花樣攻擊！13.7億數據泄露大案 物聯(lián)網(wǎng)設備只能束手就擒？

　　回顧2016年常用的物聯(lián)網(wǎng)設備攻擊手段

　　不要以為14 億身份泄露曝光事件與物聯(lián)網(wǎng)時(shí)代絲毫沒(méi)有關(guān)系，事實(shí)上黑客使用的是相同的攻擊方法，Slowloris攻擊則是最廣為人知的方法。而唯一不同的就是攻擊的對象轉為物聯(lián)網(wǎng)設備而已。

　　在智能化解決方案供應商Radware ERT團隊的全年不斷地回顧并分析這些攻擊后，得出了一個(gè)結論：在2016年，攻擊者最常用的兩個(gè)攻擊是突發(fā)式攻擊，又名“打了就跑”攻擊，另一個(gè)是高級持續性拒絕服務(wù)(ApDoS)攻擊。

　　就拒絕服務(wù)攻擊而言，2016年應該算是多事之秋了。在這一年里，整個(gè)行業(yè)遭遇了有史以來(lái)規模最大的攻擊，并出現了很多測試并挑戰現代防御措施的新攻擊方法。Radware發(fā)現許多攻擊者使用了隨機間隔的高容量突發(fā)式攻擊，這些攻擊可以持續數周，包含有多個(gè)可以同時(shí)攻擊所有網(wǎng)絡(luò )層的攻擊載體。這些類(lèi)型的攻擊很可能引發(fā)網(wǎng)絡(luò )服務(wù)器SLA的頻繁中斷，并阻礙合法用戶(hù)訪(fǎng)問(wèn)服務(wù)。

　　另一方面，黑客也在尋求可以實(shí)行網(wǎng)絡(luò )癱瘓式攻擊的新載體和方法。2016年，Radware注意到物聯(lián)網(wǎng)(IoT)被廣泛用于創(chuàng )建強大的僵尸網(wǎng)絡(luò )，以及BlackNurse、ICMP攻擊等許多新的攻擊載體。最值得注意的是某用戶(hù)在HackForum上發(fā)布的Mirai僵尸網(wǎng)絡(luò )源代碼。該僵尸網(wǎng)絡(luò )利用了在基于BusyBox的IoT設備上發(fā)現的60多個(gè)出廠(chǎng)默認憑證，創(chuàng )建了迄今為止最為強大的僵尸網(wǎng)絡(luò )。Mirai背后更令人關(guān)注的因素之一就是通用路由封裝(GRE)攻擊載體。這一相對較新的方法在數據包中封裝了包含大量的數據，試圖使接收網(wǎng)絡(luò )因解封負載時(shí)而耗盡資源。

　　DDOS攻擊最簡(jiǎn)單產(chǎn)生效果，因為一般設備都會(huì )固定死服務(wù)器地址，只要源源不斷的建立連接發(fā)送數據，很快就可以耗盡服務(wù)器資源。并且絕大部分物聯(lián)網(wǎng)云平臺非常脆弱，在此非法數據攻擊之下，可以靠近CPU、內存、帶寬，并產(chǎn)生大量錯誤日志消耗硬盤(pán)資源。所有固定指向該服務(wù)器的硬件設備，將全部無(wú)法使用網(wǎng)絡(luò )功能。

　　其他物聯(lián)網(wǎng)設備攻擊方法

　　重放攻擊RelayAttach

　　反復給設備上電斷電，觀(guān)察數據包變化情況。如果多次上電斷電得到的數據包相同，那么就完全具備了重放攻擊的條件。那么只需要把這個(gè)數據包內容按照十六進(jìn)制字符復制下來(lái)，然后借助工具向服務(wù)器相應端口快速發(fā)送海量請求?；诎踩u估需要，超級碼神工具提供該功能。重放攻擊最大優(yōu)勢是不怕一切防火墻，因為發(fā)過(guò)去的數據包都是合法數據包，防火墻必須放行!

　　業(yè)務(wù)數據干擾

　　一般硬件跟服務(wù)端通信指令分為三種：登錄驗證、心跳、業(yè)務(wù)數據傳輸。目前國內小公司生產(chǎn)的聯(lián)網(wǎng)設備，約有90%根本沒(méi)有登錄驗證，這就為業(yè)務(wù)數據干擾攻擊提供了可能。這些小公司幾乎沒(méi)有互聯(lián)網(wǎng)系統開(kāi)發(fā)經(jīng)驗，大多數從串口設備控制轉化而來(lái)，熟悉Modbus(沒(méi)有驗證)，直接進(jìn)行業(yè)務(wù)數據透傳，根本沒(méi)有驗證和心跳。更多的公司沒(méi)有能力去做聯(lián)網(wǎng)通信模塊，直接采購其它小公司的聯(lián)網(wǎng)模塊，最多的就是串口透傳模塊。而模塊提供商為了降低模塊使用復雜度以及提升兼容性，更不會(huì )去做驗證。

　　如果多個(gè)數據包格式完全一樣，只有局部數據變化，很有可能就是直接透傳的數據。這個(gè)時(shí)候，安全評估人員不僅可以解碼得到設備出來(lái)的數據，還可以偽造數據發(fā)給服務(wù)端。

　　WiFi攻擊

　　最近兩年WiFi在智能硬件中的應用非常流行。一般WiFi模塊有3種用法：

　　模塊自身帶有一些IO口，可以實(shí)現簡(jiǎn)單的開(kāi)關(guān)控制。模塊廠(chǎng)商會(huì )開(kāi)放控制協(xié)議。

　　· 串口透傳，單片機發(fā)給模塊的任何數據，模塊都會(huì )發(fā)給對應的云平臺，云平臺下發(fā)的數據也可以通過(guò)串口收到

　　· SoC片上開(kāi)發(fā)，自定義協(xié)議

　　很顯然，前面兩點(diǎn)簡(jiǎn)單易用，但正是這個(gè)原因，通信協(xié)議根本沒(méi)有加密，也沒(méi)有設備的身份驗證。目前在市場(chǎng)上99%模塊都是這樣，比如最流行的ESP8266。至今為止，尚未見(jiàn)到過(guò)做了安全處理的WiFi模塊。

　　Zigbee攻擊

　　Zigbee宣稱(chēng)很安全，但是進(jìn)入國內以后，所有廠(chǎng)商基于商業(yè)壁壘需要，都會(huì )修改Zigbee協(xié)議，或者加上不同的密碼。Zigbee模塊跟WiFi模塊類(lèi)似，前面兩點(diǎn)同樣非常容易攻擊。不管Zigbee協(xié)議是多么的安全，同一家模塊廠(chǎng)商生產(chǎn)的Zigbee模塊通信密碼都是完全一樣的，除非客戶(hù)特別要求。也就是說(shuō)，如果安全評估人員想攻擊Zigbee設備或Zigbee網(wǎng)關(guān)，只需要去同一個(gè)Zigbee模塊廠(chǎng)家購買(mǎi)一個(gè)模塊即可。

　　RF射頻攻擊

　　RF設備一般工作在433M/315M，作為第一代智能家居核心無(wú)線(xiàn)技術(shù)，它只能傳輸幾個(gè)數據位，根本沒(méi)有加密，也根本沒(méi)有能力加密。常見(jiàn)攻擊方法是設計一塊在該頻段的接收設備，監聽(tīng)無(wú)線(xiàn)空間的控制信號，只需要重發(fā)即可達到同樣的控制效果

　　面對各種攻擊，我們并非束手無(wú)策

　　進(jìn)入2017年之后，隨著(zhù)物聯(lián)網(wǎng)設備的使用和部署變得越來(lái)越廣泛，Radware預計，因為物聯(lián)網(wǎng)設備糟糕的安全性，攻擊者將會(huì )找到物聯(lián)網(wǎng)設備更多的漏洞，并將這些漏洞與Bashlite等其他僵尸網(wǎng)絡(luò )結合起來(lái)進(jìn)行攻擊，很可能實(shí)現攻擊規模記錄。

　　但是，盡管攻擊手法多種多樣，并這并不意味著(zhù)我們就束手無(wú)策了。其實(shí)無(wú)論是個(gè)人或者是企業(yè)都可以采取一定的措施來(lái)預防：

　　就個(gè)人來(lái)說(shuō)，用戶(hù)應該把物聯(lián)網(wǎng)設備當成個(gè)人電腦來(lái)對待，立刻更改默認密碼并定期檢查安全補丁，并堅持使用HTTPS界面。在沒(méi)有使用的情況下，可以選擇關(guān)閉設備。如果這個(gè)設備還有其他不使用的連接協(xié)議，也可以立刻禁用。

　　企業(yè)而言，企業(yè)可以通過(guò)許多方法來(lái)防御攻擊，包括啟動(dòng)網(wǎng)絡(luò )基礎設施，確保進(jìn)出網(wǎng)絡(luò )的數據都完全可視。這可以幫助檢測攻擊，并確保他們有足夠的止損容量和能力。最后，預備一個(gè)防御計劃，保持更新并定期演練。同時(shí)，留心那些遠程登陸服務(wù)器，千萬(wàn)不要把遠程登陸服務(wù)器和面向公眾的設備連接。