物联网供应链案例

一、设备供应厂商：海康威视[1]

1）海康威视 OEM 目录（主要针对北美） 海康威视是成为世界上最大的视频监控制造商，并且通常是许多西方公司的隐性 提供商。海康威视至少向以下 70 几家公司提供相关 OEM 产品。

2）海康威视产品相关安全问题  2014 年 4 月，安全人员通过一份报告得知，海康威视(海康威视)的数字录像 机(DVR)扫描了他们设立的蜜罐，这些数字录像机原本是用于储存安全探头 的视频，但由于弱密码（12345）而被感染了病毒，变成了僵尸网络的一部 分。此外，数字录像机还被安装了比特币挖矿程序。[4]  2014 年 11 月知名监控产品供应商海康威视（海康威视）的大量数码录像机 设备被曝存在远程代码执行漏洞，黑客可以由此直接获取设备最高权限。海 康威视的数码录像机并不是一款家用设备，它的设计初衷是用来存储监测记 录和办公楼楼宇的安全监控录像的，也就是一款安防设备。Rapid7 对整个网 络进行了批量检测，试图获取含有该漏洞的设备数量。最后他们表示，在 IPv4 协议的网络里，大约有 150,000 台海康威视设备存在该漏洞。Rapid7 公司 的安全研究员 MarkSchloesser 推测，这批海康威视设备的普及，可能与该 公司出品的 iPhoneAPP 有关，该应用允许用户通过手机 APP 远程监控录像。 [5] 2015 年 2 月，公安部发文清查漏洞，主题是《关于立即对全省海康威视监控 设备进行全面清查和安全加固的通知》。该通知告知江苏省各市公安局科技 信息化处，近期省厅接到省互联网应急中心通报，省各级公关机关使用的海 康威视监控设备存在严重安全隐患，部分设备已经被境外 IP 地址控制。通 知称，根据厅领导指示，请各地立即组织力量，对使用的海康威视设备进行 全面清查，并开展安全加固，消除安全漏洞。[6] 海康威视在 2015 年 2 月 27 日晚间发布官方回应称，江苏省互联网应急中心通 过网络流量监控发现的安全问题，是部分在互联网上的海康威视设备因弱口令 问题（弱口令包括使用产品初始密码或其他简单密码，如 123456、888888、 admin 等）导致被黑客攻击所致。  2016 年 9 月黑客发在破解 Elisa 摄像机尝试获取密码信息的过程中，却偶然 发现了海康威视远程系统的一个 XML 外部实体注入漏洞（XXE）