[发明专利]一种物联网终端设备安全防护系统

说明书

本发明提供一种物联网终端设备安全防护系统，包括：设备发现单元，所述设备发现单元包括：指纹码生成模块、设备仿冒监测模块以及设备识别模块；网络拓扑单元，所述网络拓扑单元包括：会话跟踪模块、流量分析模块、拓扑管理模块以及交换机绘制模块；业务行为管控单元，所述业务行为管控单元包括：行为建模模块、可信范围建立模块、可信阻断模块、异常终端隔离模块以及业务行为检查模块；安全防护单元。本发明在特定应用环境下实现网络终端发现，基于终端指纹的安全准入和终端行为安全防护，从而可弥补特定环境下海量物联网终端安全防护和网络攻击安全预警的不足。

技术领域

本发明属于物联网安全技术领域，具体涉及一种物联网终端设备安全防护系统。

背景技术

随着物联网的迅速发展及基础设施通信系统的IP化，海量设备通过网络互联将成为趋势，当今社会已经逐渐进入物联网时代。和传统的互联网相比，物联网终端数量巨大、物理部署范围更广，如何保证物联网的状态实时可见以及互联全程可控在安全方面是重点问题。此外,物联网前端设备大量分散在无人值守的情况下，机密数据易被盗窃,故物联网终端可视和可控功能的搭建是物联网安全体系必不可少的关键环节。

其中核心网络的物联网终端主要包括两类，一是非智能终端，通常不会处理数据，只能上报传感数据或接受操控数据,二是智能终端设备,例如工业机器人、业务一体机、智能平板等，这些设备接入网络后给安全带来了新的重大挑战，安全风险存在并不局限于以下方面：

(1)物联网终端设备众多，设备情况难以掌握，存在违规接入的风险，同时缺失运维手段、事件监测通报以及应急处理机制；

(2)物联网终端设备在户外分散安装,易因管理不当被不法分子破坏,导致物理的攻击、篡改和仿冒；

(3)物联网终端设备，普遍存在弱口令、漏洞、大量开放端口等安全风险，容易被恶意代码感染形成僵尸主机，进而构成僵尸网络；

(4)物联网终端设备网络协议多种多样并存在大量漏洞，增加了终端感染病毒、木马或恶意代码入侵的渠道，增加了网络层的安全风险。

发明内容

针对现有技术的上述不足，本发明提供一种物联网终端设备安全防护系统，以解决上述技术问题。

本发明提供一种物联网终端设备安全防护系统，包括：

设备发现单元，用于通过主动与被动结合来自动发现企业网络的物联网设备；所述设备发现单元包括：指纹码生成模块、设备仿冒监测模块以及设备识别模块；

网络拓扑单元，用于通过分析网络流量实现物联网设备的物理拓扑关系绘制；所述网络拓扑单元包括：会话跟踪模块、流量分析模块、拓扑管理模块以及交换机绘制模块；

业务行为管控单元，用于解析对物联网传输过程中行为并进行防护；所述业务行为管控单元包括：行为建模模块、可信范围建立模块、可信阻断模块、异常终端隔离模块以及业务行为检查模块；

安全防护单元，用于在传统五元组策略的基础上，增加接口、服务、时间和带宽的控制维度，并结合设备智能分类识别技术控制网络的细粒度。

进一步的，所述指纹码生成模块，用于综合设备的IP地址、硬件地址、操作系统、开放端口、访问端口、协议指纹生产一个唯一的设备指纹码；

所述设备仿冒监测模块，用于通过设备指纹码能够实时监测设备信息的变化，实时发现状态异常和仿冒的设备并告警。

所述设备识别模块，用于识别设备的指纹码内的信息以及设备的运行状态、连接关系、拓扑环境及上下行流量。

进一步的，所述会话跟踪模块，用于跟踪网络各个节点的会话状态；

所述流量分析模块，用于总结分析各个节点的会话所用的流量变化；