近期，雷锋网AI掘金志邀请到了宇视安全&网络解决方案总工王连朝做客雷锋网公开课，以“如何建设安全的物联网+安防解决方案”为题进行了干货分享。

　　王连朝认为，科技不断的创新发展，物联网技术和相关的大数据、智能应用广泛地与传统安防应用深度融合。物联网+安防系统在普遍应用的同时，安全问题也随之而来。如果安防自身的安全性得不到保障，只是通过外部来防护，很难做到完全的安全，所以安防产品自身的可靠性是系统安全的根基。王连朝从感知层、传输层、管理层和应用层四个层面出发，结合宇视的产品、技术和实践经验进行了详细的解决方案分享。

　　以下为王连朝分享内容节选，雷锋网AI掘金志做了不改变原意的编辑。

　　浙江宇视科技有限公司成立于2011年，是全球公共安全和智能交通的解决方案提供商，以全景、数智、物联产品技术为核心的引领者。

　　我们一直是安防IP化的倡导者，也走在了IP网络监控的前列。

　　宇视经过了8年的历程，实现了营收16倍的增长，交付的产品已经覆盖了全世界的145个国家和地区。这段时间整个公司的成长也是比较快，2014年我们就进入了全球Top12，2018年进入全球前四。

　　公司在技术上得过一些重要的奖项。2010年获得了国家科技进步二等奖;中国网络安全方面的实现公私网穿越的专利奖;雷锋网2019年度AIoT智能城市创新的企业奖。

　　在研发团队方面，我们无论是软件还是硬件实力在业内都是比较领先的水平。软件在业内达到了CMMI 5级认证，这是安防业界最高水平。

　　在创新能力上，我们是国家知识产权的示范企业;浙江省发明专利授权量50强，排名第二。我们现在有2000多件专利申请，几乎每天新增1件发明专利申请，其中94%的发明专利授权率业界第一，人均发明专业业界第一。

　　宇视对视频的安全比较重视，在安全方面做了很多实践。我们在2011年就拿到了中国专利优秀奖：广域互联安全UNP; 成立安全实验室。在此之后宇视一直在做视频安全研究，比如高安全的存储、高安全的传输和社会资源的接入等这些方案。2016年发布了燕山准入网络安全方案;2017年推出了数据安全加密幻影方案，保障了金砖峰会;2019年成为了公共安全视频网络安全的监测预警的支撑单位;安防行业内首家符合欧盟GDRP法案等等。

　　物联网及物联网的基本架构

　　随着科技不断的创新发展，物联网技术和相关的大数据、智能应用广泛地与传统安防应用深度融合。物联网+安防系统在普遍应用的同时，安全问题也随之而来。

　　从20世纪90年代物联网的概念提出来，到现在经过了近30年的实践和发展，大家对物联网的认识已经比较深刻了。

　　根据ITU的定义，物联网是一种通过射频识别(RFID)、红外感应器，定位系统等信息传感设备，按照一定的约定协议，让物体与互联网相连接，进行信息的交换和通讯，以实现对物体的智能化识别、定位、跟踪、监控和管理的网络。

　　总而言之，物联网是一种网，它在应用中实际上也更多的与现在大数据技术和智能技术相结合，是新一代信息技术的高度集成和综合运用，所以物联网也被称为信息科技产业的第三次革命。

　　物联网的基本结构，从下往上我们可以认为是三个层级。

　　最下面叫做感知层或叫数据采集层，就是通过传感设备进行数据的采集。因为这里采集的数据是物理存在的，所以数据是比较真实的，也比人工采集更便捷，这也是物联网现在应用比较广泛的一个原因。

　　在数据采集之后，要做一些简单的数据预处理，经过数据预处理之后，会将这些数据通过传输层进行传输。

　　中间叫传输层，在进行传输时，就要考虑到异构网的融合，需要将ZigBee、Lora、WiFi等技术与有线网络、无线网络，以及5G等下一代网络相融合，形成高效、稳定的传输网络。

　　通过传输网络之后，这些数据会送到应用层。应用层可以分为两个部分。一部分是基础服务平台，基础服务平台对数据进行接收和处理。在这个基础服务平台之上，就是应用层，现在大家比较熟知的像智能家居、环境监测、智能交通，还有智能安防等应用。

　　

 

　　现在各地都在进行智慧城市的建设，其实物联网就是智慧城市的基础。作为物联传感过程的重要部分，摄像机视频数据信息，占据了全世界约一半的数据存储量。智能安防是物联网产业的核心组成部分，所以安防系统有力的促进物联网应用的快速落地和推广。

　　安防系统建设中面临的安全风险

　　那么作为物联网的应用，安防系统在建设中面临哪些风险?

　　在2017年物联网安全研究报告中，就已经发现物联网的设备暴露在互联网之下，普遍存在被攻击、被利用的风险。其中，路由器和安防设备暴露的数量最多。

　　2019年的物联网安全事件中，主要是三类：漏洞和弱口令、准入控制乏力、应用监管不足。

　　其中，有一半是漏洞和弱密码造成的。漏洞和弱密码的风险就是很容易被控制，然后设备被利用从而造成信息泄露，或引发DDOS攻击。比如之前英国部分学校的安防系统中，摄像头因为弱密码而被控制了，视频被泄露，引起了所有英国学校学生的恐慌。

　　除了弱口令和漏洞的风险之外，在整个安防系统建设中，设备的准入控制是缺少的。IT系统比较成熟，所有的控制考虑得比较周全的，也是因为大家对IT系统上的黑客攻击、网络风险的暴露都有认识。但是在安防系统中，大家对这方面的认识还不是很清楚。有个例子，2018年，某地的交警处罚系统被黑客侵入了，造成了非法销分，其实原因就是安防系统没有对设备准入做控制。

　　另一个风险就是应用监管不足，视频信息被内部人员泄露。无论是安防系统的个人使用者还是主管方，对这方面的意识都比较缺乏。近年来关于隐私泄漏的事件也很多，我看到两个例子，一个是某明星去某个酒店，和朋友约会，被别人从视频系统中拍摄下来，泄露出去了。另一个是在某地一个医院，某个病人整个手术过程的视频信息也是被别人拍摄后泄露，这些事件也引起了相关的法律的一些纠纷。

　　安防产品自身的可靠性是系统安全的根基

　　漏洞和弱口令风险说明一个问题：安防产品自身的可靠性是系统安全的根基。如果自身的安全性得不到保障，只是通过外部来防护，很难做到完全的安全。

　　造成产品本身安全不足的原因主要有两个。

　　一是组织管理的不足，在设计的时候就没有考虑安全设计，项目实施不规范，没有考虑漏洞发现、修复和响应机制等等。我们看到互联网上有很多的相机被控制了，但是因为设计的原因，或者是没有这个机制，导致很难去修复。

　　二是技术防范手段不足，存在弱口令，预留后门，或者软件开发本身是不规范的，缺失认证机制、数据明文传输等。

　　宇视在这方面是有一些经验的，因为我们拿到了CMMI5级的认证，同时我们集成了U-IPD的开发流程，无论是在需求分析、设计、编码、测试等等各方面都考虑到了安全性的需求。

　　同时我们也希望行业内的企业在软件开发时，一定要重视软件开发的规范性和严谨性，要建立整一套的产品安全开发流程。

　　在产品和解决方案发布时，一定要考虑到它的整个流程，建立正式安全的发布机制，来保证这个产品必须是经过了正规、严格的测试之后才发布出去的，也必须要通过正规的渠道发布。也就是说产品首先要保证自己是安全可靠的才能对系统做根本支撑。

　　最后，对于产品发布后，要成立专门的安全应急响应团队和机制，来保证出现问题时能够快速响应。比如今年2月份网上曝光说有黑客对中国互联网上的设备进行攻击，我们公司及时的响应团队去分析，帮助我们的用户避免遭受攻击。