1. IoT安全概述：现状、攻击面与威胁分类

大家好，我是老周。做IoT安全有些年头了。今天咱们聊聊IoT安全的整体面貌。说实话，这个领域变化太快，我每年整理PPT都得大改一次。

很多人觉得IoT安全就是“给设备加个密码”。嗯，要真这么简单，我也不用在这开课了。你想想看，一个智能灯泡、一个温度传感器，它们能有多大的攻击面？结果呢？2016年Mirai僵尸网络就是靠摄像头和路由器，把大半个美国互联网搞瘫痪了。

1.1 IoT安全现状：为什么我们总在被动挨打？

先看几组数据。我个人习惯每年跟踪几个主流安全报告，比如OWASP IoT Top 10、CVE漏洞库的IoT相关条目。趋势很明显：

• 漏洞数量逐年攀升：2023年IoT相关CVE超过1500个，比五年前翻了近三倍。
• 攻击自动化程度高：Mirai的变种到现在还有，扫描全网开放端口的脚本在GitHub上一搜一大把。
• 设备生命周期长，补丁难：很多传感器部署后五年没人管，固件不更新，漏洞一直晾在那。

我在项目中遇到过最典型的情况：某工厂部署了2000多个温湿度传感器，用的还是三年前的老固件。我问IT负责人为什么不升级，他说“设备能跑就行，升级万一出问题谁负责？”——你看，这就是现状。

1.2 IoT攻击面分析：攻击者从哪里下手？

攻击面这个词，说白了就是“你能从哪些地方打我”。IoT系统的攻击面比传统IT系统大得多。为什么？因为多了物理世界这一层。

我习惯把IoT攻击面分成四个维度，画了张图，你一看就明白：

四个攻击面，咱们逐个拆开聊：

1. 设备层攻击面

这是最直接的攻击入口。攻击者可能通过物理接触（比如拆开外壳接串口）、固件提取、调试接口（JTAG/SWD）等方式下手。我见过最野的操作：有人用逻辑分析仪直接抓取传感器和MCU之间的I2C通信，明文数据一览无余。

2. 网络层攻击面

IoT设备通常使用轻量级协议，比如MQTT、CoAP、Zigbee。这些协议在设计之初更关注低功耗和低带宽，安全性往往后补的。举个例子，MQTT如果不启用TLS，用户名密码就是明文传输的。你想想看，攻击者在同一Wi-Fi下抓个包，你的设备凭据就暴露了。

3. 云平台攻击面

设备数据最终要上云。云平台的API接口、设备注册机制、数据存储权限，每一个都是潜在突破口。我在项目中遇到过某厂商的IoT平台，设备注册时只校验设备ID，不校验设备密钥——结果就是任何人都可以伪造设备上报数据。

4. 应用层攻击面

手机App、Web控制台，这些是用户直接交互的界面。常见的Web漏洞（SQL注入、XSS、越权）在IoT应用层一个不少。而且很多IoT App为了“用户体验”，本地存储了设备的长期令牌——手机丢了，设备控制权也就丢了。

1.3 IoT安全威胁分类：把敌人分清楚

攻击面是“从哪里打”，威胁是“怎么打”。我习惯把IoT安全威胁分成五大类，这样在做安全设计时，可以逐类排查：

威胁类别	典型攻击方式	真实案例（我遇到的）
物理攻击	拆解设备、串口调试、侧信道分析	某智能锁被拆开后，通过UART拿到root shell
网络攻击	中间人攻击、DDoS、协议劫持	Mirai僵尸网络利用Telnet弱口令感染设备
软件攻击	固件逆向、漏洞利用、恶意固件注入	某路由器固件存在后门账号，全网可扫描利用
通信攻击	重放攻击、数据篡改、会话劫持	智能家居场景下，攻击者重放开锁指令
供应链攻击	恶意芯片、第三方库漏洞、固件投毒	某模组厂商在SDK中预埋了后门代码

嗯，说到供应链攻击，这个我得重点提一下。很多IoT厂商为了快速出货，直接采购第三方的通信模组或SDK。这些第三方代码里有没有后门？有没有已知漏洞？说实话，很少有人真正去审计。我曾经帮客户做安全审计，发现他们用的一个Wi-Fi模组SDK里，硬编码了一个调试账号——厂商说“忘了删”。

所以你看，IoT安全不是某一个环节的事。从芯片选型、固件开发、网络通信、云平台对接，到最终的用户App，每个环节都可能出问题。而我们这门课的核心——识别异常流量特征，就是帮你从网络流量这个维度，快速发现这些攻击的蛛丝马迹。

这一章先搭个框架。后面我们会一步步深入，从流量采集、特征提取，到异常检测模型，把整套方法论讲透。