物联网信息安全技术探究

郑晓宇

摘 要：本文从“暴风一号病毒”入手，通过介绍“暴风一号病毒”的相关信息，再引申到当代社会的网络安全现状，阐述物联网信息安全的发展情况，激发当代青年对物联网信息安全的研究兴趣，为我国信息安全做出重大贡献。

关键词：暴风一号病毒 物联网 信息安全

一、“暴风一号病毒”

大家以为“暴风一号病毒”离自己很远，但并非如此。有一次，笔者在复印店打印资料时通过U盘不小心感染了此病毒，做实验时又发现了班级里几乎过半的U盘感染了此病毒。初期感染此病毒时，笔者并没有着急通过360安全卫士等杀毒软件对其进行查杀，认为不过是多了一个快捷方式而已，并未对U盘以及电脑里的文件造成损害，也没有受到勒索等。之后，笔者以物联网信息安全技术这门课程为契机，对此病毒进行了更深入的调查，发现“暴风一号病毒”并不同于如今的主流病毒，不进行盗号、下载木马等常见的病毒行为。

“暴风一号病毒”原名“Worm.Script.VBS.Autorun.be”，这是一个由VBS脚本编写，采用加密和自变形手段，并且通过U盘传播的恶意蠕虫病毒。病毒行为有自变形、自复制、改注册表、遍历文件夹、关闭弹出光驱、锁定计算机、进程异常等。从2009年开始，许多人的电脑和U盘都感染了此病毒，直到现在，这种病毒的各种变形病毒依然入侵着电脑。

瑞星反病毒工程师介绍其“六宗罪”：该病毒会自动进行变形、加密、解密，使得每次运行后，病毒文件内容彻底变化，以躲避杀毒软件查杀；通过Autorun的方式，使用户打开磁盘时自动运行病毒，并修改正常的系统文件；将病毒文件附加在正常系统文件中，修改注册表，以实现自身隐藏；隐藏电脑中的所有文件夹，并生成一个快捷方式，当用户打开时，会误认为是正常的，但病毒已经在运行；每当系统日期中的月和日相等时（比如2月2日），光驱被病毒自动弹出；病毒会用下图中的骷髅图片锁定电脑屏幕，使用户无法操作。最后使得用户感染病毒后电脑运行速度变得非常缓慢，无法正常操作。

也正是因为它的这些特性，让这个病毒变得不那么容易被杀毒软件发现，而且这个病毒在潜伏期并不会对电脑产生任何危害，只有在特定日期才会触发其文件内部的某个指令，比如通过Function Get Infected Date函數得到病毒恶作剧日期，检测到到达设置的日期时病毒再发作。而且其特定的自动解密加密功能也让破解这个病毒源码更加麻烦，虽然只是基于密码学，将其解密后的文字改变字母大小写和顺序，但当数据量很大的时候，想要再次解密复原也是十分困难的。

总的来说，虽然这个病毒现阶段对人们产生的危害无关痛痒，但它始终是作为一个漏洞在电脑上存在着，就像是场小感冒对未来可能被引发的肺炎和脑炎等更加严重，所以一定不能忽视它，要尽早对其进行查杀，以绝后患。

二、当代网络安全现状

在科学技术发展迅速的今天，人们的生活越来越智能化，不断向万物互联的目标迈进，但是越织越大的物联网在给人们的生产生活带来便利的同时，安全隐患也越来越多，成为物联网产业发展的一个痛点。

《2017物联网安全年报》显示，目前具有安全风险的物联网设备中，路由器和视频监控设备暴露在互联网上的数量最多。比如，国内暴露在互联网上的路由器就超过1000万台。这些暴露出来的设备一旦存在漏洞，就有被攻击的风险。近年来，许多新型智能设备接入互联网，但安全风险仍然集中在相对传统、应用比较成熟的设备上，它们也是感染恶意代码的主要物联网设备，而且一些数量较少的物联网设备也存在安全隐患。比如，商用车的远程通信统一网关、网络恒温器等可能面临远程登录无密码保护、设备停产缺乏安全维护等风险。不单是硬件，物联网一些常用的操作系统同样存在不同程度的安全问题，很多物联网设备通过云端联通，而长时间连接云服务，安全隐患将会增加。正因为物联网由多种设备组成，互联互通的环境使得安全风险快速扩散和传播，也就是说，即便是某个不起眼的物联网设备存在安全隐患，也可能引发系统性的安全事件。

另外，物联网和库漏洞在2017年中逐渐增多。在2016年10月1日至2017年9月30日期间发现224个新漏洞，其中40个漏洞（17.86%）与产品中包含的第三方软件库有关，74个（33.04%）与物联网设备有关。然而，尽管物联网的漏洞日益增多，很多漏洞修复速度很慢，甚至完全没有被修复。组织需要像对待其他计算设备那样对待物联网设备，确保它们的固件按时更新。尽管常见漏洞严重性较低，但风险依然较高，一旦不注意更新修复，也会成为攻击者的攻击途径。

数据泄露带来的损失已经不是一个假想的情况，而是能在企业的账本上明确反映出来的情况——53%的攻击会导致超过50万美元（约314万人民币）的损失。然而，攻击者只需要找到一个弱点，进行单点突破，企业的防御却需要做到全方位的保护——从而对整个安全防御带来极大的挑战。为了应对各种挑战，安全人才逐渐成为了极大的需求，2017年，有27%的受访者认为缺乏人才是一大障碍（2016年为25%，2015年为22%）。而缺乏人才带来的问题之一，就是企业无法协调、理解并修复来自不同安全供应商的风险通告。

现在安全漏洞引发的恶意攻击越来越多。老式的蠕虫型恶意程序以及邮件攻击依然是攻击者的宠儿，甚至随着结合新的攻击元素能够进一步变化。而新式的攻击则针对企业新开展的业务以及设备和服务展开攻击。

而且国内当前不少物联网设备生产厂商侧重追求新功能，对安全重视不足。作为一种新技术，整个物联网行业的标准以及政府对其相关管理也并不完善，物联网基数大、扩散快、技术门槛低，已经成为互联网必须重视的安全问题。

总体来说，对于攻击者而言，对安全漏洞的利用无疑可以产生巨大收益，即使只是想做恶作剧，也会使他们产生巨大的兴趣进行钻研和学习。然而对于防御者而言，把尽量多的安全漏洞找出来，可能只是做了无用功，或者说防御的效益只能在未来的发展历程中不断地显示出它的巨大功效，这可能也是物联网走到今天面临巨大安全问题的原因。

三、信息安全需要源源不断的新生力量

作为一名物联网专业的大三学生，了解身边同学以及其他学校类似专业朋友的日后发展方向后，笔者发现大多数学生都更想研究人工智能、软件开发、网页前端设计、VR等目前大热的方向，很少有人想要选择网络信息安全作为研究生研究方向，即使是学习信息安全类的本科学生，也不想在研究生阶段继续进行深入学习，有的说密码学令人头疼，有人说网络安全的研究很枯燥也比较困难，好像在大家看来研究信息安全是一件费力不讨好的事情。

近年来，为了应对安全问题，漏洞赏金计划已成为许多公司的重要安全策略之一，在国内大部分SRC更是承担了漏洞悬赏的职能。对于一家公司而言，网络安全问题至关重要。但趋于某些条件的限制，往往会削弱其在安全方面的投入。因此漏洞赏金计划的模式不仅为这些公司大大减轻了成本负担，同时相较于公司自己聘请专门的安全负责人员也更具效率。2018年7月，微软更是推出了其迄今为止最高的Windows Bug奖励计划——高达250000美元，具体奖金金额取决于安全漏洞的复杂性，以及报告者提交给微软公司的信息数量。

物联网作为一个现代社会的发展趋势，未来发展只能更加进步，当物联网设备越来越多时，物联网安全将会成为一个亟须解决的问题。现在美国黑客力量非常强大，所以我国需要加大力气培养一批高水平的物聯网信息安全研究员，不能只靠院士专家们，更需要源源不断的新生力量进行补充，也让相关安全的研究能在新旧观念交替中不断发展，努力追逐物联网迅速发展的脚步。

四、小结

总体来说，物联网极速发展的趋势是不可阻挡的，相对地，发展越快也意味着容易产生越来越多的漏洞。从业者对于其发展切勿急功近利，一定要力争让物联网信息安全技术也大体能够追逐上物联网企业的发展步伐，不要让功能大致完善的物联网设备着急投入到社会中被大批量使用，相关国际机构也应该尽快制定相关标准，政府相关部门也要加大管理力度，可以加大各高校对物联网安全技术的大力宣传及优待政策。

科技研究无疑是当代社会发展中最重要的研究，尤其涉及安全类的技术，必须要有国家自己的科研实力。现在已经不再是冷兵器时代，科技作为一个国家的最高战斗力，一个安全漏洞足以毁掉一个国家重要部门的信息系统，使其瘫痪并在短时间内无法使用，损失不是轻易能够估量的。从业者一定要对巨大的安全问题有足够的重视，居安思危，努力在网络信息安全方面防患于未然。

（作者单位：中央民族大学信息工程学院）