当年我第一次看到Mirai的源码被公开时，第一反应不是“哇，这代码真酷”，而是“完了，以后物联网设备的安全事件要常态化”。果不其然，2016年那场用摄像头和路由器发起的超大流量攻击，把“物联网安全”这个词从PPT推到了现实。几年后，又一波针对路由器的恶意软件袭来，它们不声不响地潜伏在设备里，把家用路由器和NAS变成跳板，甚至让安全研究员都头疼。今天我想好好拆解一下这条从Mirai延伸出来的物联网攻击链，也聊聊我自己在防守过程中摸索出来的分层防御和AI免疫方案。这篇文章是给谁看的？如果你在维护智能硬件、做物联网平台，或者家里联了一堆智能设备，读完后你至少能知道自己该在哪个环节堵住漏洞。
1. 内容整体设计与思路拆解
1.1 为什么要从Mirai聊起
Mirai不是第一个物联网恶意软件，但它是最具标志性的一个。它的成功在于把“默认口令扫描”这件事做到了极致。当时很多摄像头和路由器出厂密码是固定的，比如admin/admin，Mirai就是靠暴力尝试这些弱口令获得控制权。它不像传统病毒那样需要复杂的漏洞利用链，纯粹是“挤门进去”。这件事给我最大的教训是：物联网安全的漏洞不在于某一行代码，而在于整个生态对默认凭据的放纵。
我设计这篇文章的思路是先讲清楚威胁演进的脉络，然后逐层拆解攻击手法，再给出防御架构。因为如果你不了解攻击者是怎么想的，你根本不知道从哪里开始防御。Mirai教会我们的，是设备上线那一刻就开始被扫描；后续的路由器恶意软件则教会我们，最危险的攻击往往不是直接发起流量，而是长期潜伏、等待指令。
1.2 从单一攻击到产业链攻击
Mirai的杀伤力在DDoS，它把成千上万的设备组成僵尸网络，然后同时发起流量。后续的路由器恶意软件却把目标拉得更长：它同时具备流量代理、数据窃取、固件擦写等功能。攻击者不再只想要“肉鸡”来打流量，更想把设备变成情报收集器和内网跳板。
我梳理这部分内容的时候，特别想把一个概念讲透：物联网安全的威胁模型已经从“破坏”转向“控制”。以前攻击者攻破一台设备，最多是拿来发垃圾流量；现在他们攻破一台路由器，意味着可以篡改DNS、劫持流量、监听隐私。这种转变要求我们的防御思路也必须从“防爆发”转向“防潜伏”。
2. 核心细节解析与实操要点
2.1 物联网设备为什么总被盯上
物联网设备成为靶子，根本原因有三点：不可控的默认凭据、长期不更新的固件、缺失的安全监测能力。我拿家用路由器举例子。多数人买到手后，插上电源就完事，密码还是出厂那张贴纸上的。哪怕后来被入侵，用户也是“能用就行”，根本察觉不到流量已经被悄悄转发。
从技术角度说，物联网设备受限的资源也放大了防御难度。CPU主频低、内存小，跑不动常规的杀毒软件，更别提端侧入侵检测。我在设计防御方案时，必须默认“设备一定会被攻破”，而不是假设它足够安全。这就是分层防御的出发点：不指望某个环节万无一失，而是让每个环节都能兜底。
2.2 从初始入侵到横向扩散的完整路径
攻击者通常分四步走：第一步，扫描互联网上暴露的端口，把开放的telnet、HTTP、TR-069等管理接口摸出来；第二步，用弱口令字典或者已知漏洞尝试登录；第三步，登录成功后下载攻击载荷并持久化，比如改写固件、加启动项；第四步，等待指令或者自行横向扩散到内网其他设备。
我特别想强调第三步的“持久化”。很多运维人员以为把恶意进程kill掉就完事了，但攻击者会把载荷写进非易失存储里，重启又回来了。后续的路由器恶意软件就是典型，它会尝试用强制恢复机制来“砖化”设备，防止研究人员分析。所以清除步骤绝对不能停留在杀进程层面，必须考虑重置固件或者重新刷机。
在实际处置中，我发现一个很容易被忽略的入口：UPnP服务。它常被用来做端口映射，但实现漏洞极多，攻击者可以通过特殊包远程操作设备。因此，在防御清单里，关闭不必要的UPnP或限制其来源地址，是我反复强调的低成本高收益操作。
3. 分层防御体系：从设备到网络再到平台
3.1 设备侧：固件加固与默认口令治理
设备层的底线是“不要让攻击者一猜就中”。首先，所有预置口令必须唯一化，出厂时可以在初次启动时强制用户设置新密码，而不是把默认密码印在手写帖上。其次，固件要开启安全启动和签名校验，防止被刷入篡改过的系统镜像。
我见过一个项目，厂商把所有设备的root密码都设成同一个，还留了个隐藏的后门端口用于“调试”。这个后门被安全扫描工具一个晚上就发现了。所以我的建议是：哪怕是为了方便运维，也不要开暴露在公网的调试端口。如果一定要远程维护，优先走带认证的跳板机，或者用安全隧道加双向认证。
另外，设备侧要留出“重置机制”。当设备被攻破后，用户至少能通过物理按钮恢复出厂。我之前调试某款智能插座时发现，它的恢复出厂并不会擦除恶意配置，导致重置后依然被控制。这是个很大的坑：恢复出厂必须清除所有非官方签名数据，才能算真正的重置。
3.2 网络侧：分区、流量监测与异常阻断
网络层的核心是假设设备已经被入侵，那么要在最短时间内限制它的杀伤半径。最简单的做法就是VLAN隔离：智能家居设备一个网段，电脑和手机一个网段，相互之间默认不可达。比如摄像头即使被攻破，也无法直接访问局域网里其他主机。这样做可能会带来一些跨设备访问的麻烦，比如无法用手机直接看摄像头，但你可以通过控制平台中转，安全性和便利性其实可以兼得。
我还会在网络边界做DNS过滤和异常流量检测。对物联网设备来说，它的正常行为模式是很固定的：摄像头只连云端服务器，门锁只在事件触发时通信。如果一台摄像头频繁查询随机域名，或者跟陌生IP建立长连接，大概率已经被控制。通过分析netflow或者镜像流量，就能把这些异常挑出来。
另外，对于家庭网络，我推荐在路由器上开启“访客网络”，把智能设备统一放到访客网络里。这个办法虽然会让局域网内的设备互相隔离，但对绝大多数家庭场景完全够用。对于企业或者园区，则需要部署专业的物联网安全网关，对协议做白名单比对。
3.3 平台侧：态势感知与威胁情报联动
平台层更多是解决“看到了但不知道是什么”的问题。所有物联网设备的上行数据要汇聚到统一的日志平台，至少包括设备的连接时间、源IP、目的IP、协议类型等。有了这些数据，才能做行为基线分析。
威胁情报也很关键。我会订阅一些公开的恶意IP和域名库，把平台侧发现的连接请求跟情报库做对比。一旦命中，就触发阻断和告警。当然，情报库存在一定的误报率，比如公共云IP被滥用，所以不能全自动封禁，最好加一个人工确认环节。
我参与过的一个智慧社区项目，就是靠平台侧的异常模型发现了一大批被植入代理的摄像头。模型很简单：平时每台摄像头每小时的通信次数不超过两位数，某天突然有几台摄像头持续进行大流量加密连接，目的IP分布在全球多个机房。系统自动拉黑了这些外联IP，后来确认是恶意团伙在偷带宽。这个案例说明，平台的集中监测往往比设备侧逐台排查有效得多。
4. AI免疫方案：智能检测与自动化响应
4.1 基于行为画像的异常识别
AI在物联网安全里不是万能神药，但它确实能解决传统规则覆盖不到的问题。传统规则是你告诉我什么模式不对，然后我去匹配；AI则是通过大量正常流量学习出设备的“行为习惯”。比如某款传感器每小时上报一次温度，持续了三个月，突然开始在深夜连续上传大量数据，这就值得怀疑。
我用过一个思路，就是为每一类设备建立多维特征画像：流量大小、连接频次、活跃时段、目标端口、协议字段长度。然后训练一个轻量级模型，用无监督方式做离群检测。好处是它不需要标记大量恶意样本，坏处是需要处理误报和漂移。实际部署时，我建议先用规则把明显异常过滤掉，再把规则无法判别的样本丢给模型，这样能大幅降低误报率。
还有一个实用技巧：把AI检测结果作为安全编排里的一个输入，而不是唯一决策。例如模型打了一个“异常分”，然后同一条流再经过威胁情报匹配、资产重要性评估，最后才决定要不要自动封禁。这样即使模型误判，也不会伤及无辜。
4.2 AI驱动的威胁狩猎与自动封禁
威胁狩猎不光是等告警，更要去主动找异常。我常用AI聚类算法把大量设备行为分组，然后把那些行为孤立的样本挑出来人工分析。某次我在聚类结果里发现一个小的分组，它们的共性是不走标准协议端口，且每个固件版本号都被改过。顺藤摸瓜发现是某个恶意固件把设备的型号信息抹掉了，借此规避基于指纹的识别。
自动封禁环节要小心，不能“一刀切”。我会设置“观察名单”和“封禁名单”两级。AI模型判断为高危时先进观察名单，限制其访问敏感资源；再来一条独立证据命中时，才升级为封禁。我统计过，这样能减少约70%的误封投诉。
对于有运营能力的团队，还可以引入对抗训练：定期用红队模拟恶意流量注入模型，检验AI会不会“睁一只眼闭一只眼”。我把这种方法叫做“AI的疫苗”，因为它能让模型对未知变种保留一些免疫力。当然，这需要安全团队持续投入，不是一次训练就能永久解决。
5. 常见问题与排查技巧实录
5.1 设备被感染后的典型迹象
很多时候用户发现设备异常，是因为网速变慢或者电费变高。我整理了几个比较普遍的征兆：
- 设备CPU和内存占用持续居高不下，哪怕没有业务请求。
- 设备上行带宽异常增大，在路由器后台能看见持续的大流量发送。
- 设备的DNS请求出现大量随机子域名，或者频繁访问未知IP。
- 设备指示灯表现异常，比如在闲置时还频繁闪烁。
- 固件版本被莫名“升级”，或者设置里的密码被修改。
如果出现两条以上，就应该按“疑似感染”来处理，别先想着重启——重启只是让恶意进程暂时暂停，很多驻留机制会在开机后继续加载。
5.2 应急排查步骤与经验
第一步是断网隔离，把设备从网络中拔掉或者关闭无线连接，防止它继续作为跳板。第二步是备份当前配置，尤其是路由器的配置文件和日志，方便后续分析。第三步是尝试通过官方工具恢复固件，最好是恢复镜像并重新刷机。注意，刷机前要确认固件来源是官方渠道，否则可能雪上加霜。
第四步是修改所有账户密码，不只是目标设备的，还包括路由器后台、云端平台、相关App的密码。因为攻击者可能已经掌握了同密码下的其他账户。第五步是检查网络里其他设备，尤其是有敏感数据的电脑和手机。这里建议做一次全盘杀毒或基线校验，确认没有横向扩散。
我踩过的坑中，比较典型的是用户用“恢复出厂设置”来清理恶意程序，但恢复完发现恶意行为还在。原因是设备厂商把用户触发恢复作为“软重置”，不会覆盖系统分区里的恶意组件。所以应急时一定要用厂商提供的“强制刷机”或“ROM恢复”模式，那种方式会重写整个文件系统。
5.3 从实战中总结的避坑技巧
不要以为小厂设备就不会被攻击。实际上，攻击者会自动扫描全网，跟设备品牌无关。选择正规厂商的设备、及时升级固件，并不能保证绝对安全，但能明显降低被盯上的概率。
开启路由器的日志记录功能也非常关键。很多路由器默认不记录流量日志，导致出事时没有任何线索。我在给朋友的网络做排查时，发现他的路由器很有“原则”——不存日志。这就好比装了监控却没有硬盘，事后只能抓瞎。所以请务必打开日志，最好能把日志转发到远程日志服务器，防止被攻击者清除。
还有一点，尽量不要在公网暴露设备的管理端口。如果你需要远程管理，那就用带加密的方式，并且加上多重认证。我见过有人为方便，把路由器的8080端口映射到公网，结果不到一天就被扫描器光顾。哪怕只是测试，也应绑定访问来源IP或干脆不开放。
6. 一些个人体会与后续思考
在做物联网安全这几年，我最深的体会是：安全不是一次性的功能，而是一个持续演进的过程。Mirai带来的冲击让很多人觉得“只要改掉弱口令就没事了”，但后来的路由器恶意软件告诉我们，攻击者会不断寻找新的入口，比如固件漏洞、供应链投毒、或者用户无感知的云平台接口。
我现在的做法是保持“适度偏执”：在设备上关闭所有用不到的服务，在网络里做默认隔离，在平台上持续监控异常。AI免疫方案对我来说不是营销词汇，而是一套务实的工具集。它可以帮我找出那些我根本想不到的隐蔽行为，让我把时间花在真正有意义的研判上。
如果你手里的物联网设备比较多，不妨从今天开始，先做三件事：改掉所有默认密码、开启路由器日志、检查一下有没有不必要的端口映射。这三件事成本极低，但能挡住相当大一部分自动化攻击。等你有余力了，再逐步搭建分层防御体系，把AI能力引入日常安全运营。安全这条路没有终点，但只要方向正确，每一层防御都会让攻击者的成本变得更高。
