1+X网络安全项目在物联网专业的运用

邓坤

（云南能源职业技术学院 云南省曲靖市 655001）

1 引言

物联网（IoT）创造了一种新的范例，其中能够相互通信和设备网络推动企业中的新流程创新[1]。对物联网系统的普遍且不断增加的网络安全攻击已导致个人和组织在声誉、财务和业务运营方面遇到各种各样的问题。网络攻击的快速增长部分是由于IoT 设备在智能电网、环境监控、智能制造和物流等领域的迅猛增长。由于设备之间连接的动态和瞬态性质，能够在IoT 系统中进行交互的多样性和资源限制，因此IoT 的安全性管理具有挑战性[2]。由于物联网设备上的网络攻击数量不断增加，物联网安全法规不断提高以及对安全性的关注日益增加，预计从2018年到2023年，全球物联网安全市场将以33.7%的年增长率增长[4]。物联网设备都存在安全限制，并且组织需要积极地进行投资以投资于物联网网络安全。

尽管安全措施薄弱，但是现有的风险评估方法不适用于诸如物联网等动态系统[5]。例如，现有的风险评估方法不能充分设计用于医疗物联网系统的1+X 网络安全风险评估，而医疗物联网系统的复杂性会使攻击者面临广泛的攻击点。围绕标准平台开发物联网系统可以帮助组织制定物联网安全措施，而不会无意中增加网络风险[6]。物联网1+X 网络安全的目的是通过保护物联网资产和用户的网络安全风险[7]。以前的大多数研究都集中在物联网网络安全的技术方面。但是，缺乏全面的风险管理框架来解决物联网系统中复杂的1+X 网络安全问题。在物联网网络安全风险管理差距的背景下，本文回顾了物联网网络安全技术和网络风险管理框架。新的1+X 网络安全技术不断涌现，并为物联网1+X 网络安全管理提供了机遇和挑战。

2 1+X网络安全项目在物联网系统的独特性

鉴于网络威胁和物联网系统漏洞的独特性，开发新的物联网网络风险管理框架需要了解物联网1+X 网络安全技术和现有的网络风险管理框架。这项研究填补了物联网1+X 网络安全风险管理中的空白，并旨在引起对物联网1+X 网络安全风险管理感兴趣的任何人的进一步兴趣。例如，现有框架没有向管理者提供任何资源分配方法。由于没有资源分配方法，因此任何网络投资决策都是缺乏直觉根据，拟议的物联网网络风险管理框架解决了这一缺陷。例如，随着5G 的发展以及相关的支持5G 的IoT 开发的发展，网络攻击也将在支持5G 的IoT 服务中变得更加普遍，例如无人驾驶汽车，增强现实和虚拟现实以及智能患者监控[8]。随着物联网应用程序的迅速采用，管理人员需要了解网络风险管理流程，以更好地为不断发展的攻击者做好准备。这项研究通过介绍可用于开发和部署安全的IoT 系统的风险管理框架在物联网专业的运用。

3 物联网架构中的1+X网络安全

由于物联网架构的每一层都有独特的安全性问题并与其它层进行交互，因此应针对整个架构考虑安全措施。通过物联网架构的视角对1+X 网络安全技术进行的文献综述，有助于我们对物联网1+X 网络安全有一个系统的认识。以下内容基于物联网专业的五层体系结构，并着重于层级1+X 网络安全问题和解决方案。

3.1 感知层的1+X网络安全

物联网设备被设计为低能耗、轻量级的，但它们通常会实时从环境中收集大量数据，因此应用了各种节能方法。诸如机器学习之类的技术通常用于从生成的数据中做出可靠的推断。但是，由于设备的资源有限，将计算密集型安全性和隐私措施嵌入轻量级的IoT设备已成为一项挑战。感知层的主要安全问题之一是克隆用于网络攻击的设备芯片。例如，克隆可用于发起分布式拒绝服务（DDoS）攻击，物理不可克隆功能（PUF）已用于芯片的身份验证和识别以及加密密钥生成[9]。PUFs 芯片通过防篡改、设备识别、认证和防止克隆设备来增强安全性。由于物联网设备的组件通常是在资源受限的组件上实现的，因此需要轻量级的PUF 设计。虽然PUF 不可克隆，但是一旦提取PUF 密钥，就可以克隆它。因此，提出了许多基于PUF 的身份验证协议。物联网1+X 网络安全的增强需要手动执行任务，并与制造商和第三方一起解决风险。物联网1+X 网络安全需要考虑设备安全、数据安全和个人隐私。认证IoT 设备的安全级别对于实现IoT 设备的接受至关重要，但是IoT 设备的动态性和异构性使得从技术和法律角度来看，1+X 网络安全认证框架的开发都很复杂。

3.2 感知层的1+X网络安全

在物联网系统中，网络层对于整体物联网安全性能起着至关重要的作用，因为通过网络进行安全的数据传输对于设备，处理站和整个物联网系统的功能至关重要。入侵检测系统（IDS）用于检测攻击，采取纠正措施并监视数据包。IDS 部署了各种入侵检测技术：用于异常检测的统计分析；行为和尝试的入侵对入侵进行分类的进化算法；协议验证，对可疑行为进行分类；数据挖掘技术，例如随机森林法；深度学习来对网络违规模式进行分类。深度学习模型显示出以97.16%的最高准确率检测DDoS 攻击的有希望的结果。据估计，1+X 网络安全市场的1+X 网络安全部分将在2018年至2023年期间构成1+X 网络安全的最高组成部分，而物联网应用程序的日益普及是增长的关键因素[10]。

3.3 处理层的1+X网络安全

5G、无服务器和雾计算物联网系统等新技术的发展应该能够针对各种安全网络攻击提供更好的保护。机器学习和人工智能还将显示出巨大的潜力，可以为IoT 系统提供比传统方法更高的实时预防、检测和恢复措施。物联网安全平台需要提供端解决方案，以提供安全的物联网系统，以统一多个供应商的异构设备和应用程序。云计算和雾计算已成为处理层的标准技术，用于同时存储和处理从大量IoT 设备生成的大型数据流。雾计算使用网络设备对收集到的数据进行延迟感知处理。在雾计算中，可以在雾节点上使用IDS 来检测入侵。在雾计算中使用IDS，虚拟蜜罐设备（VHD）和Markov 模型的混合方法在识别恶意设备以及降低误报率方面显示出令人鼓舞的结果[11]。处理层可以通过将数据发布和存储为系统中每个用户利用区块链。

3.4 应用层的1+X网络安全

监控和控制、大数据和业务分析以及信息共享和协作是广泛使用的企业物联网应用程序。智能家居、智能交通、智能健康和智能电网等不同的应用领域需要不同的安全管理方法。例如，智能健康处理高度个性化的数据，并需要高级别的安全性和隐私保护。由于物联网应用程序可能归第三方服务提供商所有，因此这些应用程序上的网络攻击可能会影响其他相互关联的应用程序的安全性。通过各种解决方案解决，例如密钥管理、访问控制、异构网络身份验证、私有信息保护和数据安全保护。

3.5 服务管理层的1+X网络安全

与其它层的技术风险不同，服务管理层的网络安全侧重于1+X网络安全的人员和组织方面。信任和隐私问题与物联网服务管理有关，因为这些问题影响物联网服务和应用程序的使用。安全和隐私威胁在云服务的使用中变得普遍，必须通过保护设备和数据来保护受个人身份信息（PII）处理影响的个人隐私。在物联网开发的早期阶段纳入隐私保护措施对于建立信任和促进物联网系统的采用至关重要。但是，由于大多数物联网设备能耗低、重量轻，因此保护安全性和隐私性的任务颇具挑战性。一旦确定了网络解决方案并在IoT 网络评估层做出资源分配决定，就开始进行IoT 网络绩效活动。尽管该层对于整个风险管理很重要，但是讨论将是简短的，因为该活动主要是遵循在风险评估层做出的决定。物联网网络性能层的三项主要活动是实施、监视和控制以及持续改进。

4 1+X网络安全风险管理在物联网专业的应用

在学术界和行业中，有关物联网1+X 网络安全风险管理在物联网专业的应用的研究较少。因此，这篇文献综述不仅限于物联网中的1+X 网络安全风险管理。研究大致分为网络安全风险管理的定性和定量方法。研究物联网1+X网络生态系统由利益相关者组成，他们通过协作和竞争方式与物联网系统进行交互。物联网网络生态系统的利益相关者包括物联网网络安全技术开发人员、外部用户和标准化组织。物联网网络生态系统的变化需要网络安全管理人员迅速关注，以制定适当的安全响应措施来保护物联网系统。

此层的网络安全技术是指内部网络技术资产。物联网网络生态系统中的物联网网络安全技术开发人员具有高度相关性，可以帮助组织找到并建立强大的物联网网络安全技术。内部网络安全技术应支持组织的总体网络安全目标以及IoT 网络安全目标。常见的物联网网络安全技术包括入侵检测系统或入侵防御系统。网络安全技术分为三大类：确保信息机密性的技术；检测和应对在线威胁和漏洞的技术；以及检测和应对网络犯罪的技术。网络安全技术伴随着身份验证，身份验证涉及证书和凭据的管理。

4.1 1+X网络安全风险管理的定性方法在物联网专业的应用

有多个相互竞争和相互补充的风险管理框架。美国国家标准技术研究院（NIST）的网络安全框架是最受欢迎的网络安全框架之一。框架由框架核心，实现层和框架配置文件组成。框架核心描述了1+X 网络安全计划的五个功能在物联网专业的运用。实施层描述了组织的网络安全管理实践，展示这些层中定义的网络安全特定功能的程度。组织可以使用框架配置文件通过将当前配置文件与目标配置文件进行比较来确定改善其网络安全状态的机会。尽管NIST 网络安全框架明确认识到与管理网络安全风险相关的活动是针对特定组织的，但风险管理问题仍得到了一些解决。ISO/IEC 27005 是由国际标准化组织（ISO）和国际电工委员会（IEC）制定的一组标准，它为管理人员提供了实施和管理信息安全风险的指南和技术。虽然ISO/IEC 27005 提供了一系列结构化的活动序列，但并未直接采用任何特定的风险管理方法，并且组织应根据信息安全管理系统的类型，风险管理的状态和特定于行业的安全问题。

4.2 1+X网络安全风险管理的定量方法

本节回顾了一些专注于1+X 网络安全风险管理定量方法的研究。定量方法倾向于将研究范围缩小到网络风险评估。贝叶斯决策网络（BDN）被应用于1+X 网络安全风险管理框架在物联网专业的运用。该框架由几个基本过程组成：风险评估、风险缓解以及风险验证和监视，应该准确地完成这些过程以提高网络的安全级别。BDN 对管理安全风险所需的信息进行建模，例如有关漏洞的信息、降低风险的对策以及在漏洞上实施这些措施的效果。在风险缓解过程中，使用改进的贝叶斯推理算法对风险缓解进行成本效益分析。他们的实验表明，由于准确的风险评估和适当的风险缓解，他们的框架极大地帮助改善了网络安全性。该框架的实施遵循一系列活动：启动风险评估，识别和评估资产，识别网络安全威胁，评估漏洞资产（维度）元组的破坏程度，测量风险并执行对策。但是，该研究没有提供支出决策的操作细节，也没有解释如何在多个网络安全项目之间分配财务资源。

5 结论

IoT 一直是智慧城市、智慧电网、智慧制造、智慧健康、无人驾驶汽车和无人机的基础组件。随着越来越多的连接设备被引入物联网网络，潜在的安全风险呈指数增长。物联网系统缺乏安全性，为入侵者和黑客提供了访问关键基础架构和敏感数据的机会。但是，由于缺少物联网1+X 网络安全风险管理框架，组织很难对物联网网络风险管理和投资做出有效的决策。本文回顾了物联网1+X 网络安全技术和网络风险管理框架。然后，本文提出了物联网网络风险管理框架在物联网专业的运用：物联网网络生态系统层、物联网网络基础设施层、物联网网络风险评估层和物联网网络性能层。具体来说，物联网网络风险评估层可识别，量化并确定物联网网络风险的优先级。