九成物联网部件存在安全隐患

8月3日，一条勒索病毒震惊了整个物联网领域。苹果新一代A12处理器的独家供货商——台积电（台湾积体电路制造股份有限公司）传出消息，营运总部和新竹科学园区的12英寸晶圆厂电脑，遭到勒索病毒入侵，生产线全数停摆。几个小时之内，台积电在中国台湾地区的北、中、南三个重要生产基地都未能幸免。直至8月6日，全部设备才重新恢复正常生产。

追溯病毒入侵原因，台积电在8月4日下午发布消息称，此次事故是由于“新机台在安装软件的过程中操作失误”，导致病毒在新机台连接到台积电内部电脑网络时，发生病毒扩散。而这一事件将影响三季度3%的营业收入，公司的毛利润率将下降一个百分点。根据台积电二季报Q3业绩展望，这起事件约造成2.55亿美元（约合人民币17.4亿元）的营业损失。

一条勒索病毒造成数亿美元损失的物联网安全事件，为正在一路狂奔到商业物联网厂商敲响了一记警钟。在网络安全从业者眼中，这些埋头构建应用的物联网厂商缺少对安全防护足够重视，致使商业物联网和工业物联网成为新的病毒重症灾区。

“万物互联”会为人们带来多大的便利，人们就可能因此付出多么高昂的安全代价。安全从业者为此呼吁构建一个物联网安全生态，通过在物联网各层级安插安全关键控制点，构建一个安全运营的物联网生态。

问题初现：

疏于防护的商用物联网终端

“物联网”这一概念对于公众来说早已不陌生，这项去年还在被业界探讨能否落地的技术，今年已在诸多领域找到了适合自己的应用场景。360安全公司将物联网应用划分成四个领域：工业物联网、商业物联网、消费物联网和车联网。其中消费物联网在生活中最为直观，以小米为代表的智能家居、智能硬件已经走进千家万户，让消费者最先感受到“万物互联”的智能化。

不过比起这些直接接触消费者的物联网终端，黑客更青睐为城市布下“天罗地网”的政府和企业(简称政企)用户，即商业物联网。360企业安全集团副总裁张聪告诉《IT时报》记者，商业物联网的终端是遭受黑客攻击的重灾区，一是因为政企本身就是攻击的重灾区；二是相比于将数据存储在互联网云端的消费物联网，尚未有过网络安全防护经验的政企用户安全等级弱，更易被攻破，勒索起来也更加“有料”。

事实上，今年已经发生多起商业物联网终端被勒索病毒入侵的事件。张聪告诉记者，近日，某地区一商业楼宇的智能闸机就因蠕虫病毒攻击，导致网络栓塞、带宽被占，闸机中的指令无法下发，拒绝识别门卡。这样的攻击一旦发生在上下班高峰期，将会造成整个大楼拥堵，后果很难预料。

另一个相似事件是，上海市某楼宇入口处，一个智能化电子屏幕一开机便跳出勒索软件，黑客同样通过操纵蠕虫病毒，对小范围公共场合造成影响。尽管此类攻击在安全人员看来十分常见，其入侵方式对传统互联网甚至不构成任何威胁，但是在物联网领域，这种病毒就成为极易成功的攻击手段。

张聪认为，商业物联网终端遭受攻击的根本原因，在于硬件维护人员的安全意识薄弱。以遭受攻击的电子屏幕为例，在一般使用者眼中，这些搭载了安卓系统、Windows系统的终端屏幕，根本不像是一个可以被攻击的对象，于是就疏于打补丁。

一桩桩漏洞事件不断印证，在智能设备刚开始普及的物联网领域，公众的安全意识相比互联网领域落后许多。

技术深掘：

暗藏危机的技术狂欢

物联网时至今日还没能获得一个普遍认可的定义，随着5G技术、IPv6（Internet Protocol Version 6）的迭代演进，物联网自身的内涵也在不断扩充演进。但与此同时，物联网即将遭受的安全危机或许刚刚开始。

公安三所网络安全专家刘继顺认为，中国已经进入了物联网的时代。他同时指出，有研究报告显示，2016年有64亿智能设备已经连接到网络当中，这个数字在2017年将会是84亿，正在以每年30%的速度攀升，2020年预计超过200万亿。以智能家居产业为例，2018年所占市场份额前五的国家里，中国位居世界第二，仅次于美国。根据工信部计算，预计到2020年，我国物联网整体规模将超过1.8万亿，智能安防产业国内增长总值将达到7%，行业增长率保持在13%，增长速度高于全球平均水平。

在这波世界范围内物联网发展浪潮中，中国的技术和市场份额位列前茅，但安全防护措施不足让人忧虑。刘继顺以物联网部件安全为例，指出时下终端设备80%采用的是简单密码，70%通信过程没有加密，90%部件存在隐患，还有大量设备没有更新的机制。体现出整个产业链对安全问题的忽视，包括制造商、互联网厂商、运营商等多个环节，大家都在抢占市场入口，重应用、重功能、轻安全，也不愿意投入成本去解决安全问题，这也是物联网安全面对重大安全威胁源的原因之一。

发生在美国东海岸地区的一次大面积网络瘫痪，让人见识到物联网设备遭攻击后的影响范围之大。2016年10月21日，美国域名解析服务提供商Dyn公司受到强力的DDoS攻击，Dyn公司称此次DDoS攻击涉及千万级别的IP地址，攻击中UDP/DNS攻击源IP几乎皆为伪造IP，其中部分重要的攻击来源于物联网设备。这次攻击在全球范围内，感染Mirai的设备已经超过100万台，其中美国感染设备有418,592台，中国大陆有145,778台，澳大利亚94,912台，日本和中国香港分别为47,198和44,386台。

亦功亦守：

协同组织好商业物联网“防毒面具”

张聪认为在当前时间点，大规模IOT项目开始落地，自然会有很多安全问题暴露出来。但商业物联网是一个差异化比较严重的领域，360安全公司正在寻找一些生产IOT设备的厂商，成立商业物联网安全联盟，共同织起一张应对病毒威胁的“防毒面具”。

物联网的安全防护基础建设相比互联网难度更大。张聪告诉记者，一个商业型的物联网就是一个业务系统，和非物联网系统相比，物联网会多出更多感知层/终端，也就是各种各样的传感器，比如温度/湿度传感器、二维码标签、GPS等。感知层就像人的视觉、触觉、味觉、听觉一样，通过自动化的方式采集数据，再将业务分析推送到用户终端，最终通过PC或手机进行实际业务操作。

“如果说物联网平台是碎片化，那么其终端就是粉末化的。”张聪解释道，正是基于此，如何把安全机制植入到平台当中，才会成为产业落地的难点。

对于物联网安全人员来说，最可行的方案就是在不同系统层次中找到关键节点，并进一步找到它的安全防护控制点，进而有的放矢地接入安全控制方案。安全关键控制点的确认，能够帮助安全人员在硬件层上通过控制点，实现硬件设计规范，也能在硬件接入层和网络层，确保所有端接入网络时合法合规。

如果确认安全防护控制点是做好商业物联网“防毒面具”的基础设置，那么提升安全性能的下一步，就是对病毒的积极防御和主动进攻。

张聪认为，如今的安全系统状态处在建设期，游走在被动防御的阶段。但是商业物联网的目标，应当是比被动防御更高段位的积极防御，也就是依赖大数据和以往的学习经验，寻找哪些地方会存在被攻击点。当用户之间可以将威胁情报的互通，进而弄清楚了“到底谁在攻击我？还在攻击谁”？就能够做到进攻反制，先发制人。

在物联网生态中，开发者、安全厂商、用户都是不可或缺的组成部分。各方承担起各自职责是实现织好“防毒面具”的前提。开发者要去设计安全运营的机制，公开能够接受安全通道的接口；安全厂商则要实时监控环境，发现问题及时通报；用户更要承担起集大成者的职责，擦亮眼睛选择设备厂商。

对于张聪和360物联网安防团队来说，商业物联网安全是一个始终“在路上”的发展过程。“超前一点，但不能超越太多，不然黑客就会绕过你的防护路径，选择其他的路径进攻。”张聪告诉记者，网络安全工作者大体上都是这样，随着技术演化逐步跟进，这个过程没有止境。相比于与“黑客”见招拆招，张聪更希望安全从业者之外的人能够充分认识到安全的重要性，这样才能最大效率实现防守，减少更多不必要的损失。

作者：刘慧莹

编辑：挨踢妹

来源：《IT时报》公众号vittimes