1. IoT安全威胁全景
各位同学，咱们今天聊IoT安全威胁全景。说实话，这个领域我摸爬滚打了快十年，踩过的坑比走过的路还多。你想想看，一个智能灯泡、一个联网摄像头，它们真的安全吗？
我个人习惯把IoT安全威胁分成三大类：攻击类型、僵尸网络与DDoS、固件与供应链。这三块就像三座大山，压在每个安全从业者头上。
1.1 IoT设备面临的主要攻击类型
IoT设备说白了就是「小、弱、多」。小——资源受限；弱——防护薄弱；多——数量庞大。攻击者最喜欢拿这种软柿子捏。
我整理了一下，常见的攻击类型大概有这些：
| 攻击类型 | 攻击目标 | 典型手法 |
|---|---|---|
| 弱口令爆破 | 设备管理后台 | Telnet/SSH暴力破解 |
| 固件逆向 | 固件镜像 | binwalk提取、硬编码密钥 |
| 协议劫持 | MQTT/CoAP | 中间人攻击、重放攻击 |
| 物理接口攻击 | UART/JTAG | 串口调试、固件dump |
| Web漏洞 | 设备Web面板 | 命令注入、文件上传 |
我在项目中遇到过最典型的案例——某品牌智能摄像头，出厂默认密码是 admin:123456。你猜怎么着？攻击者写了个脚本，全网扫Telnet端口，一天能拿下十几万台设备。嗯，这就是弱口令爆破的威力。
1.2 僵尸网络与DDoS攻击
说到僵尸网络，就不得不提Mirai。2016年那场大爆发，至今想起来都让人后背发凉。Mirai感染了数十万台IoT设备，发起了史上最大规模的DDoS攻击，峰值流量超过1Tbps。
为什么会这样？说白了，IoT设备天生就是做「肉鸡」的好材料：
- 永远在线——不像手机晚上会关机，IoT设备7×24小时挂着
- 带宽可观——智能摄像头、路由器都有不错的网络带宽
- 防护为零——大多数设备连防火墙都没有
- 难以发现——用户根本不知道自己的设备已经被控制
我记得有一次应急响应，客户说网络突然卡死了。我们一查，发现是公司内部的200多台IP摄像头在疯狂向外发包。这些摄像头被感染了Mirai变种，正在参与攻击某游戏服务器。客户一脸懵：「摄像头还能干这事儿？」
现在的僵尸网络已经进化了好几代。从最初的Mirai，到后来的Hajime、IoTroop，再到最近的Mozi。攻击手法越来越隐蔽，C2通信越来越加密。你想想看，如果流量全是加密的，传统基于签名的检测方式基本就废了。
1.3 固件漏洞与供应链攻击
固件漏洞这块，我感触特别深。很多厂商为了抢市场，固件开发周期压得很短。结果呢？漏洞一堆。
常见的固件漏洞包括：
- 缓冲区溢出——C语言写的固件，指针乱飞是常态
- 命令注入——Web接口没做输入过滤，直接拼到系统命令里
- 硬编码后门——调试接口没删干净，留了个超级管理员账号
- 不安全的OTA更新——固件升级包没签名，谁都能伪造
供应链攻击更可怕。它不是攻击某个设备，而是攻击设备的生产过程。举个例子：
某厂商从第三方采购了Wi-Fi模组，模组里预装了一个「调试工具」。结果这个工具其实是后门，可以远程执行任意命令。厂商不知道，用户更不知道。等发现的时候，几十万台设备已经铺到用户家里了。
供应链攻击的典型路径是这样的：
- 攻击者入侵芯片/模组供应商
- 在固件中植入恶意代码
- 供应商把带毒的固件发给设备厂商
- 厂商集成后批量出货
- 最终用户买到「出厂即带毒」的设备
这种攻击最难防。因为恶意代码是在生产环节植入的，安全检测工具根本发现不了。我曾经处理过一个案例，某款路由器出厂固件里藏了一个挖矿程序。用户买回家插上网线，CPU就开始100%跑。用户还以为是路由器性能不行，其实是给黑客打工呢。
好了，这一章我们梳理了IoT安全威胁的全景。从攻击类型到僵尸网络，再到固件供应链，每个环节都有大量的失陷指标可以提取。后面的课程，我会带着大家一步步把这些指标变成可落地的检测规则。