面向物聯網自動化滲透測試的威脅攻擊研究

摘? 要：物聯網即“萬物相連的互聯網”，是利用互聯網延伸與擴展，實現頻射識別、紅外感應、全球定位系統、激光掃描器等設備的互聯通信。物聯網體系結構復雜，各組件安全問題突出，傳統人工測評方式難以適用。目前，以攻擊者視角來研究如何整體評估物聯網生態安全的報道較少。文章以威脅建模為導向，基于物聯網組件分解理論，定義并識別出所有可能的攻擊面，提出一種綜合評估物聯網生態系統安全方式，為自動化滲透測試提供適當的切入點。

關鍵詞：物聯網;攻擊面;自動化滲透測試;威脅建模

中圖分類號：TP391.44;TN929.5? ? ? ?文獻標識碼：A 文章編號：2096-4706（2020）01-0171-03

Abstract：IoT（internet of things） is the considered as the internet of all the things. According to the extension and expansion of internet，the information sensing devices such as frequency identification，infrared sensors，GPS，laser scanner and so on，are able to interconnect with each other. As a new technology production，the architecture of the internet of things is extremely complex，and the security of various components is particularly prominent. Therefore，it will be difficult to carry out the traditional manual evaluation method. At present，there are relatively few studies on the overall assessment of ecosystem security of the internet of things from an attackers perspective. In this paper，based on threat modeling，component decomposition theory based on internet of things，and then give a suggestion of identifying all the referring possible attack surfaces，and form a method of how to estimate the IOT ecosystem security assessment. It will be supposed to provide an appropriate entry point for automated penetration testing in the future research.

Keywords：internet of things;attack surfaces;automated penetration testing;threat modeling

0? 引? 言

物聯網（IoT，internet of things）是新型信息技術的重要組成部分，它本質上是對傳統網絡的進一步延伸與擴展，通過將各種信息傳感設備與互聯網相結合，實現任何時間、任意地點的人、機、物的互聯互通[1]。物聯網具有整體感知、可靠傳輸和智能處理的特性要求，是由各種組件進行的大規模、復雜化的配置與融合，針對這些特征，安全應用亦將面臨著規模復雜、綜合交互的新型挑戰。

滲透測試是通過模擬攻擊的方式，評估互聯網或系統安全的常規性方法，與黑客攻擊的非法性目標不同，其旨在提供系統中可以被攻擊者利用的漏洞清單及修復建議，以提高系統的整體性安全。按照PTES（滲透測試執行標準）的規定內容[2]，滲透測試過程可分為前期交互、情報搜集、威脅建模、漏洞分析、漏洞攻擊、后滲透以及撰寫報告7個階段，而威脅建模又是其中至關重要的環節，該環節根據已獲取信息識別出可能存在的攻擊矢量，指引后續漏洞挖掘與驗證的執行。

截至當前，針對物聯網安全方面的研究，往往是將對物聯網設備的探究分析、模擬攻擊及防御方法作為重點關注對象，而極少以攻擊者為第一視角提供評估物聯網生態系統整體安全性的方法。此外，盡管滲透測試是一種廣泛使用的方法，但如繼續沿用于物聯網安全研究中，將會耗費大量的人力、物力、財力及時間成本，因此物聯網安全滲透測試的發展將會是更加自動化、智能化的。

當前滲透測試的工作對象普遍以Web應用系統和移動應用為主，而針對物聯網、大數據、人工智能、云應用等新形態的滲透測試研究也勢在必行。與傳統滲透測試模式不同，這些新興應用規模龐大、結構復雜，其所涉及的安全問題也異常突出，為了適應這些新變化，新的滲透測試模式與方法也急需形成并于實踐中運用。本文中，我們的研究基于物聯網自動化滲透測試的威脅建模，通過逐步分解來定義和識別出物聯網生態系統中所有可能的安全攻擊面，從而提出一種整體評估物聯網安全性的可行方式，為實現后續的自動化滲透測試提供適當的切入點。

1? 物聯網安全

相較于傳統互聯網，物聯網安全防御更為繁雜，因其結構化的組合特性，會涉及更多的安全漏洞或攻擊面。因此，傳統的網絡安全解決方案無法全方位覆蓋至物聯網安全各方面。按照中國電信和綠盟科技公司聯合發布《2017物聯網安全研究報告》中的相關內容，物聯網安全架構可以被分為感知層、網絡層和應用層：

（1）感知層安全。感知層也常被稱為識別層或物理層，主要負責信息采集及傳輸，是物聯網全面感知的核心能力。信息采集技術包括傳感器、條碼、二維碼、RFID射頻、音視頻等多媒體信息，而信息傳輸通常指的就是實現這些設備之間相互通信的傳感器網絡。基于客觀因素的考慮，物聯網設備被設計成只具有有限的計算、通信和存儲能力，往往難以直接在其上面運用復雜的安全技術，通常會涉及到的防護技術和措施主要有物理安全、硬件安全、接入安全、操作系統安全、數據安全、網絡安全、應用安全等。

（2）網絡層安全。網絡層主要負責感知層與應用層之間的信息傳輸，目前物聯網中采用的網絡接入技術仍然是常用的幾種，如無線局域網、蜂窩移動網、自組網等多種異構網絡。雖然傳統網絡的安全機制依舊適用于物聯網，但畢竟物聯網的網絡環境更為復雜，所要面臨的網絡安全問題也相對更加繁多，例如針對網絡安全勢態感知、物聯網專有網絡協議等方面。

（3）應用層安全。目前物聯網領域中主要存在兩種形式的Web應用，即混合云模式和獨立嵌入式服務器模式。混合云模式通常包含廠家或服務提供商的SaaS服務，與嵌入式固件中的Web應用程序建立并實現數據同步。每套混合模式框架都包含第三方市場，其中也涉及各種類功能插件，這種移動框架在帶來便利性同時也隱藏著諸多安全隱患。獨立的嵌入式服務應用則是為特定系統而開發的，例如采用C、Swift、Java等原生語言編寫，因此原生應用的安全也往往取決于開發人員對原生平臺語言的熟悉程度，這在實際中往往是難以把控的[3]。

2? 滲透測試

根據OWASP物聯網滲透測試項目相關內容[4]，物聯網自動化透測試主要分為四個階段，即信息收集、漏洞分析、漏洞挖掘和報告形成。

2.1? 信息收集

信息收集是初始階段但尤為關鍵的環節，滲透測試是否能夠成功執行，很大程度上取決于從其所依賴三層結構中探測到的可用信息。

（1）感知層：在感知層中，有必要收集到的物理環境信息包括但不局限于節點位置、節點類型、節點范疇、連接方式、通信協議、拓撲結構、操作系統、功率、保護機制、節點脆弱性、傳輸協議脆弱性等。

（2）網絡層：與傳統滲透測試基本一致，所收集的信息大致為網絡類型、連接方式、保護機制、傳輸協議脆弱性等。

（3）應用層：盡管物聯網應用場景極為廣泛，但針對其在應用層的信息收集工作基本相同，譬如服務器類型、訪問端口、配置信息、應用程序報錯或泄露等信息。

2.2? 漏洞分析

基于已獲知的信息，確定測試執行目標及計劃，分析并識別出可行的攻擊途徑，考慮如何取得目標系統的訪問權。

2.3? 漏洞挖掘

根據之前已識別出的攻擊路徑和目標，實施對漏洞的挖掘與驗證。

2.4? 報告形成

報告是滲透測試過程中最為重要的因素，以報告文檔展現滲透測試過程所發現的安全漏洞和弱點，為漏洞修復提供依據指引，是滲透測試工作真正價值的體現。

3? 威脅攻擊研究

威脅建模是一種深入分析應用程序安全性的有效方法，它通過提供上下文和風險分析來識別、量化、定位和捕捉應用相關安全風險。當評估物聯網安全性問題時，往往建立威脅模型是極有必要的，它還能夠幫助指引滲透測試的執行過程，有助于消除物聯網中存在的安全隱患。

威脅建模通常分為3個步驟，即應用分解、威脅確定和對策解讀。本節內容是基于已提出的BDI建模[5]，從攻擊面角度分解物聯網系統，從而提供可被識別的潛在安全威脅攻擊面，旨在為后續確定對策和緩解措施提供參考依據。

以攻擊者視角將物聯網，按照攻擊面分解各應用組件，可分為生態系統、設備內存、設備物理接口、設備Web界面、設備固件、網絡服務、管理界面、本地數據存儲、云Web界面、第三方后端APIs、更新機制、移動應用程序、供應商后端APD、生態系統通信、網絡流量、認證與授權、隱私和硬件。根據OWASP物聯網滲透測試項目中定義內容[6]，分解出各攻擊面所涉及自動化滲透測試的關聯威脅漏洞如表1所示。

4? 結? 論

物聯網生態系統已逐漸演化成為一種融合了傳統網絡、傳感器、無線網絡、普適計算、云計算等信息與通信技術的完整信息產業鏈，其涉及的終端規模龐大、業務面廣、技術標準規范分散等問題，對物聯網安全評估帶來了極大的挑戰。

針對物聯網生態系統的安全現狀，本文按照感知層、網絡層、應用層的結構劃分，簡析并對比了其各自與傳統網絡安全方面的差異性;建議采用自動化滲透測試方法進行全方位評估;以BDI建模思想作為指引，系統性梳理并形成其涉及攻擊面有可能出現的威脅漏洞清單，旨在為后續自動化滲透測試的進一步研究提供可行的輸入及依據參考切入點。

參考文獻：

[1] JUN Q，PO Y，XU L，等. Advanced Internet of Things for Personalised Healthcare System：A Survey [J].Pervasive & Mobile Computing，2017（41）：132-149.

[2] OWASP.IoT Attack Surface Areas Project.” [EB/OL].[2019-11-06].https：//www.owasp.org/index.php/IoT Attack Surface Areas.

[3] DENIS M，ZENA C，HAYAJNEH T. Penetration testing：Concepts，attack methods，and defense strategies [C]//2016 IEEE Long Island Systems，Applications and Technology Conference （LISAT），IEEE，2016.

[4] CHU G，LISITSA A. Penetration Testing for Internet of Things and Its Automation [C]//IEEE 16th International Conference on Smart City，At Exeter，United Kingdom，2019.

[5] 趙旭赟，宋彬，阮長明，等.基于BDI的多Agent復雜系統建模方法 [J].信息技術，2015（10）：121-123.

[6] OWASP China，OWASP IoT項目，OWASP IoT Top 10 2018 [EB/OL].[2019-11-06].http：//www.owasp.org.cn/owasp-project/owasp-things.

作者簡介：馮偉（1987.03-），男，漢族，湖北黃岡人，工程師，碩士，研究方向：Web應用安全滲透測試、自主Web服務組合。