美國當地時間2016年10月21日,為美國眾多公司提供域名解析網絡服務的Dyn公司遭3波“分布式拒絕服務”(DDoS)攻擊。Dyn公司確認,其位于美國東海岸的DNS基礎設施所遭受的DDoS攻擊來自全球范圍,嚴重影響推特、BBC、華爾街日報、CNN、星巴克、紐約時報、金融時報等網站訪問。Dyn公司稱此次DDoS攻擊事件涉及IP數量達到千萬量級,其中很大部分來自物聯網和智能設備。

　　此次DDoS攻擊事件涉及IP數量達到千萬量級。

　　恰在人類社會進入“無人駕駛”的物聯網時代之際,美國網絡大面積中斷,尤其是每個家庭身邊的攝像頭等普通設備,甚至智能豆漿機都可能參加網絡攻擊。我們自然會想,在“萬物互聯”時代,自己所面臨的網絡威脅到底有多大?面對愈演愈烈的網絡攻擊,人類社會應當何去何從?

　　“無人駕駛”時代智能設備成為網絡攻擊主力軍

　　這次美國大面積斷網事件之所以嚴重,不僅是因為擁有強大網絡戰力量的美國對網絡攻擊防不勝防,還由于參與網絡攻擊的主力是居民家中的數碼錄像機、攝像頭、路由器等普通設備。

　　當前,人類社會正在飛速進入“無人駕駛”的物聯網時代。據預測,到2020年將有200億到500億物聯網設備,其中包括五分之一的汽車。物聯網革命正在掃蕩整個互聯網,甚至有人聲稱,“互聯網將消失”。物聯網將車輛、機器人、甚至起搏器、豆漿機、安保攝像頭接入網絡之中。這些成本相對低廉的簡單設備正在成為新的攻擊突破口。

　　我們不禁思考,日常的家用智能硬件怎樣成為實施網絡攻擊的武器?對個人安全會造成怎樣的危害?物聯網時代的安全觀是否將大大不同于以往?

　　面對網絡攻擊,誰也無法獨善其身

　　我們通常使用的攝像頭等設備,一旦連上了網絡,就具備發送數據的能力。國內著名網絡安全企業安天實驗室捕獲并分析了大量關于智能設備、路由器的惡意樣本。這些設備主要是MIPS、ARM等架構,因存在默認密碼、弱密碼、嚴重漏洞未及時修復等因素,導致被攻擊者植入木馬。

　　由于物聯網設備的大規模批量生產、批量部署,在很多應用場景中,集成商、運維人員能力不足,導致設備中有很大比例使用默認密碼、漏洞得不到及時修復。包括Mirai等病毒針對物聯網設備的DDoS入侵主要通過telnet端口進行流行密碼檔暴力破解,或默認密碼登陸,如果通過telnet登陸成功后就嘗試利用busybox等嵌入式必備的工具使用wget下載DDoS功能的bot,修改可執行屬性,運行控制物聯網設備。由于CPU指令架構的不同,在判斷了系統架構后一些僵尸網絡可以選擇MIPS、arm、x86等架構的樣本進行下載。運行后接收相關攻擊指令進行攻擊。

　　面對這種大趨勢,我們不僅要始終堅持“沒有網絡安全就沒有國家安全”的戰略,而且要看到網絡安全已經成為最大的民生問題。面對網絡威脅,小到個人、大到國家,誰也無法獨善其身,我們家庭聯網的智能設備完全可以被不良企圖者控制,既可以窺探我們的個人隱私,可以操縱我們的智能家電、自動交通工具,直至造成重大損失。我們只有舉全國之力、聚全球智慧,樹立物聯網時代人類社會同舟共濟的安全觀,才能讓網絡空間成為十三億中國人民乃至世界人民共同的福祉。

　　誰讓世界第一網絡強國猝不及防?

　　具體分析這次網絡攻擊行為,需要怎樣的力量才能實施?是國家隊、黑客組織還是恐怖主義?

　　最早出來聲稱對網絡攻擊負責的是NewWorldHackers和Anonymous這兩個黑客組織,他們已經確認,是他們針對Dyn的DNS服務發起的大規模攻擊。

　　它是否有可能發展為一種新的恐怖主義?根據估算,萬臺設備就可以輕松松松實現千萬級別IP偽造。攻擊導致美國斷網的IP盡管號稱達到千萬級,有“百萬級”物聯網設備參與DNS攻擊,但據解放軍信息工程大學單征教授估算,“十萬級別”的真實設備完全可以達到這個效果。因此,說是政府攻擊有點牽強,有特定目標的組織完全可以實現這個目標。而恐怖分子也完全可以實現這種級別的、甚至更為嚴重的網絡攻擊。此前,美國司法部已經聯合其他機構,評估了恐怖分子如何利用物聯網造成美國國家安全風險。

　　世界第一網絡大國抵御類似攻擊的能力有多強?

　　據中國安天實驗室等世界著名網絡安全公司研究,目前,依托物聯網(IoT)設備的僵尸網絡的規模不斷增長。眾多基于Linux的跨平臺DDoS僵尸網絡家族這種僵尸網絡復雜的變種已經出現。典型的IoTDDoS僵尸網絡家族包括2013年出現的CCTV系列、肉雞MM系列(ChiekenMM)、數字系列(10771、10991、25000、36000)、BillGates、Mayday、PNScan、gafgyt等。事實上,不久之前,研究人員發現了一種名為Hajime的新型互聯網蠕蟲,其傳播方式與Mirai相似,但更加復雜,可以通過蠻力攻擊(brute force attack)自行傳播,并專門攻擊中國物聯網設備。

　　面對類似的攻擊,中國有能力承受并防御嗎?會造成怎樣的危害?對我們個人和國家來說如何提升安全等級?

　　美國作為互聯網的締造者和網絡戰的始作俑者,不僅最早警惕“網絡911”和“網絡珍珠港”事件的發生,在應對物聯網安全風險方面也走在前面。2016年2月,在華盛頓舉行的“美國全球威脅與我們的盟友”參議院情報委員會聽證會上,美國國家情報局局長作證確認,美國政府安全機構有能力利用新興物聯網技術擴展自身監控范圍與能力。與此同時,美國國防部高級研究計劃局(DAPPA)也發起“高可信軍事網絡系統”項目,以修復影響未來物聯網設備的漏洞。美國國家安全局也密切關注物聯網。

　　即便如此,即便即將完成133支強大網絡戰部隊的組建和部署,目前世界唯一網絡強國美國,也難以應對這種早已出現的僵尸網絡拒絕服務攻擊。有媒體驚呼“攻擊者可能只是在練手,美大規模網絡中斷或僅是大事件前的預演”。其正如著名網絡安全專家布魯斯·施奈爾所預言的大規模網絡癱瘓。

　　作為世界第一網絡大國的中國,應對類似攻擊的實際能力如何呢?在記憶中有兩件事情。第一是安防設備生產商海康視頻的眾多設備因用戶未修改初始密碼或者設立簡單密碼,被境外IP地址控制。另一件就是此次網絡攻擊事件中媒體披露,中國雄邁科技上周日表示他們生產的設備“無意間”參與了本次攻擊。產品中的默認密碼成為安全缺口,造成了雄邁科技的DVR和IP攝像頭被Mirai感染。盡管后來有辟謠說這是競爭對手抹黑,真假難辨,但問題存在并不奇怪。中國應對此類網絡攻擊的能力堪憂。

　　共建網絡空間命運共同體攜手應對威脅是正道

　　網絡空間成為人類社會生存新空間、精神新家園、經濟新沃土、治理新領域之后,機遇與風險并存,并都以指數級加速放大。為此,面對互聯互通的強大趨勢,必然催生共享共治的本質需求,無論那個國家,就算網絡戰力量再強大,也無法獨善其身。誰也不可能像當年在廣島、長崎扔下原子彈之后,只收獲利益。美國作為互聯網的締造者和網絡戰的始作俑者,面對網絡威脅無法獨善其身,加入構建網絡空間命運共同體的中國方案,是最佳選擇。

　　此次美國遭受網絡攻擊,其難以溯源,危害巨大的特性顯露無疑,世界各國只有攜手共同應對網絡威脅,才是正道。下個月,第三屆世界互聯網大會將在烏鎮舉行,已經明確了“創新驅動、造福人類,攜手構建網絡空間命運共同體”的主題,真誠希望世界各國人民和政府,從此次美國大規模斷網事件中汲取教訓,以創新的思維和路徑,堅持造福人類的宗旨,攜手共建網絡空間命運共同體。

　　(作者系中國網絡空間戰略研究所所長 中國信息安全雜志社副社長)