物聯(lián)網(wǎng)是一種包含網(wǎng)絡(luò)傳感器的設(shè)備，可以進(jìn)行遠(yuǎn)程監(jiān)測(cè)和控制。到2025年，物聯(lián)網(wǎng)設(shè)備的安裝數(shù)量預(yù)計(jì)將達(dá)到750億臺(tái)。這些設(shè)備包括家用路由器、遠(yuǎn)程攝像頭、醫(yī)療設(shè)備等等。物聯(lián)網(wǎng)市場(chǎng)涵蓋的領(lǐng)域非常廣泛，包括工業(yè)、銀行業(yè)、零售業(yè)、制造業(yè)以及醫(yī)療保健等行業(yè)。2018年以來(lái)，隨著總體網(wǎng)絡(luò)安全趨勢(shì)的暴露，全球范圍內(nèi)大量正在使用中的物聯(lián)網(wǎng)設(shè)備如今已淪落為網(wǎng)絡(luò)犯罪分子的樂(lè)園。隨著越來(lái)越多物聯(lián)網(wǎng)設(shè)備被引入市場(chǎng)，物聯(lián)網(wǎng)所面臨的風(fēng)險(xiǎn)也在愈發(fā)增多，且威脅樣式也在發(fā)生轉(zhuǎn)變。

[[256333]]

威脅之源

物聯(lián)網(wǎng)設(shè)備是多式多樣的，一些看似并不復(fù)雜的設(shè)備——比如IP攝像頭，或是連接外部網(wǎng)絡(luò)的硬盤(pán)驅(qū)動(dòng)器，由于它們的用途較為單一，因此被設(shè)計(jì)成易于部署、少量配置且容易設(shè)置的形態(tài)，這類(lèi)設(shè)備也被稱(chēng)為“啞巴”設(shè)備。然而，漏洞往往就藏在這些簡(jiǎn)單設(shè)計(jì)里，產(chǎn)品的易用性往往也意味著產(chǎn)品安全性上的薄弱。為了急于將產(chǎn)品推廣上市，物聯(lián)網(wǎng)設(shè)備制造商幾乎很少會(huì)顧及到產(chǎn)品的安全方面，這就導(dǎo)致了一些惡意軟件——比如Mirai、Shishiga、Hajime、Okiru和Torii等，在暗中蔓延橫行，爭(zhēng)先恐后般的想要引導(dǎo)對(duì)企業(yè)、政府、ISP、電信等機(jī)構(gòu)的下一代設(shè)備的攻擊。上述的這些惡意軟件，其意圖都是接管物聯(lián)網(wǎng)設(shè)備、積累僵尸網(wǎng)絡(luò)，進(jìn)而用于拒絕服務(wù)攻擊(DDoS、垃圾郵件和各種其他毀滅性的網(wǎng)絡(luò)病毒)。

就在不久之前，研究人員發(fā)現(xiàn)了一個(gè)新型的物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)。它感染了累計(jì)超過(guò)10萬(wàn)個(gè)家庭路由器，并通過(guò)向用戶(hù)發(fā)送Hotmail、Outlook和Yahoo垃圾郵件的方式影響受害者。而它所利用的漏洞，早在2013年就由DefenseCode的安全研究人員指出了，這個(gè)漏洞存在于Broadcom UPnP SDK模件中，而該模件已經(jīng)嵌入了多個(gè)供應(yīng)商的數(shù)千個(gè)路由器模型里。

美中經(jīng)濟(jì)與安全審查委員會(huì)則指出了物聯(lián)網(wǎng)發(fā)展所面臨的另一個(gè)威脅：

增長(zhǎng)的風(fēng)險(xiǎn)

物聯(lián)網(wǎng)設(shè)備的高速增長(zhǎng)，一方面是科技進(jìn)步的必然結(jié)果，另一方面卻為民眾埋下了嚴(yán)重的安全隱患，甚至可能會(huì)對(duì)電力、通信等行業(yè)的關(guān)鍵基礎(chǔ)設(shè)施造成災(zāi)難性的后果。因此，政府促使物聯(lián)網(wǎng)制造商將安全機(jī)制嵌入到其設(shè)備的舉措就顯得愈發(fā)重要。

參議院特別情報(bào)委員會(huì)副主席、弗吉尼亞州參議員馬克·華納(Mark Warner)呼吁美國(guó)各機(jī)構(gòu)對(duì)此采取舉措，而美國(guó)國(guó)會(huì)就是首批提出立法推進(jìn)物聯(lián)網(wǎng)安全的代表之一，加利福尼亞州當(dāng)前則通過(guò)立法，要求制造商擁有“合理的安全功能或特征”。上個(gè)月，歐盟執(zhí)法機(jī)構(gòu)歐洲刑警組織和歐盟網(wǎng)絡(luò)和信息安全局ENISA召開(kāi)了物聯(lián)網(wǎng)安全會(huì)議，討論行業(yè)的當(dāng)前核心問(wèn)題——如何在為時(shí)已晚之前保護(hù)物聯(lián)網(wǎng)。

可以想到，許多制造商會(huì)爭(zhēng)辯說(shuō)，要求物聯(lián)網(wǎng)設(shè)備的額外安全性必然會(huì)增加設(shè)備的成本。但只有當(dāng)我們接受了安全性這個(gè)前提，才能防止對(duì)全國(guó)乃至全球產(chǎn)生影響的災(zāi)難。

阻止物聯(lián)網(wǎng)入侵

立法是個(gè)好的長(zhǎng)期解決方案，但它并不是立竿見(jiàn)影的解決辦法。下列幾種方法可以防止物聯(lián)網(wǎng)設(shè)備受到感染，同時(shí)也必須采取其他步驟，以防止這些設(shè)備對(duì)連接到網(wǎng)絡(luò)的其他設(shè)備造成進(jìn)一步損害。

密碼設(shè)置是開(kāi)啟物聯(lián)網(wǎng)設(shè)備保護(hù)的最簡(jiǎn)單容易的步驟，但常常被人們忽視。密碼的初始默認(rèn)值通過(guò)查看在線(xiàn)文檔就可以知曉了。由于這些設(shè)備安裝起來(lái)很容易，用戶(hù)通常不會(huì)更改初始密碼，當(dāng)其連接到互聯(lián)網(wǎng)時(shí)，就相當(dāng)于為惡意行為者提供了一扇大門(mén)，讓他們能夠隨意進(jìn)入、感染并利用設(shè)備。

而另一個(gè)漏洞利用機(jī)會(huì)對(duì)網(wǎng)絡(luò)犯罪分子們來(lái)說(shuō)就十分熟悉了——一旦在物聯(lián)網(wǎng)設(shè)備中發(fā)現(xiàn)漏洞，大多數(shù)在部署后不會(huì)更新。更麻煩的是，許多設(shè)備甚至無(wú)法更新。這意味著只要制造商還沒(méi)有提供方法來(lái)修改漏洞，被部署后設(shè)備就只能維持原樣，這也是惡意軟件能大行其道的原因之一。設(shè)備一旦遭到感染，阻止惡意軟件的唯一方法就是將設(shè)備更換。

如前所述，物聯(lián)網(wǎng)設(shè)備是用途單一或有限的設(shè)備，它們不需要擁有完全的網(wǎng)絡(luò)訪(fǎng)問(wèn)權(quán)限就能完成工作。因此將設(shè)備部署到網(wǎng)絡(luò)上時(shí)，應(yīng)限制其他設(shè)備的訪(fǎng)問(wèn)權(quán)限，能防止感染的進(jìn)一步蔓延。在理想情況下，物聯(lián)網(wǎng)設(shè)備應(yīng)該只能訪(fǎng)問(wèn)執(zhí)行的基本內(nèi)容，其他任何東西都應(yīng)該被屏蔽。

最后，在企業(yè)網(wǎng)絡(luò)上部署物聯(lián)網(wǎng)設(shè)備時(shí)，如果設(shè)備能夠訪(fǎng)問(wèn)關(guān)鍵業(yè)務(wù)的應(yīng)用程序，應(yīng)當(dāng)確保有方法能監(jiān)控流量，并安裝相應(yīng)的監(jiān)控警報(bào)，提示惡意或異常活動(dòng)的出現(xiàn)。例如，如果煙霧探測(cè)器開(kāi)始與郵件服務(wù)器通信，那么你就會(huì)知道當(dāng)中肯定出現(xiàn)了問(wèn)題。網(wǎng)絡(luò)流量分析正是清楚了解這種活動(dòng)發(fā)生的途徑所在。

只有當(dāng)眾人都認(rèn)識(shí)到了內(nèi)在的風(fēng)險(xiǎn)，并立法推動(dòng)的情況下，物聯(lián)網(wǎng)制造商將不得不改進(jìn)這些設(shè)備的安全性，否則在災(zāi)難性事件發(fā)生時(shí)我們才不至于追悔莫及。