美國國家標準與技術研究院（NIST）計劃修訂其物聯網網絡安全框架，以應對人工智能、沉浸式技術新興技術和用例帶來的不斷變化的風險。NIST準備修訂的框架是在2020年美國首個全國性的物聯網網絡安全法案出臺后形成的NIST IR 8259系列框架，在過去近5年的時間里，該文檔被美國物聯網產業界廣泛采用。隨著物聯網應用的擴展，加上新(xin)興技術快(kuai)速(su)發展，原(yuan)有的物聯網(wang)網(wang)絡安全(quan)(quan)框架面臨著新(xin)的挑戰，需要(yao)(yao)對其進行持續修訂。筆者曾在《特朗普(pu)重(zhong)返白宮(gong)，回顧一(yi)下他(ta)曾經簽署的美國首部(bu)物聯網(wang)安全(quan)(quan)法》一(yi)文中提出，美國首個物聯網(wang)安全(quan)(quan)法案實施過(guo)程(cheng)中，NIST發揮了(le)重(zhong)要(yao)(yao)作(zuo)用，我們今天就系統(tong)地了(le)解一(yi)下NIST在物聯網(wang)安全(quan)(quan)方(fang)面所做地工作(zuo)。
NIST物聯網網絡安全計劃
2016年至2017年，幾個(ge)惡性物(wu)聯網(wang)安(an)全(quan)事件發生(sheng)，包括惡意(yi)軟件Mirai攻擊物(wu)聯網(wang)設備事件和(he)(he)“WannaCry”勒(le)索病毒暴發，美(mei)(mei)國聯邦(bang)政(zheng)(zheng)府部門意(yi)識到了物(wu)聯網(wang)安(an)全(quan)問題(ti)的(de)(de)嚴(yan)重性，開始積極探討和(he)(he)研(yan)究如何應(ying)對物(wu)聯網(wang)面臨的(de)(de)安(an)全(quan)沖擊。2017年5月，時任總統特朗普簽署了13800號總統行政(zheng)(zheng)令(ling)《加強(qiang)聯邦(bang)網(wang)絡和(he)(he)關鍵基礎設施(shi)的(de)(de)網(wang)絡安(an)全(quan)》，其中內(nei)容之一就是要增強(qiang)美(mei)(mei)國應(ying)對僵尸(shi)網(wang)絡及其他自動(dong)化和(he)(he)分(fen)布式威脅的(de)(de)能力，行政(zheng)(zheng)令(ling)還提出各(ge)機構應(ying)使(shi)用(yong)由NIST制(zhi)定的(de)(de)“改善關鍵基礎設施(shi)網(wang)絡安(an)全(quan)的(de)(de)框架(jia)”。
NIST為了執行(xing)13800號行(xing)政令，在(zai)(zai)此后召開了專門研(yan)(yan)討會，探討在(zai)(zai)物聯(lian)(lian)網(wang)(wang)(wang)環境下(xia)增(zeng)強網(wang)(wang)(wang)絡(luo)(luo)彈(dan)性及(ji)應對僵(jiang)尸(shi)(shi)網(wang)(wang)(wang)絡(luo)(luo)威脅的解決(jue)方案(an)。研(yan)(yan)討會上，與會人員就當前加強物聯(lian)(lian)網(wang)(wang)(wang)安全(quan)，降低僵(jiang)尸(shi)(shi)網(wang)(wang)(wang)絡(luo)(luo)威脅的標準、技術及(ji)做法，物聯(lian)(lian)網(wang)(wang)(wang)設備開發，互聯(lian)(lian)網(wang)(wang)(wang)用戶(hu)的自我保護，物聯(lian)(lian)網(wang)(wang)(wang)安全(quan)研(yan)(yan)究以(yi)及(ji)政府(fu)角色等問題(ti)進行(xing)了集中討論。為了應對物聯(lian)(lian)網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)(luo)安全(quan)問題(ti)，NIST啟動了物聯(lian)(lian)網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)(luo)安全(quan)計(ji)劃。
NIST宣(xuan)稱物(wu)聯網(wang)網(wang)絡(luo)安(an)全計劃的使命是培養對物(wu)聯網(wang)的信(xin)任，并通過(guo)標準(zhun)、指南(nan)和(he)相(xiang)關工具(ju)營造一個(ge)(ge)(ge)支持全球(qiu)范圍創新的環境(jing)。在(zai)(zai)這一計劃中(zhong)，NIST重點(dian)針對3個(ge)(ge)(ge)領(ling)域形(xing)成(cheng)相(xiang)關標準(zhun)、指南(nan)和(he)工具(ju)，支持這3個(ge)(ge)(ge)領(ling)域物(wu)聯網(wang)網(wang)絡(luo)安(an)全工作實施。其中(zhong)，第一個(ge)(ge)(ge)領(ling)域是為物(wu)聯網(wang)制(zhi)造商(shang)和(he)服(fu)務商(shang)提(ti)供的指南(nan)，形(xing)成(cheng)NIST IR 8259系(xi)(xi)列；第二(er)個(ge)(ge)(ge)領(ling)域是為聯邦政府和(he)企業(ye)在(zai)(zai)其系(xi)(xi)統中(zhong)部署(shu)物(wu)聯網(wang)設備提(ti)供指南(nan)，形(xing)成(cheng)NIST SP 800-213系(xi)(xi)列；第三(san)個(ge)(ge)(ge)領(ling)域是面向消費物(wu)聯網(wang)產品(pin)的標準(zhun)和(he)技術貢(gong)獻(xian)，包括消費物(wu)聯網(wang)核心基線(xian)NIST IR 8425，對物(wu)聯網(wang)安(an)全標簽(qian)計劃形(xing)成(cheng)有力支持。
目(mu)前，NIST物聯(lian)網(wang)網(wang)絡安全(quan)計劃相關標準不僅規范美國國內企業(ye)的(de)產(chan)品(pin)和(he)服務，也是很多(duo)企業(ye)進入海外市場認(ren)(ren)證標準。例(li)如，NIST IR 8259、NIST IR 8425認(ren)(ren)證得到全(quan)球(qiu)多(duo)個國家(jia)(jia)認(ren)(ren)可，國內格力、美的(de)等家(jia)(jia)電廠商的(de)智能家(jia)(jia)電獲得NIST IR 8425復合性(xing)認(ren)(ren)證，為其產(chan)品(pin)走(zou)向全(quan)球(qiu)市場提(ti)供有利條件。
基于NIST IR 8259系列延伸與更新
2020年(nian)5月，NIST發(fa)布(bu)了(le)《物(wu)(wu)聯網(wang)(wang)設(she)備制(zhi)造(zao)商(shang)的(de)(de)基(ji)礎(chu)網(wang)(wang)絡安全活(huo)動》（NIST IR 8259），它描述(shu)了(le)制(zhi)造(zao)商(shang)在向(xiang)客戶銷售其物(wu)(wu)聯網(wang)(wang)設(she)備之前應考慮執行的(de)(de)建議網(wang)(wang)絡安全活(huo)動，這些基(ji)本的(de)(de)網(wang)(wang)絡安全活(huo)動可(ke)以(yi)幫助制(zhi)造(zao)商(shang)減少(shao)客戶所需(xu)的(de)(de)網(wang)(wang)絡安全相關工作，這反過來(lai)又(you)可(ke)以(yi)降低物(wu)(wu)聯網(wang)(wang)設(she)備受(shou)損和使用受(shou)損設(she)備進行攻擊的(de)(de)普遍(bian)性(xing)(xing)和嚴重性(xing)(xing)。
在(zai)該(gai)文件發布(bu)后的(de)近五年中(zhong)，已經(jing)以三種語言（英語、西班(ban)牙語和(he)(he)(he)葡萄牙語）版(ban)本(ben)發布(bu)，下(xia)載次(ci)數超過(guo)4萬次(ci)，得到(dao)業(ye)界廣泛認可(ke)和(he)(he)(he)應用。為了(le)完善該(gai)系列(lie)框架，NIST增加(jia)了(le)兩個重要條目，即《物(wu)聯網設備網絡(luo)安全能力核心(xin)基(ji)線》（NIST IR 8259A）和(he)(he)(he)《物(wu)聯網非技術(shu)支撐(cheng)能力核心(xin)基(ji)線 》（NIST IR 8259B），NIST IR 8259A和(he)(he)(he)NIST IR 8259B補充了(le)NISTIR 8259中(zhong)描述的(de)活動(dong)(dong)，提供了(le)特定(ding)的(de)技術(shu)能力和(he)(he)(he)非技術(shu)性支持(chi)活動(dong)(dong)，制(zhi)造(zao)商應在(zai)其產品設計和(he)(he)(he)支持(chi)計劃(hua)中(zhong)考慮(lv)這些(xie)活動(dong)(dong)，以幫助確保他們(men)滿(man)足客戶的(de)網絡(luo)安全需(xu)求(qiu)和(he)(he)(he)目標。
為了(le)(le)支(zhi)持相(xiang)關部(bu)門推進物(wu)聯(lian)網(wang)(wang)安(an)(an)全(quan)工作，例如支(zhi)持《物(wu)聯(lian)網(wang)(wang)網(wang)(wang)絡(luo)安(an)(an)全(quan)改(gai)進法案》實施和美國物(wu)聯(lian)網(wang)(wang)網(wang)(wang)絡(luo)安(an)(an)全(quan)標識計劃，在NISTIR 8259系(xi)列標準(zhun)的基礎上，后續(xu)出(chu)(chu)臺(tai)了(le)(le)多個標準(zhun)和指(zhi)(zhi)南(nan)，NISTIR 8259為這(zhe)些(xie)標準(zhun)和指(zhi)(zhi)南(nan)提供了(le)(le)概念和背景的基礎。后續(xu)出(chu)(chu)臺(tai)新(xin)的標準(zhun)和指(zhi)(zhi)南(nan)包括：
一是《聯邦政府物聯網設備網絡安全指南》（NIST SP 800-213）。這一(yi)指南是NIST IR 8259系(xi)(xi)列標準在聯(lian)(lian)邦(bang)政府(fu)的應用，將物(wu)聯(lian)(lian)網(wang)(wang)產品網(wang)(wang)絡安(an)全(quan)納入(ru)NIST的各(ge)種信息(xi)系(xi)(xi)統風險(xian)管(guan)理(li)指南中(zhong)，以使聯(lian)(lian)邦(bang)機構(gou)對可能(neng)感(gan)興趣(qu)的物(wu)聯(lian)(lian)網(wang)(wang)設(she)備(bei)(bei)(bei)的功(gong)能(neng)范圍更加(jia)清晰、更加(jia)可用、更加(jia)兼容。此外，與這一(yi)指南相伴(ban)而(er)生(sheng)的《物(wu)聯(lian)(lian)網(wang)(wang)設(she)備(bei)(bei)(bei)網(wang)(wang)絡安(an)全(quan)需(xu)求目錄》（(NIST SP 800-213A)提供了設(she)備(bei)(bei)(bei)及其制(zhi)造(zao)商為確保這些設(she)備(bei)(bei)(bei)安(an)全(quan)所需(xu)的最詳細(xi)的功(gong)能(neng)列表，也提供了許多超出基線的附加(jia)功(gong)能(neng)。
二是《面向消費物聯網產品的物聯網核心基線概況》（NIST IR 8425）。這(zhe)一文(wen)件(jian)是NIST IR 8259 A和NIST IR 8259B針對消(xiao)費級物聯(lian)網(wang)產品(pin)的闡釋(shi)。這(zhe)份基(ji)線文(wen)件(jian)明確了消(xiao)費物聯(lian)網(wang)的概(gai)念(nian)及(ji)其擴(kuo)展范疇，考慮到(dao)了物聯(lian)網(wang)產品(pin)及(ji)其所有必要的組件(jian)，如移動(dong)應(ying)用(yong)程(cheng)序(xu)、網(wang)關或(huo)遠程(cheng)后(hou)臺等。
三是《消費級路由器產品的推薦網絡安全要求》（NIST IR 8425A）。該文件包括消費級路(lu)由器產品的網絡(luo)安全(quan)成果(guo)和路(lu)由器相(xiang)關(guan)標準要求。
四是《產品開發網絡安全手冊：物聯網產品制造商的概念和考慮》（CSWP33草案)。**該草案討論對(dui)于(yu)為任何行業或使用(yong)案例開發(fa)和部署(shu)安全物聯網產品(pin)非(fei)常重要的(de)概(gai)念，包括物聯網產品(pin)架構、部署(shu)、角色和網絡安全視(shi)角。
NIST認為，隨著物(wu)聯網(wang)(wang)(wang)(wang)應用的(de)(de)(de)擴展，新的(de)(de)(de)挑戰(zhan)已(yi)經出(chu)現，促使NIST IR 8259需要(yao)進行修訂，以更好地符合新的(de)(de)(de)指南、標準(zhun)的(de)(de)(de)要(yao)求。對(dui)物(wu)聯網(wang)(wang)(wang)(wang)安(an)全提議的(de)(de)(de)更新包括將把關(guan)注點從單(dan)個(ge)物(wu)聯網(wang)(wang)(wang)(wang)設(she)備(bei)擴大到(dao)整(zheng)個(ge)產(chan)品生(sheng)態系(xi)統，NIST還計劃整(zheng)合風險評估和威脅建模，解(jie)決物(wu)聯網(wang)(wang)(wang)(wang)、OT和IT系(xi)統之(zhi)間的(de)(de)(de)差異(yi)，并納入其網(wang)(wang)(wang)(wang)絡安(an)全框架的(de)(de)(de)見解(jie)。
該框架的更新還將解決新出現的問題，如可修復性與安全性的關系，以及互聯產品中IT和機械部件壽命之間的差異。NIST公告稱，隨著人工智能、沉浸式技術和其他創新的引入，物聯網網絡安全變得更加復雜，此次修訂旨在確保制(zhi)造(zao)商(shang)能夠跟上這些發(fa)展，同時解決長期以來對設備安全性和支(zhi)持的(de)擔憂。更新后的(de)框(kuang)架將作為制(zhi)造(zao)商(shang)和政策制(zhi)定者的(de)參考，有助于(yu)降低設備接管和數據泄露等風險(xian)。
NIST IR 8259系列框架作為(wei)美國物(wu)(wu)聯網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)安(an)(an)全(quan)底層框架，在其問世至(zhi)今近5年(nian)時間(jian)不(bu)斷完善。特(te)朗普在上一任(ren)期中(zhong)對物(wu)(wu)聯網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)安(an)(an)全(quan)已形成初(chu)步政(zheng)(zheng)策(ce)體系，在接下(xia)來(lai)的(de)第二(er)任(ren)總(zong)統任(ren)期中(zhong)，預計(ji)會進一步出臺(tai)新的(de)物(wu)(wu)聯網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)安(an)(an)全(quan)政(zheng)(zheng)策(ce)。目前NIST對物(wu)(wu)聯網(wang)(wang)(wang)網(wang)(wang)(wang)絡(luo)安(an)(an)全(quan)框架的(de)修(xiu)訂，也(ye)在為(wei)進一步的(de)政(zheng)(zheng)策(ce)出臺(tai)打下(xia)基(ji)礎。
