HK设备安全补丁升级方案

1、背景：

         当前不少HK行业设备的端口映射到公网上，其中一部分老版本设备是存在安全漏洞的，因为传统行业没有设备平台的概念，没法经过设备提示用户进行升级，致使这些存在漏洞的设备在互联网上被长期攻击和控制。

         行业设备用户目前安全意识还比较低，通常都不会去主动修改HK出厂的默认弱口令，致使恶意攻击者能够利用此安全隐患，对IP大段进行扫描和识别在公网上HK的设备，并可以大批量成功登陆这些使用默认口令的设备，而后进行进一步的进行攻击和破坏，并已经形成了至关大程度的影响。

2、HK设备通讯框架对比：

2.1、互联网设备

2.2、传统行业设备

3、解决方案：

3.1、方案描述：

         目前HK设备使用的客户端主要分为3种类型：web客户端、移动APP和PC客户端。对于传统行业设备而言，使用web客户端等同于访问设备的http端口（即web页面），所以，在用户不升级设备的前提下是没法控制web客户端的，可是移动APP和PC客户端则不存在这样的问题，咱们是可让用户单独对它们进行升级的，所以，能够在升级版本中加入安全控制手段，间接地对传统行业设备实施安全措施。

         此方案优点在于，老设备一直都是支持远程升级接口的，所以一样兼容老版本的设备。

3.2、详细步骤和示意图（移动APP为例）：

（1）、让用户升级到新版移动APP。

备注：

a. 只有新版移动APP才能支持后续安全控制，因此这是必须步骤。

b. 新版移动APP支持链接HK的安全补丁服务器。

（2）、 检查补丁状况。

 

具体步骤：

a.移动APP链接HK安全补丁服务器，并检查是否存在须要更新的安全补丁。

b.若是存在则将安全补丁下载到移动端本地。

c.移动APP模拟并发送一个升级请求到设备（升级请求中携带补丁包）。

d.设备进行远程升级。

备注：

a.为保证及时性，更建议使用推送的方式。

b.对于中、低危补丁通常须要提示用户是否升级，对于紧急高危补丁是否须要提示，由公司综合评审决定。

3.3、非技术层面的措施：

（1）、为具备必定规模的客户、工程商提供免费的安全意识培训。

（2）、产品资料和文档中必须包含详细具体的安全配置建议和规则，并置放在醒目位置。

（3）、技术支持或工程商要求现场主动提示或协助用户完成安全配置（好比：修改默认口令）。

4、对公司的建议：

（1）、安全问题既不可以坐以待毙也不能掩盖了事，必须主动出击处理，不然最终伤害的仍是公司和客户双方的利益。

（2）、必须制定清晰的产品安全规划和策略，有明确的目标和方向，HK的安全还在初级阶段，当前应以减小损失和修补问题为主要短时间目标，而预防问题为长期目标。

（3）、主动向有经验的企业（好比：华为）求经，避免和少走弯路。

（4）、把安全做为质量保证的重要因素之一，必要时归入绩效考核。