IoT，在早些年，這個還略微有些陌生的名詞，如今已經(jīng)走向了我們生活的方方面面，比如云端監(jiān)視器，網(wǎng)絡工控設備，衛(wèi)星天線設備等等。但是IoT安全也是一直令人困擾的一個問題，大部分的安全會議都會說到當今的IoT安全現(xiàn)狀不容樂觀。

就在前兩天，Akamai安全實驗室的研究人員就發(fā)表了一篇關于IoT的安全報告。Akamai的安全研究人員發(fā)現(xiàn)有很多的IoT設備在在網(wǎng)上有大規(guī)模的惡意流量。當他們對這些IoT設備進行檢測的時候發(fā)現(xiàn)黑客只是用了非常古老的一個OpenSSH漏洞就可以入侵全球大約兩百萬個IoT設備。

　　詳情

研究人員采集了目前在公網(wǎng)上所有的IoT設備后，得出以下類型的IoT設備受此漏洞此漏洞影響。

CCTV，NVR，DVR設備（視頻監(jiān)控設備）

衛(wèi)星天線設備

網(wǎng)絡設備（路由器，電纜控制器，ADSL調(diào)制解調(diào)器等）

可連接Internet的NAS設備（網(wǎng)絡連接存儲器等）

造成這個危害的原因主要是由于眾多的IoT設備未對CVE-2004-1653漏洞打上補丁，而這個漏洞可以創(chuàng)建并使用未經(jīng)授權的SSH隧道，并且獲得該設備的控制權限。黑客只要能夠訪問IoT設備的Web控制面板，就可以建立SSH隧道。讓研究人員驚訝的是為何眾多IoT設備會存在12年前的高危漏洞，可見大部分IoT設備廠商的安全意識有多么的薄弱。

如何預防？

針對普通用戶

一定要記得更改IoT設備的默認設置。

SSH服務使用完畢后，一定要記得禁用SSH服務，或者將AllowTcpForwarding No放入到sshd_config內(nèi)。

建立防火墻規(guī)則，防止攻擊者IP訪問SSH服務。

針對IoT廠商

沒有設置登陸憑證的IoT設備不能訪問互聯(lián)網(wǎng)。

除了用戶需要，否則默認禁用SSH服務。

不能讓SSH服務以TCP端口轉(zhuǎn)發(fā)。

更新sshd，避免出現(xiàn)更多的SSH漏洞。

后記

在互聯(lián)網(wǎng)飛速發(fā)展的今天，很多新技術，理論，產(chǎn)品等等都出現(xiàn)在人們的生活中，比如Saas，區(qū)塊鏈，IoT，云技術等等。從好的方面來看，這些技術的確帶給人們更高的生活質(zhì)量，也解決了部分社會問題等。但是從安全方面來看，這些新的互聯(lián)網(wǎng)產(chǎn)物還有很多的安全問題未被解決。相關的安全意識和安全產(chǎn)業(yè)還有待繼續(xù)完善和跟進。而這次的安全事件，主要還是由于IoT廠商對于安全意識的缺乏，所以才導致眾多IoT設備還存在12年前的老漏洞。