移动互联时代，别让数码设备活在单机牢笼

　　去年四月那事儿现在想起来还膈应——我原以为给客户的物联网设备开个内网穿透就完事了，结果他们非要省那点云服务钱，把所有传感器都摁在本地局域网里跑。那天凌晨三点被运维群@全员，说监控大屏突然黑了，我爬起来看日志，好家伙，三百多台设备同时掉线，WAF日志里全是403，可溯源到一半发现流量全走内网环回地址，像被人用吸管把数据吸进黑洞似的。

文章配图，仅供参考

　　这事儿让我想起上周参加的攻防演练，某银行把ATM机的运维端口全锁在4G专网里，结果被攻击队用伪基站劫持了流量——你说这算联网还是不联网？现在那些标榜“单机运行更安全”的设备，十有八九是老板拍脑袋的决定。我见过最离谱的案例，某工厂把PLC控制柜的网线都拔了，结果操作工用U盘拷程序时中了勒索病毒，整个产线停摆三天——这成本够买十年云服务了。

　　说回安全是成本不是收入这事儿，我敢打包票，那些把设备关在“单机牢笼”里的，最后花的钱绝对比开放接口的多。去年帮某物流公司做系统，他们非要自己搭私有云，结果为了防DDoS，买了三台防火墙+两台流量清洗设备，每年维护费够买阿里云企业版十年。更搞笑的是，有次被攻击是因为他们内网用的还是十年前的SMBv1协议，这锅能甩给“联网”吗？

　　对了，那天查日志时还发现个有意思的细节——攻击流量里混着几段眼熟的IP段，去年在另一个客户那见过同样的标记。我原以为这是同一个攻击团伙，结果找圈里朋友一问，说是某安全厂商的蜜罐系统在自动回传数据——合着我们在这儿提心吊胆，人家拿我们的流量当训练集呢。

　　现在我最烦听两种话：一种是“我们设备没联网，不用考虑安全”，另一种是“只要断网就绝对安全”。前者是懒，后者是蠢。去年有个做智能家居的客户，把所有设备都锁在本地Wi-Fi里，结果用户用手机热点调试时中了木马，整个家庭网络被当跳板攻了三家邻居——这责任算谁的？

　　说到底，安全从来不是非此即彼的选择题。我见过最聪明的做法，是某医院把医疗设备接在独立VLAN里，通过防火墙只开放必要端口，同时用SDP技术做动态访问控制——既保证了可用性，又把攻击面缩到最小。这方案比完全断网多花不了多少钱，但出了事能少赔几百万。

　　那天处理完客户的事故，我在运维群里发了段话：“别把设备当囚犯关在单机牢笼里，它们需要的是有守卫的花园。”结果安全主管回了个“收到”，然后转头让运维把所有设备的USB口都灌了AB胶——这操作，我服。

　　现在每次看到有人吹“单机更安全”，我就想甩他一份我整理的《内网渗透案例集》——里面三十多个案例，八个是通过U盘传播，五个是利用内网共享漏洞，剩下全是靠社会工程学骗内网权限。你说这跟“联网”有多大关系？

　　最后说句实在的：安全这事儿，该花的钱一分都省不了。那些觉得断网就能高枕无忧的，要么是没被社会毒打过，要么是毒打还没轮到头上。我抽屉里还压着某客户的整改方案，日期是去年四月——就是那家把设备锁在局域网里，结果被自己人误删系统文件的——现在他们云服务的合同都快续签第三年了。

（编辑：站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!