物联网的风险：设备、网络、数据

物联网的风险：设备、网络、数据本文档提供：设备侧评估排查表；网络侧评估排查表；数据侧评估排查表；设备硬化控制验收表；网络分段与协议控制验收表；数据加密与最小化控制验收表；设备行为基线监测表；网络流量异常监测表；数据访问异常监测表；七处控制缺口排查表；决策规则表；完整示例与变量表；三套场景操作表。2026-11-09表1目录与定位表这一节的标题读完能拿到什么这一节在全文中的功能一、设备侧查三项：默认凭据、开放端口、固件签名设备侧评估排查表；三项硬性前置锁定单台设备的暴露面二、网络侧查两项：网段隔离规则和协议白名单网络侧评估排查表；隔离规则编号定位设备到设备、设备到外部的可达路径三、数据侧查两项：采集字段必要性和查询鉴权数据侧评估排查表；无授权测试记录定位字段级和接口级的泄露面四、设备控制四件事：改凭据、关服务、锁固件、建台账设备硬化控制验收表；四项通过标准把设备排查结果转成可验收的控制动作五、网络控制两件事：默认拒绝的分段和按设备放行的协议清单网络分段与协议控制验收表；规则与日志收窄可达路径并留下阻断证据六、数据控制三件事：传输加密、存储去标识化、留存到期删除数据加密与最小化控制验收表；三项硬性底线锁住传输、存储、留存三处七、设备监测看偏离：外连、重启、协议越界设备行为基线监测表；异常读数与触发动作从设备侧识别已被利用的迹象八、网络监测看流量：出站突增、横向扫描、DNS异常网络流量异常监测表；告警分级从流量侧定位横向移动和外部控制通道九、数据监测看访问：查询量、导出量、权限变更数据访问异常监测表；账户标识与记录数从数据侧发现异常读取和越权十、控制未完、告警已报、业务不能停：七处排查与裁决规则七处控制缺口排查表；决策规则表；矛盾四段裁决控制进度与告警处置的冲突十一、完整示例：智慧停车平台从轨迹泄露到三层控制落地转折记录表；变量表复现评估、控制、监测的全过程十二、来源层级与核对状态登记表来源说明表；核对路径登记来源层级与核对状态按第一列在正文找对应那节，按第二列判断该节有没有所需内容，按第三列判断该节是否对应当前卡住的位置。一、设备侧查三项：默认凭据、开放端口、固件签名打开资产清单，对每台在网设备做三项检查。第一项，用设备型号对应的默认凭据组合尝试登录管理界面，记录是否成功。第二项，扫描开放端口，记录Telnet（23）、FTP（21）、UPnP（1900）等非业务必需服务是否在监听。第三项，查看固件升级是否校验签名，以及设备型号是否仍在厂商安全支持周期内。OWASPIoTTop10把弱密码、不安全网络服务、缺乏安全更新机制列为前三类重复出现的漏洞。Mirai僵尸网络早期依靠62组默认凭据控制数百万设备；2026年的变种仍在利用已停产路由器和DVR的命令注入漏洞，受影响设备因生命周期终止无法获得补丁。表2设备侧评估排查表评估项打开什么看什么什么算合格不合格形态示例默认或弱凭据设备管理界面或登录日志用admin/admin、root/12345等组合能否登录首次登录强制改密，无硬编码账户出厂密码可登录且无法更改道闸控制器admin/admin可登录非必要网络服务设备端口扫描结果23、21、1900、5353等端口是否监听仅保留业务必需端口Telnet23开放且无访问限制摄像头开放23端口，可匿名连接固件签名验证固件更新日志或配置页升级时是否校验签名未签名固件无法刷入任意固件可写入摄像头通过TF卡刷入未签名固件成功厂商支持状态型号与厂商生命周期公告是否仍在安全更新支持期内在支持期内且有补丁渠道型号已停产，无补丁D-LinkDIR-823X已停产，CVE无补丁硬编码凭据固件提取或设备文档代码或配置中是否写死凭据无硬编码，凭据可轮换固件中存在固定root密码固件含固定维护账户输入：取资产清单的“设备型号”“IP地址”和厂商公告。动作：按表2第2列至第4列逐台核对。输出：设备排查记录一行一台，填不合格形态和证据（截图、端口号、固件版本）。判定：五项的“不合格形态”列有具体观察值；默认凭据和非必要服务两项为硬性前置，任一不合格的设备列入表5首批。二、网络侧查两项：网段隔离规则和协议白名单打开网络拓扑和流量镜像导出表。第一项，确认物联网设备所在网段与办公网、服务器区之间是否存在访问控制规则，规则默认动作是拒绝还是放行。第二项，抓取一段时间的设备通信，列出每台设备实际使用的协议和目标端口。MQTT未强制TLS时默认明文传输，CoAP基于UDP容易遭受IP欺骗和放大攻击，UPnP会自动打开防火墙端口。等保2.0物联网扩展要求“只有授权的感知节点可以接入”，以及“能够限制与感知节点通信的目标地址”。表3网络侧评估排查表评估项打开什么看什么什么算合格不合格形态示例网段隔离网络拓扑和防火墙规则物联网网段与办公网、核心服务器区之间是否有拒绝规则默认拒绝，白名单放行物联网与办公网同VLAN，无规则摄像头与财务系统同网段协议白名单设备通信流量导出表每台设备实际使用的协议和目标端口仅业务必需协议在放行清单内MQTT1883明文且全网可达传感器通过1883端口明文上报目标地址限制防火墙或网关访问控制列表设备可连接的目标地址范围仅允许连接指定broker或云端点设备可连接任意公网地址设备可外连任意IP的443端口入站暴露面互联网侧端口扫描设备管理端口是否直接暴露在公网管理端口不对公网开放公网可访问设备Web管理页道闸管理页暴露在公网输入：取网络拓扑、防火墙规则和流量镜像导出。动作：按表3第3列核对隔离规则和协议清单。输出：网络排查记录一行一项，附规则编号或流量记录。判定：“网段隔离”和“目标地址限制”两项有具体规则编号；“协议白名单”列有允许协议清单，清单外协议有阻断记录。三、数据侧查两项：采集字段必要性和查询鉴权打开数据流图和数据字典。第一项，列出每类物联网数据（设备标识、位置轨迹、音视频、传感器读数）的采集字段和留存期限，逐字段判断与业务功能的相关性。第二项，对查询和导出接口做一次无授权测试，确认是否需要身份验证和最小必要授权。重庆璧山停车公众号案例中，输入任意车牌号无需身份验证即可显示全区历史停放地点和精确出入时间，涉及30万条车辆行踪轨迹。儿童机器人玩具通过嵌入式SDK在后台持续收集精确地理位置并传输至第三方，未告知家长也未取得可验证同意。表4数据侧评估排查表评估项打开什么看什么什么算合格不合格形态示例采集字段与业务必要性数据字典和采集接口文档每个字段是否与业务功能直接相关无超出业务必要的字段采集精确位置但业务只需区域停车平台采集连续轨迹而非仅入场出场时间留存期限数据留存配置页或清理日志每类数据的保留天数和清理机制有明确天数且到期自动清理无期限，数据无限累积轨迹数据保留五年无清理查询与导出鉴权接口文档和访问日志查询是否要求身份认证和授权每次查询有身份校验和最小授权输入车牌即可查全量轨迹任意车牌查历史停放地点第三方SDK数据流向SDK清单和网络抓包SDK是否收集数据并外传无未告知的第三方传输SDK后台传输位置至第三方玩具SDK持续上传精确位置去标识化与加密存储数据库配置和样本记录敏感字段是否脱敏或加密位置泛化，标识去关联明文存储完整轨迹数据库明文存车牌与精确经纬度输入：取数据字典、留存配置和访问日志。动作：按表4第3列逐项核对，对查询接口做一次无授权测试。输出：数据排查记录一行一项，附字段名和日志记录。判定：“查询与导出鉴权”和“第三方SDK数据流向”为硬性前置；任一不合格，该数据类别标记“数据侧高危”，优先进入表7控制验收。四、设备控制四件事：改凭据、关服务、锁固件、建台账排查出不合格项后，设备侧控制按顺序做四件事。第一，全部默认凭据强制修改，硬编码账户禁用或删除。第二，关闭Telnet、FTP、UPnP等非必要服务，管理界面限制在运维网段。第三，固件签名验证启用，签名密钥存放在硬件安全模块中，未签名固件无法刷入。第四，建立设备生命周期台账，已停产设备列入替换计划或隔离运行。NISTIR8259系列把设备标识、配置管理、软件更新、网络安全接入作为设备能力核心基线。表5设备硬化控制验收表控制项做什么验收怎么查什么算通过不合格形态示例凭据替换修改全部默认密码，禁用硬编码账户用默认凭据尝试登录全部默认凭据登录失败admin/admin仍可登录道闸控制器默认密码已改，旧密码失效服务关闭关闭23、21、1900等非必要端口端口扫描复测开放端口仅剩业务必需Telnet23仍监听摄像头仅保留443和554固件签名启用签名验证，私钥存入HSM尝试刷入未签名固件未签名固件被拒绝未签名固件写入成功摄像头拒绝未签名TF卡固件生命周期台账逐台登记型号、支持状态、替换日期台账与资产清单核对每台设备有支持状态和动作无台账或状态空白D-LinkDIR-823X登记“已停产，2026-12替换”输入：取表2设备排查记录和资产清单。动作：按表5第2列逐项执行，按第3列复测。输出：设备硬化验收记录一行一台设备。判定：四项全部通过方可标记“设备侧受控”；凭据和服务两项为硬性底线，任一项不通过，该设备维持“暴露”状态，进入监测最高优先级。五、网络控制两件事：默认拒绝的分段和按设备放行的协议清单网络侧控制按两个层次做。第一层是分段：物联网设备放入独立网段或微隔离区域，与办公网和核心服务器之间默认拒绝，仅按业务流开放必要端口。第二层是协议白名单：每台设备仅允许使用其业务所需的协议和目标地址，MQTT强制TLS，CoAP限制来源和速率，UPnP关闭或限制在本地链路。零信任微隔离的原则是身份定义可达性，取代基于拓扑的隐式信任。表6网络分段与协议控制验收表控制项做什么验收怎么查什么算通过不合格形态示例网段隔离物联网划入独立VLAN或微隔离策略从物联网设备尝试访问办公网默认拒绝，白名单外不可达物联网设备可访问文件服务器摄像头无法访问办公网445端口协议白名单每台设备配置允许协议和目标抓包核对实际流量与清单清单外协议被阻断且有日志MQTT1883明文流量仍存在传感器仅允许MQTToverTLS8883至指定broker管理面收口设备管理端口限制在运维网段从业务网段扫描管理端口管理端口业务网段不可达业务网段可直接访问设备Web管理道闸管理页仅运维网段可达入站暴露清理关闭公网直接映射公网端口扫描无设备管理端口暴露公网可访问设备登录页公网扫描无设备管理端口响应输入：取表3网络排查记录和防火墙/网关配置。动作：按表6第2列配置，按第3列从业务网段和设备侧双向验证。输出：网络控制验收记录一行一项。判定：网段隔离和协议白名单两项有规则编号和阻断日志；管理面收口和入站暴露清理为硬性底线，任一不通过，该网段标记“未受控”。六、数据控制三件事：传输加密、存储去标识化、留存到期删除数据侧控制按三处做。传输处：设备到网关、网关到云端的链路启用TLS或国密加密，禁用明文协议。存储处：敏感字段加密或去标识化存储，位置数据泛化到区域级别，标识与轨迹去关联。留存处：每类数据设定明确保留天数，到期自动删除，第三方SDK的数据收集纳入清单管理并告知用户。等保2.0物联网扩展要求“能够鉴别数据的新鲜性，避免历史数据的重放攻击”，GB35114的SM4加密传输和SM3完整性校验提供了技术实现路径。表7数据加密与最小化控制验收表控制项做什么验收怎么查什么算通过不合格形态示例传输加密设备到网关、网关到云端启用TLS或国密抓包检查协议和加密套件无明文敏感数据轨迹数据明文HTTP上传停车数据通过TLS1.3上传存储去标识化位置泛化，标识与数据去关联抽样查询数据库记录无法从存储直接关联到个人明文存车牌与精确经纬度存储仅保留区域和脱敏设备ID留存期限执行配置到期自动删除或归档查清理日志和实际数据年龄超期数据已删除五年前轨迹仍可查轨迹保留180天后自动删除第三方SDK管控SDK清单、数据流向告知、最小权限抓包和SDK文档核对无未告知的外传，权限最小化玩具SDK持续上传精确位置SDK仅收集必要的设备状态，不传位置输入：取表4数据排查记录和数据流图。动作：按表7第2列逐项配置，按第3列抽样验证。输出：数据控制验收记录一行一项。判定：传输加密和查询鉴权两项为硬性底线；留存期限执行需有清理日志，第三方SDK管控需有SDK清单和告知记录。七、设备监测看偏离：外连、重启、协议越界设备侧控制上线后，监测从行为基线开始。对每台设备建立正常运行特征：通信目标、协议、发包频率、重启周期、CPU和内存波动范围。偏离基线的信号包括：设备向从未出现过的外部地址发起连接、短时间内反复重启、使用白名单之外的协议、流量突发系数超出正常波动。监测动作是拿当前读数与基线比，异常时触发处置。表8设备行为基线监测表监测指标怎么取数基线怎么建异常阈值或判定触发动作示例外连目标偏离设备流量日志的目标IP和端口上线后前7天出现的合法目标集合出现从未连接过的外部IP阻断并告警，人工确认摄像头连接境外IP的4444端口重启频率设备uptime和重启日志正常运行下的重启间隔24小时内重启≥3次且无计划维护标记异常，检查固件完整性道闸控制器一夜重启7次协议合规流量中的协议和端口每台设备的允许协议白名单出现白名单外协议阻断并记录传感器出现Telnet流量流量突发系数单位时间发包数的标准差/均值正常运行时的系数范围系数超出基线2倍以上限速并分析摄像头发包量突增10倍输入：取设备流量日志、重启记录和协议白名单。动作：按表8第3列建基线，按第4列判定异常。输出：设备行为监测记录一行一设备，异常行填触发动作。判定：每台受控设备有基线记录；异常行有具体读数和触发动作，无基线的设备标记“监测盲区”。八、网络监测看流量：出站突增、横向扫描、DNS异常网络侧监测看聚合流量和横向移动迹象。关键读数包括：物联网网段出站流量突增、设备之间的横向扫描（一台设备尝试连接同网段多个IP的多个端口）、DNS查询异常（大量随机子域或已知恶意域名）、UPnP或SSDP异常广播。Mirai变种感染后会扫描同网段其他设备的Telnet和Web端口，该行为在流量上表现为短时间内的多目标连接尝试。表9网络流量异常监测表监测指标怎么取数异常阈值或判定告警级别响应动作示例出站流量突增网段出口流量统计较7日均值上升3倍且持续5分钟高限速并排查摄像头网段出站流量突增横向扫描设备间连接日志单台设备5分钟内连接≥10个不同IP的端口高隔离源设备道闸控制器扫描同网段23端口DNS异常DNS查询日志随机子域占比高或命中恶意域名清单中阻断解析并记录设备查询随机长串域名SSDP/UPnP广播异常网段广播流量异常UPnP发现报文频次中关闭UPnP或限制本地链路设备发送大量SSDP发现报文输入：取网段出口流量、设备间连接日志和DNS日志。动作：按表9第3列判定，按第4列分级。输出：网络流量监测记录一行一指标，告警行填响应动作。判定：横向扫描和出站突增两项为高优先级；告警有响应动作和时间戳。九、数据监测看访问：查询量、导出量、权限变更数据侧监测看“谁在什么时候读了什么、读了多少”。关键信号：单个账户短时间内查询超过日常基线的记录数、导出接口被调用且导出量异常、账户权限发生非计划变更、非工作时段高频查询。智慧停车案例中的漏洞正是“输入任意车牌即可查询全量轨迹”，这类接口在监测上表现为无鉴权或鉴权失败率极低但查询量极高。表10数据访问异常监测表监测指标怎么取数异常阈值或判定触发动作示例查询量偏离接口访问日志的账户和记录数单账户小时查询量超7日均值3倍限流并通知负责人某账户一小时查询2万条轨迹导出行为导出接口日志单次导出记录数超过阈值或频率异常阻断导出并人工审批一次性导出10万条位置记录鉴权失败集中认证日志同一IP或账户短时间多次鉴权失败锁定并告警同一IP尝试100次不同车牌查询权限变更权限管理日志非计划内的角色或权限提升回滚并通知普通账户被加入管理员组输入：取接口访问日志、导出日志、认证日志和权限变更记录。动作：按表10第3列判定异常。输出：数据访问监测记录一行一指标，异常行填动作。判定：查询量和导出两项为高优先级；鉴权失败集中和权限变更为中优先级，告警有账户标识和记录数。十、控制未完、告警已报、业务不能停：七处排查与裁决规则设备硬化完成部分，网络分段在设计阶段，数据侧查询鉴权未改。监测报出3台摄像头外连未知IP、一台道闸控制器横向扫描、某账户一小时查询2万条轨迹。设备仍在网运行，业务不能停。从表11第一检查点开始排查控制缺口，再按表12裁决处置顺序。表11七处控制缺口排查表检查点打开什么看什么什么算合格不合格形态换哪条路凭据替换进度表5验收记录默认凭据是否全部失效全部设备默认凭据登录失败10%设备仍可用admin/admin登录优先完成剩余设备凭据替换非必要服务端口扫描复测Telnet/FRP/UPnP是否仍监听仅业务必需端口开放30%设备23端口仍开放按型号分批关闭并限源IP网段隔离防火墙规则和测试记录物联网到办公网是否默认拒绝有拒绝规则和阻断日志规则未实施先实施拒绝规则，白名单后补协议白名单流量导出表清单外协议是否有阻断记录无清单外协议流量MQTT1883明文仍存在强制TLS并阻断1883查询鉴权接口测试记录无授权查询是否返回数据无授权查询被拒绝输入车牌仍可查轨迹接口层加鉴权和限流数据留存清理日志超期数据是否删除无超期数据五年前数据仍可查配置到期自动删除并补删历史数据监测基线表8至表10记录每类设备是否有基线受控设备均有基线新接入设备无基线新设备上线前先跑7天基线输入：从表11第一检查点逐行打开。动作：按“看什么”列比对。输出：排查记录一行一检查点。判定：第一检查点有具体完成比例；“换哪条路”列有可执行动作。表12决策规则表编号如果可观察条件则执行动作如果判定失效条件则退路R1设备行为监测报外连未知IP且该设备凭据未改立即隔离该设备，完成凭据替换和服务关闭后再恢复隔离导致业务中断限制该设备出站至白名单，凭据替换并行R2网络监测报横向扫描且分段未完成先对源设备做端口级阻断，再推进分段无法定位源设备对整网段做临时出站限速和连接数限制R3数据监测报批量查询且查询鉴权未改立即在接口层加临时鉴权或限流，不等数据库层改造接口层无法快速加鉴权暂时下线导出功能，查询加人工审批R4设备已停产且无替换预算将该设备放入独立隔离网段，关闭所有非必要服务，监测频率提至每日隔离影响业务登记残余风险，设定最长隔离运行期限R5三项监测同时告警且人力不足以并行按R1→R3→R2顺序处置：外连设备风险最高，数据批量查询次之，横向扫描可先阻断源外连设备无法隔离先断外连目标IP，再逐台处置R6控制验收与监测告警争用同一批运维工时监测告警处置优先，控制验收中仅硬性底线项（凭据、服务、入站暴露）先行硬性底线项也无法完成对未受控设备降级为“仅监测运行”，登记控制欠账矛盾陈述：某智慧停车平台有1200台地磁传感器、200台道闸控制器和60台摄像头。设备硬化完成凭据替换，Telnet端口尚未关闭；网络分段方案已出但未实施，物联网设备仍在办公网段；数据侧查询接口仍可用车牌直接查询全量轨迹。监测系统在凌晨报出3台摄像头连接境外IP的4444端口，一台道闸控制器扫描同网段设备的23端口，数据侧某账户一小时查询2万条轨迹。业务侧要求早高峰前不得断网。实质分析：三项告警指向三个层面的失控：摄像头外连意味着设备可能已被控制，道闸扫描意味着横向移动已经开始，批量查询意味着数据正在被异常读取。控制进度落后于攻击面暴露。设备硬化只做了凭据，Telnet开放使扫描者仍有入口；网络分段未实施使横向移动不受阻挡；数据鉴权未改使查询接口继续开放。业务连续性约束排除了全网断网，可以按设备和路径做精细隔离。权衡规则：按R1立即隔离3台外连摄像头，同时关闭全部设备的Telnet端口（配置动作，不需要断网）。按R3在查询接口加临时鉴权，批量查询账户锁定。按R2对扫描源道闸控制器做端口级阻断，网络分段优先实施物联网网段与办公网的拒绝规则。按R5人力不足时按外连、数据、横向扫描顺序处置。退路：隔离摄像头后业务依赖视频巡检的，用其余摄像头覆盖该区域；接口临时鉴权影响正常查询的，保留人工审批通道；道闸阻断影响通行的，改为只阻断23端口、放行业务端口。输入：取表5至表7控制进度、表8至表10告警。动作：按表12“如果可观察条件”列匹配。输出：决策记录一行，含规则编号、处置顺序、退路。判定：规则编号对应条件和退路有具体动作；处置顺序写明哪一项先执行、哪一项并行。十一、完整示例：智慧停车平台从轨迹泄露到三层控制落地某城市停车平台运营方在检察机关就轨迹泄露问题发出整改要求后，启动设备、网络、数据三层整改[示例案例，细节为合理设定]。起点材料资产清单（1200台地磁传感器、200台道闸控制器、60台摄像头）、网络拓扑（物联网与办公网同段）、数据字典（含车牌、精确经纬度、入场出场时间）、查询接口日志。分步操作步骤1：按表2逐类抽检设备。道闸控制器admin/admin可登录、摄像头23端口开放、3台摄像头固件可未签名刷入。表2标记“凭据不合格、服务不合格、固件签名不合格”。步骤2：按表3查网络。物联网设备与办公网同一VLAN，传感器MQTT1883明文，设备可外连任意IP。表3标记“网段隔离缺失、协议白名单缺失、目标地址未限制”。步骤3：按表4查数据。输入任意车牌可查全量轨迹，无身份验证；轨迹保留五年无清理；数据库明文存车牌和精确经纬度。表4标记“查询鉴权缺失、留存超期、存储未去标识化”。步骤4：按表5做设备硬化。全部设备默认凭据替换，关闭23端口，3台摄像头启用签名验证，建立生命周期台账，2台已停产设备列入替换。按表6推进网络分段：物联网划入独立VLAN，与办公网默认拒绝；MQTT迁移至8883并强制TLS；管理端口限制在运维网段。按表7做数据控制：查询接口加实名认证，位置泛化到区域，轨迹保留180天，数据库加密存储。步骤5：按表8至表10搭监测。设备行为基线建立，网络流量监测上线，数据访问查询量监测上线。不顺利环节表13转折记录表转折信号假设试了什么新信息换哪条路第一轮3台摄像头连接境外IP的4444端口摄像头已被植入Mirai变种隔离设备并抓包流量特征与MiraiC2一致，设备Telnet仍开放从逐台清理转为先全网关闭Telnet，再隔离受影响设备第二轮关闭Telnet后业务侧报传感器离线关闭23端口影响传感器管理通道查传感器管理方式部分老传感器依赖Telnet做配置下发从全网关闭转为按型号分组：新设备关闭Telnet，老设备限制源IP并列入替换第三轮网络分段实施后道闸无法与云端通信分段规则过严查防火墙日志道闸需要访问云端固定IP的443，规则未放行从默认拒绝收紧转为补白名单规则，不改变默认拒绝原则第四轮数据接口加鉴权后批量查询仍有发生鉴权被绕过查访问日志某内部账户使用合法凭据高频查询从接口鉴权扩展到账户行为监测和查询配额第一轮把处置从逐台清理推到全网关闭Telnet；第二轮把关闭策略从一刀切推到按型号分组和替换计划；第三轮把分段从“阻断一切”推到“补白名单”；第四轮把数据控制从接口鉴权推到账户行为监测。终点产出全部设备凭据替换，新设备Telnet关闭，老设备限源IP并列入替换；