2018物联网安全年报_121页_7mb

2018物联网安全年报总结

核心内容

2018年，随着物联网设备的广泛部署，其安全风险和威胁也显著上升。绿盟科技在《2018物联网安全年报》中回顾了当年发生的重大物联网安全事件，分析了物联网资产的暴露与变化情况，并统计了物联网设备的风险与威胁。文档强调了物联网安全问题的复杂性，并提出了应对策略。

主要观点

• 物联网设备易受攻击：物联网设备由于设计缺陷和缺乏安全更新，成为攻击者的主要目标，如Mirai、Gafgyt、XorDDos等恶意软件家族广泛利用这些漏洞，构建僵尸网络，发起大规模DDoS攻击。
• 攻击服务商业化：在暗网中，攻击者可以租赁DDoS服务（DDoSaaS），使得攻击行为更加隐蔽和高效，攻击成本低，收益高。
• 物联网资产动态变化：大量物联网设备的网络地址频繁变化，主要由于采用动态拨号方式入网，导致设备IP地址不稳定，增加了安全监测和威胁追踪的难度。
• UPnP协议风险：UPnP服务被广泛暴露在互联网上，成为攻击者利用的工具，如反射攻击、端口映射攻击等，严重威胁内网设备安全。
• 国家行为的可能性：部分恶意软件（如VPNFilter）可能与国家行为有关，显示出更高级别的攻击手段和更广泛的攻击目标。
• 安全治理的紧迫性：物联网安全需要从设计、体系构建到安全治理全方位进行，特别是针对大量存量弱安全设备，需要加强防护措施。

关键信息

重大物联网安全事件回顾

1. DDoSaaS事件：攻击者利用JenX恶意软件构建僵尸网络，并在暗网出租DDoS服务，攻击流量高达290-300Gbps。
2. Hide'n Seek僵尸网络：感染了约9万台物联网设备，包括路由器、摄像头和安卓设备，利用多个已知漏洞进行攻击。
3. IoTrop攻击金融机构：在短时间内发起多次DDoS攻击，最大攻击流量达到30Gbps，主要攻击设备为MikroTik路由器。
4. VPNFilter感染50万台设备：可能与国家行为有关，攻击手法复杂，包括覆盖硬盘、嗅探数据包等。
5. 台积电勒索事件：由于内部工控设备未更新，导致生产线被勒索，造成超10亿元人民币损失。
6. UPnPoxy漏洞暴露4.5万个内网设备：攻击者利用漏洞将内网设备暴露到互联网，增加攻击面，威胁家庭和企业安全。
7. 20万台路由器被黑挖矿：攻击者利用MikroTik路由器漏洞，植入挖矿脚本，进行非法挖矿活动。

物联网资产暴露与变化情况分析

• 全球物联网资产：2018年全球暴露的物联网资产约为5100万台，其中中国占比约20%。
• 国内物联网资产：摄像头、路由器、VoIP电话是主要暴露设备，其中摄像头和路由器数量最多。
• 网络地址变化：约40%的物联网资产网络地址处于频繁变化状态，主要由于动态拨号方式入网。
• 网段映射变化：摄像头、路由器、VoIP电话的网段变化相对稳定，C段和B段映射变化量较小。
• ASN分布：中国国内主要由电信运营商提供网络地址，其变化率最高，如中国电信骨干网（CHINANET-BACKBONE）。

物联网资产风险和威胁统计

• 异常设备数量：约36万台设备发生异常行为，其中以DDoS攻击、僵尸网络通信和扫描探测为主。
• 异常行为类型：
  • DDoS攻击
  • 僵尸网络通信
  • 扫描探测
  • 漏洞利用
  • 发送垃圾邮件
  • 传播恶意软件
  • Web攻击
  • 恶意挖矿
• 异常设备比例：VoIP电话异常比例最高，占1.40%；摄像头和路由器异常设备占总数的94%以上。
• 异常行为分布：
  • VoIP电话：主要进行DDoS攻击和僵尸网络通信
  • 摄像头：主要进行DDoS攻击、僵尸网络通信和扫描探测
  • 路由器：主要进行DDoS攻击、恶意挖矿和漏洞利用

威胁分析

• UPnP协议栈威胁：大量UPnP服务暴露在互联网上，成为反射攻击和端口映射攻击的来源。
• 资产变化影响：资产变化使得威胁追踪和攻击源定位变得复杂，需要考虑网络地址变化范围和匹配算法。
• IPv6的影响：随着IPv6的推广，物联网资产暴露数量可能增加，但地址变化频率会降低，有利于安全治理。

结论

2018年物联网安全形势严峻，攻击者通过多种手段利用物联网设备，发起DDoS攻击、恶意挖矿等行为。文档强调，物联网安全治理需要多方协作，包括安全厂商、设备厂商、用户及监管机构，从设计、实现到运维各环节都需要加强安全措施。同时，随着IPv6的普及，物联网资产暴露数量可能增加，但安全治理难度将有所降低。