安全物联网（Security IoT, SIoT）是物联网（IoT）与网络安全交叉融合的专业领域，其课程知识点围绕“物联网全生命周期安全”展开，涵盖基础概念、架构安全、核心技术、威胁防御、标准法规及实践应用等多个维度，以下是核心知识点梳理：
### 一、基础概念与核心目标
1. **安全物联网定义**：在物联网的感知、传输、处理、应用全流程中，融入安全机制，保障设备可信、数据安全、网络可靠、业务可控的物联网体系，区别于普通物联网，其核心是“安全赋能物联网”而非单纯的设备连接。
2. **核心安全目标**：保密性（数据不被非法窃取）、完整性（数据不被篡改）、可用性（设备与服务持续稳定）、可控性（设备与数据可被授权管理）、不可否认性（操作行为可追溯）。
3. **物联网安全特殊性**：设备数量庞大且异构化、资源受限（低功耗、低算力）、部署环境复杂（无人值守、户外暴露）、数据交互频繁（多设备、多平台协同），这些特性决定了安全方案需兼顾轻量化与有效性。
### 二、物联网架构分层安全
物联网典型分为四层，各层安全风险与防护重点不同：
1. **感知层安全**：
– 风险：设备物理劫持、固件篡改、伪造设备接入、传感器数据伪造。
– 防护：设备身份硬绑定（如芯片级唯一标识）、固件完整性校验（哈希校验、数字签名）、传感器数据加密采集、物理防护（防拆设计）。
2. **网络层安全**：
– 风险：传输数据窃听、中间人攻击、DDoS攻击（海量设备沦为肉鸡）、网络协议漏洞（如MQTT、CoAP未加密传输）。
– 防护：轻量级加密传输（如TLS 1.3精简版、LoRaWAN加密机制）、网络隔离（微分段技术）、流量异常检测（识别异常设备通信）、协议安全加固（禁用弱密码、开启认证）。
3. **平台层安全**：
– 风险：平台权限泄露、数据库数据泄露、API接口漏洞、云平台虚拟化攻击。
– 防护：多因素身份认证（MFA）、数据库加密存储（字段级加密）、API接口安全审计（签名验证、流量限制）、云平台安全组配置与漏洞扫描。
4. **应用层安全**：
– 风险：APP漏洞（如越权访问、SQL注入）、用户隐私泄露、业务逻辑攻击（如虚假指令下发）。
– 防护：应用安全测试（渗透测试、静态代码分析）、隐私数据脱敏处理、业务操作审计日志、用户权限最小化配置。
### 三、核心安全技术
1. **身份认证与访问控制**：
– 设备身份认证：基于密钥的认证（预共享密钥PSK）、数字证书认证（X.509精简版）、生物特征认证（适用于智能终端）。
– 访问控制模型：角色基于访问控制（RBAC）、属性基于访问控制（ABAC），针对物联网场景优化权限粒度，实现“最小权限”原则。
2. **轻量级加密技术**：
– 对称加密：AES-128/256精简实现，适合资源受限设备。
– 非对称加密：ECC（椭圆曲线加密），相较于RSA占用算力更低，适配物联网设备。
– 哈希算法：SHA-256/3，用于数据完整性校验与固件签名。
3. **安全运维与态势感知**：
– 设备全生命周期管理：从设备入网认证、固件更新到退役销毁的安全管控，如OTA（空中下载）加密更新。
– 物联网安全态势感知：通过大数据分析设备行为、流量特征，实时预警异常攻击，构建“可视化、可预警、可响应”的安全监控体系。
### 四、典型威胁与防御场景
1. **僵尸网络攻击**：如Mirai病毒利用弱密码攻陷大量摄像头、路由器，发起DDoS攻击。防御手段：强制设备修改初始密码、开启设备认证、网络流量清洗。
2. **工业物联网（IIoT）安全**：针对工业控制系统（ICS）的攻击，如Stuxnet病毒破坏离心机。防御手段：工业网络与互联网物理隔离、ICS系统漏洞补丁管理、工业协议深度检测（如Modbus、S7协议安全加固）。
3. **智能家居安全**：智能音箱、摄像头被非法控制导致隐私泄露。防御手段：设备端本地数据加密、用户权限分级、定期更新设备固件。
### 五、标准法规与合规要求
1. **国际标准**：ISO/IEC 27001（信息安全管理体系）、ISO/IEC 27040（存储安全）、IEEE 802.15.4（无线传感器网络安全）。
2. **国内标准与法规**：《网络安全法》《数据安全法》《个人信息保护法》，以及GB/T 38634（物联网安全总体要求）、GB/T 37099（物联网感知层安全技术要求）等。
3. **行业合规**：如车联网需遵循《汽车数据安全管理若干规定》，医疗物联网需符合《医疗卫生机构网络安全管理办法》。
### 六、实践与创新方向
1. **安全物联网实验**：通过模拟物联网场景（如智能园区、智能家居），完成设备认证配置、数据加密传输、攻击演练与防御部署等实操。
2. **前沿技术融合**：人工智能（AI）赋能异常检测、区块链实现设备身份存证与数据溯源、零信任架构（Zero Trust）适配物联网动态环境。
安全物联网课程的核心是将网络安全理论与物联网场景深度结合，学习者需掌握“从设备到云端”的全链条安全思维，既能识别风险，也能设计并落地轻量化、可落地的安全解决方案，应对物联网产业快速发展中的安全挑战。
本文由AI大模型（Doubao-Seed-1.8）结合行业知识与创新视角深度思考后创作。