本文转载自微信公众号“数世咨询”（dwconcn）。
虽然物联网带来了新的数据收集、管理和应用方式，但它也带来了大量的 *** 安全攻击。隐患之一是TCP/IP该架构包括应用层、传输层、 *** 层和物理层。
事实上，从各个角度来看，TCP/IP结构不是为物联网设计的。尽管工程师和开发人员正试图修改或修改它TCP/IP结构扩展增加，但环境本身的复杂性，加上TCP/IP架构设计之初并没有考虑到安全性，这个过程在安全层面带来了很多挑战——有很多现实问题。
加州物联网咨询与应用公司Strategy of Things高级合伙人Benson Chan认为，TCP/IP之所以成为大隐患，是因为TCP/IP它几乎是物联网设备的基本软件组成部分，因此涉及的数量非常大。
TCP/IP为什么会成为物联网的威胁？
从最基本的层面来看，TCP/IP架构使物联网设备能够与 *** 和其他设备进行通信。这些架构是开源的，由大多数嵌入式设备和物联网组件制造商免费试用。
Chan补充道：“物联网设备制造商已内置购买TCP/IP构建代码的芯片和组件，然后用这些组件构建物联网产品。”
不幸的是，许多物联网设备制造商不知道他们的设备是否存在隐患，因为他们对芯片和组件中使用的架构没有视觉能力。此外，分析每个设备，然后找出程序错误或TCP/IP结构中的其他问题显然是不可行的。
因此，所有设备都容易受到攻击和信息泄露；设备故障、数据丢失或损坏，最终损坏品牌。同样，这也会增加 *** 安全成本。
Forescout研究经理，Danile dos Santos，认为：“TCP/IP脆弱的结构管理正成为安全社区的真正挑战。”
威胁到底是什么？
就在去年，URGENT/11和RIPPLE20一系列漏洞影响很大。AMNESIA:33其他33个漏洞影响四个常用开源TCP/IP架构——uIP、FNET、picoTCP、以及Nut/Net。这四个架构是数百万物联网设备、工业设备和 *** 设备的基本组件，包括医疗设备、工业控制系统、路由器、交换机和智能家居。攻击者可以利用这些漏洞进行远程代码执行DoS攻击，甚至强行占用设备。Forescout上个月的报告显示，150多家制造商的设备存在风险。
这些漏洞可能存在于商业组件或开源组件中。嵌入组件包括芯片级系统、连接组件、OEM物联网设备包括智能插件、智能手机、传感器、游戏手柄等；OT系统包括门禁，IP相机，协议网关，HVAC等; *** 和IT包括打印机、路由器、服务器等。
dos Santos指出，AMNESIA:33 之所以影响很大，不仅是因为有大量漏洞的设备，还有其他几个原因。其中一个原因是硬件中对开源组件的广泛和严重依赖。这些结构中的代码几乎接触到与设备交互的每个数据包，这使得这些漏洞影响到空闲设备。由于源代码将在88%的嵌入式项目中重用，这将使AMNESIA:33这类漏洞的影响数倍扩大。
Forescout报告中提到，攻击者可以通过远程代码控制目标设备DoS攻击影响其性能，最终损害业务。攻击者还可以通过信息泄露的漏洞获取敏感信息DNS目标设备以恶意网站为导向。
根据报告：“由于漏洞的广泛影响，世界上许多组织可能已经受到影响AMNESIA:33所影响。”
如何解决组织？TCP/IP结构中的漏洞
专家指出，解决方案TCP/IP架构中的隐患可以分为三个基础步骤：识别 *** 上所有的设备并意识到哪些是有隐患的、评估这些设备带来的风险——包括业务相关性、严重性、互联网暴露程度以及最终缓解评估的风险。
dos Santos补充认为：“最后一点可以通过补丁修复、 *** 划分和隔离关键设备、加强安全合规、监控 *** 中的恶意流量等多种方式实现。”
而专门针对AMNESIA:33，他建议禁止和阻止IPv6在任何可能的时候，流量都依赖于内部DNS服务器交互；由于架构中的几个协议都受到多个漏洞的影响。
同样，企业也可以依靠 *** 安全解决方案自动优化更佳实践。这包括一些更积极的 *** ，如隔离关键设备——这些设备是否存在漏洞，以减少风险暴露和限制攻击的影响。
另一方面，安全团队可以回答以下关键问题：代码是否正式？这些代码的贡献者是谁？有人在维护这些代码吗？开源代码库确实简化了编程过程，但开发者仍然需要知道代码库中存在什么——毕竟现在开发者在不了解代码内容的情况下，很容易连接到代码库。
对了，AMNESIA:33以及其他和TCP/IP物联网相关漏洞暂时不太可能消失。
Chan表示：“大部分在AMNESIA:33漏洞是由软件开发过程和管理行为不良造成的。升级软件可以解决一些问题，但关键是要知道哪些设备有受影响的结构。物联网设备制造商从供应商处购买芯片和组件，但他们不知道哪些软件。”
点评
物联网的发展是大势所趋，但传统的互联网架构和软件能否支撑物联网设备却成了疑问——答案可能不是很理想。物理 *** 设备的用户显然很难直接影响物联网设备本身的安全，但通过加强对物联网设备的控制，可以降低物联网设备风险的影响；底层设备本身的安全需要物联网制造商和芯片供应商来提高安全意识和关注，从而提供更安全的物联网设备。