近日，安全解決方案廠商NETGEAR和網絡安全軟件供應商Bitdefender聯合發布了一份關于物聯網設備安全形勢的報告，該報告研究了物聯網設備中普遍存在的漏洞，并提出了降低此類風險的措施。該報告采用全球380萬個家庭的物聯網數據，披露了一些新的物聯網安全威脅趨勢。在全球物聯網連接數急劇增長的背景下，物聯網安全成為網絡安全和數據安全核心部分之一，必須引起(qi)人們重視，需要(yao)從頂層(ceng)(ceng)制(zhi)度(du)設計到微(wei)觀技術(shu)進步等各個層(ceng)(ceng)面的(de)共(gong)同努力。
家庭物聯網安全形勢嚴峻
NETGEAR和(he)Bitdefender發布的(de)(de)報(bao)告中，披(pi)露了一些物(wu)聯(lian)網安(an)全方向(xiang)的(de)(de)調研(yan)數據(ju)。該(gai)報(bao)告對(dui)采用NETGEAR相(xiang)應安(an)全服務的(de)(de)380萬個家庭物(wu)聯(lian)網設備(bei)安(an)全威脅的(de)(de)數據(ju)進行(xing)分(fen)析，并對(dui)約5000萬個物(wu)聯(lian)網設備(bei)產生的(de)(de)超過91億(yi)次安(an)全事件進行(xing)研(yan)究，以便發現最常見的(de)(de)漏洞和(he)攻擊場景(jing)。
該(gai)報告揭示了(le)首(shou)先(xian)對家(jia)庭(ting)物(wu)聯網(wang)設(she)備的供給威(wei)脅進行(xing)總(zong)結，發(fa)現(xian)家(jia)庭(ting)物(wu)聯網(wang)安全形勢非常(chang)嚴峻，家(jia)庭(ting)物(wu)聯網(wang)設(she)備隨時都處于被供給狀態：
每24個小時，每個家庭物聯網設備平均會遭受10次攻擊，去年這一數據為8次；
每24個小時，Bitdefender智能家居安全解決方案平均可阻止250萬種威脅，即每分鐘大約1736種威脅。
市場研究(jiu)機(ji)構數據顯(xian)示，目前美(mei)國一個典型(xing)的家庭(ting)(ting)平(ping)均(jun)擁有21臺聯(lian)網設(she)備，除(chu)了手機(ji)和電(dian)腦外，游戲機(ji)、智能電(dian)視(shi)、智能音箱、嬰(ying)兒監視(shi)器、攝像頭、家電(dian)等設(she)備，在提升(sheng)家庭(ting)(ting)生活便利性的同時(shi)，也給家庭(ting)(ting)安全帶(dai)來巨(ju)大隱患，畢竟阻止每天10次攻擊的壓力不小。
報告中的一個重要發現是，幾乎所有針對物聯網設備的攻擊（高達99.3%）都利用了之前發現的常見漏洞和暴露隱患，只有一小部分攻擊利用弱密碼或明文身份驗證。因此，這一(yi)發現強調了用戶必(bi)須確保他們(men)的設備持(chi)續更(geng)新最新補丁和軟(ruan)件的必(bi)要性。
該報告統計了特別容易受到攻擊的特定設備，2023年，發現漏洞數量最多的設備包括智能電視機、智能插座、數字錄像機(DVR)和智能路由器，占比分別(bie)包(bao)括(kuo)34%、18%、13%和14%。其中，電視機由于(yu)其較(jiao)長的使用壽命和最終缺乏(fa)軟件支持，特(te)(te)別(bie)容易受到攻擊(ji)。雖(sui)然這些(xie)統計數據主要來自(zi)于(yu)海外市場(chang)，但不(bu)少領域國內家庭也需(xu)要特(te)(te)別(bie)關注(zhu)，例如(ru)、智能電視、智能路由器在國內家庭中已形成高(gao)(gao)滲透(tou)率，需(xu)要高(gao)(gao)度關注(zhu)針(zhen)對這些(xie)設備的攻擊(ji)。
由于物聯網設備具有不同的功能和硬件配置，因此安全威脅和互聯網差異很大。研究發現的漏洞中，最常見的兩種類型是緩存溢出和拒絕服務，占比分別(bie)為28.25%和(he)27.2%，其(qi)次是代(dai)碼執行、獲得特權(quan)、內存損壞和(he)信息泄(xie)露。
該報(bao)(bao)告還(huan)提到了與移(yi)動設(she)(she)備相關的(de)風險(xian)。Bitdefender的(de)另一項(xiang)研究《2024年消費者網絡安全(quan)評估報(bao)(bao)告》顯(xian)示，78.3%的(de)受(shou)訪者使用移(yi)動設(she)(she)備進行敏感交易。盡管如(ru)此，44.5%的(de)受(shou)訪者沒有采用任何形式(shi)的(de)移(yi)動安全(quan)解決(jue)方(fang)案，這(zhe)使他們(men)容易受(shou)到惡意軟件、網絡釣(diao)魚企圖和數(shu)據泄露的(de)攻(gong)擊。
各國推進物聯網安全制度建設，安全標簽計劃是典型做法
針對日益(yi)嚴(yan)峻的(de)物(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)全隱患，除了推動物(wu)聯(lian)網(wang)(wang)(wang)(wang)安(an)(an)全廠商大力推進新(xin)的(de)技術和(he)解決方案的(de)研發(fa)和(he)應用外，多(duo)國(guo)政府(fu)在(zai)頂(ding)層制度設(she)計、法(fa)(fa)規(gui)建(jian)設(she)上發(fa)力。這些法(fa)(fa)規(gui)旨在(zai)確保物(wu)聯(lian)網(wang)(wang)(wang)(wang)設(she)備、網(wang)(wang)(wang)(wang)絡(luo)和(he)數據處(chu)理免受未經授(shou)權的(de)訪問、操縱(zong)或(huo)攻擊。一些國(guo)家有(you)專門針對物(wu)聯(lian)網(wang)(wang)(wang)(wang)設(she)備的(de)法(fa)(fa)規(gui)或(huo)政府(fu)指導，而其他國(guo)家有(you)也會(hui)影響物(wu)聯(lian)網(wang)(wang)(wang)(wang)設(she)備的(de)一般網(wang)(wang)(wang)(wang)絡(luo)安(an)(an)全法(fa)(fa)。
大部(bu)分法規有一些(xie)共同的主題，包括強制(zhi)執行最低安全措施(shi)、推廣設(she)計和開發中的最佳實(shi)踐，以及要(yao)求定期更(geng)(geng)新(xin)和修(xiu)補(bu)。有些(xie)還規定了合規檢(jian)查(cha)和失誤懲罰(fa)，創造了一個結(jie)構化(hua)的環境來(lai)促(cu)進(jin)更(geng)(geng)安全的物聯網實(shi)施(shi)。
2020年，美(mei)國頒發了(le)物聯(lian)網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)(luo)安全改進法案，這是第一(yi)部(bu)專門針對(dui)物聯(lian)網(wang)(wang)(wang)設(she)備(bei)安全的(de)法律(lv)。根(gen)據這一(yi)法案，物聯(lian)網(wang)(wang)(wang)設(she)備(bei)被定(ding)義(yi)為(wei)(wei)擁有至少一(yi)個用于(yu)(yu)與(yu)物理環(huan)境交互的(de)傳(chuan)感器或執(zhi)行(xing)器、至少一(yi)個網(wang)(wang)(wang)絡(luo)(luo)接口以及(ji)自主(zhu)運行(xing)而不(bu)是作(zuo)為(wei)(wei)更大系統的(de)一(yi)部(bu)分的(de)能(neng)力(li)的(de)設(she)備(bei)。值得注意(yi)的(de)是，該(gai)法律(lv)不(bu)適用于(yu)(yu)智能(neng)手(shou)機和筆記本電(dian)腦等設(she)備(bei)。
這項立法工作的一(yi)個重要組成(cheng)部分(fen)是(shi)(shi)(shi)美國國家標(biao)(biao)準與技術(shu)研究院（NIST）制定的指南(nan)，特(te)別(bie)是(shi)(shi)(shi)NIST SP 800-213系(xi)列。該系(xi)列包括(kuo)聯(lian)(lian)邦政府的物(wu)(wu)聯(lian)(lian)網(wang)(wang)設備(bei)網(wang)(wang)絡安(an)全(quan)指南(nan)和(he)物(wu)(wu)聯(lian)(lian)網(wang)(wang)設備(bei)網(wang)(wang)絡安(an)全(quan)要求目錄(lu)。后(hou)者提供了(le)符(fu)合(he)更廣泛(fan)的網(wang)(wang)絡安(an)全(quan)標(biao)(biao)準的詳細(xi)框架(jia)。這些(xie)指導方針(zhen)通過廣泛(fan)的公眾反饋和(he)協(xie)作進(jin)行了(le)完善，強調了(le)對發(fa)展物(wu)(wu)聯(lian)(lian)網(wang)(wang)安(an)全(quan)標(biao)(biao)準的承諾(nuo)，這些(xie)標(biao)(biao)準在各種(zhong)聯(lian)(lian)邦應用中(zhong)是(shi)(shi)(shi)實(shi)用和(he)可適應的。其中(zhong)，該法案禁止聯(lian)(lian)邦機構(gou)采購或(huo)使(shi)用被(bei)認為不符(fu)合(he)NIST標(biao)(biao)準的物(wu)(wu)聯(lian)(lian)網(wang)(wang)設備(bei)。
近年來，美國大力推進物(wu)聯網(wang)(wang)安(an)全(quan)(quan)標簽(qian)計劃(hua)(hua)（Cybersecurity Labeling Program）推動消(xiao)(xiao)費(fei)物(wu)聯網(wang)(wang)安(an)全(quan)(quan)認證(zheng)，該認證(zheng)旨在幫助(zhu)消(xiao)(xiao)費(fei)者識別符合(he)嚴(yan)格安(an)全(quan)(quan)標準的物(wu)聯網(wang)(wang)設備，如(ru)強憑據、定期更新和數據保護(hu)。這一(yi)計劃(hua)(hua)以(yi)市(shi)場化方式，讓(rang)消(xiao)(xiao)費(fei)者形成(cheng)用腳(jiao)投票的機制。
加(jia)拿(na)大也發(fa)布(bu)了個人(ren)(ren)信息(xi)保(bao)護(hu)和(he)電子文件(jian)法(fa)(fa)案，該(gai)法(fa)(fa)案涵(han)蓋的范圍很廣，不僅(jin)適用(yong)(yong)于從事商(shang)業交易的企業，還(huan)適用(yong)(yong)于聯(lian)邦監管(guan)行業中員工的個人(ren)(ren)數(shu)據(ju)，在(zai)物聯(lian)網(wang)環境中，法(fa)(fa)案提出了具體要求，確保(bao)組織遵守問責和(he)同意(yi)原則，并(bing)限制(zhi)(zhi)使用(yong)(yong)、披露和(he)保(bao)留通過物聯(lian)網(wang)設備(bei)(bei)收集的個人(ren)(ren)信息(xi)。這些法(fa)(fa)規要求物聯(lian)網(wang)設備(bei)(bei)制(zhi)(zhi)造(zao)商(shang)和(he)運營商(shang)建立嚴(yan)格(ge)的數(shu)據(ju)保(bao)護(hu)措(cuo)施，保(bao)持其數(shu)據(ju)做法(fa)(fa)的透明度，并(bing)允許個人(ren)(ren)有(you)權訪(fang)問和(he)控制(zhi)(zhi)其個人(ren)(ren)信息(xi)。
歐(ou)(ou)洲已通過了《網絡(luo)安(an)全彈性(xing)法(fa)案(an)（CRA）》，以保護(hu)歐(ou)(ou)盟(meng)的(de)(de)所(suo)有(you)數字產(chan)(chan)(chan)品免受網絡(luo)威脅。其中，物聯(lian)網產(chan)(chan)(chan)品是該(gai)法(fa)案(an)適用(yong)范圍(wei)“數字產(chan)(chan)(chan)品”的(de)(de)重要(yao)(yao)組成部分(fen)。對于物聯(lian)網設備(bei)，網絡(luo)彈性(xing)法(fa)案(an)要(yao)(yao)求(qiu)制造商采取嚴(yan)格(ge)的(de)(de)合(he)(he)規措施，首先是要(yao)(yao)求(qiu)所(suo)有(you)帶有(you)數字元素的(de)(de)設備(bei)必須帶有(you)歐(ou)(ou)盟(meng)合(he)(he)格(ge)標志(zhi)，該(gai)標志(zhi)表明(ming)產(chan)(chan)(chan)品符合(he)(he)該(gai)法(fa)案(an)規定的(de)(de)新的(de)(de)嚴(yan)格(ge)的(de)(de)網絡(luo)安(an)全標準。此外(wai)，該(gai)法(fa)案(an)涵蓋進口商和分(fen)銷商，他們負責確保只(zhi)有(you)符合(he)(he)要(yao)(yao)求(qiu)的(de)(de)產(chan)(chan)(chan)品才能進入(ru)歐(ou)(ou)洲市場。
今年3月，日本(ben)經濟產(chan)(chan)業省發布(bu)了《物聯(lian)網(wang)(wang)安(an)(an)全合(he)格(ge)評(ping)(ping)估計劃草案》征求意見稿，可(ke)以看作(zuo)是日本(ben)版物聯(lian)網(wang)(wang)安(an)(an)全標簽計劃，該(gai)計劃有助于相(xiang)(xiang)關公共組織選擇(ze)和采購滿足一(yi)定(ding)安(an)(an)全級別的(de)(de)物聯(lian)網(wang)(wang)產(chan)(chan)品(pin)，對產(chan)(chan)品(pin)采用(yong)通(tong)用(yong)標準評(ping)(ping)估并(bing)實(shi)現(xian)(xian)可(ke)視化，為(wei)采購和使(shi)用(yong)物聯(lian)網(wang)(wang)產(chan)(chan)品(pin)提供(gong)安(an)(an)全定(ding)義，讓每個行業組織可(ke)以指定(ding)必要的(de)(de)認證(zheng)和標簽，而且將(jiang)通(tong)過與其他國家的(de)(de)計劃進(jin)行協調，來(lai)降(jiang)低物聯(lian)網(wang)(wang)產(chan)(chan)品(pin)供(gong)應商(shang)在出口時所需的(de)(de)合(he)規性評(ping)(ping)估成本(ben)，并(bing)旨在實(shi)現(xian)(xian)相(xiang)(xiang)互認可(ke)。
去年12月，韓(han)國(guo)科學與信息通信技術部、韓(han)國(guo)互(hu)聯(lian)網與安全(quan)(quan)局與新加坡網絡(luo)安全(quan)(quan)局簽署(shu)了一份合作協議，就物聯(lian)網安全(quan)(quan)認證(zheng)體系互(hu)認。這兩個認證(zheng)系統旨在(zai)(zai)確保物聯(lian)網產品能夠有效應對安全(quan)(quan)挑戰，保護消(xiao)費者數(shu)據并增強設備完整性以抵御潛(qian)在(zai)(zai)的(de)網絡(luo)威脅。
物聯網高速發展帶來的安全隱患，讓產業界面臨更多挑戰，各國將解決這一問題提到較優先的議事日程，安全標簽已成為一個典型做法。在此(ci)背景下，中(zhong)國版物聯網(wang)安全(quan)標(biao)簽計劃需要盡(jin)快出(chu)爐，通過這一(yi)全(quan)球(qiu)通用方式(shi)，保(bao)護(hu)消費者(zhe)合法權益，同時提供中(zhong)國物聯網(wang)企(qi)業(ye)的(de)競爭力。
