2018年-中国信通院_《物联网安全白皮书2018》_35页_1mb

物联网安全白皮书（2018）总结

核心内容

本白皮书由中国信息通信研究院与中国移动信息安全管理与运行中心联合发布，旨在分析物联网面临的安全风险，提出相应的安全防护策略，并展望物联网安全技术的发展方向。白皮书从全球物联网发展趋势出发，指出物联网在快速发展的同时，也带来了前所未有的安全挑战，涵盖服务端、终端和通信网络三个层面，涉及用户隐私、关键基础设施安全、网络攻击等多方面问题。

主要观点

• 物联网已成为信息产业革命的重要组成部分，其市场规模和设备数量快速增长，但安全支出也在同步上升。
• 物联网系统直接暴露于互联网，易受攻击，尤其在路由器和视频监控设备领域暴露严重。
• 物联网安全风险主要包括数据泄露、恶意软件感染、服务中断、通信网络脆弱性等。
• 物联网安全防护需覆盖全生命周期，包括规划、设计、开发、建设、运营、废弃等阶段。
• 未来物联网安全技术发展将依赖于标准落地、攻防结合、新技术应用和生态构建。

关键信息

一、物联网安全发展态势

• 市场规模：2025年全球物联网设备联网数量预计达到252亿，其中工业物联网设备数量将增长五倍。
• 安全支出：2018年全球物联网安全支出达15亿美元，预计到2021年将增至31亿美元。
• 设备暴露情况：全球路由器暴露数量超过3000万台，视频监控设备暴露数量超过1700万台。我国路由器和视频监控设备暴露数量排名靠前，其中华为和海康威视是主要暴露厂商。
• 协议暴露：CoAP、XMPP等协议的云服务端暴露数量较高，成为攻击目标。

二、物联网安全风险分析

（一）物联网应用系统模型

• 物联网系统由服务端、终端和通信网络三部分组成，分别承担数据处理、信息采集和数据传递的功能。

（二）物联网服务端安全风险

• 存储大量用户数据，易成为攻击目标。
• 虚拟化和容器技术带来新的安全风险，如虚拟机逃逸、镜像泄露等。
• 系统组件存在漏洞，易被黑客利用。
• 业务逻辑漏洞可能导致越权访问、数据篡改等风险。
• API接口开放易引发未授权调用、资源滥用等问题。

（三）物联网终端安全风险

• 物理安全：终端可能被盗、破坏或非法移动。
• 自身安全：终端缺乏防护，存在软件漏洞。
• 通信安全：传输过程缺乏加密和认证，易被窃听、篡改或劫持。
• 数据泄露：云端或终端本身可能泄露用户隐私。
• 恶意软件感染：如Mirai、BASHLITE等病毒，可引发大规模DDoS攻击。
• 服务中断：通信中断将影响终端功能和整体安全性。

（四）物联网通信网络安全风险

• 无线传输脆弱：易受干扰、窃听、篡改等攻击。
• 拒绝服务攻击：节点数量庞大，易形成僵尸网络。
• 非授权接入：非法设备接入引发数据泄露和攻击。
• 运营商管控风险：缺乏对海量设备的应急管控能力。

（五）典型应用场景风险分析

• 消费物联网：面临隐私泄露、勒索病毒、反向攻击等威胁。
• 车联网：传感器数据篡改、控制组件漏洞、身份认证缺失、OTA风险等。
• 工业互联网：资产边界不清、设备老旧、安全防护缺失、威胁感知不足、安全运营能力弱等。
• 产业物联网：新型设备接入冲击既有安全体系，数据安全依赖持续运维，云安全和移动端APP外包带来风险。

三、物联网安全防护策略

（一）安全防护策略框架

• 构建覆盖感知层、传输层、应用层的安全防护体系。
• 引入流量分析、态势感知等策略，弥补传统防护手段的不足。

（二）服务端安全防护策略

• 分布式数据管理：需加强身份验证、数据加密、备份与恢复等。
• Web应用安全：防范XSS、CSRF、SQL注入等攻击，采取事前防范、事中防御、事后响应机制。
• 业务分级保护：根据业务影响程度，制定不同等级的安全防护策略。

（三）终端安全防护策略

• 硬件安全：确保芯片安全、数据加密和系统完整性。
• 接入安全：实现终端异常分析和强制认证，防止非法接入。
• 操作系统安全：加强资源调用监控，确保系统行为可控。
• 应用安全：对应用来源进行识别，防止恶意行为。

（四）通信网络安全防护策略

• 身份认证：引入节点身份认证机制，防止虚假设备接入。
• 数据完整性：建立安全通道，确保数据传输的可靠性。
• 数据加密：杜绝明文传输，加强加密和认证。
• 态势感知：利用运营商优势，实现对物联网设备的监控和风险预测。

四、物联网安全未来发展展望

• 技术标准落地：加快推广物联网安全标准，提升行业合规性。
• 攻防结合：从攻击角度出发，分析风险并采取针对性防护。
• 全生命周期防护：构建覆盖系统建设各环节的立体防御体系。
• 安全生态构建：联合行业力量，打造开放、合作、共赢的安全生态。
• 新技术应用：探索去中心化认证、边缘计算、终端轻量化防护、软件定义边界等新技术，提升安全能力。

中国信息通信研究院信息

• 地址：北京市海淀区花园北路52号
• 邮政编码：100191
• 联系电话：010-62304839
• 传真：010-62304980
• 网址：www.caict.ac.cn