智能家居背后暗藏着哪些不可不知的网络风险？

哈洛君：万物互联时代，人们纵享互联带来的智能、便捷、高效，但却忽视了可能存在的风险。如果我的手机能够控制数据采集与监控系统，我可能能让整个城市的灯都熄灭。何谓数据采集与监控系统？我真的能让整个城市的灯都熄灭吗？

以下选摘来自牛津科普系列《物联网》，斯科特·J.沙克尔福德从上述问题展开，介绍了万物互联时代我们可能面临的风险。

除了与互联家庭平台或僵尸网络相关的问题外，与物联网相关的一些安全问题尤其重要，因为实际联网且具有潜在风险的设备不仅包括家庭门锁、汽车和医疗设备，还包括数据采集与监控系统等。

2015年，《连线》杂志记者安迪·格林伯格(Andy Greenberg)分享说，他曾自愿成为两名安全研究人员的“数字碰撞测试假人”，以测试嵌入在一辆吉普自由光(Cherokee)车上的一个软件漏洞。当安迪在圣路易斯外的一条高速公路上行驶时，安全研究人员远程控制了汽车的空调、收音机、挡风玻璃雨刷和变速器。

2016年和2017年，美国强生公司(Johnson & Johnson)的胰岛素泵、Owlet公司的婴儿心脏监护仪、圣犹达(St.Jude)医疗设备公司的植入式心脏起搏器和除颤器(用于控制心脏功能和预防心脏病发作)均被报道存在安全漏洞。

数据采集与监控系统也一直是安全研究人员和恶意行为者的目标。

在2016年，研究人员不仅描述了对数据采集与监控系统和工业控制系统的攻击是如何出现的，还描述了他们如何创建“蜜罐技术”来了解日益增长的攻击趋势。他们的蜜罐系统遭受了超过1000次的攻击未遂，这些攻击范围较广，从简单的侦查行为到更复杂的行为，包括关闭目标控制系统等。

同年，美国司法部宣布了对7名伊朗人的指控，起因是他们发动了一系列攻击，其中包括对控制纽约州拉伊市鲍曼大坝(Bowman Avenue Dam)的数据采集与监控系统的攻击。

在能源领域这类攻击特别多，如在勒索钱财的同时摧毁电力设备、破坏铀浓缩设施、威胁要在石化工厂制造爆炸、拆除安全系统等。

在2015年和2016年，有黑客攻击了乌克兰的能源网，并远程控制了乌克兰电力部门的数据采集与监控系统。有20多家美国电力公司也曾受到类似的攻击。2014年，美国网络司令部负责人承认，已追踪到有能力“摧毁运营美国电网的控制系统”的攻击者入侵美国突发事件应急指挥体系(Incident Command System，ICS)。2017年，赛门铁克公司的报告称，黑客对能源网的攻击呈上升趋势，包括那些旨在访问操作系统的攻击。

根据相关报道，早在2018年，曾有俄罗斯黑客入侵美国能源网和其他关键基础设施，并“放置了为关闭电源而必须放置的工具”，这明显不仅仅是进行侦察行动，因此，美国政府对入侵者实施了制裁。

换句话说，通过远程控制数据采集与监控系统，恶意行为者可能会关闭整个城市的灯，研究人员、安全公司和政府都表示，网络攻击者正越来越关注这类场景。

此外，2018年，IOActive和Embedi公司的研究人员发布了一份报告，概述了用于管理数据采集与监控系统或与数据采集与监控系统进行交互的34个谷歌移动应用程序中存在的147个网络安全漏洞。

研究人员解释，“如果攻击者能识别出这些移动应用程序中的漏洞并加以利用，那么他们就可能扰乱工业流程或破坏工业网络基础设施，或导致数据采集与监控系统操作员无意中对系统执行有害操作。”

换句话说，如果移动应用程序中存在的漏洞被攻击者利用，可能会对操控工业控制系统的数据采集与监控系统造成可怕的后果，包括维持电力供应的能源网。

正如将在第7章中进一步探讨的那样，阻止此类攻击是困难的，最终，我们要么通过增强网络安全措施来拒绝恶意访问，要么通过拥有足够的攻击能力来抵御网络攻击。

换句话说，正如西方的一句谚语所说：“如果你住在玻璃房子里，就不要朝别人扔石头。”在物联网世界里，我们就像生活在玻璃房子里一样，随着物联网的发展，我们手里的石头在不断变大，但我们不能因此去攻击他人，因为如果这样，最终我们自己也会受到伤害。

本书近期已上市各大平台，想了解更多物联网知识的朋友们可以关注噢。