物联网一体化安全检测体系架构研究

物联网一体化安全检测体系架构研究作者：范红来源：《信息安全与技术》2014年第04期【摘要】安全问题是物联网健康顺利发展的关键环节，但物联网面临的安全问题更轻量级、更复杂、更平民化。

单一的技术符合性检测无法满足现实需求，为此本文提出物联网一体化安全检测体系架构，构建“一中心、两库、五平台”实现物联网安全技术符合性检测、安全管理检查和风险评估。

【关键词】物联网；信息安全；检测体系1 引言随着国家信息网络基础设施基本完成，信息化应用全面展开，物联网广泛应用于公共事业/服务、交通运输、个人用户、批发零售、工业、制造业、商业、服务业、农业、建筑业、金融业等。

目前来看，物联网虽然给人们带来便利，但物联网在信息安全方面还存在一定的局限性。

一是存在信号受到干扰的可能。

如果安置在物品上的传感设备信号受到恶意干扰，很容易造成重要物品损失以及重要信息被篡改、丢失的隐患。

二是恶意入侵的隐患。

如果病毒、黑客、恶意软件绕过了相关安全技术的防范，对物联网的授权管理进行恶意操作，掌控他人的物品，就会造成对用户隐私权的侵犯。

如果爆炸物、枪支等危险物品被其它人掌控，后果会十分严重。

因此，物联网安全问题如果得不到有效解决，将严重阻碍物联网产业发展。

由于物联网感知节点和传输设备具有能量低、计算能力差、运行环境恶劣、通信协议庞杂等特点，使得传统安全技术无法直接应用于物联网，由此引发物联网特有的安全问题，而物联网安全技术和安全状况缺乏有效的检测和评价手段。

我国政策环境较好，物联网已成为国家发展战略，初步明确了未来发展方向和重点领域。

国家高度重视物联网安全建设。

2013年初，国务院发布了《关于推进物联网有序健康发展的指导意见》（国发[2013]7号）中明确提出以工业和信息化部、发展改革委、公安部牵头承担物联网安全保障专项行动计划：提高物联网信息安全管理与数据保护水平，建立健全监督、检查和安全评估机制。

加强物联网重要应用和系统的安全测评、风险评估和安全防护工作。

加快物联网相关标准、检测、认证等公共服务建设，完善支撑服务体系，有效保障物联网信息采集、传输、处理、应用等各环节的安全可控。

2 物联网一体化安全检测体系各类物联网示范工程进行大规模应用之前，应充分考虑和评测其安全性，从源头保证物联网安全措施有效性、功能符合性、安全管理的全面性以及给出安全防护评估。

在建设实施阶段，将所有的安全功能模块（产品）集成为一个完整的系统后，需要检查集成出的系统是否符合要求，测试并评估安全措施在整个系统中实施的有效性，跟踪安全保障机制并发现漏洞，完成系统的运行程序和全生命期安的安全风险评估报告。

在运行维护阶段，要定期进行安全性检测和风险评估以保证系统的安全水平在运行期间不会下降，包括检查产品的升级和系统打补丁情况，检测系统的安全性能，检测新安全攻击、新威胁以及其它与安全风险有关的因素，评估系统改动对安全系统造成的影响。

物联网关键安全问题：一是感知设备安全；二是物联网系统安全和风险评估，重点是接入问题；三是业务应用安全。

目前，各行业均提出了相应的安全防护体系，如智能电网系统、工业控制系统等。

本文依据相关的安全防护体系提出物联网一体化安全检测体系，即“一中心、两库、五平台”，如图1所示。

即开放式场景检测支撑平台、感知设备安全检测服务平台、物联网系统安全检测服务平台、物联网系统风险评估服务平台、物联网集成化安全管理检查服务平台、物联网安全检测标准及指标库、物联网信息安全漏洞与补丁库以及一体化安全检测管理中心。

在此基础上，结合物联网具体业务需求，进行物联网安全检测方法、规范、指标体系、专业化检测技术研究与积累。

同时，形成一支服务于物联网安全检测的多层次、复合型、专业化人才队伍，全面保障物联网系统安全稳定运行。

3 “五平台”“五平台”提供检测、检查和评估三类专业化服务，其中物联网集成化安全管理检查服务平台可作为独立平台对外提供检查服务；开放式场景检测支撑平台为感知设备安全检测服务平台与物联网系统安全检测服务平台提供安全符合性检测环境，此三个平台提供技术检测服务；物联网系统风险评估服务平台在前述四个平台基础上，关联外在威胁，分析自身脆弱性，提供风险评估服务。

“五平台”结构关系如图2所示，“五平台”既可独立提供检测服务，也可互为补充，为用户提供定制化的检测服务，形成开放式检测服务体系架构。

3.1 开放式场景检测支撑平台开放式场景检测支撑平台实现物联网感知设备、接入系统、业务应用三层检测环境，如图3所示。

通过多部件的灵活组建，实现其感、传、知、用的安全功能检测，灵活支持用户个性化的检测需求。

3.2 感知设备安全检测服务平台感知设备安全检测服务平台实现一个通用的感知设备安全检测系统，由开放式场景检测支撑平台为被测设备提供运行检测环境，其从感知操作安全、感知数据处理安全、感知数据存储安全和感知节点设备安全、感知节点通信安全等五方面检测安全功能和性能，其检测框架如图4所示。

3.3 物联网系统安全检测服务平台物联网系统安全检测服务平台以系统、整体的视角对智能感知层访问控制、身份认证等策略配置进行符合性测试；对接入传输层的AKA机制的一致性或兼容性、跨域认证和跨网络认证等进行检测；对业务应用层数据库安全、应用系统和网站安全、应用系统稳定性、业务连续性等进行符合性和有效性检测。

检测框架如图5所示。

3.4 物联网系统风险评估服务平台物联网系统风险评估服务平台对可能遭受到的威胁和自身脆弱性进行安全分析，然后根据安全事件的可能性以及安全事件造成的损失计算出风险值、对安全事件进行风险等级定级，最后结合安全事件所涉及的资产价值来判断安全事件一旦发生对物联网系统造成的影响。

风险评估框架如图6所示。

3.5 集成化安全管理检查服务平台集成化安全管理检查服务基于物联网多类型终端、多网融合、海量数据处理和全面感知等特点。

从防范阻止、检测发现、应急处置、审计追查和集中管控五个方面，对物联网系统智能感知层、接入传输层和业务应用层的安全管理情况进行检查，其安全管理检查框架如图7所示。

4 “两库”4.1 标准及指标库基础库“标准及指标库”通过构建物联网安全检测标准子库与指标子库为“五平台”提供支撑。

标准子库建设来源：一是从物联网国际标准组织IEEE、ISO、ETSI、ITU-T、3GPP、3GPP2了解国际最新标准，研究制订适合国情的物联网标准；二是从国内标准组织：WGSN、CCSA和RFID标准工作组获取最新标准；三是随着业务开展，编制了物联网安全标准。

物联网一体化安全检测标准体系框架，按照标准服务性质的区分，分为物联网产品安全检测标准、物联网系统安全检测标准、物联网风险评估标准以及集成化安全管理检查标准。

其框架如图8所示。

指标库为各种类型的被测设备和系统提供相应的检测指标项目，同时支持用户自定义新的检测指标。

指标库依据各服务平台检测内容划分四类，即物联网产品检测指标、物联网系统安全检测指标、物联网风险评估指标以及集成化管理检查指标。

其涵盖功能检测、性能检测、抗毁性检测、符合性检测、有效性检测和可用性检测等指标。

4.2 漏洞与补丁库漏洞与补丁库采用云存储方式，包括海量数据融合漏洞，TinyOS操作系统漏洞，异构网络认证协议漏洞，感知信息传输协议漏洞等。

漏洞与补丁库一方面为产品、系统检测，风险评估、安全检查提供支撑服务，另一方面对外提供咨询服务，网上发布漏洞信息，定制客户漏洞处理方案，提供漏洞补丁和专用杀毒工具下载等。

5 “一中心”一体化安全检测管理中心完成上述“二库、五平台”的互联互通和信息共享，实现检测项目统一管理，检测数据统一汇总，检测结果统一判定，形成感知设备检测报告、物联网系统检测报告、物联网系统风险评估报告以及集成化安全管理检查报告等。

一体化安全检测管理中心由项目管理、场景管理、感知设备检测、系统检测、风险评估、集成化安全管理检查、工具集、基础库管理八个核心模块组成，整个平台由项目库、标准及指标库、方法库、漏洞与补丁库四个数据库支撑，管理中心框架设计如图9所示。

6 技术特点（1）提供开放式检测环境物联网应用的广泛性和复杂性，仅依赖单一场景无法满足客户的多层次需求，通过开放式检测环境，可实现感知设备、接入方式、业务应用的检测环境，使得检测手段更丰富、更精准。

（2）提供多类型、多元化的检测一体化安全检测体系通过感知设备检测、系统检测、风险评估、管理检查的一体化检测服务，提供产品检测和系统检测、实验室检测和现场检测服务，满足物联网复杂多变的检测需求，使得安全检测更全面性，帮助客户准确评估物联网安全性。

（3）提供技术与管理全方位检测物联网安全包含技术与管理两方面，技术与管理并重，本体系通过“五平台”实现产品、系统技术类检测/风险评估与安全管理检查，全方位、整体评估物联网安全性。

（4）提供技术符合性和关联外在风险评估相支撑的检测物联网安全问题是动态发展的，在安全技术符合性检测的基础上，提供适用于动态评估物联网工程的风险评估服务。

风险评估旨在通过关联外在风险，结合自身脆弱性评估系统和工程的安全性，与技术符合性检测相支撑。

（5）提供一体化服务模式提供一个灵活、规范的信息组织管理平台和全网范围的网络协作环境，实现集成的信息采集、内容管理、信息搜索，能够直接组织各类共享信息和内部业务基础信息，实现信息整合应用，同时也提供管理中心支撑下的统一项目管理、统一数据汇总、统一结果判定的一体化服务系统。

7 结束语目前，我国政策环境好，物联网已成为国家发展战略，初步明确了未来发展方向和重点领域，但产业和行业标准正在建立，是机遇也是挑战。

经济环境上，中国企业正在随着国家的快速发展，持续提升竞争力和国际影响力，对物联网安全性的需求逐步增强，企业对物联网安全问题的认知提高，经济支付能力也在增强。

通过对各行业物联网建设方面的调查发现，当前已有的物联网应用对其安全性的检测和技术支持需求十分迫切，物联网安全检测产业市场前景乐观。

上述“一中心、二库、五平台”形成专业的平台，加上精专的人才、全面的服务内容和敏捷的反应，构建物联网一体化安全检测专业化服务体系架构。

从而提升价值、方便客户、节约成本、提高效率，满足物联网安全检测集成化、规模化的需求。

参考文献[1] T Grobler， Prof B Louwrens. New Information Security Architecture[J]. 2005， University of Johannesburg.[2] 范红，邵华等. 物联网安全技术体系研究[J].第26次全国计算机安全学术交流会，2011（09），5-8.[3] 谭建平，柔卫国等. 基于物联网的一体化安全防范技术体系研究[J].湖南理工学院学报， 2011，第24卷第4期 46-51.[4] Jackie Rees， Subhajyoti Bandyopadhyay etc. a policy framework for information security. Communication of the ACM， Volume 46 Issue7， 2003， P101-106.[5] 郎为民，杨德鹏，李虎生.智能电网WCSN安全体系架构研究[J].信息网络安全，2012，（04）：19-22.[6] 余勇，林为民.工业控制SCADA系统的信息安全防护体系研究[J].信息网络安全，2012，（05）：74-77.基金项目：国家863高技术研究发展计划资助项目（2009AA01Z437）和国家863高技术研究发展计划资助项目（2009AA01Z439）。