企業網絡技術的發展一方面為高速數據交互提供了通道支撐，另一方面也為黑客提供了新型的攻擊思路。有人說，勒索病毒盯上的是那些操作系統和上層軟件的漏洞，而網絡硬件受到的攻擊似乎比較有限。現實情況并非如此，原因不僅是因為定制化引入了更多人為規則，同時風險規避也往往被人忽視。

　　從企業網絡看硬件威脅（圖片來自albertasupernet）

通常，網絡中的漏洞部分是由于操作人員對網絡環境的生疏所導致，設計開發時沒有對網絡安全有預先部署，對網絡中運行的應用程序也不甚了解，由此造成的功能與標準相矛盾，從而出現漏洞。其中，數據傳輸時的泄密可謂是網絡硬件方面出現最多的安全漏洞之一。這些硬件漏洞一旦被檢測出來，就需要由供應商為固件完善特定的代碼，這可不是軟件OTA升級那么容易。

考慮到硬件遠高于軟件的設計復雜度，以及一些技術瓶頸的限制，再加上較高開放程度，引起黑客注意是早晚的事情。要想在硬件設備或者芯片中嵌入惡意邏輯，難度正在降低。前不久就有網友爆料稱，英特爾管理引擎中的AMT、ISM、SBT在ME（非CPU固件）上有遠程利用漏洞，涉及所有英特爾企業版服務器芯片技術。即使沒有聯網，在本地仍然能被黑。而在更早之前，也有黑客利用1997年就存在的一個x86處理器漏洞，在計算機底層固件中安裝了rootkit惡意軟件。

除了芯片，也有黑客利用某些類型的DDR芯片設計缺陷，在內存應用和OS的沙盒中，修改了該區域的內容，提升了自己的Linux系統權限，使其能夠執行惡意代碼或劫持用戶數據。只要是存在“位翻轉”漏洞的DDR3內存，都會成為潛在的攻擊對象。在64毫秒內，攻擊者可以發起超過54萬次內存訪問。盡管升級DDR4可以避免這一漏洞，但還是讓技術人員捏了一把汗。

回到網絡層面，第三方IP核的采用，以及硬件設計越來越依賴于CAD等軟件工具來實現，都對網絡防御技術提出了挑戰。以無線AP為例，加密后的風險性仍較高。對此，企業除了要部署多層防護，也要學會識別網絡設備的接入點。再來看SNMP（簡單網絡管理協議），其主要由設備、代理、NMS（網絡管理系統）三部分組成，而攻擊者可以破解硬件部分，通過修改配置來潛入網絡。此時，安全人員對網絡漏洞的定期測試必不可少。

一些基于硬件而研發的防火墻類入侵檢測及防御系統也不是萬能的，黑客完全可以趁著供應商推出修復補丁時對其進行反向操作來攻克它。換句話說，每一次的更新上線和配置更改，都面臨著硬件風險。當防御系統變成了可被利用的工具，設備的安全性如何保證？

更重要的是，隨著物聯網技術的落地，黑客針對IoT設備發起的攻擊比例逐步攀升，可造成的攻擊包括設備拒絕服務、獲取設備控制權、惡意代碼控制網絡、流量劫持等。根據國家信息安全漏洞共享平臺給出的信息，網絡攝像頭、路由器、交換機、網關等網絡硬件的漏洞數量排在前列。可以說，當物聯網設備承載了海量用戶數據后，被攻克造成的損失是難以統計的。

如果將這種硬件威脅放大到整個數據中心，同樣是適用的。拿定制化服務器來說，用戶可以通過突發網絡峰值、CPU溫度、電力使用情況來判斷各個硬件組件是否被入侵。如果想檢測硬件中的惡意軟件，就要主動連到風險網絡去監控所有的網絡活動。要是有無法確定的惡意組件，恐怕就要逐一移除來排查了。

總的來說，雖然軟件漏洞仍在安全風險中占據多數，但硬件層面的漏洞絕對無法忽視。無論是通過網絡破解軟件，從而獲得硬件的控制權，還是經由硬件攻破數據中心，二者的安全性是需要綜合考量的，切不可防了“軟”，卻忽視了“硬”。