未来网络安全的热门话题——物联网安全

近年来，随着云端计算、物联网、大资料、人工智能等高新技术的应用，使得网络资讯科技飞速发展，尤其是5G技术在今年的试用推广，高新技术越来越贴近我们的社会生活。

这其中，物联网的快速发展最为瞩目，资料显示联网装置的数量也在与日俱增，同时，因为物联网应用的无处不在，它所带来或造成的风险也在增加。安全公司的研究发现，目前在物联网应用上还存在许多漏洞，另据专家估计在未来20-30年的时间里，物联网安全将是网络行业的热门话题。

根据Gartner最新发布的报告，我们可以看到全球范围内近20%的企业机构在过去三年中至少观察到一次基于物联网的攻击。为了应对这些威胁，Gartner预测全球物联网安全支出将在2018年达到15亿美元，相比2017年的12亿美元增加了28%。

针对物联网装置的安全问题，我们将从6个方面对装置进行安全评估分析。下面一起来看看吧。

1、易被攻破的Web使用者界面

对于物联网应用，一个好的Web使用者界面可以帮助使用者实现各项控制功能，设定装置，以及更快、更轻松地将装置整合到系统中。但是问题在于，这些Web使用者界面也会被网络犯罪分子利用。

例如SQL注入，它可能在物联网应用程序中并不是什么大问题，但命令注入、跨站点指令码以及跨站点请求伪造都是程式设计错误，可以让犯罪分子随心所欲地访问装置和完整系统，以控制、监视和访问等运营操作。

2、缺乏身份验证

因为物联网的应用程序可以控制环境以及建筑物访问，或者为可能监视建筑物使用者的音讯和视讯装置提供访问许可权时，身份验证似乎是“必备因素”。但在实际操作中，即便是最基本、最简单的身份验证也会被遗忘。

对于物联网应用程序来说，使用者身份验证和装置认证是非常重要的。使用者身份验证是考虑到物联网环境的复杂性，是否要对每个装置进行单独的身份验证，或者单个系统的身份验证是否能够支援每个装置，这就让接入装置的强身份验证显得至关重要。

而装置认证则是由于使用者需要在每个装置界面上都进行身份验证，这样才能防止攻击者使用隐含的信任作为进入装置系统的凭证。

所以身份验证对物联网装置安全性的重要程度是不言而喻的。

3、使用预设配置

这个问题由来已久，对于那些不允许改变预设设定的装置和系统来说，真的非常令人头痛。

预设使用者凭证（比如大家都知道的“admin”）是物联网安全设定问题上的一个巨大威胁讯号，但这并不是唯一重要的设定，包括使用的埠、设定具有管理员许可权的使用者、记录（或不记录）日志和事件通知，这些网络引数都是应该关注的“以安全为中心”的设定，应该通过这些安全设定来满足各种部署需求。

除了允许将安全设定与环境现有的安全基础设施更完全地结合起来之外，对预设设定的修改还能够减少IoT的攻击面，并增加入侵者侵入系统的难度。

4、固件更新问题

因为许多物联网装置无法升级固件，这使得固件成为一个严重的安全威胁。

通常物联网装置上的固件都是不可移动的，这就让攻击者可以有充足的时间对其进行剖析，挖掘漏洞，继而发起攻击。如果这些固件都是可以不断升级的，让物联网装置始终保持最新的版本和补丁，那么装置所受到的安全风险将会大大降低。

5、云界面问题

这恐怕是一个目前还难以解决的问题，有别于物联网安全的其他方面，保护云界面的安全，在大多数使用者看来是无能为力的。更有甚者，都不知道云端计算基础设施所在的位置，以及可能存在安全责任划分和监管归属的问题。所以我们应该了解物联网装置的功能，传送资料的位置，以及如何使用防火墙、入侵防御系统（IPS）和其他安全工具来弥补云界面的安全漏洞。

6、薄弱的网络安全性

物联网装置的应用程序可能还不是那么专业，或者它根本就没有提供足够高的安全性。而且在攻击者看来，这个物联网装置是突破防火墙的最佳漏洞，攻击者可以通过这些漏洞渗透到你的系统中，并对物联网装置和通用计算机发起攻击。如果是家庭使用者在自家网络中设定了物联网装置，却不搭配增强的防火墙来进行防护，就会让攻击者有隙可寻。