消费级、商业和工业物联网（不）安全性：攻击分类法与案例研究

物联网（IoT）设备在我们的生活中正变得无处不在，其应用横跨消费领域到商业和工业系统。IoT 设备的急剧增长和广泛应用进一步强化了在设备开发生命周期中实施稳健且健全的网络安全实践的重要性。与 IoT 相关的漏洞一旦被成功利用，不仅会影响设备本身，还会影响 IoT 设备运行的应用领域。显然，识别并解决每一个漏洞是一项艰巨甚至不可能完成的任务。攻击分类法有助于对攻击及其对应的漏洞进行分类。随后可利用安全对策和最佳实践在威胁和漏洞演变成灾难性攻击之前对其进行缓解，并确保 IoT 的整体安全运行。因此，在本文中，我们提出了一种攻击分类法，该分类法考虑了 IoT 技术栈的不同层级，即设备、基础设施、通信和服务，以及每个层级可能被攻击者利用的指定特征。此外，通过针对部署在消费、商业和工业领域的 IoT 设备的 9 起真实世界网络安全事件，我们描述了与 IoT 相关的漏洞、利用过程、攻击、影响以及潜在的缓解机制和防护策略。这些（以及许多其他）事件突显了 IoT 系统的潜在安全隐患，并展示了此类互联生态系统可能遭受的攻击影响，而所提出的分类法则提供了一个系统化的流程，用于根据受影响的层级和相应的影响对攻击进行分类。