应对不断发展的蜂窝物联网威胁挑战

作者 | 天地和兴工业网络安全研究院

【编者按】所谓蜂窝物联网，就是蜂窝移动通信网+物联网相结合的发展产物。基于现有蜂窝网络的物联网技术已经成为万物互联的主要分支，为物与物之间的通信提供了更好的网络覆盖，支持更多联接，以及更低的终端功耗，从而满足行业、个人、家庭等领域的应用。

据统计，到2025年，联网设备的数量将是今天的三倍。蜂窝物联网安全仍然是跨行业和垂直行业大规模采用蜂窝物联网的主要挑战之一。除了蜂窝和物联网威胁汇聚在一起创造网络犯罪天堂的“双重危险”之外，蜂窝物联网由于设备类型的多功能性而很难确保安全。随着蜂窝网络上越来越多的物联网设备，网络犯罪分子正利用蜂窝和物联网的漏洞，比以往任何时候都更有效地发动攻击。因此，蜂窝物联网安全问题是最紧迫的挑战之一。

2019年，《福布斯》援引F-Secure研究报告称，物联网流量攻击增加了300%，超过29亿起事件。事实上，物联网攻击在2019年上升了900%，25%的受访公司报告在两年内与物联网安全相关的损失至少为3400万美元。

来源：F-Secure，《Attack Landscape H1 2019: IoT, SMB traffic abound》

一、蜂窝物联网部署的4个挑战

简单的说，蜂窝物联网是一种将物理设备(如传感器)与互联网连接起来的方式，它将物理设备(如传感器)与智能手机搭载在同一个移动网络上。它的基础设施简单，加上5G的出现，使蜂窝物联网成为连接领域的一个强有力的参与者。

来源：TAdviser，《Internet of Things,IoT,M2M（world market）》

1.   覆盖率、延迟和带宽

延迟和带宽以及连接可靠性都会受到极端天气条件或网络攻击等因素的影响。这些对蜂窝物联网设备连接的潜在威胁要求运营商考虑适用于每个部署的故障转移、监控和安全解决方案。但是，在考虑这些变量之前，您需要确保部署区域由能够满足项目需求的蜂窝网络覆盖。

企业和服务提供商通常局限于在其运营区域内可用的商业网络的限制。对于在农村地区开展业务的企业尤其如此，因为蜂窝电话的接收和可靠性可能非常差。协同工作的创新服务提供商和制造商可通过利用NB-IoT技术为IoT设备部署提供更大的覆盖范围并减少延迟，从而在这些情况下提供帮助。

来源：Orange Developer，《Discover Orange IoT networks and contact for subscription》

在讨论大规模物联网部署的延迟、覆盖范围和带宽时，5G网络的目标之一是扩大物联网使用的范围。

2.   电池寿命

长电池续航时间是成功部署蜂窝物联网的关键因素。考虑到许多使用案例的远程性质，充电或更换设备电池可能会导致不必要的费用，例如派遣技术人员到全球各地。NB-IoT预计将为某些设备带来长达10年的电池寿命。这极大地提高了蜂窝物联网在偏远环境中的适用性，如农业用途和发电。

大多数手机用户都知道，覆盖不良会影响电池寿命。此外，电池消耗是服务提供商需要关注的一种日益流行的蜂窝物联网攻击类型。

3.   安全性

将任何设备连接到网络后，都会使该设备面临风险。不管是电话，打印机还是蜂窝物联网传感器。黑客不仅可以访问和攻击设备本身，还可以将其用作访问企业网络的一种方式。

4.   管理和维护各种蜂窝物联网部署

大规模部署、升级和监控蜂窝物联网部署可能是一项复杂的工作。当考虑各种各样的设备类型、应用程序、部署场景和用例时就能很容易看出，任何企业都需要专业服务提供商的支持和帮助。

物联网服务提供商拥有多年的经验和熟练的劳动力，他们通常被雇佣来克服实施大型物联网项目的挑战。实际上，大多数服务提供者都提供详细的管理门户，以帮助企业掌握供应、连接状态、激活和停用，以及监视和报告等信息。他们的专业知识可以帮助缩短部署物联网项目的时间，并证明雇佣外部服务提供商的成本是合理的。

服务提供商甚至可以提供超出最初实现的价值。对于企业而言，管理蜂窝物联网需要不同于现有的资源、方法和策略。因此，企业和组织经常寻求蜂窝物联网部署的端到端管理。服务提供商可以提供一种整体的方法，来实现蜂窝物联网的管理。

来源：JT IoT，《Massive IoT projects - Cat-M1 or NB-IoT?》

二、蜂窝物联网面临的网络风险

身份泄露攻击让攻击者耗尽系统内的数据限制或旁路防火墙。例如，攻击者可以在伪装成受害者设备的同时，使用泄露的身份窃取和上传敏感的业务数据。

来源：FirstPoint

电池耗尽攻击利用IoT设备在低覆盖区域遇到的相同问题，这需要更频繁的网络连接请求。例如，黑客可以让设备更频繁地登录服务器，耗尽电池电量。

设备操纵攻击允许黑客获得对设备的控制。这些攻击通常会利用设备或网络中发现的漏洞。这些漏洞使关闭关键系统或使系统过载成为可能，从而导致故障，甚至进一步感染带有僵尸的网络。

数据窃听攻击使敏感业务数据面临风险。通过这些攻击，黑客可以“监听”正在传输的数据。如果他们愿意，这些数据可以被捕获并用于未来的攻击。

数据篡改攻击允许犯罪分子更改设备通信的数据。这可能会影响方方面面，从物联网连接的医疗设备的安全到远程管理农场中作物浇水的频率。数据篡改攻击可以更进一步，因为受危害的设备可以用作通往组织其余部分的网关。

来源：FirstPoint

拒绝服务攻击-拒绝服务(DoS)攻击旨在使设备脱机或中断服务。通常，攻击者会向设备发送大量数据并引发崩溃。例如，攻击者可以关闭生产线的特定部分。或者在设备本身继续正常操作的同时关闭设备的报告功……

位置攻击利用蜂窝通信协议中的缺陷来泄露蜂窝网络上设备的位置数据。位置跟踪使确定设备的准确位置成为可能。位置检查攻击让攻击者知道设备是否出现在特定位置。这允许恶意跟踪敏感货物，甚至在自动驾驶车辆到达所需位置时执行攻击。

三、保护蜂窝物联网部署

蜂窝物联网安全是用于保护连接到蜂窝网络的物联网设备免受网络威胁的系统或技术组合。与传统终端设备(如PC和智能手机)不同，连接到蜂窝网络的物联网设备特别容易受到基础设施和基于设备的攻击。他们面临的攻击目标是设备本身，以及他们运行的网络。

物联网设备的漏洞并不是什么新鲜事。2017年，网络犯罪分子已经在利用物联网设备来实施赌场抢劫等事情。随着物联网设备承担着更关键的任务，攻击的影响也变得更加真实。

保护物联网设备免受网络攻击的6种方法：

1. 基于硬件的物联网安全

保护硬件安全涉及分层方法，实施通常从设备设计阶段开始，并从建立信任根开始。信任根是引导过程的一部分，它确保执行的第一个操作码来自不可更改的源。

来源：PUFSecurity，《RoT: The Foundation of Security》

加密也是硬件安全的重要一层。设备制造商可以使用Trusted Platform Module来管理RSA密钥以进行加密。此模块在制造过程中安装，可帮助提供涵盖硬件验证和密码管理等内容的加密。

确保设备的物理安全是另一个经常被忽视的角度。企业必须考虑到设备可能受到物理危害的方式。如果有人能拿起设备离开，或者干脆断开连接，那么任何安全策略都没有任何价值。

2.  基于软件的物联网安全

设备的安全性在很大程度上取决于其操作系统的安全性。这适用于所有设备，而不仅仅是蜂窝物联网。理想情况下，操作系统应该能够将自己与不受信任的代码隔离，并阻止其访问安全域。它需要能够防止访问、复制或更改设备内发现的信息。此外，它必须是防篡改的，以防止不可信的调试请求。

由于理想是一个目标，而不是现实，物联网设备的操作系统经常更新，以修复可能已发现的安全问题。对于企业和物联网服务经理来说，这意味着将蜂窝物联网设备纳入公司软件更新策略。

同样值得注意的是良好的密码实践和物联网设备访问控制的作用。

3.  基于云

很多物联网设备就是这样连接的“东西”。因此，他们通常依赖基于云的服务来正常运行。这使得基于云的安全成为蜂窝物联网安全政策的一个关键部分，因为不安全的云基础设施可能导致从数据窃取到设备劫持的所有事情。

依赖云的物联网设备的一个很好的例子是任何监视或交付无人机。即使该设备能够独立处理信息，如导航指令和图像数据，它仍然可以将捕获的视频或日志传输到基于云的服务器。如果设备遭到破坏，如果不能立即遏制漏洞，则可能会危及其他设备或整个网络。

4.  基于移动网络

蜂窝网络中存在的漏洞使物联网设备受到攻击，其他蜂窝设备可以通过使用设备上的软件解决方案进行免疫。由于物联网设备整体的独特性，以及特定类型和类别设备的特性，保护物联网部署免受蜂窝攻击需要一种独特的方法和策略。检测来自外部网络和互联网的蜂窝攻击是不够的。蜂窝式数据防火墙本身也不能提供全面的解决方案。原因很清楚：这些解决方案使网络上的每个设备都容易受到来自蜂窝网络外围的危害。

考虑一下在蜂窝塔周围空中有无数个LAN端口，这些端口直接插入您的物联网设备所连接的网络。有了这些浮动的LAN端口，攻击者需要做的所有事情就是停在一个端口旁边，然后发起DoS攻击，该攻击很容易就不会被检测到，同时还会造成潜在的代价高昂的破坏。

因此，SIM级别的集中管理保护是保护单个物联网设备免受来自网络外围的攻击的唯一有效方法之一。

5.  专用APN和专用移动网络

依赖云的物联网设备的另一面是不需要连接到互联网，而只需要连接到单个现场服务器的设备。

以此类设备为主角的场景适用于专用移动网络或APN的部署，这些网络只需将网络与世界其他地方和其中的攻击者断开连接，即可提供极大的安全性。也就是说，蜂窝网络仍然容易受到对其基础设施的攻击，以及在网络物理边界内发起的攻击。

6.  5G网络切片

网络切片是5G技术的一个关键特性，它允许在一个基础设施上建立多个虚拟网络。除了使用一组天线和服务器可以做更多的事情外，网络切片还带有一些内置的安全功能。

与VPN非常相似，它提供网络和资源隔离，保护网络免受DoS攻击。可以根据使用案例和安全策略，通过防火墙配置、访问策略和数据包检查等将切片配置为不同的安全级别。

最后，由于相似的设备聚集在各自的网络切片中，因此可以更清楚地了解特定设备类型的正常行为。例如，如果一台连接的设备开始使用比其他设备更多的数据，这可能是一个很好的指示，表明有些地方不正确。

由于蜂窝物联网生态系统的多样性和复杂性，保护物联网设备需要分层的方法。没有一种安全解决方案可以覆盖网络上的所有内容。

在定义蜂窝物联网网络部署的安全要求时，请考虑风险最大的领域。然后，考虑潜在攻击类型和载体对业务运营的影响。只有在完全规划出风险之后，才能开始探索缓解风险的选择。

参考来源

[1]https://www.firstpoint-mg.com/blog/tackling-the-challenges-of-cellular-iot/

[2]https://www.firstpoint-mg.com/blog/protect-cellular-iot-from-cyber-threats/

原文来源：关键基础设施安全应急响应中心

本文始发于微信公众号（网络安全应急技术国家工程实验室）：应对不断发展的蜂窝物联网威胁挑战