据《2106-2017年中国物联网开展年度报告》统计，2016年我国物联网市场规模超9000亿元，同比增速延续多年超越20%。估计到2020年，我国物联网产业规模将超越1.5万亿元，物联网的使用开展十分迅猛。在往年6月，我国正式发布《关于片面推进挪动物联网(NB-IOT)建立开展的告诉》，要求放慢推进挪动物联网部署，构建NB-IOT网络根底设备。到2017年末，完成NB-IOT网络掩盖直辖市、省会城市等次要城市，基站规模到达40万个。并且随着古代城市的开展和国度“十三五”规划物联网的使用推行，估计许多城市也把建立智慧城市作为城市开展的中心战略，以进步城市的效率和竞争力。但是针对物联网的国度规范、行业规范迟迟未正式发布，关于测评机构而言存在如何反省发现风险以及如何解读规范要求存在一定的局限性，以下是我公司对物联网试点测评的一些状况汇报。

一、物联网的使用

物联网最为分明的特征是网络智慧化，经过信息化的手腕完成物物相连，进步不同行业的自动化管理程度，增加人为干涉，从而极大水平地提升效率，同时降低人工带来的不波动性。经过感应设备将电网、铁路、桥梁、隧道、公路、修建、供水零碎、大坝、油气管道等数据信息化，并经过网络传输方式完成信息的采集及管理，将物联网与现有的互联网整合起来，完成人类社会与物理零碎的整合。因而，物联网在许多行业使用中将发扬宏大的潜力。

物联网作为一个零碎网络，与其他网络一样，也有其外部特有的架构。物联网的零碎架构划分为三个层次。

(一)感知层，即应用 RFID、传感器、二维码等随时随地获取物体的信息;

(二)网络层，经过各种电信网络与互联网的交融，将物体的信息实时精确地传递出去;

(三)使用层，把感知层的失掉的信息停止处置，完成智能化辨认、定位、跟踪、监控和管理等实践使用。

总之，物联网概念是在互联网概念的根底上，将其用户端延伸和扩展就任何物品与任何物品之间，停止信息交流和通讯的一种网络概念。

二、物联网的平安现状

　　2016年10月21日，美国多个城市呈现互联网瘫痪状况，包括Twitter、Shopify、Reddit等在内的少量互联网知名网站数小时无法正常拜访。其中，为上述众多网站提供域名解析效劳的美国Dyn公司称，公司遭到大规模的“回绝拜访效劳(DDoS)”攻击。后据调查，这是Mirai僵尸网络发起的攻击。Mirai僵尸网络中包括了少量可联网设备，例如监控摄像头、路由器以及 智能电视 等等。 Mirai僵尸网络发起了有史以来规模最大的3次DDoS攻击。由于此次攻击中有大约60万台的物联网设备参与到Mirai僵尸网络大军中，成为大规模物联网设备初次参与企业级攻击的一个关键案例。

　　2017年6月18日，国度质检总局在官网发布了“智能摄像头质量平安风险警示”，称针对智能摄像头能够存在的信息平安危害，国度质检总局产质量量监视司组织展开了智能摄像头质量平安风险监测。据引见，共从市场上采集样品40批次，次要根据GB/T22239-2008《信息平安技术信息零碎平安 等级维护 根本要求》等规范要求，对操作零碎的更新、歹意代码防护、身份鉴别、弱口令校验、拜访控制、信息泄露、数据传输运用平安无效加密、本地存储数据维护等项目停止了检测。检测后果标明，32批次样品存在质量平安隐患。

综上所述这两个案例，物联网的平安状况不容悲观，需鼎力推进网络平安等级维护对物联网的平安掩盖，进步整个物联网行业的平安防护才能，增加平安事情的发作。

三、物联网等级测评的状况剖析

(一)零碎使用范围广(物联网、云、挪动互联网)

物联网是互联网的延伸，因而物联网的平安也是互联网平安的延伸，物联网和互联网的关系是密不可分、相反相成的。如下图，物联网就结合云计算、挪动互联网停止了产品使用的功用完成。所以需求停止多纬度和扩范围去思索综合平安成绩。

(二)物联网效劳提供商平安认识淡漠

　　物联网技术的呈现，使我们的生活愈加方便、快捷的同时，也不可防止地带来了一些平安成绩。物联网中的很多使用都与我们的生活毫不相关，如智能摄像头、 智能家居 、智慧城市等设备，经过对它们的信息的采集，可直接或直接地暴露少量用户的隐私信息。但是由于消费商缺乏平安认识，在产品设计之初没有把平安规范和要求归入出去，很多设备缺乏加密、认证、拜访控制管理的平安措施，企业在运营进程中也没有依照等级维护的要求停止等保测评。使得物联网中的数据很容易被窃取或合法拜访，形成数据泄露，或许被合法控制，发生严重的结果。

　　 (三)物联网终端衔接状况复杂

物联网普遍在智慧城市、无人驾驶、智慧家居、农业物联网等等各个方面。在物联网的感知层是指包括以传感器为代表的感知设备、以RFID为代表的辨认设备、GPS等定位追踪设备以及能够交融局部或全部上述功用的智能终端等。感知层是物联网信息和数据的来源，但是目前感知层的终端设备越来越复杂，有些还带了底层零碎，但是很多企业和平安效劳商都未思索到这底层零碎的平安是如何完成的。

　　 四、本次测评详细层面剖析

(一)感知层

感知层:由各种传感器网关和传感器构成、包括有温度传感器、二氧化碳浓度传感器、二维码标签、湿度传感器、摄像头、RFID标签和读写器、GPS等感知终端。感知层的作用就像人的视觉、触觉、味觉、听觉一样，它是物联网获取辨认物体、采集信息的来源，次要功用是辨认物体、采集信息。

　　 案例:

1、智能摄像头，设备本身带了底层零碎。那么本身零碎的平安:能否存在零碎破绽?用户能否及时修复了破绽?能否能检测被入侵或许被感染病毒的设备?能否能集中监控、战略下发、病毒查杀、破绽修复等等都未在物联网平安扩展要求中提出。

2、不同品牌的智能摄像头经过SDK公有协议与云端停止数据推送，数据在传输进程中采用了加密算法停止加密。但是能够有些物联网公有云触及关键根底设备，也异样采用了此加密算法，存在一定的平安隐患，建议采用国密算法。

3、不同平台的摄像头采用各自的公有协议和数据格式停止数据传输，因而在智能摄像头和物联网云两头还部署了格式转化的终端，此终端也有底层零碎(不属于会聚节点)，测评中此设备的底层零碎的平安没有相关防护措施。并且此节点如何定义?

4、此格式转换终端在智慧城市，甚至某些视频专网中能够也会部署，因而建议有关部门增强防护。

　　 (二)网络层

网络层:由互联网、公有网络、无线和有线通讯网、网络管理零碎和云计算平台等组成的，网络层就相当于人的大脑和神经中枢，次要担任传递和处置感知层获取的信息。

　　 案例:

1、挪动终端登录物联网云采用SDK加token(有工夫戳)验证，但是采用httphttps两种方式都可以登录，存在平安风险，容易被劫持。

2、物联网云没有对异常网络流量和内容停止拜访控制措施和入侵进攻、歹意代码防护手腕。

3、集中管控在运维管理机房中，其他分支节点中未在本地留存，假如运维机房呈现网络毛病，其他分支节点对网络攻击不能及时呼应、审计日志的保管。

4、虽然智能摄像头没有直接暴露公网IP，但是经过SDK可停止认证和相应权限分配，但存的SDK停止设备信息认证存在一定的平安隐患。

(三)使用层

　　 案例:

1、不同云效劳客户虚拟网络未做隔离，同一品牌，甚至不同品牌的智能摄像头及云存储空间面临能够病毒感染的风险。

2、采用了加密技术对存储的视频内容停止加密联系分段存储。假如数据丧失、损毁到达一定的数量，能够会招致整个视频文件不可解密读取，重要数据完全不可恢复。

3、由于智能摄像头的平安破绽，招致少量团体信息走漏。

　　 五、物联网等级维护测评的局部建议

(一)物联网平安等级维护测评规范指点国际物联网行业的平安开展

经过以上剖析可以看出由于物联网的平安成绩层出不穷。而物联网在网络平安方面形成的要挟越来越大，可操作性越来越易完成，招致社会次序、公共利益甚至国度平安的影响越来越大。因而指点物联网平安建立运营的国度规范物联网平安扩展要求希望具有前瞻性和尽快正式出台并对物联网行业强迫要求落地施行。

(二)物联网平安等级维护国度规范应在测评使用中不时补充和修订

物联网在智慧城市、无人驾驶、无人机、智能家居、绿色农业等等各个方面使用越来越广，物联网关联的相关产业越来越多，发生的平安事情的影响越来越大。因而建议国度规范、行业规范应紧跟产业使用的开展及时修正更新。

　　 六、小结

中华人民共和国国民经济和社会开展第十三个五年规划大纲的专栏9第二大节物联网使用推行:建立物联网使用根底设备和效劳平台，推进物联网严重使用示范工程建立、普遍展开物联网技术集成使用和形式创新，丰厚物联网使用效劳。物联网的使用会越来越融入社会中的方方面面，但是相应的规范滞后以及测评机构对如何测评物联网存在经历缺乏之处，希望全国各个测评机构互联沟通交流，共同参与对物联网的平安测评，积极分享各自的任务心得，经过各个机构的理论测评不时补充和完善物联网平安的相应规范。

　　 七、物联网测评案例

(一)无人机物联网零碎测评

　　 1、背景引见

在对某无人机零碎停止测评时，理解到其发作过无人机产品的单片机主板被改装，植入芯片，该芯片可以对无人机获取gps地位数据存储的内存地址停止修正，包括修正经纬度和飞行高度等数据，从而避开禁飞规则，例如在禁飞区飞行。

　　 2、测评技术

(1)规则无人机户外任务时应满足的温度、湿度、防水、防雷、电磁兼容性等要求。

(2)设备平安:无人机应在启动时检测本身顺序的完好性，可以检测出顺序被毁坏或Hook的状况，并往后台报警。

(3)密码使用平安:无人机应采用拥有国度商用密码主管部门颁发的《商用密码产品型号证书》的密码模块或芯片，保证存储的和传输的数据的真实性、完好性、秘密性和抗承认性。一切触及私钥的密码运算均在密码芯片或模块中完成，密钥不得以明文方式呈现在密码芯片以外。

(4)后台平安:平安管理中心检测到节点设备本身的完好性被毁坏后，应可采取必要的应对措施。

(二)智能摄像头/智能路由器物联网零碎测评

1、背景引见

在对某触及前端是智能摄像头和智能路由器的零碎测评中，经过访谈发现已经发作过前端设备参数被修正、被植入歹意顺序、重刷歹意固件的平安事情，形成采集数据泄露到第三方。

　 2、测评技术

(1)前端设备应依据装维人员和管理员等不同角色设计平安战略，包括拜访控制战略和平安接入方式。

(2)关于装维人员，允许经过WiFi或有线衔接等方式接入设备停止使用级配置，配置页面要停止扩充，例如只触及网络衔接的配置。密码长度应该保证一定的强度，并活期改换。

(3)关于管理员，允许经过WiFi或有线衔接等方式接入设备停止零碎级配置。设备要经过Mac与IP地址绑定等方式限制管理终端的接入。密码长度应该保证一定的强度，并活期改换。

(4)设备应支持在启动时经过零碎引导顺序(bootloader)检测本身固件的完好性，可以检测出顺序被毁坏或Hook的状况，并往后台报警。

(5)应采用拥有国度商用密码主管部门颁发的《商用密码产品型号证书》的密码模块或芯片，保证存储的和传输的数据的真实性、完好性、秘密性和抗承认性。一切触及私钥的密码运算均在密码芯片或模块中完成，密钥不得以明文方式呈现在密码芯片以外。

(6)平安管理中心检测到节点设备本身的完好性被毁坏后，应可采取必要的应对措施。

 

引荐阅读

　　 等级维护经过评测后应该留意哪些

　　等保任务必需展开　　《中华人民共和国网络平安法》(以下简称《网络平安法》)自2017年6月1日开端实施。其中，《网络平安法》第二十一条明白提出：国度实行网络平安等级>>> 详细阅读

本文标题： 等级维护视角下的物联网平安测评

地址：http://www.lgo100.com/jishu/dengbao/305180.html

  1 / 2     1   2   下一页