網(wǎng)絡(luò)安全創(chuàng)新企業(yè)華順信安，于本周四發(fā)布《網(wǎng)絡(luò)空間測繪系列—2018年攝像頭安全報告》。這是首個基于國內(nèi)網(wǎng)絡(luò)空間測繪技術(shù)的攝像頭安全報告。
互聯(lián)網(wǎng)攝像頭暴露情況
報告顯示，攝像頭已經(jīng)無所不在，全球228個國家和地區(qū)，8063個城市，2635萬個攝像頭暴露在公網(wǎng)。DDoS攻擊、機構(gòu)安全風(fēng)險、個人隱私泄露等事件層出不窮，黑產(chǎn)猖獗。比如，2016年造成美國互聯(lián)網(wǎng)大面積癱瘓的Dyn事件，就是主要由攝像頭組成的僵尸網(wǎng)絡(luò)發(fā)起的DDoS攻擊所造成。
全球國家攝像頭暴露情況
攝像頭的特點是，分布廣而且24小時在線。安全問題主要有弱口令、缺乏安全防護(hù)和安全意識，為了節(jié)省成本使用相同固件，但卻沒有自動更新機制等。這些安全隱患，無論是對于工業(yè)互聯(lián)網(wǎng)，還是企業(yè)安全和公共安全，以及家庭的個人隱私都帶來了巨大威脅。考慮到未來可能成百億的攝像頭設(shè)備都會上網(wǎng)，我們必須給予足夠的重視。
中國大陸攝像頭暴露十大省份
聯(lián)網(wǎng)攝像頭存在的安全風(fēng)險
可以從三種領(lǐng)域觀察聯(lián)網(wǎng)攝像頭的安全風(fēng)險：
1. 工業(yè)攝像頭
2014年，俄羅斯和格魯吉亞戰(zhàn)爭爆發(fā)前夕，一條由里海通向地中海的長1099英里的輸油管由于內(nèi)壓太大發(fā)生爆炸，雖然這條管道安裝了大量的探測器和監(jiān)控攝像頭，但均無警示。經(jīng)專業(yè)人員調(diào)查發(fā)現(xiàn)，這些監(jiān)控攝像缺少了爆炸前的60個小時錄像。之后，此事件被定性為某國家的滲透行為，并且疑似早在2008年就開始布局。
2. 公共攝像頭
公共攝像頭性能高、覆蓋面廣，一旦被黑客成功控制將對公共安全造成巨大威脅。通過這類攝像頭，黑客不僅可以進(jìn)行挖礦和Dos攻擊，還有可能大范圍、多角度地監(jiān)視他人。此外，不少公共攝像頭在連接執(zhí)法機構(gòu)遠(yuǎn)程控制端的過程中，都需要經(jīng)過多個中轉(zhuǎn)點。這期間，如若有一個中轉(zhuǎn)點被黑客攻破，就會對整個系統(tǒng)造成巨大的安全危害。近幾年，電影、電視等文學(xué)作品有大量的控制攝像頭的例子。比如，好萊塢電影中“黑客隨意控制全城攝像頭紅綠燈”的場景。
3. 家庭攝像頭
家庭攝像頭主要是個人隱私泄露問題和被攻擊者控制的問題。后者可被黑客利用進(jìn)行挖礦和DoS攻擊等非法獲利行為，也可對家庭進(jìn)行長期監(jiān)控，進(jìn)一步威脅家庭人身財產(chǎn)安全。
攝像頭漏洞
聯(lián)網(wǎng)攝像頭主流的通訊協(xié)議為http(s)和RTSP常用端口為80、443、554等。存在的漏洞類型包括命令注入、授權(quán)、信息泄露、緩沖區(qū)溢出、弱口令、文件操作、XSS、拒絕服務(wù)、目錄遍歷、固件漏洞等。
2018年漏洞類型統(tǒng)計
目前公開的攝像頭漏洞中，中國的福斯康姆(Foscam)攝像頭漏洞數(shù)量最多，達(dá)65條以上，占?xì)v年攝像頭漏洞總量的25%；法國施耐德旗下派爾高(pelco)攝像頭漏洞數(shù)量位列第二，達(dá)37條以上，占?xì)v年攝像頭漏洞總量的14%；日本艾威數(shù)據(jù)(I-O DATA)攝像頭位列第三，達(dá)32條以上；韓國三星(Samsung)、中國安訊士(D-Link)攝像頭廠商分別位列第四和第五；浙江大華和中國?？低?hikvision)攝像頭分別位列第六和第七，漏洞數(shù)量達(dá)17條以上。
從攝像頭品牌的漏洞數(shù)量對比來看，市場占有量大的廠商安全性反而較高，主要是因為近兩年主流廠商越來越重視安全問題，并加大了對安全的投入。
13年-18年攝像頭廠商漏洞數(shù)量前10
如何保護(hù)攝像頭安全
報告認(rèn)為，若要從根本上解決攝像頭安全問題，需以安全管理和安全技術(shù)相結(jié)合。加強安全管理措施，同時輔以技術(shù)手段提高效率。
管理方面，要建立攝像頭的相關(guān)安全標(biāo)準(zhǔn)，把攝像頭納入網(wǎng)絡(luò)資產(chǎn)，進(jìn)行統(tǒng)一化的安全管理。
技術(shù)方面，制造商需要加強安全意識、建立那倒安全開發(fā)流程，并對產(chǎn)品進(jìn)行檢查和跟蹤等。安全廠商則要從防護(hù)、檢測、網(wǎng)絡(luò)、通訊、硬軟件等多個維度為用戶提供合適的安全解決方案。例如，本報告的主要支撐技術(shù)：網(wǎng)絡(luò)空間測繪。
安全牛評
隨著智慧城市、物聯(lián)網(wǎng)的到來，攝像頭這一重要的智能設(shè)備組件呈爆發(fā)性增長態(tài)勢。在這龐大的市場身后，是日益突出的視頻安全問題，是國內(nèi)的安全廠商應(yīng)當(dāng)研究與思考的方向，而網(wǎng)絡(luò)空間測繪系統(tǒng)不失為一項重要、方便的安全技術(shù)手段和安全切入點。
