如何建設安全的物聯網+安防解決方案

　　近期，雷鋒網AI掘金志邀請到了宇視安全&網絡解決方案總工王連朝做客雷鋒網公開課，以“如何建設安全的物聯網+安防解決方案”為題進行了干貨分享。

　　王連朝認為，科技不斷的創(chuàng)新發(fā)展，物聯網技術和相關的大數據、智能應用廣泛地與傳統(tǒng)安防應用深度融合。物聯網+安防系統(tǒng)在普遍應用的同時，安全問題也隨之而來。如果安防自身的安全性得不到保障，只是通過外部來防護，很難做到完全的安全，所以安防產品自身的可靠性是系統(tǒng)安全的根基。王連朝從感知層、傳輸層、管理層和應用層四個層面出發(fā)，結合宇視的產品、技術和實踐經驗進行了詳細的解決方案分享。

　　以下為王連朝分享內容節(jié)選，雷鋒網AI掘金志做了不改變原意的編輯。

　　浙江宇視科技有限公司成立于2011年，是全球公共安全和智能交通的解決方案提供商，以全景、數智、物聯產品技術為核心的引領者。

　　我們一直是安防IP化的倡導者，也走在了IP網絡監(jiān)控的前列。

　　宇視經過了8年的歷程，實現了營收16倍的增長，交付的產品已經覆蓋了全世界的145個國家和地區(qū)。這段時間整個公司的成長也是比較快，2014年我們就進入了全球Top12，2018年進入全球前四。

　　公司在技術上得過一些重要的獎項。2010年獲得了國家科技進步二等獎;中國網絡安全方面的實現公私網穿越的專利獎;雷鋒網2019年度AIoT智能城市創(chuàng)新的企業(yè)獎。

　　在研發(fā)團隊方面，我們無論是軟件還是硬件實力在業(yè)內都是比較領先的水平。軟件在業(yè)內達到了CMMI 5級認證，這是安防業(yè)界最高水平。

　　在創(chuàng)新能力上，我們是國家知識產權的示范企業(yè);浙江省發(fā)明專利授權量50強，排名第二。我們現在有2000多件專利申請，幾乎每天新增1件發(fā)明專利申請，其中94%的發(fā)明專利授權率業(yè)界第一，人均發(fā)明專業(yè)業(yè)界第一。

　　宇視對視頻的安全比較重視，在安全方面做了很多實踐。我們在2011年就拿到了中國專利優(yōu)秀獎：廣域互聯安全UNP; 成立安全實驗室。在此之后宇視一直在做視頻安全研究，比如高安全的存儲、高安全的傳輸和社會資源的接入等這些方案。2016年發(fā)布了燕山準入網絡安全方案;2017年推出了數據安全加密幻影方案，保障了金磚峰會;2019年成為了公共安全視頻網絡安全的監(jiān)測預警的支撐單位;安防行業(yè)內首家符合歐盟GDRP法案等等。

　　物聯網及物聯網的基本架構

　　隨著科技不斷的創(chuàng)新發(fā)展，物聯網技術和相關的大數據、智能應用廣泛地與傳統(tǒng)安防應用深度融合。物聯網+安防系統(tǒng)在普遍應用的同時，安全問題也隨之而來。

　　從20世紀90年代物聯網的概念提出來，到現在經過了近30年的實踐和發(fā)展，大家對物聯網的認識已經比較深刻了。

　　根據ITU的定義，物聯網是一種通過射頻識別(RFID)、紅外感應器，定位系統(tǒng)等信息傳感設備，按照一定的約定協(xié)議，讓物體與互聯網相連接，進行信息的交換和通訊，以實現對物體的智能化識別、定位、跟蹤、監(jiān)控和管理的網絡。

　　總而言之，物聯網是一種網，它在應用中實際上也更多的與現在大數據技術和智能技術相結合，是新一代信息技術的高度集成和綜合運用，所以物聯網也被稱為信息科技產業(yè)的第三次革命。

　　物聯網的基本結構，從下往上我們可以認為是三個層級。

　　最下面叫做感知層或叫數據采集層，就是通過傳感設備進行數據的采集。因為這里采集的數據是物理存在的，所以數據是比較真實的，也比人工采集更便捷，這也是物聯網現在應用比較廣泛的一個原因。

　　在數據采集之后，要做一些簡單的數據預處理，經過數據預處理之后，會將這些數據通過傳輸層進行傳輸。

　　中間叫傳輸層，在進行傳輸時，就要考慮到異構網的融合，需要將ZigBee、Lora、WiFi等技術與有線網絡、無線網絡，以及5G等下一代網絡相融合，形成高效、穩(wěn)定的傳輸網絡。

　　通過傳輸網絡之后，這些數據會送到應用層。應用層可以分為兩個部分。一部分是基礎服務平臺，基礎服務平臺對數據進行接收和處理。在這個基礎服務平臺之上，就是應用層，現在大家比較熟知的像智能家居、環(huán)境監(jiān)測、智能交通，還有智能安防等應用。

　　現在各地都在進行智慧城市的建設，其實物聯網就是智慧城市的基礎。作為物聯傳感過程的重要部分，攝像機視頻數據信息，占據了全世界約一半的數據存儲量。智能安防是物聯網產業(yè)的核心組成部分，所以安防系統(tǒng)有力的促進物聯網應用的快速落地和推廣。

　　安防系統(tǒng)建設中面臨的安全風險

　　那么作為物聯網的應用，安防系統(tǒng)在建設中面臨哪些風險?

　　在2017年物聯網安全研究報告中，就已經發(fā)現物聯網的設備暴露在互聯網之下，普遍存在被攻擊、被利用的風險。其中，路由器和安防設備暴露的數量最多。

　　2019年的物聯網安全事件中，主要是三類：漏洞和弱口令、準入控制乏力、應用監(jiān)管不足。

　　其中，有一半是漏洞和弱密碼造成的。漏洞和弱密碼的風險就是很容易被控制，然后設備被利用從而造成信息泄露，或引發(fā)DDOS攻擊。比如之前英國部分學校的安防系統(tǒng)中，攝像頭因為弱密碼而被控制了，視頻被泄露，引起了所有英國學校學生的恐慌。

　　除了弱口令和漏洞的風險之外，在整個安防系統(tǒng)建設中，設備的準入控制是缺少的。IT系統(tǒng)比較成熟，所有的控制考慮得比較周全的，也是因為大家對IT系統(tǒng)上的黑客攻擊、網絡風險的暴露都有認識。但是在安防系統(tǒng)中，大家對這方面的認識還不是很清楚。有個例子，2018年，某地的交警處罰系統(tǒng)被黑客侵入了，造成了非法銷分，其實原因就是安防系統(tǒng)沒有對設備準入做控制。

　　另一個風險就是應用監(jiān)管不足，視頻信息被內部人員泄露。無論是安防系統(tǒng)的個人使用者還是主管方，對這方面的意識都比較缺乏。近年來關于隱私泄漏的事件也很多，我看到兩個例子，一個是某明星去某個酒店，和朋友約會，被別人從視頻系統(tǒng)中拍攝下來，泄露出去了。另一個是在某地一個醫(yī)院，某個病人整個手術過程的視頻信息也是被別人拍攝后泄露，這些事件也引起了相關的法律的一些糾紛。

　　安防產品自身的可靠性是系統(tǒng)安全的根基

　　漏洞和弱口令風險說明一個問題：安防產品自身的可靠性是系統(tǒng)安全的根基。如果自身的安全性得不到保障，只是通過外部來防護，很難做到完全的安全。

　　造成產品本身安全不足的原因主要有兩個。

　　一是組織管理的不足，在設計的時候就沒有考慮安全設計，項目實施不規(guī)范，沒有考慮漏洞發(fā)現、修復和響應機制等等。我們看到互聯網上有很多的相機被控制了，但是因為設計的原因，或者是沒有這個機制，導致很難去修復。

　　二是技術防范手段不足，存在弱口令，預留后門，或者軟件開發(fā)本身是不規(guī)范的，缺失認證機制、數據明文傳輸等。

　　宇視在這方面是有一些經驗的，因為我們拿到了CMMI5級的認證，同時我們集成了U-IPD的開發(fā)流程，無論是在需求分析、設計、編碼、測試等等各方面都考慮到了安全性的需求。

　　同時我們也希望行業(yè)內的企業(yè)在軟件開發(fā)時，一定要重視軟件開發(fā)的規(guī)范性和嚴謹性，要建立整一套的產品安全開發(fā)流程。

　　在產品和解決方案發(fā)布時，一定要考慮到它的整個流程，建立正式安全的發(fā)布機制，來保證這個產品必須是經過了正規(guī)、嚴格的測試之后才發(fā)布出去的，也必須要通過正規(guī)的渠道發(fā)布。也就是說產品首先要保證自己是安全可靠的才能對系統(tǒng)做根本支撐。

　　最后，對于產品發(fā)布后，要成立專門的安全應急響應團隊和機制，來保證出現問題時能夠快速響應。比如今年2月份網上曝光說有黑客對中國互聯網上的設備進行攻擊，我們公司及時的響應團隊去分析，幫助我們的用戶避免遭受攻擊。

　　如何從4個層面實現安全的安防解決方案

　　整個安防系統(tǒng)中有4個層面的風險。分別是感知層、傳輸層、管理層和應用層。

　　感知層主要的問題是感知設備有可能被劫持;傳輸層會受到網絡的攻擊，比如“私接”網絡、DDOS攻擊;管理層或者說平臺服務層，可能會受到非法入侵，然后被竊取;應用層，可能會受到黑客對PC機或者應用設備的攻擊，同時還可能會有一些用戶有意無意的信息泄露，比如手機錄屏截屏。

　　感知層安全防護

　　感知層中，攝像機在前端的部署是非常廣泛的，數量非常多，而且大部分都在室外，這就要求我們考慮得更多。

　　在物理接入方面，首先要考慮到設備的防拆設計，因為有些設備可能會被別人替換或竊取。

　　其次傳統(tǒng)的設備一般都有一些調試接口，建議把這些接口屏蔽或隱藏，或者直接去除，不要在物理層面提供這樣的調試接口，給非法人員可乘之機。

　　另外在接入到網絡中，除了傳統(tǒng)的以太網接入方式之外，我們應用了PON口接入，它是一種光纖接入，主要通過光來進行接入和傳輸，就很好地防止了電口私接、偵聽。

　　在物理層防護之外，還要考慮整個終端設備的安全。攝像機其實是功能比較弱的一個系統(tǒng)，在這個系統(tǒng)中，我們通過檢查它是否存在弱口令、端口信息、協(xié)議信息、CPU占用情況等，時時記錄并上傳到中心服務器，通過和中心運維管控平臺的相互配合，及時發(fā)現終端設備的安全狀態(tài)，比如有沒有異常流量或者異常端口，然后及時進行聯動或者報警來保證終端的正常運行。

　　在終端還有一個關鍵的部分，就是視頻數據的安全。

　　很多安防系統(tǒng)或者攝像機系統(tǒng)里的標準協(xié)議，國標也好，還是一些廠家自己的協(xié)議也好，對視頻的保護規(guī)定是不足的，完全是以明文狀態(tài)在網絡中傳輸，這種就很容易被別人截取數據，然后通過一些常用的播放軟件播放出來。

　　我們在這方面提供了視頻數據安全保護方案。

　　一般來講有兩種手段，一種是對數據全部進行加密，不管是信令、還是數據、還是傳輸協(xié)議，經過加解密設備直接進行加密。這個方式有一個弊端，就是必須要成對地配置加解密設備，另外它導致數據很難識別，比如說信令相關的處理其實是很難的，成本也相對比較高。

　　還有一種方式就是通道加密，其實也還是需要進行成對地配置，因為數據都封裝在通道內，導致通用的網絡流量分析工具很難做到安全的分析，無法準確的判斷實際網絡中的真實狀態(tài)。

　　宇視采用的是視頻加密的方案，好處是可以正常的信令交互，在交互的情況下不影響系統(tǒng)的兼容性，即使視頻數據被非法獲取，仍然可以保證它是安全的，只有在合法的解碼端才可以正常進行觀看的。

　　我們的方案在很多的地方應用了，比如一些高校和企業(yè)的園區(qū)中都有比較重要的應用，也獲得了大家的認可。

　　傳輸層安全防護

　　傳輸層主要給大家分享的是兩個方案。

　　一個是準入方案，信息系統(tǒng)相對比較成熟，但是應用在物聯網或安防系統(tǒng)當中，有一個不同的地方，因為終端設備或攝像機設備，其實類似于啞終端，它不像PC機之類的終端設備，可以進行主動地連接，主動地配置密碼，所以傳統(tǒng)的方式不太合適。

　　相對于傳統(tǒng)的方式，也有一些其他的方案應用到準入中來。比如掃描檢測方案，需要通過人工配合，首先掃描到這些設備，然后通過人工來判定合法性與非法性。當然這是解決了一部分的問題，但是它的效率包括整體的安全性相對比較弱。

　　進一步有一些基于防火墻的方案，可以基于設備的黑白名單來進行防護，也可以配置一定的過濾規(guī)則，比如像IP、MAC特征庫的檢測，這樣也可以做到一些安全的防護。

　　物聯網的安全準入方案除了做到了防火墻方案中對IP、MAC及端口綁定之外，還做到應用的感知，可以識別安防的接入協(xié)議，可以感知設備的狀態(tài)，可以跟前面講的檢測異常等信息相配合，這樣就可以實時防控。同時支持旁掛、串接，防護的手段更加豐富。在網絡接入情況下，我們采用的這種準入方案是比較適合安防系統(tǒng)的一種方案。

　　在跨互聯網或廣域網接入中，宇視推出了UNP方案，主要解決跨互聯網企業(yè)跨公網的安防接入要求。

　　跨互聯網或廣域網接入主要是保證傳輸的安全性，另外還要保證對整體的網絡、系統(tǒng)和結構盡量適合，不做大的改動。

　　針對這種情況，行業(yè)里也有幾種方案。VPN方案，可以做到安全傳輸，但是它有一個問題，就是當系統(tǒng)是已經建好的，就可能涉及到IP地址沖突或系統(tǒng)的改造，要提前做一些規(guī)劃，靈活度比較低。

　　還有一種方案是ALG網關，通過轉換協(xié)議，把相關的信令通過轉換來進行傳輸。這種方案的現網兼容性差，同時因為它是簡單的消息數據修改，它的信令，包括數據，大部分是明文傳輸，安全性也很差。

　　宇視的UNP方案同時滿足了方便部署、安全性高和視頻跨網設計的需求。我們針對安防系統(tǒng)里的協(xié)議做了適配，保證了一定的安全性。這個方案獲得了中國的專利優(yōu)秀獎。我們所有的方案都是經過了實踐，真正能解決用戶的問題。我們在某品牌汽車4S店應用已經很成熟。目前，在全國有很多的項目在應用。

　　管理平臺安全防護

　　建議在中心層也是要做到一定的安全防護。重點是防止非法侵入平臺主機和云存儲，防止竊取、篡改、刪除其中的視頻數據。

　　在傳統(tǒng)安全防護層面，仍然推薦采用防火墻、入侵檢測、漏洞掃描、大數據審計等專用防護設備組合進行外部的安全檢測，這些設備也要根據防護的需求做相應的配備來對整個中心服務區(qū)做安全的防護。

　　安防系統(tǒng)建設中的服務主機也要做安全措施?？梢圆捎枚嗑S防護手段，包括弱密碼防護、設備可疑進程檢測和預警、要有安全的登錄方式，比如采取SSH和HTTPS等方式，以及惡意掃描阻止策略等都需要考慮。

　　在傳統(tǒng)防護和主機防護之外 ，從整個方案層面也需要進行考慮。

　　在主機層我們實現了多機的備份，像雙機或一對多備份的快速切換，保證了應用服務的安全。

　　在數據存儲方面，使用了安全塊存儲，這是宇視的創(chuàng)新。它是基于視頻流/塊的存儲技術，因為它的關鍵信息是獨立存放的，即使獲取到硬盤也無法直接拷貝出數據。

　　在存儲方面，我們可以多級備份、多陣列存儲等，另外支持流量中斷的及時備份，這些都是我們給用戶提供的系統(tǒng)級的數據存儲安全方案。

　　用戶管理安全

　　在對服務防護的同時，我們看到其實很多重要的信息是在用戶側被泄露出去的。針對這種情況，我們建議對用戶做一個安全管理，可以分為事前、事、中和、事后三個部分。

　　事前防御階段，在用戶終端接入防護系統(tǒng)之前做準入判斷，比如用戶是否合法、相關配置是否完成、是否存在高風險漏洞。在所有的安全合規(guī)檢查與配置，賬戶檢查、安全設置規(guī)范檢查等都完成以后，判定它是一個可以介入系統(tǒng)的終端，才能開始應用層面。

　　事中控制階段，我們需要定義授權范圍，即對用戶的一些行為或操作做授權或者管控。比如我要定義用戶能做哪些方面的操作、是否存在非法外聯的行為、有沒有移動硬盤的接入、是否存在錄屏、截屏、拍攝操作、是否有外接USB等這些操作進行集中控制，防止信息被泄露。

　　事后審計階段，我們會對所有操作做日志審計，包括上網行為，對非授權外聯、視頻的存儲、下載和其他操作、文件讀寫操作、即時通訊、郵件內容、文檔操作等行為進行審計，然后進行溯源。從而在整個用戶管理層做到防御、管控、溯源。

　　總體來講，我們對于安防系統(tǒng)的建設是從終端、傳輸到服務平臺到用戶，做一個全方位的安全防護措施。

　　最后想和大家分享一個觀點，新技術的發(fā)展，包括5G傳輸、人工智能、大數據，區(qū)塊鏈和量子計算等等新技術的相互融合，會促進安全系統(tǒng)在安防系統(tǒng)中的應用。

　　建設安全的安防解決方案，構建全方位立體防護體系，要對業(yè)務和應用具有深刻的理解，同時運用各種前沿技術不斷完善自己的網絡安全防御體系。