前言

物聯(lián)網(wǎng)設(shè)備正以創(chuàng)紀(jì)錄的數(shù)量在世界各地部署。據(jù)IDC估計(jì)，到2025年，將有416億臺(tái)互聯(lián)設(shè)備產(chǎn)生79.4ZB的數(shù)據(jù)。隨著其中許多設(shè)備運(yùn)行關(guān)鍵基礎(chǔ)設(shè)施組件或收集、訪問和傳輸敏感業(yè)務(wù)或個(gè)人信息，物聯(lián)網(wǎng)身份驗(yàn)證和訪問控制變得更加重要。

物聯(lián)網(wǎng)設(shè)備身份驗(yàn)證是確保連接的設(shè)備可以被信任為它們所聲稱的那樣的基礎(chǔ)。因此，訪問控制可以監(jiān)控哪些資源可以被訪問和使用，以及在何種情況下最大限度地降低未經(jīng)授權(quán)的行為的風(fēng)險(xiǎn)。

前言

物聯(lián)網(wǎng)訪問控制面臨的挑戰(zhàn)

在物聯(lián)網(wǎng)環(huán)境中部署身份驗(yàn)證和訪問控制機(jī)制時(shí)，有許多方面會(huì)使任務(wù)復(fù)雜化。這是因?yàn)榇蠖鄶?shù)設(shè)備的處理能力、存儲(chǔ)空間、帶寬和能量都是有限的。由于常見身份驗(yàn)證協(xié)議的通信開銷，大多數(shù)傳統(tǒng)身份驗(yàn)證和授權(quán)技術(shù)過于復(fù)雜，無法在資源受限的物聯(lián)網(wǎng)設(shè)備上運(yùn)行。另一個(gè)問題是，設(shè)備有時(shí)部署在可能無法或無法提供物理安全的區(qū)域。

還有非常廣泛的硬件和軟件堆棧需要考慮。這導(dǎo)致大量設(shè)備通過多種標(biāo)準(zhǔn)和協(xié)議進(jìn)行通信--這與更傳統(tǒng)的計(jì)算環(huán)境不同。例如，研究人員確定了物聯(lián)網(wǎng)環(huán)境中至少84種不同的身份驗(yàn)證機(jī)制，這些機(jī)制要么是在2019年提出的，要么是在2019年投入生產(chǎn)的。由于缺乏標(biāo)準(zhǔn)和物聯(lián)網(wǎng)特定的訪問控制模型，保護(hù)設(shè)備和網(wǎng)絡(luò)安全的任務(wù)變得更加復(fù)雜。

改進(jìn)物聯(lián)網(wǎng)訪問控制的3種方法

任何試圖管理數(shù)千個(gè)分布廣泛的物聯(lián)網(wǎng)設(shè)備的集中訪問管理模型都有其局限性;沒有一種方法適用于所有場景。尋求開發(fā)去中心化物聯(lián)網(wǎng)訪問控制服務(wù)的供應(yīng)商正在研究區(qū)塊鏈技術(shù)如何消除集中式系統(tǒng)造成的問題。網(wǎng)絡(luò)管理員和安全團(tuán)隊(duì)必須緊跟最新發(fā)展，因?yàn)樗鼈兛赡茉诓痪玫膶韼碚嬲蓴U(kuò)展的服務(wù)產(chǎn)品。

在此之前，每一個(gè)物聯(lián)網(wǎng)設(shè)備必須有一個(gè)唯一的身份，當(dāng)設(shè)備試圖連接到網(wǎng)關(guān)或中央網(wǎng)絡(luò)時(shí)，可以對(duì)其進(jìn)行身份驗(yàn)證。有些設(shè)備僅根據(jù)其IP或MAC(媒體訪問控制)地址進(jìn)行標(biāo)識(shí)，而其他設(shè)備則可能安裝了證書。但是識(shí)別任何類型設(shè)備的更好方法是通過機(jī)器學(xué)習(xí)。除了行為分析(如API、服務(wù)和數(shù)據(jù)庫請(qǐng)求)之外，還可以使用靜態(tài)特性來完成此任務(wù)，以更好地確保設(shè)備的身份。身份和身份驗(yàn)證行為的結(jié)合使用還提供了根據(jù)上下文不斷調(diào)整訪問控制決策的能力——即使對(duì)于資源有限的設(shè)備也是如此。

這種基于屬性的訪問控制模型根據(jù)對(duì)設(shè)備、資源、操作和上下文進(jìn)行分類的一系列屬性來評(píng)估訪問請(qǐng)求。它還提供更多動(dòng)態(tài)訪問控制功能。可以基于上下文屬性中的更改實(shí)時(shí)更新對(duì)操作和請(qǐng)求的批準(zhǔn)。但是，它確實(shí)需要管理員選擇和定義一組屬性和變量，以構(gòu)建一套全面的訪問控制規(guī)則和策略。

改進(jìn)物聯(lián)網(wǎng)訪問控制

物聯(lián)網(wǎng)訪問控制如何加強(qiáng)信息安全戰(zhàn)略

強(qiáng)大的物聯(lián)網(wǎng)訪問控制和身份驗(yàn)證技術(shù)可幫助抵御攻擊。但這只是一個(gè)更大的集成物聯(lián)網(wǎng)安全戰(zhàn)略的一個(gè)重要方面，該戰(zhàn)略可以檢測和響應(yīng)可疑的基于物聯(lián)網(wǎng)的事件。要使任何身份驗(yàn)證和訪問控制策略發(fā)揮作用，物聯(lián)網(wǎng)設(shè)備必須可見。因此，需要建立關(guān)鍵設(shè)備庫存和生命周期管理程序，以及實(shí)時(shí)掃描物聯(lián)網(wǎng)設(shè)備的能力。

物聯(lián)網(wǎng)設(shè)備成功識(shí)別和驗(yàn)證后，應(yīng)將其分配到嚴(yán)格受限的網(wǎng)段。在那里，它將與主生產(chǎn)網(wǎng)絡(luò)隔離，主生產(chǎn)網(wǎng)絡(luò)具有專門配置的安全和監(jiān)控控制，以防范潛在的物聯(lián)網(wǎng)威脅和攻擊載體。這樣，如果特定設(shè)備被標(biāo)記為受損，暴露的表面積就會(huì)受到限制，橫向移動(dòng)也會(huì)受到控制。這些措施使管理員能夠識(shí)別和隔離受危害的節(jié)點(diǎn)，并使用安全修補(bǔ)程序和補(bǔ)丁程序更新設(shè)備。

物聯(lián)網(wǎng)正在改變世界以及IT安全需要如何運(yùn)作。安全供應(yīng)商仍在追趕物聯(lián)網(wǎng)環(huán)境的規(guī)模和復(fù)雜性。理想情況下，下一代服務(wù)產(chǎn)品將更好地匹配物聯(lián)網(wǎng)身份和訪問管理的需求。

下一代物聯(lián)網(wǎng)的信息安全

物聯(lián)網(wǎng)的信息安全價(jià)值莫過于對(duì)物聯(lián)網(wǎng)信息資源的利用，而對(duì)物聯(lián)網(wǎng)利用的關(guān)鍵在于依據(jù)自己的標(biāo)準(zhǔn)建立物聯(lián)網(wǎng)編碼資源，只有這樣才不會(huì)重蹈互聯(lián)網(wǎng)域名受限的覆轍。

我國在物聯(lián)網(wǎng)標(biāo)準(zhǔn)制定方面是與世界同步的，甚至在某些領(lǐng)域還起到了主導(dǎo)作用。2015年5月20日，在比利時(shí)布魯塞爾召開的物聯(lián)網(wǎng)標(biāo)準(zhǔn)大會(huì)決定，物聯(lián)網(wǎng)標(biāo)準(zhǔn)工作組(WG10)將同步轉(zhuǎn)移原中國主導(dǎo)的物聯(lián)網(wǎng)體系架構(gòu)國際標(biāo)準(zhǔn)項(xiàng)目( ISO/IEC30141)，并由中國專家繼續(xù)擔(dān)任該體系架構(gòu)項(xiàng)目組主編輯，這是我國在信息技術(shù)領(lǐng)域參與標(biāo)準(zhǔn)的制定，也標(biāo)志著我國在物聯(lián)網(wǎng)標(biāo)準(zhǔn)制定上掌握著一定的話語權(quán)。

下一代物聯(lián)網(wǎng)的信息安全

物聯(lián)網(wǎng)產(chǎn)業(yè)的基礎(chǔ)

統(tǒng)一、規(guī)范的物聯(lián)網(wǎng)標(biāo)準(zhǔn)體系的建立是物聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展的基礎(chǔ)。目前，國內(nèi)物聯(lián)網(wǎng)標(biāo)準(zhǔn)存在的網(wǎng)絡(luò)安全的問題是很多標(biāo)準(zhǔn)互不兼容，這使得物聯(lián)網(wǎng)的優(yōu)勢無法顯現(xiàn)出來。物聯(lián)網(wǎng)從感知層、網(wǎng)絡(luò)層到應(yīng)用層，涉及多個(gè)行業(yè)、多個(gè)領(lǐng)域,只有統(tǒng)一、規(guī)范的物聯(lián)網(wǎng)標(biāo)準(zhǔn)才能促進(jìn)物聯(lián)網(wǎng)快速、健康發(fā)展。

標(biāo)準(zhǔn)化不足也是制約物聯(lián)網(wǎng)產(chǎn)業(yè)發(fā)展的瓶頸之一。雖然物聯(lián)網(wǎng)行業(yè)巨大，但各種各樣的物聯(lián)網(wǎng)應(yīng)用場景把物聯(lián)網(wǎng)分割成很小的板塊，而每個(gè)板塊都很小，無法形成規(guī)模效應(yīng)，這意味著物聯(lián)網(wǎng)應(yīng)用的成本很難降低，從而導(dǎo)致物聯(lián)網(wǎng)很難商用，進(jìn)而制約物聯(lián)網(wǎng)的發(fā)展。

對(duì)于企業(yè)來說，標(biāo)準(zhǔn)的制定意味著獲得競爭優(yōu)勢，通過制定行業(yè)標(biāo)準(zhǔn)獲得競爭優(yōu)勢是企業(yè)快速發(fā)展的途徑之一。對(duì)于行業(yè)跟隨者，或者對(duì)中小企業(yè)來說，要想獲得競爭優(yōu)勢，必須根據(jù)不同的發(fā)展階段實(shí)施不同的企業(yè)戰(zhàn)略。按照企業(yè)實(shí)力的從弱到強(qiáng)，企業(yè)可以實(shí)施這樣的戰(zhàn)略三部曲：標(biāo)準(zhǔn)應(yīng)用—適應(yīng)市場、技術(shù)積累自主提升、主導(dǎo)標(biāo)準(zhǔn)—分享利益。

付于剛剛進(jìn)入物聯(lián)網(wǎng)某一領(lǐng)域的企業(yè)，首先要解決的是市場的準(zhǔn)入問題，而物聯(lián)網(wǎng)標(biāo)準(zhǔn)即是市場準(zhǔn)入標(biāo)準(zhǔn)。在這一階段，企業(yè)應(yīng)實(shí)施的戰(zhàn)略是遵循物聯(lián)網(wǎng)標(biāo)準(zhǔn)，適應(yīng)市場，解決與其他產(chǎn)品或系統(tǒng)的互聯(lián)互通的問題。

物聯(lián)網(wǎng)產(chǎn)業(yè)的基礎(chǔ)

市場上企業(yè)的對(duì)于物聯(lián)網(wǎng)的競爭

在進(jìn)入物聯(lián)網(wǎng)市場后,企業(yè)仍然處于競爭的劣勢,這一階段企業(yè)必須不斷積累技術(shù),并進(jìn)行專利布局,為制定企業(yè)標(biāo)準(zhǔn)做好準(zhǔn)備。當(dāng)企業(yè)的技術(shù)積累到一定階段，企業(yè)的知識(shí)產(chǎn)權(quán)影響越來越大，企業(yè)就可以將自己的知識(shí)產(chǎn)權(quán)上升為行業(yè)標(biāo)準(zhǔn)，從而獲得知識(shí)產(chǎn)權(quán)的紅利。

物聯(lián)網(wǎng)涉及領(lǐng)域眾多，技術(shù)繁雜，所以物聯(lián)網(wǎng)涉及的標(biāo)準(zhǔn)組織也非常多，既有國際、區(qū)域和國家標(biāo)準(zhǔn)組織，也有行業(yè)協(xié)會(huì)和聯(lián)盟組織。不同的標(biāo)準(zhǔn)組織側(cè)重的技術(shù)領(lǐng)域也會(huì)不同。

物聯(lián)網(wǎng)標(biāo)準(zhǔn)體系分類

分別是基礎(chǔ)類、感知類、網(wǎng)絡(luò)傳輸類、服務(wù)支撐類、業(yè)務(wù)應(yīng)用類、共性技術(shù)類。

• 基礎(chǔ)類標(biāo)準(zhǔn)包括體系結(jié)構(gòu)和參考模型標(biāo)準(zhǔn)、術(shù)語和需求分析標(biāo)準(zhǔn)等,它們是物聯(lián)網(wǎng)標(biāo)準(zhǔn)體系的頂層設(shè)計(jì)和指導(dǎo)性文件，負(fù)責(zé)對(duì)物聯(lián)網(wǎng)通用系統(tǒng)體系結(jié)構(gòu)、技術(shù)參考模型、數(shù)據(jù)體系結(jié)構(gòu)設(shè)計(jì)等重要基礎(chǔ)性技術(shù)進(jìn)行規(guī)范。
• 感知類標(biāo)準(zhǔn)主要包括傳感器、多媒體、條碼、射頻識(shí)別、生物特征識(shí)別等技術(shù)標(biāo)準(zhǔn)，涉及信息技術(shù)之外的物理、化學(xué)專業(yè),涉及廣泛的非電技術(shù)。
• 網(wǎng)絡(luò)傳輸類標(biāo)準(zhǔn)包括接入技術(shù)和網(wǎng)絡(luò)技術(shù)兩大類標(biāo)準(zhǔn)。接入技術(shù)包括短距離無線接入、廣域無線接入、工業(yè)總線等;網(wǎng)絡(luò)技術(shù)包括互聯(lián)網(wǎng)、移動(dòng)通信網(wǎng)、異構(gòu)網(wǎng)等組網(wǎng)和路由技術(shù)。
• 服務(wù)支撐類標(biāo)準(zhǔn)包括數(shù)據(jù)服務(wù)、支撐平臺(tái)、運(yùn)維管理、資源交換標(biāo)準(zhǔn)。
• 業(yè)務(wù)應(yīng)用類標(biāo)準(zhǔn)具有鮮明的行業(yè)屬性，目前物聯(lián)網(wǎng)業(yè)務(wù)應(yīng)用領(lǐng)域包括公共安全、健康醫(yī)療、智能交通、智能家居、智能電網(wǎng)、智能制造、林業(yè)、農(nóng)業(yè)環(huán)保等。
• 共性技術(shù)類標(biāo)準(zhǔn)包括物聯(lián)網(wǎng)標(biāo)識(shí)標(biāo)準(zhǔn)、物聯(lián)網(wǎng)安全標(biāo)準(zhǔn)等。

物聯(lián)網(wǎng)標(biāo)準(zhǔn)體系總體框架

物聯(lián)網(wǎng)標(biāo)準(zhǔn)體系總體框架