欧盟关键信息基础设施环境中物联网安全建议（上）_38页_2mb

电子政务发展前沿 - 物联网安全建议总结

核心内容概述

本报告聚焦于欧盟关键信息基础设施（CII）环境中物联网（IoT）的安全问题，分析了物联网的模型、安全考量、主要威胁与风险，并提出了多项安全建议。报告旨在提升物联网安全防护水平，促进物联网技术在关键基础设施中的安全应用，以确保其在推动社会智能化转型的同时，有效防范网络攻击与安全威胁。

主要观点

• 物联网已成为新一代信息技术的重要发展方向，其广泛应用对社会各领域产生深远影响，但也带来了诸多安全风险。
• 安全是物联网发展的核心问题，必须通过系统性措施来保障其安全运行。
• 欧盟在物联网安全方面已采取多项措施，包括制定安全基线建议、推动统一数字市场战略、发布网络安全法案等。
• 美国也发布了相关法案，如《2017年物联网网络安全改进法案》，以规范物联网设备的安全性。

关键信息

1. 物联网基本元素

• “物”：具备通信能力的物理或虚拟对象，能够收集、处理和使用数据。
• 智能决策：通过数据分析和处理，实现自动化决策，涉及机器学习、深度学习等技术。
• 传感器与执行器：传感器用于收集数据，执行器用于执行操作，两者常集成于嵌入式系统中。
• 嵌入式系统：具备独立处理能力，包括可穿戴设备、医疗植入物等。
• 通信系统：使用多种协议，包括无线和有线协议，支持不同网络环境下的数据传输。

2. 安全考量因素

• 攻击面大：物联网设备和系统可能成为攻击目标，影响个人隐私和公共安全。
• 资源有限：物联网设备通常资源受限，难以部署高级安全措施。
• 生态系统复杂：涉及设备、通信、接口、人员等多个层面，安全整合难度高。
• 标准与法规不健全：现有标准难以满足物联网快速发展的需求，增加安全风险。
• 安全更新困难：缺乏统一的更新机制，导致设备容易成为攻击目标。
• 隐私保护不足：数据收集和处理过程中可能侵犯用户隐私。
• 专业人才短缺：物联网安全是一个新兴领域，缺乏具备相关技能的人才。

3. 安全基线建议

ENISA提出了以下安全基线建议，以增强物联网环境的安全性：

1. 促进物联网安全举措与法规条例的协调一致
2. 提高对物联网网络安全需求的认知
3. 提出物联网安全软硬件开发生命周期指南
4. 建立物联网生态系统的互通规范
5. 促进物联网安全的经济与行政激励举措
6. 建立物联网产品与服务生命周期安全管理准则

4. 资产分类

• 物联网设备：包括硬件、软件、传感器、执行器等。
• 其他物联网生态系统设备：如接口设备、管理设备等。
• 通信系统：包括网络、协议等。
• 基础设施：如路由器、网关、电源等。
• 平台与后端：如云平台、Web服务等。
• 信息：包括数据存储、传输、使用等。
• 安全资产：如防火墙、入侵检测系统、认证授权机制等。

5. 威胁与风险分析

• 恶意操作与滥用：包括恶意软件、漏洞利用、针对性攻击、DDoS等。
• 信息窃听、拦截与劫持：如“中间人”攻击、会话劫持、信息重发等。
• 设备与系统故障：包括网络故障、软件漏洞、第三方错误配置等。
• 灾害：如自然灾害、设备环境灾害等。
• 物理性攻击：如设备状态篡改、设备损坏等。

6. 攻击场景与影响

• 攻击场景1：物联网管理系统被攻破

  • 影响：极其严重，可能导致系统崩溃、数据泄露。
  • 对策：加密代码签名、控制软件安装、系统恢复机制等。

• 攻击场景2：物联网设备中的参数被篡改

  • 影响：严重至极其严重，可能导致物理损坏或人员伤亡。
  • 对策：资产管理、数据验证、定期监控等。

• 攻击场景3：僵尸网络攻击与命令行攻击

  • 影响：重要至极度重要，影响范围广泛。
  • 对策：加强设备认证、监控和防护机制。

结论

物联网安全是当前全球关注的重点领域，尤其在关键信息基础设施中，其重要性尤为突出。欧盟和美国均采取了积极措施，包括制定安全建议、推动标准化、发布相关法规等，以提升物联网的安全性。然而，由于物联网的复杂性和异构性，安全挑战依然严峻。因此，需要在技术、法律、管理和人才等方面综合施策，以确保物联网在促进社会智能化的同时，保障用户隐私与安全。