如果不解决大量特定于建筑物的网络安全问题，那么容纳数百个连接设备的大规模超连接智能建筑的最终愿景将无法实现。每个系统、设备、路由器、服务器和网关，包括它们的多个版本和迭代，都会给建筑物带来自身的网络安全风险。而且，如果没有严格的分段，未经授权访问这些广泛的漏洞中的任何一个都可能暴露整个网络。建筑物的设计并没有以这种速度发展，新的智能建筑必须快速了解网络安全。智能建筑行业在理解其系统所代表的不断增长的攻击面方面仍然落后。设施管理团队通常仍然缺乏管理网络安全所需的IT技能，安全性较低的物联网设备仍然以极具吸引力的价格充斥市场。尽管存在网络安全问题，建筑技术仍在不断发展。构成智能建筑生态系统的每个不同元素都需要一种全面的多学科防御方法，以有效缓解网络威胁。楼宇技术历来缺乏对网络安全的关注，之前的楼宇自动化开放通信标准迭代就是最好的证明。BACnet、LonWorks和KNX等过去缺乏基本的加密、身份验证或完整性保护，因为它们都被设计为作为封闭网络的一部分运行。当然，这种情况现在已经用BACnet/SC解决了。由于许多智能楼宇解决方案的生命周期延长，该行业仍有相当大的遗留楼宇自动化系统和设备安装基础，这些系统和设备仍然充满安全漏洞和配置问题。遗留系统显然对建筑运营构成重大网络风险，老练的攻击者意识到遗留系统造成的安全漏洞，并越来越积极地利用已知漏洞来破坏运营和窃取敏感数据。现代物联网和楼宇自动化设备也很快因容易受到注入和内存损坏等问题而臭名昭著，原因是糟糕的编码实践允许攻击者绕过其安全功能并完全控制它们。此外，太多的联网设备仍然带有默认的用户名和密码设置。并且用户往往没有定期更改密码，在多个系统中使用相同的密码，或者选择容易被猜到的密码。许多较新的物联网设备还带有默认设置，可以通过未加密的协议进行通信，从而为流量嗅探和篡改敏感信息提供了机会。重要的是要注意，在互联网上简单地搜索设备不一定是负责其安装的供应商或系统集成商的错，最终建筑人员和公司IT部门有责任保护他们的设备免受攻击窥探的眼睛。最终，不同建筑系统的联网意味着它们的安全性取决于网络上最薄弱的设备。因此，为了识别现代联网智能建筑中潜在的系统漏洞，有必要全面评估连接到楼宇自动化和控制系统的系统、设备和网络的范围。为了对特定网络上的所有设备进行全面的网络安全风险评估，有必要对所有设备和系统连接进行全面审计。然而，自动网络扫描工具和技术通常部署在IT环境中以促进审计过程，但不适用于建筑物等OT环境。由于智能建筑OT设备和系统通常运行在过时的遗留协议上，因此它们无法响应IT扫描过程使用的各种消息协议来报告设备状态、固件等。事实上，这种扫描方法可能会对OT环境产生积极影响。公开可用的物联网设备搜索引擎可用于确定威胁的规模和暴露设备的绝对数量。2019年的一项研究发现，在发现的22,902台设备中，有9,103台容易受到零日攻击。易受攻击的设备包括访问控制和HVAC控制器，以及协议网关。对于IP连接的摄像头，该研究还发现其中91.5%的摄像头容易受到攻击。检查安装在这些搜索引擎上的设备对于建筑管理者来说是必须的，但这意味着他们将不得不处理他们发现的问题。无需网络安全知识或网络专业知识即可在搜索引擎上执行搜索，搜索引擎包含与暴露设备相关的大量数据，包括设备的IP地址、地理位置、所有者、服务端口标头信息、固件详细信息和可用协议，任何人都可以两分钟轻松搞定。所有信息均来自公开来源，这意味着任何有足够动机去寻找它的人都可以获得这些信息。
