Với sự gia tăng về số lượng các thiết bị kết nối kỹ thuật số, ngày càng nhiều dữ liệu được thu thập. Và, đó lần lượt được tăng vectơ tấn công. Những kẻ tấn công khai thác lỗ hổng trong các thiết bị IOT để ăn cắp dữ liệu nhạy cảm của chúng ta và xâm nhập sự riêng tư của chúng ta
Nhưng, chúng ta có thể ngăn chặn điều đó? chúng tôi có thể đảm bảo sự an toàn của dữ liệu nhạy cảm thu thập từ chúng tôi bằng các thiết bị IOT?
Hãy hiểu chi tiết hơn những gì các vấn đề bảo mật của thiết bị IOT là gì và cách tốt nhất chúng ta có thể giải quyết chúng.
Mối quan tâm an ninh của thiết bị IOT
Tội phạm mạng có thể tấn công các thiết bị IOT trong một số cách. Họ có thể khai thác lỗ hổng của giao diện web không an toàn, giao diện điện toán đám mây, thiếu mã hóa hoặc họ có thể tận dụng lợi thế của cơ chế xác thực yếu để liệt kê các tài khoản người dùng và ăn cắp dữ liệu nhạy cảm hoặc làm cho các cuộc tấn công DoS.
Hãy hiểu nhau của họ một cách chi tiết hơn.
xác thực không an toàn
Nếu cơ chế xác thực là không đủ an toàn, kẻ tấn công có thể khai thác đó để truy cập trái phép các tài khoản người dùng và ăn cắp dữ liệu nhạy cảm. Có một số cách có thể xảy ra. Ví dụ,
- Nếu tên người dùng mặc định và mật khẩu không thay đổi đúng, kẻ tấn công có thể tận dụng lợi thế đó để đạt được quyền truy cập trái phép các tài khoản người dùng.
- Những kẻ tấn công có thể tận dụng lợi thế của các mật khẩu yếu để đạt được quyền truy cập trái phép của các thiết bị.
- Nếu các thông tin người dùng thu thập không được mã hóa đúng cách, kẻ tấn công có thể lợi dụng điều đó và nắm bắt chúng cho mục đích xấu.
- Những kẻ tấn công có thể liệt kê các tài khoản người dùng để truy cập các thiết bị IOT
Không nghi ngờ gì nữa, điều này có thể dẫn đến mất dữ liệu hoặc dữ liệu bị phá hoại. Nó thậm chí có thể dẫn đến từ chối truy cập hoặc tiếp quản thiết bị hoàn chỉnh.
Phòng ngừa
Chúng tôi có thể mất một vài bước để ngăn chặn kiểu tấn công này:
- Hãy chắc chắn rằng để thay đổi thông tin mặc định tại thời điểm thiết lập ban đầu của các thiết bị.
- Mật khẩu cần phải được giữ đủ mạnh. Người dùng không nên được cho phép để thiết lập mật khẩu yếu.
- Thông tin, bất cứ khi nào chúng được thu thập từ người dùng, nên được mã hóa sử dụng thuật toán mã hóa đủ mạnh. thông tin rõ không bao giờ nên được truyền tải trên mạng.
- Account lockout cần được thực hiện, do đó, tài khoản người dùng bị khóa ngay lập tức sau khi một số lượng nhất định cố gắng đăng nhập thất bại.
- Chúng ta cần phải thực hiện các cơ chế phục hồi mật khẩu chắc chắn được thực hiện an toàn.
- Chúng ta cần phải chắc chắn rằng, khi một thiết bị được cắm vào mạng, nó xác nhận chính nó trước khi nó bắt đầu gửi hoặc nhận dữ liệu.
Giao diện web dễ bị tổn thương, giao diện di động và Cloud Interfaces
Những kẻ tấn công có thể khai thác giao diện web không an toàn, giao diện điện thoại di động và các giao diện điện toán đám mây để ăn cắp dữ liệu nhạy cảm trong một số cách:
- Những kẻ tấn công có thể khai thác lỗ hổng bảo mật trong các điện thoại di động, trang web hoặc đám mây giao diện làm phát sinh bạo SQL Injection, Cross Site Scripting hoặc các cuộc tấn công CSRF và ăn cắp dữ liệu người dùng nhạy cảm.
- Nếu giao diện web không thực hiện đúng HTTPS, kẻ tấn công có thể khai thác đó để ăn cắp dữ liệu nhạy cảm không được mã hóa truyền.
- Những kẻ tấn công có thể khai thác lỗ hổng trong ứng dụng di động, giao diện điện toán đám mây hoặc giao diện web để liệt kê các tài khoản người dùng và truy cập trái phép của các thiết bị.
- Những kẻ tấn công có thể sử dụng điện thoại di động, trang web hoặc đám mây giao diện không an toàn để truy cập trái phép vào tài khoản người dùng khai thác mật khẩu yếu hoặc các thông tin mặc định.
Phòng ngừa
Vài bước có thể cần để ngăn chặn điều này:
- Web, Cloud và giao diện điện thoại di động cần được kiểm tra đúng như vậy mà chúng không chứa bất kỳ SQL Injection, XSS hoặc CSRF lỗ hổng.
- giao diện Web nên thực hiện HTTPS bất cứ nơi nào có thể.
- Tường lửa ứng dụng Web nên được sử dụng để bảo vệ các giao diện web.
- Web, điện toán đám mây và các giao diện điện thoại di động nên chắc chắn rằng các mật khẩu yếu không được phép và các thông tin mặc định được thay đổi trong quá trình thiết lập ban đầu.
- Web, điện toán đám mây và di động giao diện cũng nên thực hiện cơ chế tài khoản để khóa để nó tạo ra nhiều khó khăn cho những kẻ tấn công để liệt kê các tài khoản người dùng.
- 2 yếu tố xác thực nên được thực hiện bất cứ nơi nào có thể.
- Web, điện thoại di động hoặc điện toán đám mây giao diện nên sử dụng mã hóa vận chuyển thích hợp cho dữ liệu truyền đi.
- Nó luôn luôn tốt hơn là để thực hiện bức tường lửa và IPS.
Dịch vụ mạng dễ bị tổn thương
Những kẻ tấn công có thể khai thác các dịch vụ mạng dễ bị tổn thương trong các cách sau:
- Những kẻ tấn công có thể khai thác lỗ hổng bảo mật trong các dịch vụ mạng để thâm nhập tấn công như lỗi tràn bộ đệm hoặc các cuộc tấn công DoS.
- Những kẻ tấn công có thể tận dụng lợi thế của các cổng mở để thu thập thông tin về các thiết bị, để họ có thể lập kế hoạch cho các cuộc tấn công nhiều hơn.
- Những kẻ tấn công thậm chí còn có thể khai thác cổng mở thông qua UPnP hoặc khai thác các dịch vụ UDP.
Phòng ngừa
Chúng ta có thể ngăn chặn kiểu tấn công này trong một số cách:
- Chúng ta cần phải đảm bảo chỉ có các cổng cần thiết là mở và tiếp xúc với bên ngoài.
- Chúng tôi cần phải chắc chắn các cổng mạng hoặc dịch vụ không được tiếp xúc với internet thông qua UPnP.
- Một số công cụ tự động có thể được sử dụng để đảm bảo các lỗ hổng trong các dịch vụ mạng được phát hiện và giảm thiểu.
Thiếu Mã Hóa Encryption
Nếu dữ liệu trong quá cảnh không được mã hóa đúng cách, kẻ tấn công có thể tận dụng lợi thế đó để ăn cắp dữ liệu nhạy cảm.
Thông thường, lưu lượng mạng của thiết bị IOT không được tiếp xúc với bên ngoài mạng. Nhưng, nếu các mạng không dây không được cấu hình đúng cách, nó có thể làm cho người trên mạng internet có thể nhìn thấy bất cứ ai trong phạm vi của mạng không dây. Và, có thể dẫn đến sự thỏa hiệp hoàn thành của các thiết bị hoặc tài khoản người dùng.
Nếu giao thức mã hóa thích hợp như SSL / TLS không được sử dụng, những kẻ tấn công có thể dễ dàng nắm bắt các dữ liệu trong quá cảnh và khai thác đó cho mục đích xấu.
Phòng ngừa
- Chúng ta cần phải đảm bảo thông tin liên lạc giữa các thiết bị và mạng Internet được mã hóa bằng cách sử dụng giao thức mã hóa thích hợp như SSL / TLS.
- Nó luôn luôn là tốt hơn để sử dụng các tiêu chuẩn mã hóa được chấp nhận và tránh các giao thức mã hóa độc quyền.
- Nó luôn luôn là tốt hơn để sử dụng tường lửa với các thiết bị.
Vấn đề Bảo mật
Do thiếu sự bảo vệ thích hợp của dữ liệu, kẻ tấn công có thể nắm bắt dữ liệu nhạy cảm và cá nhân được thu thập bởi các thiết bị, mà không có nghi ngờ làm tăng mối quan tâm riêng tư. Để ngăn chặn điều này, chúng ta có thể mất một vài bước sau:
- Chúng ta cần phải xác định tất cả các loại dữ liệu đang được thu thập bởi các thiết bị, ứng dụng di động, giao diện web hoặc các giao diện điện toán đám mây. Chúng tôi cần phải chắc chắn để chỉ thu thập dữ liệu là cần thiết.
- Số liệu thu thập phải được bảo vệ đúng cách sử dụng mã hóa trong khi truyền tải
- Chỉ có cá nhân có thẩm quyền phải có quyền truy cập vào dữ liệu cá nhân.
- Chúng ta cần phải đảm bảo duy trì chính sách dữ liệu thích hợp được đặt ra, cá nhân được lựa chọn để thu thập dữ liệu vượt quá những gì là cần thiết cho hoạt động của các thiết bị.
nếu cấu hình an ninh không đủ
Lỗ hổng này tồn tại nếu các thiết bị hạn chế hoặc không có khả năng làm thay đổi kiểm soát an ninh hoặc các giao diện web không có tùy chọn để tạo quyền sử dụng và không thể thực thi sử dụng mật khẩu mạnh. Những kẻ tấn công có thể lợi dụng điều này để khai thác các lỗ hổng trong các thiết bị để ăn cắp dữ liệu nhạy cảm hoặc làm cho các cuộc tấn công nhiều hơn.
Phòng ngừa
Chúng tôi có thể mất một vài bước để giải quyết này.
- Chúng ta cần đảm bảo người sử dụng bình thường được tách ra từ người dùng quản trị và nguyên tắc đặc quyền tối thiểu được thi hành. tùy chọn mật khẩu bảo mật cần được làm sẵn.
- Tùy chọn mã hóa cần được làm sẵn để mã hóa dữ liệu nhạy cảm được thu thập bởi các thiết bị.
- Chúng ta nên cho phép khai thác của các sự kiện an ninh.
- Người dùng sẽ được thông báo về các sự kiện an ninh.
Phần mềm không an toàn / Firmware
thiết bị IOT nên có khả năng sẽ được cập nhật khi lỗ hổng được phát hiện. Nhưng, nếu các tập tin cập nhật không được bảo vệ, họ có thể bị bắt bởi những kẻ tấn công và khai thác cho mục đích xấu. Những kẻ tấn công có thể chụp các tập tin cập nhật không được mã hóa hoặc có thể thực hiện cập nhật độc hại của riêng mình thông qua DNS Hijacking.
Đây là loại tấn công có thể xảy ra vì một số lý do, như:
- cập nhật các tập tin không được mã hóa
- cập nhật không được xác nhận trước khi chúng được áp dụng
- firmware chứa thông tin nhạy cảm như các thông tin hardcoded
- không có chức năng cập nhật đúng
Phòng ngừa
Chúng ta có thể ngăn chặn điều này trong một số cách:
- Tất cả các thiết bị phải có khả năng được cập nhật.
- Cập nhật các tập tin cần được mã hóa.
- Cập nhật file không được chứa bất kỳ dữ liệu nhạy cảm.
- Chúng ta cần phải chắc chắn rằng bản cập nhật được chữ ký và xác nhận trước khi chúng được áp dụng.
- Chúng tôi phải đảm bảo các máy chủ cập nhật được an toàn.
- Chúng ta cần phải chắc chắn rằng, khi điện được giới thiệu lần đầu vào các thiết bị, tính xác thực và tính toàn vẹn của phần mềm trên các thiết bị đều được kiểm tra sử dụng chữ ký kỹ thuật số mã hóa tạo ra.
Bảo mật vật lý kém
Những kẻ tấn công có thể khai thác truy cập vật lý của hệ thống cũng làm phát sinh bạo tấn công. Họ có thể sử dụng cổng USB, thẻ SD hoặc lưu trữ khác có nghĩa là để truy cập vào hệ điều hành và dữ liệu được lưu trữ trong các thiết bị và khai thác đó cho mục đích xấu.
Phòng ngừa
Chúng tôi có thể chắc chắn như sau:
- Chúng ta cần phải làm cho vừa đảm bảo lưu trữ dữ liệu có thể không được dễ dàng loại bỏ.
- Chỉ có các cổng bên ngoài và cổng USB đó là cần thiết nên được sử dụng.
Không nghi ngờ gì nữa, với đủ những nỗ lực của chúng ta có thể giải quyết những vấn đề bảo mật và làm cho các thiết bị của chúng ta an toàn hơn. Vì vậy, phải nhận thức được vấn đề bảo mật và cơ chế phòng chống khác nhau, do đó các thiết bị và dữ liệu thu thập được bảo vệ một cách tốt nhất. Và, giữ an toàn, luôn bảo đảm.
0 Comments:
Đăng nhận xét