物联网设备网络安全风险科普【课件】

科普课件物联网设备网络安全风险科普万物互联·安全同行网络安全知识普及课程导览01万物互联时代物联网基础认知与风险意识唤醒02威胁面面观系统呈现各类安全威胁与攻击手法03风险从何而来剖析安全风险的技术与人为成因04守护智能生活个人与家庭的实用防护措施05共建安全生态行业标准、政策与未来安全趋势CHAPTER万物互联时代连接越多，风险越近从智能家居到智慧城市，物联网已无处不在01什么是物联网简单理解：让原本"哑巴"的设备会说话、会听话、会自己做事物联网（IoT）物联网（IoT）是指将日常物理设备通过传感器、软件和网络技术连接起来，实现数据采集、远程控制和智能交互的网络体系。核心三要素：感知（传感器采集温度、图像、声音、位置等环境信息）、连接（通过Wi-Fi、蓝牙、蜂窝网络等将数据传送到云端或其他设备）、智能（基于数据做出判断和动作，如自动开灯、自动报警）。与"人上网"不同物联网实现的是物与物之间的自动通信，设备可在无需人工干预的情况下交换信息。感知通过传感器采集温度、图像、声音、位置等环境信息。连接通过Wi-Fi、蓝牙、蜂窝网络等将数据传送到云端或其他设备。身边的物联网设备从家庭到城市的物联网设备全景从家中的智能音箱到街角的智慧路灯，物联网设备正悄然融入日常生活的每一个角落你可能没有意识到，一个普通家庭可能已经同时运行着

十余台

联网设备家庭中的物联网设备4类智能影音智能音箱、智能电视智能安防智能门锁、智能摄像头、可视门铃智能家电智能灯泡、插座、空调、扫地机器人、冰箱、洗衣机健康监测智能手环、体脂秤、血压计城市与社区中的物联网设备4类公共设施智慧路灯、智能水表/电表/燃气表智慧出行共享单车、智能快递柜车联网络车载导航与车联网终端楼宇安防门禁与安防系统便利与风险并存物联网带来的便利每一项便利的背后，都可能隐藏着一个新的安全入口物联网带来的便利远程查看家中情况，出门更安心语音控制家电，解放双手智能调节能耗，生活更节能健康数据实时监测，关爱家人但你是否想过这些场景如果家中的摄像头被陌生人

远程打开，你的生活是否还在自己掌控之中？如果智能门锁被网络攻击者

远程解锁，物理锁还安全吗？如果智能音箱一直在

悄悄录音

并上传，你的隐私边界在哪里？为什么物联网安全不容忽视物联网安全已经从技术话题升级为生活安全话题物联网安全已经从“技术话题”升级为生活安全话题连接规模正在持续扩大从家庭到工厂，从城市到农业，物联网设备正在各行各业快速普及设备数量越多，潜在的攻击入口就越多，攻击者可选的目标也越多安全事件的影响正在升级早期网络攻击影响的是电脑和数据，而物联网攻击可以直接影响物理世界被攻击的可能是门锁、摄像头、医疗设备、甚至是车辆与工业设备人身安全与财产安全的关联度显著提升一次被入侵的真实情境这不是科幻电影，而是物联网设备被入侵后的真实可能。了解威胁，才能有效应对清晨智能音箱自己开始播放陌生声音，空调被远程调到异常温度上午手机收到门锁被打开的通知，监控画面却正好"故障"深夜路由器指示灯异常闪烁，网速变慢，家中的摄像头云台自己转动起来CHAPTER威胁面面观看不见的攻击者设备越智能，攻击面越宽广02默认密码成最大破绽出厂默认密码往往是最容易被利用的薄弱环节出厂密码不改，相当于把家门钥匙挂在门口攻击原理3项统一默认密码如

admin/admin

或

root/12345从不修改设备如同门没上锁批量扫描登录攻击者可轻松发现并登录设备隐患表现摄像头被远程查看角度被恶意转动路由器被篡改DNS访问正常网站却被引导至钓鱼页面门锁、插座被远程操控设备被劫持成僵尸大军僵尸网络通过批量扫描弱口令设备，组成攻击洪流第1步扫描寻找批量扫描寻找设备攻击者批量扫描互联网，寻找有弱口令或漏洞的物联网设备。第2步植入控制植入恶意程序植入恶意程序，设备被远程控制，成为"僵尸"节点。第3步组网攻击组成僵尸网络大量僵尸设备组成网络，统一接受指令发动攻击。破坏力数万台被控设备同时攻击，目标瞬间瘫痪流量攻击：数万台甚至更多被控设备同时向目标发起流量攻击，导致目标网站或服务瘫痪。滥用功能：发送垃圾信息、窃取数据、充当跳板。毫无察觉：普通用户对设备被控往往毫无察觉。你以为家里的摄像头只是"连了网"，但它可能正在参与一场网络攻击隐私窃听与数据泄露设备在提供便利的同时，也默默记录着你最私密的生活细节智能音箱与摄像头3项日常对话室内画面作息规律室内画面完整图景一览无余作息规律生活节奏尽在掌握健康穿戴设备4项心率持续监测健康数据睡眠睡眠质量深度分析运动轨迹活动范围行踪记录体重变化身体状态趋势图谱智能家电3项使用习惯偏好设置行为模式在家时间段居家时段精准洞察生活节奏日常规律一览无余攻击者可掌握你的活动规律，判断家中何时无人健康数据的泄露可能影响个人隐私甚至保险、就业等权益对话内容被公开或用于精准诈骗，带来经济损失通信被劫持与篡改设备通信链路中的风险点真正的风险不只是设备被打开，而是你收到的信息可能已经被篡改设备通信链路·风险点设备端数据发送前被篡改›传输中数据被截获或替换›云端凭证被窃取后远程控制典型攻击手法中间人攻击拦截设备与服务器之间的通信，读取或修改数据重放攻击截获合法指令后重复发送，实现未授权操作伪造指令伪装成云端或App下发恶意控制命令核心风险在于信任链被破坏：你无法确认指令的真伪，因为通信链路中的每一环都可能被攻击者介入。攻击面与供应链风险安全风险既源于设备自身，也藏在供应链深处物联网安全的敌人不仅来自“黑客”，也可能来自产品本身的设计缺陷设备自身的攻击面开放调试接口未加密固件可被物理拆解废弃设备残留数据出售或回收时可能泄露配套App与平台缺陷同样是攻击入口供应链中的薄弱环节开发测试环节未做安全检查，漏洞随设备进入千家万户第三方组件通信模块、云服务接口存在漏洞，影响多个厂商核心组件漏洞整个生态中的设备都可能面临风险针对儿童与老人的定向威胁家庭成员中越脆弱的人，越需要

优先保护儿童面临的威胁3项智能玩具与学习设备可能内置摄像头和麦克风，成为隐私泄露渠道攻击者可能利用设备的语音功能与儿童直接对话，实施诱导儿童的身份信息、声音数据一旦被窃取，后续危害难以预测老人面临的威胁3项健康监测设备可能被劫持，向家属发送虚假健康信息智能养老设备被恶意操控，直接影响老人的生活与人身安全老人对异常状态识别能力较弱，面对设备被劫持时更易不知所措CHAPTER风险从何而来漏洞藏在细节里技术缺陷与使用习惯共同构成风险03技术层面的漏洞根源技术缺陷是物联网安全风险的第一大根源，集中体现在三个层面：设备设计层面设备计算与存储能力较弱，难以承载完整的加密与安全防护功能为控制成本、缩短开发周期，安全设计往往被放在最低优先级设备出厂后缺少安全更新机制，"一次开发、终身使用"是普遍现象能力受限成本优先无更新通信保护层面部分设备使用明文传输数据，口令与隐私信息容易被截获认证机制不完善，设备无法验证通信对象的真实身份配对流程简单，存在被邻近攻击者利用的可能明文传输认证缺失配对薄弱云端与平台层面云平台接口配置不当，可能暴露用户数据账号权限管理混乱，设备控制权限可能被他人获取接口暴露权限混乱异步复杂状态与物理暴露物理世界的复杂性，让物联网安全的难度远超传统网络安全设备长期处于无人值守状态路由器、摄像头、智能电表等设备

7×24

小时在线，持续暴露在网络上攻击者可以反复探测、长期潜伏，用户难以察觉7×24在线长期暴露运行状态复杂，难以统一管理一个家庭中可能同时存在多个品牌、多种协议的设备，彼此兼容性差用户很难清楚地知道每个设备的固件版本、安全状态与更新情况多品牌并存状态不明设备本身处于物理开放环境门锁、快递柜、共享设备长期放置在

公共空间，任何人都可以物理接触一旦被拆解或连接调试接口，攻击者可能直接提取数据或植入恶意程序公共空间物理接触人为因素：习惯与认知盲区无意识的高风险行为与常见安全认知误区01无意识的高风险行为购买设备后直接使用，从不修改默认密码物联网设备与电脑、手机同网连接，扩大攻击影响范围长期不更新固件，设备漏洞持续暴露摄像头对准卧室、客厅等私密空间，未做权限设置02常见的安全认知误区“不被盯上”误区攻击者往往随机扫描，不看目标“价值”“运行正常”误区多数攻击在后台进行，设备表面毫无异常“管不了”误区多数攻击利用的是最简单的漏洞，如默认密码03基础防护动作修改初始口令，杜绝默认凭据分离设备网络，减少攻击面扩散定期升级固件，封堵已知漏洞遮挡摄像头并设权限，保护私密空间04安全自查清单首次使用前改密，拒绝默认密码检查网络隔离，防止跨设备蔓延设置自动更新，漏洞及时修复关闭非必要权限，减少暴露面人为因素：厂商与行业的责任缺口当安全全部依赖用户自觉，风险就成了一件

无法问责

的事厂商的安全投入不足上市速度优先，安全测试被压缩或省略售后缺乏持续漏洞修复，设备卖出去就结束停售后不再提供任何安全支持行业层面的机制缺失安全标准不统一物联网产品缺乏强制性的准入门槛责任与追责机制不健全安全责任与漏洞处罚、召回制度没有明确规定用户维权困难受损后难以追溯责任，维权渠道不清晰攻击者视角：成本与收益的失衡从攻击者角度分析物联网攻击为何如此频发攻击成本为什么这么低成本低互联网上有大量自动化扫描工具和现成攻击程序，技术门槛很低默认密码、已知漏洞可被批量利用，一次扫描锁定海量目标物联网设备长期在线且疏于管理，攻击成功率高攻击收益为什么这么高收益高被控设备可组成僵尸网络，成为大规模攻击的"武器"摄像头、麦克风等设备可直接获取私密数据，用于敲诈或售卖入侵医疗、工业等设备可能造成严重后果，危害性远超传统攻击当"犯罪的成本"长期低于"犯罪的收益"，攻击就永远不会停止家庭网络结构放大了风险路由器是家庭网络的第一道门一台十块钱的智能插座，就可能成为攻破整个家庭网络的入口典型的家庭网络结构共用网关所有设备（电脑、手机、智能家居）通常连接在同一台路由器下防护缺失家庭网络与企业网络不同，缺乏专业的防火墙、入侵检测等安全设备默认配置大多数家庭路由器配置保持出厂状态，本身就是一个薄弱环节风险的横向扩散路径1攻破薄弱点攻击者攻破其中最薄弱的一台设备，如一个智能灯泡2进入内网通过这台设备进入家庭内网，进而尝试访问同一网络中的其他设备3敏感数据暴露电脑上的照片、文档、账号信息可能因此暴露CHAPTER守护智能生活安全从自己做起每个人都能成为智能生活的安全卫士04选购前的安全考量购买物联网设备前的安全评估清单购买前先问自己几个问题我真正需要这台设备联网吗？不需要联网功能的话，是否可以购买非智能版本？这个品牌是否有公开的安全声明和漏洞修复记录？产品是否承诺提供固件更新？更新周期多长？是否支持关闭不必要的功能（如远程访问、云存储）？优先选择的标准有知名品牌与成熟生态支持的产品支持本地控制、不强制依赖云端的产品提供双因素认证、加密通信等安全功能的产品遵循行业安全标准、有公开漏洞响应渠道的产品安全从购买决策开始，选对设备比事后补救

代价更小首日必做的安全设置花十分钟完成这四步，可以避免绝大多数针对默认配置的攻击新设备到手后的“安全四步”1修改默认密码第一时间更换默认用户名和密码设置高强度且与其他账号不同的密码2检查权限设置关闭不必要的远程访问、云同步和语音唤醒功能3更新到最新固件连接网络后立即检查并安装最新固件之后定期检查更新4独立网络隔离将物联网设备连接到访客网络或独立SSID与电脑、手机隔离开路由器的安全加固“路由器是家庭网络的第一道门”合理划分网络区域，让每一台设备各归其位路由器是家庭网络的第一道门修改路由器的管理密码，不要使用出厂默认密码及时更新路由器固件，修复已知安全漏洞关闭

WPS

功能，WPS存在被暴力破解的风险使用

WPA2或WPA3

加密方式，禁用开放的Wi-Fi合理划分网络区域开启访客网络，将物联网设备单独接入，与主网络隔离为重要设备（电脑、手机）与智能设备设置不同的网络段定期查看路由器的已连接设备列表，发现陌生设备立即处理安全从购买决策开始，选对设备比事后补救代价更小养成持续安全习惯每天做出的安全习惯关注设备异常表现指示灯闪烁、自发重启、运行卡顿，可能是被入侵征兆慎用公共网络不在公共Wi-Fi下直接操控家中智能设备离家即断网离开家时，对不使用的设备断网或断电定期执行的安全检查每月·固件更新检查一次所有设备的固件更新每季度·密码更新更换一次重要设备的管理密码定期·清理旧设备恢复出厂设置并删除个人数据必要时果断行动发现设备异常摄像头画面异常或设备不受控，立即断网并重置设备遭遇勒索威胁保留证据并及时报警保护隐私与家庭场景设备是为你服务的，你有权决定

它看什么、听什么、存什么从功能设置上保护隐私3项摄像头设置物理遮挡或定时关闭，休息时关闭或转向墙壁智能音箱关闭不必要的"始终聆听"功能，关闭语音购买等风险功能健康设备数据分享开关按需设置，避免默认公开从家庭空间安排上降低风险3项摄像头位置不要对准卧室、浴室、孩子的活动区域等高度私密空间访客到访访客到来时临时关闭室内摄像头智能音箱位置放置在客厅等公共区域，避免放在卧室床边做好数据备份与应急准备重要数据要提前备份摄像头录制的重要视频、家庭照片等

定期备份到本地硬盘或可信的云盘不要在所有设备上共用同一个密码，避免"一损俱损"记录重要设备的

购买信息与序列号，以便售后与维权被入侵后的应急响应立即

断开该设备的网络连接，阻止攻击者继续操作修改路由器管理密码和设备密码，检查连接的设备列表恢复出厂设置并重新安装最新固件若涉及隐私泄露或财产损失，保留日志并报警家庭网络安全自检清单每半年对照此表检查一次，让家庭网络安全

有据可依检查项安全标准路由器管理密码已修改，非默认Wi-Fi加密方式WPA2或WPA3访客网络已开启，物联网设备独立接入默认密码所有设备均已修改固件更新所有设备已更新到最新版本摄像头位置未对准卧室、浴室等私密空间摄像头遮挡配备物理遮挡或可定时关闭陌生设备检查已查看路由器连接列表，无异常数据备份重要数据已定期备份密码复用各设备使用不同的密码CHAPTER共建安全生态安全是共同责任行业、政府与公众携手构建可信物联网05行业标准逐步建立标准的意义在于：让"安全"从厂商的可选项，变成行业的必选项国际层面的安全标准探索多国·行业·认证多国推动设备安全基线如禁止默认密码、要求提供安全更新行业组织制定安全框架覆盖身份认证、数据加密、漏洞披露等环节安全认证与标签制度推广帮助消费者识别更安全的产品国内安全标准的推进国标·等保·垂直领域国家标准与行业规范我国已出台并对设备安全能力提出要求等级保护制度持续完善物联网系统安全要求不断细化垂直领域安全指南发布智能家居、车联网等陆续发布法规与监管正在加强法规与监管正在加强，全球立法行动正在为物联网设备构建更安全的市场环境。“法规的边界，正在为物联网安全划定底线。”立法层面的进展全球多国已立法或正在立法，要求物联网设备满足最低安全要求。法规强调厂商对设备全生命周期的安全责任，包括漏洞修复与安全更新。不合规产品的市场准入限制正在从自愿倡导走向强制执行。对消费者的权益保护法规推动厂商在产品说明中明确数据收集范围和安全支持期限。消费者在遭受安全事件后拥有更清晰的维权与投诉渠道。监管部门对数据泄露事件的调查与处罚力度加大。厂商安全责任的觉醒厂商应当承担的安全责任在产品设计阶段将安全纳入核心考量，而非事后修补。建立漏洞响应机制，发现漏洞后及时发布修复。提供透明的安全支持期限，明确固件更新承诺。在隐私政策中清晰告知用户数据收集与使用方式。新技术的安全应用技术是双刃剑，但当技术用在安全上，它可以成为

最好的防线技术是双刃剑，但当技术用在安全上，它可以成为最好的防线人工智能的安全赋能异常行为