引言

　　萬物互聯的物聯網(IOT)時代正在“撲面而至”! 物聯網作為互聯網的延伸，被稱為世界信息產業的第三次浪潮。據有關專家預測，2017年是物聯網商用元年。到2020年將有340億臺設備接入互聯網，安裝的物聯網設備數量將達到240億臺，媒體預測到2020 年，中國物聯網的整體規模將超過1.8萬億元。物聯網產業由政府推動走向市場主導，大量新興的物聯網技術應用會走進我們的生活。而隨著物聯網產業市場的擴大，物聯網安全問題越發凸顯，成為制約物聯網大規模應用的重要因素。

　　目前，國內外一些企業已經意識到安全在物聯網發展中的重要作用，并針對物聯網各層次結構，開展了安全技術和產品的研究。在物聯網時代，由于覆蓋的領域之廣、接入設備器件的海量化，同時考慮到應用地域和設備供應商甚至標準的分散，物聯網應用的多樣性和復雜性相比PC互聯網和移動互聯網時代大大增強，而安全性和復雜性是成正比的，這也就使得物聯網時代的安全問題變得更加嚴峻。

　　物聯網安全研究可以從工控安全、智能汽車安全和智能家居安全三個領域切入。比如攻擊者可以利用網絡攻破一些智能家用產品的安全防線，如侵占智能設備(恒溫控制器、智能TV、攝像頭)，從而獲取用戶隱私信息，帶來安全隱患，再比如，攻擊者可以攻破智能汽車系統，嚴重時可能會威脅人們的生命安全。

　　物聯網安全關注點

　　物聯網安全的六個關注點，物聯網安全網關、應用層的物聯網安全服務、漏洞挖掘研究、物聯網僵尸網絡研究、區塊鏈技術和物聯網設備安全設計，為信息安全行業廠商進軍物聯網萬億級藍海提供指導方向性指導。目前物聯網設備制造商沒有強大的安全背景，也缺乏標準來說明一個產品是否是安全的。 很多安全問題來自于不安全的設計。

　　物聯網安全的六個關注點說明：

　　(1)物聯網安全網關

　　物聯網設備缺乏認證和授權標準，有些甚至沒有相關設計，對于連接到公網的設備，這將導致可通過公網直接對其進行訪問。另外，也很難保證設備的認證和授權實現沒有問題，所有設備都進行完備的認證未必現實(設備的功耗等)，可考慮額外加一層認證環節，只有認證通過，才能夠對其進行訪問。結合大數據分析提供自適應訪問控制。

　　未來物聯網網關可以發展成富應用平臺，就像當下的手機一樣。一是對于用戶體驗和交互性來說擁有本地接口和數據存儲是非常有用的，二是即使與互聯網的連接中斷，這些應用也需要持續工作。物理網關對于嵌入式設備可以提供有用的安全保護。低功耗操作和受限的軟件支持意味著頻繁的固件更新代價太高甚至不可能實現。反而，網關可以主動更新軟件(高級防火墻)以保護嵌入式設備免受攻擊。實現這些特性需要重新思考運行在網關上的操作系統和其機制。

　　軟件定義邊界可以被用來隱藏服務器和服務器與設備的交互，從而最大化地保障安全和運行時間。

　　細粒度訪問控制：研究基于屬性的訪問控制模型，使設備根據其屬性按需細粒度訪問內部網絡的資源;

　　自適應訪問控制：研究安全設備按需編排模型，對于設備的異常行為進行安全防護，限制惡意用戶對于物聯網設備的訪問。

　　同時，安全網關還可與云端通信，實現對于設備的OTA升級，可以定期對內網設備狀態進行檢測，并將檢測結果上傳到云端進行分析等等。

　　但是，也應意識到安全網關的局限性，安全網關更適用于對于固定場所中外部與內部連接之間的防護，如家庭、企業等，對于一些需要移動的設備的安全，如智能手環等，或者內部使用無線通信的環境，則可能需要使用其他的方式來解決。

　　(2)應用層的物聯網安全服務

　　應用層的物聯網安全服務主要包含兩個方面，一是大數據分析驅動的安全，二是對于已有的安全能力的集成。

　　由于感知層的設備性能所限，并不具備分析海量數據的能力，也不具備關聯多種數據發現異常的能力，一種自然的思路是在感知層與網絡層的連接處提供一個安全網關，安全網關負責采集數據，如流量數據、設備狀態等等，這些數據上傳到應用層，利用應用層的數據分析能力進行分析，根據分析結果，下發相應指令。

　　傳統的Web安全中的安全能力，如URL信譽服務、IP信譽服務等等，同樣可以集成到物聯網環境中，可作為安全服務模塊，由用戶自行選擇。

　　(3)漏洞挖掘研究

　　物聯網漏洞挖掘主要關注兩個方面，一個是網絡協議的漏洞挖掘，一個是嵌入式操作系統的漏洞挖掘。分別對應網絡層和感知層，應用層大多采用云平臺，屬于云安全的范疇，可應用已有的云安全防護措施。

　　在現代的汽車、工控等物聯網行業，各種網絡協議被廣泛使用，這些網絡協議帶來了大量的安全問題。需要利用一些漏洞挖掘技術對物聯網中的協議進行漏洞挖掘，先于攻擊者發現并及時修補漏洞，有效減少來自黑客的威脅，提升系統的安全性。

　　物聯網設備多使用嵌入式操作系統，如果這些嵌入式操作系統遭受了攻擊，將會對整個設備造成很大的影響。對嵌入式操作系統的漏洞挖掘也是一個重要的物聯網安全研究方向。

　　(4)物聯網僵尸網絡研究

　　最為有名的物聯網僵尸網絡便是Mirai了，它通過感染網絡攝像頭等物聯網設備進行傳播，可發動大規模的DDoS攻擊，它對Brian Krebs個人網站和法國網絡服務商OVH發動DDoS攻擊，對于美國Dyn公司的攻擊Mirai也貢獻了部分流量。

　　對于物聯網僵尸網絡的研究包括傳播機理、檢測、防護和清除方法。

　　(5)區塊鏈技術

　　區塊鏈解決的核心問題是在信息不對稱、不確定的環境下，如何建立滿足經濟活動賴以發生、發展的“信任”生態體系。

　　在物聯網環境中，所有日常家居物件都能自發、自動地與其它物件、或外界世界進行互動，但是必須解決物聯網設備之間的信任問題。

　　傳統的中心化系統中，信任機制比較容易建立，存在一個可信的第三方來管理所有的設備的身份信息。但是物聯網環境中設備眾多，未來可能會達到百億級別，這會對可信第三方造成很大的壓力。

　　區塊鏈系統網絡是典型的P2P網絡，具有分布式異構特征，而物聯網天然具備分布式特征，網中的每一個設備都能管理自己在交互作用中的角色、行為和規則，對建立區塊鏈系統的共識機制具有重要的支持作用。

　　(6)物聯網設備安全設計

　　物聯網設備制造商并沒有很強的安全背景，也缺乏標準來說明一個產品是否是安全的。很多安全問題來自于不安全的設計。信息安全廠商可以做三點：一是提供安全的開發規范，進行安全開發培訓，指導物聯網領域的開發人員進行安全開發，提高產品的安全性;二是將安全模塊內置于物聯網產品中，比如工控領域對于實時性的要求很高，而且一旦部署可能很多年都不會對其進行替換，這是的安全可能更偏重于安全評估和檢測，如果將安全模塊融入設備的制造過程，將能顯著降低安全模塊的開銷，對設備提供更好的安全防護;三是對出廠設備進行安全檢測，及時發現設備中的漏洞并協助廠商進行修復。

　　總結：

　　在物聯網行業高速增長的時期，如果廠商不對安全問題加以足夠重視，安全就將成為物聯網產業的薄弱環節，從而網絡大面積癱瘓、黑客入侵、隱私泄露等問題也將再次困擾著人們。萬物互聯的時代，這也意味著物聯網設備的數量將會是移動互聯網的十倍甚至上百倍，這也意味著整個信息安全市場也會被擴大數十倍。這即給物聯網安全工作帶來了巨大的挑戰，也帶來了新機遇。