主页（http://www.cnwulian.net）：如何攻击一幢大楼：智能建筑成为黑客新“游乐
最初说到智能建筑时，可能首先会想到一个在郊区的房子或者技术人员工作的高科技办公楼，然而，这种印象只是对智能建筑领域的一个很小的认知，如今伴随着智能家居的普及，智能建筑的应用范围也越来越广。
忘记什么“零日攻击”、“拒绝服务攻击”等手段，推诿责任才是“智能”建筑安全的罪魁祸首。
在工业建筑中，基于物理访问控制的楼宇自动化技术可阻止外来访客；在温室中，基于楼宇自动化设备调控的温度、湿度及照明可确保室内植物保持在最适宜的生长环境下；在服务器机房中，通过自动化设备调控空调温度可防止服务器设备过热；在机场航站楼中，自动化设备更是无处不在，例如电梯、烟雾报警器、火灾报警器、电动百叶窗等。
想要更好地融合现代“智能”建筑中的物理安全和信息安全，就需要安全工程师、物理安全团队、设施管理团队以及一名高层管理者之间进行更多、更密切地协作，以杜绝责任推诿的现象存在。
现代建筑必须能够容纳最小公分母（lowest common denominator，网络安全中的最小公分母是人而不是技术），而实现这一目标的方法就是使用HTTP接口。这可以确保每个人都能访问它，甚至包括攻击对手。不过虽然这种智能建筑很容易遭到入侵，但是安全专家认为，它也同样易于管理和监控。
智能建筑安全自检表
如何保护“智能”建筑？
如今，建筑物的控制权已经脱离人类的双手，我们也是时候改变自己对建筑物的认识了，建筑物已经不再是砖块和混凝土组成的普通实体，而是一个IT模块，如同一个巨大的“物联网烤面包机”。但管理层通常不太清楚的是，一旦智能建筑发生故障，遭殃的可不仅仅是烧焦的吐司而已，还有更为广泛的安全层面，严重威胁企业关键业务的正常运行，甚至危及企业声誉。
该指导文件就是为了让人们提出这些问题而设计的，想要回答出这所有问题可不是一个人或一个部门能够做到的，它需要各部门间进行沟通交流。因为让以前孤立的部门实现协同工作，对于管理智能建筑安全而言具有至关重要的意义。
2012年，安全研究人员Billy Rios和Terry McCorkle在Tridium公司所研发的Niagara AX框架平台中发现了一些关键漏洞，当时，该框架正广泛应用于建筑物自动化和控制系统（BACS）中。研究人员只利用了一些相当简单的技术就成功下载了用户名和密码等数据。之后，Tridium公司发布了安全补丁解决了这些安全问题。
该指导文件可以帮助企业组织识别其威胁模型。一旦企业为其组织确定了正确的威胁模型，该清单就会重点关注确定是否采用适当的流程和程序来降低风险。正如那句老话所言“安全是一个过程，而不是一个产品”，这份自检清单也更侧重于人类组织，而不是计算机代码。
从企业组织的角度来看，最重要的一件事就是明确一个要点：即有人需要对这些“智能”建筑系统负责，而不单单是使用它们。实现这一目标的唯一方式就是与所有利益相关者组成一个跨组织部门的工作小组。
暂且不提什么联网的烤面包机，就是您的“智能”办公建筑也是一个巨大的、易受攻击的物联网设备。
尖叫声不绝于耳，你和同事慌忙奔向电梯的方向，门开了然后关上，但是电梯并没有运行的迹象。于是，你又奔向楼梯的方向，试图尽快逃离这片黑暗。逃下楼后，你看到邻居的孩子指着你的办公室玻璃和大厦的方向，窃窃私语称那是一座“闹鬼”的高楼。
可以说，成长的过程中一定会有伤痛。要想避免一些不必要的伤痛，就要明白如今的建筑已经不再是简单的混凝土，而是一个重要的IT系统。此前发生的种种安全事件，即使不足以让整个业界反思，也值得科技公司们吸取教训。以后，选择办公室自动化控制系统的时候，安全应该作为参考的第一要素。
新发布的指导文件旨在帮助管理层识别和评估组织所面临的风险，并采取具体步骤来降低风险。
虽然组织各部门的中层管理者经常开会讨论的感觉可能并不舒畅，但是无可否认，面对现代“智能”建筑的巨大复杂性，成立工作小组正是解决该问题的最佳安全方案。
一旦一栋楼的控制系统被攻破，黑客们将可以轻易黑进其他楼宇的控制系统。为了产品的兼容性和方便操作，很多楼宇的自动化控制系统采用的通信协议都是彼此集成的。此外，如果楼宇控制系统与公司的企业网络处于同一网络的话，那其危害将更加大。因此，为了安全起见，办公楼的智能控制网络应该与企业网络隔离。
BACS，也可称为“智能建筑管理系统”（IBMS），主要提供对加热和冷却、照明、电梯、灭火系统以及访问控制（包括安全摄像头等）等的细粒度控制。所谓的“智能”建筑指的是可以节省成本的自动化建筑，可以提高安全性和舒适性，在与其他智能化成品以及能源网产生联系时，还能够进一步构建环境友好型社会。
通过快速在Shodan引擎上搜索查询术语，如“deltaweb”、“niagara”以及“port=47808”，便可以在公共Web登录页面上显示各种智能建筑控件，有些甚至启用了telnet服务。
总结
那么如今究竟是谁应该为多租户高楼的综合信息和物理安全负责呢？
