![]()
随着金融行业数字化转型的飞速发展，物联网在其体系中的广泛应用带来了前所未有的便利与效益，然而也伴随着复杂的安全挑战。数字化金融环境中，金融机构通过物联网实现了设备之间的无缝连接和实时数据交互，为客户提供更智能、个性化的服务。然而，这也使得金融系统更容易受到网络攻击、数据泄露以及设备篡改等威胁。物联网设备的脆弱性、不安全的通信渠道、以及涉及大量敏感数据的风险成为金融机构亟需解决的关键问题。与传统网络安全相比，金融物联网关键基础设施的安全防护有新的挑战：传统网络攻击主要瞄准DMZ区（Demilitarized Zone，隔离区）、办公区最终在渗透进入核心数据区，围绕获取敏感信息、系统破坏和金融犯罪等目的展开，攻击手段涵盖了从恶意软件、病毒、蠕虫到网络钓鱼和拒绝服务攻击等多种形式。然而，随着金融物联网的兴起，网络攻击的焦点逐渐转向金融物联网领域。攻击者将目标锁定在连接的传感器、嵌入式系统和智能设备上，旨在获取实时数据、控制物理设备，甚至通过入侵一个设备来渗透整个物联网系统。近源攻击尤为引人关注，特别是对物联网设备的仿冒攻击，成为新时代的网络威胁。物联网终端安全性检测面临着一系列挑战，主要集中在两个方面。首先，由于物联网设备的算力受限，很难安装强大的终端安全检测和防护工具，使得这些终端的安全性检测能力存在缺失。其次，传统网络安全厂商在物联网终端的漏洞挖掘方面投入相对较少，导致物联网设备缺乏足够的漏洞检测手段。在物联网安全领域，设备认证方式的强度问题愈发引起关注，尤其表现在容易受到仿冒入侵的威胁。当前主流的物联网认证方式仍然依赖MAC地址、IP地址等传统手段，甚至在采用SDK技术时，仍仅使用MAC地址作为设备的身份标识。认证方式的弱点使得黑客能够伪装成合法设备，冒用其身份进入系统，从而可能发动各类网络攻击、数据篡改或者窃取敏感信息。这不仅对个体用户的隐私构成威胁，也可能对整个物联网生态带来严重影响。过去，物联网安全往往依赖于静态的信任模型，即一旦设备进入网络，就被视为可信任的。然而，随着物联网规模的不断扩大，这种传统信任方式变得越来越容易受到攻击，因为黑客可以借助各种手段渗透并滞留在网络内。新范式物联网零信任解决方案的背景在于，我们需要摆脱传统的信任假设，将安全性的焦点从单一的设备身份的验证转移到多维可信认证、鉴黑与鉴白双向交叉检测、主动与被动防御一体化的核心思想之上。为金融物联网提供了更为智能、灵活、安全的安全防护机制。随着物联网的不断普及，为保障物联网系统的安全性，多维可信认证成为零信任方案的关键要素。 （1）设备可信：方案对设备的可信性进行全方位评估，涵盖设备固件、设备组件、设备脆弱性以及SDK的可信性。通过这些多维度的评估，确保每个方面都达到了可信的安全标准。这不仅仅是对硬件的一次全面体检，更是对潜在漏洞和风险的深度审视，为设备提供了强大的安全基石。 （2）身份可信：为加强身份认证，零信任方案引入了资产指纹，包括序列号、IP、MAC、设备类型、品牌、型号、通讯协议等属性，组合生成新的物联网终端身份ID。相较于传统的IP、MAC标识方式，这种身份认证策略极大地提高了身份标识的可靠性和安全性、加大了黑客仿冒的难度，从而更有效地防范了身份仿冒带来的风险。（3）行为可信：为保障系统的实时安全性，方案引入了AI人工智能技术以及物联网终端异常行为检测特征库。通过对设备的实际操作行为进行实时监测和评估，系统能够动态调整访问权限，即时发现并应对潜在的威胁。这种实时行为分析不仅能够及时检测到异常操作，还能够在攻击发生之前做出相应的防护响应。通过对设备、身份和行为的综合评估，该方案为用户和企业创造了更为可靠、安全的数字化环境。在不断演变的网络威胁面前，多维可信认证的引入将为物联网安全打造新的标杆，为未来数字社会的可持续发展奠定坚实的基础。（二）鉴黑 + 鉴白双向交叉检测异常行为，极限逼近最小访问权限最小访问权限是物联网零信任方案的另一个关键，鉴黑与鉴白的双向交叉检测异常行为成为了系统安全性的关键保障。这一先进的安全机制旨在将物联网终端在内网访问朝向的最小访问权限极限逼近，通过对黑白两方面的深度检测，有效防范各类网络威胁。（1）首先，鉴黑阶段利用先进的检测技术，监测物联网终端的访问行为。一旦发现终端访问无关业务网段、发包频率异常、使用协议异常、以及表现出僵木蠕的特征，即刻触发联动网关，实施即时的阻断。这种鉴黑的检测手段不仅提高了系统的实时响应能力，更有效地防止了潜在的网络入侵。（2）其次，鉴白阶段通过机器学习技术建立无线设备的“安全访问行为基线”。通过对合法设备正常行为的训练建模，系统能够精准判定安全访问的行为基线。一旦检测到任何偏离这一基线的行为，系统即刻判定为异常行为，触发联动网关进行实时阻断。这种智能的判定机制为系统提供了高效而精准的异常行为检测手段，使得系统对于未知威胁的防范更为全面。采用双向交叉检测异常行为的机制，不仅仅是对黑客攻击的迅速反应，更是对于系统正常行为的深度理解。通过在黑白两个方向上的同步检测，系统在最小化访问权限的同时，也确保了对于合法用户和设备的无缝接入。这种先进的安全机制为物联网零信任方案注入了更为智能、灵活的安全防护策略，为未来数字社会的安全发展提供了有力保障。采用主动防御与被动防御的一体化策略，为金融物联网提供了全面而深度的安全保护。 （1）主动防御阶段，系统通过蜜罐网络的部署，实现了对黑客的主动欺骗。通过布置各种诱饵和陷阱，系统可以追踪黑客的攻击路径，完整呈现攻击链路。即使黑客设备的攻击行为逃过了异常行为检测，蜜罐网络仍能够诱捕失陷设备的进入，为系统提供了备用的安全层。丰富的蜜罐服务模版涵盖了应用、数据、协议、设备层等多个维度，实现了全方位的欺骗，一旦蜜罐捕获到黑客行为，系统能够立即追踪溯源，形成攻击反制，并联动网关进行阻断，确保系统的安全性。（2）与主动防御相辅相成的是被动防御，该阶段通过多维认证和异常流量鉴别实现实时管控无线设备的入网和访问行为。通过多维认证，系统能够深度审视设备的合法身份，确保只有合法的设备能够接入系统。同时，异常流量鉴别技术能够实时检测无线终端的流量行为，确保网络中的每一个终端都符合合法的访问行为。这种被动防御机制为系统提供了即时的入侵检测和阻断手段，使得任何违规访问都无法逃脱系统的监控。这一主动防御与被动防御一体化的策略，将系统的安全性提升到了新的高度。通过前瞻性的主动欺骗和实时的被动管控，系统能够有效地防范从外部和内部威胁而来的攻击，为物联网的发展提供了更为可靠的数字化保护。这种深度融合的零信任方案在未来数字社会的安全建设中具有重要的指导价值。综上所述，这种新范式的物联网零信任解决方案，以其对多维度认证、动态访问权限、实时行为分析等核心原则的坚持，为物联网提供了更为智能、灵活、安全的安全防护机制。在不断升级的网络安全威胁面前，这一解决方案为保护金融物联网生态系统的安全性打开了崭新的篇章。平安银行股份有限公司深圳分行 陈爱红、张翔。
陈爱红 平安深分技术团队领头人，一直致力于运维/安全数字化转型，在办公协同/运维创新/金融科技/安全防护等领域经验丰富；张翔 资深安全/运维技术专家，实践经验丰富。大湾区专刊现已发布第1辑和第2辑，集合了全国数十家金融和科技机构的网络安全工作经验总结，更邀请了大湾区港澳金融机构的安全专家分享独到见解。文章内容涉及防御体系、安全运营、数据安全、研发安全、业务安全、资产管理、攻防演练、前沿分析等主题方向，希望能为从业者提供网络安全防护方面的整体思路，向行业传播可持续金融创新和实践经验，为推动可持续金融生态发展汇聚智慧与力量。
安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。
![]()
文章来源: https://mp.weixin.qq.com/s?__biz=MzkyODM5NzQwNQ==&mid=2247496319&idx=1&sn=f9f37d30f45207b43599e1d8879338cb&chksm=c21bd34df56c5a5bfcfabb86bb05fc9d416105955ebf6f37190f6f8d146e0a5f0d8e03c747a5&scene=58&subscene=0#rd
如有侵权请联系:admin#unsafe.sh