近日，安全厂商绿盟科技凭借对物联网业务的长期关注，根据他们对物联网设备情报信息的收集和分析，发布了“2017物联网安全年报”。该报告对全球和中国物联网资产暴露情况，威胁风险进行深刻剖析，并给出目前有效的物联网安全防护体系和防护建议。对企业用户和个人用户均有指导意义。

为何安全厂商如此关注物联网安全？据Gartner预测，自2015年至2020年，物联网终端年均复合增长率为33%，安装基数将达到204亿台，其中三分之二为消费者应用。物联网设备和应用正在各行各业蓬勃发展。数量之庞大，应用之广泛，与消费者生活乃至生命财产安全之紧密，足以引起安全厂商的重视。

据绿盟科技分享案例显示，大量物联网设备存在弱口令和已知漏洞风险，已有上万家庭摄像头被破解，不法分子在网络传播和出售家庭隐私视频和照片。而对于生产物联网设备的企业来说，将面临法律风险和商业损失。

从全球来看，2016年Mirai大规模感染事件，2017年Rowdy、DarkCat、Gafgyt等多种针对新型设备的僵尸家族，都为物联网设备安全防护拉响警钟。

在这份“2017物联网安全年报”中，绿盟分析了互联网上暴露的各类物联网设备资产，并提出了四大特点。

首先，暴露的物联网设备类型中，路由器和视频监控设备的数量最多。物联网恶意代码感染的物联网设备也以这些为主。其次，商用车的远程通信统一网关、网络恒温器等在互联网上也有一定的暴露。某些产品面临远程登录无密码保护、停产缺乏安全维护等风险。第三，一些常见的物联网操作系统在互联网上有不同程度的暴露。第四，越来越多的物联网云服务会暴露在互联网上。除了HTTP、FTP、SSH等通用服务外，运行MQTT、AMQP、CoAP等面向物联网的通信协议的服务也暴露在互联网上。

绿盟科技在物联网安全评估和研究中发现，很多物联网设备和应用存在类似的脆弱点和安全风险。如硬件接口暴露、弱口令、信息泄露、未授权访问等，大多源自物联网设备厂商在产品设计时未考虑安全特性，这反映出当前物联网设备厂商大多对安全重视不足。

事实上，在物联网生态链和供应链中，每一个环节都应该是安全节点，安全可靠的环境需要各个角色配合打造。绿盟科技认为物联网安全防护思路可分成四个层面：感知层、网络层、平台（边缘）层和应用（云平台）层，每层防护侧重有所不同。

绿盟科技建议物联网设备提供商，应主要关注终端安全，需引入安全开发流程提升终端安全性。在产品上市前应引入安全厂商对其进行安全评估、加固。在做到基本的防护机制后，可考虑与安全厂商合作，开发安全模块SDK，采集设备系统、日志、流量等信息，由安全厂商提供专业的安全SaaS或MSS服务。

物联网平台提供商，应重点关注平台安全和设备、移动端与自身的连接是否安全。在平台安全中，由于物联网终端数据多包含隐私信息，因此，数据安全变得尤为重要。通常物联网平台主要基于PaaS云平台，所以绿盟科技认为基于安全资源池和软件定义的云计算安全解决方案可有效保护物联网平台的安全。

物联网网络提供商（运营商），应针对运营商的两类关注点：物联卡滥用和设备被控造成大规模的网络攻击，可建立物联网安全风控平台，采集短信、语音、流量话单信息，上网日志，流量信息等，建立多个模型从多个角度进行分析，一方面满足国家相关部门的监管需求，另一方面可在早期发现攻击行为，防止攻击规模扩大。需要注意的是，移动、联通、电信也都建立了自己的物联网平台，这时，它们兼具物联网平台提供商的角色，因此也需关注物联网平台提供商所关注的安全问题。

物联网应用提供商，应关注在平台侧存储的数据安全性，应用的可用性、业务安全等。作为物联网应用提供商，重心在更好地为用户提供服务，以及相关的风控体系上，因此，安全方面的威胁建议考虑与安全厂商合作，及时检测针对网络、设施和业务的恶意攻击。这方面对于安全厂商的挑战是从传统的网络层面的防护转变为业务安全分析，需投入精力了解应用提供商的业务，由于业务的多样性，还要求安全厂商提升自己的技术实力，更多地使用机器学习、深度学习等大数据分析技术建立自动化的分析模型来解决业务异常问题。

物联网用户，应关注物联网系统是否会泄露隐私信息，是否影响正常使用等，无论是家庭用户还是企业用户，随着物联网设备越来越多的使用，都应把安全作为一个很重要的关注点。这时可以考虑采用安全厂商提供的物联网安全网关（或具备安全能力的物联网网关），通过手机应用很方便地跟踪网络中的异常并及时作出处置措施。

安全的范畴很广，而作为物联网安全提供商，无论是想要拓展物联网安全业务的传统的信息安全厂商或者新兴的物联网安全创业公司，把握清楚自己的定位很重要。

据了解，绿盟科技有着全面的物联网安全解决方案，被称为物联网安全三件套：物联网扫描器+物联网安全网关+物联网威胁态势感知平台。他们还可以为各行业提供物联网安全评估服务。在工业物联网安全方面，绿盟科技认为在IT和OT融合的趋势下，一定要坚持深入业务，提供专业的安全分析和响应能力。他们已经组建了工业物联网实验室，并与施耐德等企业进行了卓有成效的探索。

来源：赛迪网