2018年企业物联网安全产业发展研究综述*

2019-03-08孟庆森

网络安全与数据管理 2019年2期

张帅，杜君，孟庆森

(北京网御星云信息技术有限公司，北京 100191)

0 引言

随着5G、边缘计算等新技术的发展，推动新的物联网基础设施不断投入应用，产业互联网成为各大企业竞相追逐的未来的战略高地，聚焦企业服务，物联网安全全面进入快速发展期。预计2021年将会有251亿物联网设备接入互联网，年增长率32%[1]。从中国智慧城市技术曲线[2](如图1所示)中可以看到，物联网技术已经逐步成熟，包括智慧建筑、城市机器视觉、智慧运输交通、智慧安防等都依赖于物联网基础设施的建成。

技术变革带来新的安全问题。2018年物联网典型安全事件[3]如表1所示，从智慧城市、工业互联网等关键信息基础设施领域，到汽车、人体医疗设备、智能门锁等关乎人民群众生命财产安全的关键设备等，物联网安全问题全面爆发。

风险仍存，动之徐生。网络安全态势会随着基础设施的变革而动态变化，不断演进，物联网安全成为关键基础设施保护、工业互联网和智能制造最重要的X因素。虽然暴露出很多问题，但目前企业对物联网安全的重视程度，以及上下游厂商对安全生态的开放情况仍不容乐观，安全产业仍需要通过安全产品的创新和商业模式的改进来完成与新一代基础设施的融合。

1 政策规范

各国政府均高度关注物联网安全问题。美国于2016年发布了《物联网安全指导原则》，欧盟于2017 年发布了《关键信息基础设施领域的物联网安全基线指南》，目前正在起草新的网络安全标准，主要针对物联网设备划分网络安全等级。中国于2017年正式实施了首部《中华人民共和国网络安全法》，并针对物联网安全先后出台产业政策规范。如表2所示。

图1 中国智慧城市技术曲线(Gartner-Hype Cycle)[2]

时间事件影响2018年1月“捉迷藏”(HNS)IoT僵尸网络,掌握IoT“肉鸡”设备9万台可随时发起大规模DDos攻击2018年12月M2M协议存在漏洞允许黑客操纵警报系统、篡改传感器数据,导致城市混乱2018年8月智慧城市多家供应商漏洞多水库恐被一夜清空2018年8月仅 2018 年第一季度,全球医疗设备召回总量超过 2.08 亿台,包括心脏起搏器等不接触受害人实施暗杀2018年12月黑客攻击全球打印机,宣传YouTubePewDiePie频道攻击内网多款智能门锁被轻易破解危害家庭财产安全

表2 物联网政策规划(2013—2017)

续表

随着国家政策的引导和网络安全战略的实施，物联网技术和物联网安全技术得到快速发展。随着5G技术、智能技术的推广落地，数字中国、智慧城市、工业互联网、智能制造、车联网等领域得以不断推进；安全作为“一体之两翼、驱动之双轮”，务必做到与时俱进。2019年网络安全等级保护2.0颁布在即，保护等级和技术手段全面提升，必将为物联网安全产业发展带来巨大的市场空间。保护对象从传统的网络和信息系统，向“云大物智移”上扩展，物联网成为核心的扩展保护场景；从技术手段上重点规范了感知层节点的防护和安全能力。如表3所示。

表3 等保2.0物联网扩展要求[4]

2 物联网技术面临挑战与机遇

从场景定义上来看，物联网场景分为企业端和消费者端两大类。

(1)企业端：如智慧城市中(智能水表、智能电力、智能燃气、环保监测设备等)、智能安防(智能门禁、烟感消防、视频摄像头等)、智慧交通(车联网、智能信号灯、高速ETC、充电桩)和智能工业(工业机器人、数控机床)等；

(2)消费者端：如智能穿戴设备(智能手环、手表、眼镜等)、智能家居(智能插座、音响、照明灯、门锁)等。

本文重点侧重企业端(2B)物联网安全的产业调研和技术分析，从其安全需求和防护手段上来看，物联网比传统的网络安全存在更多挑战，如：

(1)不易改造：在不接触物联网设备的固件和操作系统的情况下实现安全防护成为多数应用场景下的必要条件。因此传统领域的端点安全(AV、HIDPS)防护并不适用；

(2)碎片化：非标准化导致物联网设备无法在统一工作流中实现集中管理，传统安全领域中的补丁管理系统难以应用；

(3)轻量级：硬件资源(内存、电源/电池)以及嵌入式操作系统对安全方案的要求更高，轻量级成为核心诉求。因此传统的认证和加密算法难以满足实际需要。

与传统网络安全应用场景进行对比，物联网安全的需求和技术手段虽有挑战，但又万源同宗，既有交融又有优势：

(1)应用场景交融：IoT与BYOD(Bring Your Own Device)对安全防护技术手段的要求或限制类似(如难以安装插件、无法更新补丁、可视化能力差等)，因此很多传统安全产品可以针对IoT场景优化后使用，如图2所示；

图2 IoT与BYOD相似的安全挑战与应对[1]

(2)生产资料共通：网络安全最大的生产资料是流量，物联网的流量与传统网络流量相比虽有差异，但分析方法论不会变，基于流量安全分析已成为物联网安全的核心技术路线；

(3)行为简化是优势：传统的网络和行为极其复杂，难以预测。很多威胁检测、行为学习方法等虽然每年都层出不穷，但很难取得满意的效果。而物联网设备相对固定的行为却可以让很多算法发挥极致作用，给机器学习在网络安全中的应用提供了最佳的场景。从产业化的实践经验来看，效果也是非常明显，误报率也非常低；

(4)安全需求相同：资产发现、微分段隔离、准入、设备认证、加密和传输优化等仍然是最有效的防护手段。

3 发展及建议

3.1 国外技术发展路线

基于物联网安全技术挑战的分析，叠加安全的差异化需求，2018年国外物联网安全市场推演出了三条主要的技术路线，如图3所示。

图3 物联网安全技术路径

(1)物联网发现可视化管控

当企业网络中大量的物联网设备出现后，安全木桶短板理论凸显，物联网设备在全生命周期中的安全管控[5]成为刚需，核心的技术如下：

1)设备识别发现：能让客户精确的获取物联网和工业控制各类设备的详细信息，并精准分类和画像，构成物联网安全的基础。该技术难点在于支持复合的识别算法包括积累海量的设备指纹、支持大量的协议识别、交互问询和Banner识别解析等。业内面向广域网和监管侧需求的厂商，如Shadon等；面向企业网的厂商有国外的大量初创安全厂商，如Greatbay、Forescout和Bastile等；

2)设备仿冒检测和按需通断：物联网设备往往都部署在户外，难以做到实时物理管控，因此实时的仿冒检测非常重要；同时由于物联网设备存在弱口令和安全漏洞偏多的问题，常被作为入侵跳板，这是目前物联网面临的核心的安全威胁，依靠无代理架构的微隔离和准入等技术来实现按需通断，无须改造设备，是最有效的防护方法。如国外的Forescout、飞塔和Nozomi等厂商；

3)流量分析和行为学习：物联网设备行为相对固定，基于AI的流量载荷分析通过对设备进行行为学习，可以精准识别异常，误报率相对较低。国外的NTA和AI安全厂商如Cisco和Vectra都推出了相应产品，其中基于AI的流量分析是Vectra产品的核心；

4)伪装欺骗：基于物联网设备行为相对固定的检测前提，通过模拟IoT通信协议和设备来实现伪装、欺骗攻击者，进而来识别攻击和取证分析，具备很好的应用效果。目前业内既有部署伪装技术到广域网来收集威胁情报(如Skyhigh等)，也有部署到企业内网来检测攻击并与网关类产品联动进行防护。如国外的Attivo和Illusive等都基于伪装技术来提供工业控制和物联网场景下的解决方案。

(2)物联网安全接入

古老的身份认证和链路加密的话题在物联网场景下需要新生，由于系统资源的限制必须考虑轻量级的解决方案。针对认证和加密，很多存量的物联网设备都是采用明文传输，既缺失双向认证同时又难以改造，此时可以外置部署密码盒子。被改造的物联网设备需要考虑轻量级认证和加密算法，国外的厂商DeviceAuthority和DigiCert都在该领域提出解决方案；

(3)物联网设备安全加固

由于物联网设备的碎片化和细微化，导致传统的终端安全方案无法使用。目前业内普遍采用在系统层面进行可信改造和加固来提升设备自身的安全性，同时辅以安全服务。

1)安全服务：提供安全开发和渗透测试等服务，来解决物联网设备在研发和产品系统中存在的安全问题及漏洞，并进行改进和修复。一般通过安全服务项目或者众测平台的商业模式来提供服务；同时一些商业巨头也通过组建自己的安全团队来提升设备的安全性。

2)可信及加固：国外传统的硬件厂商如英飞凌、ARM等厂商提供基于TPM可信芯片为基础的加固方案；Macfee和赛门铁克以终端起家的安全厂商会提供基于强制访问控制技术(如进程白名单、内存防劫持和存储安全等)的安全软件或定制嵌入式系统来进行加固；还有一些致力上层应用加固的厂商主要解决云管端场景下，手机或PAD上相关物联网APP应用的安全问题。

3.2 国内发展现状及建议

在国家的战略引导以及巨大的内需市场背景条件下，国内的物联网的产业应用整体势头强劲，与国外相比不落下风；同时由于在5G、车联网等技术的前瞻性布局，未来国内物联网产业发展前景十分可期。与此高速发展相对应，国内网络安全产业的发展速度还远低于国外，网络安全的投入占信息系统建设的比重仅仅在1%左右，而国际上普遍达到或超过5%。在物联网安全方面，由于企业重视程度还不够以及合规性政策的不成熟，产业生态和发展速度更是远低于国外。

针对物联网安全问题，国内企业在物联网发现可视化管控、物联网安全接入和设备安全加固三条技术路线上重点进行了布局。一是在物联网发现可视化管控方面，如启明星辰开发了物联网安全管控平台(IoT-VBox)在智慧城市、雪亮工程、电力等行业完成了样板局；网御星云、迪普科技、H3C、山石网科等国内企业也纷纷推出面向视频专网的安全解决方案。二是在物联网安全接入方面，网御星云面向电力行业也完成了物联网接入平台，对企业物联网设备实现轻量级的认证和安全加密。BAT的重点布局在云端(公有云、行业云)，为了适应物联网场景，相继开放了安全接入API，用于各类物联网设备接入其云平台。在工业互联网场景下，三一重工开发了根云用于其设备接入云端。三是在物联网设备安全加固方面，国内在可信计算方面投入比较多，但目前还很少能应用到物联网场景下。虽然国内企业在主流的技术路线上都有了布局，但产业推进速度远远低于国外。虽然起步并不晚，但技术的差距有可能在应用过程中逐步拉开。

在应用场景规模远远超过国外的有利条件下，应充分利用加强关键基础设施信息安全建设的窗口期，借助国内云计算、物联网、车联网等领域的建设规模优势，实现物联网安全产业孵化和壮大(如云安全、工业互联网安全、物联网安全和车联网安全等方面)，这也是实现关键信息基础设施领域自主可控的最佳路径。只有抓住了弯道超车的机会才能真正扭转我国在网络安全行业产业方面的劣势。国家需要做好顶层设计，出台相关政策法规来强化物联网安全的独立性和重要地位；企业需要结合国家战略需求，共同营造良好的产业生态，让安全技术和产业的发展顺应市场规律，找到客户的安全需求，最终形成规模效益和良性发展。具体包括在智慧城市建设中，要加强对云安全、工业互联网安全、物联网安全和车联网安全的统筹考虑，同步部署、同步规划、同步落地，加大安全在其中的投入比重，加大推广应用力度，使物联网安全产业在智慧城市建设中实现自我进化。