物聯(lián)網(wǎng)安全是個(gè)全棧的行為，是“服、用、云、管、邊、端”全生態(tài)統(tǒng)一協(xié)作聯(lián)合布防才能生效的課題，僅僅從物聯(lián)網(wǎng)設(shè)備端采取嚴(yán)防死守的策略并不能阻抗已經(jīng)滲透到各個(gè)角落的APT攻擊。因此我們可以從物聯(lián)設(shè)備啟動(dòng)、Rootkit注入保護(hù)、DDOS攻擊防御、設(shè)備安全準(zhǔn)入、數(shù)據(jù)和協(xié)議安全等幾個(gè)方面綜合考查物聯(lián)網(wǎng)安全的應(yīng)對(duì)之策。除此之外，還要保證物聯(lián)網(wǎng)管控平臺(tái)、云平臺(tái)、互聯(lián)互通接口、物聯(lián)網(wǎng)業(yè)務(wù)系統(tǒng)等基礎(chǔ)設(shè)施的安全。

1.基于可信計(jì)算的安全啟動(dòng)技術(shù)

可信計(jì)算是由TCG（Trusted Computing Group，可信計(jì)算組織）推動(dòng)和開發(fā)的安全計(jì)算技術(shù)，在計(jì)算和通信領(lǐng)域中廣泛應(yīng)用基于硬件安全模塊的可信計(jì)算平臺(tái)以提高整個(gè)系統(tǒng)和應(yīng)用軟件的安全性與完整性。作為一門新興技術(shù)，其主要目標(biāo)包括計(jì)算平臺(tái)的完整性、平臺(tái)的遠(yuǎn)程證明、數(shù)據(jù)存儲(chǔ)的安全性、數(shù)字知識(shí)產(chǎn)權(quán)保護(hù)。

作為高級(jí)可持續(xù)威脅（APT），如果不是潛伏在系統(tǒng)的最深層，如果不是先于操作系統(tǒng)加載，如果不能在啟動(dòng)過程中制衡保護(hù)軟件實(shí)現(xiàn)對(duì)自己“免殺”，那實(shí)在不好意思稱自己是“合格的APT”。對(duì)于這樣心高氣傲神通廣大的威脅代碼，唯一的辦法就是先于它掌控系統(tǒng)的運(yùn)行權(quán)。可信計(jì)算技術(shù)就是這場(chǎng)“運(yùn)行權(quán)戰(zhàn)爭”中的“定海神針”，采用層層度量的方式校驗(yàn)每一個(gè)啟動(dòng)步驟的完整性和正確性，通過信任鏈的可傳導(dǎo)性來保證計(jì)算平臺(tái)的完整性。

度量是一級(jí)級(jí)從底層向上逐級(jí)度量的，通常是以先啟動(dòng)的軟硬件代碼（例如安全芯片）作為信任根，并以此為標(biāo)準(zhǔn)對(duì)后一級(jí)啟動(dòng)的軟硬件進(jìn)行度量，如此實(shí)現(xiàn)信任鏈的向后傳遞，以保證系統(tǒng)計(jì)算環(huán)境可信。整個(gè)過程遵循“先度量再執(zhí)行”的策略，例如在Windows系統(tǒng)啟動(dòng)時(shí)，可以以BIOS中的某段代碼為核心信任根模塊（可信根），對(duì)啟動(dòng)鏈上的BIOS/UEFI、WinLoader、操作系統(tǒng)鏡像文件等進(jìn)行逐級(jí)靜態(tài)度量（如圖1所示）。

圖1 操作系統(tǒng)啟動(dòng)的信任鏈

可信根作為整個(gè)系統(tǒng)信任鏈的底端必須可信，因此可信根一般是通過廠家在安全芯片中直接植入算法和密鑰實(shí)現(xiàn)的，具有不可覆蓋性，因此這部分代碼也被稱為可信軟件基（TSB，Trusted Software Base）。

ARM作為老牌的處理平臺(tái)廠商亦針對(duì)消費(fèi)類物聯(lián)設(shè)備的安全保密與可信計(jì)算提出了TrustZone技術(shù)。該技術(shù)本質(zhì)上是一種硬件平臺(tái)結(jié)構(gòu)和安全框架，將片上系統(tǒng)的軟硬件資源分為安全世界與非安全世界（類似X86系統(tǒng)下的0環(huán)和3環(huán)），通過訪問權(quán)限的差異性來保證資源的安全性，非安全世界和安全世界通信需要通過中間的Monitor Mode進(jìn)行轉(zhuǎn)換（如圖2所示）。

圖2 TrustZone架構(gòu)視圖

2.Rootkit防御技術(shù)

Rootkit是系統(tǒng)安全領(lǐng)域老生常談的一個(gè)話題，無論采用哪種處理器架構(gòu)，也無論在什么操作系統(tǒng)中，Rootkit都鬼影相隨。所謂Rootkit，就是系統(tǒng)中以隱藏自身、控制設(shè)備和獲取隱私信息為目的的惡意代碼。物聯(lián)網(wǎng)設(shè)備“中的招”十有八九就是以獲取信息和控制設(shè)備為特征的Rootkit惡意進(jìn)程/代碼模塊，因此對(duì)于Rootkit的防御就顯得尤為重要。

Rootkit的執(zhí)行特征如下：

（1）將惡意代碼放置在內(nèi)存的數(shù)據(jù)區(qū)，通過堆棧溢出等手段在數(shù)據(jù)區(qū)執(zhí)行這些代碼。

（2）通過遠(yuǎn)程線程、默認(rèn)加載等方式將惡意代碼模塊加載到應(yīng)用進(jìn)程中，即“模塊注入”。

（3）通過掛鉤操作系統(tǒng)的重要方法（例如系統(tǒng)調(diào)用或中斷響應(yīng)例程等）來獲取自己渴求的數(shù)據(jù)。

（4）通過過濾型驅(qū)動(dòng)掛鉤網(wǎng)絡(luò)協(xié)議棧，以獲取重要網(wǎng)絡(luò)流量并對(duì)數(shù)據(jù)包進(jìn)行篡改。

（5）通過掛鉤重要可執(zhí)行模塊的EAT/IAT（導(dǎo)出/導(dǎo)入地址表）的方式改變進(jìn)程執(zhí)行流程。

從上述Rootkit的運(yùn)行特征可以反向推導(dǎo)出防范抵御Rootkit攻擊的手段。Windows系統(tǒng)在抵御Rootkit方面走在了前面，由于Windows系統(tǒng)的運(yùn)行環(huán)境和計(jì)算資源都比較寬松，因此擁有更多的機(jī)制和手段保障安全性。而對(duì)于物聯(lián)網(wǎng)的系統(tǒng)，由于其功耗、計(jì)算資源等方面的限制，操作系統(tǒng)一般比較精簡，因此有針對(duì)性地制定Rootkit防御機(jī)制就更顯必要。

（1）物聯(lián)網(wǎng)設(shè)備通信模塊短小精悍，一般不存在協(xié)議棧的說法，因此通過過濾型驅(qū)動(dòng)截取網(wǎng)絡(luò)數(shù)據(jù)包的方式在物聯(lián)網(wǎng)設(shè)備中不會(huì)存在。

（2）物聯(lián)網(wǎng)系統(tǒng)不存在遠(yuǎn)程線程、默認(rèn)加載等復(fù)雜的應(yīng)用機(jī)制，因此無需考慮模塊注入問題。

（3）堆棧溢出在物聯(lián)網(wǎng)系統(tǒng)中是比較常見的，因此可以采用類似Win7的數(shù)據(jù)執(zhí)行保護(hù)（DEP）機(jī)制阻止惡意代碼在內(nèi)存數(shù)據(jù)區(qū)被執(zhí)行。

（4）物聯(lián)網(wǎng)系統(tǒng)同樣也存在中斷響應(yīng)例程、系統(tǒng)調(diào)用服務(wù)例程等重要的方法，依然需要防止這些重要部位被掛鉤。可以采用類似Windows的PatchGuard機(jī)制防止這些重要部位被改寫。

（5）可采用內(nèi)核進(jìn)程簽名校驗(yàn)的機(jī)制阻斷不明進(jìn)程的安裝和運(yùn)行。

3.抗DDOS攻擊技術(shù)

DDOS攻擊也是網(wǎng)絡(luò)安全領(lǐng)域亙古不變的話題，無論物聯(lián)網(wǎng)還是視聯(lián)網(wǎng)，只要還支持TCPIP協(xié)議就面臨被DDOS攻擊的危險(xiǎn)。DDOS是一種攻擊大類，核心思想是通過車輪戰(zhàn)使目標(biāo)系統(tǒng)疲于應(yīng)付而無法正常運(yùn)行其他進(jìn)程，它包括細(xì)分的多種攻擊手段，常見的有以下幾種：

（1）SYN Flood

通過偽造大量不存在的IP地址，在極短時(shí)間內(nèi)向服務(wù)器不間斷發(fā)送SYN包，服務(wù)器回復(fù)確認(rèn)包SYN/ACK，并等待客戶端永遠(yuǎn)都不會(huì)響應(yīng)的確認(rèn)回復(fù)。如此服務(wù)器需要不斷重發(fā)SYN/ACK直至超時(shí)，這些偽造的SYN包將長時(shí)間占用未連接隊(duì)列，正常的SYN請(qǐng)求被丟棄，導(dǎo)致目標(biāo)系統(tǒng)運(yùn)行緩慢甚至癱瘓。這是利用TCP傳輸特性制造的“車輪戰(zhàn)”。

（2）ICMP Flood

極短時(shí)間內(nèi)向目標(biāo)主機(jī)不斷請(qǐng)求ICMP 回應(yīng)，導(dǎo)致目標(biāo)系統(tǒng)負(fù)擔(dān)過重而不能處理正常的IO業(yè)務(wù)。這是利用ICMP協(xié)議制造的“車輪戰(zhàn)”。

（3）UDP Flood

極短時(shí)間內(nèi)向目標(biāo)主機(jī)發(fā)送大量UDP 報(bào)文，致使目標(biāo)系統(tǒng)負(fù)擔(dān)過重而不能處理正常的IO業(yè)務(wù)。這是利用UDP協(xié)議制造的“車輪戰(zhàn)”。

（4）ARP Flood

攻擊者可以在極短時(shí)間內(nèi)發(fā)送大量ARP請(qǐng)求包以阻塞正常網(wǎng)絡(luò)寬帶，使局域網(wǎng)中有限的網(wǎng)絡(luò)資源被無用的廣播信息所占用而造成網(wǎng)絡(luò)擁堵。這是利用ARP包制造的“車流戰(zhàn)”，癱瘓的是承載網(wǎng)絡(luò)。

除了上述幾種利用二三四層協(xié)議營造的DDOS攻擊外，應(yīng)用層、會(huì)話層協(xié)議亦可以制造DDOS攻擊的效果，例如通過短時(shí)間超大量的HTTP請(qǐng)求使WEB服務(wù)器崩潰、在短時(shí)間內(nèi)通過超大量的流媒體會(huì)話協(xié)議使視頻服務(wù)器崩潰等等，這些攻擊手段都迎合了DDOS攻擊的本意，即極限施壓使之疲于應(yīng)付而崩潰。

一般情況下DDOS攻擊的抵御是通過引流的辦法，即首先需要防護(hù)系統(tǒng)判斷發(fā)生了DDOS攻擊，再啟動(dòng)流量引流機(jī)制，將DDOS攻擊包引導(dǎo)到攻擊緩沖區(qū)域進(jìn)行消化。由于物聯(lián)網(wǎng)領(lǐng)域設(shè)備數(shù)量龐大，尤其要注意防DDOS攻擊的問題。

（1）在IPv4環(huán)境下多采用私網(wǎng)穿透的方式與外部系統(tǒng)進(jìn)行通信。由于私網(wǎng)穿透通信的單向性，外部系統(tǒng)主動(dòng)發(fā)起DDOS攻擊的可能性較低，特別是在部署了對(duì)稱性NAT服務(wù)的時(shí)候，從外向內(nèi)通信的限制非常嚴(yán)格，也能在一定程度上阻斷DDOS攻擊流。

（2）物聯(lián)網(wǎng)與互聯(lián)網(wǎng)之間也會(huì)存在網(wǎng)絡(luò)隔離設(shè)備，例如安全接入平臺(tái)或網(wǎng)閘，其安全級(jí)別可以自主設(shè)置。雖然其通信效率較低，但能夠?qū)W(wǎng)絡(luò)包進(jìn)行深度檢測(cè)（DPI），也能在一定程度上阻抗DDOS攻擊流。

4.物聯(lián)網(wǎng)設(shè)備指紋技術(shù)

設(shè)備指紋是近年來新興的物聯(lián)網(wǎng)設(shè)備接入準(zhǔn)入技術(shù)。其核心原理是通過設(shè)備的操作系統(tǒng)、廠商ID、MAC地址、端口號(hào)、IP地址、協(xié)議報(bào)文種類等屬性生成一系列固定的且與每個(gè)設(shè)備相關(guān)的私有信息，以達(dá)到識(shí)別設(shè)備的唯一性。物聯(lián)網(wǎng)平臺(tái)通過設(shè)備指紋庫識(shí)別設(shè)備，對(duì)于非指紋庫內(nèi)的設(shè)備可進(jìn)行阻斷和報(bào)警。傳統(tǒng)識(shí)別設(shè)備唯一性的方法是通過ID，但這種方式存在相當(dāng)大的可仿冒性和可替換性，且由于設(shè)備ID一般處于OSI協(xié)議棧的高層，仿冒的門檻也更低。而通過設(shè)備指紋標(biāo)識(shí)設(shè)備的唯一性卻具有很低的可仿冒性和可替換性。

（1）設(shè)備的操作系統(tǒng)會(huì)帶有一定的標(biāo)識(shí)，例如版本號(hào)、廠商ID等，對(duì)于這些屬性的仿冒并不容易，可能要通過Patch的手段改動(dòng)內(nèi)核態(tài)變量。

（2）MAC地址、IP地址、端口號(hào)等屬性具有設(shè)備的唯一性，雖然也具有仿冒性，但仿冒這些聯(lián)合的屬性也并不容易。

（3）協(xié)議報(bào)文雖然遵循一定的標(biāo)準(zhǔn)，但每個(gè)廠商的設(shè)備協(xié)議的報(bào)文頭或報(bào)文體多少會(huì)有些私有信息存在，例如SIP協(xié)議頭域中的User-Agent屬性就會(huì)附帶廠商信息。再比如協(xié)議交互的時(shí)間間隔、回復(fù)特征等這些更加細(xì)微的區(qū)別也是設(shè)備指紋的重要組成部分。

因此，通過設(shè)備指紋鑒定設(shè)備的唯一性、檢測(cè)設(shè)備在線、設(shè)備私接、設(shè)備仿冒具有很高的不可仿冒性和不可替代性。

設(shè)備指紋生成包括主動(dòng)探測(cè)和被動(dòng)監(jiān)聽兩種方式。

（1）主動(dòng)探測(cè)方式的主要思想是主動(dòng)向物聯(lián)設(shè)備發(fā)送ICMP、UDP包，或者主動(dòng)建立TCP連接，甚至主動(dòng)發(fā)起一些應(yīng)用層以上的協(xié)議來探測(cè)設(shè)備的回復(fù)信息（例如ICMP echo reply、ICMP端口不可達(dá)、HTTP Response等報(bào)文），根據(jù)這些報(bào)文來識(shí)別設(shè)備的特殊屬性。有的廠家也會(huì)支持一些私有協(xié)議專門用以標(biāo)識(shí)設(shè)備的不可仿冒性。

（2）被動(dòng)監(jiān)聽方式的主要思想是通過網(wǎng)絡(luò)探針監(jiān)聽設(shè)備的交互報(bào)文，并將這些報(bào)文旁路到采集端進(jìn)行分析，通過源端口、源地址、MAC信息、報(bào)文特征等信息判別設(shè)備的不可替換性。

圖3 一種基于OSI協(xié)議棧指紋回聲的物甄別系統(tǒng)

設(shè)備指紋已在視頻監(jiān)控領(lǐng)域有了較為廣泛的應(yīng)用。但在物聯(lián)網(wǎng)其他領(lǐng)域，由于協(xié)議報(bào)文種類的繁雜性，且許多設(shè)備并不處于TCPIP網(wǎng)絡(luò)中，因此尚無太多的應(yīng)用場(chǎng)景。

5.數(shù)據(jù)安全技術(shù)

物聯(lián)網(wǎng)數(shù)據(jù)安全包括數(shù)據(jù)本身的安全和協(xié)議安全兩重內(nèi)涵。但無論是哪種內(nèi)涵，其本質(zhì)都是對(duì)數(shù)據(jù)和協(xié)議報(bào)文的加解密，當(dāng)然也包括協(xié)議的證書認(rèn)證機(jī)制。在安防領(lǐng)域，公安部早已制定了GB35114標(biāo)準(zhǔn)，并根據(jù)密級(jí)高低劃分了ABC三個(gè)等級(jí)，分別對(duì)協(xié)議報(bào)文進(jìn)行認(rèn)證加密、對(duì)視頻NAL進(jìn)行認(rèn)證以及對(duì)視頻內(nèi)容本身加解密。

國家強(qiáng)制性標(biāo)準(zhǔn)的加持是對(duì)數(shù)據(jù)安全的注腳。

來源： 《中國安防》