物聯(lián)網(wǎng)智庫 整理發(fā)布

轉(zhuǎn)載請注明來源和出處

導(dǎo)  讀

總理在政府工作報(bào)告中提到:中央預(yù)算內(nèi)投資安排6000億元。重點(diǎn)支持既促消費(fèi)惠民生又調(diào)結(jié)構(gòu)增后勁的“兩新一重”建設(shè)。

近日,一群黑客自曝攻擊了美國硅谷初創(chuàng)公司Verkada提供的基于云的攝像頭服務(wù),采集了攝像機(jī)數(shù)據(jù),并盜取了15萬個監(jiān)控?cái)z像頭的實(shí)時視頻,涉及醫(yī)院、診所、公司、警察部門、監(jiān)獄、學(xué)校、精神病院等眾多場景,尤為引發(fā)關(guān)注的是,其中還包括特斯拉工廠和倉庫內(nèi)的222個攝像頭。

黑客爆料:入侵并不復(fù)雜

事件發(fā)生后,Verkada公司立即進(jìn)行應(yīng)急響應(yīng),禁用所有內(nèi)部管理員帳戶,以防止任何未經(jīng)授權(quán)的訪問,并進(jìn)行調(diào)查取證。該公司同時表示,截至美國時間3月9日中午,系統(tǒng)仍是安全的,沒有用戶密碼泄露,黑客只是獲得了攝像頭的訪問權(quán)限和客戶名單,同時已就大規(guī)模黑客入侵事件聯(lián)系了美國聯(lián)邦調(diào)查局。

特斯拉也回應(yīng)稱,此次黑客的入侵范圍僅涉及河南一處特斯拉供應(yīng)商生產(chǎn)現(xiàn)場,此工廠使用了少數(shù)Verkada品牌攝像機(jī)用作遠(yuǎn)程質(zhì)量管理,其他如上海超級工廠與此并不關(guān)聯(lián),且其他攝像設(shè)備均接入公司內(nèi)網(wǎng)而非互聯(lián)網(wǎng)。目前,特斯拉已停止了這些攝像頭的聯(lián)網(wǎng),并將進(jìn)一步提升各環(huán)節(jié)的安全把控。

然而,在所有公司忙著應(yīng)急響應(yīng)、公開辟謠的時候,黑客組織成員蒂莉·科特曼(Tillie Kottmann)卻表示,入侵Verkada攝像頭的方法并不復(fù)雜——僅僅是在互聯(lián)網(wǎng)上發(fā)現(xiàn)了一個公開的管理員賬戶的用戶名和密碼就進(jìn)入了Verkada網(wǎng)絡(luò)內(nèi)部,甚至他們還能獲得攝像頭的root權(quán)限,利用攝像頭執(zhí)行自己的代碼。

同時,科特曼還表示,此舉的目的是向大眾展示視頻監(jiān)控的普及程度以及系統(tǒng)是如何被輕松入侵的,目前并未給波及單位造成明顯商業(yè)損失。顯然,侮辱性極強(qiáng)。但是,這次網(wǎng)絡(luò)安全攻擊也確實(shí)為物聯(lián)網(wǎng)行業(yè)敲響了警鐘。

國內(nèi)外安全攻擊頻發(fā)

近年來,視頻監(jiān)控技術(shù)在AI、大數(shù)據(jù)、云平臺的加持下大規(guī)模落地于各個行業(yè),廣泛覆蓋公共道路、辦公樓、商超大廈、學(xué)校、醫(yī)院、工廠等場景,甚至在私密性極強(qiáng)的家居場景也不乏網(wǎng)絡(luò)攝像頭。后疫情時代,人們更是對機(jī)器視覺催生出的人臉識別、無接觸測溫、遠(yuǎn)程辦公、遠(yuǎn)程醫(yī)療、在線教育等一眾智能應(yīng)用愈發(fā)地依賴。

根據(jù)中國安全防范產(chǎn)品行業(yè)協(xié)會的預(yù)測,未來幾年國內(nèi)外對安防技術(shù)產(chǎn)品的基本建設(shè)需求、系統(tǒng)的升級換代需求以及新業(yè)態(tài)的拓展,都將保持穩(wěn)定增長的趨勢,預(yù)計(jì)“十三五”期間中國安防行業(yè)經(jīng)濟(jì)增長將保持在10%-12%之間 ,2020年行業(yè)經(jīng)濟(jì)總收入將達(dá)到8000億元左右,安防行業(yè)增加值將達(dá)到2500億元左右。

業(yè)內(nèi)常言,多一個接入點(diǎn)就多一個攻擊點(diǎn)。但是,隨著智能終端的爆發(fā)式增長,安全攻擊入口自然隨之而來,貫穿數(shù)據(jù)產(chǎn)生與采集、數(shù)據(jù)傳輸、數(shù)據(jù)存儲、數(shù)據(jù)分析、數(shù)據(jù)應(yīng)用全鏈路,涉及數(shù)據(jù)生產(chǎn)者、數(shù)據(jù)收集者、數(shù)據(jù)存儲方、數(shù)據(jù)使用者等各級企業(yè),存在著數(shù)據(jù)竊取、數(shù)據(jù)破壞、非法監(jiān)控、非法篡改等諸多安全問題,網(wǎng)絡(luò)結(jié)構(gòu)的復(fù)雜化也在不斷提升著安全防御的難度。

然而,從這次Verkada公司攻擊事件來看,黑客并沒有對特斯拉工廠或者美國醫(yī)院、監(jiān)獄的任何一個接入點(diǎn)動手,而是直搗黃龍,“大搖大擺”地走進(jìn)了Verkada公司的網(wǎng)絡(luò)內(nèi)部。正如電子前沿基金會網(wǎng)絡(luò)安全負(fù)責(zé)人伊娃·戈?duì)柵辶?Eva Galperin)所講,有些公司在將安全攝像頭放在比較敏感的地方時,可能并沒有想到這些視頻除了被自己的安全團(tuán)隊(duì)使用外,也能被攝像頭廠商查看。

在網(wǎng)絡(luò)攝像機(jī)如火如荼發(fā)展的這些年中,它的負(fù)面消息也從未間斷。

2014年,�？低�視 DVR、NVR 產(chǎn)品的返修數(shù)量非正常升高,公司發(fā)現(xiàn)系網(wǎng)絡(luò)攻擊導(dǎo)致。經(jīng)排查,被攻擊的設(shè)備均應(yīng)用于互聯(lián)網(wǎng)且未修改設(shè)備初始密碼,黑客持續(xù)利用美國、瑞典、荷蘭等境外服務(wù)器資源,直接通過初始密碼Telnet登錄,并植入腳本文件,進(jìn)而挾持、破壞設(shè)備固件。公安系統(tǒng)設(shè)備甚至也可能暴露于攻擊范圍內(nèi)。

2018年,外媒報(bào)道,數(shù)以萬計(jì)的大華設(shè)備的登陸密碼被緩存在ZoomEye物聯(lián)網(wǎng)搜索引擎的搜索結(jié)果中,這些密碼適用于運(yùn)行有老舊固件的大華DVR,攻擊者可以在37777端口上的大華DVR啟動原始TCP連接,以發(fā)送特殊的有效載荷,一旦大華設(shè)備收到此有效負(fù)載,它將以DDNS憑證響應(yīng)從而訪問設(shè)備和其他數(shù)據(jù),這一切都以明文形式進(jìn)行響應(yīng)。雖然該漏洞已于2013年被發(fā)現(xiàn)、修補(bǔ),但仍有大批大華設(shè)備仍未更新。

2019年,溫州警方曾破獲了一起非法販賣某品牌APP掃描工具以及利用APP掃描工具對他人的攝像頭進(jìn)行掃描、控制達(dá)到數(shù)十萬只的案件。

2020年,黑客入侵面部識別初創(chuàng)公司Clearview AI,訪問了該公司的客戶名單、客戶建立的用戶賬戶數(shù)量,以及客戶進(jìn)行的搜索次數(shù)等,其中涉及到的客戶包括執(zhí)法機(jī)構(gòu)、銀行等。據(jù)了解,Clearview AI 的圖片庫主要來源于互聯(lián)網(wǎng),其中包括來自 Facebook、Instagram、Twitter 和 YouTube 等流行社交媒體平臺的照片,總量達(dá) 30 多億張,遠(yuǎn)超 FBI 的數(shù)據(jù)庫。

……

轉(zhuǎn)守為攻,構(gòu)建主動安全機(jī)制

身處智能時代,安全之于用戶意味著在享受智能終端便利的同時無隱私泄露之憂;安全之于企業(yè)意味著生產(chǎn)、工作有序完成的基礎(chǔ)保障。此外,人臉識別廣泛應(yīng)用的同時,人臉數(shù)據(jù)的泄露不僅關(guān)乎個人隱私,也可能同時造成難以挽回的經(jīng)濟(jì)損失。所以,企業(yè)必須要扭轉(zhuǎn)“被動挨打”的窘境,主動出擊。

網(wǎng)絡(luò)安全永遠(yuǎn)是攻擊者與防御者之間的博弈,當(dāng)單純防御與應(yīng)急響應(yīng)無法滿足實(shí)際需求時,這場貓鼠游戲的角色也在悄然轉(zhuǎn)變,企業(yè)正在逐步邁入主動安全時代。

早在2017年,新華三集團(tuán)便在業(yè)界率先提出了“主動安全”理念,以主動發(fā)現(xiàn)、智能分析、提前預(yù)警、及時響應(yīng)為核心目的,并已經(jīng)演進(jìn)至2．0階段,實(shí)現(xiàn)了云-管-邊-端的全面AI賦能及全面云化,通過組件級、產(chǎn)品級和解決方案級協(xié)同實(shí)現(xiàn)了覆蓋路由層、交換層、無線端、終端、計(jì)算方、存儲方的更廣域連接;實(shí)現(xiàn)了包含篡改網(wǎng)址阻斷、風(fēng)險(xiǎn)用戶下線、風(fēng)險(xiǎn)主機(jī)隔離在內(nèi)的更深層響應(yīng);涵蓋了安全運(yùn)維一體化、物聯(lián)網(wǎng)安全、視頻安全、云安全在內(nèi)的更廣泛場景。

2018年,360公司創(chuàng)始人周鴻祎在第二屆世界智能大會上,首次提出了360“安全大腦”的全新概念,以安全大數(shù)據(jù)分析為基礎(chǔ),構(gòu)建網(wǎng)絡(luò)空間的雷達(dá)系統(tǒng)。基于大范圍、長時間、多維度的安全大數(shù)據(jù),綜合運(yùn)用大數(shù)據(jù)分析、機(jī)器學(xué)習(xí)以及人機(jī)結(jié)合等關(guān)鍵技術(shù),感知安全風(fēng)險(xiǎn),且具備自我學(xué)習(xí)、自我演進(jìn)的能力,可實(shí)現(xiàn)對新威脅的識別,還可依據(jù)安全大數(shù)據(jù)及先驗(yàn)知識或規(guī)則進(jìn)行推理,并對未來可能發(fā)生的網(wǎng)絡(luò)安全威脅和攻擊進(jìn)行預(yù)測。同時,綜合利用各種技術(shù),實(shí)現(xiàn)對網(wǎng)絡(luò)安全威脅的分析、判斷、處置、響應(yīng)、反制等決策進(jìn)行輔助。

此外,面對物聯(lián)網(wǎng)安全領(lǐng)域的嚴(yán)峻挑戰(zhàn),企業(yè)也紛紛開始布局。賽普拉斯面向物聯(lián)網(wǎng)開發(fā)者推出了保證物聯(lián)網(wǎng)安全的方案;紫光國微的THD89芯片在敏感信息加密存儲、安全認(rèn)證等方面提供了完整解決方案,可有效保障物聯(lián)網(wǎng)的終端安全;國民技術(shù)推出了一系列嵌入式應(yīng)用的安全芯片及安全MCU產(chǎn)品;英飛凌也推出了基于硬件的安全解決方案,以保障物聯(lián)網(wǎng)設(shè)備“上云”的安全性。

寫在最后

安全領(lǐng)域的攻防對抗不會停止,防御挑戰(zhàn)也將隨著物聯(lián)網(wǎng)終端數(shù)量的增加與賦能場景的擴(kuò)張而升級,幸而在AI、大數(shù)據(jù)等技術(shù)的加持下,主動安全機(jī)制正在不斷完善、演進(jìn),進(jìn)而幫助企業(yè)提升安全能力。

參考資料:

1、《黑客入侵15萬個攝像頭,偶然曝光特斯拉上海工廠實(shí)況!》,智東西

2、《起因222個攝像頭,特斯拉工廠教會IoT行業(yè)的事》,物聯(lián)傳媒

3、《�？低�視遭遇“安全門” 黑客境外攻擊已達(dá)半年》,北京青年報(bào)

4、《2020年中國“AI+安防”行業(yè)研究報(bào)告》。36氪研究院

5、《數(shù)萬臺大華設(shè)備現(xiàn)漏洞 密碼暴露于ZoomEye物聯(lián)網(wǎng)搜索引擎》,天極網(wǎng)

6、《全世界運(yùn)行著大約230億臺物聯(lián)網(wǎng)設(shè)備,安全問題如何解?》,中國電子報(bào)