2018物联网安全年报_119页_7mb

2018物联网安全年报总结

核心内容

2018年物联网安全形势严峻，物联网设备因数量庞大、易受攻击且缺乏安全防护，成为网络攻击的重要载体。本年报回顾了当年的重大安全事件，分析了物联网资产的暴露情况和变化趋势，统计了异常设备的类型和攻击行为，并深入探讨了UPnP协议栈的威胁及防范措施。报告强调了物联网安全治理的复杂性，以及多方协作的必要性。

主要观点

1. 物联网安全威胁持续增长：

   • 攻击者利用漏洞编写恶意软件，感染大量物联网设备，构建僵尸网络并发动DDoS攻击。
   • 勒索软件、恶意挖矿等攻击行为日益频繁，攻击者可通过暗网购买服务，降低攻击门槛。

2. 物联网资产暴露情况复杂：

   • 2018年全球暴露在互联网上的物联网资产总量约为5100万台，其中中国占比约20%。
   • 国内物联网资产的网络地址变化频繁，约40%的设备地址会频繁变动，而网段变化较小，仅约10%。

3. 物联网资产变化原因：

   • 主要由动态拨号方式入网导致，NAT会话超时是主要原因。
   • 国内部分运营商如中国电信、广东联通等的物联网资产变化率较高，与网络地址复用和业务模式有关。

4. 异常设备与攻击行为：

   • 异常设备以路由器和摄像头为主，占比超过94%。
   • 主要攻击类型包括DDoS攻击、僵尸网络通信、扫描探测，其中79.36%的异常设备涉及上述三种行为。

5. UPnP协议栈威胁显著：

   • 大量UPnP服务暴露在互联网上，成为DDoS攻击的潜在来源。
   • 通过UPnPoxy漏洞，攻击者可将内网服务暴露于公网，导致内网设备被攻击。

6. 恶意软件家族活跃：

   • Mirai、Gafgyt、XorDDos等恶意软件家族活跃，其中Mirai的变种IoTrop曾对金融机构发动大规模DDoS攻击。
   • Coinhive家族控制的物联网设备数量仍达2.6万台，其中MikroTik路由器占比最高。

关键信息

重大安全事件回顾

• JenX DDoSaaS：攻击者利用JenX恶意软件构建僵尸网络，提供DDoS服务，攻击峰值可达300Gbps。
• Hide'n Seek僵尸网络：感染9万台设备，利用多个远程命令执行漏洞，甚至感染安卓设备。
• IoTrop DDoS攻击：连续发动三次针对金融机构的攻击，最大攻击流量达30Gbps，80%为MikroTik路由器。
• VPNFilter恶意软件：感染约50万台设备，疑似与国家行为有关，可能用于破坏关键基础设施。
• UPnPoxy漏洞：4.5万台设备暴露内网服务，存在被攻击风险。
• MikroTik路由器挖矿事件：约20万台未更新固件的路由器被用于挖矿，导致大量算力被消耗。

物联网资产暴露与变化分析

• 资产分布：全球物联网设备中，路由器和摄像头占大多数，国内约有400万台路由器和摄像头暴露。
• 网络地址变化：约40%的物联网资产网络地址变化频繁，主要由动态拨号方式导致。
• 网段变化：约10%的网段发生变化，变化的资产主要集中在某些运营商网络中。

物联网资产风险和威胁统计

• 异常设备：约36万台设备发生异常行为，其中路由器和摄像头占94%以上。
• 开放端口：80和554端口是开放最多的端口，分别占21%和20%。
• 攻击类型：DDoS攻击、僵尸网络通信和扫描探测是最常见的攻击类型，占比达79.36%。
• 恶意挖矿：主要集中在路由器设备上，如MikroTik路由器，受感染设备数量约2.6万台。

威胁分析与建议

• UPnP服务风险：大量设备开放UPnP服务，成为攻击者利用对象，建议加强防护。
• 安全治理建议：需要从设计、制造、使用等全生命周期进行安全防护，同时加强安全监管和标准制定。
• 未来趋势预测：随着IPv6的普及，物联网设备暴露数量可能增加，但地址变化频率将降低，威胁跟踪难度也将减少。

小结

2018年物联网安全事件频发，设备漏洞、僵尸网络、DDoS攻击、恶意挖矿等威胁持续存在。物联网资产暴露情况复杂，地址变化频繁，给安全分析带来挑战。UPnP服务暴露和恶意软件家族的活跃进一步加剧了威胁。为了应对物联网安全问题，需要多方协作，从设备设计、网络防护、威胁监测等方面入手，提升整体安全水平。