HK設備安全補丁升級方案

1、背景：

         當前不少HK行業設備的端口映射到公網上，其中一部分老版本設備是存在安全漏洞的，因爲傳統行業沒有設備平臺的概念，沒法經過設備提示用戶進行升級，致使這些存在漏洞的設備在互聯網上被長期攻擊和控制。

         行業設備用戶目前安全意識還比較低，通常都不會去主動修改HK出廠的默認弱口令，致使惡意攻擊者能夠利用此安全隱患，對IP大段進行掃描和識別在公網上HK的設備，並可以大批量成功登陸這些使用默認口令的設備，而後進行進一步的進行攻擊和破壞，並已經形成了至關大程度的影響。

2、HK設備通訊框架對比：

2.1、互聯網設備

2.2、傳統行業設備

3、解決方案：

3.1、方案描述：

         目前HK設備使用的客戶端主要分爲3種類型：web客戶端、移動APP和PC客戶端。對於傳統行業設備而言，使用web客戶端等同於訪問設備的http端口（即web頁面），所以，在用戶不升級設備的前提下是沒法控制web客戶端的，可是移動APP和PC客戶端則不存在這樣的問題，咱們是可讓用戶單獨對它們進行升級的，所以，能夠在升級版本中加入安全控制手段，間接地對傳統行業設備實施安全措施。

         此方案優點在於，老設備一直都是支持遠程升級接口的，所以一樣兼容老版本的設備。

3.2、詳細步驟和示意圖（移動APP爲例）：

（1）、讓用戶升級到新版移動APP。

備註：

a. 只有新版移動APP才能支持後續安全控制，因此這是必須步驟。

b. 新版移動APP支持鏈接HK的安全補丁服務器。

（2）、 檢查補丁狀況。

 

具體步驟：

a.移動APP鏈接HK安全補丁服務器，並檢查是否存在須要更新的安全補丁。

b.若是存在則將安全補丁下載到移動端本地。

c.移動APP模擬併發送一個升級請求到設備（升級請求中攜帶補丁包）。

d.設備進行遠程升級。

備註：

a.爲保證及時性，更建議使用推送的方式。

b.對於中、低危補丁通常須要提示用戶是否升級，對於緊急高危補丁是否須要提示，由公司綜合評審決定。

3.3、非技術層面的措施：

（1）、爲具備必定規模的客戶、工程商提供免費的安全意識培訓。

（2）、產品資料和文檔中必須包含詳細具體的安全配置建議和規則，並置放在醒目位置。

（3）、技術支持或工程商要求現場主動提示或協助用戶完成安全配置（好比：修改默認口令）。

4、對公司的建議：

（1）、安全問題既不可以坐以待斃也不能掩蓋了事，必須主動出擊處理，不然最終傷害的仍是公司和客戶雙方的利益。

（2）、必須制定清晰的產品安全規劃和策略，有明確的目標和方向，HK的安全還在初級階段，當前應以減小損失和修補問題爲主要短時間目標，而預防問題爲長期目標。

（3）、主動向有經驗的企業（好比：華爲）求經，避免和少走彎路。

（4）、把安全做爲質量保證的重要因素之一，必要時歸入績效考覈。