摄像头、门禁、传感器 这些物联网设备正在成为新的安

某写字楼的物业经理接到警方电话时，还以为是诈骗——对方告诉他，楼里三十多个监控摄像头的画面，正在一个公开的视频网站上被全国各地的人围观。他赶紧登录后台，发现这些摄像头还在用出厂默认密码，攻击者只是用网上随手能下到的扫描工具，顺着公网IP一个一个试过来，就把整栋楼的监控看了个遍。

这并不是什么极端案例。随着智慧园区、智慧楼宇、智慧工厂的推进，一家企业里能联网的东西越来越多：摄像头、门禁、考勤机、会议平板、智能电表、环境传感器、广告屏、打印机，甚至连空调和饮水机都开始带网口。这些设备当初采购时，大家关心的是价格和功能，几乎没人问一句"它安不安全"。据公开行业资料显示，物联网设备因为计算能力弱、厂商更新慢、普遍使用弱口令，正在成为企业网络里最薄弱的那一层，也是攻击者最喜欢利用的"跳板"。

四川喜鼎津科技有限公司在为客户做物联网安全治理时，第一步往往是带着客户做一次"设备普查"。喜鼎津科技的工程师会拿着网络扫描工具，把客户整网的IP段扫一遍，列出一张长长的清单：这里有几个摄像头、那里有几台门禁控制器、哪个角落里还挂着一台早就没人管的环境监测仪。很多客户在看到这张清单时都很意外——原来自己院里联网的东西，比想象中多了好几倍。

先把它们从办公网里赶出去

物联网设备最常见的错误，是和办公电脑挂在同一个网段。一台被攻陷的摄像头，可以直接扫描旁边的电脑，进而渗透到整个办公网。喜鼎津通常会建议把所有IoT设备单独划成一个VLAN，与办公网、服务器网完全隔离，只开放业务必需的几条端口。这样即使摄像头被人控制，攻击者也"够不着"财务电脑和ERP服务器。

把出厂密码这件事认真对待

绝大多数物联网设备被入侵，原因朴素到可笑——没人改默认密码。喜鼎津在治理过程中，会协助客户对所有设备进行一次集中改密：强口令、定期轮换、专人保管，并且关闭设备上不必要的公网映射。需要远程查看的，统一走VPN或者堡垒机，而不是直接把摄像头的Web端口暴露在互联网上。

让设备的行为也能被看见

物联网设备一旦被控制，通常会出现一些反常的行为：向外连接奇怪的IP、上传大量数据、在凌晨时段发起异常请求。喜鼎津会在物联网网关和核心交换机上开启流量日志，结合威胁情报做关联分析，让这些异常第一次有机会被人看见。很多客户反馈，做完这一步之后，才知道原来自己园区里的某些设备，过去半年一直在悄悄和境外地址通信。

把固件升级这件事接过来

物联网设备最头疼的问题，是厂商经常不提供固件更新。一台用了五六年的摄像头，在网上已经能搜到好几个针对它的漏洞利用工具，可厂商早就停止维护了。喜鼎津会在治理过程中，把这些"高龄设备"列出来，和客户一起评估：哪些可以继续用但严格隔离、哪些应该列入更新换代计划、哪些干脆退役。安全的代价，有时候就是要承认一些设备确实到了该退休的时候。

让厂商也背上安全责任

很多物联网设备的安全问题，根源在采购环节。喜鼎津会建议客户在以后的采购需求里明确写进安全要求：是否支持修改默认密码、是否有固件更新机制、是否提供安全白皮书、是否关闭不必要的服务。把这些写进合同和验收标准，倒逼上游厂商在产品设计阶段就把安全考虑进去，而不是等设备进了厂才发现到处是洞。

物联网设备的安全治理，最终要落到"采购—入网—运维—退役"这条完整生命周期上。喜鼎津科技会建议客户把这四个环节都建立起明确的规矩：采购时筛掉安全不过关的产品、入网时自动纳管到对应的VLAN、运维期间持续监控流量、退役时彻底清除数据并物理断开。让那些不起眼的小设备，从进厂到离厂，都一直处在被看见、被管理的状态里。

物联网设备不会自己变得安全。它需要有人在最初接进网络的时候，多花一点心思，把它放在该放的位置，配上该配的密码，监控它该有的行为。喜鼎津科技愿意做的，就是替企业把这些"不起眼的小东西"，一件一件管起来。