物联网+移动互联时代下的数码安全新挑战

　　群里老张昨天贴了张图，说他们公司智能门锁被批量撞库，三成设备直接变砖——我盯着那行“请求超时”的日志看了半天，突然想起去年春晚那档子破事。当时我们给某省级卫视搭的远程导播系统，用的全是物联网设备，从摄像机到调音台全联网，结果直播前两小时，监控大屏突然跳出二十多个“未知设备接入”的警告，运维小哥当场腿软。

　　那会儿我原以为只是普通的IP冲突，结果查日志发现，攻击者从凌晨三点就开始用弱密码字典扫，扫到“123456”的时候，导播台的三块备用屏幕直接被劫持了——显示的不是节目画面，是满屏的“Happy New Year”彩蛋。最绝的是，攻击者用的居然是移动端脚本，边扫边换IP，等我们封完一批，人家早换到下一个基站了。后来发现，问题出在设备厂商的固件上——他们为了“方便调试”，留了个未加密的Telnet后门，攻击者直接拿这个当跳板，把整个物联网网络当成了肉鸡池。

文章配图，仅供参考

　　群里小李突然冒泡：“我们公司智能空调也被扫过，攻击者用的是物联网设备常用的默认端口8888，扫完直接发钓鱼邮件，伪装成设备厂商让更新固件。”我回他：“这算轻的，我见过更狠的——某智能家居厂商的摄像头，被曝出能通过移动端APP的漏洞，直接读取用户家里的Wi-Fi密码，然后拿这个密码去扫其他设备。最离谱的是，这漏洞存在了半年，厂商愣是没发现，直到用户投诉说家里智能灯泡自己亮，才查出来是被当跳板用了。”

　　其实说到底，物联网+移动互联的安全挑战，核心就四个字：优胜劣汰。但这个“优胜劣汰”不是设备厂商的，是攻击者和防御者的。传统安全里，防御者占主动——我封你的IP，我限你的端口，我让你进不来；现在倒好，攻击者占主动——我扫你的弱密码，我劫你的备用设备，我拿你的物联网当跳板。防御者得跟着攻击者的节奏跑，而且永远慢半拍——等你发现漏洞，人家早换新招了；等你补上漏洞，人家又找到新入口了。就像去年春晚那事，我们封了Telnet后门，结果攻击者转而扫SNMP协议；我们关了SNMP，人家又盯上UPnP；等我们把所有协议都锁死，人家直接用蓝牙漏洞，从近场渗透进去了。

　　我原以为，物联网安全的关键是“设备隔离”——把智能设备和非智能设备分开，把生产网和生活网分开，结果发现根本没用。去年帮某制造业客户搭远程办公系统，他们非要把智能门禁和办公网连一起，说“方便员工打卡”。我劝了半天，最后妥协了——结果三个月后，攻击者通过门禁系统的漏洞，直接渗透到财务系统，偷走了半个月的工资数据。后来查日志才发现，攻击者先用移动端脚本扫门禁的弱密码，扫到后，用门禁的IP当跳板，扫办公网的开放端口，扫到财务系统的RDP服务，直接远程登录了。整个过程不到两小时，等我们发现的时候，钱已经转走了。

　　浏览器开了三十多个标签，全是最近曝光的物联网漏洞。有个数据特别扎眼：某安全机构统计，去年物联网设备被攻击的次数，比前年涨了三成；其中移动端发起的攻击，占到了六成以上。这说明什么？说明攻击者早就从“PC端”转向“移动端+物联网”了——手机当扫描器，物联网设备当跳板，云服务当中转站，整个攻击链又长又隐蔽，防御者根本抓不住尾巴。就像去年春晚那事，我们查了半天，最后发现攻击者的IP全是移动基站的动态IP，根本没法溯源；就算溯源了，人家早换手机卡了。

　　其实最让我后怕的，不是攻击手段有多高明，而是防御者的“麻木”。很多企业觉得，物联网设备“又没存重要数据”，被攻击了也没事——可他们忘了，物联网设备是“入口”，是“跳板”，是“放大器”。一个智能灯泡被劫持，可能只是自己亮；但十个、一百个智能灯泡被劫持，就能组成DDoS攻击，把整个企业的网络打瘫；更别说那些带摄像头的设备，被劫持后直接变成监控工具，你家里、办公室里的一举一动，全在攻击者眼里。去年某智能摄像头厂商被曝出漏洞，用户反馈“摄像头会自己转动”，厂商还说是“系统误触发”——结果后来发现，是攻击者在远程控制，偷拍用户隐私。这哪是“误触发”，这是直接把用户当透明人了。

　　桌上的外卖彻底凉了，我扔了盒子，继续翻日志。其实说到底，物联网+移动互联的安全，没有“一劳永逸”的解法——设备会更新，网络会变化，攻击者会进化，防御者只能跟着跑。但跑也得有个方向吧？我原以为“零信任”是方向，结果发现，零信任在物联网里根本玩不转——设备太多，协议太杂，你总不能给每个智能灯泡都做身份认证吧？后来又想，或许“动态防御”是方向——根据攻击行为实时调整策略，攻击者扫弱密码，我就自动改密码；攻击者劫备用设备，我就自动隔离设备。但问题又来了，动态防御需要大量的数据分析和实时响应，中小企业的技术能力根本跟不上。

　　窗外的雨停了，群里又热闹起来。老张发了张新图，是他们公司升级后的智能门锁——这次加了双因素认证，还关了所有不必要的端口。我回他：“这算进步，但不够。”他问：“那得咋样？”我盯着屏幕，突然有点迷茫——说实话，我也不知道“够”的标准是啥。或许，物联网+移动互联的安全，本来就是一场没有终点的赛跑——攻击者永远在找新漏洞，防御者永远在补旧漏洞，优胜劣汰的，从来不是设备，而是人的警惕性。就像去年春晚那事，如果我们早点发现Telnet后门，如果我们早点隔离备用设备，如果我们早点监控异常流量，或许就不会差点酿成大事故。但“如果”没用，现实是，我们只能一边跑，一边等下一个漏洞出现。

　　下一步准备试试“威胁情报共享”——把遇到的攻击特征、漏洞信息，同步给其他企业，大家一起防。但说实话，我心里没底——这年头，愿意分享威胁情报的企业太少，大家都怕“暴露自己”。可要是不共享，光靠自己防，迟早会被攻击者找到突破口。就像去年春晚那事，如果我们早知道其他企业也被扫过8888端口，或许就能提前预警，提前防范。但现实是，我们直到被攻击了，才知道自己不是第一个。这算优胜劣汰吗？或许算吧——防御者不共享情报，就会被攻击者逐个击破；攻击者不共享工具，反而能活得更久。这哪是安全挑战，这是直接把防御者逼到了“信息孤岛”里。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!