應用層面臨的安全威脅

　　○應用層數據被攻擊

　　○業務濫用

　　○身份冒充

　　○隱私威脅

　　○抵賴和否認

　　○重放攻擊

　　○信令擁塞

　　○計算機病毒和蠕蟲

　　○網絡釣魚

　　○DoS/DDoS攻擊

應用層關鍵技術

　1.身份認證

　　身份認證是指通過一定的手段，完成對用戶身份的確認。身份認證的目的是驗證消息的發送者是真的而非冒充的，包括信源和信宿，即確認當前所聲稱為某種身份的用戶，確實是所聲稱的用戶

　　?幾種身份認證的方法：

　?。?）基于共享秘密的身份認證

　?。?）基于智能卡的身份認證

　　（3）基于數字證書的身份認證

　　（4）基于個人特征的身份認證

　2.訪問控制

　　?應用中的服務授權是確保物聯網應用層安全的核心機制，這要通過訪問控制來實現

　　?訪問控制的含義:是對用戶合法使用資源的認證和控制。

　　?訪問控制包括三個要素：主體、客體和訪問控制策略

　　?訪問控制的功能：①防止非法的主體進入受保護的網絡資源；②允許合法用戶訪問受保護的網絡資源；③防止合法的用戶對受保護的網絡資源進行非授權的訪問

　　?訪問控制的目的:阻止非法用戶進入系統和合法用戶對系統資源的非法使用

　　?訪問控制的類型:自主訪問控制（DAC)、強制訪問控制（MAC）

　　?訪問控制策略：

　?、倩谏矸莸脑L問控制

　?、诨谝巹t的訪問控制

　?、刍诮巧脑L問控制

　　④基于屬性的訪問控制

　?、莼谌蝿盏脑L問控制

　?、藁趯ο蟮脑L問控制

　3.數據加密

　　密碼技術是實現網絡信息安全的核心技術，是保護數據最重要的工具之一，對于物聯網安全而言，密碼技術的核心地位更加突出

　4.入侵檢測

　　?入侵檢測（Intrusion Detection）是指在網絡中發現入侵行為及入侵企圖，以便采取有效的措施來堵塞漏洞和修復系統的技術

　　?入侵檢測是對入侵行為的發現，并及時予以響應，是一種主動安全防護技術

　　?作為防火墻技術的補充，入侵檢測技術提供了對內部攻擊、外部攻擊和誤操作的實時發現

　　入侵檢測擴展了系統管理員的安全管理能力，包括安全審計、監視、攻擊識別和響應能力

　　?入侵檢測的作用

　　a.識別入侵者

　　b.識別入侵行為

　　c.檢測和監視已成功的安全突破

　　d.為對抗入侵及時提供重要信息，阻止事件的發生和事態的擴大

　　?入侵檢測的基本檢測方法：

　　1、特征檢測 2、異常檢測

　　?入侵檢測系統（Intrusion Detection System，IDS）是一種對網絡活動進行即時監視，在發現可疑傳輸時發出警報或者采取主動反應措施的網絡安全設備或系統

　　?入侵檢測系統的功能：

　?。?）監測并分析用戶和系統的活動；

　?。?）核查系統配置和漏洞；

　　（3）評估系統關鍵資源和數據文件的完整性；

　?。?）識別已知的攻擊行為；

　　（5）統計分析異常行為；

　?。?）操作系統日志管理，并識別違反安全策略的用戶活動

　　?一個入侵檢測系統分為四個組件：

　　事件產生器（Event Generators）

　　事件分析器（Event Analyzers）

　　響應單元（Response Units）

　　事件數據庫（Event Databases）

　　?入侵檢測系統的工作步驟：

　?。?）信息收集

　?。?）數據分析

　　模式匹配

　　統計分析

　　完整性分析

　　（3）結果處理

　3.應用層安全核心內容

　　3.1數據安全

　　?從技術的層面分析，保障數據安全的方法主要有以下幾種：

　　（1）訪問控制

　?。?）數據加密

　?。?）物理層數據保護

　　（4）消息認證

　?。?）數據容災

　　3.2隱私安全（個人隱私，共同隱私）

　　?網絡個人信息隱私權的內容具體包括：

　　·知情權

　　·選擇權

　　·控制權

　　·安全請求權

　　?隱私保護技術分為：

　　基于數據加密的技術

　　基于限制發布的技術

　　基于數據失真的技術

　　3.3定位安全

　　定位是指一個信息源點（如物聯網傳感器節點）確定自己的空間地理位置的操作

　　?物聯網定位中考慮的主要因素包括：精度、能耗、安全

　　?三角定位法

　　3.4云計算安全

　　云計算的特征體現為虛擬化、分布式和動態可擴展

　　?云計算的主要服務形式有三種

　　1）軟件即服務(Software as a Service，SaaS)

　　2）平臺即服務(Platform as a Service,PaaS)

　　3）基礎設施服務(Infrastructure as a Service,IaaS)

　　?云安全關鍵技術：

　　1）數據存儲安全

　　·同態加密

　　2）云應用安全

　　·IaaS層安全

　　·PaaS層安全

　　·SaaS層安全

　　3）虛擬計算安全

　　4）可信的訪問控制

　4物聯網安全管理

　   4.1物聯網安全管理的要求

　?。?）明確安全管理目標

　?。?）能夠提供有效的安全管理手段

　?。?）建立統一的安全管理策略

　　（4）實時監控與安全預警相結合

　?。?）強化信息技術對安全管理的有效支撐

　　4.2物聯網安全管理的內容和對象

　　?物聯網安全管理的內容：

　　a.明確物聯網安全管理目標

　　b.評估物聯網安全風險

　　c.建立安全基線

　　d.制定物聯網安全管理措施及規范標準

　　e.建立物聯網安全管理體系

　　f.評估物聯網安全管理效能

　　?物聯網安全管理的對象：內容、行為、流量。

　　4.3物聯網安全管理框架

　　?根據物聯網的分層結構和安全威脅來源，對應的物聯網安全管理框架可分為感知安全、網絡安全、應用安全和安全管理四個方面，其中安全管理（涉及設備管理、拓撲管理、事件管理、策略管理和應急管理等）是基礎，其余三個是安全管理支撐的目標。

　　4.4物聯網安全管理體系

　　?基于ISO270001的物聯網安全管理體系以信息安全策略為中心，綜合運用防護、檢測、響應三位一體的管理體系為信息安全策略的實施提供支撐

　　————————————————

　　版權聲明：本文為CSDN博主「夢想摸魚」的原創文章，遵循CC 4.0 BY-SA版權協議，轉載請附上原文出處鏈接及本聲明。

　　原文鏈接：https://blog.csdn.net/Tekapo_s/article/details/119293738