近日，安全解決方案廠商N(yùn)ETGEAR和網(wǎng)絡(luò)安全軟件供應(yīng)商Bitdefender聯(lián)合發(fā)布了一份關(guān)于物聯(lián)網(wǎng)設(shè)備安全形勢(shì)的報(bào)告，該報(bào)告研究了物聯(lián)網(wǎng)設(shè)備中普遍存在的漏洞，并提出了降低此類(lèi)風(fēng)險(xiǎn)的措施。該報(bào)告采用全球380萬(wàn)個(gè)家庭的物聯(lián)網(wǎng)數(shù)據(jù)，披露了一些新的物聯(lián)網(wǎng)安全威脅趨勢(shì)。在全球物聯(lián)網(wǎng)連接數(shù)急劇增長(zhǎng)的背景下，物聯(lián)網(wǎng)安全成為網(wǎng)絡(luò)安全和數(shù)據(jù)安全核心部分之一，必須引起人們重視，需要從頂層制度設(shè)計(jì)到微觀技術(shù)進(jìn)步等各個(gè)層面的共同努力。
家庭物聯(lián)網(wǎng)安全形勢(shì)嚴(yán)峻
NETGEAR和Bitdefender發(fā)布的報(bào)告中，披露了一些物聯(lián)網(wǎng)安全方向的調(diào)研數(shù)據(jù)。該報(bào)告對(duì)采用NETGEAR相應(yīng)安全服務(wù)的380萬(wàn)個(gè)家庭物聯(lián)網(wǎng)設(shè)備安全威脅的數(shù)據(jù)進(jìn)行分析，并對(duì)約5000萬(wàn)個(gè)物聯(lián)網(wǎng)設(shè)備產(chǎn)生的超過(guò)91億次安全事件進(jìn)行研究，以便發(fā)現(xiàn)最常見(jiàn)的漏洞和攻擊場(chǎng)景。
該報(bào)告揭示了首先對(duì)家庭物聯(lián)網(wǎng)設(shè)備的供給威脅進(jìn)行總結(jié)，發(fā)現(xiàn)家庭物聯(lián)網(wǎng)安全形勢(shì)非常嚴(yán)峻，家庭物聯(lián)網(wǎng)設(shè)備隨時(shí)都處于被供給狀態(tài)：
每24個(gè)小時(shí)，每個(gè)家庭物聯(lián)網(wǎng)設(shè)備平均會(huì)遭受10次攻擊，去年這一數(shù)據(jù)為8次；
每24個(gè)小時(shí)，Bitdefender智能家居安全解決方案平均可阻止250萬(wàn)種威脅，即每分鐘大約1736種威脅。
市場(chǎng)研究機(jī)構(gòu)數(shù)據(jù)顯示，目前美國(guó)一個(gè)典型的家庭平均擁有21臺(tái)聯(lián)網(wǎng)設(shè)備，除了手機(jī)和電腦外，游戲機(jī)、智能電視、智能音箱、嬰兒監(jiān)視器、攝像頭、家電等設(shè)備，在提升家庭生活便利性的同時(shí)，也給家庭安全帶來(lái)巨大隱患，畢竟阻止每天10次攻擊的壓力不小。
報(bào)告中的一個(gè)重要發(fā)現(xiàn)是，幾乎所有針對(duì)物聯(lián)網(wǎng)設(shè)備的攻擊（高達(dá)99.3%）都利用了之前發(fā)現(xiàn)的常見(jiàn)漏洞和暴露隱患，只有一小部分攻擊利用弱密碼或明文身份驗(yàn)證。因此，這一發(fā)現(xiàn)強(qiáng)調(diào)了用戶(hù)必須確保他們的設(shè)備持續(xù)更新最新補(bǔ)丁和軟件的必要性。
該報(bào)告統(tǒng)計(jì)了特別容易受到攻擊的特定設(shè)備，2023年，發(fā)現(xiàn)漏洞數(shù)量最多的設(shè)備包括智能電視機(jī)、智能插座、數(shù)字錄像機(jī)(DVR)和智能路由器，占比分別包括34%、18%、13%和14%。其中，電視機(jī)由于其較長(zhǎng)的使用壽命和最終缺乏軟件支持，特別容易受到攻擊。雖然這些統(tǒng)計(jì)數(shù)據(jù)主要來(lái)自于海外市場(chǎng)，但不少領(lǐng)域國(guó)內(nèi)家庭也需要特別關(guān)注，例如、智能電視、智能路由器在國(guó)內(nèi)家庭中已形成高滲透率，需要高度關(guān)注針對(duì)這些設(shè)備的攻擊。
由于物聯(lián)網(wǎng)設(shè)備具有不同的功能和硬件配置，因此安全威脅和互聯(lián)網(wǎng)差異很大。研究發(fā)現(xiàn)的漏洞中，最常見(jiàn)的兩種類(lèi)型是緩存溢出和拒絕服務(wù)，占比分別為28.25%和27.2%，其次是代碼執(zhí)行、獲得特權(quán)、內(nèi)存損壞和信息泄露。
該報(bào)告還提到了與移動(dòng)設(shè)備相關(guān)的風(fēng)險(xiǎn)。Bitdefender的另一項(xiàng)研究《2024年消費(fèi)者網(wǎng)絡(luò)安全評(píng)估報(bào)告》顯示，78.3%的受訪(fǎng)者使用移動(dòng)設(shè)備進(jìn)行敏感交易。盡管如此，44.5%的受訪(fǎng)者沒(méi)有采用任何形式的移動(dòng)安全解決方案，這使他們?nèi)菀资艿綈阂廛浖?、網(wǎng)絡(luò)釣魚(yú)企圖和數(shù)據(jù)泄露的攻擊。
各國(guó)推進(jìn)物聯(lián)網(wǎng)安全制度建設(shè)，安全標(biāo)簽計(jì)劃是典型做法
針對(duì)日益嚴(yán)峻的物聯(lián)網(wǎng)安全隱患，除了推動(dòng)物聯(lián)網(wǎng)安全廠商大力推進(jìn)新的技術(shù)和解決方案的研發(fā)和應(yīng)用外，多國(guó)政府在頂層制度設(shè)計(jì)、法規(guī)建設(shè)上發(fā)力。這些法規(guī)旨在確保物聯(lián)網(wǎng)設(shè)備、網(wǎng)絡(luò)和數(shù)據(jù)處理免受未經(jīng)授權(quán)的訪(fǎng)問(wèn)、操縱或攻擊。一些國(guó)家有專(zhuān)門(mén)針對(duì)物聯(lián)網(wǎng)設(shè)備的法規(guī)或政府指導(dǎo)，而其他國(guó)家有也會(huì)影響物聯(lián)網(wǎng)設(shè)備的一般網(wǎng)絡(luò)安全法。
大部分法規(guī)有一些共同的主題，包括強(qiáng)制執(zhí)行最低安全措施、推廣設(shè)計(jì)和開(kāi)發(fā)中的最佳實(shí)踐，以及要求定期更新和修補(bǔ)。有些還規(guī)定了合規(guī)檢查和失誤懲罰，創(chuàng)造了一個(gè)結(jié)構(gòu)化的環(huán)境來(lái)促進(jìn)更安全的物聯(lián)網(wǎng)實(shí)施。
2020年，美國(guó)頒發(fā)了物聯(lián)網(wǎng)網(wǎng)絡(luò)安全改進(jìn)法案，這是第一部專(zhuān)門(mén)針對(duì)物聯(lián)網(wǎng)設(shè)備安全的法律。根據(jù)這一法案，物聯(lián)網(wǎng)設(shè)備被定義為擁有至少一個(gè)用于與物理環(huán)境交互的傳感器或執(zhí)行器、至少一個(gè)網(wǎng)絡(luò)接口以及自主運(yùn)行而不是作為更大系統(tǒng)的一部分的能力的設(shè)備。值得注意的是，該法律不適用于智能手機(jī)和筆記本電腦等設(shè)備。
這項(xiàng)立法工作的一個(gè)重要組成部分是美國(guó)國(guó)家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）制定的指南，特別是NIST SP 800-213系列。該系列包括聯(lián)邦政府的物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全指南和物聯(lián)網(wǎng)設(shè)備網(wǎng)絡(luò)安全要求目錄。后者提供了符合更廣泛的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)的詳細(xì)框架。這些指導(dǎo)方針通過(guò)廣泛的公眾反饋和協(xié)作進(jìn)行了完善，強(qiáng)調(diào)了對(duì)發(fā)展物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)的承諾，這些標(biāo)準(zhǔn)在各種聯(lián)邦應(yīng)用中是實(shí)用和可適應(yīng)的。其中，該法案禁止聯(lián)邦機(jī)構(gòu)采購(gòu)或使用被認(rèn)為不符合NIST標(biāo)準(zhǔn)的物聯(lián)網(wǎng)設(shè)備。
近年來(lái)，美國(guó)大力推進(jìn)物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃（Cybersecurity Labeling Program）推動(dòng)消費(fèi)物聯(lián)網(wǎng)安全認(rèn)證，該認(rèn)證旨在幫助消費(fèi)者識(shí)別符合嚴(yán)格安全標(biāo)準(zhǔn)的物聯(lián)網(wǎng)設(shè)備，如強(qiáng)憑據(jù)、定期更新和數(shù)據(jù)保護(hù)。這一計(jì)劃以市場(chǎng)化方式，讓消費(fèi)者形成用腳投票的機(jī)制。
加拿大也發(fā)布了個(gè)人信息保護(hù)和電子文件法案，該法案涵蓋的范圍很廣，不僅適用于從事商業(yè)交易的企業(yè)，還適用于聯(lián)邦監(jiān)管行業(yè)中員工的個(gè)人數(shù)據(jù)，在物聯(lián)網(wǎng)環(huán)境中，法案提出了具體要求，確保組織遵守問(wèn)責(zé)和同意原則，并限制使用、披露和保留通過(guò)物聯(lián)網(wǎng)設(shè)備收集的個(gè)人信息。這些法規(guī)要求物聯(lián)網(wǎng)設(shè)備制造商和運(yùn)營(yíng)商建立嚴(yán)格的數(shù)據(jù)保護(hù)措施，保持其數(shù)據(jù)做法的透明度，并允許個(gè)人有權(quán)訪(fǎng)問(wèn)和控制其個(gè)人信息。
歐洲已通過(guò)了《網(wǎng)絡(luò)安全彈性法案（CRA）》，以保護(hù)歐盟的所有數(shù)字產(chǎn)品免受網(wǎng)絡(luò)威脅。其中，物聯(lián)網(wǎng)產(chǎn)品是該法案適用范圍“數(shù)字產(chǎn)品”的重要組成部分。對(duì)于物聯(lián)網(wǎng)設(shè)備，網(wǎng)絡(luò)彈性法案要求制造商采取嚴(yán)格的合規(guī)措施，首先是要求所有帶有數(shù)字元素的設(shè)備必須帶有歐盟合格標(biāo)志，該標(biāo)志表明產(chǎn)品符合該法案規(guī)定的新的嚴(yán)格的網(wǎng)絡(luò)安全標(biāo)準(zhǔn)。此外，該法案涵蓋進(jìn)口商和分銷(xiāo)商，他們負(fù)責(zé)確保只有符合要求的產(chǎn)品才能進(jìn)入歐洲市場(chǎng)。
今年3月，日本經(jīng)濟(jì)產(chǎn)業(yè)省發(fā)布了《物聯(lián)網(wǎng)安全合格評(píng)估計(jì)劃草案》征求意見(jiàn)稿，可以看作是日本版物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃，該計(jì)劃有助于相關(guān)公共組織選擇和采購(gòu)滿(mǎn)足一定安全級(jí)別的物聯(lián)網(wǎng)產(chǎn)品，對(duì)產(chǎn)品采用通用標(biāo)準(zhǔn)評(píng)估并實(shí)現(xiàn)可視化，為采購(gòu)和使用物聯(lián)網(wǎng)產(chǎn)品提供安全定義，讓每個(gè)行業(yè)組織可以指定必要的認(rèn)證和標(biāo)簽，而且將通過(guò)與其他國(guó)家的計(jì)劃進(jìn)行協(xié)調(diào)，來(lái)降低物聯(lián)網(wǎng)產(chǎn)品供應(yīng)商在出口時(shí)所需的合規(guī)性評(píng)估成本，并旨在實(shí)現(xiàn)相互認(rèn)可。
去年12月，韓國(guó)科學(xué)與信息通信技術(shù)部、韓國(guó)互聯(lián)網(wǎng)與安全局與新加坡網(wǎng)絡(luò)安全局簽署了一份合作協(xié)議，就物聯(lián)網(wǎng)安全認(rèn)證體系互認(rèn)。這兩個(gè)認(rèn)證系統(tǒng)旨在確保物聯(lián)網(wǎng)產(chǎn)品能夠有效應(yīng)對(duì)安全挑戰(zhàn)，保護(hù)消費(fèi)者數(shù)據(jù)并增強(qiáng)設(shè)備完整性以抵御潛在的網(wǎng)絡(luò)威脅。
物聯(lián)網(wǎng)高速發(fā)展帶來(lái)的安全隱患，讓產(chǎn)業(yè)界面臨更多挑戰(zhàn)，各國(guó)將解決這一問(wèn)題提到較優(yōu)先的議事日程，安全標(biāo)簽已成為一個(gè)典型做法。在此背景下，中國(guó)版物聯(lián)網(wǎng)安全標(biāo)簽計(jì)劃需要盡快出爐，通過(guò)這一全球通用方式，保護(hù)消費(fèi)者合法權(quán)益，同時(shí)提供中國(guó)物聯(lián)網(wǎng)企業(yè)的競(jìng)爭(zhēng)力。
