物联网合规监控计划的搭建与实施

# 物联网合规监控计划的搭建与实施 ## 1. 物联网安全基础工作 ### 1.1 Bug 修复 Bug 修复应与开发周期内的其他功能处理方式一致。将缺陷报告（DRs）录入产品待办事项列表（如 Jira 问题），并将其优先级排到下一个冲刺阶段。在严重情况下，可以暂停新功能开发，专注于修复关键安全漏洞。完成每个 DR 后，应进行回归测试，以确保在修复过程中不会引入新的意外缺陷。 ### 1.2 报告工作 安全供应商已开发出用于报告合规性的仪表盘，可利用这些仪表盘向管理层提供报告，每个合规工具都有其自身的报告功能。 ### 1.3 系统设计更新 当在物联网系统和设备中发现安全漏洞时，需进行回顾性分析，确定是否需要对系统和网络进行设计或配置更改，或者是否允许设备继续在其上运行。至少每季度审查前三个月发现的漏洞，重点识别对基线和架构的必要更改。在很多情况下，通过简单的网络配置更改就能缓解特定设备的严重漏洞。 ### 1.4 定期风险评估 应定期进行风险评估，理想情况下借助第三方来验证物联网系统不仅符合规定，还达到最低安全基线。至少每六个月进行一次黑盒渗透测试，每年至少进行一次更有针对性的白盒测试。测试应关注整个物联网系统，而非仅设备本身。部署物联网解决方案的组织应建立全面的渗透测试计划，包括黑盒和白盒测试，以及针对常用物联网应用协议的模糊测试。 ## 2. 黑盒评估 黑盒评估成本相对较低，旨在在不了解设备所采用技术的情况下尝试攻破设备。在资金允许的情况下，可让第三方对设备及其支持的基础设施进行黑盒测试。每个物联网系统至少每年进行一次评估，如果系统更新频繁，则应增加评估频率。若系统全部或部分部署在云端，至少应对部署在云容器中的代表性虚拟机进行应用程序渗透测试。若有已部署系统的测试基础设施模拟环境，对其进行渗透测试可获取有价值的信息。 黑盒评估的其他方面如下表所示： | 活动 | 描述 | | --- | --- | | 物理安全评估 | 根据预期部署环境确定物理安全需求，例如是否存在未受保护的物理或逻辑接口，设备处理或存储的数据敏感性是否需要防篡改保护，如防篡改外壳、嵌入式保护或在物理入侵时擦除内存的响应机制。 | | 固件/软件更新过程分析 | 了解固件或软件如何加载到设备中，设备是定期轮询软件更新服务器还是手动更新，初始软件如何加载（由谁在何处加载），如果通过 JTAG 接口加载工厂软件映像，该接口在现场是否仍易于访问，软件/固件在静止、下载和加载到内存过程中如何保护，是否在文件级别进行完整性保护，是否进行数字签名和认证，软件补丁能否分块下载，以及下载/安装过程因故中断会发生什么。 | | 接口分析 | 识别所有暴露和隐藏的物理接口，映射所有设备应用和系统服务（以及每个服务的相关协议），确定访问每个服务（或功能）的方式，哪些函数调用需要认证，认证是基于每次调用还是仅在初始化会话或访问设备时进行一次认证，哪些服务或函数调用不需要认证，哪些服务在执行前需要额外的授权步骤，若无需认证即可执行敏感操作，设备的预期环境是否仅允许授权人员访问的高安全区域。 | | 无线安全评估 | 确定设备使用的无线协议以及这些协议已知的漏洞，无线协议是否使用加密技术，是否使用默认密钥，密钥如何更新。此外，无线协议通常有默认配置选项，某些选项可能不适合特定的操作环境，例如，如果蓝牙模块支持旋转 MAC 地址，而在物联网应用中不是默认配置，可以考虑将其设为默认。 | | 配置安全评估 | 关注系统内物联网设备的最佳配置，确保没有不必要的服务运行，仅启用授权协议，并评估最小权限原则。 | | 移动应用评估 | 大多数物联网设备可与移动设备或网关通信，因此需要对移动设备进行评估。在黑盒测试期间，应尝试描述移动应用的功能、能力和技术，尝试攻破与物联网设备直接或通过 Web 服务网关连接的接口，并研究替代方法来覆盖或替换移动应用与物联网设备之间的信任关系。 | | 云安全分析（Web 服务安全） | 在此阶段，应调查物联网设备或移动应用与云托管服务使用的通信协议，包括分析是否采用安全通信（如 TLS/DTLS）以及设备或移动应用如何向云服务进行认证。无论端点是与本地还是云端基础设施通信，都必须对其进行测试，某些 Web 服务器存在已知漏洞，在某些情况下，这些服务器的管理应用程序面向公众，这不是一个好的组合。 | 以下是黑盒评估的流程 mermaid 图： ```mermaid graph LR A[开始] --> B[确定评估目标] B --> C[进行黑盒测试] C --> D{是否发现漏洞} D -- 是 --> E[记录漏洞信息] E --> F[生成评估报告] D -- 否 --> F[生成评估报告] F --> G[结束] ``` ## 3. 白盒评估 白盒（有时称为玻璃盒）评估与黑盒评估不同，安全测试人员可以完全访问目标系统的设计和配置信息。白盒测试可进行的活动及描述如下： | 活动 | 描述