OWASP 物联网安全测试指南

OWASP 物联网安全测试指南为物联网领域的渗透测试提供了一套全面的方法论，既具备灵活性，能够适应物联网市场上的创新与发展，同时又能确保测试结果的可比性。该指南通过建立统一的术语体系，帮助物联网设备制造商与运营方以及渗透测试团队之间实现相互理解。

通过下方对物联网组件及适用于各组件测试用例类别的概览，可以展示安全保障与测试覆盖情况。该方法论、底层模型以及测试用例目录所提供的工具既可单独使用，也可相互结合使用。

• 🔔点击此处阅读 OWASP ISTG 📖📚🔔
• ✅ 获取最新的 ISTG 检查清单✅
• 📝 🔍 为 ISTG 做贡献 — 另请参阅贡献指南，了解本仓库所采用的约定

目录

1. 简介

2. 物联网安全测试框架

   2.1. 物联网设备模型

   2.2. 攻击者模型

   2.3. 测试方法论

3. 测试用例目录

   3.1. 处理单元 (ISTG-PROC)

   3.2. 内存 (ISTG-MEM)

   3.3. 固件 (ISTG-FW)

   3.3.1. 已安装固件 (ISTG-FW[INST])

   3.3.1. 固件更新机制 (ISTG-FW[UPDT])

   3.4. 数据交换服务 (ISTG-DES)

   3.5. 内部接口 (ISTG-INT)

   3.5.1. 内部集成电路 (ISTG-INT[I2C])

   3.5.2. 通用异步收发器 (ISTG-INT[UART])

   3.6. 物理接口 (ISTG-PHY)

   3.7. 无线接口 (ISTG-WRLS)

   3.8. 用户接口 (ISTG-UI)

相关工作

OWASP 物联网安全测试指南中提出的概念、模型和测试步骤基于 Luca Pascal Rotsch 的硕士论文 "Development of a Methodology for Penetration Tests of Devices in the Field of the Internet of Things"（《物联网领域设备渗透测试方法论的开发》）。

测试用例源自以下公开来源：

• OWASP “Web Security Testing Guide”
• OWASP “Firmware Security Testing Methodology”
• OWASP “Mobile Security Testing Guide”
• Aditya Gupta 的 “IoT Pentesting Guide”
• Aaron Guzman 和 Aditya Gupta 的 “IoT Penetration Testing Cookbook”
• Aditya Gupta 的 “The IoT Hacker's Handbook”
• Fotios Chantzis、Ioannis Stais、Paulino Calderon、Evangelos Deirmentzoglou 和 Beau Woods 的 “Practical IoT Hacking”
• 更多来源请参见各测试用例中的引用

我们也感谢我们的合作者和支持者（见项目合作者与致谢）！