什么是物聯網設備？

物聯網設備（或者嵌入式設備）是具有CPU、內存和網絡接口的計算機，專門用于完成特定的角色或者任務。

網絡攝像頭是附有攝像頭和高速網絡接口的計算機。

無線接入點是附有Wi-Fi射頻的計算機。

互聯網使燈泡變成一臺包含一個低功率無線電和一個掌控開關的繼電器的小型計算機。

物聯網設備出現有多長時間了？

設備連接到網絡并不是什么新鮮事。1991年，劍橋大學研究人員利用一個IP網絡攝像頭監測老計算機實驗室里咖啡機剩余的咖啡量。從那時起，連接到互聯網的設備數量幾乎呈指數增長，到了2008年已經超過了當時連接互聯網的人類數量。

為什么物聯網設備現在如此流行？

物聯網設備之所以被大規模部署，是因為它們被用于控制、監測和管理我們日常生活中使用的幾乎每一項技術。由于典型的物聯網設備能力有限，因此必須與外部解決方案進行交互，并受其控制和監測。為盡量減少部署成本，物聯網設備通常被設計得易于安裝和部署。然而，這常常導致設備的安全能力有限，在某些極端情況下，甚至沒有任何安全功能。

第一次物聯網DDoS攻擊出現在什么時候？

2003年，由于Netgear DSL/電纜調制解調器的缺陷，導致了第一次無意的對物聯網設備的DDoS攻擊。該設備使用美國威斯康辛大學的NTP服務器進行硬編碼，隨著越來越多的設備被部署（Netgear估計707,147臺設備有缺陷），流向該大學的NTP客戶端數據流超出了所有合理的界限，峰值時達到150Mb/250Kpps。使用ACL化解了此次攻擊，Netgear針對該問題發布了補丁。然而，由于無法找到所有這些設備的擁有者，只能先承受攻擊，希望這些設備在壽命終了時會最終離線。回想起來，這可能是互聯網歷史上歷時最長，規模最大的DDoS攻擊，只有當最后一臺設備報廢后才會結束。

什么是僵尸網絡？

起初，僵尸機器人只是為了自動完成日常任務而開發的計算機程序。然而，到了那些想從違法行為中獲利的攻擊者手里，他們把這些僵尸機器人程序整合在一起，形成了僵尸網絡，建立起了蓬勃發展的數字地下經濟。通過僵尸網絡，犯罪分子可以在互聯網上遠程控制全球范圍內數量驚人的計算機系統，而這些系統的擁有者幾乎都不知情。從攻擊者的角度來看，DDoS攻擊只是僵尸網絡的冰山一角。被攻破的系統可以用于實現多種功能，包括：

點擊欺詐

攻擊生成反垃圾郵件解決方案的站點

開放代理以便匿名訪問互聯網

對其他互聯網系統嘗試進行暴力破解

托管網絡釣魚網站

找到CD密鑰或者其他軟件許可數據

盜取個人身份信息，協助盜取身份信息。

找到信用卡和其他帳戶信息，包括PIN碼或者“機密”密碼。

安裝鍵盤記錄器，以捕獲系統的所有用戶輸入。

考慮到很容易組裝僵尸網絡，操作起來很簡單，上面列出的“獲利”功能還遠遠不止這些，而且犯罪分子還能在全球互聯網上隱身，這就容易理解為什么大量的犯罪分子選擇了僵尸網絡作為平臺——從有組織的犯罪到網絡恐怖分子，甚至普通的犯罪分子。

是什么使得物聯網僵尸網絡有別于PC僵尸網絡？

物聯網設備和通用計算機的主要區別是，與操作系統沒有直接的交互，軟件通常不會更新，而且是7x24小時在線。物聯網設備提供高速連接，每一臺被攻破的設備都能夠承受流量相對較高的DDoS攻擊。

是什么使得物聯網設備容易被攻破？

攻擊者之所以喜歡攻擊物聯網設備，是因為有太多的這類設備出廠默認設置是不安全的，包括默認的管理認證，通過這些設備上的互聯網接口能夠直接訪問其管理系統，出廠后還在使用不安全的可遠程利用的代碼。很大一部分嵌入式系統很少進行更新以堵上安全漏洞——事實上，這類設備的很多廠商根本不提供安全更新。

對于物聯網安全，我們可以做些什么？

由于人們越來越關注法規，因此，物聯網設備制造商將停止發售采用了默認管理憑據的設備。即使今后的確這樣，但也還有數以十億計的不安全設備。我們要關心的不是未來，而是過去。

企業怎樣保護自己？

當今的情形是，物聯網設備比以往任何其他設備都更不安全、更危險，這包括通用PC和筆記本電腦。但也并非毫無希望。由于攻擊者現在有能力感染企業內部的物聯網設備，因此，監測并控制所有物聯網活動以避免安全事件發生至關重要。物聯網設備應始終與其他設備隔離，并采取措施控制這些設備的活動。例如，企業內部的網絡攝像頭不應該被允許訪問數據中心的應用服務器，也不應該被允許直接訪問互聯網。與PC和其他類型的計算機等聯網設備相類似，應按照制造商的要求，對控制物聯網設備的軟件進行更新，打上補丁。

如果您有或者使用物聯網或者嵌入式設備：

把您的物聯網設備與其他服務和互聯網隔離開來。難道物聯網燈泡也要接入互聯網嗎？

確定您的打印機是否需要訪問互聯網。互聯網上幾乎所有的Chargen反射DDoS攻擊都利用了直接接入互聯網的打印機。

更新您設備上的軟件和固件。您最近一次更新DVR軟件是什么時候？

關閉設備上不必要的服務。大部分SSDP反射器都是開啟了SSDP的家用CPE路由器。此外，DNS反射攻擊通常使用啟用了DNS轉發的不安全的CPE設備。

使用具有安全產品生產良好記錄的制造商的設備，并讓他們對其解決方案的安全性負責。

監測出口帶寬。這是導致您的系統對系統問題反應遲緩的原因嗎？或者，您的廣域網路由器忙著發動DDOS攻擊？

企業可以實施DDoS防御的最佳當前實踐（BCP）來抵御DDoS攻擊。

采取以下步驟來防范DDoS攻擊：

針對入口過濾實施最佳當前實踐。

將管理平面數據流與數據平面數據流相隔離。

加固設備，關閉不需要的服務。

了解您的數據流模式以及正常的數據流模式。

實施分層DDoS攻擊防護解決方案。

(作者：Arbor Networks 中國和香港地區總經理徐開勇)