萬物互聯下的網絡安全分析

◆周泳成

萬物互聯下的網絡安全分析

◆周泳成

（大連海事大學（大連）信息科學技術學院 遼寧 116026）

隨著科技發展，智能設備數量的激增，萬物互聯成為全球未來發展的重要方向，由此給傳統的網絡安全研究增加了新的挑戰。本文首先介紹了物聯網的系統框架，包括感知層、網絡層和應用層。接著對物聯網安全的漏洞以及存在的如僵尸網絡、身份竊取、社會工程學等攻擊類型和特點進行了分析，最后介紹了物聯網安全技術在消費物聯網、車聯網和工業互聯網的應用場景。

物聯網（IoT）；網絡安全；漏洞分析；場景風險

第四次技術革命正在引領人類社會邁向萬物互聯的時代，物聯網也隨之成為新時代的基石，當下Internet of Things （IoT）技術的發展可謂是十分迅猛，隨著5G，也就是第五代移動通信網絡的到來，IoT技術達到了一個全新的高度。

但是，任何事物都有兩面性，物聯網在驅動全行業數字化的同時，新技術應用也帶來了安全風險。由于攻擊物聯網的工具越來越先進，實施攻擊的技術門檻越來越低，直接導致物聯網終端設備成為新的攻擊對象，其中最直接的例子就是利用AI技術發起攻擊。因此物聯網在數據和設備穩定性方面的安全具有了重要意義，物聯網安全技術的研究也刻不容緩。

1 物聯網系統框架

物聯網（IoT）就是物物相連的互聯網。主要有兩層意思：其一，物聯網的核心和基礎仍然是互聯網，是在互聯網基礎上的延伸和擴展的網絡;其二，其用戶端延伸和擴展到了任何物品與物品之間，進行信息交換和通信，也就是物物相連。目前物聯網運用廣泛，實例眾多。例如在環境科學方面，隨著環境污染的嚴重加劇，IoT技術與實時空氣監測相結合進行智能凈化和信息搜集，為我國空氣治理提供了新的方向。與此同時，其與門禁系統、云計算等技術的結合也日益密切，解決了不少當今社會存在的問題。

物聯網的結構大致分為兩種，設備直接聯網和通過網關聯網。從技術架構上來看，物聯網可分為三層：感知層、網絡層和應用層。感知層處在物聯網的最底層，包括傳感器系統（如溫度傳感器、濕度傳感器等），標識系統（如二維碼標簽、RFID（Radio Frequency Identification）標簽和讀寫器等），衛星定位系統（如GPS）以及相應的信息化支撐設備（如計算機硬件、服務器、網絡設備等），它們組成了感知層的最基礎部件。感知層的主要功能是識別物體，采集信息。網絡層由各種私有網絡、互聯網、有線和無線通信網、網絡管理系統和云計算平臺等組成，負責傳遞和處理感知層獲取的信息。應用層是物聯網和用戶（包括人、組織和其他系統）的接口，它與行業需求結合，實現互聯網的智能應用。

而像物聯網這樣結構龐大的網絡必然存在更多的安全漏洞，我們熟知的有如數據泄露，惡意軟件感染等網絡安全威脅，相比于普通互聯網，它們的攻擊類型也更多樣化。因此物聯網安全的漏洞應當引起人們的高度關注并去解決，由此下文進一步分析了物聯網的安全漏洞特點。

2 物聯網安全漏洞分析

2.1 服務端系統安全性[1]

物聯網的服務端是整個物聯網業務系統的核心。無論是終端傳感器數據收集處理等基本功能還是像用戶分級認證和系統維護管理等系統運行所需的關鍵性任務都是由服務端完成的。物聯網服務端的任務量極大，這也使得安全漏洞頻頻出現。眾所周知，終端傳感器采集的數據及用戶請求在處理過程中涉及數據存儲，部分功能會與數據庫層進行數據交換，因此，數據泄露成為這個過程中比較典型的安全問題。

數據泄露給社會帶來的損失不計其數。在剛剛過去的2018年中，根據Identity Theft Resource Center及其他信息來源編制的信息中得知，2018年十大數據泄露事件共泄露了近7.05億條記錄，而這只是冰山一角，全球數據泄露事件不止十件，這是一個極其嚴重的網絡安全問題。可見，服務端系統安全性是物聯網安全漏洞防護的重要一環。

2.2 客戶終端系統安全性

物聯網終端系統組成成分包括傳感器和網關，能夠實現對信息的采集、識別和控制。從技術特點層面上它分為輕型終端、復雜終端和物聯網網關三類[3]。輕型終端用于單一的物理用途，低成本元器件和低耗近距離通信（如RFID、藍牙低能耗（BLE）等）是輕型終端主要組成部分和工作方式，常見的有可穿戴設備、家庭安防傳感器等。復雜終端與輕型終端不同，它可以實現更多功能，通常內置基本處理器，可運行本地應用程序或處理音頻視頻數據等。它是通過蜂窩這一類長距離通信鏈路與服務端進行數據互換。常見的有智能家電、智能汽車跟蹤監測設備、工業控制系統等。而物聯網網關則具備更強大的處理能力，同于管理長距離通信鏈路（如蜂窩網、以太網等），它在物聯網業務系統中起到網絡匯聚接入的作用。常見的有物聯網服務網關、用戶端設備網關。但在以上三類終端的工作環境下，安全漏洞仍存在。

終端物理安全和終端自身安全是最直接的終端系統安全漏洞，它們是由于感知終端處于不安全的物理環境及感知設備不完備的安全防護能力不足造成的。我們所認知的惡意軟件感染也正是終端系統安全漏洞危害最大的例子。攻擊者一旦把感知終端或節點攻破，他們就可以用簡單的工具分析出終端或節點所存儲的機密信息，木馬、病毒的攻擊也是利用感知終端或節點的漏洞進行的。知名的惡意軟件感染事件有引發大規模分布式拒絕服務攻擊（DDoS）的Mirai、Torlus、Gafgyt等，破壞性之大，感染范圍之廣，給社會帶來一場網絡災難。

2.3 物聯網通信網絡安全

物聯網的通信網絡系統主要用于將感知層獲取的信息在網絡中進行傳遞和處理，由于物聯網涉及的網絡多樣性，因此它面臨的網絡安全威脅更為復雜。其中無線數據傳輸鏈路的脆弱性是通信網絡最常見的安全隱患。

無線數據傳輸分為公網數據傳輸和專網數據傳輸，我們熟知的5G就是公網無線傳輸。無線數據傳輸一般借助無線射頻信號通信。無線網絡的脆弱性使其很容易受到各種各樣的攻擊，攻擊者可以使基站無法正常工作從而造成通信中斷，除此之外，信號的傳輸缺乏一個堅固的保護措施，在傳輸過程中會被攻擊者竊聽或篡改。

2.4 常見的IoT攻擊類型

（1）僵尸網絡

僵尸網絡（一般由物聯網設備打造的僵尸網絡稱做ThingBots）是由不同種類的設備組成的，它們都是互聯互通的。黑客利用自己編寫的分布式拒絕服務攻擊程序將數萬個淪陷的機器，即傀儡機，組織成一個個命令與控制節點，用來發送偽造包或者是垃圾數據包，使預定攻擊目標癱瘓并“拒絕服務”。例如主動漏洞攻擊，郵件病毒等。

（2）中間人攻擊

中間人攻擊在密碼學和計算機安全領域中是指攻擊者與通訊的兩端分別創建獨立的聯系，并交換其所收到的數據，使通訊的兩端認為他們正在通過一個私密的連接與對方直接對話，但事實上整個會話都被攻擊者完全控制。例如“圖靈色情農場”。

（3）身份竊取

身份竊取的主要方式就是收集數據。互聯網上的一些數據，系統內部的探針，一些健身、跑步、健康數據，甚至是智能電表、冰箱、電視包括品牌、芯片等數據都可以拿來運用，由數據分析人員對這個人的身份做一次全方位的評測。所以說，關于用戶身份的數據越多，身份盜竊就越容易。

（4）社會工程學

在計算機科學中，社會工程學指的是通過與他人的合法地交流，來使其心理受到影響，做出某些動作或者是透露一些機密信息的方式。這通常被認為是一種欺詐他人以收集信息、行騙和入侵計算機系統的行為。攻擊者尋求的信息可能會有所不同，但當某個人成為目標，攻擊者通常會主動針對此人尋找其公開的或被泄露在互聯網上的關鍵信息。例如他們會通過獲取到的個人密碼與銀行信息，去測試個人其他賬戶的密碼是否相同。

（5）拒絕服務

拒絕服務（DoS）攻擊亦稱洪水攻擊，是一種網絡攻擊手法，其目的在于使目標計算機的網絡或系統資源耗盡，使服務暫時中斷或停止，導致其正常用戶無法訪問。DoS攻擊發生后IoT設備會停止或部分停止運作。雖然設備停止工作的原因有很多，但是如果是惡意行為造成的話，一般都是指的設備因工作量過載而無法應付正常工作行為的情況。

3 物聯網技術場景風險分析

物聯網技術產品越來越成熟，物聯網應用已經滲透到了生產和生活的各個環節，與此同時，物聯網安全漏洞也伴隨著物聯網技術的發展進入各行各業。以下三個是對當代最典型的，也是最成熟的應用場景進行的安全漏洞分析。

3.1 消費物聯網

消費物聯網是以消費為主，利用物聯網智能設備極大的改善或影響人們的消費習慣為目的生產、打造的智能設備網絡。其中智能家居是消費物聯網最主要的消費級產品，因此智能家居的信息泄露問題成為消費物聯網最主要的安全威脅。

首先物聯網的核心是物物交互，所以在數據交互的過程中涉及大量的個人信息和彼此具有密切相關性的大量數據，而這些數據就成了黑客的攻擊目標。智能家居系統包括個人信息，個人位置等重要信息，這些信息很容易被利用現有的技術手段收集并加以利用。例如我國國內在近幾年就引發了多起黑客控制家用攝像頭的事件，在國外，2017年日本出現了多起智能電視的勒索病毒事件。因此智能家居的信息保護成為我們目前在消費物聯網發展過程中的關鍵性問題。

3.2 車聯網

車聯網即“汽車移動物聯網技術”，是指裝載在車輛上的電子標簽通過無線射頻等識別技術，實現在信息網絡平臺上對所有車輛的屬性信息和靜、動態信息進行提取和有效利用，并根據不同的功能需求對所有車輛的運行狀態進行有效的監管并提供綜合服務。

隨著數字系統越來越成為汽車安全系統的核心，網絡安全已經成為車聯網的首要任務。由于汽車在聯網狀態下存在諸多可攻破的漏洞，近年來相關案例比比皆是，例如2014年360安全實驗室負責人劉健皓破解特斯拉，通過發送遠程鏈接即可獲得特斯拉駕駛權。現在越來越多的高駕駛輔助系統（ADAS）技術被應用到汽車的安全駕駛中，但人們更多的關注點是這些輔助功能的執行、決策的可靠性、安全性，或多或少的忽略了汽車在電子化、智能化的同時，也增加了遠程破解的風險。另外一方面，通過無線接口將基礎設施技術和車輛系統拉近的趨勢也使車輛成為網絡生態系統的一部分，從而可能引發重大的網絡安全問題。而為了避免這種安全隱患，世界各國都開始了汽車網絡安全的研究，制定相應的法規政策。

3.3 工業互聯網

工業互聯網是全球工業系統與高級計算、分析、傳感技術以及互聯網的高度融合，它通過智能機器間的連接并最終將人機連接，結合軟件和大數據分析，重構全球工業、激發生產率，讓世界更快速、更安全、更清潔且更經濟。

也正是因為全球化，導致國際化威脅越來越嚴重。與前兩者相比，它的安全隱患更具影響力。近年來，工業互聯網的發展使得現實世界和網絡世界深度聯通，導致網絡空間的攻擊穿透虛擬空間，直接影響到工業運行安全，并擴散、滲透到城市安全、人身安全、關鍵基礎設施安全，乃至國家安全，它已成為國與國之間網絡戰的攻擊目標，例如烏克蘭連續發生黑客攻擊導致大面積斷電。工業互聯網的重要性使它成為網絡攻擊的首要目標，我國也正加大力度進行保護。

4 結語

物聯網發展極快，伴隨而來的安全威脅也越來越多，網絡安全技術的發展越來越重要。未來的物聯網技術還會不斷突破，我們將面臨越來越多的挑戰，物聯網和網絡安全技術的結合是時代發展的必然，當我們可以很好的處理物聯網中的安全問題時，物聯網技術才算是真正走向成熟。

[1]孫文，馬進，張大偉.物聯網體系結構研究[J].中國設備工程，2019（03）：167-168.

[2]何亮.盤點2018年十大數據泄露事件[J].計算機與網絡，2019，45（02）：56-57.

[3]中國通信院：2018物聯網安全白皮書.http：//www.199it.com/archives/775417.html.

[4]郭燕杰. 面向智能家居的物聯網隱私保護模型的設計與應用[D].北京工業大學，2012.

[5]陳正，李博，胡寧，張東偉，高夕冉.車聯網安全問題的研究及應對方法[J].北京汽車，2019（01）：27-29.

[6]汪進.工業互聯網的內涵與發展分析[J].現代工業經濟和信息化，2019，9（04）：10-11.