摄像头成了跳板：IoT终端的安全账怎么补

安保主管某天发现，监控平台里一台园区摄像头的登录日志很不对劲——管理员账号在凌晨被异地登录，画面没丢，但流量悄悄往外发。事后复盘：这台摄像头固件三年没更，还被运维为了方便远程查看映射到了公网，攻击者顺着弱口令进来，把它当跳板，往办公网方向慢慢渗透。摄像头没坏，但它成了别人打进来的梯子。更糟的是，同一批次还有二十多台摄像头用了相同默认口令，攻击者只要拿下一台，就能用同样的钥匙开一片。

一、IoT固件老旧、暴露公网的风险

园区里的摄像头、门禁、环境传感器，数量大、型号杂，很多跑着老旧固件、默认弱口令，厂商补丁也慢。

更要命的是，为了"远程好管"，不少设备被直接映射公网，等于把后门开在互联网上。攻击者批量扫一波，就能拿下一批IoT设备，再借它们做跳板打内网——IoT不是边缘，是常被忽略的突破口。

这些设备往往没人定期巡检、没人改默认密码，长期"自生自灭"。一旦被控，它们既能对外发数据、又能对内横向探测，是攻击者眼里的优质落脚点。安全账欠得越久，可被利用的设备就越多，补起来的成本也越高。而IoT设备恰恰是最容易被遗忘、也最该先补的那一笔。

二、IoT专网隔离、不映射公网、强口令/基线

补安全账先要做的，是把IoT请进自己的"房间"。

智慧光迅全光网络底座支持多业务网并行，IoT专网独立隔离，摄像头、门禁等终端单独成网，和办公网、生产网不互通。硬性几条：

IoT设备不映射公网，远程查看走受控内网通道；

设备上线前做强口令与基线校验，弱口令、偏离基线的终端不许入网；

接入侧梦想网关做MAC白名单与非法终端自动隔离。

安防专网同样独立，监控流量不进办公网、不公网映射，画面只在受控范围内流转。设备入网前先过基线这一关：固件版本、口令强度、开放端口都按规范校验，不合格的拦在门外，从来源上减少"带病上线"的终端。

专网之内也不默认全通，摄像头与门禁按需要互访，其余一律隔离。

三、IPS实时拦截针对IoT的攻击

墙之外还要有巡逻。梦想网关内置IPS入侵防御，对针对IoT的漏洞利用、异常外联、横向扫描做实时识别与拦截——当某台摄像头突然向办公网发起连接、或尝试访问非常规端口，IPS立刻阻断并告警，把"跳板"掐在动手前。

配合内置防火墙与AV，对南北向与东西向一并防护。工业场景下，工业防火墙进一步守牢工控边界。

巡检的价值在于"异常早发现"：IoT设备被控的典型信号——突发外联、端口扫描、协议异常——都会被IPS实时捕捉并告警，运维能在它真正打进内网前切断。把防护做在横向移动的起步处，比事后溯源划算得多。

摄像头成跳板，是IoT安全账长期欠着的结果。智慧光迅以全光为底座、音视频为引擎、安全为护盾，打造 “通密一体”解决方案，IoT专网隔离、不映射公网、强口令基线，IPS实时拦截，梦想网关与防火墙把这张常被忽略的网守住。

FAQ

Q：老摄像头改不了固件怎么办？

A：通过专网隔离与IPS拦截降低风险，能否升级以设备厂商支持为准，必要时做资产替换规划；不让其映射公网是底线。

Q：IoT专网会影响监控实时性吗？

A：专网独立承载监控流量，反因隔离减少干扰，具体性能以现场规划为准；实时性要求高的点位可在专网内做带宽保障。

Q：门禁和摄像头要放在同一个IoT专网吗？

A：可在专网内按子系统进一步细分互访，默认隔离、按需放行，具体划分以安防方案设计为准。