隨著物聯網（IoT）設備如 IP 攝影機、路由器、智慧家電、智慧網關與工業控制器（PLC）大量連上網際網路，「萬物互聯」可以讓生活變得更加便利同時也代表著「萬物皆可被攻擊」、「牽一髮動全身」的風險。

與傳統伺服器或個人電腦不同，許多 IoT 設備在設計時過度追求低成本與即插即用，嚴重忽略了安全防護，因而成為駭客眼中最容易吞下的「軟柿子」。今天我們將以資安史上知名的事件——Mirai 殭屍網路（Mirai Botnet），分析 IoT 設備預設密碼未更換的致命風險。

IoT 設備預設密碼未更換

大多數IoT設備在出廠時，製造商都會設定一組預設的管理員帳號密碼。攻擊者就可以使用自動化Worm掃描器掃描全網段Port嘗試多組組出廠預設字典檔取得 Root Shell接著植入惡意程式。

• 缺乏強制變更機制： 使用者買回設備插上電源後，只要能正常運作就不會主動去修改密碼，且許多設備的韌體根本沒有提供首次登入強制修改密碼的提示。

• 硬編碼與隱藏帳號： 部分製造商為了售後維修方便，在韌體原始碼中硬編碼了後門帳號。這類帳號甚至無法透過Web管理介面關閉或修改密碼，只要被逆向工程解出，全系列產品皆會失守。

• 曝露於公網： 許多使用者將 IP 攝影機或路由器直接掛在公網 IP 下，或開啟了即插即用功能，使設備的 Telnet或SSH連接埠直接暴露在網路上。

案例分析：Mirai 殭屍網路

2016 年 9 月，網際網路爆發了歷史上規模空前的分散式阻斷服務攻擊（DDoS）。造成美國半個東岸網路癱瘓（知名網站如 : Twitter、Netflix、GitHub、Reddit 等全數斷線），幕後推手正是Mirai殭屍網路。

運作機制與擴散手法

• 極速掃描：
  Mirai 惡意程式會在已被感染的 IoT 設備上，高速隨機生成IPv4位址，掃描目標主機的Port 23(Telnet) 與Port 22(SSH)。

• 弱密碼爆破：
  Mirai內部僅內建了61組非常常見的出廠預設帳號密碼字典檔。雖然手法極其簡單，但由於公網上有數百萬台未修改預設密碼的IoT設備，Mirai便可以輕鬆的在短短數天內控制那數十萬台設備。

• 記憶體駐留與自我保護：
  Mirai只駐留於設備的RAM記憶體也就意味著重新開機即就會消失，但隨即又會被網路上的其他Bot重新感染。它會自動關閉設備上的Telnet Port，殺死其他競手的惡意程式，獨佔該設備。

• 巨量DDoS攻擊：
  被控制的IoT設備組成龐大的殭屍網路，受控制於C2（Command & Control）伺服器。當駭客發出攻擊指令時，數十萬台設備同時向目標發起洪水攻擊(SYN Flood、UDP Flood或HTTP Flood)，產生高達1.2Tbps 的恐怖流量。

防禦

解決IoT安全風險需要從開發商、使用者與網路架構三方面共同防禦才能將風險降至最低：

製造商要禁止統一預設密碼;部署端樣嚴格實施網路隔離;服務方面要加密傳輸與關閉不必要協定;維運方面：具備安全的韌體更新機制:

製造商端：實施「一機一密」與強制變更

• 取消統一預設密碼： 出廠時每台設備貼紙上印製獨一無二的隨機初始密碼（一機一密）。
• 強制首次變更： 韌體設計必須要求使用者在第一次開機時，強制設定強密碼才可繼續使用。
• 禁止硬編碼後門： 程式碼中絕不留存任何無法修改的硬編碼憑證或開發測試用的隱藏帳號。

網路架構端：微隔離（Micro-segmentation）與 VLAN

• IoT專屬網絡隔離： 在企業或家庭環境中，切勿將IoT設備與系統置於同一網段。建立專屬的的IoT VLAN，並設定防火牆規則限制其對內網其他主機的存取。
• 限制流量： 限制IoT設備只能向指定的雲端Server發起連線，禁止其發起任意的網段掃描或異常大流量外發避免DDoS。

設備與維運端：關閉危險服務與自動更新

• 停用過時和不安全的服務： 停用Telnet、HTTP（改用 HTTPS）等未加密的服務。
• 安全OTA韌體更新：確保設備支援數位簽章驗證的 OTA（Over-The-Air）更新機制，能在發現漏洞時迅速修補韌體。