物联网感知设备安全通用技术要求草案

1、信息安全技术 物联网感知终端应用安全技术要求编制说明一、任务来源、起草单位，协作单位，主要起草人2009年8月7日，温家宝总理在无锡考察时提出“感知中国”的概念。北 京、江苏等地纷纷提出智慧城市的规划，物联网应用广泛开展，物联网安全成为 焦点问题。北京信息安全测评中心自2011年就开展物联网安全研究，包括物联网及 其应用安全防护方法研究、北京市政务物联数据专网安全测试研究、北京市 政务物联数据专网安全性测试、物联网安全测试方法和测试平台等。在上述工作的基础上，北京信息安全测评中心在2013年11月向市质监局 申报了物联网感知设备安全通用技术要求并得到批准。根据关于印发2014 年北京市地方标准

2、制修订项目计划的通知（京质监标发201436号），物联 网感知设备安全通用技术要求列入了 2014年北京市地方标准制修订项目计 划，是一类项目（即标准制定项目），是一项推荐性标准。在地方标准工作基础上，北京信息安全测评中心联合其他单位2014年底申 报制定信息安全技术物联网感知设备安全技术要求国家标准（关于通报全 国信息安全标准化技术委员会2014年信息安全标准项目的通知信安秘字 2015003号，隶属于WG5/WG6 工作组），标准制定单位为：北京信息安全测评 中心、工业和信息化部电信研究院、北京时代凌宇科技股份有限公司、大唐移动 通信设备有限公司、中国科学院信息工程研究所、威海北洋光电信息

3、技术股份公 司。由于本标准不仅关注感知类产品的功能和性能安全，而且更关注该类产品 的部署和应用安全，而用“感知设备”容易让读者误以为仅仅关注产品的功能和 性能安全，并且感知设备容易与传感器概念混淆，根据标准制定过程中的专家意 见，把标准名称调整为信息安全技术物联网感知终端应用安全技术要求。二、制定标准的必要性、意义、研究目标和内容随着物联网在感知中国和智慧城市中的广泛应用，安全保障越来越迫切。 国家专门成立了国家物联网基础标准工作组。国务院关于推进物联网有序健康 发展的指导意见（国发20137号）把安全可控作为物联网发展的一项基本原 则，把安全保障作为近期的一项发展目标，并制定了物联网专项行动

4、计划，制定 信息安全等一系列标准。物联网通常架构为“感、传、知、用”，其中感知是物联网信息系统相对于 一般信息系统具有自身的特色，在安全防护上也有自身具有特色的需求。这些特 色包括感知层的信息采集和指令执行、感知层组网，传输层中异构网络接入和传 输，知识处理层对各种感知终端和感知信息的处理，应用层中大数据的处理和保 护等。而目前针对物联网特色的安全相关标准还在研究制定阶段。本标准把关注点聚焦在能体现物联网特色的感知层感知终端的安全防护 上，主要针对物联网感知终端开展研究，提出通用的安全技术要求。三、主要工作过程1、2015年3月13日，课题组召开项目启动会，并邀请专家对标准草案进行 了研讨；2

5、、2015年1月-4月，北京信息安全测评中心依托北京市政务物联数据专 网安全测试课题，对北京市政务物联数据专网TD-LTE专网和网络边界、烟花 爆竹综合管理物联网应用示范、城市运行保障和应急抢险车辆卫星定位管理物联 网示范应用、危化企业安全监测系统、海舟慧霖葡萄园物联网应用系统、北京市 电梯运行安全监测信息平台物联网应用示范等进行安全测评，检测验证感知终端 的安全技术规范；3、2015年3-6月，课题组结合专家意见和实际系统的安全测评，对标准草 案进行了修改完善。4、2015年6月12日，安标委组织专家对标准进行了中期检查，与会专家对 标准工作提出意见和建议，课题组进行了修改完善。5、2015

6、年8月12日，课题组邀请信息安全技术物联网安全参考模型及 通用要求、信息安全技术物联网数据传输安全技术要求、信息安全技术物 联网感知层网关安全技术要求课题组的专家以及中国电子技术标准化研究院和 无锡物联网产业研究院的专家对标准进行研讨，会后根据专家意见进行了修改完 善。6、2015年8月至11月，课题组（1）研究吸收了信息安全技术物联网安 全参考模型及通用要求、信息安全技术物联网数据传输安全技术要求、信 息安全技术物联网感知层网关安全技术要求、信息系统安全等级保护基本要 求物联网扩展要求、信息安全技术政府联网计算机终端安全管理基本要求 等标准中关于感知终端和计算机终端要求的内容，对本标准进行了

7、修改完善;（2） 研究吸收了 2014年北京市政务物联数据专网安全测试报告-烟花爆竹综合管理 物联网应用示范、北京市政务物联数据专网安全测试报告-城市运行保障和应 急抢险车辆卫星定位管理物联网示范应用、北京市政务物联数据专网安全测试 报告-危化企业安全监测系统、北京市政务物联数据专网安全测试报告-海舟慧 霖葡萄园物联网应用系统、北京市政务物联数据专网安全测试报告-北京市电 梯运行安全监测信息平台物联网应用示范等测评报告内容，对本标准进行了修 改完善。7、2015年11月-2016年7月，课题组吸收物联网智能设备信息安全技术 需求等国内外标准，修改完善本标准内容。8、2016年7月，课题组专家标

8、准的专家研讨会，并根据专家意见进一步修 改完善标准。9、2016年8月，课题组分析了信息安全技术基于互联网电子政务信息安 全实施指南第4部分：终端安全防护、信息安全技术工业控制系统现场测控 设备安全功能要求、信息安全技术移动智能终端安全框架、信息安全技术 移动终端安全保护技术要求、信息安全技术智能卡读写机具安全技术要求（EAL4增强）、信息安全技术 射频识别（RFID）系统通用安全技术要求等 标准，并修改完善本标准。10、2016年8月，按照WG5组成员单位反馈的意见对标准进行了修改完善。 并召开了专家研讨会，根据专家意见对标准进行了修改完善。11、2016年9月初，按照WG5工作组在研标准推

9、进会上成员单位反馈的意见, 申请对标准名称变更，并对标准进行了修改完善，将完善后的标准提交给WG5工 作组。12、2016年9月12日，WG5 工作组组织专家对标准进行了形式审查，课题组根据专家意见修改完善，形成了征求意见稿。四、制定标准的原则和依据，与现行法律、法规、标准的关系本标准编制主要基于如下三个原则：一是实用原则。本标准力图在大量调研基础上，在分析物联网信息系统安 全威胁、脆弱性和可能的安全防护措施基础上，根据物联网面临的风险，自主研 制物联网感知终端安全技术要求，切实提高物联网信息系统安全防护水平。二是先进原则。在标准制定过程中，广泛参考国际物联网相关领域的最新 安全标准，包括物联

10、网、传感网、RFID、工业控制系统等领域的标准。三是一致性原则。本标准符合国家有关政策法规的要求，符合国家标准GB/T 1.1-2009的规定，结合信息安全技术信息系统安全等级保护基本要求(GB/T 22239-2008 )等国内标准制定，坚持与已颁布实施的相关标准相协调原则。五、主要条款的说明，主要技术指标、参数、实验验证的论述1、感知终端在物联网信息系统中的定位我们对国内外物联网体系框架以及感知层进行了研究，在此基础上确定把 规范物联网信息系统中感知终端的通用安全技术要求作为本标准的定位。在Telecommunications and information exchange betwee

11、n systems - Security framework for ubiquitous sensor network(ISO/IEC 20180)中提 出了泛在传感网的框架(如图1)，该框架分为传感网、接入网、下一代网络(NGN)、 中间件、应用层五个层次，传感网有各种感知终端、物(如标签)以及他们的组 网设备(如传感节点、网关等)组成，传感网通过有线或无线方式接入接入网。L*因 appjironrin?hi*、L*因 appjironrin?hi*、代g图1在Overview of Internet of Things(ITU-T Y.2060)给出的物联网框 架（如图2）中，把物联网系

12、统分为设备层、网络层、服务/应用支撑层和应用层。其中，设备层包含终端设备、终端节点和网关。Fi-asagc-iHrinnQa !*!: m7c:Fi-asagc-iHrinnQa !*!: m7c:JImir:mt!:nl:nuppbdlMn-w na.pEiEfllsl SpcMfk -capabsHWApplication I ayerS畋伊人ApplixaLioii stipporl InyrGeneric SupporlCapobilitiesSipipc i l i : S li p porlCiipifibil iliesNetwork1 aycrNetwork ing Capah

13、iilil ies/Trarii&pcrt Capbi lili弟DeviceTerminiHl Capabilities.Cijceway Capab-iiliEirs1 grEnd-node Capab-il iEiessrtCUTx-yDrt=lrar:kMftnsr=y cpGbz.-rtK nHpablillmnLHpns.inA caD苦 bjj-Meu在物联网白皮书（2011年）（工业和信息化部电信研究院）中提出的物 联网框架（见图3）中，把物联网分为感知层、网络层、应用层。其中感知层要 求有通信模块。图3在Industrial communication networks -

14、Network and system security - Part 1: Terminology, concepts and models (IEC 62443-1 )中把工业控制系统划分为 level 0-level 4 五 层(如图4)。Level 4EAlBfprie sems (bLisn&ss pla nraitg andOperatarrs rmncigernenLLevel 2SUFeryggi7 Level 4EAlBfprie sems (bLisn&ss pla nraitg andOperatarrs rmncigernenLLevel 2SUFeryggi7 血旭跖血

15、conrclInHjuis trialAUtamatiariand conuolSafety 0伽LSHl 0在信息安全技术工业控制系统安全防护技术要求和测试评价方法（工作组讨论稿） 中把工业控制系统也分为level 0-level 3四层。生产u理服酒律生产讣国眼若器岛孰应眦眼务ast作皓 xrt企业管理信息系统丛工业控制系统获取数据通行业务分赤 计费、日常管理等工作）Level 3运行管理生产过程展现/监视/控制Level 3运行管理工业控制系线（历史数据存储Level 2 集企业管理信息系统丛工业控制系统获取数据通行业务分赤 计费、日常管理等工作）Level 3运行管理生产过程展现/监视

16、/控制Level 3运行管理工业控制系线（历史数据存储Level 2 集中监控Level 2集中监控Level 1现场设备Level 0生产过程图5上述的各种模型，和业内关于物联网“感、传、知、用”的说法基本一致，且最 能体现物联网特点的是感知层。但感知层的认知各方有差异，在图1中，感知层 类似于传感网络，最为复杂，包括传感网组网设备、传感器、物（如标签）等； 图2中类似于图1，包括组网网关、组网节点和传感终端设备；在图3中，把组 网设备等划到网络层，感知层只包括感知终端，但要求感知终端要有通信能力； 在图4和图5中，level 0-level 1类似于具有通信能力的感知终端，但本地组 网集中

17、监控在level 2层，远距离运营管理则在level 3层。可以看出，在一般意义上，感知层包括感知终端以及链接这些感知终端的 短距离延伸网，这些短距离延伸网组网方式和协议多样，有有线，有无线的，无 线的又有利用Zigbee、wifi、蓝牙等，这些组网都有各自的安全特点。本课题 为了突出通用性，重点研究物联网信息系统中感知终端的通用安全防护要求。我 们把短距离延伸网看作网络层的一部分，不把它作为本标准要解决问题的重点。“物联网”、“感知终端”等概念对本标准较为重要。感知终端指能对物进 行信息采集和/或执行操作，并能联网进行通信的装置。本文的感知终端，第一是部署在物联网信息系统中的在线设备，而不仅

18、仅 是从工厂生产出来的产品；第二具有对物理世界中物进行信息采集和/或执行操 作的能力，包括RFID读写器、传感器（如红外、超声、温湿度等X执行器（如 智能开关等）、图像捕捉装置（如摄像头等）等类型；第三能与网络进行通信， 纯粹采集数据的传感器只有与具有通信能力的设备结合起来才能构成感知终端。 可以看出，感知终端不包括本地组网的中继设备、路由设备和网关等。2、感知终端与其他类型终端之间的关系目前我国与终端类型相关的的安全标准陆续制定，这些终端中，一类是计 算机终端，如信息安全技术政府联网计算机终端安全管理基本要求、信息 安全技术基于互联网电子政务信息安全实施指南第4部分：终端安全防护；另 一类是

19、各种类型的感知终端，这些标准中，有些是站在产品角度制定的产品安全 标准，如信息安全技术移动终端安全保护技术要求、信息安全技术智能卡 读写机具安全技术要求（EAL4增强）、信息安全技术工业控制系统现场测控 设备安全功能要求；有些是站在系统角度提出的系统类安全标准，如信息安 全技术 移动智能终端安全框架、信息安全技术 射频识别（RFID）系统通用安 全技术要求等。本标准是感知终端的通用安全技术标准，与计算机终端有某些共性；同时 本标准站在系统的角度，对处于信息系统中的感知终端的选用、部署、运行和维 护提出安全技术要求。3、感知终端安全问题分析与感知终端通用安全技术要求内容的确定我们在分析感知终端存

20、在的安全问题的基础上，确定感知终端安全技术要 求。与一般信息资产一样，物联网感知终端面临着各种各样的威胁。既有来自 感知终端所部署环境的威胁，如地震、洪灾等自然灾害，断电、潮湿、虫害等恶 劣环境；也有技术威胁，如感知终端质量不合格及老化等质量问题引起的故障， 感知终端囿于技术局限导致的系统崩溃和异常；还有人为威胁，如误操作等非恶 意人为威胁，非法俘获传感节点、恶意路由、拦截、篡改、伪造传感数据等恶意 人为威胁。物联网系统中，感知终端功能受成本限制，感知终端数量大、分布广泛， 部署环境恶劣，多采用无线方式组网，这些导致感知终端安全问题具有自身特色。 通过对现有物联网应用的调研，分析归纳物联网感知

21、终端面临的常见安全问题有 如下5个方面。（1）物理环境或物理破环导致感知终端不能正常工作由于感知终端大多处于无人监控且恶劣的环境中，可能被偷盗、非法移动 位置、人为破坏等（如采用插卡方式的感知终端，可能被恶意插拔卡），还包括 自然环境（如打雷、下雨、断电等）造成的感知终端无法工作。（2）对感知终端进彳丁恶意克隆利用鉴别机制弱点恶意部署同型号的设备，或获取感知终端的鉴别信息后 克隆一个相似的设备，接入物联网中，对物联网系统进行攻击。（3）感知终端不能正常传输信息攻击者通过无线电干扰、通过恶意代码实施拒绝服务攻击、通过攻击感知 终端所处网络的路由策略等，导致感知终端无法正常传输感知数据和接收指令。（4）感知信息泄露或篡改攻击攻击者利用物理获取或逻辑攻破的方式，通过分析感知终端所存储的敏感 信息以及与人身份相关联的隐私信息，从而造成信息泄露；访问者控制感知终端 以后，可能篡改、伪造、截取内部数据。（5）对感知终端进行非授权访问和恶意控制有些感知终端通常包含有操作系统或应用软件，攻击者可以非法访问感知 终端系统，从而达到对感知终端控制、破坏以及信息窃取的目的。对于具