A 1 前言 十八大以来，党和政府将网络安全的战略高度提升到了信息化的 同等水平。这一理念不断通过我国的网络安全法和等级保护保护标准 体系进行落实，已经逐步成为我们引入任何信息技术时首要考虑的问 题之一。 随着物联网的不断发展，物联网云计算中心面临着海量设备接入 和实时控制响应的需求，特别是在城市基础设施智能化(电力、水务 等)和智能控制领域(智能制造、车联网等)。此时引入边缘计算范式实 现边缘智能控制，提升系统的控制实时性和网络经济性成为一种必然。 在物联网环境中，物联网终端普遍计算能力和安全防护能力较弱， 存在比较严重的安全问题；新引入的边缘计算节点带来的云-边协同 虽然可实现边节点对终端的冗余支持和边界点的无缝移动，不仅进一 步增加了终端管理的难度，也引入了终端数据安全问题。同时，边缘 计算范式引入到物联网环境中，又给物联网的安全防护带来了机遇， 可以通过引入边缘安全防护节点强化局部物联网的设备入网认证管 理、行为模式安全、基于密码的访问控制，从而使得局部物联网的安 全性大大提升，同样分布式的边缘计算节点也为构建分布式非对称密 码体系带来了可能。 本白皮书首先对物联网边缘计算的框架，所涉及的安全主题和国 内外标准及国家政策进行综述；然后从风险分析出发，列举当前可应 用于物联网边缘计算范式中的主流安全防护技术；本文进一步提出物 联网边缘计算的防护框架和安全防护体系，可引导读者在工程实践中 可信边缘计算推进计划 1 开展物联网边缘计算安全防护体系的建设。最后本文列举多个实用案 例，进一步阐述物联网边缘计算的安全体系的应用 我国网络安全工作采用“同步规划、同步建设、同步运维”的三同 步原则，因此物联网边缘计算安全防护在推进物联网边缘计算过程中， 尤为重要。 2 物联网边缘计算安全概述 2.1 物联网边缘计算框架 物联网边缘计算，是为了解决物联网局部的实时控制和本地化智 能控制，而引入边缘计算范式的一种新型计算场景。 图 1.1 物联网边缘计算框架图 物联网边缘计算框架如 0.1 所示，主要包括以下部分： 1) 终端设备：终端设备主要包括传感器、智能仪器仪表、智能伺 2 可信边缘计算推进计划 服电机、RFID 芯片、自动化机械臂、AGV 小车等，可在一个 局部应用场景，完成信息采集和局部控制。 2) 物联网局域网络：物联网局域网络根据具体应用场景，有 WIFI、 蓝牙、NFC、ZigBee、4G/5G Lite 等，也可通过有线网络实现 终端设备之间和与边缘边缘控制器的网络通信。 3) 边缘节点：边缘节点主要包括具有边缘算力的智能终端设备、 控制设备、边缘控制器、边缘网关、边缘计算盒子等，通常部 署在现场，实现智能感知、实时控制、实时数据处理和实时决 策。边缘节点分为边缘网关和边缘计算节点两种类型。边缘网 关负责边缘网络的访问控制，内部安全管理和协议转换等工作； 边缘计算节点主要提供边缘算力。 4) 边缘云：边缘云是边缘节点通过网络连接在一起，可实现互相 支持，分布式管理的边缘节点云。 5) 边缘应用：利用边缘侧的基础设施和边缘平台提供的基础能力， 可以开发和部署各种边缘侧的物联网应用和物联网服务。 6) 边缘接入平台：边缘接入平台位于云端，主要实现云平台对边 缘平台基础设施、边缘设备等资源的管理，提供将云上的应用 和服务延伸到边缘的能力，实现边缘和云端的数据和能力的协 同，提供完整的边缘和云平台一体化协同服务能力。 7) 边缘数据。边缘数据是物联网在边缘侧产生的采集数据、配置 数据、决策数据、状态数据、模型数据等原始或衍生数据。这 些数据呈现结构化、半结构化、非结构化等多种格式，具有分 可信边缘计算推进计划 3 布广泛、数量巨大、时序性强等特点。 物联网边缘计算在许多行业都有广泛的应用和发展，特别是那些 需要实时执行控制和局部智能化的行业，可见物联网边缘计算的应用 优势更为明显。 1) 电力能源：边缘计算可提高电力能源行业的发电、配电、用电 等环节的大型物联网的工作效率。例如，通过边缘节点的引入 可统合分布式发电、储能、配电、用电的一体化智能，并通过 引入区块链技术(能源币)，促进分布式新能源生产利用。 2) 工业制造业：边缘计算可以提高制造业的生产效率和质量，同 时可以实现设备的智能化和自动化管理。例如，在生产线上使 用边缘计算技术可以实现实时智能控制和预测维护，以及优化 生产计划和维修管理等。 3) 智慧城市：边缘计算可以实现城市的智能化和数字化转型，例 如，通过边缘计算技术可以实现智能交通、智能安防、智能环 境等应用。同时，边缘计算还可以提高城市的能源利用效率和 环境保护水平。 4) 物流业：边缘计算可以提高物流业的运输效率和安全性，例如， 在物流车辆上使用边缘计算技术可以实现实时监控和路径优 化，以及智能配送和签收等应用。 2.2 安全概念 2.2.1 物联网安全 物联网的主要风险点包括终端、物联网卡、通信网络、云端、服 4 可信边缘计算推进计划 务器端、物联网数据和应用端的安全风险。 目前，物联网安全已经完成标准化过程，在我国网络安全的强制 标准体系——“等级保护标准体系”中，已经对物联网安全进行了扩展 要求的定义。框架定义如 0.1 所示： 图 2.1 物联网安全框架 在物联网边缘计算中，物联网的安全风险主要引入了海量的物联 网终端设备，且这些设备的操作系统不支持传统安全措施部署，引入 了终端设备认证、入网认证和完整性问题；边缘层面又引入了边缘计 算容器，这些容器自身安全方面几乎没有专属设计和专用产品；与此 同时，边缘的引入使得终端设备的局域网决策处理、局部数据存储大 大增加，数据的分布式管理带来了数据安全管理的难度；整个物联网 边缘计算场景中，设备、子网、通信访问、计算频次都大大提升，也 带来了防 DOS、防伪设备侵入的问题。因此，仅遵循等级保护提出的 物联网安全网关不足以应对终端的安全管理和终端行为过程安全管 理。 可信边缘计算推进计划 5 2.2.2 边缘计算安全 边缘计算首先是以一种计算范式引入云计算框架的，主要是为了 解决云-端直连效率低的问题，引入了边缘节点概念。随着边缘节点 技术的发展，逐步形成了边缘节点的云化，提出了终端可在边缘节点 间漂移，边缘节点数据相互冗余的技术。这些技术的引入，带来了边 缘节点自身安全、边-端安全和边-云安全的问题。 目前边缘计算的安全框架体系如图 2.2，包括网络服务安全、边 缘计算平台安全、应用安全、能力开放安全、管理安全、数据安全、 虚拟化安全和硬件安全。 图 2.2 边缘计算安全体系 物联网边缘计算场景中的边缘节点，至少包括边缘计算节点(边 缘控制中心)、边缘网关和边缘安全管理中心。若干个局部的物联网 络(连接物联网终端的无线或有线网络)，引入一组边缘计算节点，边 缘计算节点不仅从业务角度要进行经济性的分布式计算、存储，还需 要通过边缘网关和边缘安全管理中心实现对物联网边缘计算中的边6 可信边缘计算推进计划 端安全、边-边安全和边-云安全；最后接入云计算平台，形成云中心 的统一管理。在这样的场景下，除要注意图 3 安全框架的内容，还应 注意以下几点： 1） 物联网终端安全管理：形成设备认证和网络准入，确保入 网设备的安全。 2） 物联网络安全管理：需要对物联网内部的流量进行监控， 并在边缘网关，根据业务形成局部物联网的访问控制。 3） 边缘计算过程安全管理：对于局域实时控制的边缘计算节 点(或称为边缘控制中心)，其工作过程需要形成环境安全 (容器和中间件安全管理)和过程可追溯，并需要形成全程 监控，及时发现异常控制过程和异常节点。 4） 边缘计算数据安全：物联网终端自身对数据无法进行标签 化和加密，因此需要边缘控制中心和边缘网关对物联网终 端数据进行数据标签化和通信过程加密。 5） 系统管理：物联网边缘计算可实现单一应用的海量设备接 入，因此系统运维单位必须有强有力的安全运维能力提升 设备准入的安全门槛、持续跟踪系统内各节点的完整性和 常态化开展系统内部的漏洞管理。 2.2.3 云计算安全 云计算是物联网边缘计算的后端，提供人工智能等高级算力，也 是物联网边缘计算的组成部分。云计算的主要风险是引入云计算框架 后，形成东西向交互(即虚拟机-虚拟机，虚拟机-云框架)，在这个层 可信边缘计算推进计划 7 面，如果不开展防护，则会形成安全防御的漏洞，使得攻击可以直接 从虚拟机发动。引入云框架后，也带来了安全产品的虚拟化，使得原 有安全产品也可以虚拟化形式为虚拟机或租户提供安全服务。 同物联网一样，云计算的安全也已经是等级保护的扩展要求之一。 等级保护提出的云安全框架，主要包括用户层安全、区域边界安全、 计算环境安全和安全管理中心。如图 2.3 所示： 图 2.3 云计算安全体系 2.3 研究现状 边缘计算方面的标准主要有以下几个： 1) ETSI MEC 标准：ETSI MEC 标准是欧洲电信标准化协会(ETSI) 制定的边缘计算标准。其中 ETSI GS MEC 009、011、012、013、 014、015 等标准对系统架构、API 平台和开发、安全架构、安 全机制、安全管理和安全测试方面提出规范。 2) OpenFog 标准：OpenFog 标准是一个开放的、分布式的边缘计 8 可信边缘计算推进计划 算平台，由 OpenFog 联盟制定。安全方面 OpenFog 提供包括 身份认证、访问控制、数据隔离方面的解决方案；安全协议方 面提供 TLS、DTLS、IPsec 等安全协议的应用规范，来保障数 据传输和通信双方认证；安全管理方面 OpenFog 提供安全管 理的指导框架，包括安全策略、培训、审计等，帮助组织建立 安全的雾计算管理体系。 3) IEEE 标准：IEEE 标准是由国际电气和电子工程师协会制定的 一系列边缘计算标准，其中包括 IEEE 1934-2018 边缘计算架 构标准、IEEE 1858-2016 边缘计算设备性能评估标准、IEEE 2755-2019 边缘计算参考架构、IEEE 2756-2019 边缘计算安全 标准、IEEE 802.1BA-2011 边缘计算网络标准、IEEE 802.11ax2019 边缘计算无线标准等。这些标准涵盖边缘计算的架构、设 备性能评估、参考架构、安全、网络和无线等方面，为边缘计 算的发展提供标准化的指导和支持。 4) Cloud Native Computing Foundation(CNCF)标准：Cloud Native Computing Foundation(CNCF)是一个致力于推动云原生技术发 展和标准化的组织，旨在帮助企业更好地构建和管理云原生应 用。在 CNCF 中，安全是一个非