為何駭客特別愛用IoT裝置當作攻擊跳板，裝置管理權責劃分不易是主因

高達1.2Tbps流量DDoS攻擊、250萬個IoT殭屍大軍、5億個IP發動DNS查詢請求、全球75家大型影音、社交網站淪陷、近百萬臺德國電信家用路由器停擺，這些統計數字是去年下半橫行全球的殭屍網路Mirai所帶來巨大IoT安全風險挑戰。趨勢科技全球消費市場開發協理許育誠近日在臺灣資大會上，也針對了現今越來越嚴重的IoT裝置安全提出了他的解決之道，他認為企業要緩解IoT裝置攻擊威脅，應先建立IoT安全風險的正確心態。

許育誠表示，去年Mirai僵屍病毒在全球引爆一連串大規模DDoS攻擊事件，罪魁禍首就是一大群嵌入Linux作業系統的IoT裝置，如IP攝影機、CCTV攝影機、路由器等，作為殭屍網路的兵力。甚至在這之後，他們還進一步發現，IoT裝置受駭災情今年有持續擴大跡象，不少以前較少被大量操控的IoT裝置都開始被感染變成傀儡裝置的一員，如連網汽車的影音系統、智慧電視、網路儲存設備NAS等，甚至這些受IoT裝置攻擊的國家，不再以美國為主，也開始在波蘭、土耳其等地傳出災情。

駭客鎖定IoT裝置攻擊事件發生今年將會更加頻繁，許育誠也估計，今年下一波可能受到攻擊的國家，很可能會是以IoT裝置製造為主的幾個國家，如中國和東南亞等國家。「這也印證了IoT裝置安全已經到了刻不容緩，急須要被解決的地步。」他說。

許育誠指出，當傳統的嵌入式裝置開始成為連網裝置後，也代表著安全開始出現漏洞。他解釋，這是因為IoT裝置是由多層的不同技術架構而成，IoT裝置從最底層到最上層通常包含了感測器、資料處理、資料連接、軟體資訊、 智慧應用以及智慧服務，每一層都存在不同程度的潛在安全風險，而從資安的角度來看，當漏洞越來越多，就會越危險，而影響企業及消費者的使用安全。

許育誠也表示，他和資安團隊經過研究分析後發現IoT裝置一般存在有5大安全弱點，因而容易遭駭客所利用，分別是（1）IoT裝置本身已存在潛在可利用的漏洞、（2）使用不安全的網路協定、雲端及行動App服務，或是提供不安全的軟體、韌體更新、（3）仍保留不安全的網路連接埠、（4）允許未授權的系統變更，以及（5）授權/認證強度不夠及缺乏足夠安全的加密機制。

許育誠也坦言，面對IoT裝置攻擊威脅不斷，IoT廠商終究防不勝防，但即使如此，他認為，IoT廠商針對IoT安全至少必須設下最後一道防線，即是必須提供軟/韌體更新機制，以便於即使事後發現漏洞時，還可以緊急發布更新將漏洞修補，以避免影響範圍擴大。

然而，許育誠也發現到，許多IoT裝置製造商雖然都宣稱有提供裝置更新功能，但很多時候更新時並未提供韌體完整性檢查（Firmware Integrity Check），以確保資料內容不會被未經授權者所篡改，以致於韌體反而變成了駭客當作入侵企業發動攻擊前尋找漏洞的最佳分析目標，如從韌體分析中，找出企業伺服器藏身的地方或是如何進行基礎設施部署等。

為何駭客特別愛用IoT裝置當作攻擊跳板。許育誠解釋說，這有幾個主要原因，例如這些IoT裝置本身可以全天24小時連網、跟PC相比較無安全保護機制所以進入門檻低，或是任何人都可以黑市便宜價格取得IoT攻擊工具，更重要的是，他說，許多企業內部關於IoT裝置管理的權責往往劃分不易，難以認定該歸於IT人員管或是屬於維運人員負責，以致於造成自家後門大開，有了讓駭客趁機而入的機會。

許育誠也提出了強化IoT裝置安全的最佳實踐方式，企業可以遵循Invest Critical Device、Build it secure以及Keep it Secure的作法，以強化IoT裝置安全。他表示，在IoT安全投資方面，企業必須要把投資重點擺在真正該投資的IoT裝置上，而不是一味全部投資。這些IoT裝置必須是可能對公司或客戶造成影響重大的IoT關鍵裝置。此外，IoT廠商也應該建立起正確的Build it Secure心態，任何裝置只要開始連網就一定會有安全風險，所以產品出廠前就一定要提前做好安全品質的把關，才能夠將損害降到最低。

而要建立起Build it Secure的正確心態，許育誠也強調，除了要有公司高層願意支持外，過程中也必須要定期進行團隊訓練、採用審計機制，以及與第3方合作廠商的配合，才能逐步建立該有的IoT安全正確觀念。接下來，還要建立一套安全軟體開發生命周期 (Security Software Devement Life Cycle )機制，以協助有效緩解IoT裝置潛在攻擊威脅，如此才能達到基本的IoT裝置安全。

在IoT產品售出後，許育誠表示，企業更得做到隨時能保持在Keep it Secure的狀態。這就得仰賴資安廠商的協助，在這些持續運作的IoT裝置或設備中來提供企業或客戶所需的安全防護，包括了IoT裝置風險管理、系統保護、OTA定期升級，以及快速事件應變處理機制等。