工业互联网产业联盟-工业互联网园区终端接入自动化技术白皮书-47页_1mb

工业互联网园区终端接入自动化技术白皮书总结

核心内容

本白皮书由工业互联网产业联盟联合华为、中国信息通信研究院、广东九联科技、北京研华电子等单位共同编写，聚焦于工业互联网园区终端接入自动化，分析了当前园区终端接入的现状、面临的挑战，并提出了基于云平台和网络基础设施的两种创新路线，以及相关的技术标准和解决方案，旨在推动园区终端接入的自动化、智能化与安全化。

主要观点

1. 园区终端发展趋势

   • 物联网（IoT）正在成为万物互联的核心技术，终端数量和种类呈爆发式增长。
   • 2021年全球活跃IoT终端设备数量预计达到117亿台，预计2025年达到309亿台，年复合增长率约13%。
   • 园区终端接入自动化是企业数字化转型的关键环节。

2. 园区终端接入挑战

   • 设备数量庞大：海量终端接入，带来管理复杂性和运维难度。
   • 设备种类繁多：设备接入协议不统一，造成管理混乱。
   • 设备识别困难：不同设备具有不同的行为和能力，需更智能的识别技术。
   • 接入安全复杂：非法终端接入、网络攻击、数据篡改等安全问题日益突出。

3. 终端接入自动化发展路线

   • 以云平台为锚点：如AWS和阿里云，通过预装SDK实现终端自动接入和认证。
   • 以网络基础设施为锚点：如Cisco和ForeScout，通过MUD文件或终端指纹库实现自动策略部署。
   • 两种方案虽然实现方式不同，但核心目标一致：实现终端的即插即用、安全接入和策略管理。

4. 技术标准概述

   • 设备与链路发现：包括LLDP、DHCP、Beacon等技术，用于自动识别设备和网络信息。
   • 接入认证技术：涵盖MAC认证、Web认证、802.1x认证及X.509证书标准，用于确保终端身份合法性。
   • 策略管控技术：包括静态ACL、动态授权策略和基于MUD的策略映射，实现对终端行为的控制与隔离。

5. 解决方案架构

   • 总体架构：园区终端接入自动化解决方案分为四层：终端设备层、边缘接入层、网络层、云-数字平台层。
   • 即插即用流程：包括首次认证、二次认证、网络授权，实现从基础网络接入到业务网络的无缝过渡。
   • 终端识别与引导：通过电子身份规约，结合LLDP、DHCP、Beacon等协议实现自动识别与引导。
   • 可视可管能力：通过网络使能平台和智能分析平台实现对园区终端的可视化和智能化管理。

关键信息

一、设备与链路发现技术

• LLDP：用于设备间发现和信息交换，提供标准的链路层发现方式。
• DHCP：实现动态IP分配，简化终端接入配置。
• Beacon：用于WIFI设备的自动配网，是当前WIFI接入的优选技术。

二、接入认证技术

• MAC认证：依赖设备MAC地址进行身份验证，但安全性较低。
• Web认证：基于浏览器拦截HTTP请求，实现终端身份校验。
• 802.1x认证：基于EAP协议，实现端口级的接入控制，支持双向认证。
• X.509证书：提供安全认证机制，支持数据加密、数字签名和身份验证。

三、策略管控技术

• 静态ACL：适用于小型网络，配置简单但维护复杂。
• 动态授权策略：依赖SDN控制器，实现基于用户身份的策略下发。
• MUD协议：通过设备描述文件，实现网络策略的自动映射和部署，提升自动化程度。

四、终端即插即用流程

• 首次认证：通过设备发现协议（如LLDP、DHCP）完成设备识别和本地认证。
• 二次认证：基于电子身份规约，通过SDN控制器引导终端申请业务网络证书。
• 网络授权：通过证书校验，决定终端是否可访问业务网络，实现网络隔离和权限管理。

五、终端可视可管

• 网络使能平台：提供集中管控、安全策略、网络监控和大数据分析能力。
• 智能分析平台：基于AI技术，提升运维效率，实现问题定位和故障分析。

总结与展望

1. 总结

   • 园区终端接入自动化是工业互联网发展的关键环节，需兼顾自动化、智能化和安全性。
   • 当前终端接入存在设备数量庞大、协议不统一、识别困难、安全复杂等挑战。
   • 通过云平台和网络基础设施两种方式，可实现终端的即插即用和安全接入。
   • 基于X.509证书、EAP协议、MUD文件等技术，可构建安全、可信、可视、可管的终端接入体系。

2. 展望

   • 建议分三步推进园区终端接入自动化：发布技术白皮书、打造最佳实践、推动产业链协同创新。
   • 需加强标准化建设，联合国内与国际标准组织（如CCSA、IETF、NIST、ENISA等）推动园区终端接入自动化技术发展。
   • 构建开放、合作、共赢的园区终端接入安全生态圈，提升我国在该领域的竞争力。

参考文献

1. 全国信息安全标准化技术委员会通信安全标准工作组．物联网安全标准化白皮书
2. 中国信息通信研究院. 物联网安全白皮书
3. 中国信息通信研究院．工业互联网园区网络白皮书
4. 中国电子标准化研究院, 交通运输部科学研究院, 交通运输网络安全技术行业研发中心. 物联网智能终端信息安全白皮书
5. 上海市经济和信息化委员会, 中国信息通信研究院. 5G+智能制造白皮书
6. RFC8576. Internet of Things (IoT) Security: State of the Art and Challenges
7. RFC8520. Manufacturer Usage Description Specification
8. RFC8366. A Voucher Artifact for Bootstrapping Protocols
9. RFC3748. Extensible Authentication Protocol (EAP)
10. RFC2284. PPP Extensible Authentication Protocol (EAP)
11. RFC4388. Dynamic Host Configuration Protocol (DHCP) Leasequery
12. IETF ANIMA WG. Bootstrapping Remote Secure Key Infrastructures (BRSKI)
13. IEEE Standard for Local and metropolitan area networks
14. Gartner Research. Hype Cycle for IoT Standards and Protocols
15. Gartner Research. Magic Quadrant for the Wired and Wireless LAN Access Infrastructure
16. IoT Analytics. State of the IoT 2018: Number of IoT devices now at 7B
17. NIST SPECIAL PUBLICATION 1800-15A, Securing Small-Business and Home Internet of Things (IoT) Devices
18. European Union Agency For Network And Information Security. Baseline Security Recommendations for IoT
19. 物联网智库，挚物 AIoT 产业研究院．2020 中国物联网产业全景图谱报告
20. 中商产业研究院．2019年中国工业物联网市场前景研究报告
21. 中国产业信息网. 2019-2025年中国工业物联网行业市场评估及投资前景评估报告
22. 沈宁国，于斌。智简网络：园区网络架构与技术
23. 徐召杰. 物联网中基于双向认证的安全通信协议的研究与实现
24. 李威．自治网络安全自启动通信机制研究与实现
25. 韩琪．云环境下的身份认证与数据安全技术研究
26. 叶墩辉. 基于可信模块视频监控系统的安全双向认证架构设计
27. 付韬. 基于 EAP 的接入认证协议的设计与分析
28. 林兆鹏, 邹起辰. 可信设备接入网络认证协议设计及安全分析
29. De11 Inc. IOT SECURITY: CHALLENGES, SOLUTIONS & FUTURE PROSPECTS
30. IEC. IoT 2020: Smart and secure IoT platform
31. J. Kanniappan and B. Rajendiran. Privacy in the Internet of Things
32. Shancang Li, Li Da Xu. Securing the Internet of Things
33. Miao Yu, Jianwei Zhuge, Ming Cao, Zhiwei Shi, Lin Jiang. Survey of Security Vulnerability Analysis, Discovery, Detection, and Mitigation on IoT Devices
34. Anca D Jurcut, Pasika S Ranaweera, Lina Xu. Introduction to IoT Security
35. Hany F. Atlam and Gary B. Wills. IoT Security, Privacy, Safety and Ethics