📡 数据安全基线 · 物联网设备

基线定义 · 作用 · 制定原则（最小权限 & 纵深防御）

📌 基线定义 Baseline Definition

数据安全基线 是针对物联网设备在数据采集、传输、存储、处理、销毁全生命周期中，
必须满足的最低安全要求集合。它是一组可量化、可验证的配置与行为规范， 确保设备即使处于非理想环境仍能维持基本的数据机密性、完整性与可用性。

📋 基线三要素
  • 最小必要配置
  • 默认安全状态
  • 可审计合规

⚙️ 基线的作用 Why Baseline Matters

维度作用描述物联网场景示例
🔒 安全一致性消除设备碎片化配置，所有同类设备遵循同一安全水位智能摄像头统一关闭telnet
📊 合规评估提供可度量的检查项，通过/失败明确，便于合规审计等保2.0 物联网扩展要求
🛡️ 风险收敛默认禁用高风险端口/服务，减少攻击面网关设备禁用未使用的USB
🔄 生命周期管理从出厂到退役，基线版本可迭代，保证持续保护固件更新后基线重检

💡 核心：基线不是最高安全标准，而是必须通过的及格线。

🧩 基线制定原则 最小权限 · 纵深防御

🔑 最小权限原则

Principle of Least Privilege (PoLP)

  • 每个进程/用户仅授予完成任务所需最小的数据访问权。
  • 默认拒绝所有非必要通信与数据操作。
  • 临时权限用完即回收，避免权限常驻。
  • 物联网示例：传感器固件仅读取自身端口，不访问系统内核。
chmod 600 /data/sensor.db · 禁用root远程登录

🧅 纵深防御原则

Defense in Depth (DiD)

  • 多层安全控制：物理层、网络层、系统层、应用层、数据层。
  • 单点失效不导致全线崩溃，每层独立防护。
  • 物联网典型：设备认证 + 传输加密 + 存储加密 + 安全审计。
  • 默认启用安全启动、信任链、运行时检测。
TLS 1.3 + 安全元件 + 应用沙箱
🌐 网络层 · 防火墙 / 入侵检测 📦 系统层 · 安全启动 / 内核加固 / 沙箱 🔐 数据层 · 加密 / 访问控制 / 最小权限 🛡️ 物联网设备安全基线 纵深防御：多层协同 · 单层失效仍可抵御
图 · 物联网设备纵深防御架构（基线覆盖每一层）

📝 基线配置示例 最小权限 + 纵深防御

以下为物联网网关设备基线片段（伪代码 / 配置）

# 数据安全基线 v2.1 (网关设备)
# 最小权限
DROP USER 'sensor'@'%' ;                           # 删除多余用户
CREATE USER 'sensor_reader'@'localhost' IDENTIFIED BY '***';
REVOKE ALL PRIVILEGES ON *.* FROM 'sensor_reader';
GRANT SELECT ON iot_data.sensor_raw TO 'sensor_reader';   # 仅读

# 纵深防御 - 网络层
iptables -A INPUT -p tcp --dport 22 -s 192.168.1.0/24 -j ACCEPT  # SSH限制
iptables -A INPUT -p tcp --dport 22 -j DROP
# 应用层沙箱
AppArmorProfile=iot-sensor-profile   # 强制访问控制
# 存储加密
cryptsetup luksFormat /dev/mmcblk0p2 --cipher aes-xts-plain64
✅ 基线检查项 确保上述配置在设备出厂及运行中持续生效。
📘 课程资料 · 物联网设备数据安全基线要求与测试 · v1.0