标签: 物联网

微软警告黑客组织 Fancy Bear 正试图利用物联网设备漏洞

微软威胁情报中心报道称,俄罗斯黑客组织 Fancy Bear 一直试图利用 VoIP 电话和打印机等物联网设备,对企业网络展开渗透。外界普遍猜测,该组织拥有俄罗斯官方背景,又名 Strontium Group 或 APT 28 。该组织已成功地在 50 多个不同的国家 / 地区,感染了超过 50 万台消费级路由器。 (题图 via MSPU) 今年 4 月,黑客试图将企业的物联网设备作为目标,借助这些“跳板”来渗透规格更大、安全措施更严格的企业网络。 三起事件中的两件,归咎于物联网设备使用了默认的出厂设置。另一件则是设备使用了过时的固件,其中包含了已知的漏洞。 获得物联网设备的访问权限后,攻击者会进一步破坏网络上其它易受攻击的设备和节点。 通过简单的扫描,该组织可在企业内网畅通无阻地移动,寻找获得更高级别账户的访问权限,以窃取高价值的数据。 此外,黑客可执行“tcpdump”,以发现本地子网上的网络流量。幸运的是,袭击事件被迅速扼杀在了萌芽状态。 在调查结束后,我们已于所涉特定设备的制造商分享了这些信息,希望它们能够借此来探索其产品的全新保护措施。   物联网设备制造商需要对安全威胁保持更广泛的关注,了解此类威胁类型的组织和安全团队,以提供更好的企业支持和监控功能,让技术团队更轻松地保障网络安全。 据悉,同一黑客组织还与针对民主党全国委员会(DNC)、法国 TV5 Monde 电视台、以及德国外交部等机构的攻击事件有关。 安全研究人员指出,该组织还攻击了正在调查与俄方有关的网络犯罪事件的调查人员的电子邮件账户,比如 Skripal 中毒和马航 MH17 空难事件的调查者。 显然,这些未遂攻击的揭露,是微软对行业需加强物联网设备安全性的最新警告,否则后续攻击事件还会接踵而至。   (稿源:cnBeta,封面源自网络。)

美国会议员提出了改善物联网设备安全性的新法案

预计到 2020 年,联网设备的数量会增加到 204 亿台,但它们的安全水平却不尽相同。那些没有内置安全特性的物联网设备,成为了黑客眼中的一道脆弱防线。在默认的密码和无法修复的漏洞等问题面前,形势显得非常严峻。去年的参议院听证会上,国防情报局长罗伯特·阿什利中将(Lt. General Robert Ashley)向议员们表示:“对美国国家安全来说,不安全的物联网设备,是需要被重点考量的新兴网络威胁之一”。 有鉴于此,美参众两院议员在本周一提出了一项《物联网网络安全改进法案》,希望能够对缺乏国家标准的新兴技术展开立法。 除了要求每家企业都提升其制造的联网设备的安全性,该法案还希望对联邦政府使用的任何物联网设备设定最低的安全标准。 来自弗吉尼亚州的民主党参议员 Mark Warner 在一份声明中称: 虽然对它们改变生活的潜力感到兴奋,但我也担心许多物联网设备在缺乏适当的安全保障措施的情况下被出售。市场更多地考虑性价比和便利性,而忽略了安全性。 需要指出的是,该法案并为物联网企业制定全面的安全标准,而是针对那些想要向美国政府出售物联网设备的情况。 联邦政府作为该市场的大客户之一,其带头提升的安全标准,有望带动整个物联网行业的安全保障水平。 与加州去年 9 月通过的全美首个物联网安全法案(SB 327)不同,加州法律要求制造商必须遵守特定的安全措施,比如不得使用默认密码、要用用户在访问设备前设置新密码等。 如果本周一提出的《物联网安全法案》获得通过,下一步将交由美国国家标准与技术研究院(NIST)去制定相应的联邦安全标准。 据悉,向美国政府出售的所有物联网设备供应商,必须制定漏洞披露政策,以便政府官员及时了解到相关状况。此外根据该法案,NIST 将每隔五年重新审查一次相关政策。     (稿源:cnBeta,封面源自网络。)

日本政府计划“入侵”公民的物联网设备

据外媒 Zdnet 报道,日本政府上周五批准了一项法律修正案,允许政府工作人员“入侵”人们的物联网设备,作为前所未有的不安全物联网设备调查的一部分。该调查将由日本国家信息通信技术研究所(NICT)的员工在总务省的监督下进行。 这项计划是编制一个使用默认和易于猜测的密码的不安全设备列表,并将其交给当局和相关的互联网服务提供商,以便他们采取措施提醒消费者并保护设备。该调查计划于下个月启动,届时有关部门计划将测试超过 2 亿件物联网设备的密码安全性,从路由器和网络摄像头开始。人们家中和企业网络中的设备将进行相同的测试。 根据日本总务省的报告,针对物联网设备的攻击占 2016 年所有网络攻击的三分之二。为筹备 2020 年东京夏季奥运会,日本政府已着手实施这一计划。政府担心黑客可能会滥用物联网设备来发动针对奥运会 IT 基础设施的攻击。 管理物联网网络与智能手机网络不同,因为物联网流量的不同特征受到明显但可预测的峰值和低谷的影响。日本政府的这种担忧是事出有因的。2018 年年初在韩国举行的平昌冬奥会遭遇黑客攻击,外媒称这可能与俄罗斯黑客有关。黑客攻击了韩国政府和冬奥会主办单位使用的数百台电脑和网络,因为国际奥委会禁止数百名俄罗斯运动员参加比赛。 日本政府决定登录用户的物联网设备引发了日本的愤怒。许多人认为这是一个不必要的步骤,因为通过向所有用户发送安全警报可以实现相同的结果。但日本政府认为这无法保证使用默认或易于猜测的密码的用户会在收到通知后更改其密码。     稿源:cnBeta.COM,封面源自网络;

物联网火爆背后隐藏的巨大安全风险

伴随着越来越多的美国家庭、企业和政府推进、购买和部署智能设备,而这些价格相对低廉的物联网设备引发了新的安全问题。目前物联网设备规模突破百亿,在营造更舒适、更高效的生活方式同时由于缺乏真正的安全保护,也成为僵尸网络的一员,被黑客劫持参与各种攻击。 根据 The Conversation 制作的预估图表数据显示,2018 年物联网设备规模已经达到70亿台,非物联网设备数量在 108 亿台,而预估 2025 年物联网设备数量将突破至 215 亿台。这些物联网设备涵盖网络摄像头、血压传感器、温度计、麦克风、智能音箱和毛绒玩具等等,这些产品很多都是由不为人知的小型工厂设计生产,通常没有妥善的安全保护。 2016 年 10 月利用僵尸网络对全球网络发起的攻击 这就意味着大量物联网设备存在非常严重且广泛的漏洞,包括使用弱密码、对通信不加密以及不安全的 Web 界面等等。而黑客往往会劫持数千甚至是数十万个遍布全球的设备来发起 DDoS 在内的攻击。如果制造商在特定类型的设备上设置了不可更改的管理密码,黑客就可以在网络上搜索这些设备,在登陆控制和安装自己的恶意程序之后将设备招募到僵尸网络中。   稿源:cnBeta,封面源自网络;

打造更加安全的物联网:黑莓向智能家居设备制造商开放技术授权

近年来,智能家居设备已经变得日渐普及。但是安装专家们频频发出警告,物联网基础设施存在着巨大的安全隐患。好消息是,为了让物联网世界变得更加安全,曾经在智能手机领域叱咤多年的黑莓(BlackBerry),已决定向智能家居设备制造商们,开放自家的安全技术授权。在激烈的市场竞争下,消费者已经能够享受到包括灯泡、冰箱、电视等在内的“物美价廉”的智能产品。不过黑莓提供的付费安全技术(BlackBerry Secure),能够为你的体验加上一道“放心锁”。 随着黑莓逐渐远离智能手机制造这项“主营业务”,此举标志着该公司移动技术的一次重大转型。 黑莓高级副总裁、兼移动解决方案经理 Alex Thurber 在一份声明中称 ——  2019 将是消费者开始用钱包投票,寻找更高的安全性和数据隐私性的一年。 BlackBerry 的其中一项产品,是在制造时,为智能小工具嵌入微处理器的加密密钥 —— 如遭受黑客攻击,芯片会改变其密钥,并导致设备停止工作。 此外,黑莓还发布了一款软件,能够阻止未经批准的代码在设备上运行。2016 年的时候,全球曾爆发过针对物联网设备的 Mirai 攻击。 当时黑客将大量的联网设备(比如家用路由器和安防摄像头)纳入了僵尸网络,以便将一台重要的互联网服务器搞得宕机。不过黑莓的安全方案,有望阻止类似事件的再次发生。 此外,黑莓还为工厂或企业环境里的设备,提供了一套管理服务。其旨在让企业更加严格地控制存储在设备上的信息,制定允许设备通过 Wi-Fi 或蓝牙等协议进行通信的规则。 当然,黑莓并不是这方面的先行者。早在 4 月份的时候,微软就已经发布了 Azure Sphere 微芯片。 其允许企业在联网设备上部署安全芯片和软件,此外亚马逊和谷歌也提供了各自的解决方案(Android IoT / AWS IoT),以便为联网设备提供充分的防护。 不过,对于黑莓及其合作伙伴来说,目前正是一个不错的介入时机。 在经历了 2018 年的 Facebook 数据收集、谷歌隐私、以及前一年的大规模 Equifax 漏洞之后,消费者终将渴望寻求更加安全的替代品。 物联网市场分析机构 J. Gold Associates 负责人 Jack Gold 表示: 鉴于黑莓手机的‘安全性’已深深植入每个人的脑海,该公司显然可以顺水推舟,将这一标签打向物联网世界。   稿源:cnBeta,封面源自网络;

ARM 将与 Cybereason 合作 开发强调安全性的物联网芯片

新浪科技讯 10月22日下午消息,据中国台湾地区媒体报道,于2012年成立的网络安全厂商Cybereason近日宣布已与ARM达成策略联盟,计划把Cybereason的终端保护、侦测及回应能力嵌入ARM的Pelion IoT(物联网)平台。 Cybereason表示,未来该公司将在采用ARM Pelion平台的物联网装置上提供即时的AI威胁追踪能力与先进的行为分析,可望造福广大的物联网装置,不论它们是身处公用事业、能源、运输、物流或是联网建筑中,预计到2035年将能保护一万亿的物联网装置。 ARM IoT服务的总裁Dipesh Patel表示,物联网装置的爆炸性成长替黑客开启了全新的攻击面,借由Pelion的装置管理服务与Cybereason技术,将允许客户了解物联网(IoT)装置的通讯模式、行为与活动,以便在恶意行动一展开就阻止它们。 外界相信此一合作案的幕后推手为软银(SoftBank),Cybereason最早创立于以色列,2014年才将总部迁移到美国,而ARM则是一家英国公司,不过,软银在2016年以310亿美元收购了ARM,而Cybereason迄今对外募集的1895万美元的资金中,就有1600万美元来自软银。Cybereason也在新闻稿中表示,双方的结盟将可实现软银企图建立一个安全连网装置世界的愿景。   稿源:新浪科技,封面源自网络;  

亚马逊修复智能家居13个漏洞:防止黑客完全控制设备

新浪科技讯 北京时间10月22日早间消息,亚马逊近期修复了物联网操作系统FreeRTOS以及AWS连接模块的13个安全漏洞。这些漏洞可能导致入侵者破坏设备,泄露内存中的内容和远程运行代码,让攻击者获得设备完全的控制权。 如果没有修复,这些漏洞可能会造成严重影响。FreeRTOS,以及以安全为导向的类似产品SafeRTOS被广泛用在家庭内外的各种设备上,包括汽车、飞机和医疗设备。 根据FreeRTOS的开源协议,发现这些漏洞的Zimperium在漏洞披露的30天后才提供了技术细节。这将使相关厂商有机会去修复这些漏洞。 这类漏洞披露并不少见,但对亚马逊来说是相对较新的工作。一年前,即2017年11月,AWS接管了FreeRTOS的核心。这是对亚马逊问题应对能力的一次考验,而目前来看亚马逊似乎通过了考验。   稿源:新浪科技,封面源自网络;

物联网僵尸网络“捉迷藏”新变种发现:Android 设备成新受害者

继今年1月发现首个物联网僵尸网络Hide and Seek(HNS,捉迷藏)之后,近日Bitdefender Labs发布报告称已经发现新型变种。利用Android开发者调试之用的Android Debug Bridge (ADB)功能中所存在的漏洞,该变种通过WiFi网络连接来感染Android设备,使之成为僵尸网络的一员。 虽然并非所有Android都默认启用ADB功能,但部分Android手机厂商会默认自动启用,可以通过5555端口使用WiFi ADB远程连接就能轻松进行攻击。在连接至默认激活ADB的Android系统之后,允许攻击者以root级别获得shell访问,可以在受感染设备上运行和安装任何东西。 图片来自于 Bitdefender Labs Hide and Seek于今年1月24日由Bitdefender首次发现,感染设备数量大约为1.4万台。不过在1月26日感染设备数量迅速扩大,超过3.2万台物联网设备被感染,而且在设备重启之后依然会保留在受感染的设备上。这种物联网恶意软件在某些情况下会将其自身复制到/etc/init.d/,这是一个在基于Linux的操作系统上放置守护程序脚本的文件夹,就像路由器和物联网设备上的守护程序脚本一样。由此,设备的操作系统将在重启后自动启动恶意软件的进程。   稿源:cnBeta,封面源自网络;

惠普将向黑客支付高达 1 万美元赏金以寻找其打印机漏洞

周二,惠普宣布了第一个专门针对其打印机的 bug 赏金计划,为能够在其机器上发现漏洞的黑客提供高达1万美元的奖励。Bug 赏金是公司发现安全漏洞的常见方式,对于严重漏洞酬金支付可高达 10 万美元。在恶意使用漏洞之前,黑客已经能够在大公司获得一个全职工作来软件并报告错误。像谷歌和 Facebook 这样的公司已经将漏洞奖金作为加强其产品安全性的一种方式。 惠普在5月份悄然启动了计划,有 34 名研究人员报名参加。该公司负责打印机安全的首席技术专家 Shivaun Albright 上周接受采访时说,它已经向一名发现其打印机存在严重缺陷的黑客支付了 1 万美元。她说,由于物联网设备的漏洞,该公司专注于打印机安全性。 Albright 说,虽然人们非常关注连接设备及其安全漏洞,但它通常用于网络摄像头,智能电视或灯泡,而不是打印机。惠普技术专家指出,打印机可能是人们拥有的最古老,最常见的物联网设备。它们已经存在了很长一段时间,甚至在“物联网“一词出现之前,问题是,为什么客户不将打印机视为物联网? 2016 年,Mirai 僵尸网络 – 一个庞大的黑客攻击设备网络,曾经在网上造成严重破坏 – 导致网络中断,导致 Twitter,Netflix 和 Reddit 等热门网站遭遇破坏。 Albright 说,僵尸网络使用黑客入侵的物联网设备,如网络摄像头和 DVR,但打印机也是这种组合的一部分。 HP 的 bug 赏金计划将通过 Bugcrowd 运行,这是一个促进支付和邀请的平台。该程序目前是私有的,邀请研究人员加入。奥尔布赖特表示惠普有意将其公开,但目前仍在关闭状态以更好地管理发现的漏洞。受邀研究人员可以从他们家里的电脑上远程访问 15 台打印机,这些打印机在惠普的办公室中被隔离,他们可以窥探这些打印机,找到隐藏的漏洞。Albright 表示,对于 1 万美元的支付,研究人员必须找到严重的缺陷,例如远程代码执行,这将允许攻击者完全控制打印机。如果他们发现并报告任何缺陷,HP 将支付他们的发现费用,然后在下次更新时开始修复。   稿源:cnBeta.COM,封面源自网络;

物联网产业规模将达到 9 万亿 网络安全投入却不足 3%

万物互联的智慧生活渐行渐近, 物联网 是现代科技高度集成和综合运用的体现,对新时代产业变革和社会经济发展具有决定性位置。当前,物联网设备呈现指数级增长态势,然而在物联网高速增长下,安全问题却暴露出来。 根据研究机构Gartner 公司的调查,2017年全球有84亿台物联网产品正在使用,比2016年增长31%,预计到2020年将达到204亿台。预计到2020年,物联网预计将产生惊人的经济影响,其市场规模高达8.9万亿美元,如果安全问题不能够很好解决,那么物联网设备所承担的风险将无法估量。 一个看似不起眼的物联网设备,却成了黑客攻击的目标。因为它称得上是整个赌场内部网络的“后门”——最薄弱环节,黑客先是入侵智能鱼缸,进入赌场内部网络,然后进行扫描,发现漏洞后进入网络中的其他地方,最终神不知鬼不觉地将赌场数据窃取。数据安全不仅涉及国家数据主权安全、企业和公民个人网络安全,也和IT以及互联网行业的创新密切相关。 试想一下,黑客通过某种途径读取用户位置信息、读取手机通讯录、获取通话记录、拨打电话、发短信、修改联系人、调用摄像头……似乎已经掌握你衣食住行的方方面面,立刻毛骨悚然。用户会越来越多地发现各类软件的“大数据”可能比我们自己还了解自己,这些大数据其实就是通过对用户日常生活轨迹的记录、累积和统计,再使用分析软件得出结论,保护好自己的数据不言而喻,真正能够保护自身数据安全的物联网设备才是第一道闸门。 物联网设备成为黑客攻击的捷径并非危言耸听。2014年1月发生的针对物联网设备的一起攻击行为,攻陷了10多万个联网设备,包括电视机、路由器和至少一台智能电冰箱,每天发送30万封垃圾邮件。攻击者从任何一个设备发送的消息也就10条,因而很难阻止或查明攻击源头。 针对物联网设备攻击的危害远不止于数据失窃那么简单。将勒索软件安装到家庭的智能恒温器上。将温度调高到95摄氏度,拒绝调回到正常温度,除非受害者同意支付用比特币支付的赎金。随着无人驾驶日益普及,黑客可以控制车辆,乃至引发交通事故。 物联网设备安全远比你想象中威胁大,近年来,网络安全建设受到政策大力支持,尤其是网络安全法正式实施后,相关政策加速出台。涉及网络安全的配套政策快速下沉到电信、互联网、工业、教育、农业等行业。网络安全风口以至,网络安全行业快速发展,网络安全投资迎来热潮。2017年,安全领域创业企业总融资额创新高。据不完全统计,网络安全领域当年全球投资300亿美元,国内仅为5.4亿美元;据分析,在欧美发达国家和地区,企业在网络安全方面的投入占IT方面投入达到10%-13%,国内仅1%-3%。 网络安全包括多个层面及维度,细分市场广泛。随着云计算和大数据时代到来,数据安全受到越来越多的重视,将成为行业发展风口。 稿源:搜狐科技,封面源自网络;