綠盟科技發布2016網絡視頻監控系統安全報告
責編：mhshi ｜2016-10-14 17:10:52近期國外多起DDoS攻擊事件 涉及國內視頻監控系統生成廠商 ，這些事件讓 Mirai物聯網惡意軟件浮出水面 。同時，歐洲委員會正在規劃新的物聯網法規， 國際云安全聯盟CSA發布物聯網安全指南 。一時間物聯網安全已經不再是理論，而是需要切實解決的問題。為此，綠盟科技旗下三個部門聯合發布2016網絡視頻監控系統安全報告。
本文對報告的主要內容摘錄如下，并在文末附上報告全文下載。
物聯網（IoT，Internet of Things）蓬勃發展的同時，基于IoT設備的安全問題越來越多，來自IoT的巨大威脅也引起了國內外眾多安全從業人員的關注，尤其是占據了IoT大半的網絡視頻監控系統。（報告將網絡視頻監控器、網絡攝像頭、數字視頻錄像機等統稱為網絡視頻監控系統）
國外黑客正在利用大量網絡視頻監控系統發起DDoS攻擊
在國外，最近不斷爆出有黑客組織利用大量網絡視頻監控系統發起大規模DDoS攻擊。這其中還涉及了兩家中國公司 浙江大華攝像頭被傳用于DDoS攻擊 杭州雄邁產品又爆root用戶名和密碼 歐洲委員會起草安全法規
- 2015年10月，Incapsula公司在其網絡中發現一個由900個網絡攝像頭發起的DDoS攻擊，其最高攻擊速率達20,000 HTTP RPS（Requests Per Second）。
- 2016年6月，Sucuri發現一起針對其客戶的DDoS攻擊，最高速率達50,000 HTTP RPS，峰值達400Gbps的DDoS攻擊，這起攻擊是由約25513個獨立的網絡攝像頭組成的僵尸網絡發起的。
- 2016年9月19日，OVH的CTO Octave Klaba 在Twitter上稱他們遭受了一起由145,607個網絡視頻監控設備發起的峰值最高達800Gbps的DDoS攻擊。預計該僵尸網絡有能力發動峰值超過1.5Tbps的DDoS攻擊。
- 2016年9月20日，專門從事曝光網絡犯罪的網站KrebsonSecurity就遭受了峰值達620Gbps的DDoS攻擊。Klaba推測，針對Krebs和OVH的攻擊很可能來自于同一個Mirai僵尸網絡。經分析顯示，Mirai 僵尸網絡bot端涉及大量被感染的國內某品牌的網絡視頻監控設備。
我國網絡視頻監控系統的安全問題不容樂觀
CNCERT發布的 《2015年我國互聯網網絡安全態勢綜述》 中提到，?“2015 年，CNVD通報了多款智能監控設備、路由器等存在被遠程控制高危風險漏洞的安全事件。2015 年初，政府機關和公共行業廣泛使用的某型號監控設備被曝存在高危漏洞，并已被利用植入惡意代碼，導致部分設備被遠程控制并可對外發動網絡攻擊。
CNCERT 核查發現，我國主要廠商生產的同類型設備，普遍存在類似安全問題，亟需進行大范圍整改。”而近期的國外一份研究報告顯示，物聯網惡意軟件Mirai已經開始利用接入互聯網的視頻監控設別實施大規模DDoS攻擊，這些被利用的設備甚至牽扯到 國內兩家相關設備制造廠商 。
目前Mirai在全球分布情況，您可以在NTI綠盟威脅情報中心查詢
據NTI綠盟威脅情報中心提供的數據顯示，中國境內存在安全問題的視頻監控系統，主要分布在臺灣（16.1%）和廣東（15.8%），合計占比31.9%，其次是江蘇（7.9%）、福建（6.0%）、浙江（5.7%）等省份
存在問題的網絡視頻監控系統在全球的分布情況，您現在可以在NTI綠盟威脅情報中心實時查詢
在報告中還可以看到，根據Http Header頭部返回信息分析，這些存在問題的視頻監控系統中，大部分為國內廠商的產品。而這些產品的安全性問題大多來自三個方面，弱口令或者沒有口令、已經被植入后門、存在已知的漏洞。這些存在安全性問題的產品利用成本很低，有些甚至直接在瀏覽器輸入地址就可以觀看視頻：
網絡視頻監控系統的安全性源于節省開發成本、自動修補機制、缺乏安全意識
經分析，大量網絡視頻監控設備上都已經被植入了惡意程序，其中包括被人熟知的LizardStresser，最近名聲大噪的Mirai，還有新種惡意程序Luabot等，其中Mirai惡意軟件， 綠盟科技之前給出過分析報告 。報告認為全球已經有大量設備被感染，受控于各黑客組織，執行掃描、DDoS攻擊等黑客活動，并就這些僵尸網絡及其惡意樣本進行了深入分析。
分析指出
有如此之多存隱患的設備存在，我們認為與如下主觀因素有關：
- 部分廠商為了節約開發成本，使用通用的、開源的固件，或者采用貼牌生產的方式，未做任何安全加固，導致不同品牌的設備使用默認的密碼，或者包含相同的漏洞，這就導致一旦漏洞被爆出，其影響范圍甚廣。一個遠程代碼可執行漏洞能夠同時在70多個品牌中存在就是個很好的警示。
- 大部分網絡視頻監控設備沒有自動的系統升級和漏洞修復機制，即使發現高危漏洞，它們也很難被升級修復，廠商有升級的難處, 使用的用戶也很少在意這些設備。
- 用戶普遍缺乏安全意識，有些設置很簡單的密碼，如1234，admin等，有些甚至使用空密碼或者系統默認密碼，這樣就給黑客提供了很大的便利，使他們很輕松就能獲得這些系統控制權限，并進一步利用其為之謀利。
2016綠盟科技網絡視頻監控系統安全報告 全文下載
點擊圖片下載
近期物聯網安全的相關文章
下載：國際云安全聯盟CSA發布物聯網安全指南 為物聯網設備的安全部署提供建議
物聯網惡意軟件“Mirai”源代碼被黑客公開 綠盟科技分析報告開放下載
浙江大華攝像頭被傳用于DDoS攻擊 杭州雄邁產品又爆root用戶名和密碼 歐洲委員會起草安全法規
Level3報告稱中國大量攝像頭被用于DDoS攻擊 據說大華科技監控攝像頭有漏洞
智慧城市是否有足夠的智慧安全？卡巴斯基安全智慧城市計劃
2016網絡安全宣傳周上卡巴斯基說：攻擊智能汽車的很可能是智能電冰箱
綠盟科技研究員剛實現PLC蠕蟲 荷蘭研究員就要發布PLC Rootkit 據說這種攻擊難以檢測
騰訊科恩實驗室吳石攻破特斯拉 不用接觸車就可以打開車門剎車 難道越智能的東西越危險？