前言

物联网设备正以创纪录的数量在世界各地部署。据IDC估计，到2025年，将有416亿台互联设备产生79.4ZB的数据。随着其中许多设备运行关键基础设施组件或收集、访问和传输敏感业务或个人信息，物联网身份验证和访问控制变得更加重要。

物联网设备身份验证是确保连接的设备可以被信任为它们所声称的那样的基础。因此，访问控制可以监控哪些资源可以被访问和使用，以及在何种情况下最大限度地降低未经授权的行为的风险。

前言

物联网访问控制面临的挑战

在物联网环境中部署身份验证和访问控制机制时，有许多方面会使任务复杂化。这是因为大多数设备的处理能力、存储空间、带宽和能量都是有限的。由于常见身份验证协议的通信开销，大多数传统身份验证和授权技术过于复杂，无法在资源受限的物联网设备上运行。另一个问题是，设备有时部署在可能无法或无法提供物理安全的区域。

还有非常广泛的硬件和软件堆栈需要考虑。这导致大量设备通过多种标准和协议进行通信--这与更传统的计算环境不同。例如，研究人员确定了物联网环境中至少84种不同的身份验证机制，这些机制要么是在2019年提出的，要么是在2019年投入生产的。由于缺乏标准和物联网特定的访问控制模型，保护设备和网络安全的任务变得更加复杂。

改进物联网访问控制的3种方法

任何试图管理数千个分布广泛的物联网设备的集中访问管理模型都有其局限性;没有一种方法适用于所有场景。寻求开发去中心化物联网访问控制服务的供应商正在研究区块链技术如何消除集中式系统造成的问题。网络管理员和安全团队必须紧跟最新发展，因为它们可能在不久的将来带来真正可扩展的服务产品。

在此之前，每一个物联网设备必须有一个唯一的身份，当设备试图连接到网关或中央网络时，可以对其进行身份验证。有些设备仅根据其IP或MAC(媒体访问控制)地址进行标识，而其他设备则可能安装了证书。但是识别任何类型设备的更好方法是通过机器学习。除了行为分析(如API、服务和数据库请求)之外，还可以使用静态特性来完成此任务，以更好地确保设备的身份。身份和身份验证行为的结合使用还提供了根据上下文不断调整访问控制决策的能力——即使对于资源有限的设备也是如此。

这种基于属性的访问控制模型根据对设备、资源、操作和上下文进行分类的一系列属性来评估访问请求。它还提供更多动态访问控制功能。可以基于上下文属性中的更改实时更新对操作和请求的批准。但是，它确实需要管理员选择和定义一组属性和变量，以构建一套全面的访问控制规则和策略。

改进物联网访问控制

物联网访问控制如何加强信息安全战略

强大的物联网访问控制和身份验证技术可帮助抵御攻击。但这只是一个更大的集成物联网安全战略的一个重要方面，该战略可以检测和响应可疑的基于物联网的事件。要使任何身份验证和访问控制策略发挥作用，物联网设备必须可见。因此，需要建立关键设备库存和生命周期管理程序，以及实时扫描物联网设备的能力。

物联网设备成功识别和验证后，应将其分配到严格受限的网段。在那里，它将与主生产网络隔离，主生产网络具有专门配置的安全和监控控制，以防范潜在的物联网威胁和攻击载体。这样，如果特定设备被标记为受损，暴露的表面积就会受到限制，横向移动也会受到控制。这些措施使管理员能够识别和隔离受危害的节点，并使用安全修补程序和补丁程序更新设备。

物联网正在改变世界以及IT安全需要如何运作。安全供应商仍在追赶物联网环境的规模和复杂性。理想情况下，下一代服务产品将更好地匹配物联网身份和访问管理的需求。

下一代物联网的信息安全

物联网的信息安全价值莫过于对物联网信息资源的利用，而对物联网利用的关键在于依据自己的标准建立物联网编码资源，只有这样才不会重蹈互联网域名受限的覆辙。

我国在物联网标准制定方面是与世界同步的，甚至在某些领域还起到了主导作用。2015年5月20日，在比利时布鲁塞尔召开的物联网标准大会决定，物联网标准工作组(WG10)将同步转移原中国主导的物联网体系架构国际标准项目( ISO/IEC30141)，并由中国专家继续担任该体系架构项目组主编辑，这是我国在信息技术领域参与标准的制定，也标志着我国在物联网标准制定上掌握着一定的话语权。

下一代物联网的信息安全

物联网产业的基础

统一、规范的物联网标准体系的建立是物联网产业发展的基础。目前，国内物联网标准存在的网络安全的问题是很多标准互不兼容，这使得物联网的优势无法显现出来。物联网从感知层、网络层到应用层，涉及多个行业、多个领域,只有统一、规范的物联网标准才能促进物联网快速、健康发展。

标准化不足也是制约物联网产业发展的瓶颈之一。虽然物联网行业巨大，但各种各样的物联网应用场景把物联网分割成很小的板块，而每个板块都很小，无法形成规模效应，这意味着物联网应用的成本很难降低，从而导致物联网很难商用，进而制约物联网的发展。

对于企业来说，标准的制定意味着获得竞争优势，通过制定行业标准获得竞争优势是企业快速发展的途径之一。对于行业跟随者，或者对中小企业来说，要想获得竞争优势，必须根据不同的发展阶段实施不同的企业战略。按照企业实力的从弱到强，企业可以实施这样的战略三部曲：标准应用—适应市场、技术积累自主提升、主导标准—分享利益。

付于刚刚进入物联网某一领域的企业，首先要解决的是市场的准入问题，而物联网标准即是市场准入标准。在这一阶段，企业应实施的战略是遵循物联网标准，适应市场，解决与其他产品或系统的互联互通的问题。

物联网产业的基础

市场上企业的对于物联网的竞争

在进入物联网市场后,企业仍然处于竞争的劣势,这一阶段企业必须不断积累技术,并进行专利布局,为制定企业标准做好准备。当企业的技术积累到一定阶段，企业的知识产权影响越来越大，企业就可以将自己的知识产权上升为行业标准，从而获得知识产权的红利。

物联网涉及领域众多，技术繁杂，所以物联网涉及的标准组织也非常多，既有国际、区域和国家标准组织，也有行业协会和联盟组织。不同的标准组织侧重的技术领域也会不同。

物联网标准体系分类

分别是基础类、感知类、网络传输类、服务支撑类、业务应用类、共性技术类。

• 基础类标准包括体系结构和参考模型标准、术语和需求分析标准等,它们是物联网标准体系的顶层设计和指导性文件，负责对物联网通用系统体系结构、技术参考模型、数据体系结构设计等重要基础性技术进行规范。
• 感知类标准主要包括传感器、多媒体、条码、射频识别、生物特征识别等技术标准，涉及信息技术之外的物理、化学专业,涉及广泛的非电技术。
• 网络传输类标准包括接入技术和网络技术两大类标准。接入技术包括短距离无线接入、广域无线接入、工业总线等;网络技术包括互联网、移动通信网、异构网等组网和路由技术。
• 服务支撑类标准包括数据服务、支撑平台、运维管理、资源交换标准。
• 业务应用类标准具有鲜明的行业属性，目前物联网业务应用领域包括公共安全、健康医疗、智能交通、智能家居、智能电网、智能制造、林业、农业环保等。
• 共性技术类标准包括物联网标识标准、物联网安全标准等。

物联网标准体系总体框架

物联网标准体系总体框架