家庭物聯(lián)網(wǎng)安全

家庭物聯(lián)網(wǎng)安全2021/5/91家庭寬帶業(yè)務(wù)現(xiàn)狀當前家庭寬帶正逐步向智能化發(fā)展，以智能家庭網(wǎng)關(guān)為核心，通過物聯(lián)網(wǎng)技術(shù)將家中的各種設(shè)備連接，提供家電控制、防盜報警、環(huán)境監(jiān)測等多種功能，并通過與云端業(yè)務(wù)系統(tǒng)的緊密結(jié)合，建立起人、家庭設(shè)備與網(wǎng)絡(luò)的家庭物聯(lián)生態(tài)。智能門禁溫控系統(tǒng)中央空調(diào)客廳安防系統(tǒng)廚房CO監(jiān)測火災(zāi)監(jiān)測智能窗簾臥室換氣系統(tǒng)智能家庭網(wǎng)關(guān)照明系統(tǒng)人體監(jiān)測書房智能家庭寬帶業(yè)務(wù)特點：? 智能家庭網(wǎng)關(guān)集合光貓、路由器、智能中心為一體的智能化網(wǎng)關(guān)，不僅連接所有家庭網(wǎng)絡(luò)中的智能設(shè)備，同時是網(wǎng)絡(luò)接入的入口，是智能家庭集中管理的核心設(shè)備。? 設(shè)備更加智能智能家庭網(wǎng)絡(luò)中的聯(lián)網(wǎng)設(shè)備都擁有智能操作系統(tǒng)，提供更多智能化的業(yè)務(wù)應(yīng)用。? 各類物聯(lián)網(wǎng)技術(shù)智能設(shè)備可通過各類物聯(lián)網(wǎng)技術(shù)構(gòu)建自組網(wǎng)絡(luò)，實現(xiàn)多個設(shè)備的自動控制及遠程控制，如藍牙、Zigbee等。魔百盒云端業(yè)務(wù)平臺22021/5/92家庭寬帶安全事件分析（1）2016年10月21日，美國東海岸地區(qū)遭受大面積網(wǎng)絡(luò)癱瘓，其原因為美國域名解析服務(wù)提供商Dyn公司當天受到強力的DDoS攻擊所致。這些攻擊的主要來源是被Mirai僵尸網(wǎng)絡(luò)控制的物聯(lián)網(wǎng)設(shè)備。2016年11月27日開始，德國電信遭遇一次為期兩天的大范圍網(wǎng)絡(luò)故障，在這次故障中，超過90萬個路由器被Mirai僵尸網(wǎng)絡(luò)新的變種破壞，并由此導(dǎo)致大面積網(wǎng)絡(luò)訪問受限。問題表現(xiàn)：IOT設(shè)備存在默認口令或弱口令問題原因：Mirai變種依然會掃描網(wǎng)絡(luò)中IOT設(shè)備的Telnet服務(wù)，并使用三組常見的口令組合進行暴力破解攻擊。弱口令攻擊非主要攻擊手段。問題1：IOT設(shè)備弱口令問題2：路由設(shè)備的策略不當問題3：TR-064命令注入漏洞問題表現(xiàn)：路由設(shè)備的7547端口對互聯(lián)網(wǎng)開放問題原因：路由設(shè)備的7547端口對互聯(lián)網(wǎng)開放，暴露了TR-064服務(wù)。問題表現(xiàn)：TR-064命令注入漏洞問題原因：執(zhí)行TR-064中的命令，在設(shè)定時間服務(wù)器的時候存在命令注入漏洞，利用該漏洞打開防火墻80端口，進行遠程連接并下載mirai。德國電信事件設(shè)備默認密碼與弱口令問題：IOT設(shè)備弱口令問題表現(xiàn)：IOT設(shè)備存在默認口令或弱口令攻擊原理：Mirai會掃描網(wǎng)絡(luò)中IOT設(shè)備的Telnet服務(wù)，當Mirai掃描到Telnet服務(wù)時，會連接Telnet并通過內(nèi)置的60余個用戶名和密碼進行暴力破解，爆破成功后登錄IOT設(shè)備，并植入mirai惡意程序進行感染，將IOT設(shè)備的IP地址、端口、設(shè)備處理器架構(gòu)等信息回傳給僵尸服務(wù)器，靜默等待僵尸服務(wù)器的指令來完成攻擊。美國mirai事件威脅來源網(wǎng)關(guān)及下掛設(shè)備不強制用戶修改默認密碼，或不對用戶修改的密碼做強度校驗，導(dǎo)致大多數(shù)設(shè)備容易被黑客輕易登錄。啟動不安全的配置及服務(wù)在一些網(wǎng)絡(luò)設(shè)備及智能設(shè)備上默認開啟了一些不安全的端口及服務(wù)，黑客專門掃描帶有這些服務(wù)的設(shè)備并發(fā)起攻擊。系統(tǒng)及協(xié)議漏洞利用在一些操作系統(tǒng)及服務(wù)指令中，存在如命令注入、緩沖區(qū)溢出及執(zhí)行任意代碼漏洞，控制設(shè)備權(quán)限并執(zhí)行非法操作。32021/5/93家庭寬帶安全事件分析（2）2017年2月，Netgear數(shù)十個型號的路由器曝出嚴重安全漏洞，由于其密碼恢復(fù)流程存在缺陷，入侵者可以利用這個漏洞遠程獲取Netgear路由器的管理員密碼，從而對路由器進行遠程控制。問題：不安全的授權(quán)認證問題表現(xiàn)：存在可被繞過的授權(quán)認證邏輯問題原因：Netgear的密碼恢復(fù)流程會將用戶重定向到一個頁面，而這個頁面會暴露密碼恢復(fù)的token，如果用戶能夠在請求中提供正確的token，就能獲得路由器的管理員密碼。2015年8月21日，在HackPwn2015安全極客狂歡節(jié)上，被黑客破解之后的小米手環(huán)除了可以獲得身體特征、步數(shù)、睡眠時間等個人數(shù)據(jù)外，還使現(xiàn)場所有觀眾的小米手環(huán)實時震動。Netgear路由器漏洞小米手環(huán)破解威脅來源不安全的認證授權(quán)智能設(shè)備及業(yè)務(wù)系統(tǒng)存在弱認證或認證繞過等不安全認證因素，直接導(dǎo)致系統(tǒng)被黑客控制及利用。不安全的信息傳輸智能設(shè)備與業(yè)務(wù)系統(tǒng)或其他設(shè)備間的數(shù)據(jù)通信未采用安全加密或使用了簡單密鑰，導(dǎo)致通信的數(shù)據(jù)可被嗅探竊取。WEB漏洞+APP安全大部分智能設(shè)備由APP進行操作，且業(yè)務(wù)平臺以WEB頁面為主要展示及操控方式，采用各類WEB攻擊以及APP破解并成功，即可對設(shè)備及業(yè)務(wù)平臺進行控制操作。問題1：藍牙認證漏洞問題表現(xiàn)：認證強度低問題原因：使用非安全模式的藍牙通信，導(dǎo)致操控設(shè)備被偽冒問題2：通信未加密問題問題表現(xiàn)：通信數(shù)據(jù)可嗅探抓取，得到信號關(guān)鍵部分，破解通信密鑰問題原因：通訊信號未加密傳輸，導(dǎo)致信號被截取，并對指令分析篡改，實現(xiàn)對手環(huán)的操控2015年2月，江蘇省公安廳發(fā)布的特急通知稱，主營安防產(chǎn)品的海康威視其生產(chǎn)的監(jiān)控設(shè)備被曝嚴重的安全隱患，其設(shè)備存在SQL注入及弱口令，導(dǎo)致可被非法接入從而獲得大量敏感視頻信息，造成惡劣影響。?？怠鞍踩T”事件問題：SQL注入及弱口令問題原因：業(yè)務(wù)平臺存在WEB漏洞，以及對口令強度未做強制校驗，導(dǎo)致后臺被攻破。問題表現(xiàn)：監(jiān)控設(shè)備后臺可被輕易入侵2021/5/94家庭寬帶安全事件分析（3）2016年6月，烏云報告發(fā)現(xiàn)了大量針對包括d-link、tp-link、zte等品牌路由器的攻擊代碼，劫持者通過路由器的CSRF漏洞篡改用戶路由器的DNS設(shè)置，實現(xiàn)對用戶網(wǎng)站訪問行為的劫持，誘導(dǎo)用戶訪問惡意網(wǎng)站。問題：惡意網(wǎng)站訪問問題表現(xiàn)：路由器默認DNS被篡改，導(dǎo)致用戶使用合法域名訪問至非法網(wǎng)站。問題原因：路由器由于自身漏洞被黑客控制或可執(zhí)行遠程代碼，使得其在用戶不知情的情況下，默認DNS服務(wù)器地址被篡改，導(dǎo)致用戶訪問惡意網(wǎng)站。2015年8月21日，Cognosec公司在拉斯維加斯的黑帽大會(BlackHat)發(fā)布了一篇論文，指出ZigBee協(xié)議實施方法中的一個缺陷，黑客有可能以此危害ZigBee網(wǎng)絡(luò)，并“接管該網(wǎng)絡(luò)內(nèi)所有互聯(lián)設(shè)備的控制權(quán)”。多品牌路由器DNS劫持ZigBee網(wǎng)絡(luò)缺陷威脅來源惡意網(wǎng)站訪問攻擊者通過DNS劫持或其他手段，誘導(dǎo)用戶訪問釣魚網(wǎng)站及惡意網(wǎng)址，并引導(dǎo)其泄露個人隱私及下載惡意程序。設(shè)備自組網(wǎng)安全設(shè)備通過Zigbee等自組網(wǎng)協(xié)議，可構(gòu)建自行管理的局域網(wǎng)絡(luò)，組網(wǎng)協(xié)議的漏洞，威脅著自組網(wǎng)中各類設(shè)備的安全。問題：設(shè)備自組網(wǎng)絡(luò)安全路由器上被篡改的默認DNS問題表現(xiàn)：攻擊者可通過Zigbee默認鏈路密碼非法接入用戶設(shè)備自組網(wǎng)實施破壞問題原因：ZigBee協(xié)議標準要求支持不安全的初始密鑰的傳輸，再加上制造商對默認鏈路密鑰的使用——使得黑客有機會侵入網(wǎng)絡(luò)，通過嗅探某個設(shè)備破解用戶配置文件，并使用默認鏈路密鑰加入該網(wǎng)絡(luò)。2021/5/95家庭寬帶安全事件分析（4）Cisco多款交換機存在遠程代碼執(zhí)行漏洞烽火通信部分ONU設(shè)備可被遠程控制CIAVault7數(shù)據(jù)泄露事件后，思科通過排查，發(fā)現(xiàn)了存在于IOS/IOSXE之中CMP協(xié)議處理代碼的漏洞，可被未經(jīng)授權(quán)的攻擊者利用，提升權(quán)限并遠程執(zhí)行代碼，另外還能導(dǎo)致設(shè)備重新加載。攻擊影響范圍超過300款不同型號的交換機。烽火通信科技股份有限公司部分版本ONU設(shè)備,存在越權(quán)訪問漏洞和隱藏賬號,通過該賬戶可遠程登錄ONU設(shè)備,從而完全控制該設(shè)備。問題：CMP協(xié)議的Telnet服務(wù)漏洞問題表現(xiàn)：入侵者可以直接發(fā)送惡意構(gòu)造的CMP專用Telnet選項給設(shè)備，配置為接受Telnet連接、受到影響的思科設(shè)備會建立Telnet會話，獲得設(shè)備的完整控制權(quán)問題原因：CMP相關(guān)代碼實現(xiàn)時沒能正確將CMP專用Telnet選項限制在集群設(shè)備之間的內(nèi)部通訊，設(shè)備會接受并處理通過任意Telnet連接的相關(guān)選項。問題1：越權(quán)訪問漏洞問題表現(xiàn)：可直接登錄ONU設(shè)備問題原因：對于配置文件未設(shè)置訪問權(quán)限，無需賬號口令登錄設(shè)備即可獲取存有帳號密碼的配置文件問題2：固件中包含隱藏賬號問題表現(xiàn)：可獲取固件login帳號問題原因：能夠?qū)碳M行分析及逆向，并且隱藏帳號直接寫死在固件文件中。威脅來源telnet遠程控制網(wǎng)絡(luò)交換機存在被遠程控制、提權(quán)漏洞，可導(dǎo)致設(shè)備被遠程控制。ONU設(shè)備存在弱認證或認證繞過等不安全認證因素，可導(dǎo)致ONU設(shè)備被telnet。越權(quán)訪問ONU設(shè)備帳號直接寫死在固件中，并可被逆向，直接導(dǎo)致設(shè)備被黑客拿到root權(quán)限及利用。隱藏帳號2021/5/96用戶系統(tǒng)及服務(wù)漏洞不安全的認證授權(quán)WEB漏洞攻擊設(shè)備自組網(wǎng)風(fēng)險應(yīng)用平臺…1默認密碼及弱口令不安全的配置及服務(wù)3457用戶在使用家庭網(wǎng)絡(luò)時，家庭寬帶網(wǎng)絡(luò)的安全風(fēng)險分布在人、設(shè)備、網(wǎng)絡(luò)及業(yè)務(wù)等各個環(huán)節(jié)，嚴重威脅用戶的設(shè)備甚至財產(chǎn)安全，影響網(wǎng)絡(luò)使用體驗。家庭設(shè)備應(yīng)用平臺弱口令家庭網(wǎng)關(guān)應(yīng)用平臺1默認密碼及弱口令應(yīng)用平臺2家寬網(wǎng)絡(luò)6 信息未加密傳輸，數(shù)據(jù)泄露管理接口暴露及弱口令3 網(wǎng)元設(shè)備固件系統(tǒng)漏洞亙聯(lián)網(wǎng)118家庭網(wǎng)絡(luò)安全風(fēng)險整體視圖惡意網(wǎng)站訪問2明文數(shù)據(jù)傳輸6系統(tǒng)及服務(wù)漏洞3APP破解91不安全的配置及服務(wù)7APP主機系統(tǒng)漏洞310DoS攻擊10DoS攻擊2021/5/97傳統(tǒng)防護手段不足及解決方案思考由于家寬網(wǎng)絡(luò)的安全涉及各方的安全責(zé)任，僅靠運營商使用傳統(tǒng)的防護手段，已無法滿足從用戶到設(shè)備再到平臺整體的家寬業(yè)務(wù)安全防護要求，亟需要新的防護手段保障家寬網(wǎng)絡(luò)安全。安全風(fēng)險傳統(tǒng)防護手段不足解決方案思考默認密碼與弱口令無法對設(shè)備側(cè)的弱口令進行檢測基于設(shè)備認證協(xié)議，對在網(wǎng)設(shè)備進行弱口令檢測啟動不安全的配置及服務(wù)無法對配置及服務(wù)的安全性進行檢測，即使被利用也無法知曉?研究各項配置及服務(wù)的安全性?對各類服務(wù)的惡意探測行為進行發(fā)現(xiàn)系統(tǒng)及協(xié)議漏洞利用現(xiàn)有漏洞發(fā)現(xiàn)和修復(fù)機制缺失，且存在大量未知漏洞無法感知?研究系統(tǒng)及協(xié)議漏洞，構(gòu)建漏洞庫?對網(wǎng)絡(luò)中的漏洞利用行為進行發(fā)現(xiàn)不安全的認證授權(quán)無法對設(shè)備側(cè)的認證機制進行檢測，存在繞過風(fēng)險基于操作行為的流量及日志，對違規(guī)的操作行為進行發(fā)現(xiàn)并阻止不安全的信息傳輸通過關(guān)鍵詞匹配，在一定程度上可防護敏感信息外泄提供更全面的敏感信息傳輸通道WEB漏洞可滿足部分WEB攻擊防護的需求整合安全能力，提供關(guān)聯(lián)性綜合方案APP破解缺少APP檢測及加固技術(shù)，無法保證公開的APP的安全性使用APP應(yīng)用安全檢測及APP加固技術(shù)，全方位保證APP的安全性惡意網(wǎng)站訪問無惡意域名庫，也無法獲取用戶的訪問行為通過對DNS日志進行解析，獲取用戶的域名訪問情況，并結(jié)合惡意域名庫實現(xiàn)對惡意域名訪問行為的甄別自組網(wǎng)安全問題由于不能加入自組網(wǎng)絡(luò)，所以無法檢測自組網(wǎng)里設(shè)備的攻擊行為通過檢測自組網(wǎng)內(nèi)設(shè)備的外發(fā)流量，確定是否包含惡意設(shè)備DoS攻擊設(shè)備側(cè)無法感知正在發(fā)起攻擊的DoS流量通過在設(shè)備側(cè)、網(wǎng)絡(luò)側(cè)部署流量監(jiān)控設(shè)備，實時分析網(wǎng)絡(luò)流量，已發(fā)現(xiàn)惡意攻擊行為2021/5/98家庭物聯(lián)網(wǎng)安全解決方案家庭安全使能平臺安全態(tài)勢感知漏洞檢測 安全加固安全認證 安全通道密鑰管理…家庭網(wǎng)關(guān)智能家庭設(shè)備安全網(wǎng)絡(luò)應(yīng)用平臺n物聯(lián)網(wǎng)安全組件安全認證安全通道密鑰管理通過構(gòu)建“端、管、云”三方面的的安全解決方案，為設(shè)備商、接入平臺及業(yè)務(wù)平臺提供系統(tǒng)化安全能力。端 管 云應(yīng)用平臺1SDK安全芯片物聯(lián)網(wǎng)安全產(chǎn)品包括物聯(lián)網(wǎng)通用安全組件、安全網(wǎng)絡(luò)、物聯(lián)網(wǎng)安全使能平臺SEP兩部分? 物聯(lián)網(wǎng)通用安全組件：通過軟件SDK方式與物聯(lián)網(wǎng)設(shè)備設(shè)備集成，實現(xiàn)終端設(shè)備安全保護功能? 家庭安全使能平臺SEP：集中實現(xiàn)安全管理功能，包括設(shè)備認證、密鑰管理、安全態(tài)勢感知、漏洞檢測功能? 安全網(wǎng)絡(luò)：通過為網(wǎng)絡(luò)內(nèi)業(yè)務(wù)提供安全傳輸通道、安全接入隔離及流量清洗功能，保障數(shù)據(jù)及業(yè)務(wù)的通道安全2021/5/99功能一：物聯(lián)網(wǎng)安全認證，實現(xiàn)設(shè)備互聯(lián)互通統(tǒng)一設(shè)備身份標識，建立用戶群組+設(shè)備群組+平臺的融合認證模型，形成物聯(lián)網(wǎng)認證體系設(shè)備群組用戶群組HOMEID? 高安全? 統(tǒng)一帳號? 權(quán)限控制? 安全互聯(lián)2021/5/910功能二：安全的密鑰管理，降低攻擊風(fēng)險提供密鑰協(xié)商能力，實現(xiàn)設(shè)備及業(yè)務(wù)密鑰的產(chǎn)生、分發(fā)和管理，解決設(shè)備弱口令問題。為數(shù)據(jù)在存儲、傳輸?shù)雀鳝h(huán)節(jié)的安全提供密鑰基礎(chǔ)平臺側(cè)

安全的密鑰協(xié)商及管理

安全的密鑰分發(fā)設(shè)備側(cè)

密鑰初始化，一設(shè)備一密鑰；

密鑰派生，滿足業(yè)務(wù)需求應(yīng)用平臺應(yīng)用平臺1傳輸加密應(yīng)用平臺2設(shè)備用戶群組家庭安全使能平臺信息安全存儲密鑰協(xié)商加密傳輸密鑰分發(fā)2021/5/911構(gòu)建端云聯(lián)動的數(shù)據(jù)分析態(tài)勢感知體系、實時分析和阻斷網(wǎng)絡(luò)攻擊，追溯攻擊源，為物聯(lián)網(wǎng)設(shè)備提供安全防護To最終用戶

設(shè)備行為可視化展示；

異常行為實時阻斷、告警；To業(yè)務(wù)運營方及第三方合作伙伴

安全態(tài)勢分析、預(yù)測、對于異常流量預(yù)警；

反饋設(shè)備行為給業(yè)務(wù)平臺，升級安全模型、攻擊溯源；

安全態(tài)勢可視化展示；功能三：安全態(tài)勢感知及威脅處置，提高應(yīng)急響應(yīng)能力您的攝像頭在進行異常數(shù)據(jù)傳輸，已為您阻斷運維人員安全模型異常行為上報互聯(lián)網(wǎng)異常行為異常流量2021/5/912功能四：漏洞檢測及加固防護，保護合作伙伴軟資產(chǎn)2b.應(yīng)用加固業(yè)務(wù)平臺APP設(shè)備固件家庭