面对物联网终端风险及等保20有关要求物联网安全到底该如何做?
来源:环球视频app下载 发布时间:2024-03-12 00:41:53原标题:面对物联网终端风险及等保2.0有关要求,物联网安全到底该如何做?
由CSA大中华区和谈思实验室(Taas Labs)共同主办的网络安全线日圆满举行。此次直播特邀物联网行业知名专家安恒信息物联网安全事业部产品总监王辉、青莲云售前首席技术官文黎力,带来智能终端互联风险分析与可信互联的安全体系实践分享,深入解读了应对物联网安全应该采取哪些有效措施,并根据具体物联网应用场景和实践,进行具体案例分析,干货满满。
首先,由安恒信息物联网安全事业部产品总监王辉进行分享,话题为“物联网终端智能防护与可信互联应用实践”。
王总表示目前物联网的安全形势并不乐观,根据《2018年中国互联网网络安全报告》显示:2018年CNVD收录的安全漏洞中,联网智能物联网设备的有2244个,同比增长8.0%,涉及类型包括设备信息泄露、权限绕过、远程代码执行、弱口令等,涉及设备类型包括路由器,网络摄像头等,可见在IOT设备中,隐患无处不在。
感知层,它会有大量物联网感知终端,很多类型,很复杂多样。这些海量的物联网终端也是物联网最核心之一,也是这个终端组成物联网的整个网络。
网络层,有有线和无线,也就是我们传统互联网的网络传输机制。接下来还会有5G,5G对物联网也会是一个很重要支撑,也会催促物联网更加快速和大规模的发展。
应用层,有各种各样的物联网应用场景,比如智慧医疗、智能家居、智慧生活等,会有不一样的物联网云平台应用。
1) 资产类型数量庞大,导致它面临更多的风险和入口,网络边界更难划分,很难针对它进行一些逻辑或者完全的物理隔离。
2) 通信协议类型复杂,比如ZigBee、NB-IoT、5G等。这就导致了我们在网络层进行防护检测等技术时,会面临各种各样的问题。
3) 业务应用类型繁多,在不同场景,不同物联网业务类型下,采取的安全手段和安全方案也会不一样。
针对物联点和安全风险,之前其实是没有有关标准和要求,但是从去年颁发的等保2.0,专门提出了针对物联网安全的要求。其中除了通用的安全要求,还会有物联网扩展的有关技术要求。王总为大家总结了等保2.0三个层次要求:
感知层,作为一个重点,也是等保2.0专门强调的感知节点安全和网关节点安全。对合法连接设备的标识和鉴别能力的要求及数据安全的加密。
网络层,会有区域边界访问控制和区域边界准入控制,以及协议过滤与控制这方面的要求。
针对物联点和面临的风险,以及等保2.0有关要求,物联网安全该如何做?
其实之前也有一些相关这类的产品、相关的方案,比如物联网安全网关,做一些签名防护机制,其实它的效果是比较有限的,因为它是对已知的黑IP和非法行为进行阻断。但是对于新型的攻击,恶意入侵等,其实它是很难起到效果。另外就是入侵防御。入侵防御大多是基于应用层的协议防护来做的。因为物联网网络类型网络协议很复杂,导致了它很难实施,很难针对各种协议做这种防护。还有一个就是安全隔离,用的比较多。比如说在线视频。但是限制比较大。在一些关键入口,关键节点能够最终靠安全隔离来做限制。但是对于内部复杂的区域,这种安全限制和隔离是很难的。
安恒经过很多探索,也对物联网进行了深入的研究,发现其实物联网面临的最本质的问题是物联网终端的安全问题。
针对物联网安全终端,我们会使用一个轻量级的物联网安全产品—物联网安全心。它可以内嵌到各种物联网终端设备,比如说摄像头、车联网、智能家居的智能音箱、路由器等中。安全心可以对这些终端进行安全防护,同时能跟物联网终端安全态势感知中心进行联动,进行数据上报、处理和分析。并会对异常事件进行预警。一经发现异常行为,能更加进一步下发处置阻断的策略和手段。
除此外,还有物联网安全监测、物联网威胁感知等技术产品和技术方法。整个方案是从前端防护,到实施审计和可信管控,以及态势感知进行设计的。
安恒研发了一个叫高速互联网空间安全探测引擎,它可以对全球网络上的物联网终端进行扫描和监测。它有两个特点。第一个是效率高,可以两个小时扫描全球40多亿的IP。另外一个是识别的资产类型很丰富。基本上主流物联网终端包括工控物联网的一些服务,都是能支持和识别的。里面采用了异步无状态的这种探测的技术,确保了效率。非常适用于物联网网络中的海量终端、海量资产的识别,和安全风险的漏洞探测。它能做到周期性监测。对指纹的变化,对异常的替换,或者非法接入等也能够直接进行有效的识别。
它是面向摄像头、机器人、车联网等终端,以非常轻量级的SDK嵌入到这些终端,实现自我安全防御。同时它具有感知能力,可以感知到内部异常,以及周边来自其他终端非法行为和资产。
采用数据端到端的数据加密的技术,来保障数据安全。异常数据会和物联网安全态势感知平台做联动。联动之后,平台会对这一些数据进行分析,建立自学策略,建立网络关系白名单。当发现非法的攻击和扫描时,会对攻击源进行判断,进一步下发阻断策略,对攻击源进行处置阻断。处置过程是从终端监控到威胁分析、策略下发和攻击阻断这样的流程化的智能防护的手段。
针对终端进行异常行为监测和分析,可以判断这些异常行为是个类型的。真正的攻击源是不是来自物联网网络内部的其他资产,或者其他被控制的受控源。对这些终端,我们可以进行追溯分析,追溯之后就可以判断,其他网络终端周边的资产,是不是异常,是否存在风险和威胁。
现在其实有一些终端会采用芯片加密,或者内线加密。但是其实真正物联网的数据加密,应该是一个体系化能力。我们采用的是一个动态的寿命加密体系。它在物联网终端数据传输的时候,可以对数据来进行加密。同时这些密钥是可以进行周期性更新的,可以对不同的设备类型,不同的传输通道,能做到不同的加密算法,有效保证了数据传输更安全,更加难以遭受到破解造成的隐私泄露。而这里我们会用到一些国密算法,使用SM2、RSA、AES、ABE等,来帮助建立完整的加密流程。然后我们还用到被动的威胁感知技术。通过被动流量监测分析来发现物联网网络中的异常行为。
王总分享了一些解决方案场景的应用实践案例。首先目前应用比较多的视频监控。解决方案里面覆盖的内容是什么呢?
针对前端摄像头,可以对IPC、NMI感知终端进行安全保护,包括实现认证能力。通过边界去部署物联网安全监测平台,视频准入网关,能做到边界安全。核心网络层能够最终靠防火墙,入侵防御,以及安全防护的安全网关可以在一定程度上完成网络层的安全防护。在数据存储区、业务应用区和运用管理区,可能会用到一些传统的安全产品,对数据安全、业务安全和运营安全起到有效保障。
还有个物联网很重要的应用场景-电力物联网。电力其实有大量的物联网终端。比如智能电表、智能电表集中器、电力视频探头、电力巡检机器人、传感器,边缘智能处理的智能网关等。他们对感知终端有安全可信感知的要求。首先能保证对这些接入的终端的安全情况做实时的感知。然后就是确保链路安全,可以在一定程度上完成加密和数据的可信互联。然后在这个因为对于不一样的这种终端,它安装安全心,通过远程监测、被动流量等限制手段,可以去感知去管控每一个终端的安全情况,从而判断每一个终端面临的风险和威胁。
新基建对车联网的发展影响是非常大的,后续必然会有大量的智能汽车接入车联网中,这些车联网终端其实也存在各种各样的安全风险。面向这些终端,安恒有专门的车联网安全心的车联网态势感知解决车联网的安全问题。除了针对这个车联网终端,比如T-BOX,还有车机的主控系统能做一些内核的系统底层的安全防护、漏洞修复以及权限管理。对于系统应用也会采取防护机制。其中用到了Root防御引擎、内核防护引擎和反劫持防护引擎。
电信、移动联通等每一年会有大量的SIM卡。运营商会在一些智能家居智能终端网络中运用。面向运营商的物联网终端,主要关注:
针对运营商的需求,安恒是通过全新技术方法建设新平台方式来解决运营商物联网安全。比如说会用安全能力的物联网卡,具有安全能力的安全网关SDK跟运营商的物联网终端结合,提升安全防护能力,实现终端自主免疫。基于各种手段、技术和产品,形成全面的监测与安全态势感知。
同时王总也分享了智慧消防、智慧停车、充电桩等物联网安全应用场景,并在直播中和听众积极互动,针对大家提问,进行了专业的解答。
物联网安全直播第二场,分享嘉宾为来自青莲云的售前首席技术官文黎力。文总分析物联网典型安全漏洞与危害,并结合CSA物联网安全设计指南和等保有关要求,详细的介绍如何构建物联网端到端的整体安全架构。
文总首先谈到,物联网将慢慢的变成为网络攻击的主要区域,物联网安全预算也是呈逐渐上升的趋势。未来平均1家企业将会有11种智能终端设备应用,这些设备会来自于5家不同的物联网设备制造商。Gartner18年技术成熟度曲线中提到,物联网安全处于期望膨胀期状态。物联网技术处于快速地发展期,安全事件层出不穷,并且它攻击的频率,攻击增长线,绝大多数都是指数增长方式。
2015年 黑客通过SkyJack技术入侵无人机系统并通过智能手机组建“僵尸机队”;
2016年美国东海岸断网,超过1.27亿DDOS攻击事件,主要为物联网僵尸网络发起的DDOS攻击;
2) 一旦物料设备发生网络安全事故,它很有可能会造成整个业务系统的瘫痪。
从10个漏洞能够正常的看到,本身物联网设备在设计之初,不进行业务相关安全逻辑设计梳理的话,非常容易就预留下对应的安全漏洞。比如说非常典型的弱密码、不安全接口,不安全的组件等漏洞。一旦被利用,就会造成物联网安全事故。
接下来,文总对整个物联网架构进行了梳理。物联网是端到端的结构,在网络安全风险中,典型的就是在感知层设备。一方面设备本身可能会存在一些像病毒入侵、口令破解,、后门植入、数据篡改等程序。另一方面,整个设备与平台做相关交互中,它存在,比如身份,数据保密性,完整性,可用性,整个的相关破坏。
整个物联网平台,尤其是技术快速地发展的云计算中,会用到云平台的组件来组成物联网系统。平台可能会面临着像典型的DDOS攻击、SQL注入等风险。另外与我们业务高度相关的,比如说我通过管道设备去靠近、与平台做不相干的、无效的通信,来耗尽整个平台的资源。所以平台应用层会有大量的风险。还有商业的物联网系统,可能会存在一些APP等外部应用层,也会有想要的外部风险。物联网安全会呈现一个端到端相应安全风险。
根据青莲云拿到的数据分析能够正常的看到,目前市场上平均一款的IoT设备包含33.96个安全漏洞,大多分布在在非必要的网络连接、开放的调试接口、弱密码、系统漏洞、硬编码口令、不安全的第三方库、明文传输、以及不安全的OTA机制等。
关于2016年DDOS攻击事件,利用了摄像头、网关、路由器等设备,植入Mirai僵尸病毒,组成了僵尸网络,攻击网络实体,造成了网络安全事故。青莲云做了物联网设备端攻击链的分析。当黑客组建物联网僵尸网络,进行网络攻击的时候,他不仅利用典型的弱口令等漏洞,也会利用系统当中存留下一些业务漏洞。
今年2月份,有黑客组织声称九安摄像头有大量的漏洞,这个漏洞不是常见的弱口令类似漏洞,而是通过外部的CGI指令,获得相关Root权限,获取系统当中设备权限。通过关闭防火墙,安装软件,实现病毒植入。典型的如DDOS这样的僵尸病毒,可以把这样的设备,作为挖矿软件的一个非法挖矿机,去实现组成网络黑产。黑客实现攻击后,会清理整个入侵行为。此时由于缺乏相应安全机制,物联网设备在不被知晓的状态下被入侵。
物联网安全入侵有一个非常典型的特点,即能够最终靠自动化脚本进行批量化的内网或者局域网感染,通过这样的脚本在网内找有相关漏洞的同类型设备,然后快速地组建僵尸网络,从而形成大规模的可攻击的网络实体。当黑客想要攻击平台时,会通过C C的指令,下发到网络实现攻击。
如果不对这些漏洞进行整顿的话,将会造成隐私数据泄露、平台没办法提供正常服务、勒索与敲诈、页面篡改以及数据完全丢失业务停摆等风险。曾经国内某物联网云平台发现存在越权漏洞,由于系统校验不严,导致敏感信息泄露、设备任意控制,影响超10万用户,多个厂商的69类产品。
国内有一个非常有名智能家居的实例,利用APP漏洞实现非法控制设备。利用APP可以在局域网中控制设备的特点,经过扫描互联网发现家庭路由器,并利用弱口令或设备漏洞获得路由器的shell权限,并通过APP漏洞获取到的Token进行非法控制。
物联网包括设备端、平台端、应用端等,某一方出现安全风险,都可能会造成总系统的安全风险,引发总系统的安全事故。如何去构建安全的物联网架构呢?
结合CSA物联网安全设计指南和GB/T 22239-2019网络安全等级保护基本要求,它其实是一个分层的架构,从感知层到网络层到处理应用层,处理应用层分为平台层和应用层。设备包括接入安全,通信安全,系统安全,硬件安全,物理安全,网络安全边界相关的建设。在使用互联网应用协议,如ftp协议、coap协议等,在进行传输的时候,安全性如何考量。
CSA物联网安全设计指南对整个物联网系统,从安全体系到安全架构、安全定级、生命周期、身份合规、安全可信、网络传输、数据隐私保护、传输加密、安全运营等所有的环节都提出了相应的安全建设建议和措施。青莲云也参与了整个安全指南的编制与翻译等工作。建议在物联网安全建设中,可以借鉴CSA物联网安全设计指南。
等保2.0对整个等级保护对象进行了详细的划分。除了通用的计算机系统之外,它对云、移、物、工等提出了专门的安全扩展要求。它对于整个物联网感知层提出了整体的安全扩展要求,包括物理环境、通信网络、区域边界、计算换将及管理中心。
文总随后还具体总结了物联网安全维度,包含设备安全、数据安全、扩展安全、应用安全、平台安全和网络安全。
青莲云提出了物联网终端安全管理系统产品—TinyEye。在物联网设备放置Agent,一个小的进程,它会实时监控系统运行当中的行为,比如账号、口令、Shell、流量、进程等,形成整个安全管理和安全监控体系。其背后有一个云安全中心,会对整个设备正常运行期间的安全基线来管理,通过基线对比,能够实时发现系统中存在典型异常,如文件增删改、异常用户登录、异常进程、异常端口。
文总还分享了不同场景下的安全解决方案,例如智慧社区、公寓、楼宇整体安全解决方案、数字控制机床安全接入解决方案、视频监控整体安全解决方案等。最后,直播在听众的提问互动中圆满结束。