CN112995236B - 一种物联网设备安全管控方法、装置和系统 - Google Patents

Abstract

本申请实施例提供了一种物联网设备安全管控方法、装置和系统。本实施例中，物联网设备通过在内核态基于实时最新的安全检测策略库确定是否存在漏洞，并在内核态中确定存在漏洞时，在内核态中产生告警日志并将告警日志和当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定，这实现了物联网设备的安全管控，保障了物联网的安全。并且，物联网设备在内核态确定漏洞和安全管控，这防止被非法篡改，进一步有效提高物联网设备的安全管控，保障了物联网的安全。

Description

一种物联网设备安全管控方法、装置和系统

技术领域

本申请涉及网络安全技术，特别涉及一种物联网设备安全管控方法、装置和系统。

背景技术

目前，物联网中很多物联网设备大小不一、且对安全问题的防御能力也不同。一旦有一个物联网设备出现安全问题，则该出现问题的物联网设备会成为攻击整个物联网的一个突破口，这会影响整个物联网的安全。

因此，在物联网应用中，一种物联网设备的安全管控方法是亟待解决的技术问题。

发明内容

本申请提供了一种物联网设备安全管控方法、装置和系统，以实现物联网设备的安全管控，保障物联网的安全。

本申请实施例提供的技术方案包括：

一种物联网设备安全管控方法，该方法应用于物联网设备，所述物联网设备与新部署的消息队列遥测传输协议MQTT服务器按照 MQTT 协议建立连接，该方法包括：

通过所述连接订阅云管理平台发布至所述MQTT服务器的最新安全检测策略库；所述最新安全检测策略库是基于漏洞披露标准平台实时披露的最新漏洞信息、以及所述物联网设备的设备指纹信息生成的；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；

当在内核态中监控到内核态发生操作事件时，在内核态中获取所述物联网设备的当前参数值，当在内核态中依据所述当前参数值与所述最新安全检测策略库中的目标参数值确定存在漏洞时，在内核态中产生告警日志并将所述告警日志和所述当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定；其中，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；所述最新安全检测策略库中的安全检测策略还包含各目标监控指标所对应的目标参数值；

在内核态中依据所述云管理平台确定的所述安全管控策略进行漏洞控制以阻断所述漏洞。

一种物联网设备安全管控方法，该方法应用于云管理平台，包括：

基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；将所述最新安全检测策略库发布至消息队列遥测传输协议MQTT服务器以使所述物联网设备通过与所述MQTT服务器的连接订阅所述最新安全检测策略库；

接收所述物联网设备基于订阅的所述最新安全检测策略库确定存在漏洞时发送的告警日志以及所述物联网设备的当前参数值，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；

将所述告警日志和所述当前参数值、以及指定时间内的运行日志输入至已训练的与所述物联网设备对应的设备分析模型得到用于阻断所述漏洞的安全管控策略，将所述安全管控策略下发至所述物联网设备以使所述物联网设备在内核态中依据所述安全管控策略进行漏洞控制以阻断所述漏洞。

一种物联网设备安全管控系统，该系统包括：

物联网设备，用于执行如上第一种方法；

云管理平台，用于执行如上第二种方法；

MQTT服务器，用于按照如上任一方法与物联网设备、云管理平台进行交互。

一种电子设备，该电子设备包括：处理器和机器可读存储介质；

所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；

所述处理器用于执行机器可执行指令，以实现如上方法步骤。

由以上技术方案可以看出，本申请中，物联网设备通过在内核态基于实时最新的安全检测策略库确定是否存在漏洞，并在内核态中确定存在漏洞时，在内核态中产生告警日志并将告警日志和当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定，这实现了物联网设备的安全管控，保障了物联网的安全。并且，物联网设备在内核态确定漏洞和安全管控，这防止被非法篡改，进一步有效提高物联网设备的安全管控，保障了物联网的安全；

进一步地，本实施例中，物联网设备通过与新部署的MQTT服务器按照 MQTT 协议建立连接来订阅云管理平台发布的最新安全检测策略库，这种基于发布/订阅模式（无需专门建立连接）实现了物联网设备与云管理平台之间的"轻量级"通讯。

进一步地，本实施例中，云管理平台可实时更新安全检测策略库，并且由于安全检测策略库是基于漏洞披露标准平台比如国内外标准的漏洞披露平台CVE和CNNVD等更新，实现了源头可控，数据有效，分类清晰，提高了物联网设备管控的效率和可信度；并通过采用机器学习技术为每个物联网设备建立设备分析模型。由设备分析模型基于输入的物联网设备在漏洞时生成的告警日志、物联网设备的当前参数值、以及指定时间内物联网设备的运行日志确定安全管控策略，保证安全管控策略确定的更精确，进一步提高物联网设备的安全管控，保障了物联网的安全。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本公开的实施例，并与说明书一起用于解释本公开的原理。

图1为本申请实施例提供的方法流程图；

图2为本申请实施例提供的步骤101实现流程图；

图3为本申请实施例提供的组网结构图；

图4为本申请实施例提供的另一流程图；

图5为本申请实施例提供的系统结构图；

图6为本申请实施例提供的装置结构图；

图7为本申请实施例提供的另一装置结构图；

图8为本申请实施例提供的电子设备结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。

为了使本领域技术人员更好地理解本申请实施例提供的技术方案，并使本申请实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例中技术方案作进一步详细的说明。

参见图1，图1为本申请实施例提供的方法流程图。该流程应用于物联网设备。在本实施例中，物联网设备与新部署的消息队列遥测传输协议（MQTT：Message QueuingTelemetry Transport）服务器按照 MQTT 协议建立连接。这里， MQTT是一个基于客户端-服务器的消息发布/订阅传输协议。在本实施例中，物联网设备和MQTT服务器按照MQTT协议建立连接的方式可参见MQTT协议，这里不再赘述。可选地，在本实施例中，MQTT服务器可独立于云管理平台，也可集成在云管理平台，本实施例并不具体限定。

如图1所示，该流程可包括以下步骤：

步骤101，物联网设备通过与MQTT服务器之间已建立的连接订阅云管理平台发布至MQTT服务器的最新安全检测策略库；最新安全检测策略库是由云管理平台基于漏洞披露标准平台实时披露的最新漏洞信息、以及所述物联网设备的设备指纹信息生成的；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息。

可选地，本实施例中，在执行步骤101之前，物联网设备可将设备指纹信息上报至云管理平台。作为一个实施例，这里的设备指纹信息可包括如下至少一个信息：

a)：设备安全启动类信息。在应用中，举例物联网设备的启动步骤按顺序依次为：BootRom->BootLoader->内核/操作系统->设备应用。而每一个步骤都有可能被非法篡改，所以每个步骤都要进行完整性与合法性校验，校验通过后说明是未被篡改/合法的，才可以进行下一步骤的启动。基于此，作为一个实施例，这里的设备安全启动类信息可包括物联网设备的启动步骤中各硬件的完整性与合法性验证参数比如哈希值/数字签名，比如，设备安全启动类信息依次可包括：BootRom的哈希值/数字签名值；BootLoader的哈希值/数字签名值；内核/操作系统的哈希值/数字签名值；设备应用的哈希值/数字签名值。可选地，这里设备安全启动类信息可为设备出厂时的信息。

b)：设备运行状态类信息。在应用中，设备运行状态信息包括以下至少一个：进程黑名单/白名单、文件黑名单/白名单、网络连接黑名单/白名单、网络流量阈值区间、操作系统配置白名单。可选地，进程白名单/白名单可包括：进程名，父进程名，进程哈希值。文件黑名单/白名单可包括：文件名，文件哈希值；网络连接黑名单/白名单可包括：IP地址（设备对外连接或外部内联）、端口、协议；网络流量预置区间可为设备正常运行状态下流量预置区间；操作系统配置白名单：操作系统所有功能的正常基线配置。可选地，这里设备运行状态类信息可为设备出厂时的信息。

c) ：设备资源占用类信息。在应用中，设备资源占用信息包括以下至少一个：CPU占有率阈值、内存占有阈值、磁盘占有阈值、内核对象数、网络连接数。可选地，这里设备资源占用类信息可为设备出厂时的信息。

d) ：设备正常能耗信息。可选地，这里设备正常能耗信息可为设备出厂时的信息。

需要说明的是，上述只是举例描述设备指纹信息，并非用于限定。至于云管理平台如何基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库，下文图4所示流程会进行描述，这里暂不赘述。

步骤102，物联网设备在内核态中监控到操作事件时，在内核态中获取物联网设备的当前参数值，当在内核态中依据当前参数值与上述最新安全检测策略库中的目标参数值确定存在漏洞时，在内核态中产生告警日志并将所述告警日志和所述当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定；在内核态中依据所述云管理平台确定的所述安全管控策略进行漏洞控制以阻断所述漏洞。

在应用中，物联网设备分为用户态和内核态。内核态数据是根基，用户态数据是内核态的反馈，可以被非法篡改。为防止非法篡改数据，实现物联网设备的安全管控，保障物联网的安全，在本实施例是由物联网设备在内核态执行物联网设备的安全管控，具体如步骤102描述。

为实现本步骤102中在内核态执行物联网设备的安全管控，则需要提前执行以下步骤：通过内核态新增加的Netlink Connect模块与用户态进行交互，以获取上述最新安全检测策略库，以使最新安全检测策略库加载在内核态。这里，Netlink Connect模块是用以实现用户进程与内核进程通信的一种特殊的进程间通信（IPC） ,也是网络应用程序与内核通信的接口。

可选地，在本实施例中，在内核态中监控到的操作事件可泛指内核态发生任一操作引起的对应事件，比如读、写操作等引起的对应事件，本实施例并不具体限定。一旦监控到内核态发生操作事件，则如上述步骤102所述，需要在内核态中获取物联网设备的当前参数值。这里的当前参数值包括物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值，这里的各目标监控指标具体可在下文描述，这里暂不赘述。

作为一个实施例，所述最新安全检测策略库中的安全检测策略还包含各目标监控指标所对应的目标参数值。一旦在内核态中获取物联网设备的当前参数值，则会在内核态比对同一目标监控指标下的当前参数值与目标参数值，一旦两者之差超过设定阈值，则确定该目标监控指标下存在漏洞，之后在内核态中产生告警日志并将所述告警日志和所述当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定。通过在内核态比对同一目标监控指标下的当前参数值与目标参数值来确定该目标监控指标下是否存在漏洞，能够防止比对结果被非法篡改。

步骤103，物联网设备在内核态中依据所述云管理平台确定的所述安全管控策略进行漏洞控制以阻断所述漏洞。

比如，假若漏洞为越权系统配置或操作，则安全管控策略可为系统权限收紧以消除产生的越权系统配置或操作；再假如漏洞为异常流量或非法IP接入，则安全管控策略为断开网络连接以消除异常流量或非法IP接入；再假如漏洞为有未知或非法进程，则安全管控策略为内核进程控制以消除未知或非法进程；再假如漏洞为重要应用文件被非法篡改导致应用工作异常，则安全管控策略为文件和配置状态恢复以阻止重要应用文件被非法篡改导致应用工作异常）等。可选地，当物联网设备在内核态中依据云管理平台确定的安全管控策略进行漏洞控制以阻断漏洞时，还会向云管理平台反馈状态，以使云管理平台实时更新策略形成策略下发-状态反馈-策略更新的安全管控闭环。

至此，完成图1所示的流程。

通过图1所示流程可以看出，在本实施例中，物联网设备通过在内核态基于实时最新的安全检测策略库确定是否存在漏洞，并在内核态中确定存在漏洞时，在内核态中产生告警日志并将告警日志和当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定，这实现了物联网设备的安全管控，保障了物联网的安全。

进一步地，本实施例中，物联网设备在内核态确定漏洞和安全管控，这防止被非法篡改，进一步有效提高物联网设备的安全管控，保障了物联网的安全；

更进一步地，本实施例中，物联网设备通过与新部署的MQTT服务器按照 MQTT 协议建立连接来订阅云管理平台发布的最新安全检测策略库，这种基于发布/订阅模式（无需专门建立连接）实现了物联网设备与云管理平台之间的"轻量级"通讯。

下面对本实施例提供的上述步骤101中如何通过连接订阅云管理平台发布至MQTT服务器的最新安全检测策略库进行描述：

参见图2，图2为本申请实施例提供的步骤101实现流程图。如图2所示，该流程可包括以下步骤：

步骤201，物联网设备通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息；所述描述信息至少包括：版本号。

在本实施例中，为保证云管理平台与物联网设备之间的数据的保密性和完整性，物联网设备可基于国密TLS协议并通过上述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息。图3举例示出了物联网设备、MQTT服务器、云管理平台之间的组网结构。

步骤202，物联网设备依据所述描述信息和当前已存储的安全检测策略库的描述信息确定安全检测策略库更新方式；依据所述安全检测策略库更新方式通过所述连接订阅所述安全检测策略库中的数据以更新当前已存储的安全检测策略库，以使更新后的安全检测策略库与所述云管理平台最新发布的安全检测策略库一致。

以描述信息为版本号为例，则在本步骤202中，物联网设备依据所述描述信息和当前已存储的安全检测策略库的描述信息确定安全检测策略库更新方式可包括：比较最新安全检测策略库的版本号和当前已存储的安全检测策略库的版本号，若两者相差小于设定版本数量，则确定安全检测策略库更新方式为增量更新，否则，确定安全检测策略库更新方式为全量更新。这里，设定版本数量可根据云管理平台实际应用场景的推送频率和内容大小确定，比如为10。则当最新安全检测策略库的版本号和当前已存储的安全检测策略库的版本号之间相差小于10个版本，则确定安全检测策略库更新方式为增量更新，否则，确定安全检测策略库更新方式为全量更新。这里之所以确定安全检测策略库更新方式，其目的就是找到平衡点，避免所有物联网设备在同一时刻全部获取更新对云管理平台造成较大压力，更好的提升物联网设备更新效率，尽量减少消耗资源。

需要说明的是，在本实施例中，物联网设备 若在判断最新安全检测策略库的描述信息和当前已存储的安全检测策略库的描述信息一致比如最新安全检测策略库的版本号和当前已存储的安全检测策略库的版本号一致等、或者在判断出当前设备当前正处于更新状态，则可不再进行更新，以有效减少资源消耗，保证更新逻辑正常。

还需要说明的是，在本实施例中，最新安全检测策略库的描述信息携带有数字签名；给予此，可选地，本实施例中，在通过上述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息之前，可进一步校验所述数字签名，若校验通过，则继续执行通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息。这里，校验数字签名的方式类似现有数字签名检验方式，不再赘述。

另外，在本实施例中，为保证最新安全检测策略库的合法性，最新安全检测策略库也携带有数字签名（其与上述描述信息携带的数字签名相同或不同），当物联网设备订阅最新安全检测策略库时还需要进一步校验数字签名，以保证最新安全检测策略库的合法性。

至此，完成图2所示的流程。通过图2所示流程实现了上述步骤101中物联网设备如何通过连接订阅云管理平台发布至MQTT服务器的最新安全检测策略库。

下面对本申请实施例提供的目标监控指标进行描述：

本实施例对物联网设备进行全方位监控，从设备安全启动阶段至设备运行阶段，从设备的硬件到内核层再到应用层，以更有效、全面地感知物联网设备的异常。基于此，在本实施例中，目标监控指标至少包括以下至少一个：设备硬件指标、设备运行状态指标、设备应用指标、内核层指标。

其中，所述设备硬件指标用于指示影响设备安全启动的指标。比如，设备硬件指标至少包括：所述安全启动类组件的校验指标；所述安全启动类组件包括以下至少一个：按照顺序依次启动的各组件Bootrom->BootLoader->内核/操作系统->设备应用。以校验指标为哈希值/数字签名值为例，则安全启动类组件的校验指标包括以下至少一个：BootRom的哈希值/数字签名值、BootLoader的哈希值/数字签名值、内核/操作系统的哈希值/数字签名值、设备应用的哈希值/数字签名值。

所述设备运行状态指标用于指示影响设备正常运行的指标。比如设备运行状态指标至少包括：访问控制指标。这里访问控制指标包括以下至少一个：进程访问控制指标、文件访问控制指标、网络连接访问控制指标、网络流量控制指标、操作系统控制指标。可选地，进程访问控制指标对应的目标参数值可为上述的进程黑名单/白名单，文件访问控制指标对应的目标参数值可为上数的文件黑名单/白名单。网络连接访问控制指标对应的目标参数值可为上数的网络连接黑名单/白名单。网络流量控制指标对应的目标参数值可为上数的网络流量阈值区间。操作系统控制指标对应的目标参数值可为上述的操作系统配置白名单。

所述设备应用指标用于指示影响设备应用的指标。可选地，所述设备应用指标包括以下至少一个：设备资源占用指标、设备能耗指标、操作系统上运行的应用的指标；其中，所述设备资源占用指标包括以下至少一个：CPU占用指标、内存占用指标、磁盘占用指标、内核对象数指标、网络连接数指标；所述应用的指标包括以下至少一个：名称，属性，配置、哈希值/数字签名。这里，CPU占用指标对应的目标参数值可为上述的CPU占有率阈值，内存占用指标对应的目标参数值可为上述的内存占有阈值，磁盘占用指标对应的目标参数值可为上述的磁盘占有阈值，内核对象数指标对应的目标参数值可为上述的内核对象数，网络连接数指标对应的目标参数值可为上述的网络连接数。

所述内核层指标用于指示内核态上的指标。其中，内核层指标至少包括所述内核态数据指标。所述内核态数据指标包括以下至少一个：进程的链表状态指标、文件的层级结构指标、网络配置指标、硬件驱动的状态指标、内存和存储的配置指标。

基于上面描述可以看出，本实施例对物联网设备进行全方位的监控，可更有效地感知物联网设备的异常。

基于上面描述的各目标监控指标，下面对上述步骤102中在内核态中获取所述物联网设备的当前参数值进行描述：

可选地，本实施例中，假如在所述当前参数值包括设备资源占用指标对应的具体参数值时，所述设备资源占用指标对应的具体参数值是从proc虚拟文件系统读取的；所述proc虚拟文件系统存储的是当前内核运行状态的内核态数据；

在所述当前参数值包括网络流量控制指标对应的具体参数值时，所述网络流量控制指标对应的具体参数值是通过所述内核态新增加的内核层Netfilter模块监控得到的；

在所述当前参数值包括进程的链表状态指标对应的具体参数值时，所述进程的链表状态指标对应的具体参数值是通过所述内核态新增加的内核进程链表模块和NetlinkConnector模块监控得到的；

在所述当前参数值包括文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标对应的具体参数值时，文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标对应的具体参数值通过所述内核态新增加的inotify模块监控得到的。

在所述当前参数值包括访问控制指标对应的具体参数值时，可通过操作系统权限日志进行监控得到。

需要说明的是，上述只是对物联网设备如何在上述步骤102中在内核态中获取所述物联网设备的当前参数值进行了举例描述，并非用于限定。

以上是站在物联网设备角度描述，下面站在云管理平台角度描述本实施例提供的方法：

参见图4，图4为本申请实施例提供的另一方法流程图。该流程应用于云管理平台。如图4所示，该流程可包括以下步骤：

步骤401，云管理平台基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；将所述最新安全检测策略库发布至消息队列遥测传输协议MQTT服务器以使所述物联网设备通过与所述MQTT服务器的连接订阅所述最新安全检测策略库。

可选地，本实施例中，漏洞披露标准平台可为国内外标准的漏洞披露平台比如CVE和CNNVD等平台。云管理平台通过使用大数据分析技术如python中特有的数据分析库经过实时采集国内外披露的漏洞信息（比如漏洞编号、名称、描述、影响范围、POC漏洞验证测试、影响版本等信息），对采集的漏洞信息进行诸如数据清洗等预处理，之后对处理结果进行数据分类，筛选与云管理平台管控的强相关的物联网设备的相关漏洞，并针对漏洞进行分类，比如分为影响设备和组件的版本、进程方面、文件方面、网络方面、配置方面、第三方组件方面等。之后存储分类结果和物联网设备的设备指纹信息至云管理平台数据库中，最终形成适合物联网设备的最新安全检测策略库。

本实施例中，通过基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库，实现了安全检测策略库源头可控，数据有效，分类清晰，提高了物联网设备管控的效率和可信度。

步骤402，接收所述物联网设备基于订阅的所述最新安全检测策略库确定存在漏洞时发送的告警日志以及所述物联网设备的当前参数值，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值。

本步骤402与上述步骤102对应，这里不再展开分析。

步骤403，将所述告警日志和所述当前参数值、以及指定时间内的运行日志输入至已训练的与所述物联网设备对应的设备分析模型得到用于阻断所述漏洞的安全管控策略，将所述安全管控策略下发至所述物联网设备以使所述物联网设备在内核态中依据所述安全管控策略进行漏洞控制以阻断所述漏洞。

这里的指定时间可为已发生的且距离告警日志中时间最近的一段历史时间。

在本实施例中，通过采用机器学习技术为每个物联网设备建立设备分析模型。基于此，执行到本步骤403时，云管理平台在接收所述物联网设备发送的告警日志以及所述物联网设备的当前参数值时，会将所述告警日志和所述当前参数值、以及物联网设备在指定时间内的运行日志输入至已训练的与所述物联网设备对应的设备分析模型，由设备分析模型基于输入的物联网设备在漏洞时生成的告警日志、物联网设备的当前参数值、以及指定时间内物联网设备的运行日志计算各目标监控指标相对应的漏洞级别并依据各目标监控指标相对应的漏洞级别确定相匹配的用于阻断漏洞的安全管控策略比如对各目标监控指标相对应的漏洞级别进行权重赋值（可根据物联网设备实际应用场景动态推算出该场景下各目标监控指标相对应的权重赋值，也可由管理员根据实际情况修改），最终依据各目标监控指标相对应的漏洞级别和权重赋值计算出物联网设备的健康分值得出分析报告。分析报告中提出漏洞对应的安全管控策略，最终实现了确定用于阻断漏洞的安全管控策略。

可以看出，本实施例在确定相匹配的用于阻断漏洞的安全管控策略时，是由设备分析模型基于输入的物联网设备在漏洞时生成的告警日志、物联网设备的当前参数值、以及指定时间内物联网设备的运行日志确定的，这参考了之前的日志进行分析，提高了确定安全管控策略的精准度。

如上描述，分析报告中提出漏洞对应的安全管控策略，可选地，本实施例中可以图表和报告形式在分析报告中展示漏洞对应的安全管控策略以及其他各指标对应的数据，以方便分析和后续管控，还能对设备的后续健康情况给出分析和预警。

至此，完成图4所示的流程。

通过图4所示流程可以看出，在本实施例中，云管理平台可实时更新安全检测策略库，并且由于安全检测策略库是基于漏洞披露标准平台比如国内外标准的漏洞披露平台CVE和CNNVD等更新，实现了源头可控，数据有效，分类清晰，提高了物联网设备管控的效率和可信度；

进一步地，本实施例通过采用机器学习技术为每个物联网设备建立设备分析模型。由设备分析模型基于输入的物联网设备在漏洞时生成的告警日志、物联网设备的当前参数值、以及指定时间内物联网设备的运行日志确定安全管控策略，保证安全管控策略确定的更精确，进一步提高物联网设备的安全管控，保障了物联网的安全。

以上对本申请提供的方法进行了描述，下面对本申请提供的系统和装置进行描述：

参见图5，图5为本申请实施例提供的系统结构图。如图5所示，该系统包括：

物联网设备，用于执行如图1所示流程中的方法；

云管理平台，用于执行如图4所示流程中的方法；

MQTT服务器，用于执行如图1或图4所示流程中的方法。

可选地，本申请实施例还提供了对应图1所示流程的装置结构图。该装置应用于物联网设备，所述物联网设备与新部署的消息队列遥测传输协议MQTT服务器按照 MQTT 协议建立连接。如图6所示，该装置可包括：

订阅单元，用于通过所述连接订阅云管理平台发布至所述MQTT服务器的最新安全检测策略库；所述最新安全检测策略库是基于漏洞披露标准平台实时披露的最新漏洞信息、以及所述物联网设备的设备指纹信息生成的；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；

内核态监控单元，用于当在内核态中监控到内核态发生操作事件时，在内核态中获取所述物联网设备的当前参数值，当在内核态中依据所述当前参数值与所述最新安全检测策略库中的目标参数值确定存在漏洞时，在内核态中产生告警日志并将所述告警日志和所述当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定；其中，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；所述最新安全检测策略库中的安全检测策略还包含各目标监控指标所对应的目标参数值；

内核态管控单元，用于在内核态中依据所述云管理平台确定的所述安全管控策略进行漏洞控制以阻断所述漏洞。

可选地，所述订阅单元通过所述连接订阅云管理平台发布至所述MQTT服务器的最新安全检测策略库包括：

通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息；所述描述信息至少包括：版本号；

依据所述描述信息和当前已存储的安全检测策略库的描述信息确定安全检测策略库更新方式；所述安全检测策略库更新方式为全量更新或增量更新；依据所述安全检测策略库更新方式通过所述连接订阅所述安全检测策略库中的数据以更新当前已存储的安全检测策略库，以使更新后的安全检测策略库与所述云管理平台最新发布的安全检测策略库一致。

所述最新安全检测策略库的描述信息携带有数字签名；可选地，所述订阅单元在通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息之前，进一步校验所述数字签名，若校验通过，则继续执行通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息。

可选地，所述目标监控指标至少包括以下至少一个：设备硬件指标、设备运行状态指标、设备应用指标、内核层指标；

其中，所述设备硬件指标用于指示影响设备安全启动的指标；可选地，所述设备硬件指标至少包括：所述安全启动类组件的校验指标；所述安全启动类组件包括以下至少一个：按照顺序依次启动的各组件Bootrom->BootLoader->内核/操作系统->设备应用。

所述设备运行状态指标用于指示影响设备正常运行的指标；所述设备运行状态指标至少包括：访问控制指标，所述访问控制指标包括以下至少一个：进程访问控制指标、文件访问控制指标、网络连接访问控制指标、网络流量控制指标、操作系统控制指标。

所述设备应用指标用于指示影响设备应用的指标。所述设备应用指标包括以下至少一个：设备资源占用指标、设备能耗指标、操作系统上运行的应用的指标；其中，所述设备资源占用指标包括以下至少一个：CPU占用指标、内存占用指标、磁盘占用指标、内核对象数指标、网络连接数指标；所述应用的指标包括以下至少一个：名称，属性，配置、哈希值/数字签名。

所述内核层指标用于指示内核态上的指标。所述内核层指标至少包括所述内核态数据指标，所述内核态数据指标包括以下至少一个：进程的链表状态指标、文件的层级结构指标、网络配置指标、硬件驱动的状态指标、内存和存储的配置指标。

可选地，内核态监控单元在获取的所述当前参数值包括设备资源占用指标对应的具体参数值时，所述设备资源占用指标对应的具体参数值是从proc虚拟文件系统读取的；所述proc虚拟文件系统存储的是当前内核运行状态的内核态数据；在获取的所述当前参数值包括网络流量控制指标对应的具体参数值时，所述网络流量控制指标对应的具体参数值是通过所述内核态新增加的内核层Netfilter模块监控得到的；在获取的所述当前参数值包括进程的链表状态指标对应的具体参数值时，所述进程的链表状态指标对应的具体参数值是通过所述内核态新增加的内核进程链表模块和Netlink Connector模块监控得到的；在获取的所述当前参数值包括文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标时，文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标对应的具体参数值通过所述内核态新增加的inotify模块监控得到的。

至此，完成图6所示装置的结构图。

参见图7，图7为本申请实施例提供的另一装置结构图。该装置对应图4所示流程。如图7所示，该装置可包括：

数据库单元，用于基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；将所述最新安全检测策略库发布至消息队列遥测传输协议MQTT服务器以使所述物联网设备通过与所述MQTT服务器的连接订阅所述最新安全检测策略库；

接收单元，用于接收所述物联网设备基于订阅的所述最新安全检测策略库确定存在漏洞时发送的告警日志以及所述物联网设备的当前参数值，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；

策略单元，用于将所述告警日志和所述当前参数值、以及指定时间内的运行日志输入至已训练的与所述物联网设备对应的设备分析模型得到用于阻断所述漏洞的安全管控策略，将所述安全管控策略下发至所述物联网设备以使所述物联网设备在内核态中依据所述安全管控策略进行漏洞控制以阻断所述漏洞。

可选地，所述设备分析模型通过以下方式得到用于阻断所述漏洞的安全管控策略包括：

计算各目标监控指标相对应的漏洞级别；

依据各目标监控指标相对应的漏洞级别确定相匹配的用于阻断漏洞的安全管控策略。

至此，完成图7所示装置的结构图。

本申请实施例还提供了图6或图7所示装置的硬件结构。参见图8，图8为本申请实施例提供的电子设备结构图。如图8所示，该硬件结构可包括：处理器和机器可读存储介质，机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；所述处理器用于执行机器可执行指令，以实现本申请上述示例公开的方法。

基于与上述方法同样的申请构思，本申请实施例还提供一种机器可读存储介质，所述机器可读存储介质上存储有若干计算机指令，所述计算机指令被处理器执行时，能够实现本申请上述示例公开的方法。

示例性的，上述机器可读存储介质可以是任何电子、磁性、光学或其它物理存储装置，可以包含或存储信息，如可执行指令、数据，等等。例如，机器可读存储介质可以是：RAM（Radom Access Memory，随机存取存储器）、易失存储器、非易失性存储器、闪存、存储驱动器（如硬盘驱动器）、固态硬盘、任何类型的存储盘（如光盘、dvd等），或者类似的存储介质，或者它们的组合。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种物联网设备安全管控方法，其特征在于，该方法应用于物联网设备，所述物联网设备与新部署的消息队列遥测传输协议MQTT服务器按照 MQTT 协议建立连接，该方法包括：

通过与所述MQTT服务器之间已建立的连接订阅云管理平台发布至所述MQTT服务器的最新安全检测策略库；所述最新安全检测策略库是由所述云管理平台基于漏洞披露标准平台实时披露的最新漏洞信息、以及所述物联网设备的设备指纹信息生成的；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；

当在内核态中监控到操作事件时，在内核态中获取所述物联网设备的当前参数值，当在内核态中依据所述当前参数值与所述最新安全检测策略库中的目标参数值确定存在漏洞时，在内核态中产生告警日志并将所述告警日志和所述当前参数值从内核态发送至用户态以通过用户态发送至云管理平台进行安全管控策略确定；其中，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；所述最新安全检测策略库中的安全检测策略还包含各目标监控指标所对应的目标参数值；

在内核态中依据所述云管理平台确定的所述安全管控策略进行漏洞控制以阻断所述漏洞。

2.根据权利要求1所述的方法，其特征在于，所述通过所述连接订阅云管理平台发布至所述MQTT服务器的最新安全检测策略库包括：

通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息；所述描述信息至少包括：版本号；

依据所述描述信息和当前已存储的安全检测策略库的描述信息确定安全检测策略库更新方式；所述安全检测策略库更新方式为全量更新或增量更新；依据所述安全检测策略库更新方式通过所述连接订阅所述安全检测策略库中的数据以更新当前已存储的安全检测策略库，以使更新后的安全检测策略库与所述云管理平台最新发布的安全检测策略库一致。

3.根据权利要求2所述的方法，其特征在于，所述最新安全检测策略库的描述信息携带有数字签名；

在通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息之前，该方法进一步包括：

校验所述数字签名，若校验通过，则继续执行通过所述连接从MQTT服务器订阅用于描述所述最新安全检测策略库的描述信息。

4.根据权利要求1所述的方法，其特征在于，所述目标监控指标至少包括以下至少一个：设备硬件指标、设备运行状态指标、设备应用指标、内核层指标；

其中，所述设备硬件指标用于指示影响设备安全启动的指标；

所述设备运行状态指标用于指示影响设备正常运行的指标；

所述设备应用指标用于指示影响设备应用的指标；

所述内核层指标用于指示内核态上的指标。

5.根据权利要求4所述的方法，其特征在于，所述设备硬件指标至少包括：安全启动类组件的校验指标；所述安全启动类组件包括以下至少一个：按照顺序依次启动的各组件Bootrom->BootLoader->内核/操作系统->设备应用；和/或，

所述设备运行状态指标至少包括：访问控制指标，所述访问控制指标包括以下至少一个：进程访问控制指标、文件访问控制指标、网络连接访问控制指标、网络流量控制指标、操作系统控制指标；和/或，

所述设备应用指标包括以下至少一个：设备资源占用指标、设备能耗指标、操作系统上运行的应用的指标；其中，所述设备资源占用指标包括以下至少一个：CPU占用指标、内存占用指标、磁盘占用指标、内核对象数指标、网络连接数指标；所述应用的指标包括以下至少一个：名称、属性、配置、哈希值；或者，所述应用的指标包括以下至少一个：名称、属性、配置、数字签名；和/或，

所述内核层指标至少包括内核态数据指标，所述内核态数据指标包括以下至少一个：进程的链表状态指标、文件的层级结构指标、网络配置指标、硬件驱动的状态指标、内存和存储的配置指标。

6.根据权利要求1或5所述的方法，其特征在于，在所述当前参数值包括设备资源占用指标对应的具体参数值时，所述设备资源占用指标对应的具体参数值是从proc虚拟文件系统读取的；所述proc虚拟文件系统存储的是当前内核运行状态的内核态数据；

在所述当前参数值包括网络流量控制指标对应的具体参数值时，所述网络流量控制指标对应的具体参数值是通过所述内核态新增加的内核层Netfilter模块监控得到的；

在所述当前参数值包括进程的链表状态指标对应的具体参数值时，所述进程的链表状态指标对应的具体参数值是通过所述内核态新增加的内核进程链表模块和NetlinkConnector模块监控得到的；

在所述当前参数值包括文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标时，文件的层级结构指标、网络配置指标、和/或内存和存储的配置指标对应的具体参数值通过所述内核态新增加的inotify模块监控得到的。

7.一种物联网设备安全管控方法，其特征在于，该方法应用于云管理平台，包括：

基于漏洞披露标准平台实时披露的最新漏洞信息以及物联网设备的设备指纹信息生成最新安全检测策略库；所述设备指纹信息用于指示所述物联网设备正常运行时的状态信息；将所述最新安全检测策略库发布至消息队列遥测传输协议MQTT服务器以使所述物联网设备通过与所述MQTT服务器的连接订阅所述最新安全检测策略库；

接收所述物联网设备发送的告警日志以及所述物联网设备的当前参数值，所述当前参数值是由所述物联网设备在内核态中监控到操作事件时在内核态中获取的，所述当前参数值包括所述物联网设备当前具备的且与所述最新安全检测策略库中安全检测策略所要求的各目标监控指标相对应的具体参数值；所述最新安全检测策略库中的安全检测策略还包含各目标监控指标所对应的目标参数值；所述告警日志和所述当前参数值是由所述物联网设备在内核态中依据所述当前参数值与所述最新安全检测策略库中的目标参数值确定存在漏洞时发送的，所述告警日志是由所述物联网设备在内核态产生的；

将所述告警日志和所述当前参数值、以及指定时间内的运行日志输入至已训练的与所述物联网设备对应的设备分析模型得到用于阻断所述漏洞的安全管控策略，将所述安全管控策略下发至所述物联网设备以使所述物联网设备在内核态中依据所述安全管控策略进行漏洞控制以阻断所述漏洞。

8.根据权利要求7所述的方法，其特征在于，所述设备分析模型通过以下方式得到用于阻断所述漏洞的安全管控策略包括：

计算各目标监控指标相对应的漏洞级别；

依据各目标监控指标相对应的漏洞级别确定相匹配的用于阻断漏洞的安全管控策略。

9.一种物联网设备安全管控系统，其特征在于，该系统包括：

物联网设备，用于执行如权利要求1至6任一方法；

云管理平台，用于执行如权利要求7至8任一方法；

MQTT服务器，用于按照如权利要求1至8任一方法与物联网设备、云管理平台进行交互。

10.一种电子设备，其特征在于，该电子设备包括：处理器和机器可读存储介质；

所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令；

所述处理器用于执行机器可执行指令，以实现权利要求1-8任一项的方法步骤。

Images