王滨

杭州海康威视数字技术股份有限公司首席安全官，杭州市网络安全专家库成员

如今，各类智能可穿戴设备、安防设备、智能汽车、智能交通、智慧城市、工控网络……这些给人们生活带来大量便利的都依托于所谓的物联网，其英文名称是：“Internet of things（IoT）”。物联网是新一代信息技术的重要组成部分，顾名思义，物联网就是物物相连的互联网，它实现了虚拟世界和物理世界的融合，是面向终端类传感器网络和由互联网技术推动的面向数据应用之间的重要联结。物联网基础结构上呈现为区域分布式，通过各种终端类设备为人们的日常生活提供无处不在的连接。终端类设备可以获取人们活动相关的各类信息并通过网络传递给物联网应用，这些应用能有效提升个人、群体和社会层面上相关活动的效率，从而对我们的生活产生了深远而又重大的影响。

图1物联网“感知层-网络层-应用层”构架

与计算机时代、网络时代相比较，物联网的终端具有移动化、微型化等特征其传输管道更是在有线网络之外又增加了无线网络，物联网的云端数据中心不仅更大也更为灵活。物联网体系架构里可编程、可通讯、智能化、网络化的特征要素愈发凸显，而物联网所面临的安全挑战也日益严峻，仅2017年爆发了大量的物联网安全事件：

n 2017年3月，Spiral Toys旗下的CloudPets系列动物填充智能玩具泄露200万父母与儿童语音信息；

n 2017年4月，基带漏洞MIAMI影响了华为智能手机、笔记本WWAN模块以及loT组件，可攻击数目达百万；

n 2017年4月，三星Tizen操作系统存在严重安全漏洞，Tizen操作系统被应用在三星智能电视、智能手表、Z系列手机上，影响终端数量达到千万级别；

n 2017年4月，成都双流连续发生多起无人机黑飞事件，导致百余架次航班被迫备降或返航，超过万名旅客受阻滞留机场，经济损失以千万元计，旅客的生命安全和损失更是遭到了巨大的威胁；

n 2017年，蓝牙协议爆严重安全漏洞，影响53亿设备，这些设备包括Android、iOS、Windows以及Linux系统设备到使用短距离无线通信技术的物联网设备；

n 2017年11月，Check Point研究人员表示LG智能家居设备存在漏洞，黑客可以远程劫持LG SmartThinQ家用电器，包括冰箱，干衣机，洗碗机，微波炉以及吸尘机器人等，受影响设备数量达百万。

n 2017年12月，位于美国达拉斯北中央高速公路附近交通指示牌被攻击，播放反特朗普语言。

上面呈现的只是物联网安全事件的冰山一角，隐藏在背后的物联网安全威胁层出不穷，并且随着物联网逐渐走入千家万户的生活当中，物联网设备将成为黑客们新的战场，而且黑客攻击日益组织化、产业化，攻击对象的广度及深度，将有大幅度的变化。

根据CNCERT发布的《2017年我国联网智能设备安全情况报告》指出：

1、智能设备漏洞数量大幅增加。手机设备、路由器、网络摄像头、智能监控平台、防火墙等类型设备漏洞数量较多，是漏洞利用的重要目标。

2、境外控制服务器控制我国境内的大批量智能设备。CNCERT抽样监测发现2017年下半年我国境内感染恶意代码的受控智能设备IP地址数量约129.8万。

3、智能设备漏洞监测分析案例显示针对网络摄像机WIFICAM的身份权限绕过漏洞攻击在CNVD收录漏洞种类数量中排名第一；弱口令漏洞是联网智能设备的一个威胁度高，却极易利用的漏洞。

结合近年来物联网重大安全事件和CNCERT对IoT安全情况分析，感知层的终端类设备是目前大多数黑客攻击的目标，但是如果用户有足够高的安全意识，物联网智能终端类设备的安全问题并不是那么可怕，除了设备自身的安全因素外，用户如何去选择和使用，对提高设备本身的安全也是至关重要的，下面给出几点建议：

1、选择正规的大厂商的产品：对于产品方面最为保险的办法还是选择安全可靠的正规的知名厂商的产品。以摄像头为例，目前市面上被破解的摄像机，其协议及代码大部分采用了网络开源码，本身存在安全漏洞，并且具有开放性和通用性，安全等级比较低，容易破解。选择正规知名品牌厂商的摄像头，在产品质量、设备本身的安全防护能力、及产品售后维护特别是漏洞应急响应方面都有很好的保障。

2、不要使用弱密码：设置各级密码时尽量选用复杂密码，不要选择过于简单的密码和熟人可能猜测到的密码（默认口令、生日、姓名拼音等）。另外，不要多个账户使用同一个密码。

3、关闭不需要的端口和服务：为了保证服务器的安全，达到攻击面的最小化，严格限制开放的端口是非常必要的，一般来讲，非必要的端口/服务都应该关闭。如需开放远程端口，建议配置防火墙策略、设置NAT映射和更改为非默认端口等措施

4、升级补丁：关注厂商发布的相关公告，出现安全问题后按照厂商建议如及时升级最新补丁等采取应对措施避免安全风险和隐患，防止黑客利用现有的漏洞进行攻击，提升设备本身的安全系数。

5、提升个人隐私安全意识:非必要情况下尽量不在设备中留存姓名、身份证、账号、电话/手机号码、地址等个人信息。

6、发现设备不明异常后，及时与安全机构或厂商联系，如果对风险不确定，为了避免个人遭受不必要的损失，可以先停止物联网设备的使用。

随着科技的发展，物联网给我们带来便捷生活的同时，网络安全问题也会如影相随，“三分技术，七分管理”，提高我们的安全意识，安全使用和管理这些设备，使我们的生活更美好。