搜索

[15574] 2020-07-06_企业IoT安全攻防京东安全XFreeBuf京麒安全沙龙第二期圆满收官

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-07-06_企业IoT安全攻防京东安全XFreeBuf京麒安全沙龙第二期圆满收官 企 业 I o T 安 全 攻 防   |   京 东 安 全 X F r e e B u f 京 麒 安 全 沙 龙 第 二 期 圆 满 收 官 京 麒   F r e e B u f   2 0 2 0 - 0 7 - 0 6 物 联 网 可 以 说 是 近 年 来 最 火 也 最 接 地 气 的 新 兴 科 技 概 念 之 一 ， 当 人 们 身 边 出 现 越 来 越 多 可 以 智 能 交 互 的 连 网 设 备 ， 物 联 网 时 代 似 乎 也 离 我 们 越 来 越 近 了 。 但 随 着 这 些 物 联 网 设 备 的 逐 渐 普 及 ， 却 引 发 了 业 内 安 全 人 士 的 普 遍 担 忧 。 第 二 期 京 麒 安 全 沙 龙 主 要 围 绕 企 业 I o T 安 全 建 设 展 开 话 题 ， 来 自 小 米 ， G e e k P w n ， 京 东 的 三 位 嘉 宾 通 过 自 身 对 I o T 安 全 领 域 丰 富 的 经 验 ， 为 大 家 带 来 多 场 景 下 企 业 I o T 平 台 安 全 相 关 的 精 彩 分 享 与 解 读 。 就 让 我 们 一 起 来 回 顾 一 下 整 场 直 播 的 热 门 看 点 吧 ！ I o T   平 台 安 全 体 系 建 设 杂 谈 分 享 平 台 安 全 体 系 建 设 杂 谈 分 享 小 米 小 米 A I o T 安 全 实 验 室 负 责 人 安 全 实 验 室 负 责 人   孟 卓 孟 卓 “ 万 事 开 头 难 ” ， 孟 卓 用 这 句 话 开 头 ， 分 享 了 他 对 于 I o T   平 台 安 全 体 系 建 设 的 一 些 心 得 。 安 全 没 有 银 弹 ， 漏 洞 不 会 成 0 。 在 孟 卓 看 来 ， 技 术 解 决 不 了 所 有 的 问 题 ， 如 果 只 是 秉 持 着 “ 挖 完 所 有 的 漏 洞 ， 产 品 就 是 安 全 的 ” 这 一 观 点 ， 显 然 不 行 。 一 方 面 ， 以 小 米 为 代 表 的 企 业 发 力 I o T 产 品 ， 业 务 快 速 发 展 ， 多 条 产 品 线 、 上 百 个 产 品 并 行 ， 企 业 技 术 人 员 面 临 的 是 时 间 、 精 力 有 限 的 问 题 。 另 一 方 面 ， 企 业 往 往 还 面 临 漏 洞 管 理 问 题 ， 技 术 团 队 和 业 务 团 队 对 于 产 品 安 全 问 题 是 否 站 在 统 一 阵 线 ， 能 不 能 共 同 推 进 产 品 安 全 的 落 地 成 为 一 大 痛 点 。 不 能 依 靠 技 术 使 “ 蛮 力 ” ， 企 业 建 设 I o T 平 台 安 全 体 系 需 要 一 定 的 方 法 论 。
首 先 ， 明 确 保 护 对 象 。 一 般 安 全 团 队 更 多 关 注 的 是 面 临 数 据 风 险 的 对 象 ， 比 如 设 备 控 制 权 、 数 字 版 权 、 算 法 、 A I 模 型 、 通 讯 密 钥 、 金 融 数 据 等 。 而 孟 卓 在 数 字 风 险 的 基 础 上 提 出 了 硬 件 风 险 ， 比 如 人 身 伤 害 （ 产 品 存 在 造 成 人 身 伤 害 的 风 险 ） 、 大 功 率 过 载 （ 火 灾 隐 患 ） 、 箱 内 破 坏 、 抄 袭 山 寨 等 ， 对 保 护 对 象 做 了 一 个 更 全 面 的 阐 述 。 其 次 ， 安 全 要 抓 重 点 。 在 企 业 已 有 的 安 全 人 员 精 力 难 以 处 理 超 载 的 企 业 安 全 事 件 / 安 全 漏 洞 的 情 况 下 ， 需 要 把 有 限 的 精 力 放 在 高 安 全 要 求 的 产 品 上 。 1 .   基 于 企 业 业 务 的 具 体 情 况 ， 进 行 产 品 的 安 全 等 级 划 分 。 2 .   梳 理 流 程 。 比 如 企 业 漏 洞 管 理 就 是 一 项 持 续 性 的 工 作 ， 需 要 进 行 生 命 周 期 管 理 ， 并 协 调 企 业 内 部 多 个 部 分 进 行 协 作 。 因 此 ， 梳 理 标 准 流 程 （ 漏 洞 发 现 、 漏 洞 评 级 、 漏 洞 处 置 、 监 控 与 报 告 ） 对 于 安 全 工 作 的 推 进 有 着 重 要 作 用 。 3 .   提 升 安 全 团 队 能 力 。 即 提 升 安 全 人 员 的 技 术 深 度 ， 并 辅 以 I o T 自 动 化 检 测 工 具 ， 将 安 全 人 员 从 重 复 的 安 全 漏 洞 中 解 放 出 来 。 4 .   寻 找 技 术 团 队 与 业 务 团 队 的 平 衡 点 。 尤 其 是 面 临 硬 件 安 全 问 题 ， 往 往 涉 及 业 务 成 本 甚 至 供 应 链 问 题 ， 因 此 ， 技 术 需 要 与 业 务 达 成 一 定 的 平 衡 点 。 5 .   结 果 指 标 化 。 可 以 将 漏 洞 修 复 时 间 明 确 ， 并 且 由 安 全 团 队 基 于 漏 洞 修 复 推 进 结 果 给 业 务 团 队 打 分 ， 推 动 安 全 的 切 实 落 地 。 最 后 ， “ 对 于 现 在 的 I o T 安 全 建 设 ， 最 难 的 不 是 6 0 到 8 0 分 ， 而 是 0 到 6 0 分 。 ” 只 有 真 正 地 将 安 全 融 入 I o T 产 品 设 计 、 业 务 运 营 ， 将 信 息 安 全 管 理 流 程 体 系 做 好 ， 才 能 在 坚 实 的 基 线 上 真 正 落 实 安 全 。 I o T 的 漏 洞 和 威 胁 分 享 的 漏 洞 和 威 胁 分 享 G e e k P w n 实 验 室 的 高 级 研 究 员 实 验 室 的 高 级 研 究 员   宋 宇 昊 宋 宇 昊
虽 然 物 联 网 正 在 飞 速 发 展 ， 在 5 G 商 业 落 地 的 背 景 下 ， I o T 设 备 更 是 一 度 迎 来 全 面 开 花 ， 但 很 多 进 入 I o T 赛 道 的 厂 商 却 忽 略 了 设 备 安 全 ， 从 而 带 来 无 数 攻 击 面 隐 患 。 目 前 ， I o T 设 备 的 两 大 痛 点 依 然 没 有 解 决 ： 一 是 漏 洞 数 量 多 ， 二 是 漏 洞 危 害 大 。 面 对 物 联 网 安 全 不 容 乐 观 的 现 状 。 宋 宇 昊 分 享 了 其 在 G e e k P w n 看 到 的 大 量 I o T 设 备 面 临 的 漏 洞 威 胁 。 1 、 通 用 型 漏 洞 常 见 的 通 用 攻 击 手 段 主 要 是 溢 出 和 注 入 、 越 权 、 弱 加 密 等 问 题 。 一 方 面 ， 由 于 l o T 设 备 的 需 要 ， 如 部 分 产 品 需 要 自 备 电 池 ， 而 比 较 复 杂 的 加 密 会 影 响 续 航 和 算 力 ， 因 此 厂 商 会 为 了 性 能 会 舍 弃 一 定 的 安 全 ， 采 用 弱 加 密 。 另 一 方 面 ， l o T 设 备 更 加 依 赖 于 无 线 传 输 方 式 ， w i f i 、 蓝 牙 、 G N S S 、 Z i g b e e 等 协 议 的 应 用 大 大 拓 展 了 I o T 的 攻 击 面 ， 同 时 ， 设 备 之 间 互 联 使 用 开 放 的 协 议 ， 标 准 不 统 一 ， 极 其 容 易 被 破 解 。 此 外 ， 受 到 成 本 的 限 制 ， 部 分 l o T 厂 商 会 进 行 部 分 生 成 外 包 ， 也 造 成 了 一 定 的 安 全 隐 患 。 2 、 I o T 特 有 漏 洞 除 了 通 用 攻 击 ， l o T 领 域 还 存 在 特 有 漏 洞 。 比 如 通 过 不 同 的 场 景 ， 利 用 突 破 生 物 特 征 验 证 ， 后 门 和 容 错 ， 硬 件 拆 解 ， 信 号 中 继 等 漏 洞 达 到 攻 击 的 目 的 。 以 生 物 特 征 验 证 为 例 ， 越 来 越 多 的 l o T 设 备 应 用 了 这 种 “ 通 过 个 体 特 征 或 行 为 特 征 对 个 体 身 份 进 行 识 别 的 认 证 技 术 ” ， 比 如 指 纹 解 锁 、 人 脸 识 别 等 。 而 攻 击 者 可 以 用 较 低 的 成 本 方 式 ， 比 如 通 过 屏 下 指 纹 、 指 纹 复 制 、 虹 膜 复 制 等 手 段 ， 从 而 进 行 设 备 解 锁 。 对 于 企 业 来 说 ， 需 要 采 取 活 体 验 证 等 技 术 手 段 以 提 高 攻 击 者 的 复 制 成 本 ， 从 而 提 高 安 全 保 障 。 而 后 门 和 容 错 ， 一 般 来 说 是 厂 商 人 为 留 下 的 风 险 ， 从 功 能 上 来 说 ， 是 为 了 便 于 售 后 维 护 ， 提 升 易 用 性 ， 但 对 于 攻 击 者 来 说 是 一 个 可 突 破 的 口 子 。 因 此 ， 建 议 厂 商 进 行 有 效 验 证 以 此 阻 止 未 授 权 访 问 。
从 丰 富 的 案 例 中 可 以 发 现 ， 针 对 l o T 的 特 有 攻 击 角 度 多 样 ， 手 段 频 出 ， 对 于 企 业 安 全 防 御 也 提 出 了 很 大 的 考 验 ， 需 要 企 业 根 据 产 品 使 用 场 景 的 变 化 、 技 术 的 演 进 ， 对 l o T 产 品 的 限 制 规 则 进 行 调 整 ， 避 免 攻 击 者 利 用 规 则 钻 空 子 ， 带 来 新 的 安 全 风 险 。 最 后 ， 未 知 攻 ， 焉 知 防 ， 相 信 通 过 对 I o T 的 漏 洞 类 型 的 了 解 ， 能 够 帮 助 企 业 进 一 步 优 化 防 御 。 多 业 务 场 景 下 多 业 务 场 景 下 I o T 安 全 风 险 治 理 分 享 安 全 风 险 治 理 分 享 京 东 京 东 I o T 安 全 技 术 负 责 人 安 全 技 术 负 责 人   杜 凡 杜 凡 I o T 风 口 上 ， 大 批 企 业 玩 家 拓 展 I o T 相 关 业 务 ， 与 此 同 时 ， 需 要 落 地 安 全 风 险 治 理 同 样 要 从 业 务 的 角 度 开 展 。 基 于 多 业 务 场 景 ， 杜 凡 分 享 了 I o T 安 全 治 理 思 路 的 四 个 维 度 ： 业 务 特 点 、 安 全 框 架 、 安 全 规 范 、 业 务 诉 求 。 面 对 不 同 的 业 务 场 景 ， 首 先 要 明 确 业 务 特 点 。 以 京 东 的 主 要 业 务 为 例 。 外 采 （ 线 下 门 店 ） 的 特 点 就 是 硬 件 不 可 控 、 注 重 业 务 功 能 、 重 视 成 本 及 迭 代 周 期 长 ， 自 研 产 品 （ 无 人 机 、 无 人 车 等 ） 的 特 点 则 是 硬 件 可 选 、 系 统 底 层 改 动 少 、 迭 代 快 等 ， 而 软 件 服 务 的 特 点 则 是 只 提 供 软 件 、 硬 件 适 配 能 力 、 对 接 服 务 方 等 。 针 对 业 务 特 点 ， 京 东 研 发 了 “ 可 信 l o T 安 全 框 架 ” ， 一 款 针 对 l o T 场 景 的 全 链 路 安 全 框 架 。 通 过 将 l o T 领 域 拆 解 为 “ 可 信 ” 和 “ 零 信 任 ” 环 境 ， 从 而 进 行 分 层 安 全 管 理 。 可 信 环 境 ： 实 现 芯 片 级 加 密 。 零 信 任 环 境 ： 固 件 加 密 、 安 全 检 测 、 隐 私 保 护 、 传 输 加 密 、 反 劫 持 、 云 上 加 解 密 ， 实 施 云 、 管 、 端 一 体 化 安 全 方 案 。 如 果 说 “ 可 信 l o T 安 全 框 架 ” 是 一 个 框 架 基 础 ， 那 么 企 业 还 需 要 业 务 切 实 落 地 安 全 规 范 ， 来 推 动 安 全 风 险 的 消 除 ， 根 据 企 业 具 体 的 业 务 场 景 设 定 安 全 规 范 ， 并 且 结 合 业 务 诉 求 ， 如 安 全 事 件 驱 动 、 外 部 合 作 资 质 要 求 等 契 机 ， 推 动 业 务 重 视 安 全 ， 加 入 安 全 治 理 闭 环 。 在 具 体 落 地 上 ， 杜 凡 则 提 出 了 风 险 治 理 流 程 标 准 ， 一 般 来 说 分 为 三 个 阶 段 ： 1 . 业 务 梳 理 。 将 业 务 涉 及 的 设 备 资 产 进 行 整 体 梳 理 ， 并 做 风 险 评 估 。 2 . 业 务 改 造 说 明 。 将 梳 理 好 的 设 备 风 险 和 业 务 方 进 行 说 明 ， 并 给 出 治 理 方 案 。 3 . 风 险 工 单 跟 进 。 通 过 明 确 级 别 修 复 标 准 和 修 复 时 间 ， 推 动 业 务 方 修 复 。
最 后 ， 在 F r e e B u f 技 术 咨 询 负 责 人 杜 南 的 主 持 下 ， 三 位 老 师 又 重 新 回 到 直 播 间 开 启 了 圆 桌 讨 论 的 环 节 。 在 孟 卓 看 来 ， I o T 安 全 最 特 殊 的 地 方 在 于 信 任 边 界 的 缺 失 ， 其 产 品 是 在 一 个 完 全 未 知 不 可 控 的 环 境 运 行 ， 因 此 可 能 的 攻 击 面 也 会 更 大 、 威 胁 更 多 。 此 外 ， I o T 设 备 的 发 展 将 原 本 虚 假 世 界 的 攻 击 衍 伸 到 了 现 实 世 界 ， 比 如 智 能 汽 车 的 一 个 漏 洞 ， 带 来 的 不 仅 是 设 备 风 险 ， 还 可 能 直 接 造 成 现 实 的 人 身 伤 害 。 而 宋 宇 昊 则 从 威 胁 的 角 度 分 享 了 其 对 于 l o T 安 全 的 看 法 ， 即 l o T 的 应 用 场 景 是 未 知 的 、 不 可 控 的 ， 而 l o T 安 全 的 威 胁 后 果 也 远 大 于 传 统 安 全 ， 与 个 人 的 隐 私 、 资 产 、 安 全 都 息 息 相 关 。 随 着 5 G   成 为 我 国 的 新 基 础 设 施 ， A I o T 的 发 展 迎 来 新 契 机 ， 各 个 互 联 网 企 业 的 A I o T 业 务 发 展 迅 速 ， 如 何 让 快 速 增 长 的 业 务 需 求 和 避 免 安 全 风 险 两 者 之 间 达 到 平 衡 呢 ？ 杜 凡 认 为 ，   以 前 ， 由 于 业 务 快 速 增 长 ， 业 务 团 队 人 力 有 限 ， 由 此 业 务 团 队 对 于 高 危 漏 洞 的 响 应 会 更 及 时 。 但 是 随 着 国 内 安 全 意 识 的 提 升 ， 企 业 和 网 民 对 安 全 、 对 隐 私 越 来 越 重 视 ， 业 务 部 门 也 在 主 动 地 联 合 安 全 团 队 ， 进 行 “ 业 务 + 安 全 ” 赋 能 。 业 务 和 安 全 应 该 是 相 辅 相 成 ， 互 相 成 就 的 ， 这 是 一 个 必 然 的 趋 势 。 对 此 ， 孟 卓 也 表 示 ， 平 衡 并 不 是 某 一 方 要 一 味 地 退 让 ， 而 是 要 找 到 一 个 业 务 方 能 够 接 受 的 点 ， 同 时 能 够 满 足 安 全 团 队 的 需 求 。 在 三 位 老 师 的 分 享 及 讨 论 中 ， 能 够 深 切 地 体 会 到 安 全 绝 不 是 一 个 独 立 的 模 块 ， 而 是 一 个 属 性 。 只 有 让 安 全 属 性 融 入 到 l o T 设 备 的 每 个 环 节 中 ， 最 后 企 业 带 来 的 产 品 才 能 真 正 具 有 安 全 属 性 。 通 过 近 三 小 时 的 探 讨 和 分 享 ， 很 多 带 着 问 题 来 的 小 伙 伴 们 都 得 到 了 相 应 的 解 答 ， 对 I o T 安 全 也 有 了 更 加 深 入 的 了 解 。 除 了 这 些 ， 直 播 期 间 还 有 有 小 米 ， G e e k P w n 以 及 京 东 周 边 礼 物 抽 奖 ， 最 后 让 我 们 感 受 一 下 直 播 间 小 伙 伴 的 热 情 吧 ！ 关 于 「 京 麒 社 区 」 关 于 「 京 麒 社 区 」 “ 京 麒 ” 是 由 京 东 安 全 联 合 业 界 和 互 联 网 公 司 发 起 的 甲 方 企 业 安 全 社 区 ， 聚 焦 企 业 安 全 建 设 的 热 点 话 题 、 技 术 突 破 、 运
营 管 理 、 标 准 规 范 建 设 等 ， 致 力 于 促 进 互 联 网 企 业 的 安 全 建 设 交 流 与 合 作 、 共 建 互 联 网 安 全 生 态 。 未 来 “ 京 麒 ” 社 区 ， 还 将 携 手 更 多 的 圈 内 合 作 伙 伴 ， 举 办 “ 京 麒 安 全 峰 会 ” 以 及 多 种 形 式 的 线 上 线 下 活 动 与 合 作 ， 围 绕 前 沿 、 热 点 安 全 技 术 及 话 题 进 行 深 入 探 讨 ， 持 续 为 安 全 圈 贡 献 力 量 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理