1、IoT安全框架发布物联网安全实践Cloud安全实践云安全联盟简介50+研究工作组2009CSA FOUNDEDSINGAPORE/ASIA PACIFIC HEADQUARTERSSHENZHEN,China/GCR HEADQUARTERSSEATTLE/Bellingham,WA/Americas HEADQUARTERS100,000+个人会员500+企业会员80+地方分会与政府、研究机构、专业协会和行业建立战略伙伴关系CSA research is FREE!Our CommunityBERLIN,GERMANY/EMEA HEADQUARTERS中科院云计算中心是中国科学院直属的唯一

2、一个以云计算、大数据为核心研发领域的大型研发机构，是中国科学院首次与地方政府共建的云计算专业研发机构，拥有国内首个完全自主产权的G-cloud云计算平台，技术处于国内领先地位。SaaSPaaSIaaS私有云 Private混合云 Hybrid公有云 PublicIaaSPaaSSaaS消费者责任Consumer responsibility供应商责任Provider responsibility审核监督 Audit&Monitoring身份管理 IdentityManagement数据DATA应用程序 ApplicationVirtual Machines&OS security虚拟机与操作系

3、统安全管理程序安全 HypervisorsSecurity网络与数据中心安全Network&Data CenterSecurity物理安全 Physical Security数据层与开发平台Datalayer&developmentplatformCOPYRIGHT 2018 CLOUD SECURITY ALLIANCE教育教育思想先驱思想先驱工具和标准工具和标准合作合作最优实践与最优实践与解决方案解决方案人工智能人工智能区块链与分布式区块链与分布式云云网络事件分享网络事件分享云组件规范云组件规范云控制矩阵云控制矩阵DevSecOps组织架构组织架构ERP 安全安全金融服务金融服务医疗保健医

4、疗保健ICS安全安全物联网物联网密钥管理密钥管理手机应用安全云测手机应用安全云测开放认证框架开放认证框架开放开放API云安全服务管理云安全服务管理一致性评价一致性评价容器与微服务容器与微服务隐私水平协议隐私水平协议量子安全量子安全安全即服务安全即服务软件定义边界软件定义边界TOP威胁威胁国际标准国际标准CVE 启动CSA的基础云安全研究 2017年7月发布第四版本 重要的企业经验教训 领域 1:云定义&架构 领域 2-5:云端治理 企业风险管理和治理 合法 合规&审计管理 信息治理 领域 6-14:云端运营 管理层面和业务连续性 基础设施安全 虚拟化和存储 事件响应 应用安全 数据安全和加密

5、身份管理 安全服务 相关技术报告下载地址：https:/www.c- 为云供应链风险管理设计最基本的控制框架 划定控制所有权（供应商，客户）为云供应商类型的排名提供实用性参考 能够作为安全态势和遵从态势测量的典范 包括16个控制域，133个控制项 包含了全球法规和安全标准与控制项的映射关系：例如：NIST,ISO 27001,COBIT,PCI,HIPAA,FISMA,FedRAMP mappings growing virally 被政府和企业广泛应用1.数据泄露2.被盗用的证书以及身份管理系统3.不安全的程序接口4.系统和App漏洞5.账号劫持6.内部恶意人员7.高级持续性威胁8.数据丢失

6、9.不充分的尽职调查10.恶意使用和滥用11.拒绝攻击服务DoS12.共享技术中的漏洞报告下载地址：https:/www.c- 最有价值的IT认证 2016 Certification Magazine 云安全竞争力的衡量标准 基于CSA的指南和云控制矩阵 在线考试 不断涌现关于云安全，风险管理和审计的需求第一级-自我评估云厂商在CSA官网注册并提交自评估报告。第二级-第三方认证由第三方机构进行认证，确保云厂商满足CSA云安全控制矩阵CCM要求。例如:CSA STAR和C-STAR认证第三级-持续监控云厂商公布基于CSA云计算信任协议（The Cloud Trust Protocol，CTP）

7、的安全监控结果，对云服务相关安全要求进行持续的审计和评估。针对云厂商安全管理的一种严格的第三方独立评估。该评估主要参考GB/T 22080-2008管理体系标准及CSA云控制矩阵（Cloud Control Matrix）的要求，以及29个国标GB/T 22239-2008（信息安全技术信息系统安全等级保护基本要求）和GB/Z 28828-2012（信息安全技术公共及商用服务信息系统个人信息保护指南）的相关控制措施 安全和规模效益 规模越大，实施安全控制的成本越低 安全导致市场差异化 安全性成为云消费者的首要考虑事项 快速智能的资源伸缩 资源伸缩使安全防御措施也具备弹性 审计和取证 虚拟镜像取

8、证减少停机时间 更具成本效益的云日志存储 资源集中的优势 每单位资源更便宜的物理边界限制和物理访问控制 更及时的发布更新与有效的默认安全配置 通过默认加固的镜像模板管理安全基线 比传统修补模式更及时的发布更新 标准化的安全管理接口 大型云提供者的安全管理能力可以通过标准接口对外开放 审计和SLA促进更好的风险管理 需要量化SLA中各种风险场景的处罚以及安全漏洞对声誉的可能影响，激发更为严格的内部审计和风险评估程序需求调研什么系统要上云，涉及哪些数据、密级如何、是结构化数据还是非结构化数据、数据量有多大，系统对环境及硬件资源的要求是什么（CPU、内存、网络、I/O的要求都是什么样的，分别需要多少

9、资源），业务系统的SLA要求都是什么厂商选型厂商规模与技术实力、公开的故障与历史可用性、厂商整体经营风险、厂商的安全合规状况、标杆客户、业界口碑、互换性与可移植性（厂商琐定的风险）、是否可以协商合同（包括SLA、保密协议等）传统企业安全：基于防火墙的边界防御Firewall防火墙IDS 入侵检测IPS 入侵防护行业趋势 变革企业应用云移动、IoT 变革1：云/移动/IoT等新技术出现让企业数据不再局限在墙内，传统安全边界在瓦解防火墙等边界防御设备变革2：APT攻击、勒索病毒等黑客技术的演进以及WIFI/5G等无线方式接入，让企业内网不再100%安全内网服务器WIFI/5G接入移动、IoT行业趋

10、势 变革企业安全无法再100%依赖防火墙，国际云安全联盟CSA定义了万物互联代的网络安全模型Software-Defined-Perimeter(SDP)软件定义边界SDP有效防止十大安全威胁*1.数据泄露2.弱身份、密码与访问管理3.不安全的界面 和API 接口4.系统和应用程序漏洞5.账号劫持6.内部恶意人员威胁7.高级持续威胁攻击（APTS）8.数据丢失9.DDoS拒绝服务10.共享技术问题*来自云安全联盟CSA白皮书SDP for IaaS连续4年举办SDP黑客破解大赛，无人攻破国外众多老牌安全产商、CDN产商、电信运营商都推出自己的SDP产品2018年纳斯达克上市的硅谷独角兽，专攻S

11、DP产品，市值已超过60亿美金SDP入选 2017年11大信息安全技术，2018最应投入的10大安全项目，网络服务隔离指南：“到2021年底，60%的企业将用SDP取代VPN”SDP CSA技术创新安全思路的转变传统安全：攻防挑战：你永远不知道敌人明天是否有更高级的武器SDP安全：隐身优势：敌人无法攻击看不见的目标防弹衣SDP CSA技术创新SDP安全模型架构图1.客户端2.管控平台3.应用网关云服务器内网/DMZ 服务器SDP核心优势网络隐身 Information Hiding隐藏服务器地址、端口，使之不被扫描发现预验证 Pre-authentication在连接服务器之前，先验证用户和设

12、备的合法性预授权 Pre-authorization用户只能看到被授权访问的应用（最小权限原则）扩展性 Extensibility基于标准协议，可以方便与其它安全系统集成应用级的访问准入Application Layer Access用户只有应用层的访问权限，无网络级的访问基于零信任(Zero-Trust)安全理念的软件定义边界(SDP)的安全模型1.客户端SDP CSA技术创新SDP for IoTSDP for IaaSSDP for HTTPSDP for EnterpriseSDP使用场景https:/ 一开始是 Google 内部的一项举措，旨在让每个员工都能在 不借助 VPN 的情

13、况下通过零信任的网络工作，如今它已融入大部分 Google 员工的日常工作。BeyondCorp通过将访问权限控制措施从网络 边界转移至具体的设备，让员工可以更安全地在任何地点工作，而不必借 助于传统的 VPN。2009年Google内网遭受了代号为“极光行动”的APT攻击，推动Google 重新搭建整体安全架构，从而诞生了BeyondCorp项目。自2012年 Google开始在内部实施BeyondCorp，共发表了6篇相关的论文。美 国 国 防 部 在 Department of Defense Global Information Grid Architectural Vision信息化

14、架构指南中提出，所有敏感信息 的访问必须严格遵守“need to know”（最小权限原则）的信息安 全原则。而SDP可以有效实施该原则。美国中情局的前CTO、著名安全专家Bob Flores是国际云安全联盟SDP标准工作组的联席主席.https:/cloudsecurityalliance.org/working-groups/software-defined-perimeter/Google BeyondCorp：基于SDP的安全办公平台美国国防部与中情局的实践SDP 国外成功案例Adi Shamir FC2016:“物联网将是安全大灾难.Forrester:安全是IoT发展的关键Vint

15、 Cerf,互联网之父，谷歌首席布道师“让我们保持万物互联，同时保证互联系统的安全与可靠性。”Ross Anderson（剑桥大学）：物联网安全不单纯是一个技术问题，而是牵涉到心理学、道德、法律、保险等多方面的问题，安全工程将会很复杂，Safety将在未来一段时间比隐私更重要。Bruce Schneier：现在大多数的“物”都是不安全的，有可能变成监视工具，要解决这问题会很困难 物联网安全不能由市场经济原则驱动，政府要扮演主要角色，成立跨部门标准规范组织制定相应的安全规范.大部份IoT技术仍然在生存及成长阶段，标准和安全是成功的关键因素。IoT安全技术仍然在创建阶段，没有成熟的产品。数据收集数

16、据传输数据分析和决策指令传输实施操作物联网信息流模型僵尸网络DDoS功能扩展攻击资源耗尽偷听和伪造身份社会工程攻击电池消耗、通信信道DoS攻击MITM（中间人攻击）、重放攻击、伪造证书网络钓鱼、伪Wi-Fi热点、APT硬件注入暴力破解攻击伪基站、路由器和固件侧信道攻击代码注入、重用缓冲区溢出、后门、ROP（返回导向编程）、DOP字典攻击、彩虹表差分功耗分析（DPA）攻击、时间差攻击、故障注入、电磁分析攻击（EMA）海量物联网设备感染病毒形成僵尸网络，发起美国史上最大规模DDoS攻击1、利用TCP端口漏洞，绕过防火墙2、停止telnet服务并关闭漏洞端口3、端口嗅探，等待CC命令并发起DDoS攻

17、击。1、远程无线攻入车载HMI2、多个漏洞提权，root权限登陆CID和IC上3、连接到CAN总线，任意车身和行车控制1、黑客通过钓鱼邮件，植入恶意代码2、横向渗透，发送恶意载荷向受控SCADA节点发送断电指令3、导致变电站中断了三个小时，22.5万用户停电智能电网、工业物联网等关键基础设施面临黑客组织定点攻击，造成巨大经济损失智能网联车遭受远程攻击，不但威胁车辆信息安全，更直接威胁人身安全物联网小设备受制于软件漏洞，一旦联网会被黑客所利用，形成受控制的僵尸网络。对联网智能设备的攻击不仅局限于虚拟世界，也直接危害到物理世界，甚至危及生命安全。针对工业物联网的安全漏洞一旦被利用，会瘫痪关键基础设

18、施的运行，对日常生活影响巨大。New OrgsEarlyOrgsIoT Controls Framework and Guide to the IoT Security Controls FrameworkIoT Controls FrameworkSecurity controls frameworkContinuation of CCM,specific to IoTFlexible designGuide to IoT SecurityControls FrameworkExplains how to use the matrix报告下载地址：https:/www.c-(研究项目-文件下载)THANK YOU谢谢观看