大多數企業物聯網業務都未加密

Tim Greene

Zscaler報告發現，企業內部91.5%的物聯網通信是明文的，因此很容易被竊取或篡改。

最近的一項研究表明，在受調查的數百萬企業物聯網業務中，絕大多數都是在沒有加密的情況下發送信息，數據很容易被竊取和篡改。

云安全提供商Zscaler的研究發現，通過物聯網設備進行的業務中，約有91.5%是明文的，只有8.5%經過了SSL加密。這意味著，如果攻擊者能夠攔截未加密的數據流，他們就能讀取并更改這些數據，然后就好像沒有被更改一樣，繼續發送。

研究人員查看了Zscaler云中一個月的企業數據流，目的是尋找物聯網設備的數字足跡。他們發現并分析了這段時間內5600萬個物聯網設備的業務，確定了設備類型、所使用的協議、與之通信的服務器、通信頻率以及常見的物聯網數據流模式。

研究小組試圖找出哪些設備產生的數據流最多，以及它們面臨的威脅。他們發現，1015家企業至少有一個物聯網設備。最常見的設備是機頂盒（52%），其次是智能電視（17%）、可穿戴設備（8%）、數據采集終端（8%）、打印機（7%）、IP攝像機和電話（5%），以及醫療設備（1%）。

數據采集終端雖然只占設備的8%，但產生了80%的數據流。

問題是，只有18%的物聯網設備一直使用SSL進行通信，其余82%的設備中，有一半有時候使用，一半從未使用過。研究還發現，明文HTTP被用于認證設備、更新軟件和固件，使用過時的加密庫和弱默認憑據。

報告指出，物聯網設備在企業中很常見，“但很多設備都是員工自帶的，這只是他們存在安全問題的原因之一。”如果沒有嚴格的政策和強制措施，這些設備就意味著可能出現漏洞。

員工自帶物聯網設備令人擔憂的另一個問題是，很多企業并不認為它們是威脅，因為其中沒有存儲任何數據。但如果這些設備所收集的數據傳輸不安全，就會有風險。

保護企業物聯網的五個訣竅

Zscaler建議采取以下安全防范措施：

· 將默認憑據更改為更安全的憑據。如果員工自帶了設備，那么鼓勵他們使用強密碼并讓固件保持最新狀態。

· 隔離網絡上的物聯網設備，限制入站和出站網絡數據流。

· 限制從外部網絡訪問物聯網設備，并阻止從外部訪問不必要的端口。

· 定期對物聯網設備進行安全和固件更新，保證網絡數據流的安全。

· 部署工具以便清楚的知道網絡中已存在的影子物聯網設備，從而對其進行保護。

Tim Greene是《網絡世界》的執行編輯。

原文網址

https：//www.networkworld.com/article/3396647/study-most-enterprise-iot-transactions-are-unencrypted.html