近日，安全解決方案廠商NETGEAR和網絡安全軟件供應商Bitdefender聯合發布了一份關于物聯網設備安全形勢的報告，該報告研究了物聯網設備中普遍存在的漏洞，并提出了降低此類風險的措施。該報告采用全球380萬個家庭的物聯網數據，披露了一些新的物聯網安全威脅趨勢。在全球物聯網連接數急劇增長的背景下，物聯網安全成為網絡安全和數據安全核心部分之一，必須引起人們重(zhong)視，需要從頂層制度(du)設計到微觀(guan)技術進(jin)步等各個層面的共同努力。
家庭物聯網安全形勢嚴峻
NETGEAR和Bitdefender發(fa)(fa)布的(de)報告(gao)(gao)中，披露了一些物聯(lian)網安(an)全(quan)(quan)方向的(de)調研數(shu)據(ju)。該報告(gao)(gao)對采用NETGEAR相應安(an)全(quan)(quan)服務的(de)380萬個家(jia)庭物聯(lian)網設備安(an)全(quan)(quan)威脅的(de)數(shu)據(ju)進行(xing)分析，并對約5000萬個物聯(lian)網設備產(chan)生的(de)超過91億次安(an)全(quan)(quan)事件進行(xing)研究(jiu)，以便發(fa)(fa)現最常(chang)見(jian)的(de)漏洞(dong)和攻擊場景。
該報告揭(jie)示了首(shou)先對(dui)家(jia)庭物聯(lian)網設(she)備的供(gong)給(gei)威(wei)脅進行總結，發現(xian)家(jia)庭物聯(lian)網安(an)全形(xing)勢非常嚴(yan)峻(jun)，家(jia)庭物聯(lian)網設(she)備隨時都處(chu)于被供(gong)給(gei)狀態(tai)：
每24個小時，每個家庭物聯網設備平均會遭受10次攻擊，去年這一數據為8次；
每24個小時，Bitdefender智能家居安全解決方案平均可阻止250萬種威脅，即每分鐘大約1736種威脅。
市場研究機(ji)構數據顯示，目前美(mei)國一個典型的家(jia)庭(ting)平均擁有(you)21臺聯網設備，除了手機(ji)和電腦外，游戲機(ji)、智能(neng)電視、智能(neng)音箱、嬰兒監視器、攝像頭、家(jia)電等設備，在提(ti)升(sheng)家(jia)庭(ting)生活(huo)便利(li)性的同時，也給家(jia)庭(ting)安全(quan)帶(dai)來巨大隱患，畢竟阻止(zhi)每天(tian)10次(ci)攻擊的壓力不小。
報告中的一個重要發現是，幾乎所有針對物聯網設備的攻擊（高達99.3%）都利用了之前發現的常見漏洞和暴露隱患，只有一小部分攻擊利用弱密碼或明文身份驗證。因此(ci)，這一發現強(qiang)調了用戶必須確保他們(men)的設備(bei)持續更(geng)新最新補丁和軟件(jian)的必要性。
該報告統計了特別容易受到攻擊的特定設備，2023年，發現漏洞數量最多的設備包括智能電視機、智能插座、數字錄像機(DVR)和智能路由器，占比分別(bie)(bie)包括34%、18%、13%和(he)14%。其中(zhong)，電視機由(you)于(yu)其較(jiao)長的使(shi)用(yong)壽命(ming)和(he)最終缺乏軟件支(zhi)持，特別(bie)(bie)容易受到攻(gong)擊(ji)。雖(sui)然這些(xie)(xie)統(tong)計(ji)數據(ju)主要(yao)來自(zi)于(yu)海(hai)外(wai)市場，但不少(shao)領域國(guo)內(nei)家庭也需(xu)要(yao)特別(bie)(bie)關(guan)注(zhu)，例(li)如、智能電視、智能路由(you)器在(zai)國(guo)內(nei)家庭中(zhong)已形成高滲(shen)透(tou)率(lv)，需(xu)要(yao)高度關(guan)注(zhu)針對這些(xie)(xie)設備的攻(gong)擊(ji)。
由于物聯網設備具有不同的功能和硬件配置，因此安全威脅和互聯網差異很大。研究發現的漏洞中，最常見的兩種類型是緩存溢出和拒絕服務，占(zhan)比分別為28.25%和(he)27.2%，其次是代碼執行(xing)、獲得(de)特權、內存損壞和(he)信息泄露。
該報告還提到(dao)了與移(yi)動(dong)設備相關的風(feng)險。Bitdefender的另一項研究《2024年消(xiao)費者(zhe)網(wang)絡安全評估報告》顯示，78.3%的受訪(fang)者(zhe)使用移(yi)動(dong)設備進行敏感交易。盡管如此(ci)，44.5%的受訪(fang)者(zhe)沒有采用任何形式的移(yi)動(dong)安全解決方案，這使他們容易受到(dao)惡意(yi)軟件、網(wang)絡釣魚企圖和數據泄(xie)露的攻擊。
各國推進物聯網安全制度建設，安全標簽計劃是典型做法
針(zhen)對(dui)日益嚴(yan)峻的物(wu)聯(lian)網(wang)(wang)安(an)全(quan)(quan)隱患，除(chu)了(le)推(tui)動物(wu)聯(lian)網(wang)(wang)安(an)全(quan)(quan)廠商(shang)大(da)力推(tui)進新的技術和解(jie)決方(fang)案的研發和應用外(wai)，多國政(zheng)府在(zai)頂層制度設(she)計、法規(gui)建設(she)上發力。這些(xie)法規(gui)旨在(zai)確保(bao)物(wu)聯(lian)網(wang)(wang)設(she)備、網(wang)(wang)絡和數據(ju)處(chu)理免受未經授權(quan)的訪問、操縱或攻擊。一(yi)些(xie)國家有專門針(zhen)對(dui)物(wu)聯(lian)網(wang)(wang)設(she)備的法規(gui)或政(zheng)府指導(dao)，而其他國家有也會影(ying)響物(wu)聯(lian)網(wang)(wang)設(she)備的一(yi)般網(wang)(wang)絡安(an)全(quan)(quan)法。
大(da)部(bu)分法規有一些(xie)共同的(de)主題，包(bao)括強制執行最低安全措(cuo)施(shi)、推廣設(she)計和開(kai)發中(zhong)的(de)最佳(jia)實(shi)踐，以(yi)及要求定期更新和修補。有些(xie)還(huan)規定了合規檢查和失誤懲(cheng)罰，創造了一個(ge)結構化的(de)環境(jing)來促(cu)進更安全的(de)物(wu)聯網實(shi)施(shi)。
2020年，美國頒發了物(wu)聯網網絡安全(quan)改進法案，這(zhe)是第一(yi)(yi)(yi)部專門針對物(wu)聯網設(she)(she)備(bei)(bei)安全(quan)的法律。根(gen)據這(zhe)一(yi)(yi)(yi)法案，物(wu)聯網設(she)(she)備(bei)(bei)被定義為(wei)擁有至(zhi)少一(yi)(yi)(yi)個用于(yu)與物(wu)理環(huan)境交互(hu)的傳感器或(huo)執行(xing)器、至(zhi)少一(yi)(yi)(yi)個網絡接口以及自(zi)主運行(xing)而不是作為(wei)更大系(xi)統的一(yi)(yi)(yi)部分的能力的設(she)(she)備(bei)(bei)。值得注意的是，該法律不適用于(yu)智(zhi)能手機和(he)筆記(ji)本電腦等設(she)(she)備(bei)(bei)。
這項立法工作(zuo)的(de)一個重(zhong)要(yao)(yao)組成部(bu)分是(shi)(shi)美國國家標(biao)準(zhun)與技術研(yan)究院（NIST）制定的(de)指南(nan)(nan)，特別是(shi)(shi)NIST SP 800-213系列。該系列包括聯邦(bang)政府的(de)物(wu)聯網設備網絡安(an)(an)全指南(nan)(nan)和物(wu)聯網設備網絡安(an)(an)全要(yao)(yao)求目錄。后者提供了符合更廣泛的(de)網絡安(an)(an)全標(biao)準(zhun)的(de)詳細框架。這些指導方針通(tong)過廣泛的(de)公眾反(fan)饋和協作(zuo)進行(xing)了完善(shan)，強調(diao)了對發展(zhan)物(wu)聯網安(an)(an)全標(biao)準(zhun)的(de)承諾，這些標(biao)準(zhun)在各種聯邦(bang)應用中是(shi)(shi)實用和可適應的(de)。其中，該法案(an)禁止聯邦(bang)機(ji)構采(cai)購或使用被認為不符合NIST標(biao)準(zhun)的(de)物(wu)聯網設備。
近年來，美國(guo)大力(li)推(tui)進物聯(lian)網(wang)(wang)安全標簽計劃（Cybersecurity Labeling Program）推(tui)動消(xiao)費物聯(lian)網(wang)(wang)安全認(ren)證(zheng)，該認(ren)證(zheng)旨在幫助消(xiao)費者識別符合嚴格安全標準(zhun)的物聯(lian)網(wang)(wang)設備，如(ru)強(qiang)憑據、定期更新和數據保護。這(zhe)一計劃以市場化方式，讓消(xiao)費者形成用腳投票的機制。
加拿大也發布了(le)個(ge)人(ren)信(xin)息保護和(he)電子文件法(fa)案，該法(fa)案涵蓋(gai)的(de)(de)范(fan)圍很(hen)廣，不僅適用于(yu)從事商(shang)業交易的(de)(de)企業，還適用于(yu)聯(lian)(lian)邦監(jian)管行業中員工的(de)(de)個(ge)人(ren)數據，在物聯(lian)(lian)網(wang)環(huan)境中，法(fa)案提(ti)出(chu)了(le)具體要(yao)求，確保組織遵守問責和(he)同意原則，并限制(zhi)使用、披露(lu)和(he)保留通過物聯(lian)(lian)網(wang)設備收集的(de)(de)個(ge)人(ren)信(xin)息。這(zhe)些(xie)法(fa)規要(yao)求物聯(lian)(lian)網(wang)設備制(zhi)造商(shang)和(he)運營商(shang)建立(li)嚴格的(de)(de)數據保護措施，保持其數據做法(fa)的(de)(de)透明度(du)，并允許個(ge)人(ren)有權訪問和(he)控(kong)制(zhi)其個(ge)人(ren)信(xin)息。
歐(ou)洲已通過了《網(wang)絡安(an)全彈性法(fa)案(an)(an)（CRA）》，以保護歐(ou)盟(meng)的(de)所有數字產(chan)(chan)品(pin)(pin)(pin)免受網(wang)絡威脅。其中，物聯網(wang)產(chan)(chan)品(pin)(pin)(pin)是該(gai)法(fa)案(an)(an)適用范圍“數字產(chan)(chan)品(pin)(pin)(pin)”的(de)重要(yao)組成部分(fen)。對(dui)于物聯網(wang)設備，網(wang)絡彈性法(fa)案(an)(an)要(yao)求(qiu)制造商(shang)(shang)采取嚴(yan)格的(de)合規措施，首(shou)先是要(yao)求(qiu)所有帶有數字元素的(de)設備必(bi)須帶有歐(ou)盟(meng)合格標志，該(gai)標志表明產(chan)(chan)品(pin)(pin)(pin)符合該(gai)法(fa)案(an)(an)規定的(de)新的(de)嚴(yan)格的(de)網(wang)絡安(an)全標準(zhun)。此外，該(gai)法(fa)案(an)(an)涵蓋進(jin)(jin)口(kou)商(shang)(shang)和分(fen)銷商(shang)(shang)，他們負責(ze)確保只有符合要(yao)求(qiu)的(de)產(chan)(chan)品(pin)(pin)(pin)才能進(jin)(jin)入歐(ou)洲市場。
今年3月，日(ri)本經濟產業省發布(bu)了《物(wu)聯(lian)網安(an)(an)全(quan)(quan)合格評估計(ji)劃草案(an)》征求(qiu)意見稿，可(ke)以(yi)看作是(shi)日(ri)本版物(wu)聯(lian)網安(an)(an)全(quan)(quan)標(biao)簽(qian)計(ji)劃，該計(ji)劃有助于(yu)相(xiang)關公共組織選擇和(he)采購(gou)滿足一(yi)定(ding)(ding)安(an)(an)全(quan)(quan)級(ji)別的(de)(de)物(wu)聯(lian)網產品(pin)(pin)，對產品(pin)(pin)采用(yong)(yong)通用(yong)(yong)標(biao)準評估并實(shi)現(xian)可(ke)視化，為采購(gou)和(he)使用(yong)(yong)物(wu)聯(lian)網產品(pin)(pin)提供安(an)(an)全(quan)(quan)定(ding)(ding)義，讓每個(ge)行(xing)業組織可(ke)以(yi)指定(ding)(ding)必要(yao)的(de)(de)認證和(he)標(biao)簽(qian)，而且將通過與其(qi)他(ta)國家的(de)(de)計(ji)劃進行(xing)協調，來(lai)降低物(wu)聯(lian)網產品(pin)(pin)供應商在出(chu)口(kou)時所(suo)需(xu)的(de)(de)合規性評估成本，并旨(zhi)在實(shi)現(xian)相(xiang)互認可(ke)。
去(qu)年12月，韓國科學與(yu)信息通信技術(shu)部、韓國互聯(lian)網與(yu)安(an)全局與(yu)新加坡網絡(luo)安(an)全局簽署了一(yi)份合作協議，就物(wu)聯(lian)網安(an)全認證(zheng)(zheng)體系(xi)互認。這兩個認證(zheng)(zheng)系(xi)統旨(zhi)在確保物(wu)聯(lian)網產品能夠有效(xiao)應對安(an)全挑戰，保護消費(fei)者(zhe)數據并增強設備完整性以抵御潛(qian)在的網絡(luo)威脅。
物聯網高速發展帶來的安全隱患，讓產業界面臨更多挑戰，各國將解決這一問題提到較優先的議事日程，安全標簽已成為一個典型做法。在此背景下，中(zhong)國(guo)版物聯網(wang)安全標簽計(ji)劃需要盡快出爐(lu)，通過這一全球(qiu)通用方式(shi)，保(bao)護消費者合法權益，同時(shi)提供中(zhong)國(guo)物聯網(wang)企業的(de)競(jing)爭力。
