近日，中國通信標準化協會網絡與信息安全技術工作委員會第28次全會成功舉辦。會上，由中國通信標準化協會（CCSA）網絡與信息安全（TC8）安全基礎工作組（WG4）牽頭，聯合多家具備物聯網研(yan)究(jiu)基礎與(yu)(yu)實踐落地(di)經驗的(de)(de)(de)單位共同撰寫(xie)的(de)(de)(de)《物聯網操作系(xi)統安(an)全(quan)白(bai)(bai)皮(pi)書(shu)》（以下簡稱“白(bai)(bai)皮(pi)書(shu)”）正式發(fa)布。綠盟科(ke)技(ji)通過在物聯網領(ling)域(yu)的(de)(de)(de)豐富實踐積(ji)累，深度參與(yu)(yu)了本次白(bai)(bai)皮(pi)書(shu)的(de)(de)(de)編制工(gong)作，為物聯網操作系(xi)統的(de)(de)(de)研(yan)發(fa)、應用(yong)提供安(an)全(quan)技(ji)術(shu)方面的(de)(de)(de)參考，進(jin)而(er)推動適合于物聯網設(she)備(bei)及操作系(xi)統的(de)(de)(de)安(an)全(quan)技(ji)術(shu)的(de)(de)(de)研(yan)發(fa)和應用(yong)。
白(bai)皮書指出[1]，物聯(lian)(lian)網(wang)操(cao)作系(xi)統(tong)是指運行在物聯(lian)(lian)網(wang)感知控(kong)制域中(zhong)各類終端(duan)上的(de)系(xi)統(tong)軟件，主要(yao)實現對物理世界對象的(de)本地化(hua)感知、協同和操(cao)控(kong)，并為(wei)物聯(lian)(lian)網(wang)其他域提供遠程管(guan)理和服務接口，是感知控(kong)制域中(zhong)各類終端(duan)的(de)主要(yao)功(gong)能的(de)載體。因(yin)此(ci)物聯(lian)(lian)網(wang)操(cao)作系(xi)統(tong)的(de)穩定和安(an)全(quan)(quan)是物聯(lian)(lian)網(wang)終端(duan)以及(ji)物聯(lian)(lian)網(wang)整(zheng)體系(xi)統(tong)的(de)安(an)全(quan)(quan)基礎。然而，當前物聯(lian)(lian)網(wang)操(cao)作系(xi)統(tong)種類繁多，普遍存(cun)在安(an)全(quan)(quan)能力參差不(bu)齊，安(an)全(quan)(quan)設(she)計缺失(shi)或不(bu)規范，安(an)全(quan)(quan)防護能力不(bu)足(zu)等(deng)問題，導致物聯(lian)(lian)網(wang)終端(duan)設(she)備成(cheng)為(wei)了物聯(lian)(lian)網(wang)系(xi)統(tong)中(zhong)的(de)安(an)全(quan)(quan)薄弱環節。
綠盟科技基(ji)于自身物(wu)(wu)聯(lian)(lian)網(wang)威脅情報系統和(he)威脅捕獲分析系統檢測(ce)(ce)到近 10 種(zhong)物(wu)(wu)聯(lian)(lian)網(wang)相關威脅，發現(xian)物(wu)(wu)聯(lian)(lian)網(wang)操作系統可被(bei)利用(yong)的脆(cui)弱性涉及弱口令、遠程命令執行漏(lou)洞等。長期(qi)以來，攻擊者(zhe)一直企圖采(cai)取各種(zhong)新型手(shou)段(duan)去探測(ce)(ce)、攻擊并控制(zhi)物(wu)(wu)聯(lian)(lian)網(wang)設備，不需要花費(fei)較高(gao)成本即可創建數量龐(pang)大(da)的物(wu)(wu)聯(lian)(lian)網(wang)僵尸網(wang)絡(luo)，進而執行傳播感染、拒絕服務(wu)、域名劫(jie)持和(he)釣魚(yu)欺詐等攻擊，危害物(wu)(wu)聯(lian)(lian)網(wang)和(he)互(hu)聯(lian)(lian)網(wang)等重(zhong)要基(ji)礎(chu)設施和(he)廣大(da)普通用(yong)戶(hu)。
綠盟科技通(tong)過(guo)針對物聯網(wang)(wang)操作(zuo)系(xi)統安(an)全攻(gong)(gong)防的(de)(de)長期研(yan)究和總結，提出了物聯網(wang)(wang)操作(zuo)系(xi)統全生命周期中的(de)(de)安(an)全指導，包括設(she)計、實(shi)(shi)現(xian)、測試、運維四個(ge)(ge)階(jie)段。同時在物聯網(wang)(wang)操作(zuo)系(xi)統中，系(xi)統日志(zhi)是一(yi)個(ge)(ge)重要組成(cheng)部分(fen)，用戶可以通(tong)過(guo)日志(zhi)來檢查錯誤(wu)發生的(de)(de)原因(yin)，或者受到攻(gong)(gong)擊時攻(gong)(gong)擊者留下的(de)(de)痕跡，實(shi)(shi)現(xian)追蹤溯源，進一(yi)步(bu)完善物聯網(wang)(wang)操作(zuo)系(xi)統安(an)全防御機制。
從物(wu)聯(lian)(lian)(lian)網的(de)(de)威脅來看，物(wu)聯(lian)(lian)(lian)網時(shi)代安全(quan)風(feng)險(xian)無處不在，大(da)到系統(tong)平臺，小(xiao)到傳(chuan)感(gan)器，任何(he)一(yi)處風(feng)險(xian)都有可(ke)能(neng)使威脅擴散到整個網絡與(yu)核心系統(tong)。物(wu)聯(lian)(lian)(lian)網所對(dui)應的(de)(de)傳(chuan)感(gan)網的(de)(de)數量和終端(duan)(duan)物(wu)體的(de)(de)規模是單(dan)個傳(chuan)感(gan)網所無法相比的(de)(de)，物(wu)聯(lian)(lian)(lian)網所聯(lian)(lian)(lian)接的(de)(de)終端(duan)(duan)設備或器件(jian)的(de)(de)處理能(neng)力將有很大(da)差(cha)異。對(dui)物(wu)聯(lian)(lian)(lian)網的(de)(de)發(fa)展(zhan)需要重新規劃并制定可(ke)持續發(fa)展(zhan)的(de)(de)安全(quan)架構，使物(wu)聯(lian)(lian)(lian)網在發(fa)展(zhan)和應用過程中，與(yu)之(zhi)相匹配的(de)(de)安全(quan)防護措施不斷完善。
為了更(geng)好落實物聯(lian)網(wang)(wang)操(cao)作(zuo)(zuo)系(xi)統(tong)安全(quan)以及(ji)防(fang)御(yu)針對物聯(lian)網(wang)(wang)操(cao)作(zuo)(zuo)系(xi)統(tong)的攻(gong)擊(ji)，綠盟(meng)科技提出了物聯(lian)網(wang)(wang)保護傘計劃，其中以物聯(lian)網(wang)(wang)安全(quan)態勢感知平臺(tai)為中心，依托固件(jian)檢測系(xi)統(tong)、準入網(wang)(wang)關(guan)、物聯(lian)網(wang)(wang)卡安全(quan)分析系(xi)統(tong)、安全(quan)測評系(xi)統(tong)和終(zhong)端安全(quan)SDK，形成一體(ti)化的安全(quan)檢測和防(fang)御(yu)方案。
物聯網(wang)安全解決方案的(de)框架，由感知層(ceng)(ceng)(ceng)安全、傳輸(shu)層(ceng)(ceng)(ceng)安全、平臺層(ceng)(ceng)(ceng)和應(ying)(ying)(ying)用層(ceng)(ceng)(ceng)安全、以及物聯網(wang)安全管(guan)理平臺組成，與物聯網(wang)的(de)各(ge)個層(ceng)(ceng)(ceng)次(ci)的(de)安全威脅相對應(ying)(ying)(ying)，每(mei)一層(ceng)(ceng)(ceng)面都有(you)相應(ying)(ying)(ying)的(de)安全措施來(lai)保(bao)障安全。
未來，綠盟科技將持續研究物聯網操作系統安全攻防技術，愿與各方力量攜手，共同完善物聯網操作系統安全技術體系，共同促進物聯網軟硬安全技術協同發展和應用，共同加快物聯網設備及操作系統內生安全能力的構建，為數字化轉型和創新發展保駕護航。
