5、IoT系统的威胁建模与安全测试

IoT系统的威胁建模与安全测试

1. 威胁建模

1.1 药物输液泵系统的基本威胁

药物输液泵系统需要确保控制服务器服务的完整性，其与输液泵之间的通信协议应安全，防止重放攻击和拦截。若输液泵缺乏足够的验证检查，可能会遭受欺骗攻击；验证不足还可能导致篡改攻击，例如恶意请求更改泵的设置。此外，若使用的自定义日志文件不是只读的，可能会被篡改；通信协议未加密会导致信息泄露；攻击者若识别出关机命令，服务可能遭受拒绝服务攻击；若泵以超级用户身份运行，可能存在权限提升风险。

1.2 使用攻击树发现威胁

攻击树是一种可视化地图，从定义通用攻击目标开始，随着树的扩展变得更加具体。例如，对于药物输送篡改威胁的攻击树，每个节点代表一个可能的攻击，可能需要子节点中的一个或多个攻击。如篡改输液泵数据库数据需要获得数据库访问权限和药物库表中存在不当的访问控制；而篡改药物输送可以通过更改输液速率或使用拒绝服务攻击中断输液速率更新来实现。

graph TD;
    A[Tamper with drug delivery] --> B[Change infusion rate];
    A --> C[Disrupt infusion rate update (DoS attack)];
    A --> D[Tamper database data];
    D --> E[Database access];
    D --> F[Improper access control at drug library tables];
    B --> G[Dru