3、设备层防护：默认密码修改、固件升级策略、禁用不必要的远程访问端口

设备层防护，说白了就是守住你家智能设备的「大门」。我做了这么多年物联网安全，见过太多家庭因为这一步没做好，整个智能系统被人当后花园逛。今天咱们就把这三件事聊透。

3.1 默认密码修改——别让黑客「一键登录」

你想想看，市面上大部分智能摄像头、智能网关，出厂密码都是 admin/admin 或者 admin/123456。我刚开始做安全测试时，随手扫一个小区，能直接登录进去的摄像头超过三成。嗯，这数据一点都不夸张。

为什么会这样？因为厂商图省事，用户图方便。但你要知道，黑客手里有专门的「默认密码字典」，几秒钟就能试一遍。

3.1.1 密码修改的硬性要求

• 长度：至少 12 位，越长越安全。我个人习惯用 16 位以上。
• 复杂度：必须包含大写字母、小写字母、数字、特殊符号四类。
• 唯一性：每个设备用不同密码。别图省事全设成一样的。
• 禁用默认：拿到设备第一件事就是改密码，别等配置完再改。

3.1.2 避坑指南

我曾经遇到一个用户，把摄像头密码改成了 Password123!。他觉得挺复杂了，结果呢？黑客用暴力破解工具，不到 10 分钟就试出来了。为什么？因为 Password 是常见词，123 是常见数字组合，这种「伪复杂密码」其实不堪一击。

真正有效的做法是：用随机生成的密码，或者用密码管理器统一管理。别太相信自己的记忆力，安全第一。

3.2 固件升级策略——别让你的设备「裸奔」

固件是什么？就是设备的操作系统。厂商发现漏洞后会发布新版本修复。但问题来了——很多人买了设备就再也没升级过。

我记得有个真实案例：某品牌智能门锁爆出了一个严重漏洞，攻击者可以通过蓝牙直接开锁。厂商连夜发了补丁，但三个月后统计，只有不到 20% 的用户升级了。剩下的 80%，等于把家门钥匙挂在了门外。

3.2.1 升级策略三步走

1. 开启自动升级：只要设备支持，就把自动更新打开。别担心「新版本不稳定」，不升级才最不稳定。
2. 定期手动检查：自动升级可能有延迟。我建议每个月手动检查一次，尤其是核心设备（网关、门锁、摄像头）。
3. 关注厂商公告：订阅厂商的安全公告，或者加入官方用户群。重大漏洞修复时，第一时间手动升级。

3.2.2 固件版本管理表

设备类型	检查频率	升级方式	注意事项
智能网关	每月	自动+手动	升级时不要断电
智能门锁	每季度	手动优先	确认电池电量充足
摄像头	每月	自动	升级后检查画面是否正常
智能音箱	每季度	自动	注意隐私权限变化

3.3 禁用不必要的远程访问端口——把「后门」焊死

很多智能设备默认开启远程访问功能，比如 22 端口（SSH）、23 端口（Telnet）、80/443 端口（Web 管理）。你想想看，这些端口暴露在公网上，等于告诉全世界「我家设备在这里，快来试试」。黑客用端口扫描工具，几分钟就能扫出你家开了哪些端口。

我做过一次实验：在公网上随机扫描一个 IP 段，平均每 100 个家庭就有 3-5 个暴露了智能设备的远程管理端口。其中一半以上用的还是默认密码。这数据，说实话挺吓人的。

3.3.1 端口管理原则

• 按需开放：只在需要远程访问时才开启对应端口，用完就关。
• 最小化原则：只开放必要的端口。比如你不需要远程 SSH 登录，就把 22 端口关掉。
• 使用 VPN：如果必须远程管理，优先用 VPN 接入家庭网络，而不是直接暴露设备端口。

3.3.2 常见危险端口清单

端口号	服务	风险等级	建议操作
22	SSH	高	禁用远程，仅内网使用
23	Telnet	极高	彻底禁用（明文传输）
80/443	Web 管理	中	修改默认端口，限制 IP
554	RTSP 视频流	高	禁用远程，或设置密码
1900	UPnP	中	如不需要，建议关闭

3.4 设备层防护全景图

下面这张图，把设备层防护的三个核心维度串起来了。你可以对照着检查自己家里的设备。

3.5 实操检查清单

最后，给你一份可以直接照着做的清单。我建议你每季度跑一遍，确保设备层防护没掉线。

1. 密码检查：所有智能设备是否已修改默认密码？密码是否满足 12 位+四类字符？
2. 固件检查：核心设备固件是否是最新版本？自动升级是否已开启？
3. 端口检查：用端口扫描工具（比如 nmap）扫一下家庭网络，看看有没有不该暴露的端口。
4. 远程访问检查：不需要远程管理的设备，是否已关闭远程访问功能？
5. VPN 检查：如果需要远程管理，是否已配置 VPN 接入？