電子發(fā)燒友網(wǎng)>電子資料下載>電子資料>IIoT 的高效安全配置

IIoT 的高效安全配置

2076710 2022-11-28 | pdf | 204.47KB | 次下載 | 免費

資料介紹

2016 年秋季，黑客招募了數(shù)十萬臺嵌入式設(shè)備來組成惡意僵尸網(wǎng)絡(luò)。他們的 Mirai 惡意軟件感染了寬帶路由器，讓僵尸網(wǎng)絡(luò)的運營商利用它們進行分布式拒絕服務(wù) (DDoS) 攻擊。這為新興的物聯(lián)網(wǎng) (IoT) 行業(yè)敲響了警鐘——展示了黑客如何利用聯(lián)網(wǎng)的智能設(shè)備達到自己的目的。2016 年秋季，黑客招募了數(shù)十萬臺嵌入式設(shè)備來組成惡意僵尸網(wǎng)絡(luò)。他們的 Mirai 惡意軟件感染了寬帶路由器，讓僵尸網(wǎng)絡(luò)的運營商利用它們進行分布式拒絕服務(wù) (DDoS) 攻擊。這為新興的物聯(lián)網(wǎng) (IoT) 行業(yè)敲響了警鐘——展示了黑客如何利用聯(lián)網(wǎng)的智能設(shè)備達到自己的目的。盡管 Mirai 攻擊的重點是消費設(shè)備，但對工業(yè)物聯(lián)網(wǎng)的影響是嚴重的。如果不采取對策，工廠就有可能成為類似大規(guī)模襲擊的受害者。風(fēng)險范圍從生產(chǎn)損失到連接機器的嚴重損壞。安全專家的分析表明，遭受黑客攻擊的設(shè)備制造商會犯相對簡單的錯誤。在 Mirai 攻擊的案例中，路由器幾乎沒有針對黑客登錄并向其上傳新固件的保護措施。?盡管 Mirai 攻擊的重點是消費設(shè)備，但對工業(yè)物聯(lián)網(wǎng)的影響是嚴重的。如果不采取對策，工廠就有可能成為類似大規(guī)模襲擊的受害者。風(fēng)險范圍從生產(chǎn)損失到連接機器的嚴重損壞。安全專家的分析表明，遭受黑客攻擊的設(shè)備制造商會犯相對簡單的錯誤。在 Mirai 攻擊的案例中，路由器幾乎沒有針對黑客登錄并向其上傳新固件的保護措施。?物聯(lián)網(wǎng)安全基金會 (IoTSF) 等組織已發(fā)布旨在防止類似攻擊的建議。IoTSF 確定了防范 Mirai 的措施。它們包括需要確保訪問代碼或密碼對每個單元都是唯一的，并且不會在一組設(shè)備之間共享。即使黑客能夠發(fā)現(xiàn)其中一個的密碼，他們也無法使用相同的訪問憑據(jù)登錄到其他人。進一步的建議是，設(shè)備應(yīng)防止將未經(jīng)受信任提供商數(shù)字簽名的固件加載到其中。物聯(lián)網(wǎng)安全基金會 (IoTSF) 等組織已發(fā)布旨在防止類似攻擊的建議。IoTSF 確定了防范 Mirai 的措施。它們包括需要確保訪問代碼或密碼對每個單元都是唯一的，并且不會在一組設(shè)備之間共享。即使黑客能夠發(fā)現(xiàn)其中一個的密碼，他們也無法使用相同的訪問憑據(jù)登錄到其他人。進一步的建議是，設(shè)備應(yīng)防止將未經(jīng)受信任提供商數(shù)字簽名的固件加載到其中。雖然答案是每個單位都擁有唯一的憑據(jù)，但從后勤的角度來看，這可能很難管理。如果每臺設(shè)備都需要由專家安裝人員單獨配置，那么 IIoT 系統(tǒng)的部署成本就會非常高。這也是一種增加風(fēng)險的策略，因為許多設(shè)備可能需要由一小群人進行配置——這使它們成為工業(yè)間諜和社會工程攻擊的主要目標。雖然答案是每個單位都擁有唯一的憑據(jù)，但從后勤的角度來看，這可能很難管理。如果每臺設(shè)備都需要由專家安裝人員單獨配置，那么 IIoT 系統(tǒng)的部署成本就會非常高。這也是一種增加風(fēng)險的策略，因為許多設(shè)備可能需要由一小群人進行配置——這使它們成為工業(yè)間諜和社會工程攻擊的主要目標。圖 1：適用于 IIoT 實施的證書層次結(jié)構(gòu)。圖 1：適用于 IIoT 實施的證書層次結(jié)構(gòu)。安裝唯一密鑰的點也是一個問題。該程序應(yīng)在制造供應(yīng)鏈的早期發(fā)生。這避免了通過網(wǎng)絡(luò)傳輸密鑰的需要，這是安全的主要風(fēng)險，特別是如果攻擊者知道網(wǎng)絡(luò)何時正在建立。鑒于工業(yè)項目的性質(zhì)，不能排除對私鑰傳輸?shù)墓簟?/font>安裝唯一密鑰的點也是一個問題。該程序應(yīng)在制造供應(yīng)鏈的早期發(fā)生。這避免了通過網(wǎng)絡(luò)傳輸密鑰的需要，這是安全的主要風(fēng)險，特別是如果攻擊者知道網(wǎng)絡(luò)何時正在建立。鑒于工業(yè)項目的性質(zhì)，不能排除對私鑰傳輸?shù)墓簟?/font>在將傳感器節(jié)點或 IIoT 設(shè)備視為系統(tǒng)的可信部分之前，需要執(zhí)行幾個步驟來安裝它。第一步是將其注冊到網(wǎng)絡(luò)中。也就是說，它需要自己獨特的網(wǎng)絡(luò)地址和與服務(wù)器通信的方式——最有可能是本地網(wǎng)關(guān)或路由器，以促進訪問更廣泛的物聯(lián)網(wǎng)。在將傳感器節(jié)點或 IIoT 設(shè)備視為系統(tǒng)的可信部分之前，需要執(zhí)行幾個步驟來安裝它。第一步是將其注冊到網(wǎng)絡(luò)中。