物聯(lián)網(wǎng)系統(tǒng)漏洞百出
眾所周知，嵌入式操作系統(tǒng)和軟件對漏洞的彌補比普通操作系統(tǒng)更困難。事實上，整個物聯(lián)網(wǎng)系統(tǒng)都可能存在安全漏洞。通過對工控系統(tǒng)，智能設(shè)備，云端系統(tǒng)漏洞安全和現(xiàn)狀的了解，發(fā)現(xiàn)目前物聯(lián)網(wǎng)系統(tǒng)安全漏洞百出。
工業(yè)控制網(wǎng)絡(luò)和設(shè)備系統(tǒng)漏洞現(xiàn)狀。2016年美國ICS-CERT小組共收集到全球工業(yè)控制安全漏洞數(shù)量上報500多個，其中，關(guān)鍵制造業(yè)、能源、水處理成為被攻擊最多的三個行業(yè)，占比分別達(dá)到 33%、16%、8%；并指出基于工業(yè)控制設(shè)備與物聯(lián)網(wǎng)的連接使得基于系統(tǒng)漏洞的魚叉式攻擊成為2016年使用最為廣泛的攻擊方式，進(jìn)入2017年，工業(yè)控制系統(tǒng)漏洞數(shù)量也將持續(xù)增加。
智能設(shè)備終端系統(tǒng)漏洞安全現(xiàn)狀。智能設(shè)備開始全面普及，廠商過于追逐用戶數(shù)量和盈利，在安全防護(hù)方面卻沒有足夠的重視和投入。2012 年，某黑客稱可以在距離目標(biāo)50英尺的范圍內(nèi)侵入心臟起搏器，并釋放 830V電壓致人死亡；2013 年的“防御態(tài)勢”黑客大會上，美國兩位網(wǎng)絡(luò)安全人員演示了如何通過攻擊軟件使高速行駛的汽車突然剎車； 2015年的 Geekpwn大會上，黑客演示了破解智能家居的過程。無論是廠商和消費者都沒有在這安全防護(hù)方面引起足夠的重視。
云端系統(tǒng)漏洞安全和現(xiàn)狀。在物聯(lián)網(wǎng)基礎(chǔ)設(shè)施領(lǐng)域，云端業(yè)務(wù)和數(shù)據(jù)也在逐步累積，而安全事件頻頻發(fā)生。2011 年，亞馬遜的云計算數(shù)據(jù)中心發(fā)生宕機事件，大量企業(yè)業(yè)務(wù)受損； 2014 年，UCloud 公司國內(nèi)云平臺發(fā)生大規(guī)模云服務(wù)攻擊事件；2015 年，“毒液”漏洞使全球數(shù)以百萬計的虛擬機處于網(wǎng)絡(luò)攻擊風(fēng)險之中，嚴(yán)重威脅各大云服務(wù)提供商的數(shù)據(jù)安全。2017年，越來越多的企業(yè)業(yè)務(wù)在云端開展，基于已知系統(tǒng)漏洞的社工、未知系統(tǒng)漏洞的 APT 攻擊、0-Day攻擊都將對物聯(lián)網(wǎng)云端服務(wù)造成巨大威脅。
默認(rèn)密碼是目前安防設(shè)備被攻擊的最主要原因
2016年美國發(fā)生的大規(guī)模網(wǎng)絡(luò)拒絕服務(wù)攻擊事件后，國內(nèi)物聯(lián)網(wǎng)安全領(lǐng)導(dǎo)企業(yè)匡恩網(wǎng)絡(luò)對部分市區(qū)安放設(shè)備進(jìn)行了深入的測試，發(fā)現(xiàn)許多設(shè)備的安全防護(hù)形同虛設(shè)。下面是部分測試截圖：
圖1 某工廠攝像頭漏洞利用后可以遠(yuǎn)程通過視頻對工廠進(jìn)行監(jiān)控
圖2 某制造廠攝像頭漏洞被利用遠(yuǎn)程可進(jìn)行視頻監(jiān)控
針對某市安防設(shè)備的進(jìn)行安全檢查，掃描發(fā)現(xiàn)了351 個攝像頭暴露在公網(wǎng)，其中 96 個攝像頭有漏洞，大概占比 28%，物聯(lián)網(wǎng)設(shè)備安全防護(hù)遠(yuǎn)遠(yuǎn)不足。網(wǎng)絡(luò)分析發(fā)現(xiàn)，造成安防設(shè)備被入侵的主要原因是國內(nèi)安防監(jiān)控設(shè)備的 Telnet 用戶名大多為 root、admin、guest 等常用名稱，這些常用賬號很容易被暴力猜測。另外使用這些設(shè)備的用戶大多為普通人，很少會修改 Telnet 服務(wù)的默認(rèn)密碼，使得 Mirai 等惡意軟件可以輕易控制大量安防監(jiān)控設(shè)備。更為可悲的是，有些物聯(lián)網(wǎng)設(shè)備對登錄口令采用了硬編碼方式，不允許修改，這種情況下即使發(fā)現(xiàn)有病毒入侵這類系統(tǒng)，廠商和用戶也都無能為力。
正如信息系統(tǒng)的漏洞無法避免一樣，物聯(lián)網(wǎng)系統(tǒng)的漏洞也是不可能完全避免的。千里之堤毀于蟻穴，物聯(lián)網(wǎng)設(shè)備應(yīng)謹(jǐn)防安全漏洞?？锒骶W(wǎng)絡(luò)建議IOT 設(shè)備（含安防監(jiān)控設(shè)備）開發(fā)商應(yīng)加強安全審核，避免出現(xiàn)弱口令或安全繞過漏洞，避免出現(xiàn)口令硬編碼無法修改的錯誤設(shè)計。用戶在使用時，應(yīng)停止使用默認(rèn) / 通用密碼，及時修改新的登錄密碼，盡可能避免物聯(lián)網(wǎng)設(shè)備直接通過公網(wǎng)進(jìn)行訪問?？锒骶W(wǎng)絡(luò)建議企業(yè)最好是搭建一個體系化的縱深安全防護(hù)體系，這是降低物聯(lián)網(wǎng)系統(tǒng)漏洞帶來的安全風(fēng)險最有效的方式。
a&s傳媒是全球知名展覽公司法蘭克福展覽集團(tuán)旗下的專業(yè)媒體平臺，自1994年品牌成立以來，一直專注于安全&自動化產(chǎn)業(yè)前沿產(chǎn)品、技術(shù)及市場趨勢的專業(yè)媒體傳播和品牌服務(wù)。從安全管理到產(chǎn)業(yè)數(shù)字化，a&s傳媒擁有首屈一指的國際行業(yè)展覽會資源以及豐富的媒體經(jīng)驗，提供媒體、活動、展會等整合營銷服務(wù)。
粵公網(wǎng)安備 44030402000264號
