每到年底，我們都會(huì)收到來(lái)自派出所民警的貼心關(guān)懷：“防火防電防偷盜”，如今這三防得再加上一防了，那就是對(duì)網(wǎng)絡(luò)風(fēng)險(xiǎn)的防御。在萬(wàn)物互聯(lián)的時(shí)代，我們享受著網(wǎng)購(gòu)、網(wǎng)游、移動(dòng)支付等諸多便利，而這也給犯罪分子提供了新“靈感”。據(jù)統(tǒng)計(jì)，2016年中國(guó)因數(shù)據(jù)泄露引發(fā)的經(jīng)濟(jì)損失高達(dá)915億元。許多信息網(wǎng)絡(luò)漏洞和攻擊工具被不法分子商品化，使信息安全威脅的范圍進(jìn)一步擴(kuò)大。
在今年的各種PWN會(huì)議(破解大會(huì))上，極客團(tuán)隊(duì)們現(xiàn)場(chǎng)演示了許多駭人的破解，擴(kuò)大NFC刷卡距離以盜刷別人的信用卡，無(wú)需指紋密碼就能堂而皇之地打開(kāi)你家的智能門(mén)鎖，超聲波攻擊AppleSiri即可將木馬植入手機(jī)，遠(yuǎn)程操控心臟起搏器輸出高壓電流殺人......這些恐怖的故事隨時(shí)有可能變成現(xiàn)實(shí)。
那么黑客現(xiàn)在又有了哪些“黑魔法”，我們又該如何防范網(wǎng)絡(luò)風(fēng)險(xiǎn)呢?記者采訪了螞蟻金服巴斯光年安全實(shí)驗(yàn)室，請(qǐng)他們從專業(yè)技術(shù)層面為我們解讀2017年發(fā)生過(guò)的代表性網(wǎng)絡(luò)安全事件，為業(yè)界和用戶揭示智能設(shè)備的安全風(fēng)險(xiǎn)和保護(hù)手段。
1、CIA和NSA黑客工具包泄露
今年三四月份，美國(guó)中央情報(bào)局(CIA)和美國(guó)國(guó)家安全局(NSA)的黑客工具包分別遭公布。這些工具的攻擊對(duì)象包括微軟、安卓、蘋(píng)果iOS、AppleOSX和Linux等操作系統(tǒng)以及某些智能電視、路由器等網(wǎng)絡(luò)節(jié)點(diǎn)單元和智能設(shè)備。其中，Windows漏洞EternalBlue(永恒之藍(lán))的泄露，更是為勒索病毒“WannaCry”的爆發(fā)埋下伏筆。
巴斯光年點(diǎn)評(píng)：
各國(guó)政府都會(huì)研究一些用于安全對(duì)抗與制衡的具有極強(qiáng)攻擊性的漏洞利用攻擊套件，它們既是網(wǎng)絡(luò)空間安全實(shí)力的體現(xiàn)，同時(shí)也是一種安全隱患。因?yàn)檫@種武器化的漏洞一旦泄露，對(duì)企業(yè)個(gè)人乃至政府部門(mén)會(huì)構(gòu)成極大的安全威脅。WannaCry就是一個(gè)典型的案例。在網(wǎng)絡(luò)空間安全重要性日益顯露的今天，如何防止網(wǎng)絡(luò)空間的武器化攻擊套件被竊取濫用，這是需要慎重考慮的問(wèn)題。
2、WannaCry勒索病毒席卷全球
5月12日，一個(gè)名為“WannaCry”的勒索蠕蟲(chóng)病毒在全球大范圍爆發(fā)并蔓延，100多個(gè)國(guó)家的數(shù)十萬(wàn)名用戶中招，其中包括醫(yī)療、教育等公用事業(yè)單位和有名聲的大公司。這款病毒對(duì)計(jì)算機(jī)內(nèi)的文檔、圖片、程序等實(shí)施高強(qiáng)度加密鎖定，并向用戶索取以比特幣支付的贖金。
巴斯光年點(diǎn)評(píng)：
WannaCry是全球首款通過(guò)武器化的系統(tǒng)漏洞實(shí)現(xiàn)傳播的勒索蠕蟲(chóng)病毒。依托于被泄露的Windows漏洞“永恒之藍(lán)”，只要開(kāi)機(jī)聯(lián)網(wǎng)且漏洞存在，它就能入侵電腦。比起傳統(tǒng)蠕蟲(chóng)病毒依附下載安裝等被動(dòng)式傳播，WannaCry通過(guò)漏洞，主動(dòng)掃描網(wǎng)段式的傳播速度可以說(shuō)是建立了蠕蟲(chóng)傳播速度的新紀(jì)錄，相當(dāng)于原來(lái)是靠徒步，現(xiàn)在飛車(chē)前行。在WannaCry蠕蟲(chóng)爆發(fā)之后，還陸續(xù)出現(xiàn)了更多的以美國(guó)國(guó)家安全局(NSA)泄露的武器化漏洞為基礎(chǔ)、進(jìn)行遠(yuǎn)程攻擊并傳播的蠕蟲(chóng)病毒，這也標(biāo)志這制作蠕蟲(chóng)病毒的技術(shù)的進(jìn)一步提升。另外，要求以比特幣形式支付贖金的操作也很心機(jī)，區(qū)塊鏈系統(tǒng)中，支持匿名的收付方式讓警方難以根據(jù)金錢(qián)流向查人。
公共系統(tǒng)頻繁成為勒索病毒的受害者，醫(yī)院、電力、機(jī)場(chǎng)、交通等因遭受攻擊癱瘓，嚴(yán)重影響整個(gè)社會(huì)運(yùn)轉(zhuǎn)和民眾生活。面對(duì)已公布的漏洞以及勒索病毒爆發(fā)和后期變種時(shí)，相關(guān)政府部門(mén)應(yīng)迅速制定措施，引導(dǎo)并更新基礎(chǔ)設(shè)施的各種漏洞補(bǔ)丁。
3、勒索病毒冒充“王者榮耀輔助工具”
今年6月，一款冒充“王者榮耀輔助工具”的勒索病毒，通過(guò)PC端和手機(jī)端的社交平臺(tái)、游戲群等渠道大肆擴(kuò)散，威脅幾乎所有Android平臺(tái)，設(shè)備一旦感染后，病毒將會(huì)把手機(jī)里面的照片、下載、云盤(pán)等目錄下的個(gè)人文件進(jìn)行加密，如不支付勒索費(fèi)用，文件將會(huì)被破壞，還會(huì)使系統(tǒng)運(yùn)行異常。
巴斯光年點(diǎn)評(píng)：
作為移動(dòng)互聯(lián)網(wǎng)的頭號(hào)終端，手機(jī)面臨的攻擊日益增加，開(kāi)放的Android系統(tǒng)更是如此。2017年上半年中國(guó)網(wǎng)絡(luò)安全報(bào)告顯示，排名前5位的手機(jī)病毒均是針對(duì)Android系統(tǒng)。在最近幾次的PWN活動(dòng)中，巴斯光年安全實(shí)驗(yàn)室演示利用某安卓手機(jī)系統(tǒng)漏洞，遠(yuǎn)程在手機(jī)中靜默地安裝惡意應(yīng)用及植入惡意圖片，成功竊取了現(xiàn)場(chǎng)演示觀眾的照片。
目前AndroidROM存在的安全問(wèn)題非常嚴(yán)重，很多病毒通過(guò)ROM進(jìn)行傳播，植入系統(tǒng)底層，無(wú)法查殺，還能獲取到系統(tǒng)所有權(quán)限，導(dǎo)致用戶手機(jī)死機(jī)、關(guān)機(jī)、個(gè)人資料被刪、向外發(fā)送垃圾郵件、泄露個(gè)人信息等，甚至?xí)䲟p毀SIM卡、芯片等硬件，造成使用者無(wú)法正常使用手機(jī)。用戶需盡量避免刷一些第三方提供的ROM，因?yàn)殚_(kāi)發(fā)者代碼質(zhì)量良莠不齊，很容易存在安全漏洞。整個(gè)行業(yè)急需加大對(duì)ROM安全的關(guān)注，作為移動(dòng)設(shè)備基礎(chǔ)設(shè)施，保障用戶根本安全。另外值得注意的是，借勢(shì)熱門(mén)APP和仿照計(jì)算機(jī)病毒的手機(jī)病毒越來(lái)越多，用戶下載APP插件時(shí)需注意辨別。
4、央視調(diào)查發(fā)現(xiàn)大量家庭攝像頭被入侵
今年6月，央視《每周質(zhì)量報(bào)告》調(diào)查發(fā)現(xiàn)網(wǎng)上有眾多家庭攝像隱私在售，黑客利用弱口令密碼大范圍掃描家用攝像頭進(jìn)行破解，可獲得IP地址和登錄密碼，遠(yuǎn)程操作別人家的攝像頭。隨后在質(zhì)檢總局的抽檢中，采樣品牌涵蓋市場(chǎng)關(guān)注度前5位產(chǎn)品的情況下，40批次產(chǎn)品中有32批次存在安全漏洞，占比高達(dá)80%。
巴斯光年點(diǎn)評(píng)：
物聯(lián)時(shí)代，智能產(chǎn)品越來(lái)越多，功能大幅升級(jí)。然而由于IOT(物聯(lián)網(wǎng))設(shè)備開(kāi)發(fā)水平尚未成熟，其在“云端+終端+手機(jī)APP”的業(yè)務(wù)環(huán)節(jié)上，安全漏洞頻出，設(shè)備安全機(jī)制甚至已知漏洞的修復(fù)程度都明顯落后業(yè)界平均水平。對(duì)攻擊者而言是一個(gè)是低攻擊成本，高隱形收益的的不二對(duì)象。2016年，Mirai蠕蟲(chóng)病毒批量控制全球大量攝像頭發(fā)起DDOS攻擊，導(dǎo)致許多網(wǎng)站宕機(jī);在XDEF2017安全峰會(huì)上，巴斯光年安全實(shí)驗(yàn)室的安全研究人員也演示了，通過(guò)Wi-Fi可以遠(yuǎn)程在微單上安裝具有勒索和竊取照片功能的惡意軟件，從而獲取操作系統(tǒng)的最高權(quán)限，通過(guò)相機(jī)遠(yuǎn)程獲取各種圖片信息。
值得重視的是，大量在桌面操作系統(tǒng)已經(jīng)修復(fù)的安全漏洞在IOT設(shè)備上可能被重新利用，而這些與物理世界連密更密切的設(shè)備一旦被操控會(huì)帶來(lái)更可怕的后果，甚至威脅到人身財(cái)產(chǎn)安全。IOT設(shè)備的安全性需要全行業(yè)的重視，各方應(yīng)從網(wǎng)絡(luò)數(shù)據(jù)傳輸?shù)陌踩f(xié)議層數(shù)據(jù)的合規(guī)、系統(tǒng)層漏洞的修補(bǔ)、固件的加固與加密校驗(yàn)以及硬件設(shè)計(jì)的安全封閉等多個(gè)環(huán)節(jié)保障用戶的信息安全和使用安全。同時(shí)，也要關(guān)注公共系統(tǒng)在物聯(lián)網(wǎng)設(shè)備使用上的安全性。
采訪中，巴斯光年安全實(shí)驗(yàn)室的安全攻防技術(shù)負(fù)責(zé)人曲和強(qiáng)調(diào)，如今的安全問(wèn)題已經(jīng)不是一家公司、一個(gè)領(lǐng)域能夠抵抗的。
推薦閱讀
12月1日上午10點(diǎn),一加5T在官網(wǎng)與京東開(kāi)啟首銷(xiāo)。一加5T星辰黑有兩種存儲(chǔ)組合可選,6GB RAM+64GB ROM售價(jià)2999元,8GB RAM+128GB ROM售價(jià)3499元。新品發(fā)布會(huì)后僅48小時(shí),一>>>詳細(xì)閱讀
本文標(biāo)題：物聯(lián)網(wǎng)已成黑客盛宴？巴斯光年實(shí)驗(yàn)室點(diǎn)評(píng)2017年網(wǎng)絡(luò)安全事件
地址：http://www.sdlzkt.com/a/05/304954.html
網(wǎng)友點(diǎn)評(píng)
精彩導(dǎo)讀
科技快報(bào)
品牌展示