一、摘要

物理网即IOT,全称为The Internet of Things,从字面意思可以看出其目的为利用互联网连接一切物体，即万物互联。物联网作为新一代互联网信息技术，其带来的万物互联的特性受到各个国内外的关注，且开展技术研究、产品发展以及应用渗透到各个行业。

近年来，随着5G时代的来临，包括物联网等新技术与应用逐步融合，为业务和行业带来了新的机遇。然而新技术衍生的漏洞成为了国家关键技术设施和国家安全的重要威胁，这些带有国家背景或情报机构的黑客组织可通过物联网安全漏洞开展网络攻击，还能通过物联网漏洞开展网络情报收集工作。根据CNNCD统计数据显示，2018年物联网终端漏洞数量高达916个，涉及包括但不限于路由器、网关、打印机、摄像头、智能手表、机器人、无人机、机顶盒、智能家居等。

二、电力行业物联网安全现状

电力行业深入研究以及利用“云大物移智“的技术优势持续推进电网智能化的建设，利用新兴技术与电力业务、场景进行融合、升级与改造，其中物联网的技术研究与应用分别在“变、输、供、配”等方面取得了多项突破性的创新型科研成果，将先进的传感器技术、大数据分析技术、通信技术、自动化控制技术和能源电力技术等有效结合，并与电网基础设施高度集成形成新型的现代化电网。

图片摘自：全球新能源网

根据《电力发展“十三五”规划》的相关要求，物联网技术应用在电力行业中的各个业务场景的不断深入渗透和应用，使得安全防护边界逐渐拓展至智能终端、移动app等领域，导致原有的安全边界被打破变得模糊，传统的安全防护治理手段已经无法为新型应用和技术提供充分的安全支撑，其物联网带来的安全问题将成为新的安全挑战。而现实的情况是，近些年在全球物联网快速发展的同时，却不断曝出安全事件。如：众所周知的伊朗核电站“震网”病毒事件；基于物联网的僵尸网络攻击Mirai事件；乌克兰电网恶意代码攻击导致大面积停电事件；美国电力系统防火墙被绕过导致通信中断事件等。另外，在《十三五国家信息化规划中》，明确提出了加强对关键信息基础设施技术的威胁感知和持续防御能力建设，增强网络安全防御能力和威慑能力，而国网物联网技术建设中涉及的大量业务应用都是国家网络空间关键信息基础设施的重要组成部分。

物联网典型的云管端架构，除了面对传统的攻击面风险时，物联网的感知层还在于数量多、种类杂、分布广、碎片化等特点（如：智能计量、智能充电桩、智能配电设备、智能监控摄像头、智能电话等等），极大增加了安全风险。如黑客可能直接攻击智能设备并植入恶意代码；攻击者物理接触破坏、篡改或更换软硬件；对业务指令进行篡改或伪造从而非法进行控制；已注册APN的SIM卡被恶意窃取或盗用；伪造智能设备连入连入内网。而导致这些风险归纳总结后，主要来自于以下几个方面：首先来自设备生产厂商的安全开发意识薄弱，而行业内并没有可参考的安全架构、安全编码规范或安全标准；其次，由于感知层存在智能终端数量多，业务多样性，使得无法对设备无法做到有效的统一管理，安全标准化无法适应于复杂多样的感知层终端上；再者，智能设备的操作系统、代码、通信、数据等并未得到有效防护，导致感知层设备普遍面临白盒攻击的风险。另外，物联网设备需要实时在线，部分设备不具备远程更新机制，即使有更新机制但由于担心更新造成生产故障，因此也很难及时对漏洞修补；然而对于这些漏洞的攻击工具在网络上很容易获取，使得攻击技术门槛大大降低；最后，在技术手段上目前缺乏有效的安全检测和防护工具，设备被攻击和感染恶意代码，也难以发现和追踪。以上这类问题成为了安全治理的难题。

图片：泛在电力物联网应用架构

三、安全治理思路

针对于物联网感知层设备的碎片化、设备先天性缺陷、安全防护措施薄弱等问题，传统安全体系框架在面对新的威胁和攻击显得不能够完全适应。因此采用Gartner提出的面向下一代的安全体系框架ASA（自适应安全框架）来应对云大物移智时代所面临的安全形势。

自适应框架从预警（Predict）、防御(Protect)、检测(Detect)、响应(Response)即PPDR的四个角度进行，强调持续的、循环的安全防护，对安全威胁进行实时动态分析，自动适应不断变化的网络和威胁环境，并根据安全闭环不断优化自身安全体系。

图片：Gartner自适应框架

基于ASA的PPDR自适应防护模型，针对于感知层设备安全防护总体应采用主动防御的方式：

预警（预测）：预警环节是要建立起针对于智能设备的全天候的态势感知能力，能够高校准确的感知分布在各地、不同设备类型以及业务的安全风险和攻击。风险预警的思路为首先对智能设备进行深度指纹识别，快速发现连接在网络内的所有智能设备。其次利用探针方式不断采集设备内核层、设备应用以及进程行为过程等的异常行为，通过多个维度进行威胁数据建模，大数据威胁情报等手段进行关联性分析，持续的主动学习去识别未知的异常事件来嗅探潜在的、未暴露的安全威胁，从而识别威胁攻击源、攻击路径以及攻击范围。

防御：在预警发生后可以结合实际情况，定制安全防护策略，对任意设备发生的安全攻击行为进行及时阻断，目的在于智能设备乃至物联网业务应用受到影响前拦截攻击动作。阻断攻击的方法可根据实际情况，如：加固智能设备系统、应用、模块或协议，也可通过隔离措施防止被污染的设备联入网内；也可联动其他安全防护设备，自动调整策略阻断攻击源、攻击载荷以及攻击协议。

检测： 对所有待入网设备进行配置检测和安全基线检查，保障待入网设备的初始安全性，同时应该引入代码审计与渗透测试手段，从白黑盒两个维度发现漏洞并及时修补。 另外，设备入网后也能够对所有已入网设备开展定期的安全漏洞检测和扫描，如：智能设备弱口令检测等，防止由于升级、更新以及新漏洞而引入新的安全问题。其次，对于智能设备不能够仅仅使用基于已知或规则的检测手段，还应使用异常的深度检测，这种深度检测基于大量数据的特性行为深度学习，从而检测出未知的、可疑的、异常的行为以及攻击源、攻击路径以及攻击范围。

响应：响应不仅能够对已知的攻击进行处置，也能够对未知的、“异常”的攻击进行处置。为了能够达到这种响应能力，需要结合预警、检测中的攻击路径进行分析和调查取证，根据结果来实施必要的安全措施，并将这种安全措施输出至预警与防御环节，优化和完善对攻击预测的能力。

四、小结

新的技术必然会带来新的安全问题，物联网感知层设备必然成为传统网络安全防御体系的薄弱点。当然，我国法律法规、相关执法监管机构也在不断完善对于新技术的安全防护治理要求和监管政策。对于电力行业的泛在电力物联网建设，应在合规基础上，构建相适应的全场景安全防护体系，将可信互联、安全互动、智能防御的技术理念进行深入应用，提升感知覆盖物联网感知层全环节网络安全态势的能力，强化智能设备的安全风险管控能力，实现安的预警、防护、检测与响应的闭环。总体而言，安全体系建设不仅是一个动态的，也是一个持续的过程，在业务发展过程中不仅要遵循“三同步”原则，安全动作也应考虑前置，让安全规划建设、安全支撑保障、安全运维管理更加有效与合规。

本文作者：四叶草安全 鱼进

声明：本文来自关键基础设施安全应急响应中心，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。