如何防范网络伤害？


随着威胁形势的不断发展，建立全面的网络安全解决方案需要外围安全性和主动的网内防御 。随着网络攻击的范围，规模和频率不断增加，网络卫生正变得越来越重要。与个人卫生相似，网络卫生是指旨在帮助维护系统整体健康小型实践和习惯。通过养成良好的网络卫生习惯，您可以减少整体漏洞，使自己不易受到许多最常见的网络安全威胁的影响。这很重要，因为无论是作为个人还是组织的代表，用户最终都要承担一定的责任，确保他们的计算机和信息保持安全。
以下是最终用户可以采取的10个简单的日常步骤，以便更好地保护自己（在许多情况下是他们的业务）免受网络攻击。
1 首先，介绍基础知识
确保防火墙处于活动状态，配置正确，并且最好是下一代防火墙; 这是一个共同的责任。此外，请确保对您的IoT设备进行细分，并将它们放在自己的网络上，以免它们感染个人或商业设备。
安装防病毒软件（有许多备受推崇的免费选项，包括Avast，BitDefender，Malwarebytes和Microsoft Windows Defender等）
保持软件更新。更新包含重要更改，以提高计算机上运行的应用程序的性能，稳定性和安全性。安装它们可确保您的软件继续安全有效地运行。
不要仅仅依靠预防技术。确保您拥有准确的检测工具，以便快速通知您任何绕过外围防御的攻击。欺骗技术是推荐用于大中型企业的技术。不确定如何添加检测？看看托管服务提供商，他们可以提供帮助。
2 密码不会消失：确保你的坚强
由于密码不太可能很快消失，因此个人应该采取一些措施来强化密码。例如，密码短语已经被证明更容易跟踪并且更难以破解。密码管理器（如LastPass，KeePass，1password和其他服务）也可用于跟踪密码并确保密码安全。还可以考虑激活双因素身份验证（如果可用于银行，电子邮件和其他提供该身份验证的在线帐户）。有多种选择，其中许多是免费的或便宜的。
3 确保您在安全的网站上
输入个人信息以完成金融交易时，请留意地址栏中的“>当前，物联网（IoT）技术领域充释着各种标准，像NB-IoT、LoRa、SigFox等，他们正通过各自擅长的技术和应用抢夺IoT风口，以争取在这片广阔的市场上取得优势。
这里写描述
NB-IoT是由电信标准延伸而出的，主要是由电信运营商支持，而LoRa则是一个商业运用平台，两者主要区别在于商业运营的模式：NB-IoT基本是由电信运营商来把控运营，所以使用者必须使用它的网关及服务，而LoRa就量对开放一些，有各种不同的组合方式，商业的模式是完全不同的。
技术层面上来看，NB-IoT和LoRa的差异其实并不是很大，属于各有优劣。而相对于某些领域，国内有一些用户在并行使用这两种技术和网络。NB-IoT相对而言是受限于基站的，而LoRa则要加入一个网关相对简单容易，并且总的来说价格要比NB-IOT低廉。用户可以根据需求，增加不同的网关覆盖。所以从覆盖程度上来说LoRa的覆盖程度可能比NB-IoT更广一点。
LPWAN又称LPN，全称为LowPower Wide Area Network或者LowPower Network，指的是一种无线网络。这种无线网络的优势在于低功耗与远距离，通常用于电池供电的传感器节点组网。因为低功耗与低速率的特点，这种网络和其他用于商业，个人数据共享的无线网络(如WiFi，蓝牙等)有着明显的区别。
在广泛应用中，LPWAN可使用集中器组建为私有网络，也可利用网关连到公有网络上去。
LPWAN因为跟LoRaWAN名字类似，再加上最近的LoRaWAN在IoT领域引起的热潮，使得不少人对这两个概念有所混淆。事实上LoRaWAN仅仅是LPWAN的一种，还有几种类似的技术在与LoRaWAN进行竞争。
概括来讲，LPWAN具有如下特点：
• 双向通信，有应答
• 星形拓扑(一般情况下不使用中继器，也不使用Mesh组网，以求简洁)
• 低数据速率
• 低成本
• 非常长的电池使用时间
• 通信距离较远
LPWAN适合的应用:
• IoT，M2M
• 工业自动化
• 低功耗应用
• 电池供电的传感器
• 智慧城市，智慧农业，抄表，街灯控制等等
LoraWAN和Lora之间关系
虽然一样是因为名字类似，很多人会将LoRaWAN与LoRa两个概念混淆。事实上LoRaWAN指的是MAC层的组网协议。而LoRa只是一个物理层的协议。虽然现有的LoRaWAN组网基本上都使用LoRa作为物理层，但是LoRaWAN的协议也列出了在某些频段也可以使用GFSK作为物理层。从网络分层的角度来讲，LoRaWAN可以使用任何物理层的协议，LoRa也可以作为其他组网技术的物理层。事实上有几种与LoRaWAN竞争的技术在物理层也采用了LoRa。
LoraWAN的主要竞争技术
这里写描述
如今市场上存在多个同样使用LoRa作为物理层的LPWAN技术，例如深圳艾森智能（AISenz Inc）的aiCast。aiCast支持单播、多播和组播，比LoRaWAN更加复杂完备。许多LoRaWAN下不可能的应用因此可以实现。
Sigfox使用慢速率的BPSK(300bps)，也有一些较有前景的应用案例。
NB-IoT(Narrow Band-IoT)是电信业基于现有移动通信技术的IoT网络。其特点是使用现有的蜂窝通信硬件与频段。不管是电信商还是硬件商，对这项技术热情不减。
关键技术Lora简介
LoRaWAN的核心技术是LoRa。而LoRa是一种Semtech的私有调制技术(2012收购CycleoSAS公司得来)。所以为了便于不熟悉数字通信技术的人们理解，先介绍两个常见的调制技术FSK与OOK。选用这两个调制方式是因为：
1这两个是最简单、最基础、最常见的数字通信调制方式
2在Semtech的SX127x芯片上与LoRa同时被支持，尤其是FSK经常被用来与LoRa比较性能。
OOK
OOK全称为On-Off Keying。核心思想是用有载波表示一个二进制值(一般是1，也可能反向表示0)，无载波表示另外一个二进制值(正向是0，反向是1)。
在0与1切换时也会插入一个比较短的空的无载波间隔，可以为多径延迟增加一点冗余以便接收端解调。OOK对于低功耗的无线应用很有优势，因为只用传输大约一半的载波，其余时间可以关掉载波以省功耗。缺点是抗噪音性能较差。
这里写描述
FSK
FSK全称为Frequency Shift Keying。LoRaWAN协议也在某些频段写明除LoRa之外也支持(G)FSK。FSK的核心思想是用两种频率的载波分别表示1与0。只要两种频率相差足够大，接收端用简单的滤波器即可完成解调。
对于发送端，简单的做法就是做两个频率发生器，一个频率在Fmark，另一个频率在Fspace。用基带信号的1与0控制输出即可完成FSK调制。但这样的实现中，两个频率源的相位通常不同步，而导致0与1切换时产生不连续，最终对接收器来讲会产生额外的干扰。实际的FSK系统通常只使用一个频率源，在0与1切换时控制频率源发生偏移。
这里写描述
GFSK是基带信号进入调制前加一个高斯(Gaussian)窗口，使得频率的偏移更加平滑。目的是减少边带(Sideband)频率的功率，以降低对相邻频段的干扰。代价是增加了码间干扰。
对于这一方面的研究实验发现：学习Lora调制技术的一些准备及发现
然而，对于“悠久历史积累”和高安全、易部署等综合优势的LoRa阵营来说，最近几年里，在技术和落地方面虽取得了长足的进步，但离真正的规模、解决行业客户的切实问题是有着不小的差距。那么，究竟是技术壁垒突破较难？产业链生态不健全？亦或者是商业模式限制了从业者对市场规模的想象？对于LoRa产业链的广大从业者而言，找到制约LoRa技术大规模发展的瓶颈，并联手产业合力突围对推动产业良性发展至关重要。

文 小米集团 陈长林 李泽霖

打造具有国际竞争力的制造业，是我国提升综合国力、保障国家安全、建设世界强国的必由之路。推进以智能制造为核心的智能工厂建设是实现这一目标的重点方向，是我国迈进世界强国大门的关键一环。而信息安全是保障智能工厂系统能够顺利运转的根基。

小米作为一家互联网 科技 制造公司，一直走在创新的前列。在小米十周年的演讲中，创始人雷军对小米的过去十年进行了总结和复盘，也对未来十年提出了三个发展策略：重新创业、互联网 + 制造、行稳致远。在“互联网 + 制造”这条路线上，小米经过过去三年的努力，已经建成了百万台级的全自动化智能工厂（即“黑灯”工厂），致力于超高端手机的自动化生产。对于这条自动化水平极高的生产线，信息安全是其重要根基，是保证整个工厂安全、高效、稳定运转的关键一环。小米把信息安全体系建设作为智能工厂稳健运营的基石，在信息安全管理体系建设与实践上也下足了功夫。

小米智能工厂的信息安全管理体系包括三道防线：

第一道防线——安全技术体系，包括设备层、网络层、系统层和应用层。

第二道防线——安全管理体系，包括安全制度与全员安全意识培训。

第三道防线——安全审计，以攻击方蓝军视角对系统进行渗透测试。

第一道防线——安全技术体系

小米智能工厂安全防护体系主要通过应用层、系统层、网络层、设备层 4 个层面组成，通过纵深防御体系，最大程度保障小米智能工厂的安全。

一、设备层防护

智能工厂中，不仅有机器人、工业摄像头、AGV 等工业智能设备，同时还会配备监控摄像头、门禁系统、智能储物柜等常规的 IoT 设备。这些设备在生产之初更多考虑的是设备功能的实现以及设备性能的稳定性，而在安全性的设计考量上往往较为匮乏。

近几年来，行业内智能设备被攻击的案例层出不穷。据各大安全厂商的不完全统计，在所受到的DDoS 攻击中，黑客 *** 纵僵尸网络从而发起的攻击占总数量的一半以上。而互联网中海量缺乏安全性设计的物联网设备就成为这些攻击的“重灾区”。2017 年，由 Mirai 僵尸程序组成的僵尸网络发起的大规模 DDoS 攻击，导致美国、中国、巴西等国家大面积的网络瘫痪。而感染的主要设备有监控摄像头、数字视频录像机及路由器等大量物联网设备。

小米拥有全球最大的消费级物联网，对物联网的安全尤为重视，也为此在 2018 年正式成立了 AIoT安全实验室，实验室的组成成员均在 IoT 安全、网络安全等方面有着丰富的经验和实践。利用这一优势，小米针对智能工厂中的智能设备进行了全面地安全审计，挖掘设备本身存在的潜在安全隐患，并在第一时间联系相应的厂商进行分析、修复和整改。这一举措将从源头上尽可能地消除设备的安全隐患，缩减可能遭受攻击时的攻击面，在设备层面上做到安全性的提升。

二、网络层防护

智能工厂主要由生产网、集成系统网、办公网三大网络组成。

生产网中的设备主要有数控机台、机器人、传感器等；集成系统网中的设备主要有 MES、SAP、MOM 等；办公网中的设备主要为工厂员工办公使用的 PC。这三大网络分别具有不同的特征属性。

生产网是实际生产线所在的网络环境，该网络需要具备极高的稳定性和可靠性，一般会划分为多个产线，不同产线承担不同的生产需求。而由于生产网的极高可靠性要求，一些安全变更（如 *** 作系统补丁、安全策略变更、防护变更等）需要一定周期，不能收到更新时立即进行。所以，对生产网的网络层防护就变得格外重要。有效的网络层防护能够阻挡外部黑客、病毒的攻击，为生产网建立完备的安全屏障。小米在生产网的防护中，采用了单向隔离的安全策略，并对生产网的单向访问策略也做了严格的限制，从网络层面上阻断了可能的攻击路径。同时，在生产网内部，也对高危端口（如 TCP135/139/445/1433/3306/5985/5986 等）进行了禁用，避免病毒利用这些高风险端口在生产网中扩散。

集成系统网中拥有大量工业控制应用系统，这些系统与传统的应用系统类似，通常会开放 Web、远程桌面、SSH 等服务。小米搭建了全套零信任防护体系，对集成系统网中所有服务都实施了访问控制，仅允许授权用户访问，将非法攻击者拒之门外。对所有集成系统中的服务器，小米通过部署自研的HIDS（主机型入侵检测系统），实时监控服务器的安全状况，并对外部攻击进行阻断和拦截。对于系统本身，小米安全团队会对其产品全流程进行安全把控，在研发、测试、上线阶段进行安全评估，及早地发现问题，提升系统整体安全性。

办公网主要是工厂员工日常办公所使用的网络。由于办公网中环境复杂，为了避免对其对核心生产网造成不良影响，办公网与核心生产网完全隔离。而为了保障办公网的安全性，小米在每一名员工的办公 PC 都强制安装了杀毒软件和安全合规检测软件，以保障 PC 的安全性和合规性。为了能够及时发现办公网中的安全隐患和潜在的安全风险，小米在网络出口侧部署了威胁检测系统，实时发现存在隐患和威胁的 PC，并采取相应的安全策略进行紧急处理和防护。

三、系统层防护

生产网中有大量的工控上位机，这些工控机来自多家供应商，存在 *** 作系统不统一、安全防护水平参差不齐的问题。而在工控行业，经常会出现一机中毒、全厂遭殃的情况，给整个生产造成严重的影响。

为了解决这些问题所带来的安全风险，小米针对生产网制作了标准的 *** 作系统镜像，在 *** 作系统镜像中加入了 IP 安全策略、系统补丁、杀毒软件等安全模块，拉齐系统安全基线。工控电脑终端统一加入工厂专用域，便于管理人员进行集中地安全管理和 *** 作审计。

四、应用层防护

在工业网络中，文件传输是常见的一个应用场景。但是，不恰当的文件传输方式极易造成病毒的传播与扩散，对正常生产造成影响。

文件传输的需求主要分为产线内传输、产线间传输和外部交换等。为了满足这一正常业务需求，我们构建了专用文件摆渡服务。

在文件摆渡服务的设计上，主要分为几个部分：文件服务器上部署实施病毒监控服务，保证文件服务器上所有文件的安全性。文件服务器上开启审计策略，对文件交换行为进行记录和审计。向生产网开放 SMB 文件共享接口，并与产线专用域账号打通，用于产线内和产线间的文件传输需求。向办公网开放 Web 文件共享接口，并接入零信任防护系统，用于产线与办公网的文件摆渡。通过统一的文件传输管控，不仅仅解决了业务的使用需求，同时也增强了文件的安全性。

第二道防线——安全管理体系

人员安全意识是安全防护中重要的一环，往往也是安全防护体系中的薄弱环节。近几年，针对企业员工的安全攻击手段层出不穷，从传统的钓鱼邮件、人员渗透到新型的 BadUSB、钓鱼 Wi-Fi 等，都对智能工厂的安全产生巨大的威胁。

小米在员工信息安全意识方面，定期进行钓鱼邮件演练，提升员工对钓鱼邮件的识别能力。定期举办安全意识培训，介绍业内常见的安全攻击和渗透手段，从而提升员工安全意识，降低类似攻击发生的概率。

第三道防线——安全审计

仅从技术层面和人员意识方面进行防护仍然不够，小米蓝军通过模拟真实黑客攻击，对整个安全防护体系进行检验，发现其中的薄弱之处，然后加以修复和整改。

实践是检验真理的唯一标准，在安全防护领域也是如此，一个优秀的安全防护体系必须能够经得起攻击的检验。小米蓝军是一支拥有丰富经验的企业网络攻击团队，通过模拟真实黑客的攻击手法，对整个安全防护体系进行攻击模拟，以评判其在应对攻击时的安全表现。

小米蓝军的渗透测试不仅仅需要对安全方案中提到的四大层面进行安全评估，同时也会结合最新的安全攻击技术，对安全方案未覆盖到的风险点进行挖掘，推动整体安全建设。

除了定期的渗透测试外，小米蓝军还拥有实时漏洞监控与扫描平台，7 24 小时不间断对工厂网络进行安全扫描，及时发现安全问题，规避安全风险。

展 望

李克强总理在考察制造业企业时指出“中国制造 2025 的核心就是实现制造业智能升级”。未来，小米将会紧跟国家《中国制造 2025》的发展方向，将企业的发展与中国制造业的未来绑在一起。当前，我们已经进入了“5G+AIoT”的时代，消费端产品能力的实现对企业的技术创新能力和保障信息安全的能力提出了更为严苛的要求。所以，如果没有安全这一“夯实基础”，就无法搭建起一直追求高精尖的中国制造业这一“上层建筑”。

在小米十周年演讲中，创始人雷军对“互联网 +制造”方向也提出了更高的要求和目标。在智能工厂的第二阶段，希望建成千万台级别的超高端智能手机生产线，该工厂将实现极高的自动化，同时也会具备更为严苛的安全标准以保障生产线的高效运转。未来，小米将会继续深耕智能制造业，努力推动中国制造走在更为安全、先进、稳健的前进道路上，为实现“中国制造 2025”这一伟大的十年计划做出应有的贡献。

（本文刊登于《中国信息安全》杂志2021年第1期）

---