000、前言
最近因為工作關系接觸到很多新興物聯網企業。各個企業對自身物聯網安全沒有一個整體的概念，同時對于解決方案提供商來說，物聯網廠商對他們有很重的安全方面的要求。要么自研或者尋找現成的安全解決方案，在這樣的背景下，想談談自己的觀點，說明一下企業級物聯網安全如何做。在傳統安全走向業務安全的今天，IoT物理網安全也是一個重要發展方向。那么，根據其業務形態可以分為：
（1）工業控制物聯網
（2）車載物聯網
（3）智能家居物聯網
（4）。。。
他們對安全的需求也不盡相同：
工業控制物聯網：涉及到國家安全、再加上目前工業控制網絡基本是明文協議很容易遭受攻擊。所以很早就有很多安全公司看到這塊蛋糕：威努特、匡恩網絡等已經完成市場布局。主要產品形態：工控防火墻、工控漏洞挖掘、主機白名單產品。安全需求也不難看出，基本是傳統安全的一套思路。
車載物聯網：涉及到駕車人生命安全。但是目前是爭標準的時代，據我了解，目前國內廠商也只有360在這方面有所建樹。當然在標準沒有確定之前，安全廠商都想做升級版的OBD，嵌入安全硬件。國外相關安全廠商產品形態大致是OBD防火墻、云端大數據分析異常監控等。安全需求還是集中在車載核心物聯網硬件安全上。
智能家居：涉及到個人家庭隱私安全。這一塊的安全投入，比較少。但是大的家電企業相對來說會多一點。這也是安全廠商的機會。
001、安全需求
要想做物聯網安全，那么首先我們要了解企業級物聯網架構。
工業控制物聯網：
這個互聯網上很多，就不在這描述了，大致就是工業物聯網內外隔離。由一臺安裝ICS控制軟件的計算機上傳物聯網所需要的數據。
車載物聯網：
一般是由云端、APP、車機（android、Linux ARM）、高級OBD（Linux ARM）組成。
智能家居：
002、安全需求抽象
1.物聯網通訊協議安全（XMPP、MQTT、自有協議）
需要物聯網廠商提供提供協議訪問API接口，以及訪問證書，這樣可以更全面的監控物聯網設備，更好判斷異常現象。針對MQTT協議，如果是XMPP，建議不要使用這種不支持TLS的物聯網協議，協議本身就缺乏安全考慮。自有協議，建議是站在巨人的肩膀上做事情，因為你自己造的輪子可能有很多缺陷。其實也不建議用。如果出于成本的考慮，那在協議本身增加部分安全性限制。
2.物聯網設備安全問題
2.1、IoT設備弱口令問題
有條件的做一次一密，不允許把密碼固化到軟件或者物聯網設備固件中。否則你的物聯網設計就是物聯網僵尸中的一員（Mirai）。
2.2、IoT操作系統安全問題
通用系統漏洞檢測，特別是那些可以提權的涉及到ARM的CVE-2015–569、CVE-2015–570、CVE-2015–571。
2.3、安全芯片到底能不能解決安全問題
個人覺得不是一個好的方向，intel收購Mcafee就是一個例子，最終安全技術沒有整合到SoC中，還是ARM的天下。國際巨頭都這下場，初創公司不適合做這塊。
2.4、固件更新
有關固件更新的漏洞就更多了，升級沒有簽名檢查、版本降級限制、內容未加密、無法驗證來源等。
2.5、數據泄露
2013年，Target用戶數據泄露事件，起因就是通過HVAC供應商物聯網系統開始的。
3.云管端安全
3.1、安全邊界設定混亂
由于App與IoT技術結合，目前很多物聯網和現實當中的App網絡互通，導致入侵的可能性。
3.2、API安全
傳統Web安全漏洞同樣影響物聯網云端Web接口。
003、企業級IoT安全解決方案
1.傳統安全防御解決方案
針對傳統的連接互聯網的網絡以及傳統的云端架構還是需要使用傳統邊界防護解決方案。
1）帶防火墻模塊硬件IPS：可以限制App訪問的端口，以及做通過簽名方式對傳統的SQLi、XSS等做檢測。
2）WAF：web應用防火墻：主要是通過上下文語義關聯對OWASP Top 10攻擊類型做檢查和阻斷。
3）定期對后端web應用、數據庫服務器、物聯網大數據分析平臺等做操作系統、中間件、數據庫漏洞掃描。當然建議配合一下滲透測試服務。這樣會發現更多問題。
2.IoT安全解決方案
調研了各個物聯網安全公司，大致的解決方案如下：
2.1、Agentless IoT設備資產管理
1）快速發現連接到您網絡IoT設備
2）已經連接的IoT設備可視化
3）配置檢測、基線檢測。
2.2、快速安全響應
1）快速監測到異常終端
2）隔離可疑應用程序和停止攻擊擴散到IoT網絡
2.3、通過大數據分析IoT事件，預測其安全狀態、給出預防建議。
2.4、IoT設備上安裝狀態防火墻、保證通訊協議安全。
004、安全解決方案實踐
了解物聯網安全廠商的思路后，其實我們可以總結一下，如果物聯網項目本身周期很短，那么可以委托安全公司開發一套針對物聯網安全監管平臺。傳統安全的老三樣，其實購買就好。但是針對IoT設備端的安全目前還沒一個很好的解決方案，國外的東西買來直接用風險太大。
那么，確定了思路后，那么IoT端的安全核心問題在哪里呢？其實不難看出，主要是針對物聯網協議的解析和反控。所以，這部分的解決方案必須支持MQTT、XMPP等物聯網協議。同時對IoT設備做到資產管理、MQTT協議審計和安全應急響應。
那么部署方式如何？
為了不干擾正常的物聯網業務操作，建議通過端口鏡像的方式部署設備。
那么，物聯網安全管理設備有哪些功能呢？個人建議如下：
一、資產管理
1.列舉硬件設備
（1）業務分組、硬件UUID、固件型號、GPS、軟件資產
2.列舉網絡拓撲
（1）HUB
（2）Client
3.硬件軟件生命周期跟蹤
（1）軟件升級管理
（2）漏洞管理
4.風險評估（基線掃描）
（1）PKI使用檢測
（2）TLS證書檢測
（3）應用消息和控制數據包的完整性檢測
（4）設備防篡改檢測
（5）客戶端證書檢測
二、MQTT協議審計
1.物聯網訪問流量審計
（1）重復認證嘗試（暴力破解）
（2）嘗試發送或訂閱許多主題
（3）發送無法送達的郵件
（4）連接但不發送數據的客戶端
2.外部流量審計 -App、互聯網訪問
三、安全應急響應
1.自動客戶端斷開機制
2.動態訪問控制列表（例如IP地址或客戶端GUID）
3.速率限制和/或阻塞（例如IP地址）
005、總結
本文拋磚引玉和大家聊聊物聯網安全，各大安全廠商也在布局物聯網安全，幾年前就聽說梆梆安全已經布局物聯網安全。但是不了解是否做有關協議安全相關的事情。有了解的話，大家相互討論一下。
京公網安備 11010502049343號