隨著物聯(lián)網(wǎng)(IoT)的發(fā)展，從手機(jī)和汽車到冰箱和燈開關(guān)，幾乎所有的電子設(shè)備都可以連接到互聯(lián)網(wǎng)。盡管物聯(lián)網(wǎng)看起來很有創(chuàng)意而且很方便，但這種趨勢(shì)也帶來了安全風(fēng)險(xiǎn)，具有操作系統(tǒng)的聯(lián)網(wǎng)設(shè)備有IP地址或者URL，并且它以任何方式接觸業(yè)務(wù)網(wǎng)絡(luò)或處理敏感信息的話，那么它就可能成為攻擊目標(biāo)。這些設(shè)備可能會(huì)成為攻擊者入侵企業(yè)的后門。
從技術(shù)架構(gòu)上來看，物聯(lián)網(wǎng)可分為三層：感知層、網(wǎng)絡(luò)傳輸層和處理應(yīng)用層，它將感知設(shè)備通過互聯(lián)網(wǎng)等網(wǎng)絡(luò)連接起來構(gòu)成的一個(gè)應(yīng)用系統(tǒng)，融合信息系統(tǒng)和物理世界實(shí)體，是虛擬世界與現(xiàn)實(shí)世界的結(jié)合。
如下圖所示：
面臨的風(fēng)險(xiǎn)
不同架構(gòu)下的物聯(lián)網(wǎng)產(chǎn)品，面臨的安全風(fēng)險(xiǎn)多種多樣，主要有以下：
-
拒絕工作：感知設(shè)備被攻破后，攻擊者可以采用破壞或修改配置的方式讓感知設(shè)備不能正常工作。
-
拒絕服務(wù)：破壞網(wǎng)絡(luò)的可用性，減少、降低執(zhí)行某一期望功能能力的任何事件。包括中斷、顛覆或毀壞感知層網(wǎng)絡(luò)，還包括在網(wǎng)絡(luò)中惡意干擾網(wǎng)絡(luò)中協(xié)議的傳送或者物理損害感知設(shè)備，消耗感知設(shè)備能量。
安全等級(jí)要求
等保規(guī)范將物聯(lián)網(wǎng)系統(tǒng)分為第一級(jí)、第二級(jí)、第三級(jí)和第四級(jí)物聯(lián)網(wǎng)系統(tǒng)。
安全要求分為：技術(shù)要求和管理要求，具體細(xì)分如下所示，每一個(gè)顏色代表一個(gè)安全級(jí)別要求（依據(jù)紅色的程度），比如第四級(jí)則必須滿足如下所示全部要求。
安全等級(jí)保護(hù)設(shè)計(jì)
明確風(fēng)險(xiǎn)和對(duì)應(yīng)的安全等級(jí)要求后，就可以進(jìn)行安全設(shè)計(jì)了！為便 于等級(jí)測(cè)試的定量定性測(cè)試，我們抽象出一般模塊進(jìn)行安全等級(jí)保護(hù)設(shè)計(jì)。
如下圖便是抽象出來的設(shè)計(jì)框架：在安全管理中心支持下的安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)三重防御體系。各級(jí)系統(tǒng)安全保護(hù)環(huán)境由安全計(jì)算環(huán)境、安全區(qū)域邊界、安全通信網(wǎng)絡(luò)和（或）安全管理中心組成。
物聯(lián)網(wǎng)安全保護(hù)須采用模型化設(shè)計(jì)，不同級(jí)別的物聯(lián)網(wǎng)系統(tǒng)都要滿足此模型。具體細(xì)分如下所示，每一個(gè)顏色代表一個(gè)安全級(jí)別設(shè)計(jì)要求（依據(jù)紅色的程度），比如第四級(jí)則必須滿足如下所示全部要求。
等級(jí)測(cè)評(píng)要求
在將安全要求落地到測(cè)評(píng)實(shí)踐中時(shí)，明確了上述事項(xiàng)后進(jìn)行物聯(lián)網(wǎng)系統(tǒng)等級(jí)測(cè)評(píng)就是水到渠成的事了。測(cè)評(píng)對(duì)象以感知節(jié)點(diǎn)設(shè)備、網(wǎng)關(guān)節(jié)點(diǎn)設(shè)備（包括讀卡器）、傳感網(wǎng)入網(wǎng)訪問控制設(shè)備等為主。對(duì)“抗數(shù)據(jù)重放”測(cè)評(píng)，測(cè)試內(nèi)容是針對(duì)感知節(jié)點(diǎn)設(shè)備歷史數(shù)據(jù)防重放，而非傳統(tǒng)應(yīng)用系統(tǒng)在應(yīng)用層的數(shù)據(jù)防重放。對(duì)物聯(lián)網(wǎng)系統(tǒng)等級(jí)的測(cè)評(píng)要求，包括對(duì)第一級(jí)物聯(lián)網(wǎng)系統(tǒng)、第二級(jí)物聯(lián)網(wǎng)系統(tǒng)、第三級(jí)物聯(lián)網(wǎng)系統(tǒng)和第四級(jí)物聯(lián)網(wǎng)系統(tǒng)進(jìn)行安全測(cè)試評(píng)估的要求。