生存 or 毁灭：七大迫在眉睫的物联网威胁

物联网，这一曾经比较陌生的概念，随着技术发展，有了更简单的理解——将各种物理设备与互联网连接，成为网络的一个终端，这个设备可能是你的电脑摄像头，也可能是你的路由器，还有可能是心脏病患者的起搏器。

随着物联网的飞速发展，网络罪犯也开始利用其组建成了一支凶猛恶毒的攻击大军，成千上万的物联网设备组成僵尸网络用于发动大规模DDoS攻击。

根据研究机构Juniper Research预计，2020年物联网设备将达385亿个，比2015年的134亿个猛增285%，所谓量变导致质变，未来是被物联网设备包围的世界；没有安全，万物互联将不是桃花源，而是一个混乱的牢笼。

在过去几年中，研究人员展示的各种POC（概念验证）攻击，包括攻击联网汽车和联网婴儿监视器已经成功走入了现实。而在未来这种针对物联网设备的攻击趋势势必愈演愈烈，下列名单中的物联网设备（排名部分先后）要么就是已经被攻击者利用，要么就是已经证明存在安全威胁或是可能在2017年沦为攻击者的目标：

1. 家用网络路由器

在所有家用物联网设备中，网络路由器仍是迄今为止最危险的攻击目标。根据此前的一项调查显示，对于目前能够上网的家庭来说，有68%的家庭里有4个以上的终端设备连接到Wi-Fi网络，可是在路由器安全方面，其防护性能一直被设备厂商以及大众所忽略，因而导致黑客攻击事件频发。

现在市面上家用无线路由器随处可得，价格廉价又漏洞频出，同时，由于一些已知的家用路由器漏洞早就被公布出来，因此攻击者可以基于路由器的标识通过互联网进行扫描，并迅速识别出特定型号上的漏洞，将其锁定为目标。

据安全机构统计，目前50%以上的路由器默认的安全防护都十分薄弱，只是使用基本的用户名和密码组合，如“admin”和“password”；25%的用户则直接用地址、姓名、电话号码、路名或其他很容易猜到的词汇当作密码。结果显示，超过75%的路由器由于弱密码问题很轻易地沦为黑客的攻击目标。

更重要的是，不安全的路由器还为黑客轻松入侵大量家用无线网络提供了契机。研究显示，如果路由器没有受到适当的安全防护，将会成为网络攻击者入侵其他连网设备的跳板，以致于威胁连接其上的其他物联网设备，如摄像机、电视以及监视器等，都有被黑客攻击并操控的可能。

因此，安全专家警告，在黑客寻找、搜索可控制的物联网设备过程中，那些安全标准低、或不更改默认密码的路由器用户，都有可能成为潜在的牺牲者。

2. 数字录像机 （DVRs）

如今，机顶盒已经发展到了无处不在的地步，人们习惯用它录制电视节目，但是它已成为攻击者最喜欢的一个攻击目标。研究人员警告称，受损的数字录像机与最近的大规模DDoS攻击有关联，攻击者正在创建这种设备组成的庞大僵尸网络，用于各种恶意目的。

与家庭路由器一样，数字录像机也缺乏安全防护或几乎就没有安全控制机制。许多设备以硬编码或默认的密码和用户名连接到互联网中。通常，来自多家厂商的数字录像机集成了同一家供应商的部件。因此，一个产品中的安全漏洞可能也存在于另一家厂商的产品中。

安全厂商Flashpoint最近分析了涉及物联网设备的DDoS攻击中使用的恶意代码。该公司发现，恶意软件利用的大量数字录像机预装有某一家厂商的管理软件。供应商将数字录像机、网络录像机（NVR）和IP摄像头板卡卖给众多厂商，然后这些厂商又将这些部件用于自己的产品中。Flashpoint估计，由于存在漏洞的部件来自同一厂商，超过50万个联网数字录像机、网络录像机和IP摄像头都会轻易遭受攻击代码的袭击。

3. 智能冰箱/智能家居产品

2014年1月，安全厂商Proofpoint的一名研究人员在分析垃圾邮件及通过电子邮件传播的其他威胁时发现，至少有一台联网冰箱被用于转发垃圾邮件。

这起事件为分析师们一段时间以来所强调的事实提供了证明：如今安装在家里的许多联网设备，比如智能冰箱、电视、数字助理、智能供暖和照明系统等是极其脆弱的。

Tripwire的安全研究和开发高级主管Lamar Bailey表示：“冰箱、个人助理和电视有足够强大的处理能力可用于僵尸网络，或用作闯入网络其余部分的访问点。” Tripwire在概念验证（POC）攻击中入侵了许多这样的设备。

ForeScoutTechnologies的战略主管Pedro Abreu表示，这类设备在企业环境下也会构成威胁。例如，在办公休息室中的联网冰箱可以为闯入含有企业数据的系统提供一个意想不到的入口。

Abreu说：“这倒不是为了入侵冰箱，而是为了通过冰箱获得网络访问权。由于联网冰箱连接到企业网络上，又连接到企业应用程序上，黑客就可以通过联网冰箱的入口，获得宝贵的企业数据和客户数据。我们非常关注‘不寻常的嫌疑对象’――这些设备表面看来似乎并没有任何安全风险，但是一旦你仔细观察就会发现其内在岌岌可危。”

4. 植入式医疗设备

无线支持的植入式医疗设备，比如胰岛素泵、起搏器和除颤器的安全漏洞让它们成为恶意攻击者的诱人目标。近年来，安全研究人员已经证明攻击者如何利用这些设备中未加密、整体薄弱的通信协议来远程控制它们，并且让它们出现可能致命的行为。

2013年，因为担心攻击者入侵，前副总统DickCheney的医生甚至禁用了他体内起搏器的无线功能。

就在2016年10月，Rapid7的一名安全研究人员演示了攻击者如何利用Animas胰岛素泵的无线管理协议和配对协议存在的弱点，之后消费品巨头强生公司被迫提醒用户其胰岛素泵可能存在隐患。这个安全漏洞会让攻击者得以远程访问Animas胰岛素泵，并让他们向设备佩戴者释放致命剂量的胰岛素。

Arxan的首席技术官Sam Rehman说，实施这种攻击所需付诸的努力和成本相对较少。他认为：“技术创新将大量产品推向市场，因此也增加了攻击面。随着越来越多的设备连接到互联网、开放的通信线路中，很明显就降低了黑客获得访问权、破坏医疗设备所需的难度和技能。”

5. SCADA系统

很少有人认为用来管理工业控制设备和关键基础设施的监控和数据采集（SCADA）系统属于物联网的组成部分，但它们确实是。就像其他许多的物联网设备一样，它们也是十分脆弱的。

就在不久前，SCADA系统还没有连接到互联网，因此不需要与其他联网系统一样具备安全控制机制。然而，由于近些年来许多SCADA系统开始联网，相对缺乏控制，包括硬编码的密码和糟糕的修补流程都已经成为影响SCADA系统安全的大问题。

RubiconLabs的产品副总裁RodSchultz表示：“工业控制器，尤其是已安装到位、难以更新的SCADA系统尤其容易受到攻击。控制任何一种动能——水力、电力和核电或关键业务信息（比如银行和金融数据）的任何控制系统都被认为是目标。”

针对这些系统的攻击可能会带来实质性的物理后果。早在2007年，研究人员就演示了攻击者如何通过攻击控制电网设备的SCADA系统来破坏这类设备。但是物理伤害并不是唯一需要担心的问题。

Schultz表示，攻击者可能将受损的SCADA系统用于DDoS攻击或勒索软件攻击。他说：“物联网攻击将会变成利润中心。当然，金融系统是显而易见的目标，我们将SCADA系统也视作重要的、易受攻击的目标。”

6. 婴儿监视器

用于监视婴儿的消费产品是另一种易受攻击和破坏的物联网设备。

2015年，安全厂商Rapid7检查了多家厂商提供的几款联网视频婴儿监视器和相关的云服务，结果发现当中存在10个安全漏洞。

发现的问题包括硬编码密码、未加密通信、权限升级、轻松可猜中的密码、后门帐户以及让攻击者可以篡改设备功能的缺陷。

这些安全漏洞允许攻击者劫持视频会话、查看存储在云端的视频，或者全面控制婴儿监视器。所有的安全漏洞都很容易被利用，允许攻击者对受损设备拥有不同程度的远程控制权。

Rapid7在宣布这些安全漏洞时特别指出，这类易受攻击的设备如何对连接到家庭网络的任何计算机构成威胁，包括远程办公人员使用的那些计算机。

Rapid7警告称，被感染的物联网设备可能“被用于通过利用传统家庭网络的不分段、完全信任这一特性，转而攻击其他设备和传统计算机。”

7. 联网汽车

像SCADA系统一样，很少会有人把汽车当作物联网的组成部分。但事实是，现代汽车里面的众多组件都是通过网络即可访问的，这也使其暴露在通过网络传播的威胁面前。

和其他许多物联网威胁一样，还没有任何公开地已知情况证明攻击者成功利用联网汽车中防护不力的电子元件来搞破坏。但是安全研究人员已多次演示了这种威胁到底有多么真实。

最引人注目的例子依然来自Uber先进技术中心的两位安全研究人员Chris Valasek和Charlie Miller。过去两年，这两位研究人员演示了他们可以如何利用吉普切诺基的控制器局域网中的漏洞，远程控制汽车的加速器、刹车和转向系统。研究人员还演示了对丰田和福特车型发动的概念验证（POC）攻击。

可以说，今时今日是一个“不创新毋宁死”的年代，一些小工作室或是创客都有可能凭借惊世骇俗的创意，撼动已经存在百年的传统市场游戏规则，彻底颠覆人类的生活与工作模式，而物联网这一新生事物更能成为触发创意的重要因素。

有朝一日，人们会穿戴着智能运动鞋、智能服饰、智能手表穿梭在人群中，办公楼里也会充斥着各类物联网设备，如智能温度／湿度调节器、智能空气净化器……

那么现在问题来了，你能想象它们全部被黑客控制后的场景吗？反正小编我是不敢想了！生存OR毁灭…考验来了，你们做好准备了吗?!