CN109639634A - 一种物联网自适应安全防护方法及系统 - Google Patents

Abstract

本发明涉及网络安全，旨在提供一种物联网自适应安全防护方法及系统。该种物联网自适应安全防护方法包括事前预测阶段、监控阶段、响应阶段和防护阶段，通过对物联网设备进行安全防护和行为监控，由物联网态势感知平台对数据进行统一汇总异常分析，结合外部安全数据输入，感知海量物联网设备的安全弱点、异常威胁及非法接入等安全情况。本发明通过统一的物联网安全态势感知与管控平台，实现从实时防护、监控分析、事件响应到风险预测，建立一套自适应的安全防护架构，最终达到安全响应的闭环，解决单点防御措施可能存在被绕过的安全问题。

Description

一种物联网自适应安全防护方法及系统

技术领域

本发明是关于网络安全领域，特别涉及一种物联网自适应安全防护方法及系统。

背景技术

物联网设备的核心技术通常有可跟踪、可监控、可连接等几个方面，尤其是智能设备，这决定了其特点通常有分散化、规模庞大、边界模糊等方面，极易受到黑客攻击和利用，因此，其在安全方面也面临各种的风险，比如软件或系统漏洞被利用、系统弱口令或无口令、身份伪造被恶意利用、非法接入带来隐私泄露等。

如图1所示，传统的安全检测手段都是通过网闸、防火墙、入侵防御等单一检测和防护手段，无法针对零日漏洞利用攻击和高级威胁进行安全防护，在出现系统被入侵的情况下，也难以及时处置和事后追溯。

当前，物联网的安全防护主要是基于边界隔离或是入侵防御等方式，这些拦截和防护主要是依靠特征或者策略控制的，但是很难实现完全的防护效果，高级的新型威胁可以很容易绕过这些防护机制。

当前针对物联网的安全防护主要是依靠黑白名单或特征识别来发现异常，通常是采用预先内置的策略，这些策略是基于经验和之前发现的漏洞形成的，仅能识别和阻断已知威胁，在应对一些零日漏洞(零日漏洞：最新发现的未修复的系统弱点)利用攻击时可能失效，尤其是在应对跳板攻击和高级持续攻击时，很容易被利用和发现弱点，难以形成完善的安全防护能力，甚至在系统被入侵之后也难以及时发现和进行追溯处置。

发明内容

本发明的主要目的在于克服现有技术中的不足，提供一种通过统一的物联网管控平台，利用对物联网设备的数据进行采集、分析、响应和控制，实现从实时防护、监控分析、事件响应到风险预测，建立一套自适应的安全防护架构方法及系统。为解决上述技术问题，本发明的解决方案是：

提供一种物联网自适应安全防护方法，包括下述步骤：

步骤(1)：事前预测阶段，通过外部威胁情报源对内部防护策略进行补充和同步，结合内部资产的安全评估，发现物联网的风险和弱点，并采取智能分析的方法发现网络中的隐蔽威胁；

步骤(2)：监控阶段，对物联网系统进行持续安全监控，采用对比分析的方式发现异常行为；

步骤(3)：响应阶段，利用监控阶段发现的异常行为，判断物联网系统的内部资产是否已被入侵，若内部资产已被入侵，则对该内部资产进行处置并追溯攻击来源；

提取异常行为的特征数据形成新的策略数据，并同步到该内部资产的防护模块中更新策略；

步骤(4)：防护阶段，对于响应阶段更新策略数据的内部资产，识别与该内部资产处在同区域网络环境中的其他物联网资产，并将新增的策略数据同步到这些资产的防护模块中进行策略更新，用于实现物联网系统的整体安全防护；

所述同区域网络环境是指在同一交换机或者同一虚拟网络区域下的网络环境(即同一逻辑区域的网络环境)。

在本发明中，所述步骤(1)中，事前预测阶段具体包括下述子步骤：

步骤A：与外部威胁情报源(专用的用于识别异常威胁的安全产品)建立通道，持续接收最新的威胁情报数据；所述威胁情报数据包括IP、MD5和恶意特征，用于应对新型网络攻击行为；

步骤B：对物联网资产进行周期性安全评估(周期可配置，优选5分钟)，提前发现资产的弱点和风险(弱口令和漏洞等)，并针对发现的弱点和风险，及时更新物联网的内部防护策略；

步骤C：收集物联网中各类型的数据(网络、进程等)，并通过对数据进行智能分析(根据不同数据类型的变化、趋势和关联关系，形成变化的规律统计图)，预测针对物联网的新型网络攻击行为。

在本发明中，所述步骤(2)中，监控阶段具体包括下述子步骤：

步骤D：通过物联网传感器，周期性获取物联网系统的数据，包括进程、网络和文件数据；

步骤E：对数据变化(当前数据相对于历史数据的变化，包括新增数据或者变更数据)进行对比，将变化数据进行标签化：

如果变化数据在黑名单列表中，则直接将该变化数据标记恶意行为，如果不在黑名单中进入下一步；

所述黑名单是指用于判断恶意行为的黑名单IP列表；

步骤F：绘制进程、网络和文件数据关系图，如果变化数据在同区域网络环境中的其他资产均无出现(即这些资产均无该数据)，则将该变化数据标记为可疑；

所述进程、网络和文件数据关系图是指：基于物联网系统内部的资产关系，以及变化数据出现的概率，对应生成的变化数据关系图；

步骤G：如果处于同一行为的关系链中的网络、进程和文件数据，其中任意两类数据均为可疑，则判断该行为是异常行为。

在本发明中，所述步骤(3)中，响应阶段具体包括下述子步骤：

步骤H：对监控阶段判定的异常行为进行分析，如果该异常行为的发起者是物联网系统的内部资产，则判断该内部资产已被入侵；

步骤I：对步骤H判定为已被入侵的资产，首先进行断网处置，查看具体被入侵的方式，分析相关的进程和文件，对恶意的进程和后门程序进行删除，然后对攻击入侵的来源进行追溯，确认是否来自内部：

如果是来自内部，则对攻击源进行杀毒处置；

如果不是来自内部，则将攻击源的IP加入黑名单；

步骤J：对于响应阶段处理后的异常行为，提取异常行为的特征数据，若该特征数据不在物联网的内部防护策略中，则利用该特征数据形成新的策略数据，并同步到该内部资产的防护模块中更新策略。

在本发明中，提取的异常行为的特征数据，包括攻击源IP、恶意进程、病毒MD5文件；

所述防护模块中的策略包括黑名单、防护进程策略特征库和恶意样本MD5列表；

利用异常行为的特征数据形成的策略数据，并同步到该内部资产的防护模块中，具体是指：将特征数据中的攻击源IP则加入策略的黑名单，将特征数据中的恶意进程则加入策略的防护进程策略特征库，将特征数据中的病毒MD5文件则加入策略的恶意样本MD5列表。

提供一种存储设备，其中存储有多条指令，所述指令适用于由处理器加载并执行：上述物联网自适应安全防护方法。

提供一种物联网自适应安全防护系统，包括处理器，适于实现各指令；以及存储设备，适于存储多条指令，所述指令适用于由处理器加载并执行：上述物联网自适应安全防护方法。

本发明的工作原理：通过采集模块对物联网设备进行安全防护和行为监控，包含网络、进程和文件等类型数据，由物联网态势感知平台对数据进行统一汇总异常分析，结合外部安全数据输入，感知海量物联网设备的安全弱点、异常威胁及非法接入等安全情况，实现控制指令下发和安全管控，基于自适应安全架构，做到针对物联网设备安全的防护、分析、响应和预测。本发明的关键点是基于物联网设备监控数据防护、分析、响应和预测形成自适应的安全防护架构。

与现有技术相比，本发明的有益效果是：

本发明通过统一的物联网安全态势感知与管控平台，实现从实时防护、监控分析、事件响应到风险预测，建立一套自适应的安全防护架构，最终达到安全响应的闭环，解决单点防御措施可能存在被绕过的安全问题。

本发明能及时发现和预测网络中的安全风险，提升物联网设备的安全防护能力。

附图说明

图1为传统的安全检测手段流程图。

图2为本发明的阶段示意图。

图3为本发明的检测流程图。

具体实施方式

下面结合附图与具体实施方式对本发明作进一步详细描述：

如图2、图3所示的一种物联网自适应安全防护方法，通过传感器数据采集、日志监控和流量分析对物联网设备进行监控，包含物联网设备内部数据、防护设备日志、远程安全监测等方式，获取物联网设备的行为和状态等数据，把这些数据统一发送到管控平台，由管控平台对数据进行解析分类，对告警数据加入威胁列表，对行为数据进行分析，发现异常攻击行为，并将攻击行为或外部威胁情报提取形成策略，同步到防护模块形成防护能力，同时这些策略也会同步到安全监测模块，对区域其他物联网设备进行安全评估。

该种物联网自适应安全防护方法包括下述步骤：

步骤(1)：事前预测阶段，通过外部威胁情报源对内部防护策略进行补充和同步，结合内部资产的安全评估，发现物联网的风险和弱点，并采取智能分析的方法发现网络中的隐蔽威胁；

事前预测阶段具体包括下述子步骤：

步骤A：物联网安全管控平台(即本发明的一种物联网自适应安全防护系统)与外部威胁情报源(专用的用于识别异常威胁的安全产品)建立通道，持续接收最新的威胁情报数据，威胁情报数据包括IP、MD5和恶意特征等，用于应对新型网络攻击行为；

步骤B：通过上述物联网安全管控平台，对物联网资产进行周期性安全评估，该周期默认5分钟可配置，提前发现资产的弱点和风险，弱点和风险包括弱口令和漏洞，针对发现的弱点及时更新物联网安全管控平台；

步骤C：物联网安全管控平台对物联网资产内部的网络、进程等类型数据进行收集，根据不同数据类型的变化、趋势和关联关系，形成变化的规律统计图，主动预测针对系统的新型攻击行为；

步骤(2)：监控阶段，对物联网系统持续安全监控，采用对比分析的方式发现异常的行为，比如根据历史的数据与当前数据对比判断威胁所属的攻击链阶段(攻击链是指攻击者入侵目标系统采用的一系列攻击方式)，基于行为判断系统是否存在被入侵、攻击等威胁，如果本物联网系统出现受控对外攻击的行为则判断为被入侵；

监控阶段具体包括下述子步骤：

步骤D：通过物联网传感器获取到进程、网络和文件数据，并将数据发送到物联网安全管控平台；

步骤E：物联网安全管控平台通过周期性的获取物联网系统的数据变化进行对比，将新增数据或者变化数据进行标签化，如果变化数据在黑名单列表中，则直接将变化数据标记恶意行为，如果不在黑名单列表中进入下一步；

所述黑名单是指：用于判断恶意行为的黑白名单IP列表；

步骤F：绘制进程、网络和文件数据关系图，如果产生变化的数据同一网络环境中的其他资产均无出现，即所有资产均无该数据，则将本物联网系统标记为可疑；

步骤G：如果处于同一关系链(网络、进程、文件关系链)的网络、进程和文件数据中的任意两类数据均为可疑，则将本物联网系统标记为恶意；

步骤(3)：响应阶段，针对监控阶段发现的异常行为，如果系统已经被入侵则需要进行处置，然后再进一步地追溯攻击来源，对于发现的异常行为还需要提取恶意行为特征，进行数据同步并形成策略；

响应阶段具体包括下述子步骤：

步骤H：根据物联网系统的行为判定资产是否已经被入侵，攻击源是指网络攻击的攻击源IP，网络攻击可以通过上述步骤判断，如果攻击源为内部资产或者是内部资产向外部发起异常连接请求，则判定为已被入侵，需要进行处置和追溯；

步骤I：对步骤H判定为已被入侵的资产，首先进行断网处置，查看具体被入侵的方式，分析相对应的进程和文件，对恶意的进程和后门程序进行删除，然后对攻击入侵的来源进行追溯，确认是否来自内部：

如果是来自内部，则需要对攻击源系统进行杀毒处置；

如果不是来自内部，则将攻击源IP加入黑名单；

步骤J：对步骤I中分析发现的异常行为，如果不在防护告警数据中，需要对异常行为特征(比如攻击源IP、恶意进程、病毒MD5等)进行提取，形成新的策略数据；

所述防护告警数据是指：已发现且成功阻断的攻击行为；

步骤K：将形成的策略数据同步到防护模块；

所述防护模块是指：物联网系统内部安装的安全防护功能模块；

步骤(4)：防护阶段，根据响应阶段提取的策略数据，同步到防护模块，自动化更新防护模块的策略，对于同区域的物联网资产，还需要同步策略到区域所有资产；

防护阶段具体包括下述子步骤：

步骤L：根据异常分析提取的恶意IP列表，同步到防护模块策略：

对于攻击源IP则加入黑名单，对于恶意进程则加入防护进程策略特征库，对于病毒MD5文件则加入恶意样本MD5列表；

所述防护模块策略包括黑名单、防护进程策略特征库和恶意样本MD5列表；

步骤M：识别同区域其他资产，将异常分析提取的恶意IP列表同步到同一网络环境其他所有资产的防护模块，用于实现物联网系统的整体安全防护。

最后，需要注意的是，以上列举的仅是本发明的具体实施例。显然，本发明不限于以上实施例，还可以有很多变形。本领域的普通技术人员能从本发明公开的内容中直接导出或联想到的所有变形，均应认为是本发明的保护范围。

Claims (7)

1.一种物联网自适应安全防护方法，其特征在于，包括下述步骤：

步骤(1)：事前预测阶段，通过外部威胁情报源对内部防护策略进行补充和同步，结合内部资产的安全评估，发现物联网的风险和弱点，并采取智能分析的方法发现网络中的隐蔽威胁；

步骤(2)：监控阶段，对物联网系统进行持续安全监控，采用对比分析的方式发现异常行为；

步骤(3)：响应阶段，利用监控阶段发现的异常行为，判断物联网系统的内部资产是否已被入侵，若内部资产已被入侵，则对该内部资产进行处置并追溯攻击来源；

提取异常行为的特征数据形成新的策略数据，并同步到该内部资产的防护模块中更新策略；

步骤(4)：防护阶段，对于响应阶段更新策略数据的内部资产，识别与该内部资产处在同区域网络环境中的其他物联网资产，并将新增的策略数据同步到这些资产的防护模块中进行策略更新，用于实现物联网系统的整体安全防护；

所述同区域网络环境是指在同一交换机或者同一虚拟网络区域下的网络环境。

2.根据权利要求1所述的一种物联网自适应安全防护方法，其特征在于，所述步骤(1)中，事前预测阶段具体包括下述子步骤：

步骤A：与外部威胁情报源建立通道，持续接收最新的威胁情报数据；所述威胁情报数据包括IP、MD5和恶意特征，用于应对新型网络攻击行为；

步骤B：对物联网资产进行周期性安全评估，提前发现资产的弱点和风险，并针对发现的弱点和风险，及时更新物联网的内部防护策略；

步骤C：收集物联网中各类型的数据，并通过对数据进行智能分析，预测针对物联网的新型网络攻击行为。

3.根据权利要求1所述的一种物联网自适应安全防护方法，其特征在于，所述步骤(2)中，监控阶段具体包括下述子步骤：

步骤D：通过物联网传感器，周期性获取物联网系统的数据，包括进程、网络和文件数据；

步骤E：对数据变化进行对比，将变化数据进行标签化：

如果变化数据在黑名单列表中，则直接将该变化数据标记恶意行为，如果不在黑名单中进入下一步；

所述黑名单是指用于判断恶意行为的黑名单IP列表；

步骤F：绘制进程、网络和文件数据关系图，如果变化数据在同区域网络环境中的其他资产均无出现，则将该变化数据标记为可疑；

所述进程、网络和文件数据关系图是指：基于物联网系统内部的资产关系，以及变化数据出现的概率，对应生成的变化数据关系图；

步骤G：如果处于同一行为的关系链中的网络、进程和文件数据，其中任意两类数据均为可疑，则判断该行为是异常行为。

4.根据权利要求1所述的一种物联网自适应安全防护方法，其特征在于，所述步骤(3)中，响应阶段具体包括下述子步骤：

步骤H：对监控阶段判定的异常行为进行分析，如果该异常行为的发起者是物联网系统的内部资产，则判断该内部资产已被入侵；

步骤I：对步骤H判定为已被入侵的资产，首先进行断网处置，查看具体被入侵的方式，分析相关的进程和文件，对恶意的进程和后门程序进行删除，然后对攻击入侵的来源进行追溯，确认是否来自内部：

如果是来自内部，则对攻击源进行杀毒处置；

如果不是来自内部，则将攻击源的IP加入黑名单；

步骤J：对于响应阶段处理后的异常行为，提取异常行为的特征数据，若该特征数据不在物联网的内部防护策略中，则利用该特征数据形成新的策略数据，并同步到该内部资产的防护模块中更新策略。

5.根据权利要求1所述的一种物联网自适应安全防护方法，其特征在于，提取的异常行为的特征数据，包括攻击源IP、恶意进程、病毒MD5文件；

所述防护模块中的策略包括黑名单、防护进程策略特征库和恶意样本MD5列表；

利用异常行为的特征数据形成的策略数据，并同步到该内部资产的防护模块中，具体是指：将特征数据中的攻击源IP则加入策略的黑名单，将特征数据中的恶意进程则加入策略的防护进程策略特征库，将特征数据中的病毒MD5文件则加入策略的恶意样本MD5列表。

6.一种存储设备，其中存储有多条指令，所述指令适用于由处理器加载并执行：权利要求1至5任意一项所述的物联网自适应安全防护方法。

7.一种物联网自适应安全防护系统，包括处理器，适于实现各指令；以及存储设备，适于存储多条指令，所述指令适用于由处理器加载并执行：权利要求1至5任意一项所述的物联网自适应安全防护方法。