标准-GB∕T37093-2018信息安全技术物联网感知层接入通信网的安全要求.docx

《标准-GB∕T37093-2018信息安全技术物联网感知层接入通信网的安全要求.docx》由会员分享，可在线阅读，更多相关《标准-GB∕T37093-2018信息安全技术物联网感知层接入通信网的安全要求.docx（11页珍藏版）》请在课桌文档上搜索。

1、ICS35.0401.sOG日中华人民共和国国家标准GBfT370932018信息安全技术物联网感知层接入通信网的安全要求Informationsecuritytechno1.ogy-SecurityrequirementsforIoTsensing1.ayeraccesstocommunicationnetwork国家市场监督管理总局中国国家标准化管理委员会目次前言II1.1闻第12规范性引用文件13术语和定义14缩略语25概述25.1 物联网感知层接入通信网结构25.2 安全技术要求分级与密码算法说明36通信网接入系统安全技术要求36.1 基本级要求36.2 增强线要求47感知信息传输网络

2、安全技术要求57.1 基本线要求57.2 增强级要求68感知层接入实体安全技术要求68.1 基本线要求68.2 增强线要求7附录A（资料性附录）典型应用示例8参考文献13本标准按照GB,T1.1-2009给出的规则起草。请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别这炖专利的责任。本标准由全国信息安全标准化技术委员会（SACC26OH出井归口.本标准起草单位；公安都第三研究所、中兴通讯股份有限公司、中国联合网络通信股份打眼公司、北京天融信网络安全技术有限公司、无蜴物联网产业研究院、中国电子技术标准化研究院.本标准主要起笊人；胡传平、杨明、齐力、唐前进、张艳、的源、加用y叭刘维顿

3、、而解、发俊杰、季御大陈书义、带吉中.III7.2增强级要求感知信息传输网络应满足以下安全要求：a）使用有战连接的传输网络时，采用VPN信道加密技术或专用通道；b）使用无线连接的传输网络时，采用信道加密等信道触技术.8%知层接入实体安全技术要求8.1 基本级要求8.1.1 感知层接入实体标识感知层接入实体应具备可用,通信识别的物联网系统中的唯一标识，标识存放感知终端或感知层网关上。8.1.2 接入鉴别支持功能感知层接入实体接入通信网采用的鉴别机制应与6.1.2.1要求的通信网接入系统的鉴别机制一一时应，并支持实体标识、接入口令等的存储和管理功能以及61.22要求的鉴别失败处理,8.1.3 感知

4、层接入实体访问控制感知层接入实体应具备访问控制机制，并湎足以下要求：a）支持AC1.列表实现访问控制；b）支持基于超知层接入实体的用户/用户蛆的访问控制，并部署用户访问控制策略。8.1.4 1.1感知数据传输安全支持感知层接入实体应支持61.4要求的感知数据传输安全功能。8.1.5 密钥管理当感知又接入实体采用加密方式支持接入通信网的鉴别和数据传输时，应支持密钥管理安全机制，并满足以下要求：a）支持时接入密彷、会话密钥及其相关密钥材料的生成、存储和更新：b）支持存储、更新预共享左钥和其相关蟒钥材料的功能，并支持监钥离线接收或旁路收.8.1.6 感知层入侵防护礴知层接入实体应具备接入通信网的入侵

5、防护功费,并满足以下要求：a）仅开放应用相关的通信端口；b）拒绝和丢弃不可鉴别的通信网通信数据.8.1.7 1.7感知层接入实体日志审计感知层接入实体应对以下接入通信网的安全事件进行日志审计，日志内容应至少包含日期时间、事件类型、事件主体、事件描述，成功，失败的信息：U）学知层接入实体的接入鉴别失败：b）感知层接入实体的访问用户登录失败,8.2 增强级要求8.2.1 感知层接入实体标识学知层接入实体应具饴可用于通信识别的物联网系统中的唯一标识，标识存放于感知层终端或感知层网关上，并且该标识应具备防算改保护。8.2.2 接入鉴别支持功能矮知层接入实体接入通信网采用的鉴别机制应与6.2.2.1要求

6、的通信网接入系统的将别机制一时应，并支持实体标识、接入口令等的存储和管理功能以及6222要求的鉴别失败处理，8.2.3 感知层接入实体访问控制蹲知层接入实体应具备访问捽制机制,并满足以卜要求：a）支持AC1.列表实现访问控制；b）支持基于感知层入实体用户/用户组的访问控制，并部署用户访问控制策略,8.2.4 超知数据传输安全支持感知层接入实体应支持6.2.4要求的感知数据传输安全功能。8.2.5 密钥管理将如层接入实体应支持接入通信网的密钥管理安全机制,并满足以卜要求：a）支持对接入密钥、会话密钥及其相关密钥材料的生成存储和更新；b）支持存储、更新预共享密钥和其相关密钥材料的功能，并支持密钥离

7、姣接收；c）支持动态密钥的生成和更新安全机制，主密钥的管理应支持密钥更新和注销安全策略；d）应采用访问控制技术保护密钥的存储。8.2.6 感知层入侵防护超知层接入实体应具名接入通信网的入侵防护功能，并满足以卜要求：a）仅开放应用相关的通信端口；b）拒绝和丢弃不可鉴别的通信网通信数据；e）支搦睡拆卸的阳踹仲力能.&27感知层接入实体日志审计法知层接入实体应对以下接入通信网的安全事件进行日志审计，日志内容应至少包含日期，时间、事件类型、事件主体、事件描述.成功/失败的信息：a）感知层接入实体的接入鉴别失败：b）矮知层接入实体的访问用户登录失败：C）对修知层接入实体的入侵、拆卸等报警的信息记录.附录

8、A（资料住用录）*0原用示例A.1有线网络接入类应用案例.1.1默述有级网络接入类应用是指物联向感知层网络主要以有线总线方式连接传感器终渊或控制设备.再由感知层网关或管理计算机接入通信网的应用模式.其典型系统图如图A.I所示.物IKM共质边界8边界物即力阿O1.TBBAU总线类0知应用安全接入系防意图有线总线接入类的典型应用包括：安防系统485总线控制的各类安防传感着.工业总线捽制的各种机旅自动化系统传感器应用等.这些总线控制类感知层网络大多处于较长距窗总税或环路内,远程应用系统通过IP网络和连接总统的物联网网关或计算机（控制总战的设；）,获取终然那知信息或执行控制，总线连接的感知层网络,一股

9、使用特定的数据传箱/控制协议与终用设备进行通信,由于入侵设备可以通过挂我/接入总找的方式探测总线数据，并对其他设备进行控制和干扰，所以存在感知层安全问时又由于其物联网应用I.要通过IP网络来远程控制总找终端的工作模式存花接入安全问题,其接入通信网的安全性保障应遵循本标准进行设计和管理.A.1.2安全接入应用模式总戏类那知应用系统的安全接入，分别在边界和边界的物联网网关和通信网接入系统上部署实现，边界部署满足第8束要求的感知层接入实体的支持功能,边界部潞满足第6章要求的安全接入系统安全功能.实际应用中可以根据基本级或增强级要求通过分别在边界部界物联网网关或感知层管理计算机，边界中部署包含防火墙、

10、接入鉴别服务涔、证书服务器、前置应用眼务器、隔离设符等，并在增强级要求时在两个边界的中间采用二层公网专用通道，如：VPDN、APN等实现楞知层与通信网的安全接入.2m无m修卖应用案例A.2.1概述短程无线网络类应用是指物联网感知层网络主要以短程无线通信方式互联形成自组织传感/控制网络，冉由感知层网关接入通信网的应用模式.其典型系统图如图AJ所示.HA.2短程无线值网修安全接入系统示留短程无线通信类的典型应用包括：用于监测、监控的无线传感网，上线工业自动化传感和控制、无战抄表等.这些应用的感如层环境部屈于开放式的,在通信网内可以利用远程应用系统通过IP网络和感知层数据汇聚网关.挟取终端感知伯恩或

11、执行控制.短程无战通信类礴知层网络,一般使用自组织的无城如网和通信访议，入侵设符可以通过开放式的无线环境进行楫听、伪造数据，劫持终端等攻击方式来威胁批础设施的运行安全，其接入通信网的安全性保障应进得本标准进行设计和管理.一方面保障通信网内应用系统的安全，另一方面保障感知层网络的通侑安全.A.2.2安全接入应用模式短程无城通信类应用系统的安全接入，分别在边界和边界的物联网网关和通信网接入系统上部署实现，边界部署满足第8堂要求的心知层接入实体的支持功能，边界部者满足第6章要求的安全接入系统安全功能.实际应用中可以根据基本级或增强汲要求,通过分别在边界剖箸物联两网关或感知层管理计算机,边界中部署包含

12、防火瘠、接入鉴别服务器、证书服务器、前置应用服务器、聃离设得等,并在增强级要求时在两个边界的中间果用二层公网专用通道,如：VPDN.APN等实现感知层与通信网的安全接入。A.3.线/无线Jt带接入类应用案侪A.3.I概述有纹，无线宽带接入类应用是指物联网感知层终用主要通过互联网、宽带移动互联网、特定频段无城1网等接入通信网的应用模式。其典蟹系统图如图A.3所示。ba.3Ir线/划MMmH;全接入府庄示m有线/无践宽带接入类典型应用包括：有线，无设音视监控、现场步件应急反馈、车联网信息交互、区域安防等。利用有线/无线公网或专用宽带网络是展开这些应用的基础，在通信网内一般利用远程应用系统通过有线/

13、无线公河或专用网络直接访问感知层终端.从而获取感知数据信息或进行通信和控制.有线/无城宽带接入类应用网络，一般使用有线/无城公网,应用系统容易受到来自公网的威胁，从而使得敏感数据信息泄好，其接入通信网的安全性保障应遵循本标准进行设计和管理，保障通信网应用系统的安全和尊知终端的应用安全.A.3.2安全接入应用模式有线/无线宽带接入类应用系统的安全接入,分别在边界和边界的感知终端和通信网接入系统上部署实现，边界部署满足第8京要求的感知层接入实体的支持功能,边界部署满足笫6章要求的安全接入系统安全功能。实际应用中可以根据基本级或增强级要求.通过分别在边界部署物联网网关或感知层管理计尊机,边界中部署包

14、含防火堵、接入鉴别服务涔、证书机务零、前置应用服务器.隔黑设备等,并在增强级要求时在两个边界的中间采用二层公网专用通道,1:VPDN,APN等实现感知层与通伯村的安全接入.A.4RFID通信接入类应用案例A.4.1概述RFID通信类接入应用是指IhRF1.D读K设需通过感知层网关接入通信网或（移动）终端式读写设备直接接入通信网的应用模式.其典型系统图如图A.4所示.IOBA.4RF1.D通值类安全捱入应用系统示意图RF1.D速佶类的典型应用包括：票证查询、物资管理、电子车牌,小区巡见等,这些应用分为两种感知层接入通信网的模式，一种是读写终端通过连接到感知层网关接入通信网，另一种是读卡终端直接接

15、入通信网。RFID读写终然的数据可靠性将影响整个应用系统的安全性，RF1.D诜写终端在心划层开放网络中容易被控制或假Et其接入通信网的安全性保障应遵循本标准进行设计和管理.A.4.2安全接入应用模式RFID通信接入类应用系统的安全接入，分别在边界和边界的物联网网美和通信网接入系统上部署实现,边界剖置满足第8章要求的感知层接入实体的支持功能,边界部署满足第6章要求的安全接入系统安全功能。实际应用中可以根据基本级或增强级要求,通过分别在边界部署物联网网关或感知层管理计簿机，边界中部若包含防火墙、接入鉴别服务器、证书服分器、前置应用服芬器、隔离设备等，并在增强汲要求时在两个边界的中间采用二层公网专用

16、通道，如：VPDN、APN等实现感知层与通信网的安全接入。A.5个网/终入类应用案例A.5.1概述个城网/终端接入类应用是指是由个人智能终端为代表的通信网接入应用模式.其中个人智旎终常是接入的主要终端设密，而其连接的有战/无规读卡器、打印机、摄像头、传据器等是那刻便制终端，共典型系统图如图A.5所示.三A.5个网终安全接入应用系统示图个域网终端接入的典型应用包括；数字化单兵/单警系统、智能家居系统等.其个域网网关或终端足系统应用安全接入的关健点,容易被仿修、伪造及受到未授权的远程控制.从而造成严重的应用系统安全城胁，其接入通信网的安全性保隙应遵循本标准迸行设计和管理.A.5.2安全接入应用模式

17、个域网终端的安全接入，分别在边界和边界的物联网网关和通信网接入系统上部署实现，边界部*满足第8章要求的感知层接入实体的支持功能.边界部署满足第6章要求的安全接入系统安全功能.实际应用中可以根据基本级域增用级要求，通过分别在边界部署物联网网关或感知层管理计算机，边界中部署包含防火嫡、接入鉴别服务器、证书服务器、前置应用服芬器、隔离设备等，并在增强汲要求时在两个边界的中间采用二层公网专用通道，如：VPDN.APN等实现感知层与池佶网的安全接入。参考文献11JGB1T2GBT3JGB,T4GBT5GBT6GB.TGBZT202692006信息安全技术信息系统安全管理要求20271-2006信息安全技

18、术信息系统通用安全技术要求22239-2008信息安全技术信息系统安全等徽保护暴本要求222402008信息安全技术信息系统安全等级保护定级指南25068.1 2O12信息技术安全技术IT网络安全第1部分：网络安全管理25068.2 2012信息技术安全技术IT网络安全第2陆分：网络安全体系结构25068.3 2OIO信息技术安全技术IT网络安全第3部分：使用安全网关的网间通信安全保护8GBT保护9GBT25068.42010信息技术安全技术IT网络安全第，1部分：远程接入的安全25O68.52O1O信息技术安全技术IT网络安全第5陆分：使用虚拟专用网的跨网通信安全保护IOGB1TIIIGB,T29240-2012信息安全技术终端计算机通用安全技术要求与测试评价方法33474-2016物法网参考体系结构12商用密码产品使用菅理规定国家密码管理局（第8号公告2007