1、背景：
当前很多HK行业设备的端口映射到公网上，其中一部分老版本设备是存在安全漏洞的，由于传统行业没有设备平台的概念，无法通过设备提示用户进行升级，导致这些存在漏洞的设备在互联网上被长期攻击和控制。
行业设备用户目前安全意识还比较低，一般都不会去主动修改HK出厂的默认弱口令，导致恶意攻击者可以利用此安全隐患，对IP大段进行扫描和识别在公网上HK的设备，并能够大批量成功登录这些使用默认口令的设备，然后进行进一步的进行攻击和破坏，并已经造成了相当大程度的影响。
2、HK设备通信框架对比：
2.1、互联网设备
2.2、传统行业设备
3、解决方案：
3.1、方案描述：
目前HK设备使用的客户端主要分为3种类型：web客户端、移动APP和PC客户端。对于传统行业设备而言，使用web客户端等同于访问设备的http端口（即web页面），因此，在用户不升级设备的前提下是无法控制web客户端的，但是移动APP和PC客户端则不存在这样的问题，我们是可以让用户单独对它们进行升级的，因此，可以在升级版本中加入安全控制手段，间接地对传统行业设备实施安全措施。
此方案优势在于，老设备一直都是支持远程升级接口的，因此同样兼容老版本的设备。
3.2、详细步骤和示意图（移动APP为例）：
（1）、让用户升级到新版移动APP。
备注：
a. 只有新版移动APP才能支持后续安全控制，所以这是必须步骤。
b. 新版移动APP支持连接HK的安全补丁服务器。
（2）、 检查补丁情况。
具体步骤：
a.移动APP连接HK安全补丁服务器，并检查是否存在需要更新的安全补丁。
b.如果存在则将安全补丁下载到移动端本地。
c.移动APP模拟并发送一个升级请求到设备（升级请求中携带补丁包）。
d.设备进行远程升级。
备注：
a.为保证及时性，更建议使用推送的方式。
b.对于中、低危补丁一般需要提示用户是否升级，对于紧急高危补丁是否需要提示，由公司综合评审决定。
3.3、非技术层面的措施：
（1）、为具有一定规模的客户、工程商提供免费的安全意识培训。
（2）、产品资料和文档中必须包含详细具体的安全配置建议和规则，并置放在醒目位置。
（3）、技术支持或工程商要求现场主动提示或协助用户完成安全配置（比如：修改默认口令）。
4、对公司的建议：
（1）、安全问题既不能够坐以待毙也不能掩盖了事，必须主动出击处理，否则最终伤害的还是公司和客户双方的利益。
（2）、必须制定清晰的产品安全规划和策略，有明确的目标和方向，HK的安全还在初级阶段，当前应以减少损失和修补问题为主要短期目标，而预防问题为长期目标。
（3）、主动向有经验的企业（比如：华为）求经，避免和少走弯路。
（4）、把安全作为质量保证的重要因素之一，必要时纳入绩效考核。