等級保護2.0 下的物聯網安全防護措施

陳 曉 代琪怡

（電子科技大學成都學院，四川 成都611731）

1 概述

2008 年6 月19 日，我國發布了GB/T 22239-2008《信息安全技術信息系統安全等級保護基本要求》，并于2008 年11 月1日正式實施。我們稱該標準為“等保1.0”，該標準作為第一代等級保護，詳細定義了信息安全子類的安全標準、基本標準以及相應的標準解讀。為網絡安全服務了十年。

但隨著網絡安全的攻防對抗，傳統的等級保護1.0 已經不能滿足信息安全的要求，在AI 和物聯網的快速發展下，眾多潛在的安全問題暴露出來，顯然原來發布的等保1.0 標準已經不再適用于當前的網絡要求。

為了適應快速發展的網絡架構以及復雜多變的網絡環境，為了對等級保護1.0 做有效的梳理和升級，也為了適應信息安全中新領域中新技術、新架構安全擴展需求我國在2019 年5 月10 日發布了GB/T 22239-2019《信息安全技術 網絡安全等級保護基本要求》，并于2019 年12 月1 日正式實施。該標準被稱為“等保2.0”，同等保1.0 一樣與之配套的系列標準還有5 個，這一系列的在原有基礎上對相應的內容做了合并對新的技術安全需求做了擴展。

2 等保2.0 和等保1.0 的區別與變化

2.1 標準名稱變更

等保1.0 標準名稱由“信息安全”變更為“網絡安全”由此可見新的標準對網絡架構和網絡環境做了擴展。

2.2 等級保護對象變更

圖1

圖2

等保2.0 保護對象與等保1.0 相比更為廣泛，由“信息”拓展和依托于“網絡”，與之相匹配的網絡信息、云計算、大數據、物聯網甚至區塊鏈都在其標準范疇中。

2.3 控制結構變更

等保1.0 和等保2.0 的技術要求和管理要求中，對對通信環境、區域邊界、計算環境都提出了新要求和擴展，顯然等保2.0更傾向與復雜多變的網絡環境，同時對新的技術物聯網、AI 安全、工業控制提出安全擴展要求(圖1)。

2.4 安全要求變更

由原來的安全要求變更為安全通用要求，同時增加了針對云計算、移動互聯、物聯網和工業控制系統四個方面提出的安全擴展要求。

3 物聯網安全擴展要求

物聯網安全擴展要求是從安全物理環境、安全區域邊界、安全計算環境和安全運維管理四個方面進行描述的。

3.1 感知節點設備物理防護：第1、2 級的要求一樣，都要求感知節點設備所處的物理環境不對其造成物理破壞、工作狀態所處的物理環境能正確反映環境狀態；第3、4 級的要求在此基礎之上增加了感知節點設備工作狀態所處的物理環境不能對其正常工作造成影響、具備可長時間工作的電力供應。

3.2 接入控制：第1 至4 級的要求都一樣，只有授權的感知節點可以接入。

3.3 入侵防范：從第2 級開始要求，要求限制與感知節點和網關節點通信的目標地址。

3.4 安全計算環境的四項要求只針對第3、4 級提出，只有在“數據融合處理”上第4 級多一條要求，應對不同數據之間的依賴關系和制約關系等進行智能處理。

3.5 感知節點管理：第1 級對安全人員提出要起；第2 級新增了對感知節點設備和網關節點設備的要求；第3、4 級新增了保密性管理的要求（圖2）。

4 物聯網安全的防護措施

4.1 物聯網構成

物聯網分為感知層、網絡傳輸層和處理應用層三個邏輯層。

感知層包括傳感器節點和傳感網網關節點，網絡傳輸層包括將感知數據遠距離傳輸到處理中心的網絡，處理應用層包括對感知數據進行存儲與智能處理的平臺，并對業務應用終端提供服務。

網絡傳輸層和處理應用層按照安全通用要求進行保護，感知層按照安全通用要求和安全擴展要求進行保護（圖3）。

圖3

4.2 物聯網安全的防護措施

從總體上講，要構建安全的物聯網架構，針對物聯網各層的特點打造高效的安全體系。在處理應用層和網絡傳輸層采用認證機制，在傳輸過程中采取加密機制；在感知層上加強傳感網機密性安全控制與節點認證，加強入侵監測與安全路由控制。還可以通過代理防火墻和過濾防火墻來保護物聯網網絡信息的安全。最后是政府相關部門加大對網絡安全技術研發的支持力度，并且進一步完善法律法規。