在物联网海洋中航行

我们不担心网络攻击。现在，物联网(IoT)也可以使能设备，也可以预防潜在的攻击。

数十年来，运营技术(OT)，物联网和医疗物联网(IoMT)一直在影响着生产力，并且每个版本的每台设备都变得“更智能”。越来越多的雇主要求安全专业人员保护所有这些设备。这意味着将它们带入IT领域，并将其纳入我们的漏洞管理程序中。踏上我们这广阔的新海洋之旅。

[[351039]]

物联网的未知领域

在任何物联网探索中，我称其为航程，同时也包括OT和IoMT的第一个挑战是对设备本身进行定位和分类。那么，物联网X-Force，Nozomi，Cylera，Tenable.ot和Qualys IoT等物联网扫描仪都使用被动扫描也就不足为奇了。这种类型的扫描实际上是在侦听-就像潜水艇上的麦克风一样-并且它要求我们将解决方案连接到网络中可以“听到”所有内容的位置。这取决于供应商和上下文，称为镜像端口，监视器会话或网络分接头。这些解决方案仅通过基于签名的物联网设备查找和指纹识别就可以尽早获得成功。

为什么称之为被动扫描?物联网设备容易被损伤;如果我们向他们发送IT扫描附带的大量活动请求，它们可能会枯萎。有没有看到打印机喷出大量废话?您可以感谢您友好的邻居扫描仪。在真正的潜水艇中，“砰”一词来自声纳从飞船弹起的声音。物联网设备处于棘手的“重要但脆弱”的区域，而这种手套式方法将物联网扫描仪与其兄弟分隔开来。

一旦找到，物联网扫描仪便会检查设备的流量并将其与自己的配置文件数据库进行比较，以确定其正在处理的生物种类。受到好评后，系统将使用已知风险针对检测到的IoT固件版本交叉引用设备的配置文件。

新与旧相遇

这表示与其他类型的扫描有所不同;被动扫描器无需测量设备的响应方式，而是观察设备的功能。从本质上讲，现代物联网扫描仪更像是一个入侵检测系统，实际上，某些解决方案实际上试图阻止不良行为，将其放入入侵防御系统中。这有优点也有缺点。我们可以了解有关该系统的更多信息，并且更有可能积极地识别它。另一方面，除非我们直接看到另一个系统连接到它，否则我们可能无法检测到所有打开的端口。

对于现代的物联网来说，这一切都很好，但是潜伏在深处的可怕的旧OT设备又如何呢?这些机构使用SONET环和串行连接的繁华时代的技术。这在很大程度上取决于系统如何管理这些东西。在大多数情况下，最好的结果是检测相对最新的人机界面(HMI)。这些系统就像章鱼一样，具有多个触手，它们通过另一种连接介质连接到传感器，阀门，泵和其他OT设备。在攻击者控制其中一个系统的情况下，由于带有“ Valve Shutoff”和“ Release the Kraken”等标签的按钮，可能会发生可怕的事情。

安全设备的网关

在其他情况下，客户端使用称为串行网关的小型设备，这使它们可以连接到诸如安全外壳或知名的Telnet之类的服务，并像直接连接设备一样管理该设备。

然后，物联网扫描仪将检测网络上的这些HMI和串行网关系统。我们需要记住，从清单的角度来看，它们代表着更多的设备。无论是手工从HMI导入设备还是使用定制系统(例如tdi ConsoleWorks)，通常都是需要帮助的地方。

寻找您的物联网当前课程和速度

发现我们所有的物联网系统后，问题就变成了“我们如何保护它们?” 控制层次结构的Purdue模型将成为我们的北极星。这是普渡大学与自动化工业协会99委员会之间合资的结果。它的四个区域和六个级别对应于实际物联网设备(主要是OT设备)和企业网络之间的差异层。此处提供了一个有用的文档，该文档参考了Purdue模型，供那些想要看看的人参考。

工业控制系统的Purdue模型

我们在物联网的深海中发现的现实有时需要更大的动力。普渡大学模型非常特定于制造业。它还要依靠组织来改变其环境，以便从中获得最大的价值。与IoMT用例形成对比，IoMT用例中，平板电脑，Windows XP计算机甚至秤都共享网络，而分散的负担却是我的负担。这些设备在生产环境中的有机采用既勇敢又令人生畏，使人员效率更高，同时每次功能升级都可以创造出充满新攻击角度的加油机。

快速而轻松地与现有网络连接的新设备的数量增加了斗争的难度。对于许多物联网用例而言，产品经理正在竭尽全力，并试图以比竞争对手更新颖，更好的功能将产品推向市场。对他们来说，Purdue模型是一张藏宝图，其中X标记了C级执行官，他想要轻松修复并可以写一张支票。

不足为奇的是，相关的行业论坛和标准如雨后春笋般冒出，以降低锚点并减慢这一速度。该IoXT联盟它们是在参加好力(IBM是一个成员)智能高科技厂商一个很好的例子。和欧洲医疗器械监管是值得关注的，与执法有望在2021年开始。

这里是物联网的怪物

当然，我们所有人都想避免的情况是，可怕的幽灵船上的那些海盗掌握了我们的个人身份信息和受保护的健康信息，甚至完全淹没了我们的重要船只。换句话说，我们正在谈论的这些设备既关键又脆弱。尽管它们变得越来越普遍，我们仍需要保护它们及其数据。

较新的设备足够聪明，足以危险。他们可能会采用分布式Linux配置，并提供诸如小型但功能强大的服务器之类的服务。客户端使用您可能没有听说过但可能在您每天使用的东西中运行的实时操作系统，将它们与其他设备混合在一起。您的汽车或杂货店的自助退房可能包括这些。而且，这些设备中仍有更多运行Windows的嵌入式版本。在您担心Myspace页面的那些日子里，您可能会认识到它。

处理报废设备

这些设备无法自卫。从支持的角度来看，许多功能完善的物联网设备实际上已经寿终正寝，但直到有人意识到它们容易受到7年历史的利用之后，它们仍在嗡嗡作响。

近期打击消费者安全摄像机的云服务关闭证明了软件和硬件功能之间的差异。它使这些原本可以工作的设备无处发送视频。在工作中，这些相同的物联网问题同样适用-产品寿命短和对供应商的依赖性相同，即使设备一旦失去支持仍可以正常工作。这样，凭借其独立的特性，较旧的OT设备可以比依靠云的智能IoT同类产品更长寿。

考虑到所有这些挑战，在海上容易感到迷路。物联网扫描仪可以运行，查找新设备并告诉我们其风险。这些都是很好的解决方案，但是如果它们产生成千上万的发现，而扫描仪往往会这样做，那么我们如何处理它们的结果呢?而且，我们如何从基于风险的角度看待物联网?

即时帮助：漏洞排名

扫描仪报告的几乎所有漏洞(IoT或IT)都引用了常见的漏洞和披露(CVE)编号。MITER维护了此报告库，其中报告了所有影响供应商软件和硬件的漏洞。方便地，安全研究人员在发布针对该漏洞的概念验证漏洞利用代码时经常会引用此内容。并非所有漏洞都被公开证明是可以利用的-X-Force Red发现，只有大约16%的CVE属于此类。

虽然Darknet和深度网络潜水可以找到利用漏洞利用的特定实例，但从表面上衡量CVE漏洞利用的普及程度(例如Metasploit，ExploitDB和Github等网站)，可以很好地了解安全研究人员所看到的内容。

此外，您可以结合动手实践的攻击经验和人工智能，根据攻击者部署CVE的方式对每个CVE进行评分。这有助于将现实添加到如此简单的CVE中，以至于它们不需要漏洞利用代码，并且对于没有关联CVE的基于配置的发现也是如此。

风险分析

由于物联网风险可能非常复杂，因此在制定课程之前，必须同时考虑技术和业务风险。IBM合作伙伴AbedGraham的[CCOM2]等技术为发现增加了特定于医疗保健的风险，并确定了临床工程团队首先应关注的IoMT设备。

例如，尽管某些型号的患者监护仪存在固有的漏洞，但是拆除医院的磁共振成像(MRI)机器的能力通常是更为紧迫的威胁。可以通过不同的角度来查看这些风险。在[CCOM2]的情况下，针对通常与临床环境相关的风险来评估易受攻击的系统。

此外，X-Force Red经常将这些东西拆开，以更好地了解下面可能还存在哪些其他风险。诸如FiniteState之类的工具可以帮助分析固件，并让我们随时了解这些设备的新威胁。X-Force Red硬件渗透测试可以帮助发现设备行为或其通信方法中可能存在的漏洞。

物联网修复策略

修复物联网漏洞可能需要很长时间。首先，除了一些基本配置外，我们通常对设备没有太多控制。此外，受影响的设备有时是较大解决方案的一部分。我们的联络点可能无能为力。在最坏的情况下，供应商会提醒我们，受影响的设备已经停产并且不受支持。需要创造性思维，并且我们经常从多个角度处理这些情况。

攻击检测 是第一位的。无论我们是否可以阻止它，我们当然都可以发现一些尝试利用它的scalawag。真正的攻击 应该 很少见，而IoT扫描程序通过其侦听流量的能力有时可以检测甚至阻止这种行为。如果我们可以检测到它，可以将其与事件响应手册联系在一起，知道在事件中正在尝试什么以及寻找什么。

如果我们发现设备不适当或意外暴露，则有时也可以使用分段 。此过程在基础架构级别增加了保护，以在设备周围建立防波堤。本质上，如果我们将攻击者放置在另一个受保护的网络上，则攻击者可能会与该设备完全断开连接。

修补有时仍是IoT设备的一种选择。但是，它比IT同行更不常见，执行起来也更困难。在最佳情况下，可以以低风险推出配置更改，以禁用易受攻击的不需要的服务。如果确实存在补丁程序，则通常需要将设备停运才能进行补丁程序。在某些情况下，设备将需要物理访问权限才能安装补丁。固件更新失败的设备被认为是“砖状”的，通常需要将其送出进行维修。因此，修补高可用性，关键设备非常恐怖且危险，这又需要更改窗口和冗长的部署。

负责任的披露是我们在安全团队或客户发现设备中的新缺陷时所经历的长期过程。由于我们之前谈到的事情，这在物联网领域更为常见。即，它来自于市场的抢占和网络功能的快速启用。这些设备中的许多都有缺陷，一旦将它们拆开，团队便可以迅速发现它们。您可以说，这是物联网中深处的漏洞的真正“大陷阱”。

扬帆起航

到此为止，航海的隐喻变得有些可疑了。但是，声音。从工作站和服务器的相对可预测性转向保护物联网设备的安全，就像为未知的零件起航。您需要一个基于发现，优先级和补救的程序，以维持紧密的物联网。