IoT安全现状与挑战：我们面对的到底是什么？

各位好，我是老周。在IoT安全这块摸爬滚打了快十年，今天咱们聊聊最基础、也最让人头疼的问题——IoT设备到底有多不安全？企业为什么必须搞安全准入？

说实话，我刚入行那会儿，IoT设备还没现在这么泛滥。那时候大家觉得，一个传感器、一个摄像头能有什么安全问题？结果呢？2016年Mirai僵尸网络直接把半个美国互联网搞瘫痪了，源头就是几万个被感染的摄像头和路由器。嗯，从那以后，没人再敢说IoT设备“没什么大不了”了。

IoT设备安全威胁分析：攻击者到底在打什么主意？

你想想看，一个传统的IT设备，比如服务器、PC，好歹有防火墙、有杀毒软件、有运维人员盯着。IoT设备呢？很多就是“裸奔”状态。我见过不少企业，采购了几千个智能电表、门禁控制器，连默认密码都没改就直接上线了。

攻击者盯上IoT设备，无非是这几个目的：

• 组建僵尸网络：控制大量设备发起DDoS攻击。这是最常见的，Mirai就是典型。
• 数据窃取：摄像头画面、语音记录、位置信息、生产数据……IoT设备是绝佳的“内鬼”。
• 横向渗透跳板：IoT设备通常在企业内网，攻破一个门禁控制器，就可能摸到核心服务器。
• 物理破坏：工业IoT设备，比如PLC、智能阀门，被篡改指令可能导致生产线停摆甚至安全事故。

我给大家列一个常见的IoT设备脆弱点清单，你们可以对照自己公司的情况看看：

脆弱点类别	典型表现	攻击后果
弱口令/默认凭证	admin/admin、root/root、密码写死在固件里	直接远程控制设备
固件未签名/未加密	固件可被提取、逆向、篡改	植入后门、恶意固件
不安全通信协议	HTTP明文、Telnet、未加密MQTT	中间人攻击、数据泄露
缺乏安全更新机制	无法OTA升级、升级不验证来源	漏洞永久存在
暴露的调试接口	UART、JTAG、串口未禁用	物理接触即可提权
敏感信息硬编码	WiFi密码、云平台Token写死在代码里	批量泄露、横向渗透

我曾经帮一家制造企业做安全评估，发现他们车间里的温湿度传感器，用的还是十年前的老固件，漏洞列表一查十几个。更离谱的是，这些传感器居然直接暴露在公网上，连个VPN都没有。你说这跟把家门钥匙挂在门外有什么区别？

企业面临的合规风险：不只是技术问题，更是法律问题

很多企业觉得IoT安全是“技术部门的事”，大不了被黑一次再修呗。但现在的监管环境已经变了。你想想看，如果因为IoT设备泄露了用户隐私，或者导致关键基础设施停摆，那就不只是修设备的问题了——罚款、停业整顿、甚至刑事责任都有可能。

目前国内和国际上，跟IoT设备安全直接相关的合规要求越来越多：

• 《网络安全法》：要求网络产品和服务提供者履行安全保护义务，IoT设备显然算“网络产品”。
• 《数据安全法》：IoT设备采集的数据（人脸、位置、行为轨迹）属于重要数据，必须分级保护。
• 《个人信息保护法》：智能家居、可穿戴设备收集的个人信息，必须获得用户同意，且不能过度采集。
• 等保2.0：物联网扩展要求，对感知层、网络层、应用层都有明确的安全控制点。
• 欧盟GDPR：如果你的IoT设备涉及欧洲用户数据，那合规要求更严格。
• 美国加州SB-327：全球第一部专门针对IoT设备安全的法律，要求设备必须有合理的安全特性。

我记得有个客户，他们采购了一批智能门锁用于员工考勤。结果门锁的固件里硬编码了管理员的私钥，被安全研究员发现后公开了。监管部门直接上门，因为涉及员工生物特征和位置信息泄露，最后罚了上百万。你说冤不冤？其实一点都不冤——采购的时候但凡多问一句“固件有没有签名”“通信是否加密”，都不至于这样。

安全准入的必要性：把风险挡在门外

好，前面说了这么多威胁和风险，那怎么办？难道不买IoT设备了？当然不是。IoT设备带来的效率提升是实实在在的，我们不能因噎废食。

我的建议是：建立IoT设备安全准入机制。说白了，就是给每一台要接入企业网络的IoT设备做“安检”。不合格的，坚决不让进门。

为什么必须这么做？三个理由：

1. IoT设备数量爆炸式增长：一个中型企业，可能同时管理几千台IoT设备。靠人工一台台检查？不现实。必须有一套标准化的准入流程。
2. 供应链安全不可控：你买的设备，可能是小厂商贴牌的，固件里有没有后门？元器件有没有被替换？你根本不知道。准入检测是最后一道防线。
3. 合规审计需要证据：出了事，监管部门问“你们有没有对设备进行安全评估？”你拿不出记录，那就是违规。准入流程留下的日志和报告，就是你的护身符。

下面这张图，是我个人习惯用的IoT设备安全准入核心逻辑框架。它把整个准入过程分成了四个阶段，每个阶段都有明确的检查点：

这个框架看起来简单，但真正落地的时候，你会发现每个阶段都有坑。比如“设备发现与登记”，很多企业连自己有多少IoT设备都说不清楚。我建议先做资产盘点，把设备类型、厂商、固件版本、网络位置全部登记造册，这是所有安全工作的基础。

再比如“安全基线检测”，不是随便扫个端口就完事了。你要针对不同类型的设备制定不同的基线。摄像头和PLC的基线能一样吗？肯定不一样。我习惯的做法是，先按设备功能分类，然后给每一类制定一个“安全基线清单”，检测的时候逐项核对。