如何保护我的房屋免受IoT设备被入侵并用于DDoS攻击？

13

我试图了解我的家用物联网设备的漏洞。据我了解，去年的大型DDoS是由具有通用或默认用户名和密码的物联网设备受损造成的。

我所有的物联网设备都在防火墙后面（例如恒温器-霍尼韦尔）。

他们连接到Internet，但仅传出。我没有端口转发设置。

如果我所有的IoT设备都在路由器的防火墙后面，并且我没有任何端口转发到这些设备，那么使用默认的用户名和密码会有什么风险？

smart-home security routers

— 兰迪
source

7

您听说过的病毒可能是Mirai。

最近，我们遇到了一些问题，可能有助于阅读上下文，因为您的问题涵盖了以下几个方面：

从理论上讲，如果您的路由器阻止所有传入连接，那么Mirai进入和感染设备的难度将大大增加。Mirai公开可用的源代码似乎表明它只是将数据包发送到尽可能多的IP，如果有答复，它将随机尝试它知道的默认密码。如果您有兴趣，我之前已经写了一个答案。

我担心的是，如果Mirai仅通过一台配置错误或不安全的设备设法进入了您的家庭网络，它将使您所有的防火墙和安全性都失去作用。Mirai的IP范围之一是192.168.0.0/16（路由器的专用网络），因此Mirai几乎可以肯定会传播到所有易受攻击的设备中。

阻止Mirai攻击您的网络的解决方案很简单- 更改每个设备的默认密码，然后重新启动设备。如果这样做，即使您的设备可以通过Internet进行访问，Mirai也不会发起攻击（但这并不是说，如果不需要的话，使事物可访问也是一个好主意！）。

这里有易受攻击的设备列表，或者您可以运行Incapsula的扫描仪。请注意，这些将仅检查是否存在Mirai漏洞-其他病毒的运行方式可能不同，遵循“ 保护小型家庭自动化设置 ”中的建议可能是最好的选择。

— 极光0001
source

6

@ Aurora0001已经解决了大问题：毫无疑问，您听说过Mirai攻击。

正如他所说，将您的密码更改为默认值-而不是明显的密码。下面列出了Mirai打算使用的近60个用户名和密码：

666666  666666
888888  888888
admin   (none)
admin   1111
admin   1111111
admin   1234
admin   12345
admin   123456
admin   54321
admin   7ujMko0admin
admin   admin
admin   admin1234
admin   meinsm
admin   pass
admin   password
admin   smcadmin
admin1  password
administrator   1234
Administrator   admin
guest   12345
guest   guest
root    (none)
root    00000000
root    1111
root    1234
root    12345
root    123456
root    54321
root    666666
root    7ujMko0admin
root    7ujMko0vizxv
root    888888
root    admin
root    anko
root    default
root    dreambox
root    hi3518
root    ikwb
root    juantech
root    jvbzd
root    klv123
root    klv1234
root    pass
root    password
root    realtek
root    root
root    system
root    user
root    vizxv
root    xc3511
root    xmhdipc
root    zlxx.
root    Zte521
service service
supervisor  supervisor
support support
tech    tech
ubnt    ubnt
user    user

（资源）

那么绝对，改变你的用户名和密码在所有的设备- 的东西安全！

— 匿名2
source

4

物联网的问题在于，通常您无法或不会获得设备更新，或者无法对设备进行有意义的安全更改。如何保护网络安全是一个冗长的讨论，涉及许多选择。该专业称为InfoSec（信息安全）。这是一个新兴行业，所以我听说。

史蒂夫·吉布森的GRC建议是“ 3哑路由器 ”（PDF）的方法（在他的播客情节545），以保护您的网络。如果您不是InfoSec专业人员或业余爱好者，则应从此开始。

如果您是InfoSec专业人员或业余爱好者，则可以研究更复杂的方法。以下是一些随机的入门指南：

禁用UPnP（GRC，HowToGeek，MakeUseOf）
运行pfSense（或类似的）防火墙
将物联网设备放入单独的VLAN（类似于3个哑路由器）
配置您的pfSense框，以通过商业VPN（Nord VPN，PIA，pfSense）路由所有流量。如果为此使用SOHO路由器，则会遇到多个轻量级用户的问题。
配置防火墙以禁止对IoT事物进行Internet访问。但是，这可能会破坏“ IoT”中的“ I”。
使用您的VPN的DNS服务器。（Torrentfreak 2017版本）
使用OpenDNS

— 另一个随机用户
source

1

除了上面非常好的讨论之外，您还可以成为Insecure.Org的旗舰工具nmap开头的安全专家，从而可以使用简单的命令对目标设备（192.168.1.1）进行基本扫描：

[nmap -A -T4 192.168.1.1]

在Nmap备忘单页面上可以找到更多详细信息，示例和如何扫描网络的提示。
但是，扫描您网络中的每个IoT设备，并在打开了可疑端口的情况下重新检查每个设备。

— 阿米特（Amit Vujic）
source