ICS 35.110 CCS L 79 中华人民共和国国家标准 GB/T41781—2022 物联网 面向Web开放服务的系统 安全要求 Internet of things-Web-oriented open service system- Security requirements 2022-10-12实施 2022-10-12发布 国家市场监督管理总局 发布 国家标准化管理委员会 GB/T41781—2022 目 次 前言 范围 1 2 规范性引用文件 术语和定义 4 缩略语 5 概述 6 交互主体安全 6.1 物理安全 软件安全 6.2 6.3 静态数据安全 7交互过程安全 7.1接入安全 7.2 通信安全 7.3 动态数据安全 参考文献· GB/T41781—2022 前言 本文件按照GB/T1.1一2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定 起草。 请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。 本文件由全国信息技术标准化技术委员会（SAC/TC28）提出并归口。 本文件起草单位：中国电子科技集团公司信息科学研究院、中国电子技术标准化研究院、国家计算 机网络应急技术处理协调中心、江苏赛西科技发展有限公司、杭州海康威视数字技术股份有限公司、 北京信息科技天学、中电科技（北京）有限公司、深圳赛西信息技术有限公司、豪尔赛科技集团股份有限 公司、上海集成通信设备有限公司、公安部第三研究所、中国科学技术大学、北京东方通科技股份有限公 司、无锡物联网产业研究院、无锡物联网创新中心有限公司、浙江互灵科技有限公司、中国科学院上海高 等研究院、成都振芯科技股份有限公司、富士康工业互联网股份有限公司、北京东土科技股份有限公司、 金卡智能集团股份有限公司、深圳市腾讯计算机系统有限公司、北京电信规划设计院有限公司 本文件主要起草人：王凡、李孟良、杨宏、邹昕、卓兰、郭雄、陈群华、王晓春、张健、张弛、孙亮、雷根、 刘姝、贾彦鹤、付根利、孙旭、刘继顺、苗付友、熊焰、张春林、王乐菲、董接莲、杨志伟、王振明、马旭凌、 王晖、陈雁、杨文是、张学琴、程远、周羽波、李赞、李家京、明娟、陈小春 1 GB/T41781—2022 物联网 面向Web开放服务的系统 安全要求 1范围 本文件规定了面向Web开放服务的物联网系统中交互主体和交互过程的安全要求，包括物理安 全、软件安全、静态数据安全、接入安全、通信安全及动态数据安全， 本文件适用于面向Web开放服务的物联网系统设计、开发和维护。 2规范性引用文件 下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文 件，仅该日期对应的版本适用于本文件：不注日期的引用文件，其最新版本（包括所有的修改单）适用于 本文件。 GB/T28872011 计算机场地通用规范 GB/T9361—2011 计算机场地安全要求 GB/T20270—2006 信息安全技术网络基础安全技术要求 GB/T20272—2019 信息安全技术操作系统安全技术要求 GB/T30998—2014 信息技术软件安全保障规范 GB/T36951—2018 信息安全技术物联网感知终端应用安全技术要求 GB/T37024—2018 信息安全技术 物联网感知层网关安全技术要求 GB/T37025—2018 信息安全技术 物联网数据传输安全技术要求 GB/T37093—2018 信息安全技术 物联网感知层接入通信网的安全要求 3术语和定义 3 下列术语和定义适用于本文件。 3.1 全功能设备 香full-function device 按照约定协议，通过网络能够自主与Web服务器进行通信的设备。 ［来源：GB/T40778.1—2021,3.1] 3.2 受限功能设备 reduced-functiondevice 不能与Web服务器直接进行通信，需按照约定协议由网关通过网络进行通信的设备 ［来源：GB/T40778.1—2021，3.2，有修改］ 3.3 交互主体subjectsof interaction 面向Web开放服务的系统中，参与信息交互过程的设备。 注：包括终端（全功能设备、受限功能设备）、网关、Web服务器、Web客户端 1 GB/T41781—2022 4缩略语 下列缩略语适用于本文件。 API：应用程序接口（ApplicationProgrammingInterface) CSRF：跨站请求伪造（CrossSiteRequestForgery） FFD：全功能设备（Full-FunctionDevice） RFD：受限功能设备（Reduced-FunctionDevice） SQL：结构化查询语言（StructuredQueryLanguage) Web：全球广域网（WorldWideWeb） XSS：跨站脚本攻击（CrossSiteScripting） 5概述 面向Web开放服务的物联网系统参考架构见GB/T40778.1一2021的第5章，其交互主体包括 交互、网关与Web服务器交互、Web服务器与Web客户端交互。面向Web开放服务的物联网系统安 全包括交互主体安全和交互过程安全。交互主体安全包括物理安全、软件安全和静态数据安全；交互过 程安全包括接人安全、通信安全和动态数据安全。 根据GB/T22239一2019规定的等级保护对象和安全保护等级，将面向Web开放服务的物联网系 统安全要求分为基本要求和增强要求两类。基本要求是面向Web开放服务的物联网系统均需满足的 安全要求；增强要求是在基本要求基础上的补充，对应GB/T22239一2019规定的三级及以上的面向 Web开放服务的物联网系统。 6 交互主体安全 6.1物理安全 6.1.1基本要求 物理安全的基本要求包括： a)) 应禁用闲置的物理接口； b) 2011第6章的相关要求； c 对于部署在非机房环境的交互主体，应采取相应防盗、防破坏措施； d）对接人的终端应进行安全性检查。 6.1.2增强要求 物理安全的增强要求包括： a） 交互主体更换的存储部件应永久性地销毁： b) 保存敏感数据的存储媒体不应存放在开放环境中； 部署在GB/T22239一2019第5章规定的三级及以上安全级别机房的网关、Web服务器应做 物理隔离； d）应配备适量的终端，在发生事故时进行替换 2 GB/T 41781—2022 6.2软件安全 6.2.1基本要求 软件安全的基本要求包括： a) 要求； b） 安装在交互主体上的操作系统应符合GB/T20272一2019中6.2的要求； c) 网关、web服务器、web客户端应对安装软件的来源进行真实性判断： (P 集成或使用第三方组件时，应及时更新版本，修复安全漏洞； e) 在软件发布前，应进行代码审计和基线核查； f) 应建立软件注册、激活、去激活、发布、更新、注销等机制，对网关、Web服务器软件进行全流程 管理和控制，包括完整性校验、身份鉴别和访问控制； g) h) 网关、Web服务器、Web客户端软件调用API时应进行安全检测； i) 应配置防火墙、安全防范攻击机制，对网关、Web服务器、Web客户端软件进行安全隔离； j) 应保持系统补丁及时更新； k） 应禁用闲置的软件端口。 6.2.2 增强要求 软件安全的增强要求包括： a) 可基于可信根对交互主体的固件，引导程序、操作系统内核、应用程序等进行可信验证 b)J 应支持审计工具对日志文档进行验证； Web服务器应具备检测漏洞能力，漏洞类型包括但不限于： SQL注入漏洞，含基于Get（从指定的资源请求数据）、Post（向指定的资源提交要被处理的 数据）方式提交的应包括字符、数字和搜索等的注人漏洞； ·Cookie(Web服务器存储在客户端本地的一个小型文件）注人漏洞，含基于Cookie方式提 交的应包括字符、数字和搜索等的注人漏洞； XSS漏洞，含基于Get、Post方式的跨站攻击漏洞； ·CSRF漏洞； 目录遍历漏洞； ? ·信息泄露漏洞，含路径泄露、备份文件、源代码泄露、目录浏览等信息泄露漏洞； 。文件包含漏洞，含远程、本地方式的文件包含漏洞。 6.3静态数据安全 6.3.1基本要求 静态数据安全的基本要求包括： 终端静态数据采集、存储、处理或生成应符合GB/T36951一2018中5.5的要求； a) b) 终端交互涉及的网关静态数据应符合GB/T37024一2018中6.2.3.1的要求； 终端交互涉及的Web服务器静态数据应符合GB/T20270-2006中5.7.1、5.7.3和5.8.1的 ） 要求。 3 GB/T41781—2022 6.3.2增强要求 静态数据安全的增强要求包括： a) 终端静态数据采集、存储、处理或生成应符合GB/T36951一2018中6.5的要求； b) 终端交互涉及的网关静态数据应符合GB/T370242018中7.2.3的要求； Web服务器静态数据应定期形成安全态势分析报告。 7 交互过程安全 7.1 接入安全 7.1.1 基本要求 7.1.1.1 终端与网关交互 终端与网关交互安全基本要求包括： a) 终端接人网关时应具备唯一标识； b) 网关在交互前应对终端鉴别； c) 网关可支持终端联动配对。 7.1.1.2 终端与Web服务器交互 终端与Web服务器交互安全基本要求包括 a) 终端接人Web服务器时应具备唯一标识； b) Web服务器应对终端鉴别； c） Web服务器可对终端访问控制 7.1.1.3 网关与Web服务器交互 网关与Web服务器交互安全基本要求包括： a) Web