面向实际车队的 IoT 网络分段指南
Published
在 2020 年 Unit 42 物联网威胁研究 中，72% 的医疗保健 VLAN 混合了物联网与 IT 资产。这就是将 VLAN 名称作为安全控制措施所存在的问题：标记为物联网的网络仍然可能让医疗设备、打印机、电话和平常的计算机相互触及。
IoT 网络分段应提供显而易见的遏制能力，而不是带来一份更长的 VLAN 列表。对于多分支机构的 IT 和设施团队而言，有价值的问题在于：哪些设备共享同一个信任区、哪些通信是获批的，以及受损的端点是否能够完成针对高价值目标的攻击路径。
目录
独立的 IoT VLAN 仍发生泄漏的情况
根据一项对 209 家企业的 47,700 多个网络网段进行的 Security Boulevard 分析，包含运营技术（OT）设备的网段中只有 13% 为纯 OT 网段，而包含医疗设备的医疗保健网段中仅有 6% 专门用于医疗设备。独立的网络网段显然无法保证资产进行合理的逻辑分组。
摄像头、建筑控制器、打印机和 VoIP 电话不能仅仅因为它们都不运行传统的桌面系统而被归为一类。它们的所有者、维护安排以及故障后果各不相同。将它们混在一起会带来共同的风险暴露，而整洁的网络图可能会掩盖这一隐患。
从下面的分段构成中可以清楚地看出这种区别。
VLAN 边界无法实现的操作
VLAN 可以分隔第 2 层广播域。它不会自动加密流量、防止欺骗、替代共享密码，也不会阻止该 VLAN 内的东西向移动。在可以通过广播、镜像、错误配置或成功的本地攻击访问流量的情况下，它也无法防止数据包捕获。
VLAN 间防火墙可以拒绝摄像头与支付网络的连接，同时保持摄像头之间的流量不受影响。如果对端隔离很重要，请通过专用 VLAN、接入端口控制、无线客户端隔离或适当的分布式策略来强制执行。
遏制能力意味着更小的信任区（按所有权、用途、敏感性和业务角色分类），并在它们之间设置显式的允许列表。信任区的排他性是一个有用的检查项，但还不够：专用于摄像头的分段可能仍然拥有过多的出站权限。
对于酒店、医院、园区、零售物业和多户住宅楼宇，交付物应包括：
- 分区与流量图：每个设备类别都有所有者、目的地列表以及每次连接的原因。
- 受控迁移：在该模式推广到其他物业场所前对依赖项进行测试。
- 弱身份回退机制：不支持证书的设备将获得补偿性控制措施。
- 阻断攻击路径：代表性端点无法建立被禁止的连接。
没有经过批准的流量策略，逻辑隔离的网络依然是一个权限过大的网络。
IoT 区域与您允许的流量
IoT 信任区与允许的流量
| 区域 | 设备示例 | 可访问 | 禁止访问 | 主要控制措施 |
|---|---|---|---|---|
| 访客与住户 | 手机、笔记本电脑、短暂停留的 BYOD | 互联网、强制门户、DNS | 房间 IoT、收银机、摄像头、员工 VLAN | 客户端隔离与访客 VLAN |
| 企业 IT | 用户 LAN 上的员工笔记本电脑、打印机 | 身份、文件和应用服务 | OT、摄像头、支付网段 | 802.1X 或通过证书指定的 VLAN |
| 楼宇系统 | 暖通空调 (HVAC)、照明、门禁 | 楼宇管理系统 (BMS) 和指定云端终点 | 用户工作站与访客 WiFi | IoT VLAN 加目的地白名单 |
| 摄像头 | IP 摄像头、NVR | 仅限指定的 NVR 和获批的视频服务 | 医疗、支付、身份系统 | 专用 VLAN 与东西向拒绝 |
| 临床或安全 OT | 影像设备、输液泵、PLC | 仅限指定的临床或运行服务器 | 访客、企业、摄像头 | 高安全性区域与防火墙 |
| 支付 | 收银机、密码键盘 | 仅限支付处理商 | 工作站和其他 IoT | 专用 VLAN 且禁止从 IoT 入站 |
| 供应商 DMZ | 堡垒机、更新代理 | 通往获批设备类别的时限路径 | 进入每个 VLAN 的扁平路由 | 带日志记录、定期过期的访问访问 |
请将这些行视为起始策略，而非完整的应用规范。获批的基础设施服务（例如 DNS 和时间同步）需要单独的说明文档规则。运行临床应用的企业用户应当访问应用服务，而非获得对临床设备子网的无限制访问权限。
NIST 的 IoT 网络安全指南 将网络隔离与微隔离列为保障网络完整性的措施，包括防止设备攻击相邻设备、窃听或危及同一网段上的其他设备。处于边界内部并不能作为设备有权进行访问的依据。
将功能与物理位置相分离
设施团队通常会按机柜、楼层或安装承包商对设备进行分组。这些是有效的资产属性，但不能替代信任边界。门禁控制器和大堂显示屏可以共享一台交换机，但不能共享权限。
对于设施方面的起点，HighFlow Energy 的 理解嵌入式设备通信指南 为与相关负责人员讨论连接系统提供了上下文背景。请将讨论重新落实到具体的接口上：哪台控制器与哪项服务通信、由谁管理，以及当链路发生故障时会产生什么后果。
摄像头需要特别注意。NVR 是经过批准的目的地，但这并不意味着每台摄像头都有权限与其他所有摄像头通信。如果是录像机发起连接，请按该方向编写策略，并单独限制由摄像头发起的会话。
代理供应商访问权限，而非扩大信任范围
将供应商访问服务部署在 DMZ 中，而不是仅仅因为承包商维护它就将其放在运维设备中。要求供应商向跳板机或代理进行身份验证，然后为其授予包含到期时间和会话日志的作用域限定维护路径。
私有 VLAN 可以隔离共享交换基础设施的端点。VRF 可以保持租户路由表的独立，但两者都无法消除对受控路由交换和防火墙强制执行的需求。
短期住宿宾客应与客房电视、恒温器和收银机保持隔离。需要个人投屏或设备发现的长期住户，则需要一个精心限定范围的住户网络，而不是一律给予“宾客到物联网设备”的例外权限。
在更改交换机之前，请将每个现有的设备类别勾选到对应行中。如果某行中的成员需要实质上不同的权限，请对该行进行拆分。使该行真正生效的是防火墙策略，而不是 VLAN ID。
分四个阶段隔离 IoT 设备群
在将其推广为全企业模板之前，请先在具有代表性的站点进行变更试点。全面推广既需要技术负责人，也需要能够确认设备仍能正常工作的业务负责人。
将可视化图表作为推广概述，然后在下方建立依赖关系和策略记录。
在强制执行边界之前收集证据
梳理候选设备和服务的资产清单。 记录所有权、型号、固件、交换机端口或无线关联、观察到的流量流转、管理路径和业务关键性。标记无法接收证书的端点，并确定有权批准断网的操作人员。
核查： 将发现结果与交换机表、无线控制器记录和设施资产登记簿进行比对。未解释的设备应保持未解决状态，不得直接归类为无害。在隔离前映射依赖关系。 捕获 DNS、NTP、身份、云端终点、更新服务器、供应商支持和设备间协议。同时监控发现流量：住户手机通过 mDNS 发现电视，与该手机发起媒体会话是不同的概念。
核查： 让业务负责人完成正常工作流程（包括重启和恢复），同时团队记录所需的连接。静默的端点并不意味着没有依赖关系。
对于无线部署，请在进行安全变更的同时审查 WiFi网络设计。在支持的情况下，请按角色分配 VLAN 或 VRF，而不是为每个设备类别都创建一个 SSID。额外的 SSID 会增加信标开销，并增加需要维护的配置面。
精准强制执行，然后测试故障情况
在每个信任边界编写最小权限规则。 明确源角色、目标服务、协议、端口、方向和业务所有者。拒绝使用宽泛的子网到子网允许规则作为快捷方式。作为假设的摄像头策略，允许摄像头角色在 TCP 443 和 TCP 554 RTSP 上访问其指定的 NVR，拒绝其他东西向会话并记录拒绝日志。请先确认实际的摄像头传输方式，因为产品可能需要不同的媒体流传输。
检查： 确认路由、管理访问权限和本地对等体控制符合预期策略，而不仅是 VLAN 分配。渐进式迁移设备类别。 观察被拒绝的流量，仅批准业务所有者能够合理解释的依赖关系。测试模拟摄像头入侵、被拒绝的管理平面访问、DNS 解析、证书更新、云端连接中断以及供应商访问权限过期等场景。
检查： 确认成功的业务工作流与失败的违规连接。
CISA 的微隔离指南 警告说，更细粒度的隔离可以减少横向移动的机会，但会增加设计和维护的复杂性，且老旧设备或物联网设备可能不支持现代控制措施。请选择团队能够有效运维的粒度。
采购要求： 明确规范设备在网络连接受限时仍须执行的操作。切勿在实施封堵遏制期间，才发现其对无限制互联网访问存在依赖。
请将下面的演练流程与书面变更记录结合使用，而不是用其替代验收测试。
在维护窗口期间，应将先前的配置作为回滚产物保留，而不是保持宽泛的规则处于活动状态。在预期流量正常运行、未解释的拒绝问题得以解决且运维所有者签核后，移除回滚依赖项。
哑设备的密钥与补偿性控制措施
恒温器、电视、特许经营设备和供应商管理的盒式设备可能永远都不支持基于证书的准入。有些设备只能通过 WiFi 密钥进行身份验证；另一些设备则仅能提供 MAC 地址和不稳定的流量特征。
IEEE 工业电子学会关于工业物联网流量指纹识别的调查 指出了包括未知设备、变化的环境、有限的泛化能力和匮乏的评估数据在内的障碍。应将指纹视为用于评估的线索，而非可以无期限信任的身份凭证。
VLAN、单设备密钥与微隔离
| 方法 | 最适合 | 防御目标 | 遗漏盲区 |
|---|---|---|---|
| 共享类 VLAN | 具有相同目的地的设备类 | 边界规则强制执行时的未授权访客和 IT 访问 | VLAN 内部的横向移动 |
| 独立密钥和 VLAN | 公寓、特许档口、客房电视和收银机 | 泄露的密钥授予全楼访问权限 | 跨越区域的双网卡设备 |
| 基于配置文件的微隔离 | 临床和 OT 设备群 | 不同设备之间未经批准的东西向访问 | 无法可靠识别的设备 |
选择最小的可管理凭据作用域
当成员需要相同的目的地且对端暴露是可以接受的时候，共享类别 VLAN 是合理的。它不应该成为团队尚未识别的设备的默认暂存区。
在证书不可行的场景下，请按设备、人员或租户使用唯一的预共享密钥。将凭据绑定到预期的策略和分段，并应用适合该角色的带宽限制。仅凭密钥的唯一性无法实现隔离；控制器、交换和防火墙配置必须强制执行该分配。
针对每台设备的 IoT 密钥管理，其运维价值在于定向撤销。更换故障摄像头时，应为其分配新的凭据，而不是继承可能保留在承包商笔记中的复制密钥。
对于支付设备，需将网络需求与支付处理商的入驻流程进行协调。Sambapay 关于 选择商户服务提供商指南 提供了有用的商业背景，但网络交接仍需要明确的端点和协议列表。切勿将供应商合作关系直接转化为通用的互联网访问权限。
当身份凭证薄弱时实施补偿措施
基于配置文件的微隔离适用于其功能、关键程度和威胁级别需要更严格隔离的设备。它还需要维护配置文件、进行例外处理，并在分类发生变化时做出安全响应。
对于缺乏身份凭证的设备，应组合使用多种控制手段，而不是仅依赖单一信号：
- 被动发现：将观察到的行为与已声明的设备角色进行对比，无需假定主动探测是安全的。
- 限制目的地：使用基于供应商或位置的准入、收紧目的地列表、协议允许列表以及 DNS 控制。
- 准备隔离：定义一项严格的策略，仅保留设备所需的恢复服务。
- 演练撤销：以分钟为单位测量隔离速度（包括会话终止和重新关联），而不是假定停用的密钥会自动终止现有会话。
在记录的日期使承包商例外权限失效。在批准的工作结束后关闭供应商访问权限，并在执行新任务时要求重新审批。
对于住户服务，仅在住户的私有网络内反射 mDNS。AirPlay 设备发现应在该边界内工作，而不会暴露给邻近的公寓。保持设备发现权限与实际媒体会话权限一致。
监控、遏制与常见故障
每月审查应提供运维人员可据以采取行动的证据，而不仅仅是仪表板上的绿色指标。CISA 的 IoT 设备风险和缓解指南 建议将 IoT 与关键网络隔离，并警告称跨网段连接的设备或涉及可移动介质的策略违规行为可能会破坏网络边界。
五种监控措施及其遥测数据
| 测量指标 | 遥测数据源 |
|---|---|
| 已分配分区的 IoT 资产比例 | 与分区图匹配的资产清单 |
| 显式批准的跨分区流量比例 | 根据分区图检查的防火墙规则导出 |
| 已阻断的未授权流量 | 按分区统计的拒绝日志数量 |
| 撤销设备或密钥的平均时间 | 来自密钥或 NAC 系统的撤销时间戳 |
| 在演练中验证的遏制能力 | 桌面演练或攻击路径测试记录 |
明确每个百分比的分母。已分配的资产应根据发现的 IoT 资产进行测量，而不仅是已录入批准登记册的设备。否则，缺失的库存数据会使结果看起来虚高。
将身份验证失败、新发现的 MAC 地址、尝试访问身份或支付服务以及超出批准模式的 DNS 请求纳入调查输入。使用 带宽使用测量 来识别角色不匹配的情况，例如温控器凭据突然传输持续的大流量。流量突增是开展调查的理由，而不是已被入侵的绝对证据。
为夜班人员提供控制隔离操作指南
- 隔离或撤销。在支持的情况下隔离终端并终止现有访问。确认其无法在其他可用凭据下重新连接。
- 验证阻断。检查执行日志，并针对被禁止的对等体、收银机和域控制器重复连接测试。没有观察到实际执行的策略更改算不上完成解决。
- 查找替代途径。检查双网卡接线、被遗忘的 VPN、蜂窝管理路径和可移动介质规程。网络隔离并不能消除独立的连接。
- 使用新身份恢复。根据需要更换设备或重装系统镜像，颁发新密钥，并记录任何临时例外项的所有者和有效时长。
- 重复攻击路径测试。在相关固件更新、收购和站点割接之后，当依赖项或拓扑可能发生变化时，请重新进行测试。
高拒绝次数并不意味着网络隔离效果良好。它可能代表成功拦截，也可能代表应用程序故障或存在无人管理的例外隐患。
从源头解决重复发生的故障
- 共享的 WiFi 凭据：颁发可单独撤销的密钥，而不是分发摄像头密码。
- 无限制的出站互联网：用目的地和协议规则取代一刀切的访问许可。
- IoT 会话连接至笔记本电脑：删除未经批准的从 IoT 到工作站的路径。
- 承包商永久访问权限：强制执行到期时间，并使用在 OT 端口上拒绝不适当设备的端口模板。
- SSID 野蛮生长：动态分配网络角色，而不是广播另一个特定于设备的 SSID。
- 陈旧的例外项：每周审查例外时长报告，并关闭没有明确责任人的条目。
对仅限设备的信任区使用此验收标准：如果其中未经授权的测试设备可以与支付基础设施、身份基础设施或其他租户建立会话，则该分段判定为不合格。记录尝试的服务和执行凭证，以便结果可以复现。
在复制设计前先在单个站点验证
本月挑选一个物业：酒店楼层、诊所翼楼、特许经营区或公寓楼。清查该场所，将每个设备类别分配到区域图表中，并首先迁移摄像头或房间设备。保持较小的范围，以便设施团队可以验证实际服务，而不仅仅是网络可达性。
建立基于验收标准的试点
要求被隔离的摄像头无法成功连接收银机、身份验证服务和其他租户。测量从做出隔离决定到确认执行之间的时间。捕获规则集、测试结果和运维签核，将其作为下一个物业项目的模板。
推广关卡： 只有当其他工程师能够复现允许的工作流和被拦截的攻击路径时，才能复制该设计。
Purple Access 通过三个 SSID支持该模式：Open 适用于访客和 BYOD，Secure 适用于员工和受信任用户，xPSK 适用于物联网设备、租户和社区。云端 RADIUS 利用身份来分配适当的网络和 VLAN；xPSK 可以针对每个设备、个人或租户做到唯一，并具备各自的 VLAN 和带宽限制。规划工具可让您勾选当前连接的设备并查看各分组的落脚点，而园区、站点和接入点健康视图以及认证率则可帮助运维人员排查和调研部署情况。
这简化了准入，但并不能取代防火墙策略或封堵遏制测试。请围绕您的实际资产来安排设计会议，并准备好试点设备的列表、依赖项以及失败的攻击路径证据。
Purple Access 提供基于身份的网络分配、单独作用域的 xPSK，以及用于在不合并无关信任区的前提下整合访问权限的规划工具。请访问 Purple Access 预约针对您的物业类型由网络工程师主导的设计会话，并定义包含明确许可流、撤销检查和遏制测试的试点方案。
