计算机行业-海康威视黑天鹅事件点评:SVAC方案将加速推广,信息安全攻防龙头受益明显

核心观点:

1.事件。

2015年2月27日江苏省公安厅紧急通知由于海康威视监控设备存在巨大安全隐患,部分设备已被境外IP 控制,要求对海康监控设备进行全面清查和安全加固。据说中石化已经暂停海康威视监控设备的采购。

海康威视对该消息的官方回应总结下来有如下三点:1)所有暴露在互联网环境下的设备都会面临黑客攻击的风险;2)针对海康威视弱口令风险,公司已经于2014年3月通过官网提醒用户修改设备初始密码;3)针对可能或者已经受攻击的设备,建议登陆公司官网或者联系公司获取设备安全固件进行修复。

2.我们的分析与判断。

(一)我们认可官方的回应,但我们认为回应的内容还不够全面,只是揭露了冰山一角。

对事件原因进行认真分析,我们认可官方的回应,但我们认为回应的内容还不够全面,只是揭露了冰山一角。弱口令问题确实是海康威视设备被攻击的主要原因,但国内信息安全厂商知道创宇于2014年11月30日发布“海康威视(Hikvision)安防设备远程代码执行漏洞应急概要”,提示海康威视存在缓冲区溢出的漏洞,且运用该漏洞测试被攻击成功率98.27%,并且推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。该公司的ZoomEye 团队还绘制了海康威视漏洞影响分布图,并提示江浙一带海康威视安防设备分布极其密集。这个分布与该事件非常吻合。

(二)技术层面上看海康威视设备的安全漏洞。

综合国内外安全网站的线索,我们对安防设备的漏洞技术分析进行了资料的收集。海康威视的IP 摄像头一直有安全隐患,国内外漏洞分析组织一直在提示安全隐患。

2013年8月6日国外Core Security 公布海康威视的漏洞。

2014年7月24日z7y Blog 发布关于“韩国某视频监控网站大量海康威视监控后台弱口令”。

2014年8月9日国内知名漏洞网站WooYun 已经公布海康威视的监控设备存在。 海康威视(Hikvision)监控设备在2014年年初就曾被爆过后台弱口令漏洞,攻击者可以通过弱口令进入后台对设备行查看或者配置。

2014年11月30日国内信息安全公司知道创宇发布“海康威视(Hikvision)安防设备远程代码执行漏洞应急概要”。ZoomEye 团队对漏洞进行攻击验证,测试成功率:98.27%,从RTSP 启动的情况来看,全国大约有32.06%的海康威视安防设备开放了RTSP,结合漏洞攻击成功率测试的结果,可以推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。ZoomEye 团队针对全国范围内的海康威视的设备绘制了漏洞影响分布图。从图中我们可以明显看出,江浙一带的海康威视安防设备分布极其密集。

(三)海康威视此次事件的真正原因分析。

海康威视安防设备的后台弱口令漏洞的确导致容易被黑客攻击。

根本原因就是人员和系统管理疏漏,IP 摄像头等设备上线后不更改原始密码或者设置非常简单容易破解的简单密码,实质就是没有人重视,存在安全管理隐患。

网上披露的多个重大安全漏洞,未引起海康威视公司的重视。

一直以来,国内外黑客揭示了很多海康威视的安全隐患和各种漏洞。例如国内信息安全厂商知道创宇于2014年11月30日发布“海康威视(Hikvision)安防设备远程代码执行漏洞应急概要”,提示海康威视存在缓 冲区溢出的漏洞,且运用该漏洞测试被攻击成功率98.27%,并且推算出全国大约还有30.59%的海康威视安防设备可能受到被攻击的危险。该公司的ZoomEye 团队还绘制了海康威视漏洞影响分布图,并提示江浙一带海康威视安防设备分布极其密集。这个与该事件非常吻合。但可惜的是一直以来海康威视并没有形成足够的重视,直至此事件爆发。

海康威视对安防设备的漏洞及补丁管理疏忽,缺乏国外厂商的安全漏洞管理机制。从微软、IBM 等面向个人和企业IT 的企业,对安全漏洞管理有一套成熟的机制,并会及时通知客户采取相关的补丁或者通过系统进行自动下载并安装的提示。特别是对于那些已经在网络上披露的安全漏洞,会及时更新补丁程序,并尽快向重要客户提示风险并进行解决。而海康威视对于已知安全隐患没有采取重大措施通知对应客户,归根结底,海康威视作为安防厂商对安防设备中的软件漏洞存在缺乏足够的重视,并且可能在软件和信息安全这块缺乏足够的人才。

(四)江苏事件后续如何解决?海康威视的官方回应的解决方案我们是认可的,通过海康威视官网下载安全固件进行安全加固消除缓冲溢出的漏洞,同时把设备的登陆密码从简单的密码修改为复杂的密码,我们认为就能解决这些问题。我们认为后续海康威视会充分吸取此次经验教训,会主动对大客户进行紧急响应和危机公关,后续将会完善公司的安防设备的漏洞及补丁管理机制以及客户通知机制。

(五)江苏事件问题的定性。

关于江苏公安厅的这次事件定性的问题,我们预计这期事件大概率将被定性为安全漏洞问题,而非间谍攻击或者“棱镜门”之类的事情。当然,如果后续事情进一步升级,影响更多省份或者影响涉密单位的话,可能会被定性为重大国家安全事件。

(六)事件影响分析。

对中国安防行业格局影响不大,SVAC 技术路线有望得到更多重视。此次事件对安防设备厂商影响不大,是整个行业都存在的问题。这次海康威视的安全漏洞问题,整个安防行业我们预计都会有这种感觉安全问题,只是海康威视的设备数量之多才会引起黑客和安全厂商的注意,其他厂商肯定也存在各种安全问题,只是没人暴露而已。并且摄像头相对来讲,造成的国家安全的危害比电脑或者手机的影响要小很多。该事件将增强中国智慧城市特别是安防行业对信息安全的重视。对整个行业而言是好事。短期来看,对海康设备的销售会有一定的负面影响,长期来看,像海康和大华这种龙头公司竞争优势明显,一旦加大投入解决好这些问题,领先优势将进一步巩固。全国产化的SVAC 技术路线将获得更多重视,基于SVAC 标准的芯片、设备和平台开发领先企业将受益。SVAC 将重塑安防行业行业竞争格局,先期积累较多的企业将更有优势。在以SVAC 标准为核心的安防技术体系下,以中星微为代表的芯片厂商开始逐渐发力,未来空间巨大;行业中游出现可能出现调整,此前海康、大华凭借规模优势形成对上游芯片的议价优势将下降,双寡头格局或将松动。算法厂商将获得更多参与机会。基于Svac 标准开发应用平台的企业较少,领先企业将容易实现异地扩张,从而在市占率上有数倍提高。广东2014年10月后将SVAC 作为强制排他性标准,标志Svac 标准国内推广加速,未来有望国际推广。A 股上市公司,推荐佳都科技,美股推荐中星微。

该事件利好信息安全行业,特别是攻防龙头厂商和信息安全服务厂商以及工控安全子行业。预计此事情会进一步刺激政府加强政府军队等信息安全测评和 信息安全服务的发展,一直以来信息安全行业的“等级保护”的自行测评并向公安部报告并没有引起相关政府和企业的重视,导致“等级保护”年度信息安全评估形同虚设,对信息安全企业来说,由于缺乏足够的话语权,导致“买产品送服务,送安全测评”,导致很多领域出了不少信息安全泄密事件。物联网安全的重要性也越来越被人重视,未来移动设备安全、智能家居安全、车联网安全也将会被大家越来越关注和重视。未来,相信随着这些事件的发生,国家会对“等级保护”进行重新的估量,首先,纳入登记保护的企业和相关系统会大大增加;其次,国家会加强对等级保护的强制检查,会引导企业重视各种安全测评,企业也需要多家信息安全企业进行“背靠背”测试,相关龙头攻防厂商例如绿盟科技和启明星辰会脱颖而出。“等级保护”的制度重新修订将会带来信息安全行业的扩容,我们推荐信息安全的企业,顺序为绿盟科技、启明星辰、北信源、卫士通、任子行和蓝盾股份。

工控安全领域,国家也出台了不少规定,我们也看到,在公共交通和公共事业领域也存在大量的工业信息安全漏洞问题,未来这块也会快速发展,工控安全领域推荐卫士通、启明星辰和绿盟科技,关注东土科技和宝信软件。

海康威视黑天鹅并不代表国产化有问题,但本土企业仍需要加强自身实力的建设,提高安全意识。安防龙头海康威视出事并不代表国产化技术有问题,国产化的方向不会动摇。安防产业链已经基本实现国产化,涉密的安防芯片大部分已经用华为海思的芯片,软件是在华为海思芯片基础上做二次开发。但是,不是说在海思芯片上开发有漏洞,在TI 芯片上开发就没有漏洞。正如前文所述,本次事件更多的是对安全管理不够重视,技术上的漏洞在很多领域都有,关键是要建立管理机制。

海康出事敲响警钟,本土企业仍需加强自身实力的建设,提高安全意识。2013年,海康威视监控摄像机/NVR/DVR 三类产品位列全球第1位,整体营收已经达到全球第三,仅次于霍尼韦尔与博 世。海康威视2014年营收172亿元,归属于母公司股东净利润46亿元。而国产化龙头企业浪潮信息2014年营收不过70亿,归属于母公司股东净利润3.4亿元。海康这种研发和销售实力雄厚且产业链已经基本国产化的龙头公司尚且能出事,更别提那些营收更小、关键芯片领域还依赖国外厂商的国内自主可控公司,本土企业仍需加强自身能力建设。国产化领域,重点推荐华胜天成和浪潮信息。

3.投资建议。

海康黑天鹅事件,我们预计大概率将被定性为安全漏洞问题,而非间谍攻击或“棱镜门”。事件影响分析来看,对中国安防行业格局影响不大,SVAC 技术路线有望得到更多重视。此次事件对安防设备厂商影响不大,是整个行业都存在的问题。全国产化的SVAC技术路线将获得更多重视,基于SVAC 标准的芯片、设备和平台开发领先企业将受益。A 股上市公司,推荐佳都科技,美股推荐中星微。

该事件利好信息安全行业,特别是攻防龙头厂商和信息安全服务厂商以及工控安全子行业,推荐绿盟科技、启明星辰、北信源、卫士通、任子行和蓝盾股份。工控安全领域推荐卫士通、启明星辰和绿盟科技,关注东土科技和宝信软件。

海康威视黑天鹅并不代表国产化有问题,但本土企业仍需要加强自身实力的建设,提高安全意识。国产化领域,重点推荐华胜天成和浪潮信息。

4.风险提示。

政策风险,竞争加剧。