2024物联网基础安全

物联网网络层基础安全技术2023物联网网络层安全

物联网网络层安全威胁和安全需求

物联网核心网安全新措施

移动通信接入安全

无线接入安全

物联网网络层安全2物联网网络层安全物联网网络层：主要通过各种网络接入设备与移动通信网和互联网等广域网相连，把感知层收集到的信息快速、可靠、安全地传输到信息处理层，然后根据不同的应用需求进行信息处理、分类、聚合等，实现对客观世界的有效感知及有效控制。网络层主要由网络基础设施和网络管理及处理系统组成。1.1物联网网络层概述3物联网网络层安全承载网络：主连接终端感知网络与服务器的桥梁是各类承载网络。物联网的承载网络的包括核心网络（NGN）、2G通信系统、3G通信系统、LTE/4G通信系统等移动通信网络，以及WLAN、蓝牙等无线接入系统。1.1物联网网络层概述41.2网络层面临的安全问题

针对物联网终端的攻击针对物联网承载网络信息传输的攻击针对物联网核心网络的攻击物联网网络层安全51.2.1针对网络终端的攻击病毒、木马对网络终端的威胁：随着物联网终端的计算和存储能力的增强，使其遭受病毒、木马等侵入的机会也大大增加；且病毒或木马在物联网中具有更大的传播性、更强的破坏性、更高的隐蔽性，因此威胁更大；网络终端自身平台缺乏完整性保护和验证机制：平台软/硬件模块容易被攻击者篡改；终端内部各通信接口间缺乏机密性和完整性保护：传递的信息容易被窃取或篡改。物联网网络层安全61.2.1针对网络终端的攻击使用偷窃的终端和智能卡对终端或智能卡中的数据进行篡改对终端和智能卡间的通信进行侦听伪装身份截取终端与智能卡间的交互信息非法获取终端和智能卡中存储的数据物联网网络层安全71.2.2针对承载网络信息传输的攻击

(1)对非授权数据的非法获取

基本手段为：窃取、篡改或删除链路上的数据；伪装成网络实体截取业务数据；对网络流量进行分析；

(2)对数据完整性的攻击

攻击者对系统无线链路中传输的业务与信令、控制信息等进行篡改，包括插入、修改和删除等；物联网网络层安全81.2.2针对承载网络信息传输的攻击

(3)拒绝服务攻击

物理级干扰：通过物理手段对无线链路干扰，阻塞正常通信；

协议级干扰：通过诱使特定的协议流程失败，干扰正常通信；

伪装成网络实体拒绝服务：攻击者伪装成合法网络实体，对用户的服务请求作出拒绝回答。

(4)对业务的非法访问攻击攻击者伪装成其他合法用户身份，非法访问网络，或切入用户与网络之间，进行中间攻击。物联网网络层安全91.2.3针对核心网的攻击

(1)对数据的非法获取

对用户业务、信令和控制数据的窃听，伪装成网络实体截取用户信息以及对用户流量进行主动与被动分析，即：对系统数据存储实体的非法访问；在呼叫建立阶段伪装用户位置信息等。

(2)对数据完整性的攻击对用户业务与信令消息进行篡改；对下载到用户终端或UsIM的应用程序与数据进行篡改；通过伪装成应用程序及数据发起方篡改用户终端或USIM的行为；篡改系统存储实体中储存的用户数据等。物联网网络层安全101.2.3针对核心网的攻击

(3)拒绝服务攻击

基本手段包括：物理干扰、协议级干扰、伪装成网络实体对用户请求作出拒绝回答，滥用紧急服务等。

(4)否认攻击主要包括：对费用的否认、对发送数据的否认、对接受数据的否认等。(5)对非授权业务的非法访问

基本手段包括伪装成用户、服务网络、归属网络，滥用特权非法访问非授权业务。物联网网络层安全111.3网络层安全技术需求物联网的特点物联网具有：由大量机器构成、缺少人对设备的有效监控、数量庞大、设备集群等特点。物联网网络层安全特点物联网除具有传统网络安全的问题之外，还具有一些与现有网络安全不同的特殊安全问题。

物联网网络层安全121.3.1物联网网络层安全特点

(1)无法复制传统网络成功的技术模式

不同应用领域的物联网具有完全不同的网络安全和服务质量要求；

(2)不同于传统网络的安全架构传统网络的安全架构是从人通信的角度设计的，而物联网中以机器通信为主。若使用传统网络安全架构，会割裂物联网机器间的逻辑关系；

(3)物联网需要严密的安全性和可控性

物联网中的大多数应用均涉及个人隐私或企业内部机密，因此，需具有保护个人隐私、防御网络攻击的能力；物联网网络层安全131.3.1物联网网络层安全特点

(4)多源异构的数据格式使网络安全问题更复杂

物联网在感知层从各种感知节点所采集的数据海量且多源异构，致使网络接入技术、网络架构、异构网络的融合技术和协同技术等相关网络安全技术必须符合物联网业务特征；

(5)对于网络的实时性、安全可信性、资源保证性方面的要求均高于传统网络如：在智能交通应用领域，物联网必须是稳定的；在医疗卫生应用领域，物联网必须具有很高的可靠性。物联网网络层安全141.3.2物联网网络安全需求

(1)业务数据在承载网络中的传输安全

需要保证物联网业务数据在承载网络传输过程中，数据内容不被泄露、不被非法篡改、数据流信息不被非法获取；

(2)承载网络的安全防护需要解决的问题是：面对最常见的病毒、木马、DDOS等网络攻击，如何对脆弱的传输节点或核心网络设备进行安全防护；

(3)终端及异构网络的鉴权认证提供轻量级鉴别认证和访问控制，实现对终端接入认证、异构网络互连的身份认证、鉴权管理及对应用的细粒度访问控制；物联网网络层安全151.3.2物联网网络安全需求

(4)异构网络下终端的安全接入

针对物联网M2M的业务特征，对网络接入技术和网络架构均需要改进和优化，以满足物联网业务的网络安全应用需求：①网络对低移动性、低数据量、高可靠性、海量容量的优化；②适应物联网业务模型的无线安全接入技术、核心网优化技术；③终端寻址、安全路由、鉴权认证、网络边界管理、终端管理等技术；④适用于传感器节点的短距离安全通信技术、异构网络的融合技术和协同技术。物联网网络层安全161.3.2物联网网络安全需求

(5)物联网应用网络统一协议栈需求

物联网核心网层面是基于TCP/IP协议，但在网络接入层面，协议种类繁多，有GPRS/CDMA、短信、传感器、有线等多种通道，因此物联网需要一个统一的协议栈和相应的技术标准，从而杜绝通过篡改协议，协议漏洞等攻击威胁网络应用安全；

(6)大规模终端分布式安全管控物联网应用终端的大规模部署，对网络安全管控体系、安全检测、应急联动、安全审计等方面提出了新的安全需求。物联网网络层安全17物联网网络层安全1.4物联网网络层安全框架181.4物联网网络层安全框架物联网网络层构成

物联网网络层可分为：业务网、核心网、接入网三部分；物联网网络层安全解决方案

(1)构建物联网与互联网、移动网相融合的网络安全体系结构；(2)建设物联网网络安全统一防护平台；(3)提高物联网系统各应用层之间的安全应用与保障措施；(4)建立全面的物联网网络安全接入与应用访问控制机制。物联网网络层安全192.现有核心网典型安全防护系统部署物联网核心网构成

主要是运营商的核心网络；物联网核心网安全20物联网核心网安全212.1现有核心网典型安全防护系统部署安全通道管控设备

部署于物联网LNS服务器与运营商网关之间，用于抵御来自公网或终端设备的各种安全威胁，其主要特点为：

透明：对用户和网络设备透明，满足电信级要求；

管控：根据需要对网络通信内容进行管理、监控。

LNS(L2TPNetworkServer)表示L2TP网络服务器，是PPP端系统上用于处理L2TP协议服务器端部分的设备；L2TP(Layer2TunnelingProtocol)第二层隧道协议，是一个数据链路层协议，基于UDP。物联网核心网安全222.1现有核心网典型安全防护系统部署物联网AAA服务器

是一个能够处理用户访问请求的服务器程序。提供验证授权以及帐户服务。AAA服务器通常同网络访问控制、网关服务器、数据库以及用户信息目录等协同工作。

AAA

Authentication：

验证用户是否可以获得访问权限；

Authorization：

授权用户可以使用哪些服务；

Accounting：

记录用户使用网络资源的情况。物联网核心网安全232.1现有核心网典型安全防护系统部署网络加密机

部署于物联网应用的终端设备和物联网业务系统之间，建立一个安全通道，并且隔离终端设备和中心服务器之间的直接连接，所有的访问必须通过加密机采用分组密码算法加密。防火墙根据制定好的安全策略过滤不安全的服务和非法用户，将内网和外网分开，并根据系统的安全策略控制出入网络的信息流。物联网核心网安全242.1现有核心网典型安全防护系统部署入侵检测设备

为终端子网提供异常数据检测，及时发现攻击行为，并在局域或全网预警。

(1)获取网络中的各种数据，然后对IP数据进行碎片重组；

(2)入侵检测模块对协议数据进一步分拣，将TCP、UDP、ICMP数据分流；

(3)针对TCP数据，入侵检测模块进行TCP流重组；

(4)最后，入侵检测模块、安全审计模块和流量分析模块分别提取与其相关的协议数据进行分析。物联网核心网安全252.1现有核心网典型安全防护系统部署综合安全管理设备

在统一的调度下，完成对各类安全设备的统一管理，能够对产生的安全态势数据进行会聚、过滤、标准化、优先级排序红外关联分析处理，支持对安全事件的应急响应处置，能够对确切的安全事件自动生成安全响应策略，及时降低或阻断安全威胁。物联网核心网安全262.1现有核心网典型安全防护系统部署补丁分发服务器

部署于安全防护系统内网。采用B/S构架，可在网络的任何终端通过登录内网补丁分发服务器的管理页面进行管理和各种信息查询；所有网络终端需要安装客户端程序以对其进行监控和管理。同时在外网部署一台补丁下载服务器，用来更新补丁信息。防病毒服务器由监控中心和客户端组成。监控中心部署在安全保密基础设施子网中；客户端分服务器版和主机版，分别部署于服务器或主机上。物联网核心网安全272.1现有核心网典型安全防护系统部署漏洞扫描服务器

对不同操作系统下的计算机在可扫描的IP范围内进行漏洞检测，主要用于分析和指出计算机网络的安全漏洞及被测系统的薄弱环节，给出详细的检测报告，并针对检测到的安全隐患给出相应的修补措施和安全建议。可扫描的漏洞分类拒绝服务攻击、远程文件访问测试、FTP测试、后门测试、Windows测试、防火墙测试、SMTP问题测试、接口扫描等。物联网核心网安全282.1现有核心网典型安全防护系统部署证书管理系统

主要签发和管理数字证书，由证书注册中心、证书签发中心以及证书目录服务器组成。物联网核心网安全29物联网网络层安全302.1现有核心网典型安全防护系统部署应用访问控制设备

采用安全隧道技术，在应用的物联网终端和服务器之间建立一个安全隧道，并且隔离终端和服务器之间的直接连接，所有的访问必须通过安全隧道，否则一律丢弃。应用访问控制设备工作方式应用访问控制设备收到终端设备从安全隧道发来的请求，首先通过验证终端设备的身份，并根据终端设备的身份查询该终端设备的权限，根据终端设备的权限决定是否允许终端设备的访问。物联网核心网安全31移动通信接入安全移动通信系统的主要安全威胁

主要安全威胁来自网络协议和系统的弱点，攻击者可以利用网络协议和系统的弱点非授权访问、非授权处理敏感数据、干扰或滥用网络服务，对用户和网络资源造成损失。基于移动通信的物联网网络安全体系主要由网络安全接入与终端认证体系、网络安全防护体系和网络安全管控体系三个网络安全平台组成。物联网核心网安全32物联网网络层安全333.1移动通信安全接入要求(1)基于多种融合技术的终端接入认证技术网络接入设备采用NAC技术，客户端采用NAP技术，从而达到两者互补；TNC技术的目标是解决可信接入问题。具体技术思科（Cisco）公司在2003年11月，为了应对网络安全中出现的这种情况，率先提出了网络准入控制（NetworkAdmissionControl，NAC）和自防御网络（SDN）的概念。微软公司也迅速做出反应，提供了具有同样功能的网络准许接入保护方案（NetworkAccessProtection，NAP）。物联网核心网安全343.2移动通信接入安全具体技术在2004年5月，可信计算组织（TrustedComputingGroup，TCG）成立了可信网络连接（TrustedNetworkConnect，TNC）分组，TNC计划为端点准入强制策略开发一个对所有开发商开放的架构规范，从而保证各个开发商端点准入产品的可互操作性。

华为公司也紧随其后，于2005年上半年推出了端点准入防御（EndpointAdmissionDefense，EAD）产品。物联网核心网安全353.2移动通信接入安全(2)基于多层防护的接入认证体系为保证终端的接入安全，需要从多个层面分别认证、检查接入终端的合法性、安全性。如：通过网络准入、应用准入、客户准入等多个层面的准入控制。(3)接入认证技术的标准化、规范化思科公司及华为公司选择的是EAP协议、RADIUS协议和8