4、等保2.0物联网扩展要求：安全计算环境、安全区域边界、安全通信网络
等保2.0的物联网扩展要求，说白了就是在通用等保的基础上，给物联网设备“加餐”。
我刚开始接触这个标准时，也觉得条目太多，记不住。后来做项目多了，发现核心就三个层面：计算环境、区域边界、通信网络。把这三个地方守住了，合规就完成了一大半。
核心观点：物联网扩展要求不是另起炉灶，而是在通用要求上，针对感知层设备的特点做强化。重点解决“设备弱、边界乱、网络杂”的问题。
4.1 安全计算环境：把设备本身管好
安全计算环境，关注的是物联网终端设备自身的安全。这些设备往往资源受限，CPU弱、内存小，跑不动传统的杀毒软件和防火墙。
我记得有个智能水表项目，设备用的还是M0内核的芯片，连TLS握手都费劲。那怎么办？只能从基础做起。
4.1.1 身份鉴别
设备得有“身份证”。不能谁连上来都认。等保要求设备具备唯一标识，并且登录时要进行鉴别。
- 唯一标识：每个设备出厂时烧录唯一的设备ID，可以是IMEI、MAC地址，或者自定义的UUID。
- 鉴别方式：至少采用口令、密码技术、生物特征等两种以上组合的鉴别技术。对于物联网设备，我建议用“设备证书+口令”的双因子方式。
- 失败处理：鉴别失败次数超过阈值（比如5次），应锁定该设备或账户一段时间。
我的经验：曾经有个客户，所有设备都用同一个默认密码“admin123”。等保测评时直接被判不符合。后来我们给每台设备生成了唯一的初始密码，并在首次登录时强制修改。这个坑，大家千万别踩。
4.1.2 入侵防范
设备要能感知自己被攻击了。等保要求物联网设备应具备一定的入侵检测能力。
- 异常行为检测：比如短时间内大量连接请求、非法的端口扫描。
- 资源监控：CPU、内存、网络流量异常飙升，可能是被植入了挖矿程序。
- 轻量化实现：在资源受限的设备上，可以用简单的规则引擎代替复杂的AI模型。
4.1.3 固件安全
固件是设备的灵魂。固件被篡改，设备就变成别人的“肉鸡”。
- 固件签名：固件升级包必须经过数字签名，设备在升级前验证签名有效性。
- 安全启动：设备启动时，逐级校验Bootloader、内核、文件系统的完整性。
- 回滚保护：防止攻击者将固件回滚到有漏洞的旧版本。
注意：我曾经遇到过一家厂商，固件升级包没有签名，结果被中间人替换成了恶意固件，导致大量设备“变砖”。后来他们花了整整两周才完成现场刷机。固件签名，真的不能省。
4.1.4 数据保护
设备本地存储的敏感数据，比如密钥、配置信息、采集的用户数据，必须加密存储。
- 加密存储：使用硬件加密模块（如SE、TEE）或软件加密库（如mbed TLS）。
- 密钥管理：密钥不能硬编码在代码里。我习惯用密钥派生机制，每个设备的密钥由主密钥+设备ID派生而来。
- 数据清除：设备报废或返修前，必须对存储介质进行安全擦除。
4.2 安全区域边界：把网络边界扎紧
安全区域边界，说白了就是物联网设备接入网络的那道“门”。这道门如果没关好，攻击者就能长驱直入。
你想想看，一个摄像头如果直接暴露在公网上，没有边界防护，那跟裸奔有什么区别？
4.2.1 边界防护
等保要求物联网区域边界应提供访问控制机制，限制非授权设备的接入。
- 网络隔离：物联网设备应部署在独立的VLAN或物理网段中，与办公网、生产网隔离。
- 访问控制列表（ACL）：只允许必要的IP和端口通过。比如摄像头只允许访问NVR服务器的554端口（RTSP）。
- 非法外联检测：防止设备私自建立到外部网络的连接。
4.2.2 访问控制
边界设备（如物联网网关、工业防火墙）应基于用户、设备、时间、位置等多维度进行访问控制。
| 控制维度 | 说明 | 示例 |
|---|---|---|
| 用户 | 基于用户身份进行授权 | 只有管理员才能登录网关管理界面 |
| 设备 | 基于设备指纹或证书进行授权 | 只允许已注册的设备接入 |
| 时间 | 基于时间段进行控制 | 数据上报只在凌晨0点-6点进行 |
| 位置 | 基于地理位置或网络位置进行控制 | 只允许来自内网IP段的连接 |
4.2.3 安全审计
边界区域应记录所有安全事件，包括设备接入、访问尝试、异常流量等。
- 审计内容：时间、源IP、目的IP、协议类型、操作类型、结果。
- 审计存储：日志应集中存储，保留时间不少于6个月（等保三级要求）。
- 审计保护：日志不能被随意删除或篡改。我建议使用区块链或哈希链技术保护日志完整性。
4.2.4 无线管控
物联网设备大量使用无线通信（Wi-Fi、ZigBee、LoRa、NB-IoT等），无线安全是边界防护的重点。
- 无线加密：使用WPA2/WPA3加密，禁用WEP。
- SSID隐藏：非必要不广播SSID。
- MAC地址过滤：白名单机制，只允许已知MAC地址的设备接入。
- 无线入侵检测：部署WIDS/WIPS，检测非法AP和伪造设备。
避坑指南：我曾经在一个智慧园区项目中，发现所有物联网设备都连接在一个开放的Wi-Fi网络上，没有任何加密和认证。攻击者只需要在停车场用手机连上Wi-Fi，就能直接访问所有摄像头和门禁控制器。后来我们重新规划了无线网络，每个区域使用独立的SSID和加密密钥，才解决了这个问题。
4.3 安全通信网络：让数据在“管道”里安全流动
安全通信网络，关注的是数据在传输过程中的安全。物联网通信协议五花八门，MQTT、CoAP、HTTP、Modbus TCP……每种协议都有自己的安全弱点。
我个人习惯，不管用什么协议，先把加密和认证做扎实。
4.3.1 加密传输
等保要求物联网通信应采用密码技术保证数据传输的机密性。
- 传输层加密：使用TLS 1.2及以上版本。对于资源受限设备，可以使用DTLS（基于UDP的TLS）。
- 应用层加密：如果传输层无法加密（比如某些工业协议），可以在应用层对载荷进行加密。
- 密钥协商：使用ECDHE等前向安全算法，确保即使长期密钥泄露，历史通信内容也无法被解密。
技术细节：MQTT over TLS是物联网最常用的加密方案。但要注意，TLS握手开销较大。对于电池供电的设备，我建议使用会话恢复机制（Session Resumption），减少握手次数，延长电池寿命。
4.3.2 协议过滤
网络边界设备应能够识别并过滤非法的物联网协议流量。
- 深度包检测（DPI）：识别MQTT、CoAP、Modbus等协议，并检查协议字段的合法性。
- 协议白名单：只允许指定的协议通过。比如只允许MQTT协议，禁止HTTP、FTP等。
- 异常流量检测：检测协议滥用行为，比如MQTT的“遗嘱消息”被用来传播恶意指令。
4.3.3 网络准入
设备接入网络前，应先进行身份认证和健康检查。
- 802.1X认证：基于端口的网络准入控制，设备连接交换机时先进行认证。
- NAC（网络准入控制）：检查设备是否安装了必要的安全补丁、是否运行了杀毒软件（如果设备支持）。
- 访客网络隔离：未通过认证的设备只能访问隔离的访客网络，无法访问核心业务系统。
4.3.4 抗抵赖
通信双方不能否认自己发送或接收过的数据。这在物联网支付、远程控制等场景中尤为重要。
- 数字签名：每条关键指令（如“打开阀门”、“关闭电源”）都附带发送方的数字签名。
- 审计日志：记录所有通信行为，并确保日志的完整性和不可篡改性。
- 时间戳：使用可信时间源（如NTP服务器）为每条消息打上时间戳，防止重放攻击。
重要提醒：抗抵赖不是所有物联网场景都需要的。比如温度传感器上报数据，一般不需要抗抵赖。但如果是远程医疗设备下达的用药指令，或者工业控制系统的停机指令，就必须有抗抵赖机制。我在一个智能制造项目中，就因为缺少指令签名，导致无法追溯一次误操作的责任人。后来我们给所有控制指令都加上了数字签名，问题才解决。
4.4 三个层面的协同落地
安全计算环境、安全区域边界、安全通信网络，这三个层面不是孤立的。它们需要协同工作，才能形成完整的防护体系。
举个例子：一个智能门锁设备，本身要有身份鉴别和固件签名（计算环境）；它接入网络时，要通过网关的访问控制和无线加密（区域边界）；它上报开锁记录时，数据要经过TLS加密传输（通信网络）。
三个层面，缺一个都不行。
落地建议：我建议大家在设计物联网系统时，先画一张“安全架构图”，把设备、边界、网络三个层面的安全措施都标出来。然后对照等保2.0的扩展要求，逐条检查是否有遗漏。这样做，合规通过率会高很多。