这并非毫无根据的担忧：正如我们在媒体上看到的那样，越来越多的针对工厂的网络攻击案例使基础设施变得毫无用处，甚至改变其运行，从而带来风险。

我们第一次熟悉工业网络安全是在 2010 年。 Stuxnet 是一种被描述为第一个网络武器的恶意软件，它被引入伊朗核电站以延迟伊朗的核计划。 该恶意软件成功控制了浓缩铀离心机的阀门和压力传感器。

过去一年，针对关键基础设施的工业网络攻击大幅增加，攻击火力发电厂、变电站、水处理厂或输油管道。例如最近对殖民地管道或佛罗里达州为大量人口供水的水处理厂的攻击。

物联网 (IoT) 是一组使物理世界与数字世界相连的技术。通过传感器、执行器和其他所谓的物联网设备从物理世界中发生的事情收集信息，然后进行数字处理。与人体类比，物联网是数字世界的意义，也是许多寻求通过数字化流程和利用数据来改变其商业模式的工业公司迈向数字化转型的第一步。

第一步是收集数据。公司现在可以通过物联网部署连接到他们的工业设备并收集数据以做出明智的决策。其中许多物联网设备具有先进的计算能力，可以远程操作工业设备;这正是正确保护这些设备如此重要的原因。

物联网设备是非常重要的。然而，整个网络安全链中最脆弱的因素及其背后的原因是缺乏固件更新。

在个人电脑和手机等成熟领域，设备收到新版本通知和安全补丁的通知无处不在，一旦下载和安装，这些补丁可以保护智能手机和笔记本电脑免受最新漏洞的影响。

然而，在工业界，这远非常态。通常，一旦物联网设备部署在其物理环境中，它们就永远不会更新，这会显着增加陷入网络攻击的风险。

物联网设备的更新方式与我们的手机或计算机不同，主要有两个原因：

• 工业物联网市场的不成熟意味着网络安全不被视为主要需求。如果我们将促使公司开展物联网项目的所有需求都放入某种马斯洛金字塔中，那么在网络安全之前还有其他问题，而这恰恰是一个大错误。在项目开发后担心物联网安全，而不是从一开始，从设计阶段开始。
• 管理分布式、远程和极其异构的环境的复杂性。物联网的概念基于大量分布式“事物”的存在。能够确保所有这些设备都可以以高效且可扩展的方式进行更新，因此拥有安全的远程管理系统至关重要。否则，必须在本地定期更新 IoT 设备的成本将使任何特定规模的项目都不可行。

此外，物联网设备开发中缺乏标准使这种管理变得复杂，并让每个供应商来响应(或不响应)这种需求。

物联网中最常见的漏洞围绕以下几个方面：

• 使用弱密码或嵌入式密码
• 不安全的网络服务
• 使用不安全的接口
• 缺乏更新机制
• 缺乏数据存储和传输安全性
• 设备管理不到位

面对这份典型漏洞列表，OWASP等组织在其网站上发布了指南，指出在开发物联网解决方案时应考虑哪些方面以及应采取哪些保护措施。

物联网设备是安全链中最薄弱的环节。 在部署任何物联网项目时，确保它们得到充分保护是继续进行的最佳方式。

原文来自：

本文地址：//q13zd.cn/iot-safe-owasp.html编辑：向金平，审核员：清蒸github

Linux大全：

Linux系统大全：

红帽认证RHCE考试心得：