因?yàn)橛布踩夹g(shù)的落后，黑客在攻擊智能設(shè)備時(shí)總能輕易得手。從聯(lián)網(wǎng)汽車到胰島素泵，都存在陷入險(xiǎn)境的可能。
從你客廳里的數(shù)字錄像機(jī)到你辦公室里的安全攝像頭，各種設(shè)備上的默認(rèn)密碼威脅著互聯(lián)網(wǎng)的穩(wěn)定，因?yàn)楹诳偷靡越⑵瘕嫶蟮?ldquo;物聯(lián)網(wǎng)”設(shè)備網(wǎng)絡(luò)，用流量來攻擊網(wǎng)站。
上周五，對(duì)域名服務(wù)提供商Dyn的攻擊使對(duì)Twitter、Spotify和《紐約時(shí)報(bào)》(New York Times)等熱門網(wǎng)站的訪問中斷，凸顯出數(shù)十億只有很少或者沒有網(wǎng)絡(luò)安全保護(hù)的聯(lián)網(wǎng)設(shè)備帶來的風(fēng)險(xiǎn)。身份不明的黑客用叫做Mirai的惡意軟件控制了數(shù)千萬臺(tái)設(shè)備，使這種攻擊比一般的分布式拒絕服務(wù)攻擊更強(qiáng)大、更難以抵御。
在通過智能手機(jī)控制住宅和辦公樓（調(diào)整溫度或者利用攝像頭監(jiān)測(cè)盜賊）的前景引起的興奮之情中，許多沒有多少網(wǎng)絡(luò)安全經(jīng)驗(yàn)的廠商把它們的設(shè)備連接到了互聯(lián)網(wǎng)上。
監(jiān)管機(jī)構(gòu)還沒有制定明確的規(guī)則，規(guī)定該如何保護(hù)這些聯(lián)網(wǎng)設(shè)備，甚至連企業(yè)也逐漸發(fā)現(xiàn)，善意的供應(yīng)商或者設(shè)備管理者也會(huì)因?yàn)樵黾勇?lián)網(wǎng)設(shè)備不經(jīng)意地造成企業(yè)網(wǎng)絡(luò)的漏洞。
云安全公司Zscaler的首席信息安全官邁克爾？薩頓(Michael Sutton)表示，上周五的黑客攻擊將成為硬件行業(yè)的一通“叫醒電話”。
“硬件業(yè)的安全落后于軟件業(yè)十年，”他說，“Mirai的成功是因?yàn)橛腥绱酥嗟木W(wǎng)絡(luò)攝像頭、數(shù)字錄像機(jī)等設(shè)備生產(chǎn)出來時(shí)附帶的默認(rèn)密碼從未更改過。一次簡單的互聯(lián)網(wǎng)掃描就能識(shí)別出這些密碼，讓它們迅速陷入危險(xiǎn)的境地。”
多年來，網(wǎng)絡(luò)安全專家一直在告訴人們警惕“物聯(lián)網(wǎng)”設(shè)備的風(fēng)險(xiǎn)，在他們的年度會(huì)議Def Con上公開展示引人注目的黑客攻擊，展現(xiàn)出從聯(lián)網(wǎng)汽車到胰島素泵等一切事物都可能被入侵。但通常，很難看出為何網(wǎng)絡(luò)犯罪者會(huì)把個(gè)人設(shè)備列為目標(biāo)，除非是為了把一個(gè)人的行動(dòng)暴露在公眾視線下，或者是為了傷害某個(gè)政治人物。這次的黑客攻擊表明，就算一個(gè)聯(lián)網(wǎng)設(shè)備不一定會(huì)給設(shè)備所有者本人帶來巨大威脅，這個(gè)設(shè)備也可以被惡意利用來攻擊其他人。
研究公司Gartner預(yù)測(cè)，到2020年，世界上將有逾200億臺(tái)聯(lián)網(wǎng)設(shè)備，消費(fèi)者將在“物聯(lián)網(wǎng)”上花費(fèi)1.5萬億美元，而企業(yè)的花費(fèi)幾乎也將達(dá)到同一水平。Gartner預(yù)測(cè)，到2020年，超過四分之一對(duì)企業(yè)的攻擊將涉及聯(lián)網(wǎng)設(shè)備，但企業(yè)只會(huì)將10%的網(wǎng)絡(luò)安全預(yù)算花在對(duì)此類攻擊的防御上。
硅谷網(wǎng)絡(luò)安全公司SentinelOne的安全策略主管杰里邁亞？格羅斯曼(Jeremiah Grossman)表示，“早就應(yīng)該”對(duì)設(shè)備不安全問題投注更多注意力。他說，設(shè)備制造商應(yīng)該迫使用戶修改默認(rèn)密碼，將這作為設(shè)置流程的一步，并且發(fā)布安全更新，就像對(duì)個(gè)人電腦(PC)所做的那樣。安裝一個(gè)能夠監(jiān)控設(shè)備活動(dòng)的代理，就會(huì)在這個(gè)設(shè)備被黑客吸收到“僵尸網(wǎng)絡(luò)”之中時(shí)顯示它“非常異常的”活動(dòng)。
對(duì)該行業(yè)進(jìn)行監(jiān)管“幾乎不可能”，格羅斯曼補(bǔ)充道，因?yàn)閷⒃O(shè)備連接到互聯(lián)網(wǎng)的公司無法被歸為任何一個(gè)類別：囊括了從智能電視制造商到醫(yī)療器械制造商等各類公司。
一些監(jiān)管機(jī)構(gòu)看到了潛在威脅，監(jiān)督起搏器和其他醫(yī)療器械制造商的美國食品藥品管理局(FDA)今年早些時(shí)候就醫(yī)院和制造商該如何監(jiān)控設(shè)備漏洞并運(yùn)用更新發(fā)布了指導(dǎo)文件草案。
Shape Security首席技術(shù)官舒曼？高斯馬宗德(Shuman Ghosemajumder)認(rèn)同監(jiān)管機(jī)構(gòu)很難“解決問題”，因?yàn)楹诳筒粩嚅_發(fā)新手段使安全挑戰(zhàn)不斷變化。但他說，監(jiān)管機(jī)構(gòu)應(yīng)該負(fù)起責(zé)任，制定“最低要求和規(guī)范”。
“整個(gè)行業(yè)應(yīng)該做得更好。毫無疑問，對(duì)互聯(lián)網(wǎng)連接帶來新功能的興奮之情推動(dòng)了‘物聯(lián)網(wǎng)’的發(fā)展，而安全問題被拋到了一邊，”他說。
然而，他補(bǔ)充，像域名服務(wù)提供商Dyn（許多大公司都依賴Dyn來提供對(duì)它們網(wǎng)站的訪問）這樣的潛在目標(biāo)也需要提高它們的安全水平，更好地抵御不斷擴(kuò)大的僵尸網(wǎng)絡(luò)。
Dyn上周六發(fā)布博文稱，正在警惕進(jìn)一步的攻擊，并正與執(zhí)法機(jī)構(gòu)和其他方面合作，調(diào)查此次攻擊的幕后黑手。“這類攻擊的數(shù)量和類型、持續(xù)時(shí)間和規(guī)模，以及復(fù)雜性，都在上升，”首席策略官凱爾？約克(Kyle York)說。
約克說，因?yàn)橐蕾囉贒yn服務(wù)的客戶，Dyn通常是“互聯(lián)網(wǎng)的第一響應(yīng)者”。但隨著互聯(lián)網(wǎng)規(guī)模擴(kuò)大，將恒溫器、燈泡和嬰兒監(jiān)視器都連接進(jìn)來，請(qǐng)“醫(yī)務(wù)人員”救急卻變得更加困難了。
