千里之堤毀于蟻穴，物聯(lián)網(wǎng)設(shè)備謹(jǐn)防安全漏洞

　　近日，匡恩網(wǎng)絡(luò)物聯(lián)網(wǎng)安全院士工作站成立，為物聯(lián)網(wǎng)安全防護(hù)再添一力。多年來，網(wǎng)絡(luò)安全防護(hù)和網(wǎng)絡(luò)攻擊一直處于“道”與“魔”博弈中，物聯(lián)網(wǎng)安全亦是如此。

　　隨著智能處理技術(shù)的發(fā)展，物聯(lián)網(wǎng)設(shè)備已逐步應(yīng)用到許多行業(yè)領(lǐng)域。多采用嵌入式操作系統(tǒng)的物聯(lián)網(wǎng)設(shè)備存在眾多漏洞，很容易淪為黑客的傀儡攻擊工具。2016年美國發(fā)生的大規(guī)模網(wǎng)絡(luò)拒絕服務(wù)攻擊事件，給物聯(lián)網(wǎng)行業(yè)敲響了警鐘。

　　物聯(lián)網(wǎng)系統(tǒng)漏洞百出

　　眾所周知，嵌入式操作系統(tǒng)和軟件對漏洞的彌補(bǔ)比普通操作系統(tǒng)更困難。事實(shí)上，整個物聯(lián)網(wǎng)系統(tǒng)都可能存在安全漏洞。通過對工控系統(tǒng)，智能設(shè)備，云端系統(tǒng)漏洞安全和現(xiàn)狀的了解，發(fā)現(xiàn)目前物聯(lián)網(wǎng)系統(tǒng)安全漏洞百出。

　　工業(yè)控制網(wǎng)絡(luò)和設(shè)備系統(tǒng)漏洞現(xiàn)狀。2016年美國ICS-CERT小組共收集到全球工業(yè)控制安全漏洞數(shù)量上報500多個，其中，關(guān)鍵制造業(yè)、能源、水處理成為被攻擊最多的三個行業(yè)，占比分別達(dá)到 33%、16%、8%;并指出基于工業(yè)控制設(shè)備與物聯(lián)網(wǎng)的連接使得基于系統(tǒng)漏洞的魚叉式攻擊成為2016年使用最為廣泛的攻擊方式，進(jìn)入2017年，工業(yè)控制系統(tǒng)漏洞數(shù)量也將持續(xù)增加。

　　智能設(shè)備終端系統(tǒng)漏洞安全現(xiàn)狀。智能設(shè)備開始全面普及，廠商過于追逐用戶數(shù)量和盈利，在安全防護(hù)方面卻沒有足夠的重視和投入。2012 年，某黑客稱可以在距離目標(biāo)50英尺的范圍內(nèi)侵入心臟起搏器，并釋放 830V電壓致人死亡;2013 年的“防御態(tài)勢”黑客大會上，美國兩位網(wǎng)絡(luò)安全人員演示了如何通過攻擊軟件使高速行駛的汽車突然剎車; 2015年的 Geekpwn大會上，黑客演示了破解智能家居的過程。無論是廠商和消費(fèi)者都沒有在這安全防護(hù)方面引起足夠的重視。

　　云端系統(tǒng)漏洞安全和現(xiàn)狀。在物聯(lián)網(wǎng)基礎(chǔ)設(shè)施領(lǐng)域，云端業(yè)務(wù)和數(shù)據(jù)也在逐步累積，而安全事件頻頻發(fā)生。2011 年，亞馬遜的云計算數(shù)據(jù)中心發(fā)生宕機(jī)事件，大量企業(yè)業(yè)務(wù)受損; 2014 年，UCloud 公司國內(nèi)云平臺發(fā)生大規(guī)模云服務(wù)攻擊事件;2015 年，“毒液”漏洞使全球數(shù)以百萬計的虛擬機(jī)處于網(wǎng)絡(luò)攻擊風(fēng)險之中，嚴(yán)重威脅各大云服務(wù)提供商的數(shù)據(jù)安全。2017年，越來越多的企業(yè)業(yè)務(wù)在云端開展，基于已知系統(tǒng)漏洞的社工、未知系統(tǒng)漏洞的 APT 攻擊、0-Day攻擊都將對物聯(lián)網(wǎng)云端服務(wù)造成巨大威脅。

　　默認(rèn)密碼是目前安防設(shè)備被攻擊的最主要原因

　　2016年美國發(fā)生的大規(guī)模網(wǎng)絡(luò)拒絕服務(wù)攻擊事件后，國內(nèi)物聯(lián)網(wǎng)安全領(lǐng)導(dǎo)企業(yè)匡恩網(wǎng)絡(luò)對部分市區(qū)安放設(shè)備進(jìn)行了深入的測試，發(fā)現(xiàn)許多設(shè)備的安全防護(hù)形同虛設(shè)。下面是部分測試截圖：

　　圖1 某工廠攝像頭漏洞利用后可以遠(yuǎn)程通過視頻對工廠進(jìn)行監(jiān)控

　　圖2某制造廠攝像頭漏洞被利用遠(yuǎn)程可進(jìn)行視頻監(jiān)控

　　匡恩針對某市安防設(shè)備的進(jìn)行安全檢查，掃描發(fā)現(xiàn)了351 個攝像頭暴露在公網(wǎng)，其中 96 個攝像頭有漏洞，大概占比 28%，物聯(lián)網(wǎng)設(shè)備安全防護(hù)遠(yuǎn)遠(yuǎn)不足。匡恩網(wǎng)絡(luò)分析發(fā)現(xiàn)，造成安防設(shè)備被入侵的主要原因是國內(nèi)安防監(jiān)控設(shè)備的 Telnet 用戶名大多為 root、admin、guest 等常用名稱，這些常用賬號很容易被暴力猜測。另外使用這些設(shè)備的用戶大多為普通人，很少會修改 Telnet 服務(wù)的默認(rèn)密碼，使得 Mirai 等惡意軟件可以輕易控制大量安防監(jiān)控設(shè)備。更為可悲的是，有些物聯(lián)網(wǎng)設(shè)備對登錄口令采用了硬編碼方式，不允許修改，這種情況下即使發(fā)現(xiàn)有病毒入侵這類系統(tǒng)，廠商和用戶也都無能為力。

　　匡恩網(wǎng)絡(luò)建言獻(xiàn)策

　　正如信息系統(tǒng)的漏洞無法避免一樣，物聯(lián)網(wǎng)系統(tǒng)的漏洞也是不可能完全避免的。千里之堤毀于蟻穴，物聯(lián)網(wǎng)設(shè)備應(yīng)謹(jǐn)防安全漏洞?？锒骶W(wǎng)絡(luò)建議IOT 設(shè)備(含安防監(jiān)控設(shè)備)開發(fā)商應(yīng)加強(qiáng)安全審核，避免出現(xiàn)弱口令或安全繞過漏洞，避免出現(xiàn)口令硬編碼無法修改的錯誤設(shè)計。用戶在使用時，應(yīng)停止使用默認(rèn) / 通用密碼，及時修改新的登錄密碼，盡可能避免物聯(lián)網(wǎng)設(shè)備直接通過公網(wǎng)進(jìn)行訪問?？锒骶W(wǎng)絡(luò)建議企業(yè)最好是搭建一個體系化的縱深安全防護(hù)體系，這是降低物聯(lián)網(wǎng)系統(tǒng)漏洞帶來的安全風(fēng)險最有效的方式。