不久前，《2017物聯(lián)網(wǎng)安全年報》(以下簡稱《年報》)由北京神州綠盟信息安全科技股份有限公司(以下簡稱“綠盟科技”)發(fā)布，顯示了我國物聯(lián)網(wǎng)安全的現(xiàn)狀、特點以及面臨的主要安全風險。
安全隱患知多少
一臺設備被感染成為“僵尸主機”，就會“傳染”其他設備，組成大規(guī)模的物聯(lián)網(wǎng)“僵尸網(wǎng)絡”
現(xiàn)在路由器成了很多家庭的“標配”，大多數(shù)路由器通過IPv4地址單向連接互聯(lián)網(wǎng)，外部網(wǎng)絡無法反過來主動訪問。但以路由器為代表的物聯(lián)網(wǎng)設備數(shù)量眾多，還有大量路由器不能被完全屏蔽，存在被外面“看見”的風險?！赌陥蟆凤@示，目前具有安全風險的物聯(lián)網(wǎng)設備中，路由器和視頻監(jiān)控設備暴露在互聯(lián)網(wǎng)上的數(shù)量最多。比如，國內暴露在互聯(lián)網(wǎng)上的路由器就超過1000萬臺。這些暴露出來的設備，一旦存在漏洞，就有被攻擊的風險。
綠盟科技物聯(lián)網(wǎng)安全實驗室研究員張星說，近年來許多新型智能設備接入互聯(lián)網(wǎng)，但安全風險仍然集中在相對傳統(tǒng)、應用比較成熟的設備上，它們也是感染惡意代碼的主要物聯(lián)網(wǎng)設備。
《年報》還監(jiān)測到，一些數(shù)量較少的物聯(lián)網(wǎng)設備也存在安全隱患。比如，商用車的遠程通信統(tǒng)一網(wǎng)關、網(wǎng)絡恒溫器等可能面臨遠程登錄無密碼保護、設備停產(chǎn)缺乏安全維護等風險。不單是硬件，《年報》指出，物聯(lián)網(wǎng)一些常用的操作系統(tǒng)同樣存在不同程度的安全問題。
很多物聯(lián)網(wǎng)設備通過云端連通，而長時間連接云服務，安全隱患將會增加。
“現(xiàn)實中，很多物聯(lián)網(wǎng)設備工作場景不得不長期和‘云’連接。伴隨著物聯(lián)網(wǎng)應用的深入，云服務將更加普遍。我們監(jiān)測到，一些攻擊者已經(jīng)把目光從網(wǎng)頁和郵件等傳統(tǒng)服務轉向新興的物聯(lián)網(wǎng)服務。”綠盟科技首席架構師楊傳安說，大數(shù)據(jù)時代，網(wǎng)絡攻擊的目的性更強，攻擊的技術手段增多、技術更高、更隱蔽，黑客可能為了利益，而對物聯(lián)網(wǎng)云服務實施攻擊。
楊傳安認為，物聯(lián)網(wǎng)由多種設備組成，互聯(lián)互通的環(huán)境使得安全風險快速擴散和傳播。因此，要從整體全局考慮安全防護。某個物聯(lián)網(wǎng)設備存在安全隱患，并不只影響單個設備，還可能引發(fā)系統(tǒng)性的安全事件。
比如，某些設備中存在的弱口令、已知漏洞等風險，可能被惡意代碼感染成為“僵尸主機”。一方面，這些被感染的設備會“傳染”其他設備，組成大規(guī)模的物聯(lián)網(wǎng)“僵尸網(wǎng)絡”;另一方面，它們接受并執(zhí)行來自控制服務器的指令后，一旦發(fā)動大規(guī)模DDoS(分布式拒絕服務)攻擊，將會對互聯(lián)網(wǎng)基礎設施造成嚴重的破壞。
對物聯(lián)網(wǎng)安全重視不夠
當前不少物聯(lián)網(wǎng)設備生產(chǎn)廠商側重追求新功能，對安全重視不足
物聯(lián)網(wǎng)正加速融入人們的生產(chǎn)生活。知名IT咨詢機構高德納咨詢公司(Gartner)預測，2015年至2020年，物聯(lián)網(wǎng)終端年均復合增長率將達到33%，安裝基數(shù)將達到204億臺，其中2/3為消費者應用。
哈爾濱工業(yè)大學計算機學院教授張偉哲介紹，當前主流的物聯(lián)網(wǎng)管理模式有直連模式、網(wǎng)關模式和云模式。直連模式是指管理端與終端之間不經(jīng)過其他節(jié)點直接相連，這種模式一般用于近距離通信，例如無線藍牙、WiFi熱點等;網(wǎng)關模式主要用于家庭和企業(yè)局域網(wǎng)，一般用于近距離管理多個終端;云模式是指用戶通過云服務管理各種設備，其特點是突破了設備管理的地理區(qū)域限制，比如智能家居和工業(yè)云服務。
“不論在哪種模式下，目前都難以完全杜絕安全隱患。作為一種新技術，物聯(lián)網(wǎng)的行業(yè)標準以及相關管理剛剛起步，但物聯(lián)網(wǎng)基數(shù)大、擴散快、技術門檻低，已經(jīng)成為互聯(lián)網(wǎng)上不得不重視的安全問題。”張偉哲說。
2017年8月，浙江某地警方破獲一個犯罪團伙，在網(wǎng)上制作和傳播家庭攝像頭破解入侵軟件。查獲被破解入侵家庭攝像頭IP近萬個，涉及浙江、云南、江西等多個省份。安全專家表示，一旦攻擊者獲得遠程控制權限，即便是小小的攝像頭也能夠成為泄露用戶隱私的元兇。
360無線電安全研究院負責人楊卿表示，不少物聯(lián)網(wǎng)設備需要依賴WiFi、藍牙、GPS衛(wèi)星導航等無線電通信技術，一旦某個通信協(xié)議出現(xiàn)漏洞，將會引發(fā)大量安全問題及安全事故。比如，惡意WiFi熱點可能設置釣魚網(wǎng)站，攝像頭、麥克風可能泄露人們隱私等。
《年報》認為，物聯(lián)網(wǎng)安全問題突出，反映了當前不少物聯(lián)網(wǎng)設備生產(chǎn)廠商對安全重視不足。“物聯(lián)網(wǎng)設備常見脆弱點有硬件接口暴露、弱口令、信息泄露、未授權訪問等，這些安全問題技術水平并不高，如果有安全團隊協(xié)助做工作，是可以防患于未然的。”楊傳安說。他認為，對一些設備生產(chǎn)廠商來說，往往側重追求新功能而忽略安全性。物聯(lián)網(wǎng)設備基數(shù)龐大，加上安全防護脆弱，物聯(lián)網(wǎng)威脅將逐漸成為互聯(lián)網(wǎng)的常態(tài)。
張星說，無論是升級、配置還是補丁維護等，物聯(lián)網(wǎng)行業(yè)都非常薄弱。當前對物聯(lián)網(wǎng)的攻擊手段與傳統(tǒng)的手段并無不同，只是它們在物聯(lián)網(wǎng)領域找到了發(fā)揮空間。比如，網(wǎng)絡嗅探、遠程代碼執(zhí)行、中間人攻擊等，都是傳統(tǒng)攻擊手段在物聯(lián)網(wǎng)場景中的應用。
物聯(lián)網(wǎng)安全如何防控
大流量攻擊在未來將成為常態(tài)，每個物聯(lián)網(wǎng)參與方都應針對性地部署防護措施
楊傳安說，在大數(shù)據(jù)時代，任何一點安全風險都可能被放大，造成個人信息泄露、財產(chǎn)損失甚至人身安全等問題，給人們生活和社會運行帶來影響。
“物聯(lián)網(wǎng)的安全威脅遠未見頂，物聯(lián)網(wǎng)應用的最終追求是萬物互聯(lián)，實現(xiàn)信息共享，并通過搭建高度自動化和智能化的系統(tǒng)，為人們的日常生活提供便利。隨著物聯(lián)網(wǎng)在社會生活中的普及，應用場景不斷豐富，安全風險也將隨之增加。”楊傳安說。
《年報》認為，物聯(lián)網(wǎng)的DDoS大流量攻擊在未來將成為常態(tài)。這是因為物聯(lián)網(wǎng)設備增多帶來規(guī)模效應，最直接的負面影響就是攻擊者發(fā)起DDoS攻擊應用將變得更加容易。安全專家表示，從實施的難度、運營的成本、風險與收益來看，DDoS攻擊是一種有效的攻擊形式，在相當長的時間內，仍將是一種常見的攻擊方式。
《年報》分析，當前，物聯(lián)網(wǎng)應用還較新，在監(jiān)管機構出臺相關法律法規(guī)前，廠商缺少動力將安全置于整個產(chǎn)業(yè)鏈中。
“從當下的市場環(huán)境看，廠商強調智能化的功能設計，求新求快是物聯(lián)網(wǎng)行業(yè)中的主流，安全反倒是可有可無的選項，這讓物聯(lián)網(wǎng)環(huán)境更加具有脆弱性。”楊傳安說。
綠盟科技物聯(lián)網(wǎng)安全解決方案總監(jiān)劉弘利說，應對物聯(lián)網(wǎng)安全問題，涉及物聯(lián)網(wǎng)設備提供商、物聯(lián)網(wǎng)平臺提供商、網(wǎng)絡提供商和普通用戶等多個參與方，每個環(huán)節(jié)、每個參與者都應有所作為。
劉弘利建議，不同的物聯(lián)網(wǎng)參與方可根據(jù)自身特點，有針對性地部署防護措施：物聯(lián)網(wǎng)設備提供商要保障終端安全，引入安全開發(fā)流程提升終端安全性，并在產(chǎn)品上市前進行安全評估;物聯(lián)網(wǎng)平臺提供商應重點關注平臺安全和設備、移動端與自身的連接是否安全。因為在平臺安全中，物聯(lián)網(wǎng)終端數(shù)據(jù)大多包含隱私信息，數(shù)據(jù)安全變得尤為重要。
“無論是家庭還是企業(yè)用戶，都應把安全作為一個重要的關注點。選購產(chǎn)品時優(yōu)先考慮采用有安全網(wǎng)關的產(chǎn)品。”劉弘利說。他還建議，用戶在購買智能產(chǎn)品后，應該盡可能修改初始口令以及弱口令，加固用戶名和密碼的安全性。同時，修改默認端口為不常用端口，增大端口開放協(xié)議被探測的難度，并及時升級設備固件。
京公網(wǎng)安備 11010502049343號