根據(jù)Forescout的《2024年最危險(xiǎn)的聯(lián)網(wǎng)設(shè)備》報(bào)告，與上一年相比，含有漏洞的物聯(lián)網(wǎng)（IoT）設(shè)備激增了136%。此報(bào)告分析了近1900萬臺(tái)設(shè)備的數(shù)據(jù)，發(fā)現(xiàn)存在漏洞的物聯(lián)網(wǎng)設(shè)備比例從2023年的14%上升到2024年的33%，無線接入點(diǎn)、路由器、打印機(jī)、網(wǎng)絡(luò)電話（VoIP）和 IP 攝像機(jī)是最容易受到攻擊的物聯(lián)網(wǎng)設(shè)備類型。

約33%的物聯(lián)網(wǎng)設(shè)備存在漏洞

Forescout 安全情報(bào)副總裁 Rik Ferguson 告訴 Infosecurity，威脅行為者的主要目標(biāo)是連接到企業(yè)堆棧的物聯(lián)網(wǎng)設(shè)備，如 IP 攝像機(jī)和樓宇管理系統(tǒng)，而不是消費(fèi)類智能產(chǎn)品。

這些終端為攻擊者提供了一個(gè)巨大的機(jī)會(huì)，讓他們可以神不知鬼不覺地進(jìn)出組織系統(tǒng)。

Rik Ferguson指出：“地下論壇上分享了一些教程，介紹如何入侵并利用它們進(jìn)行橫向移動(dòng)、滲透和指揮控制，因?yàn)樵诖蠖鄶?shù)情況下，企業(yè)安全堆棧都看不到它們。”

研究人員還強(qiáng)調(diào)，醫(yī)療物聯(lián)網(wǎng)（IoMT）也是一個(gè)重大風(fēng)險(xiǎn)，這些設(shè)備中有 5% 存在漏洞。

這類設(shè)備中風(fēng)險(xiǎn)最大的是醫(yī)療信息系統(tǒng)、心電圖儀、醫(yī)學(xué)數(shù)字成像和通信（DICOM）工作站、圖片存檔和通信系統(tǒng)（PACS）以及配藥系統(tǒng)。研究人員指出，有記錄顯示，勒索軟件攻擊影響了配藥系統(tǒng)的可用性，可能導(dǎo)致患者治療延誤。

與 Forescout 的 2023 年報(bào)告相比，IoMT 在風(fēng)險(xiǎn)最高的設(shè)備類別中也超過了操作技術(shù) (OT)。

網(wǎng)絡(luò)設(shè)備是風(fēng)險(xiǎn)最高的 IT 設(shè)備類別

在今年的報(bào)告中，IT 設(shè)備占了設(shè)備漏洞的大多數(shù)（58%），盡管這一比例比 2023 年的 78% 有了顯著下降。網(wǎng)絡(luò)基礎(chǔ)設(shè)施設(shè)備（包括路由器和無線接入點(diǎn)）是最具風(fēng)險(xiǎn)的 IT 設(shè)備類別，超過了端點(diǎn)。

弗格森注意到，一些IT設(shè)備類別有所下降，而另一些則有所上升，攻擊者主要集中在無線接入點(diǎn)和路由器等通常無人管理的設(shè)備上。他指出，在過去的一年里，管理程序一直是重大入侵事件的切入點(diǎn)，勒索軟件就是專門針對(duì)這些設(shè)備而開發(fā)的。

不間斷電源 (UPS)、分布式控制系統(tǒng) (DCS)、可編程邏輯控制器 (PLC)、機(jī)器人和樓宇管理系統(tǒng) (BMS) 是在 OT 環(huán)境中發(fā)現(xiàn)的五種風(fēng)險(xiǎn)最高的設(shè)備類型?？偣灿?4% 的 OT 設(shè)備被發(fā)現(xiàn)存在漏洞。

研究人員指出，在電子和汽車制造等行業(yè)中，機(jī)器人的使用正在迅速增加，這些行業(yè)的工廠之間的聯(lián)系越來越緊密。其中許多機(jī)器人與其他 OT 設(shè)備存在相同的安全問題，包括軟件過時(shí)和默認(rèn)憑據(jù)。

物聯(lián)網(wǎng) (IoT) 設(shè)備風(fēng)險(xiǎn)最高的行業(yè)

物聯(lián)網(wǎng) (IoT) 設(shè)備平均設(shè)備風(fēng)險(xiǎn)最高的行業(yè)分別是技術(shù)（8.3）、教育（8.14）、制造（7.98）和金融（7.95）。

有趣的是，在 Forescout 的最新報(bào)告中，醫(yī)療保健行業(yè)從 2023 年風(fēng)險(xiǎn)最高的行業(yè)變成了風(fēng)險(xiǎn)最低的行業(yè)，得分為 7.25。研究人員表示，這是由于醫(yī)療保健行業(yè)去年在設(shè)備安全方面進(jìn)行了大量投資。

Ferguson 指出，醫(yī)療保健行業(yè)已經(jīng)從過去一年的勒索軟件攻擊中吸取了教訓(xùn)，關(guān)閉了攻擊者的關(guān)鍵進(jìn)入點(diǎn)，特別是減少了 Telnet 和 RDP 的暴露。

風(fēng)險(xiǎn)評(píng)分根據(jù)配置、行為和功能進(jìn)行量化，每臺(tái)設(shè)備的得分介于 1 到 10 之間。

圖源: Forescout

物聯(lián)網(wǎng) (IoT) 設(shè)備風(fēng)險(xiǎn)最高的國(guó)家

物聯(lián)網(wǎng) (IoT) 設(shè)備平均設(shè)備風(fēng)險(xiǎn)最高的國(guó)家分別是中國(guó)（7.32），其次是菲律賓（6.97）、泰國(guó)（6.96）、加拿大（6.51）和美國(guó)（6.44）。

在所分析的國(guó)家中，英國(guó)的風(fēng)險(xiǎn)得分最低，為 6 分。

圖源: Forescout

總結(jié)

總結(jié)而言，物聯(lián)網(wǎng) (IoT) 設(shè)備存在于我們生活的方方面面，尤其是在技術(shù)、教育、制造和金融等領(lǐng)域應(yīng)用非常廣泛，保護(hù)物聯(lián)網(wǎng) (IoT) 設(shè)備安全至關(guān)重要，我們需要采取各種安全防護(hù)措施，比如，采用公鑰基礎(chǔ)設(shè)施（PKI）實(shí)現(xiàn)物聯(lián)網(wǎng) (IoT)設(shè)備身份驗(yàn)證、數(shù)據(jù)訪問控制，以及確保數(shù)據(jù)保密性、信息完整性；啟動(dòng)防火墻并定期更新軟硬件，及時(shí)修補(bǔ)漏洞防止攻擊者利用漏洞入侵物聯(lián)網(wǎng) (IoT)設(shè)備；采用強(qiáng)密碼以及定期更新密碼，避免攻擊者猜中密碼控制設(shè)備，多方位助力確保物聯(lián)網(wǎng)安全。

資料參考來源：infosecurity、Forescout

相關(guān)閱讀：PKI解決方案——助力IoT設(shè)備認(rèn)證，讓企業(yè)安全地構(gòu)建、擴(kuò)展和管理物聯(lián)網(wǎng)生態(tài)系統(tǒng)