2023 年物联网安全 12 大核心洞察

大多数消费者担忧隐私——恐惧安防摄像头泄露私密时刻、智能音箱捕获敏感对话——但这些担忧仅是物联网设备面临真实威胁的一小部分。实践中，攻击者视物联网端点为跳板：发起分布式拒绝服务 (DDoS) 攻击、横向渗透企业网络、或危害关键基础设施。

近期 DEFCON 专场，Scythe CEO 兼前陆军网络研究所顾问 Bryson Bort 梳理过去一年最显著的物联网与工控系统 (ICS) 趋势。

1. 国家级归因显著上升

历史上多数网络攻击归因于有组织犯罪。Verizon 2023 年数据泄露调查报告显示明确转向：国家关联行为体攻击上升，纯犯罪集团归因下降。随国家级活动增多，溯源攻击来源努力加大，凸显理解各事件地缘政治动机的必要性。

2. 物联网设备成跳板

摄像头偷窥虽惊悚，但攻击者首要目标通常为财务收益或定向间谍。更现实威胁：利用弱物联网设备在网络内横向移动。微软安全响应中心记录一活动：威胁行为体（称“Strontium”或 APT 28/Fancy Bear）攻破 VoIP 电话、打印机、视频解码器获立足点，继而扫描高权限账户。

3. 气隙是迷思

号称与互联网隔离的气隙网络被证明脆弱。Bort 指出渗透测试中从未遇真正气隙系统。Stuxnet 攻击仍是最著名案例：攻击者通过看似无害的 USB 驱动器渗透伊朗核设施。

4. 绿色能源增加网络复杂性

现代电网整合可再生能源与分布式发电（如光伏、电动车充电桩）。双向流要求精密计算机控制，扩大攻击面。Bort 质疑是否应退回模拟系统，但绿色能源转型正在重塑电网安全。

5. 关键基础设施成靶心

国家级行为体加强针对工控系统渗透——投票机、水厂、电网。美、英、以、俄、朝、伊、甚至越南（近期瞄准外资车企）均为先进网络行为体。

6. 网络攻击为孤立政权输血

报告显示网络行动可为封闭经济提供资金支持。例如朝鲜据称从全球金融机构与加密交易所窃取 20 亿美元资助导弹计划。美方甚至拨款数十亿采购网络武器瘫痪朝鲜导弹系统。

7. 单一恶意软件可造成数十亿损失

WannaCry 与 NotPetya 虽非专为物联网设计，却展示勒索软件毁灭性潜力。NHS 损失 1.9 万预约、9200 万英镑；航运巨头损 2-3 亿美元。单一感染即可瘫痪整体运营。

8. Trisis 开启新威胁纪元

2017 年首现的 Trisis 结合钓鱼与水坑攻击突破 IT，再横向进入 OT，攻陷直接控制物理过程的安全仪表系统 (SIS)。FireEye 归因俄方，近期报告显示威胁现瞄准美电力基础设施。

9. 关键基础设施攻击规模化

大规模基建攻击虽罕见，但情报显示主动渗透关键资产的组织增多。此类活动常迭代进行，旨在获取长期访问权而非即时破坏。

10. 勒索软件或将很快瞄准物联网设备

研究人员已演示针对多种物联网设备的勒索软件，但主流攻击仍聚焦传统计算平台。Bort 预测五年内勒索软件将延伸至智能汽车、家庭自动化等联网设备——可能索要加密货币解锁系统。

11. 供应商是风险模型不可或缺一环

供应链漏洞成顶级担忧。Bloomberg 指控中国头部服务器主板供应商被植入后门引发辩论，主要科技厂商予以否认。Bort 强调：接触您基础设施的任何组件——硬件、固件、软件——均须纳入风险画像。

12. 数据变现驱动物联网销售

智能设备常以极低甚至零溢价出售，因厂商变现遥测数据。Bort 指出智能电视通常比非智能款更便宜，因公司出售用户数据——观看习惯、位置等。Business Insider 报道汽车制造业同样存在数据收割。美中经济与安全审查委员会报告警告，中国物联网企业日益接触美国消费者数据，引发国家安全担忧。

综上，2023 年物联网威胁版图由国家级行为体、供应链风险、演进勒索软件战术主导。保护设备需分层方法：设备加固、供应链审查、网络分段、持续监测。