海康威視就“安全門”事件召開投資者電話會議實錄

        2015年3月1日晚間，杭州海康威視數(shù)字技術(shù)股份有限公司(以下簡稱“海康威視”或“公司”)發(fā)布了《關(guān)于部分監(jiān)控設(shè)備遭到網(wǎng)絡(luò)攻擊的情況說明》的公告，就近日部分媒體出現(xiàn)關(guān)于公司的相關(guān)報道進行說明。

　　海康威視于 2015 年3月2日9:45-11:00在公司會議室召開了投資者電話會議，就部分監(jiān)控設(shè)備遭到網(wǎng)絡(luò)攻擊的事項(以下簡稱“江蘇事件”)作進一步溝通和說明。公司總經(jīng)理胡揚忠，副總經(jīng)理、董事會秘書鄭一波，HSRC(安全應(yīng)急響應(yīng)中心)負責(zé)人工程師萬里;國家互聯(lián)網(wǎng)應(yīng)急中心浙江分中心技術(shù)保障處副處長厲斌，工程師馬駿野出席了會議。

　　1、江蘇省公安廳科技信息化處發(fā)文《關(guān)于立即對全省海康威視監(jiān)控設(shè)備進行全面清查和安全加固的通知》中僅海康威視被點名，其他同類視頻監(jiān)控廠商是否也存在相似問題?

　　公司已在2015年3月1日晚間通過公告披露了相關(guān)情況。至于其他廠商是否存在相似問題，公司并不了解，但暴露在互聯(lián)網(wǎng)環(huán)境下的產(chǎn)品都有可能受到網(wǎng)絡(luò)攻擊。

　　2、江蘇事件中暴露出來的設(shè)備安全問題，是否通過修改密碼或者固件升級就可以簡單解決，還是需要召回設(shè)備?另外，公司產(chǎn)品型號眾多，解決問題的工作量是否很大?

　　江蘇事件涉及的設(shè)備安全問題為弱口令漏洞，確實只需通過修改初始密碼或簡單密碼，或者升級設(shè)備固件即可解決，并不需要召回或更換設(shè)備。針對江蘇事件，公司已組織專項應(yīng)急技術(shù)團隊幫助各地市公安局進行口令修改和固件升級工作。其實，類似的工作并不需要現(xiàn)場進行，可遠程進行固件升級。盡管公司的產(chǎn)品型號很多，但分系列管理，通常一個或幾個系列產(chǎn)品使用同一類固件，因此升級固件的工作量并不大。

　　3、除了江蘇省廳，是否有其他省公安廳會出現(xiàn)類似情況?

　　首先，江蘇事件中流傳在網(wǎng)上的圖片是江蘇省公安廳的一個通知，要求各地市公安局對設(shè)備進行排查，并不是正式文件。截至目前，公司并沒有收到其他省公安廳或者其他客戶的類似要求。如果今后有這樣的需求，公司也會積極配合。海康威視是一家負責(zé)任的公司，今后會更加主動和用戶進行溝通哪些固件需要升級，哪些安全措施需要注意。

　　4、昨日公告指出，去年8月起海康威視產(chǎn)品就已遭到黑客攻擊，而江蘇省公安廳為何在2月才發(fā)文要求清查?

　　去年8月海康威視部分監(jiān)控設(shè)備受到了網(wǎng)絡(luò)攻擊(以下簡稱“8月事件”)，公司認為是針對海康威視產(chǎn)品的惡意攻擊行為，9月2日公司已向?qū)俚毓簿謭蟀福矙C關(guān)立即立案偵查。但由于黑客使用的服務(wù)器在海外，攻擊仍在繼續(xù)，至今并無懲治措施。江蘇事件中也有指出“設(shè)備被境外IP控制”(即攻擊設(shè)備的服務(wù)器在海外)，公司認為此事是8月事件在江蘇省的呈現(xiàn)，監(jiān)管部門發(fā)布電文要求排查也是其常規(guī)工作內(nèi)容之一。其實，江蘇省公安廳在2月16日通知了公司相關(guān)情況，公司支持省廳的行為，認為清查設(shè)備升級固件本身是對用戶和廠家來說很好的事情。現(xiàn)在來看，8月事件發(fā)生之后，雖然公司認為實際影響不大，但如果公司立即披露安全公告的話，可能對整個產(chǎn)業(yè)鏈的發(fā)展更好。

　　5、請問國家互聯(lián)網(wǎng)應(yīng)急中心浙江分中心的專家，弱口令問題是不是常態(tài)?

　　(國家互聯(lián)網(wǎng)應(yīng)急中心浙江分中心技術(shù)保障處副處長厲斌回答紀要)我整體的看法是這只是一個網(wǎng)絡(luò)安全事件，是信息化發(fā)展的產(chǎn)物。現(xiàn)在的視頻監(jiān)控設(shè)備相對計算機來說比較簡單。據(jù)我中心統(tǒng)計，在過去的一周內(nèi)，全國計算機感染病毒62.6萬臺，其中蠕蟲病毒11.4萬臺。視頻監(jiān)控設(shè)備在互聯(lián)網(wǎng)化后也需要面對這樣的問題，需要企業(yè)和用戶共同努力。企業(yè)需及時發(fā)布漏洞修復(fù)工具，病毒查殺工具，用戶也需要主動更新固件。海康威視自去年開始和我中心開展了相關(guān)合作，這次的弱口令漏洞也委托我中心在網(wǎng)上進行監(jiān)測。海康威視作為業(yè)界龍頭企業(yè)，對于產(chǎn)品安全的防范措施還是超前的。這次的事件，可能是公司產(chǎn)品銷售范圍較廣，無法及時通知到所有用戶進行密碼修改或固件更新。

　　6、有外媒報道，海康威視有31%設(shè)備被攻擊，光江蘇省就有5萬多臺。另有媒體報道，公司有數(shù)萬設(shè)備中招，這是怎么一回事?

　　關(guān)于外媒報道，公司沒有收到相關(guān)信息，不好評論。至于媒體報道的“數(shù)萬臺設(shè)備中招”，是指從去年的8月事件至今，因為弱口令問題而被攻擊的公司設(shè)備，這些設(shè)備的總數(shù)不超過10萬臺，且被感染的設(shè)備皆有通過線上和線下進行修復(fù)。

　　7、公司昨日公告中說明2014年3月底以前出廠的設(shè)備才有漏洞，但最近網(wǎng)絡(luò)上“凱奇哥”視頻演示的卻是2014下半年的設(shè)備，這是什么原因?

　　江蘇事件和8月事件涉及的都是弱口令漏洞，至于網(wǎng)絡(luò)視頻涉及的則是RTSP漏洞。這是兩個完全不同的漏洞，而昨日公告主要是針對前者的相關(guān)說明。至于RTSP漏洞，公司安全應(yīng)急響應(yīng)中心已于2014年12月5日披露了安全公告，進行安全預(yù)警，并同時發(fā)布固件升級程序。升級固件可以修復(fù)該漏洞。

　　8、公司2014年12月5日在官網(wǎng)公布RTSP漏洞，是否是一個常規(guī)做法?

　　公司是想讓用戶升級固件，但同時黑客也獲取了漏洞信息，更方便攻擊沒有升級的設(shè)備。在公司官網(wǎng)發(fā)布安全公告是IT行業(yè)的國際慣例。至于后面提到的問題，基于安防行業(yè)產(chǎn)品的特點，公司不知道最終用戶在哪里，即使在HIKDDNS上能查詢接入設(shè)備的IP地址，也不能代替用戶遠程修改密碼，只能在用戶要求下幫助用戶遠程進行固件升級。目前來看似乎還沒有更好的方式。

　　9、此次江蘇事件對公司業(yè)務(wù)有何影響?國內(nèi)政府采購訂單是否會放緩?

　　從目前來看，這次事件對公司的品牌和聲譽是有一定影響的，但對公司整體業(yè)務(wù)無實質(zhì)性影響。至于是否會影響國內(nèi)政府的采購趨勢，目前公司并未得到相關(guān)部門的看法。公司產(chǎn)品主要應(yīng)用于專網(wǎng)、局域網(wǎng)，接入互聯(lián)網(wǎng)產(chǎn)品數(shù)量很小，因為接入互聯(lián)網(wǎng)的用戶主要是小微企業(yè)，大型企業(yè)一般有內(nèi)網(wǎng)。由于目前沒有確定的統(tǒng)計口徑，所以無法披露接入互聯(lián)網(wǎng)產(chǎn)品的比重，但預(yù)計不超過10%，而其中受到攻擊的設(shè)備比例更小。公司認為，江蘇事件發(fā)生在海康威視身上，將為整個產(chǎn)業(yè)帶來更多積極影響　因為這些問題在整個行業(yè)都存在。廠商需提高產(chǎn)品安全意識，安裝商、集成商也應(yīng)該在安裝設(shè)備后及時修改初始密碼，優(yōu)化基礎(chǔ)的IT網(wǎng)絡(luò)設(shè)計，合理配置路由器、設(shè)置網(wǎng)管，最終用戶也應(yīng)加強使用初始密碼的危害性意識。

　　10、海外媒體也有報道，是否會對出口有一定影響?

　　公司已通知海外銷售關(guān)注當(dāng)?shù)匦侣劊灿泻秃Ｍ獾膶I(yè)媒體溝通，坦誠本次事件的真實情況。是否影響出口暫不得知。

　　11、對于加強網(wǎng)絡(luò)安全建設(shè)，海康威視對此有何具體措施?

　　2014年3月，公司已成立安全應(yīng)急響應(yīng)中心(HSRC)，負責(zé)接受、處理和公開披露公司產(chǎn)品的安全漏洞。同時，也主動與行業(yè)專家、實驗室發(fā)起合作，例如國家互聯(lián)網(wǎng)應(yīng)急中心、杭州安恒信息技術(shù)有限公司等，旨在進一步加強網(wǎng)絡(luò)安全建設(shè)，推動公司上下對產(chǎn)品安全問題的關(guān)注。公司多次邀請互聯(lián)網(wǎng)安全專家對員工進行培訓(xùn)。此外，公司近期也將啟動優(yōu)化研發(fā)管理流程的項目，加強研發(fā)人員的產(chǎn)品安全意識，針對研發(fā)和測試的每一個環(huán)節(jié)進行優(yōu)化。在中國IT企業(yè)國際化的過程中，必然會面對產(chǎn)品安全問題，如華為在打入歐洲市場時，路由器曾被攻擊。這次的事件對于公司是危機也是轉(zhuǎn)機，公司也將以行業(yè)巨頭為榜樣，坦然面對，在探索中堅定地走下去。解決產(chǎn)品安全問題是一項永久的課題，但公司將以此為契機，在2015年走上一個新臺階。

　　12、海康威視旗下螢石系列產(chǎn)品有沒有遭受到網(wǎng)絡(luò)攻擊?

　　目前公司還沒有收到螢石系列產(chǎn)品出現(xiàn)安全問題的消息，但黑客行為肯定存在，因為自螢石服務(wù)器建立以來，一直有監(jiān)測到被網(wǎng)絡(luò)攻擊。

　　13、產(chǎn)品接入螢石云，是否對設(shè)備安全性的提高有幫助?

　　應(yīng)用在專網(wǎng)或者局域網(wǎng)上的產(chǎn)品，固件升級需要用戶主動完成。而螢石系列產(chǎn)品擁有手機推送功能和/或設(shè)備信號燈提示功能，固件升級等安全信息更容易獲取，從這個角度來說，產(chǎn)品接入螢石云確實對安全性能的提高有幫助。目前公司已在新加坡建立螢石云平臺，歐洲則正在進行，計劃未來將在海外6處構(gòu)建螢石云平臺。產(chǎn)品暴露在互聯(lián)網(wǎng)上的風(fēng)險比接入專網(wǎng)和局域網(wǎng)中高很多，因為在互聯(lián)網(wǎng)上的設(shè)備易遭到遠程攻擊，而后者環(huán)境封閉危險不大。在互聯(lián)網(wǎng)環(huán)境中，螢石云可以幫助與用戶溝通，及時修復(fù)漏洞。

　　14、螢石產(chǎn)品在弱口令問題上的安全性很好，有2個密碼：用戶本地有個密碼，查看視頻有個密碼。海康威視的其他產(chǎn)品是否有能做到這樣的安全防范措施?

　　針對不用的網(wǎng)絡(luò)應(yīng)用，有不同的解決策略。近期會重新梳理和評估海康威視的安全策略，可能會在海康威視部分產(chǎn)品上取消通用密碼。

　　15、在產(chǎn)品互聯(lián)網(wǎng)化過程中，海康威視和其他互聯(lián)網(wǎng)公司相比，有何優(yōu)劣勢?

　　做一個產(chǎn)品要考慮方方面面，網(wǎng)絡(luò)安全問題只是其中一個環(huán)節(jié)。海康威視的行業(yè)產(chǎn)品從專網(wǎng)、局域網(wǎng)做起，公司對互聯(lián)網(wǎng)所帶來的風(fēng)險意識還不足。2013年公司成立螢石團隊，用互聯(lián)網(wǎng)的架構(gòu)來規(guī)劃產(chǎn)品和平臺。憑借公司在視頻監(jiān)控領(lǐng)域的經(jīng)驗，公司相信可以取長補短，做好產(chǎn)品互聯(lián)網(wǎng)化。