HK设备安全补丁升级方案
1、背景:
当前很多HK行业设备的端口映射到公网上,其中一部分老版本设备是存在安全漏洞的,由于传统行业没有设备平台的概念,无法通过设备提示用户进行升级,导致这些存在漏洞的设备在互联网上被长期攻击和控制。
行业设备用户目前安全意识还比较低,一般都不会去主动修改HK出厂的默认弱口令,导致恶意攻击者可以利用此安全隐患,对IP大段进行扫描和识别在公网上HK的设备,并能够大批量成功登录这些使用默认口令的设备,然后进行进一步的进行攻击和破坏,并已经造成了相当大程度的影响。
2、HK设备通信框架对比:
2.1、互联网设备
2.2、传统行业设备
3、解决方案:
3.1、方案描述:
目前HK设备使用的客户端主要分为3种类型:web客户端、移动APP和PC客户端。对于传统行业设备而言,使用web客户端等同于访问设备的http端口(即web页面),因此,在用户不升级设备的前提下是无法控制web客户端的,但是移动APP和PC客户端则不存在这样的问题,我们是可以让用户单独对它们进行升级的,因此,可以在升级版本中加入安全控制手段,间接地对传统行业设备实施安全措施。
此方案优势在于,老设备一直都是支持远程升级接口的,因此同样兼容老版本的设备。
3.2、详细步骤和示意图(移动APP为例):
(1)、让用户升级到新版移动APP。
![image image](http://images0.cnblogs.com/blog/700916/201502/281414467686747.png)
备注:
a. 只有新版移动APP才能支持后续安全控制,所以这是必须步骤。
b. 新版移动APP支持连接HK的安全补丁服务器。
(2)、 检查补丁情况。
具体步骤:
a.移动APP连接HK安全补丁服务器,并检查是否存在需要更新的安全补丁。
b.如果存在则将安全补丁下载到移动端本地。
c.移动APP模拟并发送一个升级请求到设备(升级请求中携带补丁包)。
d.设备进行远程升级。
备注:
a.为保证及时性,更建议使用推送的方式。
b.对于中、低危补丁一般需要提示用户是否升级,对于紧急高危补丁是否需要提示,由公司综合评审决定。
3.3、非技术层面的措施:
(1)、为具有一定规模的客户、工程商提供免费的安全意识培训。
(2)、产品资料和文档中必须包含详细具体的安全配置建议和规则,并置放在醒目位置。
(3)、技术支持或工程商要求现场主动提示或协助用户完成安全配置(比如:修改默认口令)。
4、对公司的建议:
(1)、安全问题既不能够坐以待毙也不能掩盖了事,必须主动出击处理,否则最终伤害的还是公司和客户双方的利益。
(2)、必须制定清晰的产品安全规划和策略,有明确的目标和方向,HK的安全还在初级阶段,当前应以减少损失和修补问题为主要短期目标,而预防问题为长期目标。
(3)、主动向有经验的企业(比如:华为)求经,避免和少走弯路。
(4)、把安全作为质量保证的重要因素之一,必要时纳入绩效考核。