3. 信任度量指标：设备身份指标、行为合规指标、安全态势指标、历史信誉指标

信任评分体系的核心，说白了就是四个维度的指标。我做了这么多年物联网安全，见过太多只盯着设备身份的项目，结果被行为异常的设备搞得焦头烂额。今天咱们就把这四个维度拆开揉碎了讲清楚。

3.1 设备身份指标：你是谁？

设备身份是信任的起点。你想想看，如果连设备是谁都搞不清楚，后面的评分就毫无意义。我个人习惯把身份指标分成三层：

• 硬件身份层：芯片唯一ID、TPM密钥、安全元件证书。这是最底层的信任根。
• 软件身份层：固件哈希、操作系统版本、应用签名。防止设备被篡改后冒充合法身份。
• 网络身份层：MAC地址、IP地址、设备指纹。注意，这些容易被伪造，只能作为辅助。

身份指标的计算公式其实不复杂：

身份可信度 = 硬件身份权重 × 硬件验证结果
           + 软件身份权重 × 软件验证结果
           + 网络身份权重 × 网络验证结果

权重怎么定？我建议硬件身份占60%以上。为什么？因为硬件篡改成本最高，攻击者一般不会从这里下手。

3.2 行为合规指标：你在干什么？

身份没问题，不代表设备就可靠。我记得有个客户，所有设备都通过了身份认证，但其中一台每隔5秒就向云端发送大量数据——明显是被劫持了。这就是行为合规要解决的问题。

行为合规指标主要看三个方面：

1. 通信行为：连接频率、数据包大小、目标地址是否在白名单内。
2. 操作行为：固件升级频率、配置变更次数、敏感操作触发情况。
3. 资源行为：CPU使用率、内存占用、网络带宽消耗是否异常。

行为类型	正常范围	异常阈值	扣分规则
心跳间隔	30-60秒	<5秒或>300秒	每次异常扣5分
数据包大小	100-500字节	>10KB	每次异常扣10分
固件升级频率	每月≤1次	每天≥3次	直接降级
CPU使用率	10%-40%	>90%持续5分钟	每次异常扣8分

3.3 安全态势指标：你安全吗？

这个维度很多人容易忽略。设备当前的安全状态，直接影响它能不能被信任。说白了，一台设备即使身份合法、行为正常，但如果它存在已知漏洞，那风险依然很高。

安全态势指标包括：

• 漏洞暴露面：开放端口数、服务版本、已知CVE数量。
• 安全配置：是否启用加密、默认密码是否修改、日志是否开启。
• 威胁情报：设备IP是否出现在黑名单、是否与已知C2服务器通信。

我习惯用这样一个评分模型：

安全态势分 = 100 - (漏洞严重性系数 × 漏洞数量)
           - (配置风险系数 × 不合规项数量)
           - (威胁情报系数 × 命中情报数量)

举个例子，一台设备有2个高危漏洞、1个弱密码、IP被标记为扫描源。那它的安全态势分可能直接掉到40分以下。这种设备，我建议直接隔离。

3.4 历史信誉指标：你以前靠谱吗？

历史信誉，说白了就是设备的「信用记录」。一台设备过去的表现，很大程度上能预测它未来的行为。我个人觉得，这是四个维度里最容易被低估的。

历史信誉指标主要看：

1. 在线时长：设备稳定运行的时间越长，信誉越高。
2. 违规记录：过去被扣分的次数和严重程度。
3. 修复响应：发现安全问题后，设备是否及时修复。

计算公式可以这样设计：

历史信誉分 = 基础分(60) 
           + 在线时长加分(每天+0.1，上限20分)
           - 违规扣分(每次违规扣5-20分)
           + 修复加分(每次及时修复+10分)

嗯，这里要注意：历史信誉不能无限累积。我建议设置一个上限，比如100分。否则老设备永远比新设备可信，这不合理。

3.5 四维融合：综合信任评分

四个指标单独看都有价值，但真正的威力在于融合。我常用的融合策略是加权平均，但权重不是固定的：

场景	身份权重	行为权重	态势权重	历史权重
新设备入网	50%	20%	20%	10%
稳定运行期	20%	30%	20%	30%
安全事件响应	10%	40%	40%	10%

你看，不同场景下，各维度的权重完全不一样。新设备刚入网，身份最重要；运行稳定后，行为和历史更能说明问题；发生安全事件时，行为和态势才是关键。

下面这张图能帮你更直观地理解四个维度的关系：

最后说一句：这四个维度的指标，一定要有数据支撑。没有数据，再好的模型也是空中楼阁。我建议从第一天就开始采集设备的行为数据和态势数据，哪怕一开始用不上，后面总会派上用场。