物联网与移动互联下的数码安全新挑战

　　上季度给某IoT大厂做安全评估，半夜被运维小王在群里@全员——三百多台智能摄像头集体掉线，日志里全是403。我原以为又是WAF规则误杀，结果翻到流量镜像，发现所有设备都在往同一个境外IP发UDP包，端口还随机变。最骚的是，这批设备用的固件是三年前的版本，漏洞编号我闭着眼都能背出来，可客户死活不肯升级，说“升级会影响设备稳定性”。安全是成本不是收入，这道理我懂，但成本摊到用户头上就叫“安全事件”，摊到厂商头上就叫“技术债”，这账算得比谁都精。

　　那天凌晨三点，我和小王蹲在机房里翻日志，他指着屏幕上那串眼熟的IP说：“这地址上周刚在蜜罐里见过，估计是同一批马。”我凑过去看，发现访问时间全是凌晨两点到四点——攻击者比我们更懂“错峰出行”。小王叹了口气：“这批设备没做端到端加密，数据包明文传输，抓个包就能伪造指令。”我点头，心想这哪是安全评估，分明是给厂商擦屁股。可擦屁股也得讲方法，比如先把WAF规则调松点，让设备能重新上线，再慢慢溯源攻击路径——结果客户非要我们先出“紧急修复方案”，修复方案里第一条就是“升级固件”，第二条是“启用HTTPS”，第三条是“部署EDR”。我盯着屏幕冷笑：这三条里哪条不是成本？哪条能直接变成收入？

文章配图，仅供参考

　　后来我翻了下他们的日志，发现攻击者其实早就渗透进去了，只是没触发EDR的告警规则——因为攻击者用的工具也是他们自己开发的。这就像你家装了防盗门，结果小偷是你家亲戚，还拿着你给的钥匙。我跟客户说：“你们得把开发和安全拉到一个群里，让他们互相骂三个月，问题就解决了。”客户说：“这…不太好吧？”我说：“不好也得做，否则下次被攻击，你们连溯源都溯不到——攻击者用的工具和你们自己的工具长得一模一样，日志里根本分不清。”

　　说到溯源，上周还遇到个更离谱的。某IoT设备厂商被攻击后，我们花了三天时间溯源，结果线索断在某个跳板机上——那台机器的日志被清得干干净净，连系统时间都被改过。我原以为是个高手，结果一查IP，发现是某云服务商的出口IP——攻击者直接买了台云主机当跳板，用完就删，连痕迹都不留。小王说：“这招太损了，我们连反制都反制不了。”我说：“反制个屁，人家用的是合法服务，你总不能把云服务商的IP全封了吧？”他点头：“也是，安全这行，有时候就是比谁更不要脸。”

　　对了，那批智能摄像头的攻击事件最后怎么解决的？客户最终还是不肯升级固件，只让我们把WAF规则调松点，让设备能重新上线。至于攻击路径，我们只溯源到某个代理节点，再往后就断了——攻击者用了多层代理，每层都清日志，连时间戳都随机化。我跟客户说：“这样下去不是办法，下次攻击可能更猛。”客户说：“没事，我们买了保险。”我差点没笑出声：保险能赔钱，能赔用户信任吗？能赔品牌声誉吗？可这话我没说出口——安全是成本不是收入，这道理他们比我懂，只是不愿意承认罢了。

　　现在每次做安全评估，我都先问客户：“你们的安全预算是多少？”如果对方说“没预算”，我就直接说：“那别做了，省点时间。”如果对方说“有预算”，我就再问：“这预算是给安全团队的，还是给公关团队的？”因为经验告诉我，前者可能真想解决问题，后者只想解决问题曝光后的麻烦。安全这行，有时候比的是谁更现实——你跟客户谈理想，客户跟你谈成本；你跟客户谈成本，客户跟你谈保险。可保险能保一时，保不了一世啊。

　　下一步我打算做个实验：找几家愿意配合的客户，把他们的安全投入和后续攻击事件做对比，看看是不是真如他们所说，“安全是成本不是收入”。如果数据支持，我就写篇论文发出去；如果不支持…那就当我没说过这话。毕竟，安全这行，有时候连自己都骗。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!