美國國家標準與技術研究院（NIST）計劃修訂其物聯網網絡安全框架，以應對人工智能、沉浸式技術新興技術和用例帶來的不斷變化的風險。NIST準備修訂的框架是在2020年美國首個全國性的物聯網網絡安全法案出臺后形成的NIST IR 8259系列框架，在過去近5年的時間里，該文檔被美國物聯網產業界廣泛采用。隨著物聯網應用的(de)擴展，加上(shang)新(xin)興(xing)技(ji)術(shu)快速發展，原(yuan)有的(de)物(wu)聯(lian)網(wang)網(wang)絡(luo)安(an)(an)全框架面臨著(zhu)新(xin)的(de)挑戰，需要對其進(jin)行持續修訂。筆者曾(ceng)在《特朗(lang)普重(zhong)返(fan)白宮，回顧(gu)一(yi)下(xia)他曾(ceng)經簽署的(de)美國(guo)首部物(wu)聯(lian)網(wang)安(an)(an)全法》一(yi)文中提出，美國(guo)首個(ge)物(wu)聯(lian)網(wang)安(an)(an)全法案實施過程(cheng)中，NIST發揮了重(zhong)要作用(yong)，我們今天(tian)就系統地了解(jie)一(yi)下(xia)NIST在物(wu)聯(lian)網(wang)安(an)(an)全方面所做(zuo)地工(gong)作。
NIST物聯網網絡安全計劃
2016年(nian)(nian)(nian)至2017年(nian)(nian)(nian)，幾(ji)個惡性物聯網(wang)(wang)安(an)全事(shi)(shi)件(jian)發生，包(bao)括惡意(yi)軟件(jian)Mirai攻擊物聯網(wang)(wang)設(she)備(bei)事(shi)(shi)件(jian)和“WannaCry”勒(le)索(suo)病毒暴發，美國(guo)聯邦(bang)政府部門意(yi)識(shi)到(dao)了物聯網(wang)(wang)安(an)全問題的(de)嚴(yan)重性，開始(shi)積(ji)極探討(tao)和研究如何應對(dui)物聯網(wang)(wang)面臨(lin)的(de)安(an)全沖擊。2017年(nian)(nian)(nian)5月，時(shi)任總統特朗普(pu)簽(qian)署了13800號總統行政令《加強(qiang)聯邦(bang)網(wang)(wang)絡(luo)和關(guan)鍵(jian)基礎(chu)設(she)施的(de)網(wang)(wang)絡(luo)安(an)全》，其(qi)中內容之(zhi)一就是要增(zeng)強(qiang)美國(guo)應對(dui)僵尸網(wang)(wang)絡(luo)及其(qi)他自動化和分布(bu)式威脅的(de)能力，行政令還提(ti)出各機(ji)構應使用由NIST制定的(de)“改善關(guan)鍵(jian)基礎(chu)設(she)施網(wang)(wang)絡(luo)安(an)全的(de)框架(jia)”。
NIST為(wei)了(le)執(zhi)行(xing)(xing)13800號(hao)行(xing)(xing)政(zheng)令，在(zai)此(ci)后(hou)召(zhao)開了(le)專門(men)研(yan)討會(hui)，探討在(zai)物(wu)聯(lian)(lian)(lian)網(wang)(wang)環境下(xia)增強網(wang)(wang)絡(luo)(luo)(luo)彈性及(ji)應對僵尸網(wang)(wang)絡(luo)(luo)(luo)威(wei)脅(xie)的解決方(fang)案。研(yan)討會(hui)上(shang)，與會(hui)人員就(jiu)當前(qian)加強物(wu)聯(lian)(lian)(lian)網(wang)(wang)安全(quan)，降低僵尸網(wang)(wang)絡(luo)(luo)(luo)威(wei)脅(xie)的標準、技術及(ji)做法(fa)，物(wu)聯(lian)(lian)(lian)網(wang)(wang)設備開發，互聯(lian)(lian)(lian)網(wang)(wang)用戶的自(zi)我保護(hu)，物(wu)聯(lian)(lian)(lian)網(wang)(wang)安全(quan)研(yan)究(jiu)以(yi)及(ji)政(zheng)府角(jiao)色等問題(ti)進行(xing)(xing)了(le)集中討論。為(wei)了(le)應對物(wu)聯(lian)(lian)(lian)網(wang)(wang)網(wang)(wang)絡(luo)(luo)(luo)安全(quan)問題(ti)，NIST啟動了(le)物(wu)聯(lian)(lian)(lian)網(wang)(wang)網(wang)(wang)絡(luo)(luo)(luo)安全(quan)計劃。
NIST宣稱物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)網(wang)(wang)絡安全(quan)計劃的(de)使(shi)命(ming)是(shi)培養(yang)對(dui)(dui)物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)的(de)信任，并通過標準(zhun)(zhun)、指(zhi)南和相(xiang)關(guan)工具營造(zao)一(yi)個支(zhi)持全(quan)球范圍創(chuang)新的(de)環境。在(zai)這一(yi)計劃中(zhong)，NIST重點(dian)針對(dui)(dui)3個領(ling)(ling)域(yu)(yu)形(xing)(xing)成(cheng)相(xiang)關(guan)標準(zhun)(zhun)、指(zhi)南和工具，支(zhi)持這3個領(ling)(ling)域(yu)(yu)物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)網(wang)(wang)絡安全(quan)工作(zuo)實施。其中(zhong)，第一(yi)個領(ling)(ling)域(yu)(yu)是(shi)為物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)制(zhi)造(zao)商和服務商提(ti)供的(de)指(zhi)南，形(xing)(xing)成(cheng)NIST IR 8259系列(lie)；第二個領(ling)(ling)域(yu)(yu)是(shi)為聯(lian)(lian)邦政府(fu)和企業在(zai)其系統(tong)中(zhong)部署物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)設備提(ti)供指(zhi)南，形(xing)(xing)成(cheng)NIST SP 800-213系列(lie)；第三個領(ling)(ling)域(yu)(yu)是(shi)面(mian)向(xiang)消費(fei)物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)產品(pin)的(de)標準(zhun)(zhun)和技術貢獻，包括(kuo)消費(fei)物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)核心(xin)基線NIST IR 8425，對(dui)(dui)物(wu)(wu)(wu)(wu)聯(lian)(lian)網(wang)(wang)安全(quan)標簽計劃形(xing)(xing)成(cheng)有力支(zhi)持。
目前(qian)，NIST物(wu)聯網網絡安全(quan)計劃相關標準不僅規范美(mei)國國內(nei)(nei)企業(ye)的(de)產品(pin)和服(fu)務，也是很多企業(ye)進入海外市場認(ren)證(zheng)(zheng)標準。例(li)如，NIST IR 8259、NIST IR 8425認(ren)證(zheng)(zheng)得到全(quan)球多個國家(jia)認(ren)可，國內(nei)(nei)格力、美(mei)的(de)等家(jia)電(dian)廠商的(de)智(zhi)能家(jia)電(dian)獲得NIST IR 8425復合性認(ren)證(zheng)(zheng)，為(wei)其產品(pin)走向全(quan)球市場提供有利條件。
基于NIST IR 8259系列延伸與更新
2020年5月(yue)，NIST發布了(le)《物(wu)(wu)聯(lian)網設(she)備制造(zao)商(shang)的(de)基礎網絡(luo)安(an)(an)全(quan)活動》（NIST IR 8259），它描(miao)述了(le)制造(zao)商(shang)在向客戶銷售其物(wu)(wu)聯(lian)網設(she)備之前應考(kao)慮執行(xing)的(de)建議(yi)網絡(luo)安(an)(an)全(quan)活動，這些基本的(de)網絡(luo)安(an)(an)全(quan)活動可(ke)以幫助制造(zao)商(shang)減少(shao)客戶所需的(de)網絡(luo)安(an)(an)全(quan)相關工作，這反過來又可(ke)以降低物(wu)(wu)聯(lian)網設(she)備受損(sun)和(he)使(shi)用(yong)受損(sun)設(she)備進行(xing)攻擊的(de)普遍性(xing)和(he)嚴重性(xing)。
在該(gai)文件發布后的(de)(de)近五年(nian)中，已經以(yi)三(san)種(zhong)語言（英語、西班牙語和(he)葡萄牙語）版本發布，下(xia)載次數(shu)超過(guo)4萬次，得(de)到(dao)業界廣泛認可和(he)應(ying)(ying)用。為了完(wan)善該(gai)系列框架，NIST增加了兩個重要(yao)條目，即(ji)《物聯網(wang)設備網(wang)絡安全(quan)(quan)能力(li)(li)核(he)心基線(xian)》（NIST IR 8259A）和(he)《物聯網(wang)非技術支(zhi)撐能力(li)(li)核(he)心基線(xian) 》（NIST IR 8259B），NIST IR 8259A和(he)NIST IR 8259B補充了NISTIR 8259中描(miao)述(shu)的(de)(de)活(huo)動，提供了特定的(de)(de)技術能力(li)(li)和(he)非技術性支(zhi)持(chi)活(huo)動，制造商應(ying)(ying)在其產品設計和(he)支(zhi)持(chi)計劃(hua)中考慮這些(xie)活(huo)動，以(yi)幫(bang)助(zhu)確保他們滿足客(ke)戶的(de)(de)網(wang)絡安全(quan)(quan)需求和(he)目標。
為了支持(chi)相關部(bu)門推進(jin)物(wu)聯網(wang)安全(quan)(quan)工作，例如支持(chi)《物(wu)聯網(wang)網(wang)絡(luo)安全(quan)(quan)改進(jin)法案》實施和(he)美國物(wu)聯網(wang)網(wang)絡(luo)安全(quan)(quan)標識計(ji)劃，在NISTIR 8259系列(lie)標準(zhun)的(de)基礎上，后續出臺了多個標準(zhun)和(he)指(zhi)(zhi)(zhi)南，NISTIR 8259為這些標準(zhun)和(he)指(zhi)(zhi)(zhi)南提(ti)供了概念和(he)背景的(de)基礎。后續出臺新的(de)標準(zhun)和(he)指(zhi)(zhi)(zhi)南包括：
一是《聯邦政府物聯網設備網絡安全指南》（NIST SP 800-213）。這一指(zhi)南(nan)是NIST IR 8259系列標準在聯(lian)(lian)邦政府的應用，將(jiang)物聯(lian)(lian)網產品網絡安全(quan)納入NIST的各種信息系統(tong)風險管理指(zhi)南(nan)中，以使聯(lian)(lian)邦機構(gou)對可(ke)(ke)能(neng)感興趣的物聯(lian)(lian)網設備的功(gong)(gong)能(neng)范圍(wei)更(geng)加(jia)清(qing)晰、更(geng)加(jia)可(ke)(ke)用、更(geng)加(jia)兼容。此外，與這一指(zhi)南(nan)相伴而生的《物聯(lian)(lian)網設備網絡安全(quan)需求目錄》（(NIST SP 800-213A)提供了設備及(ji)其制(zhi)造(zao)商為確保這些設備安全(quan)所需的最(zui)詳細的功(gong)(gong)能(neng)列表，也提供了許多超出基(ji)線的附(fu)加(jia)功(gong)(gong)能(neng)。
二是《面向消費物聯網產品的物聯網核心基線概況》（NIST IR 8425）。這一(yi)文件是NIST IR 8259 A和NIST IR 8259B針對消費(fei)級物(wu)聯(lian)網(wang)產(chan)品的闡釋。這份(fen)基線文件明確了消費(fei)物(wu)聯(lian)網(wang)的概念(nian)及其擴展范(fan)疇(chou)，考(kao)慮(lv)到(dao)了物(wu)聯(lian)網(wang)產(chan)品及其所有必要(yao)的組件，如移動應用程序、網(wang)關(guan)或遠程后臺等。
三是《消費級路由器產品的推薦網絡安全要求》（NIST IR 8425A）。該文(wen)件包括消費(fei)級路由器產品(pin)的網(wang)絡安全(quan)成果和路由器相關標準要求。
四是《產品開發網絡安全手冊：物聯網產品制造商的概念和考慮》（CSWP33草案)。**該草案(an)討論對于(yu)為任何行(xing)業(ye)或使用案(an)例開發和部(bu)(bu)署(shu)安(an)全物(wu)聯網產品非常重要的概念，包括物(wu)聯網產品架構、部(bu)(bu)署(shu)、角色和網絡安(an)全視角。
NIST認為，隨(sui)著物聯(lian)網應用的(de)(de)擴展，新(xin)的(de)(de)挑戰(zhan)已經出(chu)現，促使NIST IR 8259需要進(jin)行(xing)修訂(ding)，以(yi)更好地符合(he)新(xin)的(de)(de)指(zhi)南、標準的(de)(de)要求(qiu)。對(dui)物聯(lian)網安全提(ti)議的(de)(de)更新(xin)包(bao)括將把關注點從單個物聯(lian)網設(she)備擴大(da)到(dao)整個產品(pin)生態(tai)系統(tong)(tong)，NIST還(huan)計劃整合(he)風險(xian)評(ping)估和威脅(xie)建(jian)模，解(jie)決(jue)物聯(lian)網、OT和IT系統(tong)(tong)之(zhi)間的(de)(de)差(cha)異，并納入其網絡安全框架的(de)(de)見(jian)解(jie)。
該框架的更新還將解決新出現的問題，如可修復性與安全性的關系，以及互聯產品中IT和機械部件壽命之間的差異。NIST公告稱，隨著人工智能、沉浸式技術和其他創新的引入，物聯網網絡安全變得更加復雜，此次修訂旨在確(que)保制(zhi)造商能夠(gou)跟(gen)上這些發展，同時解(jie)決(jue)長期(qi)以(yi)來對設備(bei)安(an)全性和支持的(de)擔憂(you)。更(geng)新后的(de)框架將作為制(zhi)造商和政策制(zhi)定者的(de)參考(kao)，有助(zhu)于降低設備(bei)接管和數據泄露等風險。
NIST IR 8259系(xi)列框(kuang)架(jia)作為美國物(wu)聯(lian)網(wang)(wang)(wang)(wang)網(wang)(wang)(wang)(wang)絡安(an)全(quan)底層框(kuang)架(jia)，在其問世至(zhi)今近(jin)5年時間不斷完善。特朗普在上一任期(qi)中對物(wu)聯(lian)網(wang)(wang)(wang)(wang)網(wang)(wang)(wang)(wang)絡安(an)全(quan)已形成初步政策(ce)體系(xi)，在接下(xia)來(lai)的(de)第(di)二任總統任期(qi)中，預計會進(jin)一步出臺新的(de)物(wu)聯(lian)網(wang)(wang)(wang)(wang)網(wang)(wang)(wang)(wang)絡安(an)全(quan)政策(ce)。目前NIST對物(wu)聯(lian)網(wang)(wang)(wang)(wang)網(wang)(wang)(wang)(wang)絡安(an)全(quan)框(kuang)架(jia)的(de)修訂，也在為進(jin)一步的(de)政策(ce)出臺打下(xia)基礎。
