路由器真的安全吗？

现在路由器成了很多家庭的“标配”，大多数路由器通过IPv4地址单向连接互联网，外部网络无法反过来主动访问。但以路由器为代表的物联网设备数量众多，还有大量路由器不能被完全屏蔽，存在被外面“看见”的风险。

《2017物联网安全年报》显示，目前具有安全风险的物联网设备中，路由器和视频监控设备暴露在互联网上的数量最多。比如，国内暴露在互联网上的路由器就超过1000万台。这些暴露出来的设备，一旦存在漏洞，就有被攻击的风险。

专家认为，物联网由多种设备组成，互联互通的环境使得安全风险快速扩散和传播。因此，要从整体全局考虑安全防护。某个物联网设备存在安全隐患，并不只影响单个设备，还可能引发系统性的安全事件。比如，某些设备中存在的弱口令、已知漏洞等风险，可能被恶意代码感染成为“僵尸主机”。一方面，这些被感染的设备会“传染”其他设备，组成大规模的物联网“僵尸网络”；另一方面，它们接受并执行来自控制服务器的指令后，一旦发动大规模DDoS（分布式拒绝服务）攻击，将会对互联网基础设施造成严重的破坏。

针对信息系统的人为攻击分为偶然事故和恶意攻击。

人为攻击又分为偶然事故和恶意攻击两种。偶然事故虽然没有明显的恶意企图和目的，但它仍会使信息受到严重破坏。恶意攻击是有目的的破坏。

恶意攻击又分为被动攻击和主动攻击两种。被动攻击是指在不干扰网络信息系统正常工作的情况下，进行侦收、截获、窃取、破译和业务流量分析及电磁泄露等。主动攻击是指以各种方式有选择地破坏信息，如修 改、删除、伪造、添加、重放、乱序、冒充、制造病毒等。

就是当前网络环境存在的风险，大致有如下内容：

第一是设备漏洞。无论是计算机软硬件或网络系统，都是由人创造，由程序员编程得来，不可避免的会有漏洞与缺陷，而这些漏洞则为网络攻击保留了机会，一旦遭受病毒的攻击，大多数文件就会被加密，就不能再打开原本正常的文件了。

第二是数据泄露。网络普及，数据流通加快，这是问题滋生的源头。过去的系统都是尽量地不联网，但现在几乎已经不可能。

数据泄露分为内外部，外部包含政企用户的供应链、第三方供应商以及各种通过搜索引擎公开的代码仓库等所导致，内部比如内部人员或终端木马窃取，有数据显示，目前超过85%的网络安全威胁都源于内部，它的危害程度远超乎想象。

第三是DDOS攻击。其实不熟悉计算机的人一定没有听过这个名字，那大部分的DDOS攻击是经过僵尸网络产生的，它可以让服务器或网络溢出，拒绝服务。

比如确定了你的IP或域名后，控制者便可发出攻击指令，指令可以在僵尸程序中自如地传播与行动。大家应该注意服务器禁止开放与业务无关端口，并在防火墙上对没用的端口进行过滤。

第四是匿名体系。现在的网络匿名体系架构下，让大家互相都不知道其身份，人们没有了这层束缚，就非常容易萌生网络犯罪。

第五是新技术应用。伴随着“新基建”的促进，推动了人工智能、5G、物联网等一系列新技术的应用，而这些新技术本身也可能存在难以猜测的安全风险，同时有可能成为网络犯罪的帮凶。

近日，外媒报道称，物联网安全公司Armis在蓝牙协议中发现了8个漏洞，这些漏洞将影响53亿设备——从Android、iOS、Windows以及Linux系统设备、到使用短距离无线通信技术的物联网设备，无一幸免。

蓝牙耳机、键盘、智能家居设备，Bluetooth技术产品为大家生活提供了便利，让办公家居环境摆脱多种电缆缠绕的困扰。突如其来的安全隐患让蓝牙使用者不得不捏起一把汗。

Armis的安全研究人员通过发现的Android信息泄露漏洞、Android蓝牙网络封装协议服务中的远程执行代码漏洞等8个安全漏洞，设计了一个名为“BlueBorne”的攻击场景，攻击者完全可以控制用户的蓝牙设备。在“BlueBorne”攻击形式下，黑客甚至可以建立一个“中间人”(MITM)连接，在无需与受害者进行任何交互的情况下，轻松获取设备关键数据和网络的访问权。

(图：外媒报道，蓝牙协议被曝存严重的安全漏洞)

更令人担忧的情况是，BlueBorne攻击可能会像今年5月爆发的WannaCry蠕虫勒索病毒一样迅速蔓延，对全球大型公司和组织造成难以估量的损害。

Armis实验室研究团队防护方法

他们成功构建了一个僵尸网络，并使用BlueBorne攻击顺利安装了勒索软件。从理论上讲，BlueBorne可以服务于任何恶意目的，例如网络间谍、数据窃取、勒索攻击，甚至利用物联网设备创建大型僵尸网络。

那么，蓝牙安全漏洞会给用户带来什么样的“灾难”呢？

以Android平台为例，在用户开启蓝牙功能并且没有打补丁的情况下，黑客就可以远程发起攻击，并不断尝试直至攻击成功，因为Android的蓝牙服务崩溃后，系统会自动重启该服务，用户感知不到。

黑客攻击成功后，能够获取非常高的权限，譬如：可控制摄像头、拍照、截屏、启动应用、唤醒手机;读取通信录、照片、文档;可控制手机键盘;可模拟用户点击;对用户网络相关服务有完整控制权限，可监控用户网络流量、可发起MITM攻击。

黑客可以利用该漏洞，在被攻击手机上下载恶意应用，然后模拟用户确认，进行安装。

腾讯手机管家安全专家杨启波建议

用户在不使用手机等设备时先暂时“关闭”蓝牙设置，可以有效抵御攻击风险;同时，Android、iOS等系统设备的用户，及时更新安全补丁，可以极大地防范漏洞风险。

如今，手机已成为现代人的第二器官，其安全性也越来越重要。各位小伙伴们在使用手机及其配件时一定要注意安全，谨防个人信息泄露！

网络安全威胁包括似的网络信息被窃听、重传、篡改、拒绝服务攻击，并导致网络行为否认、电子欺骗、非授权访问、传播病毒等问题。

1、窃听：攻击者通过监视网络数据获得敏感信息,从而导致信息泄密。主要表现为网络上的信息被窃听,这种仅窃听而不破坏网络中传输信息的网络侵犯者被称为消极侵犯者。恶意攻击者往往以此为基础,再利用其它工具进行更具破坏性的攻击；

2、重传：攻击者事先获得部分或全部信息,以后将此信息发送给接收者；

3、篡改：攻击者对合法用户之间的通讯信息进行修改、删除、插入,再将伪造的信息发送给接收者,这就是纯粹的信息破坏,这样的网络侵犯者被称为积极侵犯者。积极侵犯者截取网上的信息包,并对之进行更改使之失效,或者故意添加一些有利于自己的信息,起到信息误导的作用；

4、拒绝服务攻击：攻击者通过某种方法使系统响应减慢甚至瘫痪,阻止合法用户获得服务；

5、行为否认：通讯实体否认已经发生的行为；

6 、电子欺骗 通过假冒合法用户的身份来进行网络攻击,从而达到掩盖攻击者真实身份,嫁祸他人的目的；

7、非授权访问：没有预先经过同意,就使用网络或计算机资源被看作非授权访问。它主要有以下几种形式:假冒、身份攻击、非法用户进入网络系统进行违法 *** 作、合法用户以未授权方式进行 *** 作等；

8、传播病毒、通过网络传播计算机病毒,其破坏性非常高,而且用户很难防范。如众所周知的CIH病毒、爱虫病毒、红色代码、尼姆达病毒、求职信、欢乐时光病毒等都具有极大的破坏性,严重的可使整个网络陷入瘫痪。

美国变得越来越急躁，对华政策越来越恶化。

继美国商务部升级对华为的出口管制后，5月22日，美国商务部又以“国家安全”为由，将北京计算机科学研究中心、云从 科技 、哈工大、奇虎360等33家中国 科技 公司及机构列入“实体清单”，禁止这些公司和机构在没有得到美国政府具体批准的情况下使用美国的一切技术，也将无法与美国进行任何商业交易。

值得注意的是，在这份名单中，首次出现了在传统芯片、精密仪器制造、高性能计算机、通信之外的网络安全软件公司。

有报道称，除贸易和纺织产业领域的6家企业外，剩下的18家企业和机构均为技术向企业，且都是拥有可用于中国未来产业基础设施技术的企业，包括7家AI企业，意味着 中美“技术战”从尖端 IT 硬件领域为中心扩大到了 IT 软件领域。

上榜“实体清单”则意味着被认为某家国外公司所掌握的技术、所拥有的能力，已经足够威胁到美国利益。

不少人认为，作为一家网络安全软件公司，奇虎360上榜“实体清单”的原因是该公司在今年3月曾“实锤”披露了美国中央情报局对中国航空航天、能源、科研等关键领域长达11年的网络渗透攻击，直接掐断了美国政府对中国情报的窃取来源，因此才使得美国商务部盯上了奇虎360。

作为一家网络安全软件公司，360的技术有多强呢？ 少有人知的是，行风低调的 360 是全球范围内唯一能与谷歌、微软并行，拥有全球最大网络安全大数据的中国公司，其安全专家团队更是有“东方最强白帽军团”美誉，在漏洞挖掘方面每年都在收到来自苹果、谷歌、微软等巨头厂商的致谢。

在世界范围内，360拥有一套系统，可以瞬间实现网络威胁的计算、检索、关联、分析与锁定，且全天候全方位地检测全球网络空间威胁异动。这种能力并非是该公司写在PPT里的自吹自擂，实际上， 360 还曾帮助过美国的 FBI 快速破获网络攻击案件 。

2016年，全球物联网遭遇首次大规模攻击，美国东海岸发生大面积断网。时隔一年后，美国FBI在推特上宣布该案件告破时，直接公开感谢360对该案件的分析调查所提供的帮助。当时，360公司依托自家强大的安全大数据，在全球范围内率先发现并持续追踪溯源了这个名为Mirai的僵尸网络。

在奇虎360在3月份披露的美国情报局针对中国持续11年的网络渗透和攻击事件中，表明了奇虎360这家民营互联网企业所拥有的超强网络安全技术实力，已完全可以作为保护国家网络安全的“民间武器”。

据称，经过多年的努力 探索 ，360已经沉淀出了全球独有的全场景高级持续威胁情报与攻防知识库，率先发现了40多个针对中国的境外高级持续威胁组织，挽救和保护了中国数千个重要政府部门和科研机构的网络安全损失。

匹夫无罪，怀璧其罪。与华为一样，作为一家民营企业竟然在不知不觉中就拥有了领先全球的技术能量，这怎么能不让美国忌惮？

1、服务拒绝攻击
服务拒绝攻击企图通过使你的服务计算机崩溃或把它压跨来阻止你提供服务，服务拒绝攻击是最容易实施的攻击行为，主要包括：
死亡之ping (ping of death)
概览：由于在早期的阶段，路由器对包的最大尺寸都有限制，许多 *** 作系统对TCP/IP栈的实现在ICMP包上都是规定64KB，并且在对包的标题头进行读取之后，要根据该标题头里包含的信息来为有效载荷生成缓冲区，当产生畸形的，声称自己的尺寸超过ICMP上限的包也就是加载的尺寸超过64K上限时，就会出现内存分配错误，导致TCP/IP堆栈崩溃，致使接受方当机。
防御：现在所有的标准TCP/IP实现都已实现对付超大尺寸的包，并且大多数防火墙能够自动过滤这些攻击，包括：从windows98之后的windows,NT(service pack 3之后)，linux、Solaris、和Mac OS都具有抵抗一般ping ofdeath攻击的能力。此外，对防火墙进行配置，阻断ICMP以及任何未知协议，都讲防止此类攻击。
泪滴(teardrop)
概览：泪滴攻击利用那些在TCP/IP堆栈实现中信任IP碎片中的包的标题头所包含的信息来实现自己的攻击。IP分段含有指示该分段所包含的是原包的哪一段的信息，某些TCP/IP(包括servicepack 4以前的NT)在收到含有重叠偏移的伪造分段时将崩溃。
防御：服务器应用最新的服务包，或者在设置防火墙时对分段进行重组，而不是转发它们。
UDP洪水(UDP flood)
概览：各种各样的假冒攻击利用简单的TCP/IP服务，如Chargen和Echo来传送毫无用处的占满带宽的数据。通过伪造与某一主机的Chargen服务之间的一次的UDP连接，回复地址指向开着Echo服务的一台主机，这样就生成在两台主机之间的足够多的无用数据流，如果足够多的数据流就会导致带宽的服务攻击。
防御：关掉不必要的TCP/IP服务，或者对防火墙进行配置阻断来自Internet的请求这些服务的UDP请求。
SYN洪水(SYN flood)
概览：一些TCP/IP栈的实现只能等待从有限数量的计算机发来的ACK消息，因为他们只有有限的内存缓冲区用于创建连接，如果这一缓冲区充满了虚假连接的初始信息，该服务器就会对接下来的连接停止响应，直到缓冲区里的连接企图超时。在一些创建连接不受限制的实现里，SYN洪水具有类似的影响。
防御：在防火墙上过滤来自同一主机的后续连接。
未来的SYN洪水令人担忧，由于释放洪水的并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。
Land攻击
概览：在Land攻击中，一个特别打造的SYN包它的原地址和目标地址都被设置成某一个服务器地址，此举将导致接受服务器向它自己的地址发送SYN-ACK消息，结果这个地址又发回ACK消息并创建一个空连接，每一个这样的连接都将保留直到超时掉，对Land攻击反应不同，许多UNIX实现将崩溃，NT变的极其缓慢(大约持续五分钟)。
防御：打最新的补丁，或者在防火墙进行配置，将那些在外部接口上入站的含有内部源地址滤掉。(包括10域、127域、192168域、17216到17231域)
Smurf攻击
概览：一个简单的smurf攻击通过使用将回复地址设置成受害网络的广播地址的ICMP应答请求 (ping)数据包来淹没受害主机的方式进行，最终导致该网络的所有主机都对此ICMP应答请求作出答复，导致网络阻塞，比pingof death洪水的流量高出一或两个数量级。更加复杂的Smurf将源地址改为第三方的受害者，最终导致第三方雪崩。
防御：为了防止黑客利用你的网络攻击他人，关闭外部路由器或防火墙的广播地址特性。为防止被攻击，在防火墙上设置规则，丢弃掉ICMP包。
Fraggle攻击
概览：Fraggle攻击对Smurf攻击作了简单的修改，使用的是UDP应答消息而非ICMP
防御：在防火墙上过滤掉UDP应答消息
电子邮件炸d
概览：电子邮件炸d是最古老的匿名攻击之一，通过设置一台机器不断的大量的向同一地址发送电子邮件，攻击者能够耗尽接受者网络的带宽。
防御：对邮件地址进行配置，自动删除来自同一主机的过量或重复的消息。
畸形消息攻击
概览：各类 *** 作系统上的许多服务都存在此类问题，由于这些服务在处理信息之前没有进行适当正确的错误校验，在收到畸形的信息可能会崩溃。
防御：打最新的服务补丁。

2、利用型攻击
利用型攻击是一类试图直接对你的机器进行控制的攻击，最常见的有三种：
口令猜测
概览：一旦黑客识别了一台主机而且发现了基于NetBIOS、Telnet或NFS这样的服务的可利用的用户帐号，成功的口令猜测能提供对机器控制。
防御：要选用难以猜测的口令，比如词和标点符号的组合。确保像NFS、NetBIOS和Telnet这样可利用的服务不暴露在公共范围。如果该服务支持锁定策略，就进行锁定。
特洛伊木马
概览：特洛伊木马是一种或是直接由一个黑客，或是通过一个不令人起疑的用户秘密安装到目标系统的程序。一旦安装成功并取得管理员权限，安装此程序的人就可以直接远程控制目标系统。
最有效的一种叫做后门程序，恶意程序包括：NetBus、BackOrifice和BO2k,用于控制系统的良性程序如：netcat、VNC、pcAnywhere。理想的后门程序透明运行。
防御：避免下载可疑程序并拒绝执行，运用网络扫描软件定期监视内部主机上的监听TCP服务。
缓冲区溢出
概览：由于在很多的服务程序中大意的程序员使用象strcpy(),strcat()类似的不进行有效位检查的函数，最终可能导致恶意用户编写一小段利用程序来进一步打开安全豁口然后将该代码缀在缓冲区有效载荷末尾，这样当发生缓冲区溢出时，返回指针指向恶意代码，这样系统的控制权就会被夺取。
防御：利用SafeLib、tripwire这样的程序保护系统，或者浏览最新的安全公告不断更新 *** 作系统。

3、信息收集型攻击
信息收集型攻击并不对目标本身造成危害，如名所示这类攻击被用来为进一步入侵提供有用的信息。主要包括：扫描技术、体系结构刺探、利用信息服务
扫描技术
地址扫描
概览：运用ping这样的程序探测目标地址，对此作出响应的表示其存在。
防御：在防火墙上过滤掉ICMP应答消息。
端口扫描
概览：通常使用一些软件，向大范围的主机连接一系列的TCP端口，扫描软件报告它成功的建立了连接的主机所开的端口。
防御：许多防火墙能检测到是否被扫描，并自动阻断扫描企图。
反响映射
概览：黑客向主机发送虚假消息，然后根据返回“hostunreachable”这一消息特征判断出哪些主机是存在的。目前由于正常的扫描活动容易被防火墙侦测到，黑客转而使用不会触发防火墙规则的常见消息类型，这些类型包括：RESET消息、SYN-ACK消息、DNS响应包。
防御：NAT和非路由代理服务器能够自动抵御此类攻击，也可以在防火墙上过滤“hostunreachable”ICMP应答。
慢速扫描
概览：由于一般扫描侦测器的实现是通过监视某个时间桢里一台特定主机发起的连接的数目(例如每秒10次)来决定是否在被扫描，这样黑客可以通过使用扫描速度慢一些的扫描软件进行扫描。
防御：通过引诱服务来对慢速扫描进行侦测。
体系结构探测
概览：黑客使用具有已知响应类型的数据库的自动工具，对来自目标主机的、对坏数据包传送所作出的响应进行检查。由于每种 *** 作系统都有其独特的响应方法(例NT和Solaris的TCP/IP堆栈具体实现有所不同)，通过将此独特的响应与数据库中的已知响应进行对比，黑客经常能够确定出目标主机所运行的 *** 作系统。
防御：去掉或修改各种Banner，包括 *** 作系统和各种应用服务的，阻断用于识别的端口扰乱对方的攻击计划。
利用信息服务
DNS域转换
概览：DNS协议不对转换或信息性的更新进行身份认证，这使得该协议被人以一些不同的方式加以利用。如果你维护着一台公共的DNS服务器，黑客只需实施一次域转换 *** 作就能得到你所有主机的名称以及内部IP地址。
防御：在防火墙处过滤掉域转换请求。
Finger服务
概览：黑客使用finger命令来刺探一台finger服务器以获取关于该系统的用户的信息。
防御：关闭finger服务并记录尝试连接该服务的对方IP地址，或者在防火墙上进行过滤。
LDAP服务
概览：黑客使用LDAP协议窥探网络内部的系统和它们的用户的信息。
防御：对于刺探内部网络的LDAP进行阻断并记录，如果在公共机器上提供LDAP服务，那么应把LDAP服务器放入DMZ。

4、假消息攻击
用于攻击目标配置不正确的消息，主要包括：DNS高速缓存污染、伪造电子邮件。
DNS高速缓存污染
概览：由于DNS服务器与其他名称服务器交换信息的时候并不进行身份验证，这就使得黑客可以将不正确的信息掺进来并把用户引向黑客自己的主机。
防御：在防火墙上过滤入站的DNS更新，外部DNS服务器不应能更改你的内部服务器对内部机器的认识。
伪造电子邮件
概览：由于SMTP并不对邮件的发送者的身份进行鉴定，因此黑客可以对你的内部客户伪造电子邮件，声称是来自某个客户认识并相信的人，并附带上可安装的特洛伊木马程序，或者是一个引向恶意网站的连接。
防御：使用PGP等安全工具并安装电子邮件证书

---