物联网设备所面临的风险与挑战

物联网是一种包含网络传感器的设备，可以进行远程监测和控制。到2025年，物联网设备的安装数量预计将达到750亿台。这些设备包括家用路由器、远程摄像头、医疗设备等等。物联网市场涵盖的领域非常广泛，包括工业、银行业、零售业、制造业以及医疗保健等行业。2018年以来，随着总体网络安全趋势的暴露，全球范围内大量正在使用中的物联网设备如今已沦落为网络犯罪分子的乐园。随着越来越多物联网设备被引入市场，物联网所面临的风险也在愈发增多，且威胁样式也在发生转变。

威胁之源

物联网设备是多式多样的，一些看似并不复杂的设备——比如IP摄像头，或是连接外部网络的硬盘驱动器，由于它们的用途较为单一，因此被设计成易于部署、少量配置且容易设置的形态，这类设备也被称为“哑巴”设备。然而，漏洞往往就藏在这些简单设计里，产品的易用性往往也意味着产品安全性上的薄弱。为了急于将产品推广上市，物联网设备制造商几乎很少会顾及到产品的安全方面，这就导致了一些恶意软件——比如Mirai、Shishiga、Hajime、Okiru和Torii等，在暗中蔓延横行，争先恐后般的想要引导对企业、政府、ISP、电信等机构的下一代设备的攻击。上述的这些恶意软件，其意图都是接管物联网设备、积累僵尸网络，进而用于拒绝服务攻击(DDoS、垃圾邮件和各种其他毁灭性的网络病毒)。

就在不久之前，研究人员发现了一个新型的物联网僵尸网络。它感染了累计超过10万个家庭路由器，并通过向用户发送Hotmail、Outlook和Yahoo垃圾邮件的方式影响受害者。而它所利用的漏洞，早在2013年就由DefenseCode的安全研究人员指出了，这个漏洞存在于Broadcom UPnP SDK模件中，而该模件已经嵌入了多个供应商的数千个路由器模型里。

美中经济与安全审查委员会则指出了物联网发展所面临的另一个威胁：

由于安全保障机制的宽松以及物联网设备连接的通用性，中美两国的政府机构、公司企业都会在未来面临着物联网供应链所带来的巨大风险。并且随着5G的广泛部署，利用物联网设备的网络攻击只会加速产生和传播。

增长的风险

物联网设备的高速增长，一方面是科技进步的必然结果，另一方面却为民众埋下了严重的安全隐患，甚至可能会对电力、通信等行业的关键基础设施造成灾难性的后果。因此，政府促使物联网制造商将安全机制嵌入到其设备的举措就显得愈发重要。

参议院特别情报委员会副主席、弗吉尼亚州参议员马克·华纳(Mark Warner)呼吁美国各机构对此采取举措，而美国国会就是首批提出立法推进物联网安全的代表之一，加利福尼亚州当前则通过立法，要求制造商拥有“合理的安全功能或特征”。上个月，欧盟执法机构欧洲刑警组织和欧盟网络和信息安全局ENISA召开了物联网安全会议，讨论行业的当前核心问题——如何在为时已晚之前保护物联网。

可以想到，许多制造商会争辩说，要求物联网设备的额外安全性必然会增加设备的成本。但只有当我们接受了安全性这个前提，才能防止对全国乃至全球产生影响的灾难。

阻止物联网入侵

立法是个好的长期解决方案，但它并不是立竿见影的解决办法。下列几种方法可以防止物联网设备受到感染，同时也必须采取其他步骤，以防止这些设备对连接到网络的其他设备造成进一步损害。

密码设置是开启物联网设备保护的最简单容易的步骤，但常常被人们忽视。密码的初始默认值通过查看在线文档就可以知晓了。由于这些设备安装起来很容易，用户通常不会更改初始密码，当其连接到互联网时，就相当于为恶意行为者提供了一扇大门，让他们能够随意进入、感染并利用设备。

而另一个漏洞利用机会对网络犯罪分子们来说就十分熟悉了——一旦在物联网设备中发现漏洞，大多数在部署后不会更新。更麻烦的是，许多设备甚至无法更新。这意味着只要制造商还没有提供方法来修改漏洞，被部署后设备就只能维持原样，这也是恶意软件能大行其道的原因之一。设备一旦遭到感染，阻止恶意软件的唯一方法就是将设备更换。

如前所述，物联网设备是用途单一或有限的设备，它们不需要拥有完全的网络访问权限就能完成工作。因此将设备部署到网络上时，应限制其他设备的访问权限，能防止感染的进一步蔓延。在理想情况下，物联网设备应该只能访问执行的基本内容，其他任何东西都应该被屏蔽。

最后，在企业网络上部署物联网设备时，如果设备能够访问关键业务的应用程序，应当确保有方法能监控流量，并安装相应的监控警报，提示恶意或异常活动的出现。例如，如果烟雾探测器开始与邮件服务器通信，那么你就会知道当中肯定出现了问题。网络流量分析正是清楚了解这种活动发生的途径所在。

只有当众人都认识到了内在的风险，并立法推动的情况下，物联网制造商将不得不改进这些设备的安全性，否则在灾难性事件发生时我们才不至于追悔莫及。