常见IoT安全威胁种类有哪些？

物联网的引入已经推动了多个行业的发展，例如农业、公用事业、制造业和零售业。物联网解决方案有助于提高工厂和工作场所的生产率和效率。同样，由物联网驱动的医疗设备也导致了互联和主动的医疗保健方法的发展。智慧城市还利用物联网来构建联网的交通信号灯和停车场，以减少交通流量不断增加的影响。

但是，物联网安全威胁的影响可能被证明是物联网实施中的主要问题。诸如DDoS、勒索软件和社会工程学之类的IoT安全威胁可用于窃取人员和组织的关键数据。攻击者可以利用IoT基础设施中的安全漏洞来执行复杂的网络攻击。

对于消费者而言，此类物联网安全威胁可能更令人担忧，因为他们不知道其存在，并且不拥有缓解这些威胁的资源。因此，企业领导者必须识别并应对这些安全威胁，才能为消费者提供高端产品和服务。

以下是常见的8种类型的IoT安全威胁

一、僵尸网络（Botnets）

僵尸网络是将各种系统结合在一起的网络，可以远程控制受害者的系统并分发恶意软件。网络罪犯使用命令和控制服务器来控制僵尸网络，以窃取机密数据，获取在线银行数据并执行DDoS和网络钓鱼等网络攻击。网络罪犯可以利用僵尸网络来攻击与笔记本电脑、台式机和智能手机等其他设备相连的IoT设备。

例如，Mirai僵尸网络已经展示了物联网安全威胁的危险性。 Mirai僵尸网络已感染了250万台设备，其中包括路由器、打印机和智能摄像机。攻击者使用僵尸网络在多个IoT设备上发起分布式拒绝服务攻击。在见证了Mirai的影响之后，多名网络罪犯开发了多个高级IoT僵尸网络。这些僵尸网络可以对易受攻击的物联网设备发起复杂的网络攻击。

二、拒绝服务（Denial of service）

拒绝服务（DoS）攻击故意通过发送多个请求来导致目标系统中的容量过载。与网络钓鱼和暴力攻击不同，实施拒绝服务的攻击者并非旨在窃取关键数据。但是，可以使用DoS减慢或禁用服务以损害企业声誉。

例如，受到拒绝服务攻击的航空公司将无法处理预订新机票、检查航班状态和取消机票的请求。在这种情况下，客户可能会切换到其他航空公司进行空中旅行。同样，诸如拒绝服务攻击之类的物联网安全威胁也会破坏企业的声誉并影响其收入。

三、中间人（Man－in－the－Middle）

在中间人（MiTM）攻击中，黑客破坏了两个单独系统之间的通信通道，试图在其中拦截消息。攻击者可以控制自己的通信，并向参与系统发送非法消息。此类攻击可用于入侵物联网设备，例如智能冰箱和自动驾驶汽车。

中间人攻击可用于攻击多个IoT设备，因为它们实时共享数据。借助MiTM，攻击者可以拦截多个IoT设备之间的通信，从而导致严重故障。例如，攻击者可以使用MiTM改变灯泡或打开和关闭其颜色，从而控制诸如灯泡之类的智能家居配件。此类攻击可能对工业设备和医疗设备等物联网设备造成灾难性后果。

四、身份和数据盗窃 （Identity and Data Theft）

多个数据泄露事件在2020年成为头条新闻，原因是这些数据泄露了数百万人的隐私信息。在这些数据泄露中，诸如个人详细信息、信用卡和借记卡凭据以及电子邮件地址之类的机密信息被盗。

黑客现在可以攻击诸如智能手表、智能仪表和智能家居设备之类的IoT设备，以获取有关多个用户和组织的其他数据。通过收集此类数据，攻击者可以执行更复杂和详细的身份盗用。攻击者还可以利用IoT设备中与其他设备和企业系统连接的漏洞。例如，黑客可以攻击组织中易受攻击的物联网传感器，并获得对其业务网络的访问权限。通过这种方式，攻击者可以渗透到多个企业系统并获取敏感的业务数据。因此，物联网安全威胁可能导致多个企业的数据泄露。

五、社交工程（Social Engineering）

Social Engineering一般指社会工程学。社会工程学（Social Engineering，又被翻译为：社交工程学）是黑客米特尼克悔改后在《欺骗的艺术》中所提出的，是一种通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进行诸如欺骗、伤害等危害手段。

黑客利用社交工程手段操纵人们放弃他们的敏感信息，例如密码和银行详细信息。或者，网络罪犯可以使用社交工程学来访问用于秘密安装恶意软件的系统。通常，社交工程攻击是使用网络钓鱼电子邮件执行的，攻击者必须开发令人信服的电子邮件来操纵人员。但是，在使用IoT设备的情况下，社交工程攻击更易于执行。

物联网设备（尤其是可穿戴设备）会收集大量的个人身份信息（PII），以为其用户提供个性化的体验。此类设备还利用用户的个人信息来交付用户友好的服务，例如，通过语音控制在线订购产品。但是，攻击者可以访问PII以获取机密信息，例如银行详细信息、购买历史记录和家庭住址。此类信息可使网络罪犯执行高级社交工程攻击，从而使用易受攻击的IoT网络将用户及其家人和朋友作为目标。通过这种方式，可以使用诸如社交工程学之类的物联网安全威胁来获得对用户数据的非法访问。

六、高级持续性威胁（Advanced Persistent Threats）

高级持续性威胁（Advanced persistent threats，APT）是由有组织的网络罪犯集团执行的，是各种组织面临的主要安全问题。高级持续威胁是有针对性的网络攻击，入侵者会获得对网络的非法访问，并在很长一段时间内未被发现。攻击者旨在监视网络活动并使用高级持续威胁来窃取关键数据。

此类网络攻击难以预防、检测或缓解。随着物联网的出现，大量关键数据可以轻松地在多个设备之间传输。网络罪犯可以将这些物联网设备作为目标，以访问个人或公司网络。通过这种方法，网络罪犯可以窃取机密信息。

七、勒索软件（Ransomware）

勒索软件攻击已成为最臭名昭著的网络威胁之一。在这种攻击中，黑客使用恶意软件对业务运营可能需要的数据进行加密。攻击者只有在收到赎金后才会解密关键数据。勒索软件可能是最复杂的物联网安全威胁之一。研究人员已经证明了使用智能恒温器的勒索软件的影响。通过这种方法，研究人员表明，黑客可以调高温度并拒绝回到正常温度，直到他们收到赎金为止。同样，勒索软件也可以用于攻击IIoT设备和智能家居。例如，黑客可以攻击智能家居，并向所有者发送通知以支付赎金。

八、远程录制（Remote Recording）

WikiLeaks发布的文件显示，情报机构知道物联网设备、智能手机和笔记本电脑中存在零时差攻击。这些文件暗示安全机构计划秘密记录公开对话。网络罪犯也可以使用这些零时差攻击来记录物联网用户的对话。例如，黑客可以攻击组织中的智能摄像机，并记录日常业务活动的视频录像。通过这种方法，网络罪犯可以秘密获取机密商业信息。此类物联网安全威胁还将导致严重的隐私侵犯。

为了减轻其影响，业务领导者需要在其组织利用物联网基础设施之前，了解物联网安全威胁并制定整体网络安全策略。为此，他们可以聘请专门的网络安全专家团队来解决所有安全问题。或者，如果业务领导者希望独立进行网络安全技术，则可以从确保其所有机密数据已加密并且出于安全目的定期审核其系统开始。企业还可以部署大数据、区块链和AI等现代技术，以增强其网络安全性。（文／千家网编译）

千家网原创文章，未经授权严禁转载 。          

来源：千家网