如今，物聯網 (IoT) 已經成為我們日常生活中不可或缺的一部分。2021年《“十四五”信息通信行業發展規劃》中，就將物聯網定位為重點發展項目之一。在2022年底的媒體報道中顯示：我國移動物聯網用戶規模快速擴大，連接數達18.45億戶，比2021年底凈增4.47億戶，占全球總數的70%。來自2023年IDC的預測報告提到：“未來五年中國物聯網發展將保持平穩向好態勢。具體而言，IDC預測，2026年中國物聯網IT支出規模接近2981.2億美元，占全球物聯網總投資的1/4左右，投資規模將領跑全球。此外，中國物聯網IT支出以13.4%的五年CAGR穩定增長，增速超過全球平均水平。”
然而，隨著物聯網設備的日漸普及，近年來利用各種漏洞針對這些設備發起的網絡攻擊也不斷增加。助推這一增長的因素之一是疫情期間教育和醫療等各個部門的快速數字化轉型。這種轉型受業務連續性需求的驅動，往往在安全防護方面考慮欠妥，從而留下了一些漏洞。
網絡犯罪分子意識到，物聯網設備是網絡中最薄弱的環節之一，大多數都沒有得到適當的保護或管理。對于存在漏洞的物聯網設備（例如攝像頭和打印機）和其他此類無人管理的設備，攻擊者可通過竊取直接訪問權限和隱私信息，在企業網絡內建立初始立足點，進而在遭到破壞的網絡內猖狂活動。
在 2023 年的前兩個月，全球每個機構平均每周遭遇近 60 次物聯網設備攻擊，比 2022 年高出 41%，是 2 年前攻擊數量的三倍多。這些遭到攻擊的物聯網設備包括各種常見的物聯網設備，例如路由器、IP 攝像頭、DVR（數字視頻錄像機）、NVR（網絡視頻錄像機）、打印機等。揚聲器和 IP 攝像頭等物聯網設備在遠程辦公和學習環境中越來越常見，為網絡犯罪分子提供了大量可乘之機。
這種趨勢在全球所有區域與行業中都有體現。歐洲是目前遭受物聯網設備攻擊最多的地區，每個機構平均每周遭受近 70 次此類攻擊，其次是亞太地區（64 次），拉丁美洲地區（48 次）和北美洲地區（37 次；與 2022 年相比增幅最大，高達 58%），非洲地區每個機構平均每周遭受 34 次物聯網網絡攻擊。
教育和研究部門針對物聯網設備的攻擊次數空前激增，每個機構平均每周遭遇多達 131 次攻擊，是全球平均水平的兩倍多，比前一年驟增 34%。其他行業遭遇的攻擊次數也顯著增加，與 2022 年相比，大多數行業所遇攻擊次數都經歷了兩位數增長，如下表所示：
Check Point Research之前的報告顯示，黑客傾向于將學校視作“軟目標”，因為校園網絡上存儲了大量的個人數據，這使得學生和學校都很容易受到攻擊。向遠程學習的轉變顯著擴大了網絡犯罪分子的攻擊面，因為大量不安全的物聯網設備被引入學校網絡，為黑客入侵這些系統提供了極大便利。此外，學校在網絡安全預防和抵御技術方面的投資不足，這也使網絡犯罪分子能夠更容易地發起網絡釣魚攻擊和部署勒索軟件。
主要攻擊
雖然有數百個漏洞可用于物聯網漏洞利用攻擊，但在針對企業網絡的掃描和攻擊嘗試中，有些漏洞比其他漏洞更為常見。以下是自 2023 年初以來發現的排名前五的漏洞：
MVPower DVR 遠程代碼執行：該漏洞平均每周影響 49% 的機構。
Dasan GPON 路由器身份驗證繞過 (CVE-2018-10561)：每周影響 38% 的機構。
NETGEAR DGN 命令注入：每周影響 33% 的機構。
D-Link 多產品遠程代碼執行 (CVE-2015-2051)：每周影響 23% 的機構。
D-Link DSL-2750B 遠程命令執行：每周影響 14% 的機構。
針對物聯網設備的注入攻擊普遍存在
命令注入是物聯網設備中一個經常被利用的關鍵漏洞。攻擊者可通過向程序注入命令，竊取易受攻擊應用的權限。隨著物聯網設備的普及，該類型的漏洞已成為網絡犯罪分子的主要目標。
漏洞掃描工具被廣泛用于識別和利用 Web 應用和 API 中的漏洞。雖然這些工具有合法的用途，但攻擊者也可能將其用于惡意目的。帶外安全測試 (OAST) 和“Interact.sh.”是其中越來越流行的兩款工具。
這種掃描技術可用作過濾工具，準確定位潛在受害者。當攻擊復雜性較低時，攻擊者通常先進行掃描。在這個過程中，攻擊者會向一大群目標發送一個簡單的有效載荷，而易受攻擊的目標則會對初始請求做出響應，從而暴露漏洞。這種方法屬于 MITRE 企業矩陣（一個有關網絡犯罪分子所用攻擊戰術和技術的分層框架）中的第一步“主動掃描”。
攻擊者可通過掃描核實其攻擊目標的漏洞并確保僅攻擊目標會收到實際的惡意有效載荷。研究結果表明，在為期一周的測試期間，至少 3% 的網絡受到了這種掃描方法的影響。在物聯網設備上采用這種攻擊方法的主要漏洞利用包括：
1、NETGEAR DGN 命令注入
2、Netgear R7000 和 R6400 cgi-bin 命令注入 (CVE-2016-6277)
3、FLIR AX8 熱像儀命令注入 (CVE-2022-37061)
4、多物聯網命令注入
企業如何防范物聯網攻擊
隨著企業在日常運營中愈發依賴物聯網設備，管理者必須在保護這些設備的安全方面保持高度警覺和積極主動。可采取以下方法來提高物聯網安全性：
從信譽良好的品牌購買物聯網設備，這些品牌往往更加重視安全性，在將設備推向市場之前已在設備內部實施安全措施。
采取密碼復雜性策略，并在適用情況下使用多因素身份驗證 (MFA)。
確?；ヂ撛O備使用最新的軟件與固件，并保持良好的設備運行狀況。
為互聯資產執行零信任的網絡訪問配置。
在可能的情況下，將 IT 網絡和物聯網網絡分開。
Check Point 最近推出了 Check Point Quantum IoT Protect。這是 Quantum‘Titan’版本 R81.20 的一個組件，后者通過精準攔截最隱蔽的零日 DNS、網絡釣魚和 IoT 攻擊，革新了網絡安全防護方式。該組件可幫助組織在幾分鐘內自動發現并有效保護物聯網資產。
隨著技術的不斷進步，網絡攻擊將日趨復雜和頻繁。通過實施強有力的安全措施并及時了解最新的威脅和最佳做法，以“預防為先”作為網絡安全的主要理念，企業可以更好地保護自己及其物聯網設備免遭網絡犯罪分子的侵害。
