近日，匡恩網(wǎng)絡物聯(lián)網(wǎng)安全院士工作站成立，為物聯(lián)網(wǎng)安全防護再添一力。多年來，網(wǎng)絡安全防護和網(wǎng)絡攻擊一直處于“道”與“魔”博弈中，物聯(lián)網(wǎng)安全亦是如此。

隨著智能處理技術的發(fā)展，物聯(lián)網(wǎng)設備已逐步應用到許多行業(yè)領域。多采用嵌入式操作系統(tǒng)的物聯(lián)網(wǎng)設備存在眾多漏洞，很容易淪為黑客的傀儡攻擊工具。2016年美國發(fā)生的大規(guī)模網(wǎng)絡拒絕服務攻擊事件，給物聯(lián)網(wǎng)行業(yè)敲響了警鐘。

一、物聯(lián)網(wǎng)系統(tǒng)漏洞百出

眾所周知，嵌入式操作系統(tǒng)和軟件對漏洞的彌補比普通操作系統(tǒng)更困難。事實上，整個物聯(lián)網(wǎng)系統(tǒng)都可能存在安全漏洞。通過對工控系統(tǒng)，智能設備，云端系統(tǒng)漏洞安全和現(xiàn)狀的了解，發(fā)現(xiàn)目前物聯(lián)網(wǎng)系統(tǒng)安全漏洞百出。

工業(yè)控制網(wǎng)絡和設備系統(tǒng)漏洞現(xiàn)狀。2016年美國ICS-CERT小組共收集到全球工業(yè)控制安全漏洞數(shù)量上報500多個，其中，關鍵制造業(yè)、能源、水處理成為被攻擊最多的三個行業(yè)，占比分別達到 33%、16%、8%;并指出基于工業(yè)控制設備與物聯(lián)網(wǎng)的連接使得基于系統(tǒng)漏洞的魚叉式攻擊成為2016年使用最為廣泛的攻擊方式，進入2017年，工業(yè)控制系統(tǒng)漏洞數(shù)量也將持續(xù)增加。

智能設備終端系統(tǒng)漏洞安全現(xiàn)狀。智能設備開始全面普及，廠商過于追逐用戶數(shù)量和盈利，在安全防護方面卻沒有足夠的重視和投入。2012 年，某黑客稱可以在距離目標50英尺的范圍內(nèi)侵入心臟起搏器，并釋放 830V電壓致人死亡;2013 年的“防御態(tài)勢”黑客大會上，美國兩位網(wǎng)絡安全人員演示了如何通過攻擊軟件使高速行駛的汽車突然剎車; 2015年的 Geekpwn大會上，黑客演示了破解智能家居的過程。無論是廠商和消費者都沒有在這安全防護方面引起足夠的重視。

云端系統(tǒng)漏洞安全和現(xiàn)狀。在物聯(lián)網(wǎng)基礎設施領域，云端業(yè)務和數(shù)據(jù)也在逐步累積，而安全事件頻頻發(fā)生。2011 年，亞馬遜的云計算數(shù)據(jù)中心發(fā)生宕機事件，大量企業(yè)業(yè)務受損; 2014 年，UCloud 公司國內(nèi)云平臺發(fā)生大規(guī)模云服務攻擊事件;2015 年，“毒液”漏洞使全球數(shù)以百萬計的虛擬機處于網(wǎng)絡攻擊風險之中，嚴重威脅各大云服務提供商的數(shù)據(jù)安全。2017年，越來越多的企業(yè)業(yè)務在云端開展，基于已知系統(tǒng)漏洞的社工、未知系統(tǒng)漏洞的 APT 攻擊、0-Day攻擊都將對物聯(lián)網(wǎng)云端服務造成巨大威脅。

二、默認密碼是目前安防設備被攻擊的最主要原因

2016年美國發(fā)生的大規(guī)模網(wǎng)絡拒絕服務攻擊事件后，國內(nèi)物聯(lián)網(wǎng)安全領導企業(yè)匡恩網(wǎng)絡對部分市區(qū)安放設備進行了深入的測試，發(fā)現(xiàn)許多設備的安全防護形同虛設。下面是部分測試截圖：

圖1 某工廠攝像頭漏洞利用后可以遠程通過視頻對工廠進行監(jiān)控

圖2 某制造廠攝像頭漏洞被利用遠程可進行視頻監(jiān)控

匡恩針對某市安防設備的進行安全檢查，掃描發(fā)現(xiàn)了351 個攝像頭暴露在公網(wǎng)，其中 96 個攝像頭有漏洞，大概占比 28%，物聯(lián)網(wǎng)設備安全防護遠遠不足?？锒骶W(wǎng)絡分析發(fā)現(xiàn)，造成安防設備被入侵的主要原因是國內(nèi)安防監(jiān)控設備的 Telnet 用戶名大多為 root、admin、guest 等常用名稱，這些常用賬號很容易被暴力猜測。另外使用這些設備的用戶大多為普通人，很少會修改 Telnet 服務的默認密碼，使得 Mirai 等惡意軟件可以輕易控制大量安防監(jiān)控設備。更為可悲的是，有些物聯(lián)網(wǎng)設備對登錄口令采用了硬編碼方式，不允許修改，這種情況下即使發(fā)現(xiàn)有病毒入侵這類系統(tǒng)，廠商和用戶也都無能為力。

三、匡恩網(wǎng)絡建言獻策

正如信息系統(tǒng)的漏洞無法避免一樣，物聯(lián)網(wǎng)系統(tǒng)的漏洞也是不可能完全避免的。千里之堤毀于蟻穴，物聯(lián)網(wǎng)設備應謹防安全漏洞。匡恩網(wǎng)絡建議IOT 設備(含安防監(jiān)控設備)開發(fā)商應加強安全審核，避免出現(xiàn)弱口令或安全繞過漏洞，避免出現(xiàn)口令硬編碼無法修改的錯誤設計。用戶在使用時，應停止使用默認 / 通用密碼，及時修改新的登錄密碼，盡可能避免物聯(lián)網(wǎng)設備直接通過公網(wǎng)進行訪問?？锒骶W(wǎng)絡建議企業(yè)最好是搭建一個體系化的縱深安全防護體系，這是降低物聯(lián)網(wǎng)系統(tǒng)漏洞帶來的安全風險最有效的方式。