Ch9-05 物联网、边缘计算、嵌入式与信息物理系统

所属域：Domain 3 Security Architecture and Engineering 对应原书：Chapter 9 — IoT / Edge and Fog / Embedded / Cyber-Physical / Static Systems

① 一句话秒懂

IoT、嵌入式、信息物理系统（CPS）、边缘/雾计算都是”专一/受限”设备，安全短板集中在弱加密、难补丁、硬编码凭据、暴露网络——对策是网络分段隔离 + 严格选型 + 持续监控。

② 生活类比

IoT thermostat 像独立的智能小家电（可单独用）；嵌入式系统像焊进洗衣机电路板里的小电脑（你改不了它）；CPS 像机器人的”大脑+手脚”——它一动真能撞到人。

③ 核心概念（大白话 + 原书定义）

IoT（物联网） 连网的智能设备，提供自动化/远程控制/AI 处理。与嵌入式不同：IoT 通常是独立外接设备（如智能温控器），嵌入式是集成进更大机械结构里的控制组件。安全焦点：访问与加密。很多 IoT 设计时没考虑安全，沦陷后可作跳板攻击内网。对策：把 IoT 单独划网段（如”三个笨路由器”方案）隔离于主网；评估厂商安全声誉；保持补丁、限制物理/逻辑访问、监控、防火墙。 可穿戴（Wearables）：智能手表/手环等，关注：数据存云是否私有、是否被公开、通信是否加密、停用后能否彻底删除。

嵌入式系统（Embedded）与微控制器（Microcontroller） 为现有机械/电气系统加自动化/监控的计算组件，围绕有限功能设计；微控制器是含 CPU+I/O+RAM+非易失存储的小电脑（如 Raspberry Pi、Arduino、FPGA）。安全顾虑：静态系统，管理员常无法改其运行来修漏洞；补丁常滞后数月；一旦控物理机制，被黑可伤人物。对策：隔离于互联网与生产网。

静态系统（Static / Stateless） 配置好即保持不变，用户/管理员不改（防降安全）。例如机场值机亭、ATM、酒店 guest 电脑——会话结束丢弃变更、还原 pristine 状态。与持久/有状态（persistent/stateful）相对。静态 OS 指用户改不了系统本身但能装用受限应用（如智能电视、游戏机、仅厂商商店装 App 的移动设备）。

信息物理系统（CPS） 用计算控制物理世界的设备，重物理结果而非计算本身。机器人动作=致动物理移动，传感器=探测物理状态（温/光/动/湿）。如义肢、车辆避撞、空管、机器人手术。

嵌入式/静态系统的安全约束（导致短板）

电池/低功耗限制运算速度，难跑强安全组件，过热可崩/毁。
低能 CPU → 功能少 → 安全操作少。
网络能力受限（仅有线/仅无线、特定 Wi-Fi/协议如 Zigbee/BLE）。
难跑高端加密，常旧算法/弱密钥/差的密钥管理，甚至有预共享或硬编码密钥。
难补丁甚至不可补丁；无认证或硬编码凭据（应避免，选支持自定义凭据+双向证书认证的设备）。
低成本可能缺安全特性；默认信任厂商与云（应审查厂商并网络分段隔离）。

对策工具

网络分段（Network Segmentation）：VLAN、MAC/IP/端口/协议过滤；完全物理隔离即 air gap。
应用防火墙 vs 网络防火墙 vs 内部分段防火墙（ISFW）：应用防火墙防应用层攻击，网络防火墙护全网，ISFW 做内部分段；二者互补非替代。
安全分层（Security Layers）：按密级分组隔离，可绝对或单向（低级不能主动连高级）。
手动更新：静态环境只用经测试授权的手动更新，避免自动化引入未测降安全；固件同理。
纵深防御（Defense in Depth）：避免 monolithic（单一机制万能）思维，多类型控制冗余。

④ 真实案例

Mirai 僵尸网络利用 IoT 默认/硬编码凭据组建；智能摄像头成内网跳板。
医疗设备/汽车 ECU 嵌入式系统因难补丁，被发现可远程操控。
企业把 HVAC、门禁、烟感等 IoT 接内网，未分段致横向移动风险。

⑤ 考试怎么考

IoT vs 嵌入式区别（独立外接 vs 集成内嵌）。
嵌入式安全短板：硬编码密钥、难补丁、弱加密、默认信任厂商。
对策：网络分段（VLAN/air gap）、ISFW、纵深防御、手动更新。
静态/无状态系统概念与例子（kiosk/ATM）。
CPS 定义（计算控物理）。

⑥ 记忆口诀

IoT 独立外设，嵌入式内嵌焊死；CPS 一动手就动真格。
嵌入式短板：硬编码密钥、难补丁、弱加密、信厂商。
对策三招：分段隔离、ISFW、纵深防；更新要手动。

⑦ 自测

IoT 设备与嵌入式系统的核心区别是什么？
嵌入式/静态系统常见的安全短板有哪些？（举 4 点）
网络分段可用哪些手段实现？ISFW 的作用？
为什么静态环境应”手动更新”而非自动更新？