2. IoT设备身份与资产建模

在IoT安全治理中，ACL策略能否落地，首先取决于“我们是否知道网络里到底有哪些设备、它们分别是谁”。如果连设备身份都无法稳定识别，后续的准入控制、访问授权、异常检测都会失去可靠依据。本节围绕设备身份与资产建模展开，重点讲清四件事：设备指纹如何形成、唯一标识如何确定、资产台账如何组织、分组与标签体系如何支撑策略。

一、设备指纹：从多源特征到可识别身份

设备指纹不是单一字段，而是从设备在网络中留下的多类特征中提取出的可区分标识集合。常见特征来源包括：

• 网络层特征：MAC地址OUI（厂商前缀）、IP分配方式（DHCP/静态）、DHCP指纹（Option 55参数请求列表）、TCP/IP协议栈指纹（TTL、窗口大小、TCP选项顺序）。
• 应用层特征：HTTP User-Agent、MQTT ClientID、CoAP端点名称、TLS ClientHello中的SNI与加密套件偏好。
• 行为特征：通信周期、目标端口集合、平均报文长度、上下行流量比。例如摄像头通常持续向NVR推流，而温湿度传感器多为低频小包上报。
• 物理与资产属性：设备型号、固件版本、序列号、厂商、部署位置。

实际系统中，设备指纹通常以“指纹向量”形式存储，例如：{oui:"A4:CF:12", dhcp_opt55:"1,3,6,15,119,252", ttl:64, ua:"ESP32-HTTP-Client", mqtt_clientid_prefix:"esp32-"}。当新设备入网时，系统将实时特征与指纹库比对，输出“已知设备/疑似新型号/未知设备”三类判断。需要强调的是，设备指纹是概率性识别，不是绝对身份，因此必须与唯一标识配合使用。

二、唯一标识：设备身份的主键

唯一标识解决的是“同一设备在多次接入、多次变更IP后仍能被认出来”的问题。常见方案对比如下：

推荐做法是采用复合唯一标识：以设备证书指纹或安全芯片ID作为主键，MAC与序列号作为辅助校验字段。这样即使设备更换网络接口或IP，身份仍保持一致。唯一标识一旦确定，应写入资产台账并作为ACL策略的绑定对象，而不是绑定IP。

三、资产台账：设备身份的结构化落地

资产台账是设备身份建模的“数据库”。一个可用的IoT资产台账至少应包含以下字段：

• 资产ID：内部唯一编号，如 IOT-2024-000317。
• 唯一标识：证书指纹或复合ID。
• 设备指纹摘要：OUI、DHCP指纹、协议栈特征。
• 设备属性：厂商、型号、固件版本、硬件版本。
• 网络属性：当前IP、MAC、接入交换机端口、VLAN、SSID。
• 业务属性：所属系统、责任人、部署位置、上线时间。
• 安全属性：分组、标签、ACL策略集、风险等级、最后在线时间。

台账不是一次性录入就结束，而应通过持续监听DHCP、ARP、MQTT连接、TLS握手等事件自动更新。例如，当某设备固件版本从 1.2.3 变为 1.2.4，台账应记录变更时间并触发策略复核，因为固件升级可能改变其通信行为。

四、设备分组与标签体系：从身份到策略的桥梁

分组与标签是资产建模面向策略的出口。分组通常是互斥的、层级化的，例如按业务域划分为“视频监控”“环境传感”“门禁控制”“生产执行”；标签则是非互斥的、多维度的，例如“厂商=海康”“协议=MQTT”“位置=3号楼”“风险=高”“合规=等保2.0”。

分组决定ACL的默认策略边界，标签决定细粒度策略的匹配条件。例如：

分组：视频监控
标签：厂商=海康, 协议=RTSP, 位置=园区东区, 风险=中
ACL策略：
  允许 视频监控 → NVR服务器:554 (RTSP)
  允许 视频监控 → 时间服务器:123 (NTP)
  拒绝 视频监控 → 互联网:任何
  拒绝 视频监控 → 办公网:任何

这样，当新增一台同型号摄像头时，只需将其归入“视频监控”分组并打上对应标签，ACL策略即可自动继承，无需逐条手工配置。

五、落地要点与常见误区

在实际项目中，设备身份与资产建模最容易出现三类问题。第一，只依赖MAC地址。现代终端普遍启用MAC随机化，IoT设备也可能被替换网卡，导致身份漂移。第二，台账与策略脱节。台账里记录了分组和标签，但ACL仍然按IP段手工维护，设备一换IP策略就失效。第三，标签体系过度膨胀。标签维度太多、取值不统一，导致策略匹配条件复杂且难以维护。

建议的落地顺序是：先确定唯一标识方案（优先证书或安全芯片ID），再建立最小可用台账字段，然后定义不超过三层的分组结构和不超过五个核心标签维度，最后将ACL策略绑定到分组与标签上。每次设备上线、变更或下线，都应同步更新台账并触发策略复核。这样，设备身份建模才能真正成为ACL治理的可靠基础。