关键词：物联网；业务平台；安全防护
引言
自2009年温家宝总理提出“感知中国”以来,物联网被列为国家五大新兴战略性产业之一，也写入了我国“政府工作报告”,2012年工信部颁布了《物联网“十二五”发展规划》是中国的第一个物联网五年规划。物联网在中国已经受到了全社会极大的关注，物联网的应用深入到人们生活与工作的各个领域。物联网是以海量的微型设备接入新一代互联网、结合了传统与新兴产业应用的全球性网络,为了能够促进物联网业务的健康发展，保障用户的合法权益，要加强物联网业务安全就要先做好物联网业务平台的安全防护。物联网业务平台的安全防护是保障整个物联网能够正常运转的基础之一。
1物联网简介
物联网（IoT，InternetofThings）可通过多种接入网络实现设备与设备、设备与应用、设备与人之间的通信，是互联网的延伸，实现“万事万物”的互通，具有：智能、先进、互联的三个重要特征。
物联网设备应具备通信能力，能够实现数据发送及接收，如汽车、监控、传感器等。
物联网业务指服务个人、家庭及行业用户，实现物与物、物与人之间进行信息交换和通信的业务。典型物联网业务包括个人穿戴、智能家居、交通物流、节能环保、安防监控、智慧城市、工业制造、智慧农业、智慧金融、智能家电等，常见的有智能摄像头、智能照明、智能手表等。
物联网业务平台是指物联网应用所对应的系统平台，可提供诸如连接管理、应用开发、设备管理、业务分析等功能，对物联网业务提供支撑服务。
2物联网业务平台的安全威胁及问题
由于物联网较互联网更为深入到人们生活与工作的各个领域，它的安全问题与应用范围和网络规模的大小更成正比。规模越大,应用越广泛,物联网面临的安全威胁就越多。
物联网的三层结构，在感知层、网络层以及应用层在与传统通信网络一样面临着一些基本安全威胁之外，还面临着一些特有的安全威胁。物联网业务平台属于物联网应用层，除传统的用户接入外有着更多的接入对象和接入方式，如更广泛的设备接入和应用接入。由于各种行业安全标准存在的差异性，终端安全设计不完善，使用不规范等因素，物联网业务平台面临的威胁其中有来自消费者物联网终端带来的威胁，诸如家庭路由器和监控摄像机等易受攻击的物联网设备很容易被劫持作为大规模网络攻击的“肉鸡”导致平台服务因网络或系统资源耗尽而终止；更多的接入也会产生更多的数据安全问题，对设备、人和应用之间的海量数据的安全保障更为艰难；更多的应用需要更多的业务系统支撑，复杂的应用增加了平台由内至外、从小到大的安全防护层级，包括平台内的每个系统本身、各系统之间和平台外的防护。
由于以上诸多因素，从管理纬度和范围对物联网业务平台安全防护带来更大的挑战。
3物联网业务平台安全防护技术
物联网业务平台安全防护体系可分为业务、接口、网络、系统、数据、运维六个层面。
1.业务安全包含了身份认证、权限管理、业务风险管控、传输通道四个方面；
2.接口安全主要包含平台间接口合法性校验和访问权限黑白名单机制两方面；
3.网络安全可从网络安全域划分和网络攻击防护等两个方面进行防护；
4.系统安全可从账号管理、访问控制、系统安装及软件更新、基线要求等方面进行安全管控；
5.数据安全可从数据隔离、传输安全、访问控制、数据存储等四个方面进行安全防护；
6.运维安全贯穿了以上业务、接口、网络、系统、数据五个层面的安全，可从账号管理、访问控制、安全审计、灾备与恢复等方面进行安全防控。
3.1业务安全
1.身份认证分为用户、应用和设备接入认证三种。
身份认证为每个用户、应用和设备的接入分配唯一不变的身份标识，不随其他信息更改而改变。设备的身份标识还需要关联设备厂商、设备型号等信息。
用户接入认证安全包括了四项措施：口令安全，含弱口令检测，口令的传输和存储要采用非可逆的哈希算法等进行加密，具备强制性定期更换口令功能；双因子验证，如采用动态短信验证、使用后立即失效，采用图形验证码可设计背景干扰，防止机器快速识别降低口令安全；防撞库的措施包括甄别正常访问请求，屏蔽非正常访问，可通过限制用户失败登录次数，IP地址、设备ID、锁定时间、解锁方式、同时在线限制等方式防止暴力破解；用户进行口令重置和找回操作时，为防止认证流程绕过、身份仿冒应对前后的请求进行身份关系的严格校验。
应用和设备接入认证的安全技术都要标识身份后进行身份合法性认证，采用强算法变换密钥才能传递，以此保证密钥加密传递的有效性和认证安全。各接入认证要分配不同密钥，其中设备密钥与设备标识绑定；其中应用接入对接口调用也须鉴权，限定操作的范围及权限。
2.权限管理
用户分级分组，根据不同用户的等级分组、应用和设备的等级或类型授予不同的业务访问权限；授权后才能执行业务等对应的操作。
3.业务风险管控
（1）物联网卡的安全管控：应具备对通信限制功能，对物联网卡的通信功能进行限制，包括定向语音、定向短信、定向流量等；
（2）业务安全管控：应具备对物联网业务使用数据流量、短信、话音等进行总量、频次限制的能力，当超过限制额度时，立即停止业务使用；
（3）用户行为管控：应具备对用户访问平台的内容、网站、总量、类型、频次、时长等进行限制，当超过限制额度时，立即停止使用。例如：智能家居场景中，支持对于指定用户访问网站、视频等内容及资源的类型、时长、地址、频次等进行限制；
（4）业务风险监控：应具备对以上四类管控对象进行监控的能力，并通过态势感知、业务风控等技术手段，对业务使用、能力调用、用户行为业务使用情况进行风控和审计，识别违规、异常行为进行告警处理；
（5）设备异常监控：应具备对设备行为进行监控的能力，当发现设备行为异常时，例如：非常规时间、非常规访问量、异常位置区域等行为，提供告警及处理机制。
4.传输通道安全
业务平台与物联网设备及其他业务平台之间的敏感信息（管理、登录密码、密码保护答案等）通过加密进行机密性保护，通过使用哈希算法、时间戳、计数器等进行完整性保护，防止未授权的第三方对数据进行修改、破坏和消息重放等。
3.2接口安全
1.业务平台与业务平台间之间进行合法性校验，防止业务平台冒用和越权访问；
2.被调用业务平台具备针对源IP地址范围授权功能，调用该业务平台时除提供静态口令外还需要对IP地址范围进行授权，应具备对调用业务平台所调用的资源记录完整操作日志的功能；
3.对于用户访问权限有要求的接口，通过访问黑/白名单机制，对非法用户访问进行拦截。
3.3网络安全
1.划分网络安全域。在业务平台与互联网之间、与内部支撑系统之间、业务平台内部所承载的业务系统之间进行安全域划分，在其他域到接入域、接入域到核心域，核心域内部划分安全域边界；通过VLAN隔离、策略互访：业务平台内的不同业务系统划分不同的VLAN，不同安全域使用不同的VLAN段。同一安全域内不同的业务系统使用不同的VLAN，所有VLAN之间缺省互相隔离。进行策略配置满足业务系统内部不同安全域的互访、不同业务系统之间的互访需求。并通过配置检查、渗透测试对安全域有效性进行检验。
2.网络攻击防护。设置应用层及网络层的防DDOS策略，如流量牵引、清洗等策略；具备WEB漏洞扫描能力，可发现并阻止如文件上传、SQL注入、XSS漏洞、CSRF漏洞、SSRF漏洞等安全问题；主机漏洞扫描功能，能够全面发现系统存在的安全漏洞、安全配置问题等脆弱性问题，检查系统存在的弱口令等；限制WEB应用中数据库连接和网络访问的环节和次数，避免出现空耗资源；设置入侵检测功能，记录入侵的源IP、攻击类型、攻击目的、攻击时间，并在发生严重入侵时提供报警。
3.4系统安全
包括账号管理、访问控制、系统安装及软件更新和安全基线要求。其中需要注意的是系统安装及软件更新，主机操作系统软件安装及接口开放应遵循最小原则，仅安装需要的组件和应用程序，仅开放必要的端口。及时更新操作系统、中间件的补丁。
3.5数据安全
包括了数据传输安全、数据的访问控制和存储安全。
数据传输安全同于传输通道安全要求。
采用权限控制功能，在虚拟化系统上对于数据库设置不同的访问策略，保证用户仅能对该业务系统对应的数据库进行权限内的操作，不能越权访问其他的业务系统数据。
数据存储安全。根据数据密级采用不同的安全存储机制，对于重要程度低的数据，可以明文存储，保证关键数据的保密性；支持密钥安全存储，如将密钥存储在加密机内部，保证密钥不被泄露；支持数据完整性的保护，对极敏感数据（含用户名、帐号）进行完整性检测，在数据损坏和丢失能及时发现；完备的数据备份和恢复功能，数据发生丢失或破坏，可以利用备份恢复数据，保证数据安全；对各类数据和文件进行归档和定期对临时数据及文件自动清理，数据删除后系统内的文件、目录和数据库等资源所在存储空间被释放或重新分配。
3.6运维安全
运维安全包含了账号管理、授权控制、安全审计与监测和灾难备份与恢复。
1.账号管理包含日志功能，记录管理员登录、操作信息，系统的远程维护通过HTTPS等加密协议进行，图形界面系统支持定时账户自动退出。
2.安全审计与监测除基本的日志保护措施外，通过基于流量分析、日志审计、沙箱等等方式对异常连接、异常访问、异常应用等进行实时监测和定期审计的功能，并根据发现的异常进行及时告警和处置。
3.灾难备份与恢复，主要是地质灾害时系统的异地冗余备份和敏感、关键数据备份及恢复。
4结语
物联网的应用越来越广泛和深入，它的发展对物联网业务平台带来的网络安全、信息安全、数据安全等安全问题比传统的互联网络更加严峻。本文从平台的安全体系架构的六个方面进行了较为全面的安全防护技术手段的论述，可为平台的安全提供技术参考。随着物联网的发展，安全技术还需要不断完善和落实在各个环节中，才能为物联网的持续健康发展夯实基础。
参考文献
[1]马文杰.物联网安全技术的研究与应用.山东大学,2011
[2]沈慧刘坚.物联网信息安全技术研究.广东科技,2013.4,8:42.
[3]王慧强吕宏武.物联网安全关键技术及应用研究.大庆师范学院学报，2012.11