网络空间测绘系列——2018年摄像头安全报告

iso60001  263天前

作为物联网设备中的先驱,摄像头早在十几年前就已遍布全球,与我们的生活息息相关。无论是家中的视频聊天、安全监控摄像头,还是公共场合的身份识别、治安管理摄像头都无时无刻不在为人类提供各项服务。但这些摄像头在为人们提供便利的同时,也威胁着人们的安全。一直以来,由于很多摄像头本身以及使用部署方式存在安全漏洞,使得不少黑客都瞄准了这块“肥肉”,各类针对摄像头的攻击此起彼伏。

白帽汇安全研究院计划通过网络空间测绘技术推出一系列安全报告,此次对公网中的摄像头数据进行分析研究,发布如下分析报告。

摄像头特点

摄像头分布特别广,无论室内还是室外都存在,且数量不仅非常大,还在持续上升中。白帽汇安全研究院利用网络空间测绘技术对暴露在全球的1000多款摄像头进行统计,有288个国家全球的摄像头对外公开,有8063个城市,设备总数达到2635万。

1.png

我国对外暴露共165万摄像头,省份和地区对外暴露的平均数量在4.9万。前五地区加起来超过全国的58%。中国台湾地区和辽宁省加起来占了全国的三分之一。

7.png

其次,摄像头几乎24小时在线,不像计算机等设备只是使用时开机。

三是有很多摄像头厂商为了降低开发成本,会选择使用最常用、最便宜的底层固件,容易出现摄像头底层漏洞。

四是摄像头配置通常不高,不太可能有专门的安全防护软件。此外,当厂商发了安全补丁,用户也很难第一时间获取更新资讯,摄像头也普遍缺乏自动更新机制,甚至不少用户根本就不知道如何更新摄像头固件。

摄像头风险

不同应用场景的摄像头会带来不同种类、不同程度的安全威胁

工业场合

工业摄像头一旦出现问题,就会对工业设施造成不可逆转的安全影响。2014年俄罗斯边境一条长1099英里的输油管由于内压太大发生爆炸,奇怪的是,爆炸前的60个小时摄像头录像神奇消失。而这次时间也被定性为某国家的入侵行为。

3.png

公共场合

公共场合的摄像头往往是用于安全监察。这类摄像头一旦出问题,不仅会造成公共场所监控失效(例如恶意屏蔽暴力影像),还有可能造成很大的公共隐患(例如电影中黑客随意控制公共摄像头追踪他人)。

4.png

个人场合

家庭内摄像头如果被泄露往往严重影响个人的隐私,一些敏感视频会被黑客放在网上售卖,给个人安全和声誉造成巨大影响。

5.png

摄像头漏洞

摄像头漏洞在2013年只有80个左右,到了2017年已升至200个左右,预计在2019年,漏洞数量可能超过300。而在这些漏洞中,影响最大、数量最多的是命令注入漏洞,一旦利用成功,黑客就完全掌控了整台摄像头,即可用于挖矿,也可用于搭建僵尸网络;其次是授权类漏洞,这类漏洞通常可使攻击者直接看到摄像头影像,严重泄漏个人隐私;而信息泄露会使黑客了解到摄像头的一些敏感信息,例如IP,Mac地址等,容易引起进一步攻击。6.png

如何改进摄像头安全

若要彻底解决摄像头安全问题,需要管理和技术相结合。

管理方面

无论使国家还是公司团体都需要建立摄像头的相关安全标准,把摄像头纳入网络资产,进行统一化的安全管理。2017年的时候公安部发布了针对于摄像头的安全标准,但只针对国家的重要部门。对于企业和公司团体,还是需要制定相应的安全策略进行统一化管理,利用网络空间测绘技术实时掌握各类摄像头的详细信息和分布情况,由上而下解决摄像头管理混乱问题。(本报告所使用的统计数据均来源于FOFA系统)

技术方面

摄像头厂商需要加强安全意识,建立完整安全开发流程,并对用户做好安全知识普及,以及系统更新、系统设置方面的说明。安全厂商则要从测绘和修复两个角度为用户提供可靠的安全方案:一方面要能为用户提供迅速、详细的摄像头资产测绘扫描;另一方面又要能迅速提供摄像头修复方案。


如果查看全部内容请下载完整版《网络空间测绘系列2018年摄像头安全报告》,下载链接: 网络空间测绘系列2018年摄像头安全报告.pdf

最新评论

昵称
邮箱
提交评论

友情链接:FOFA FOEYE BCSEC BAIMAOHUI 安全客 i春秋

nosec.org All Rights Reserved 京ICP备15042518号