大华产品安全白皮书

V2.
0浙江大华技术股份有限公司1法律声明版权声明2020浙江大华技术股份有限公司.
版权所有.
在未经浙江大华技术股份有限公司(下称"大华")事先书面许可的情况下,任何人不能以任何形式复制、传递、分发或存储本文档中的任何内容.
本文档描述的产品中,可能包含大华及可能存在的第三人享有版权的软件.
除非获得相关权利人的许可,否则,任何人不能以任何形式对前述软件进行复制、分发、修改、摘录、反编译、反汇编、解密、反向工程、出租、转让、分许可等侵犯软件版权的行为.
商标声明、、、、是浙江大华技术股份有限公司的商标或注册商标.
在本文档中可能提及的其他商标或公司的名称,由其各自所有者拥有.
责任声明在适用法律允许的范围内,在任何情况下,本公司都不对因本文档中相关内容及描述的产品而产生任何特殊的、附随的、间接的、继发性的损害进行赔偿,也不对任何利润、数据、商誉、文档丢失或预期节约的损失进行赔偿.

本文档中描述的产品均"按照现状"提供,在适用法律允许的范围内,本公司对文档中的所有内容不提供任何明示或暗示的保证.
出口管制合规声明大华遵守适用的出口管制法律法规,并且贯彻执行与硬件、软件、技术的出口、再出口及转让相关的要求.
就本手册所描述的产品,请您全面理解并严格遵守国内外适用的出口管制法律法规.

关于本文档您购买的产品、服务或特性等应受公司商业合同和条款的约束,本文档中描述的全部或部分产品、服务和特性可能不在您的购买或使用范围之内.
如不按照本文档中的指导进行操作,因此而造成的任何损失由使用方自己承担.

如获取到的PDF文档无法打开,请将阅读工具升级到最新版本或使用其他主流阅读工具.

本公司保留随时修改本文档中任何信息的权利,修改的内容将会在本文档的新版本中加入,恕不另行通知.
本文档可能包含技术上不准确的地方、或与产品功能及操作不相符的地方、或印刷错误,以公司最终解释为准.
2前言概述AIoT的持续深入发展需要建立在负责、开放、专业、系统的网络安全和隐私保护基础上,大华一贯将网络安全和隐私保护作为公司最高纲领之一,持续设立专项资金投入,保障产品安全研发与交付、安全关键技术研究、安全应急响应体系建设得到扎实稳步推进.
所有产品发布前,均要经过攻防实验室的严格测试.
目前,大华已经在可信计算、数据加密、隐私保护、攻防测试等安全技术领域取得丰硕成果,并在全系列产品中集成应用.
产品安全白皮书,旨在通过对大华产品安全框架构建、安全基线实践、安全技术应用、安全使用建议的全面阐述,让用户更加深入了解大华产品的安全能力.

名词解释名词说明UCDUserCenteredDesign,在设计过程中以用户体验为设计决策的中心,强调用户优先的设计模式.
sSDLCSecureSoftwareDevelopmentLifecycle,即安全软件开发生命周期.
ESDElectrostaticDischarge,是一种静电释放技术,为保护设备电子元器件,避免静电带来的损害.
I2CInter-IntegratedCircuitBus,由Philips公司开发的一种简单、双向二线制同步串行总线.
SPISerialPeripheralInterface,是一种高速的、全双工的同步通信总线.
RBACRole-BasedAccessControl,即基于角色的访问控制,权限与角色相关联,用户成为适当角色的成员而拥有相应角色的权限.
PKIPublicKeyInfrastructure,即公钥基础设施,用来实现基于公钥密码体制的密钥和证书的产生、管理、存储、分发和撤销等功能.
KMSKeyManagementService,即密钥管理服务,提供安全合规的密钥托管服务.
KDFKeyDerivationFunction,即密钥派生方法,基于主密钥,使用伪随机函数派生新的密钥.
TLSTransportLayerSecurity,是一种加密的传输层安全协议.
ARPAddressResolutionProtocol,是根据IP地址获取物理MAC地址的底层网络协议.
GDPRGeneralDataProtectionRegulation,欧盟颁布的针对个人数据保护的一个重要法案.
CCPACaliforniaConsumerPrivacyAct,美国加州颁布的保护消费者信息的隐私法案.
3C5CloudComputingComplianceControlsCatalog,德国联邦信息安全局(BSI)提出的云安全标准.
BSIGermanFederalOfficeforInformationSecurity,德国联邦信息安全局.
修订记录编号版本号修订内容发布日期1V1.
0首次发布2017.
6.
302V2.
0新增安全基线V1.
3/V2.
0/V2.
1版本迭代集成及安全技术研究的最新成果.
2020.
2.
284目录法律声明1前言.
21安全开发流程52安全模型.
63威胁建模.
74安全保障.
84.
1安全基线84.
2安全框架94.
3技术分述104.
3.
1物理安全104.
3.
2系统安全114.
3.
3应用安全144.
3.
4数据安全184.
3.
5网络安全224.
3.
6隐私保护265安全中心.
285.
1概览285.
2安全状态扫描285.
3安全特性集中化管理296安全合规.
306.
1ULCAP认证(UL2900)306.
2TV莱茵IoT产品隐私保护认证.
306.
3TV莱茵IoT服务隐私保护认证.
317安全使用建议327.
1保障设备基本网络安全的必须措施327.
2增强设备网络安全的建议措施328安全应急响应349安全承诺.
3551安全开发流程图1-1产品安全开发流程大华持续推进安全软件开发生命周期(sSDLC)的建设,开展全面且深入的安全活动成熟度评估,通过对开发流程的规范和软件工程的控制,进一步建立健全了适合大华的安全研发管控体系.
-建立安全专业团队,实施面向研发中心全员的安全需求理解、安全设计方法、安全编码规范、安全测试方法以及各种安全工具使用等培训.
-产品定义阶段,开展安全和隐私风险评估,以安全基线和隐私基线作为产品最基本需要满足的安全要求,并根据风险评估结果,制定与风险等级相称的安全活动与需求.

-产品设计阶段,严格遵循攻击面最小化、权限最小化、默认安全、纵深防御等安全设计核心原则,联合网络安全专家和产品业务专家,实施威胁建模和威胁消减,践行"SecuritybyDesign".
-产品开发阶段,严格遵循安全编码规范,在代码交叉检视的前提下,规范执行Coverity静态代码安全检测和缺陷修复.
-产品验证阶段,开展全面的病毒扫描、系统漏洞扫描、Web漏洞扫描、已知漏洞验证、安全功能验证、攻击渗透测试验证,以及Fuzzing模糊测试.
-产品发布前安全检查,包含安全需求和安全设计的一致性、数据的合规性、代码安全审计的清理、安全测试和渗透测试的完备性检查,以及产品安全指导文档等.

62安全模型威胁暴露安全风险安全保障消减影响用户体验安全基线威胁建模安全中心UCD提升发现引入设计构建最佳实践图2-1安全模型在产品安全需求与设计阶段,基于深度挖掘的威胁建模暴露潜在的安全风险,基于持续迭代的安全基线构建层次化、系统化的安全保障,基于以用户为核心的安全中心打造安全管控便捷、安全状态可视的用户体验,三者协同推进,不断完善安全防护的技术迭代模型.

73威胁建模威胁建模是基于结构化的方法,系统化地识别与评估产品安全风险,并针对性地制定消减措施的一个过程.
大华引入威胁建模方法,旨在以攻击者的角度思考产品的安全缺陷,从而不断完善产品的安全保障措施,减小安全风险面.
大华采用了基于STRIDE模型的威胁建模方法,针对以下六类核心威胁开展风险评估与分析:-欺骗(Spoofing)-篡改数据(Tampering)-否认(Repudiation)-信息泄露(InformationDisclosure)-拒绝服务(DenialofService)-提权(ElevationofPrivilege)同时,引入攻击树模型,有效提升STRIDE威胁建模的实施,深化产品安全风险分析.
随着技术的发展,攻击手段的不断地丰富,攻击树的引入有助于尽早识别新型攻击手段带来的威胁.
威胁建模建模识别威胁消减措施验证识别威胁风险评估STRIDE攻击树DREADCWSS图3-1威胁建模84安全保障4.
1安全基线持续升级的安全基线认证授权审计保密性完整性可用性隐私保护安全基线V1.
0安全认证强密码策略黑白名单数字信封+防暴力破解+会话保护+最小化服务策略+敏感数据加密存储+无默认帐户+内置防火墙+安全shell+可信升级+可信运行环境V1.
0V1.
1V1.
2V2.
0+安全联动报警+……V1.
3+隐私保护+安全启动安全基线V1.
1安全基线V1.
2安全基线V1.
3安全基线V2.
0+码流加密传输+固件加密+开源软件管控+自定义权限管理V2.
1安全基线V2.
1+无线安全+加密性能优化+……图4-1安全基线大华启动"安全基线"计划以来,坚持以"SecuritybyDesign"和"SecuritybyDefault"为核心原则,深耕产品安全技术,为用户提供充足的安全保障.
安全基线立足并践行安全与隐私设计原则,构建"AAA+CIA+P"的安全要素布局,形成覆盖物理安全、系统安全、应用安全、数据安全、网络安全和隐私保护的系统化保护框架.

"AAA+CIA+P"安全要素布局具体为:-AAA:认证(Authentication)、授权(Authorization)、安全审计(Audit)-CIA:保密性(Confidentiality)、完整性(Integrity)、可用性(Availability)-P:隐私保护(PrivacyProtection)为保障安全基线的充分性,大华开展了"法律法规遵从"、"标准规范研读"、"行业动态跟踪"、"威胁建模分析"、"关键技术预研"、"安全需求调研"等一系列活动,持续不断地为安全基线输出有效的、高价值的安全需求.
安全基线作为大华的重要企业标准之一,是大华sSDLC的重要组成部分,已深度融合到产品质量保障体系中,确保大华全系列产品享有出厂默认安全的技术保障.

94.
2安全框架数据安全网络安全隐私保护物理安全系统安全应用安全Flash冗余备份主备双控电源冗余备份SecureBootTrustZone可信启动可信运行可信升级安全shell安全身份认证权限管控系统日志安全策略组件安全管控数字信封服务安全策略会话安全策略视频加密传输录像加密存储录像加密下载配置加密存储配置加密导出攻击防御访问控制CA证书安全预警人脸遮挡隐私政策物理接口管控OTP真随机数发生器安全芯片云升级安全框架数据最小化隐私友好设置安全协议无线安全防逆向图4-2产品安全框架产品安全框架从物理安全、系统安全、应用安全、数据安全、网络安全和隐私保护六个维度保障产品安全:-物理安全,从产品本身的物理防护角度出发,以实际的物理结构手段作为防护措施,为产品提供安全可靠的物理基础框架.
-系统安全,操作系统是资源的管理者,为服务功能提供基础的运行环境,系统安全通过可信计算、虚拟技术、权限控制等手段,构建安全可信的基础运行环境.

-应用安全,基于认证、授权和审计形成闭路式安全防护结构,强化应用层服务功能的自身安全能力.
-数据安全,基于密码算法、数字签名等技术,构建数据存储、传输、分享、销毁等全生命周期的安全保护,避免数据被泄露、篡改、破坏.
-网络安全,引入安全预警、防火墙等攻击防御技术,提升网络攻击的主动感知和防御能力.
-隐私保护,提供覆盖数据采集、传输、存储、使用、分享、展示、拷贝、删除等全生命周期的隐私保护措施.
104.
3技术分述4.
3.
1物理安全4.
3.
1.
1SecureBoot基于主控芯片的SecureBoot,构建以物理芯片为基础的启动信任链,可有力保障设备启动过程的完整性和合法性,避免加载不可信的固件程序.
4.
3.
1.
2TrustZoneTrustZone技术是ARM主控芯片提供的一项重要安全特性,基于该技术可以实现物理隔离的安全运行区和安全存储区,为上层应用服务提供安全基础.
4.
3.
1.
3OTPOTP(OneTimeProgramable),即一次性可编程存储区,数据(如设备的唯一标识信息等)写入后无法再修改,可有效保障写入数据的完整性.
4.
3.
1.
4真随机数发生器真随机数发生器是将不可预测的物理现象转换为电信号,通过重复采集随机变化的信号,从而获得一系列的随机数,理论上这些随机数是完全不可预测的.
4.
3.
1.
5安全芯片安全芯片提供了主流的安全加密算法,并且支持密钥数据的安全存储,有效保障密钥的机密性.
4.
3.
1.
6物理通信接口设备物理接口采用ESD静电防护,保障接口和系统的安全运行;主板不预留芯片外围空闲的串口、USB、I2C、SPI等通信接口,且在系统内部直接关闭,防止通过未认证接口非法访问系统内部资源;针对芯片JTAG调试口、程序烧录口等,主板不预留相关接口.
4.
3.
1.
7Flash冗余备份利用了空闲的Flash空间,对主Flash区中的固件数据进行备份,当主Flash数据被破坏时,设备将会自动重启,并基于冗余Flash中的备份数据对主Flash区进行固件恢复.
4.
3.
1.
8主备双控技术设备采用双主板设计结构,主板间协同工作、相互备份,当主用主板受到破坏时,主11机将无缝切换至备用主板继续工作,保障设备业务的连续性和健壮性.
图4-3主备双控技术样机4.
3.
1.
9电源冗余备份设备采用冗余电源设计结构,保持多个电源同时工作,其中任意一路电源因故障而中断时,冗余电源可继续保持供电,维持设备正常工作.
图4-4电源冗余备份样机4.
3.
2系统安全4.
3.
2.
1可信启动设备以安全主控芯片作为可信启动的"物理信任根",在系统启动的过程中,通过可信验证逐级校验,实现控制权的安全交接,直至完成最终应用服务的启动.
通过建立完整的启动信任链,构建设备初始信任状态,是设备后续运行可信的基础保障.
12可信验证正常启动拒绝启动安全主控芯片可信验证合法签名boot伪造签名boot可信验证合法签名OS正常启动伪造签名OS拒绝启动合法签名文件系统合法签名应用服务伪造签名文件系统伪造签名应用服务正常加载正常执行拒绝加载拒绝执行图4-5可信启动原理4.
3.
2.
2可信执行设备运行期间,任何可执行程序在加载运行前,均须通过内核的可信验证,避免恶意程序(如病毒、木马等)入侵设备.
正常执行拒绝执行可信验证系统内核合法签名合法程序伪造签名非法程序图4-6可信执行原理4.
3.
2.
3可信升级设备升级固件时,升级服务将对目标固件进行可信验证,拒绝非法或被篡改的固件写入设备.
13正常升级拒绝升级可信验证设备升级服务合法签名合法固件伪造签名非法固件图4-7固件升级可信验证4.
3.
2.
4安全shellshell是设备的命令控制终端,通常用于设备调试、检测、问题定位.
安全shell是基于Hook技术实现的多因子认证保护,避免恶意操作破坏设备.
第一层认证第二层认证Shell管理员凭证访问访问访问安全码管理员验证服务器维护人员维护人员凭证图4-8安全Shell原理多因子认证包括两层授权:-管理员授权:基于设备的用户管理体系,对管理员进行身份认证,以获得设备的第一层授权.
-服务器授权:使用维护人员凭证向验证服务器获取安全码,从而获得第二层授权.
144.
3.
2.
5云升级在物联网行业,由于设备数量庞大、网络结构复杂、安装位置分散等问题,给设备的升级带来了极大的挑战.
升级最新固件不仅可以让用户享受最新功能,同时可以帮助设备提升安全能力,为此大华提出了云升级解决方案,方便用户快速且安全地升级设备:-支持自动化版本检测.
-支持自动化批量升级.
云服务后端设备前端设备检测版本升级固件图4-9云升级示意图4.
3.
2.
6防逆向固件是设备的重要资产之一,为防止黑客逆向攻击,大华设计了固件加密方案,保障固件在数据流转过程中一直保持加密状态,其基本原理如下:-基于KDF密钥派生技术创建安全密钥,并对固件数据进行加密.
-设备升级固件时,以加密形态写入Flash.
-设备启动、运行时,对Flash分区数据实时解密并加载.
4.
3.
3应用安全4.
3.
3.
1安全身份认证4.
3.
3.
1.
1用户安全策略设备出厂无默认帐户,均须用户在部署时创建,且密码组成必须满足如下强度:-不少于8位字符-不少于2种字符类型为引导用户设置高强度的密码,设备在添加帐户、修改密码等操作时,将对用户设置15的密码进行强度检测,并提示用户.
4.
3.
3.
1.
2Digest认证技术Digest认证技术是一种挑战式的认证方法,基于对密码和随机数(一次有效)的HASH运算,保障认证过程的机密性和不可重放性.
HASH运算过程如下:-HA1=HASH("username:realm:password")-HA2=HASH("method:uri")-DigestPassword=HASH("HA1:nouce:nc:cnonce:qop:HA2")客户端设备端携带用户名,不携带密码请求登录登录成功登录失败,返回登录参数:Realm="…",nonce="…",…携带摘要密码,请求登录构建参数计算摘要密码图4-10Digest认证技术交互流程4.
3.
3.
1.
3WSSE认证技术WSSE认证技术是一种非挑战式的认证方法,基于密码、随机数、时间等因子的HASH运算,保障密码传输过程的机密性,基于在限定时间内随机数因子的不可重复,保障认证过程的不可重放性.
其摘要密码计算方式如下:-HA1=HASH("username:realm:password")-HA2=HASH("method:uri")-HA3=HASH("HA1:nouce:nc:cnonce:qop:HA2")-WSSEPassword=Base64(HASH(Nonce+CreationTimestamp+HA3))16客户端设备端登录成功携带参数:Realm="…",nonce="…",…携带摘要密码,请求登录构建参数计算摘要密码校验参数有效性校验密码有效性图4-11WSSE认证技术交互流程4.
3.
3.
2权限管控系统大华设备以RBAC模型为基础,构建了灵活高效的权限管控系统,满足用户在不同场景下部署设备的需要.
4.
3.
3.
3日志安全策略4.
3.
3.
3.
1日志规范记录设备完整记录了用户的操作轨迹,包括(但不限于)以下操作:-用户登录和退出-增加、删除、修改用户帐号和密码-导入导出系统配置-修改系统配置-上传文件-重启和升级设备-修改系统时间-异常事件(包括断网、无硬盘、硬盘错误、硬盘容量过低或视频丢失等)-安全事件(如帐户锁定、会话暴破等)设备记录的日志内容包含如下重要因素:-操作源,包括用户及源IP-操作内容-操作时间-操作结果174.
3.
3.
3.
2独立划分安全日志基于安全事件的敏感性,为进一步保障此类事件的可追溯性,独立划分了安全日志存储区,在不影响业务操作日志记录的同时,优先保障安全事件类日志的记录.

4.
3.
3.
3.
3网络日志大华设备支持syslog网络日志功能,可将重要日志同步保存到日志服务器中.
4.
3.
3.
4组件安全管控大华建立了开源及第三方组件的管控流程,作为sSDLC的重要组成部分,已融入产品质量管控体系.
对产品中的开源及三方组件管控主要包括:-使用的组件必须通过安全评估与审核,包括开源合规审核、漏洞检测、风险评估等.
-产品发布后,定期使用最新的漏洞库检测组件漏洞状态,并精确定位受影响产品范围,确保漏洞及时修复.
4.
3.
3.
5服务安全策略基于最小开放原则,大华对设备的所有服务实施了严格的管控,默认只允许启用基础服务,包括:-WEB服务-RTSP服务-设备搜索服务-…设备支持更加安全的服务协议,为用户相同功能提供更多安全选择,包括:-支持HTTPS服务,替代HTTP服务.
-支持SFTP服务,替代FTP服务.
-支持SNMPv3服务,替代SNMPv1/v2服务.
-支持SSH服务,替代Telnet服务.
-…4.
3.
3.
6会话安全策略web服务支持基于短链接的会话交互,其保护策略如下:-采用高复杂、强随机的会话凭证.
-有效会话与访问源主机强绑定,禁止跨主机共享会话凭证.
-实时监测会话凭证暴力破解行为,并主动注销风险主机的所有在线用户.

-自动注销长时间未操作的会话.
184.
3.
4数据安全4.
3.
4.
1数字签名技术基于PKI基础设施及签名算法,实现数据签名与验签功能,保障目标数据的完整性.

目标实体摘要信息摘要计算数字签名私钥签名图4-12数字签名过程目标实体摘要信息摘要计算数字签名公钥验签标准摘要信息比对图4-13数字验签过程4.
3.
4.
2数字信封技术数字信封技术类似于生活中的信件,基于该技术可保障网络中传输的数据只有规定的接收人才能解密阅读.
-客户端使用随机生成的对称密钥加密目标数据,再基于设备提供的公钥将生成的对称密钥进行加密.
-设备端接收到加密的数据和对称密钥时,需要先使用对应的私钥解密得到对称密钥,然后再使用对称密钥解密密文数据.
19客户端设备端获取公钥回复返回公钥使用公钥加密的对称密钥使用对称密钥加密的数据使用私钥解密对称密钥生成随机对称密钥使用对称密钥解密数据图4-14数字信封技术交互流程4.
3.
4.
3码流加密传输4.
3.
4.
3.
1帧加密技术帧加密技术,即基于码流帧数据进行加密保护,当前支持AES256-OFB加密算法.
大华私有协议码流传输采用了该技术,具体流程如下:-设备端生成随机密钥,并对码流帧数据进行加密保护.
-采用数字信封技术实现设备与客户端间的密钥同步及更新.
-客户端基于同步的密钥对码流帧数据进行解密应用.
客户端设备密钥协商通道基于数字信封技术加密保护码流传输通道基于帧数据加密保护图4-15帧加密技术交互流程4.
3.
4.
3.
2通道加密技术大华RTSP支持TLS通道加密,RTSP及TLS均采用标准协议实现,支持与标准实现的20第三方客户端对接.
具体流程如下:-客户端与设备基于TLS协议建立可信的加密通道链接.
-基于TLS通道进行码流传输.
客户端设备TLS协商,建立可信加密通道基于加密通道传输码流图4-16通道加密技术交互流程4.
3.
4.
4录像加密存储4.
3.
4.
4.
1基于KMS加密存储KMS是专业的密钥管理服务器,可帮助网络中的设备进行密钥统一管理,以保障密钥的稳定与安全.
具体流程如下:-采用随机生成的密钥对录像数据进行加密,支持AES256加密算法.
-对接KMS系统保护随机密钥,采用业内标准协议KMIP及HTTPS对接KMS系统.
-支持密钥定时更新.
前端设备码流服务存储设备录像加密存储KMS加密保护KMIP&HTTPS录像加密存储录像计划加密保护KMIP&HTTPS录像回放回放&帧加密帧加密协商解密KMIP&HTTPS录像计划加密密钥加密密钥加密加密21图4-17基于KMS录像加密保护原理4.
3.
4.
4.
2基于密码派生加密存储为了简化用户的密钥管理部署,大华设备实现了基于用户设置的密码对录像数据进行加密存储.
其基本原理如下:-采用随机生成的密钥对录像数据进行加密,支持AES256加密算法.
-基于用户配置的密码进行KDF密钥派生,对录像密钥进行加密保护.
4.
3.
4.
5录像加密下载设备支持录像下载功能,为了保证录像数据在移动介质中的安全,设备同时支持加密下载功能,以保障录像数据在移动介质传递过程中的机密性,其基本原理如下:-基于用户设置的录像加密下载密码,进行KDF密钥派生得到密钥.
-使用密钥对目标录像进行加密后下载至客户端本地.
客户端设备协商下载录像密码基于密码加密的录像数据基于数字信封技术加密保护基于帧数据加密保护图4-18录像下载加密原理4.
3.
4.
6配置加密存储基于设备的不同能力,配置的加密存储功能选用了不同的加密技术,包括:-如果设备支持安全芯片,则使用安全芯片进行加密存储.
-如果设备不支持安全芯片,则基于KDF密钥派生技术生成密钥,并使用密钥对数据进行加密.
224.
3.
4.
7配置加密导出配置导出功能主要用于设备配置数据的备份和同步,导出的配置文件中可能包含帐户、密码等敏感信息,为保护配置数据的机密性和完整性,大华设备基于KDF密钥派生技术创建安全密钥,并对导出的配置数据进行完整加密.
4.
3.
5网络安全4.
3.
5.
1攻击防御4.
3.
5.
1.
1防ARP欺骗技术ARP欺骗是通过不断发送ARP欺骗报文,将仿冒的IP-MAC映射植入到网络设备或主机中,从而截获发往目标主机的数据,仿冒的IP-MAC映射是指由攻击目标主机IP和攻击者主机MAC组合而成的映射关系.
图4-19ARP欺骗技术防ARP欺骗技术是通过固化源主机IP-MAC映射列表,屏蔽ARP欺骗报文,避免仿冒的IP-MAC映射关系的植入.
23图4-20防ARP欺骗技术4.
3.
5.
1.
2防DoS攻击技术DoS攻击是指攻击者通过发送恶意的网络报文耗尽目标主机的服务资源,致使目标主机无法为合法用户提供正常服务.
大华设备提供了以下几种DoS攻击的防御技术:-ICMPFlood,即通过向设备发送大量ICMP消息报文,致使设备不能对合法的服务请求作出响应.
-SynFlood,即TCP半连接攻击,攻击者通过不断发送伪造的TCP连接请求,致使设备构建大量的TCP半连接资源,从而耗尽TCP协议栈,实现DoS攻击.
4.
3.
5.
1.
3密码防暴破密码暴破攻击是指利用高性能的主机,对目标主机进行高频率的密码猜测,直至成功登录设备,从而获得登录设备的正确密码.
攻击者设备用户名:admin,密码:123456登录失败用户名:admin,密码:654321登录失败……用户名:admin,密码:abc123456登录成功24图4-21密码暴破技术基于上述攻击特征,当设备识别密码暴破的攻击行为时,将自动锁定帐户,并在一段时间内禁止该主机的登录行为.
帐户锁定期攻击者设备用户名:admin,密码:123456登录失败(用户或密码错误)用户名:admin,密码:654321登录失败(用户或密码错误)用户名:admin,密码:abc123456登录失败(帐户锁定)用户正确用户名&密码登录成功用户名:admin,密码:正确登录失败(帐户锁定)图4-22密码防暴破技术4.
3.
5.
2访问控制4.
3.
5.
2.
1防火墙防火墙是基于网络包过滤技术实现的,基于预先配置的过滤规则,检查接收或发送的网络数据包特征,最终决策是否允许通过,从而减小网络风险面.
其网络数据包特征信息主要包括如下:-源主机IP地址-目标主机IP地址-源主机MAC地址-目标主机MAC地址-源主机端口-目标主机端口-网络协议4.
3.
5.
2.
2校时白名单时间是设备的重要资产之一,其准确性影响着很多重要功能,如日志记录、录像时间25等功能.
大华设备支持校时白名单功能,根据预先配置的规则,只允许指定的主机对设备进行时间校准,避免恶意篡改时间.
4.
3.
5.
2.
3802.
1x802.
1x是网络准入控制的标准协议,能够限制未经授权的设备或主机接入专网,其基本原理如下:-网络交换机物理网口初始状态下,只允许802.
1x身份认证消息的通信.
-接入交换机的设备或主机,通过802.
1x协议发起身份认证.
-当认证服务验证通过之后,则网络交换机开放其业务数据的通信.
.
.
设备交换机服务器请求认证EAPOL-Start请求获取用户名信息EAP-Request/Identity发送用户名信息EAP-Response/Identity发送用户名信息RADIUSAccess-Request对比用户名,发送接入质询RADIUSAccess-Challenge发送接入质询EAP-Request/MD5challenge计算摘要密码,请求认证EAP-Response/MD5challenge计算摘要密码,请求认证RADIUSAccess-Request对比摘要密码,认证成功RADIUSAccess-Accept认证成功EAP-Success图4-23802.
1x认证流程4.
3.
5.
3安全预警设备实时监测异常攻击行为,并联动邮件、手机推送、蜂鸣等方式通知用户,实现实时安全预警.
支持的监测攻击事件主要包括:-非法IP访问-非法时间尝试登录-用户名、密码暴破行为-会话暴破行为26-web路径暴破行为-会话连接数超限-非法程序尝试运行4.
3.
5.
4CA证书设备支持X.
509标准的数字证书,支持导入第三方CA机构签发的数字证书,支持生成符合PKCS#10格式的证书请求文件(CertificateSigningRequest),可向第三方CA机构申请数字证书并导入.
4.
3.
5.
5无线安全支持基于Radius认证的企业级WPA/WPA2加密认证方式,支持民用级的WPA-PSK/WPA2-PSK加密认证方式.
4.
3.
6隐私保护随着AIoT持续深入发展,数据安全及隐私保护受到全球各国的高度重视.
中国《网络安全法》、《GB/T35273-2017信息安全技术-个人信息安全规范》、欧盟GDPR、美国加州CCPA颁布以来,大华一直采取积极且务实的态度和策略应对,并成立了数据安全和隐私保护专委会,密切关注全球法律法规动态,全面开展合规审计,积极推进合规整改与认证.
为全面提升产品与服务的隐私保护水平,更好地帮助客户实现合规,大华结合内部安全设计原则、个人信息安全规范、GDRP法规和莱茵标准等,制定了《大华个人数据及隐私保护标准》,并在产品需求与设计阶段引入隐私基线,从隐私政策、隐私友好设置、数据采集、数据传输、数据存储、数据删除等环节进行数据处理的全面规范与指引.
大华产品严格遵循数据最小化、隐私友好设置的基本要求,同时持续集成数据脱敏、数据加密、人脸遮挡、可信计算等隐私保护技术和应用.
27通过智能识别技术,动态定位并遮挡(支持人脸和人体),提升隐私保护能力.

马赛克实时码流马赛克抓图流admin用户遮挡还原普通用户遮挡还原图像数据采集抠图敏感区域编码码流融合前端设备码流拆分解码码流还原NVR/IVSS/DSSPro图4-24人脸遮挡基于智能人脸识别技术,在图像编码阶段识别采集图像中的人脸部位,进行智能抠图,从而隐藏图像中的个人隐私数据,只有管理员权限的用户可以还原原始图像,普通用户无法还原.
285安全中心5.
1概览安全中心的核心目标是为了深度融合安全保障与业务场景,帮助用户清晰地了解设备的安全状态与能力,协助用户方便快捷地设置适合场景最佳安全配置.
基于对设备当前的用户帐号、功能配置、安全模块等特性的检查与分析,向用户综合地呈现设备的安全状态.
与此同时,设备提供了集中化的安全特性管理能力,两者相辅相成,更好地帮助用户了解设备、加固设备.
安全特性集中化管理用户帐号安全模块功能配置产品安全中心安全状态防火墙安全预警802.
1xCA证书HTTPSKMS视频加密…图5-1安全中心5.
2安全状态扫描设备内集成了安全扫描模块,可基于设备当前的运行状态,对设备的用户帐号、功能配置、安全模块等进行全方位的扫描,以帮助用户了解设备配置的安全状态以及设备支持的安全能力.
用户可基于扫描结果以及业务场景需要,优化改善设备的安全保障能力.

295.
3安全特性集中化管理设备中可配置的所有安全功能,均已加载至安全中心配置页面,形成集中化的设备安全管理中心.
与此同时,安全模块间形成有效的联动性,帮助用户更好地应用设备安全能力.

306安全合规6.
1ULCAP认证(UL2900)ULCAP认证是全球首个也是目前唯一一个基于标准对联网设备和系统进行安全评估的计划,主要关注软件漏洞、软件缺陷以及安全策略的充分实施.
UL基于UL2900系列标准进行CAP评估,UL2900系列标准规定的技术要求是基于现有行业的最佳实践和指导文件所指定,包括IEC、ISO和其他国际标准.
CAP评估内容包括产品文档评审、代码分析、已知漏洞检测、恶意软件和病毒分析、Fuzzing测试和渗透测试等,全面审查产品的安全性能.
大华于2019年10月通过ULCAP安全认证,证书编号为ULCAP_133.
大华所有产品发布前,均要经过统一且严格的代码分析、漏洞检测、恶意软件和病毒扫描、Fuzzing测试和渗透测试等安全评估.
证书查询:https://iq.
ulprospector.
com/en6.
2TV莱茵IoT产品隐私保护认证堪称"史上最严格的"数据保护法规GDPR的颁布,为数据安全和隐私保护设立了严格、高水平、宽范围的保护标准.
TV莱茵基于欧盟GDPR法案、德国联邦信息安全局(BSI)的TR-02102加密技术指南和内部2PfG标准,为大华旗下网络摄像头、网络录像机、软件平台、智能服务器等产品提供文档审计、个人数据保护、隐私数据处理、渗透性测试、工厂检查等全面测试和评估服务.
大华系列产品于2018年先后通过TV莱茵IoT产品隐私保护认证,证书编号分别为:-网络摄像机50437998-网络录像机50437996-软件平台50459589-智能服务器50433648大华通过评估并获得IoT产品隐私保护认证,意味着产品更好地遵从GDPR要求,在网络安全和隐私保护方面为行业树立了标杆.
大华结合内部安全设计原则、个人信息安全规范、GDRP法案和莱茵标准等,制定了《大华个人数据及隐私保护标准》,并在产品需求与设计阶段引入隐私基线,全系列产品严格实施落地.
证书查询:https://www.
certipedia.
com/quality_marks316.
3TV莱茵IoT服务隐私保护认证TV莱茵基于欧盟GDPR法案、德国联邦信息安全局(BSI)的C5云安全标准和TR-02102加密技术指南,以及内部2PfG标准,为大华旗下乐橙(Imou)云提供Iaas/PaaS/SaaS层的物理安全、数据安全、应用安全、网络安全,以及APP安全、安全开发流程、安全应急流程等全面评估服务,并开展了渗透测试验证.
大华于2019年12月通过TV莱茵IoT服务隐私保护认证,证书编号为50458168.
大华通过评估并获得IoT服务隐私保护认证,意味着乐橙(Imou)云的网络安全和隐私保护能力达到行业领先水平.
证书查询:https://www.
certipedia.
com/quality_marks327安全使用建议7.
1保障设备基本网络安全的必须措施1.
使用复杂密码请参考如下建议进行密码设置:-长度不小于8个字符.
-至少包含两种字符类型,字符类型包括大小写字母、数字和符号.
-不包含帐户名称或帐户名称的倒序.
-不要使用连续字符,如123、abc等.
-不要使用重叠字符,如111、aaa等.
2.
及时更新固件和客户端软件-按科技行业的标准作业规范,设备(如NVR、DVR和IP摄像机等)的固件需要及时更新至最新版本,以保证设备具有最新的功能和安全性.
设备接入公网情况下,建议开启在线升级自动检测功能,便于及时获知厂商发布的固件更新信息.

-建议您下载和使用最新版本客户端软件.
7.
2增强设备网络安全的建议措施1.
物理防护建议您对设备(尤其是存储类设备)进行物理防护,比如将设备放置在专用机房、机柜,并做好门禁权限和钥匙管理,防止未经授权的人员进行破坏硬件、外接设备(例如U盘、串口)等物理接触行为.
2.
定期修改密码建议您定期修改密码,以降低被猜测或破解的风险.
3.
及时设置、更新密码重置信息设备支持密码重置功能,为了降低该功能被攻击者利用的风险,请您及时设置密码重置相关信息,包含预留手机号/邮箱、密保问题,如有信息变更,请及时修改.
设置密保问题时,建议不要使用容易猜测的答案.
4.
开启帐户锁定出厂默认开启帐户锁定功能,建议您保持开启状态,以保护帐户安全.
在攻击者多次密码尝试失败后,其对应帐户及源IP将会被锁定.
335.
更改HTTP及其他服务默认端口建议您将HTTP及其他服务默认端口更改为1024~65535间的任意端口,以减小被攻击者猜测服务端口的风险.
6.
使能HTTPS建议您开启HTTPS,通过安全的通道访问Web服务.
7.
启用白名单建议您开启白名单功能,开启后仅允许白名单列表中的IP访问设备.
因此,请务必将您的电脑IP地址,以及配套的设备IP地址加入白名单列表中.
8.
MAC地址绑定建议您在设备端将其网关设备的IP与MAC地址进行绑定,以降低ARP欺骗风险.
9.
合理分配帐户及权限根据业务和管理需要,合理新增用户,并合理为其分配最小权限集合.
10.
关闭非必需服务,使用安全的模式如果没有需要,建议您关闭SNMP、SMTP、UPnP等功能,以降低设备面临的风险.
如果有需要,强烈建议您使用安全的模式,包括但不限于:-SNMP:选择SNMPv3,并设置复杂的加密密码和鉴权密码.
-SMTP:选择TLS方式接入邮箱服务器.
-FTP:选择SFTP,并设置复杂密码.
-AP热点:选择WPA2-PSK加密模式,并设置复杂密码.
11.
音视频加密传输如果您的音视频数据内容比较重要或敏感,建议启用加密传输功能,以降低音视频数据传输过程中被窃取的风险.
12.
安全审计-查看在线用户:建议您不定期查看在线用户,识别是否有非法用户登录.
-查看设备日志:通过查看日志,可以获知尝试登录设备的IP信息,以及已登录用户的关键操作信息.
13.
网络日志由于设备存储容量限制,日志存储能力有限,如果您需要长期保存日志,建议您启用网络日志功能,确保关键日志同步至网络日志服务器,便于问题回溯.
14.
安全网络环境的搭建为了更好地保障设备的安全性,降低网络安全风险,建议您:-关闭路由器端口映射功能,避免外部网络直接访问路由器内网设备的服务.

-根据实际网络需要,对网络进行划区隔离:若两个子网间没有通信需求,建议使用VLAN、网闸等方式对其进行网络分割,达到网络隔离效果.
-建立802.
1x接入认证体系,以降低非法终端接入专网的风险.
348安全应急响应图8-1产品安全应急响应体系大华产品安全事件响应团队PSIRT,负责按照行业惯行方式对安全生态和产品漏洞进行管理.
7x24小时响应全球安全问题,及时为客户提供安全预警和加固服务.
确保通过正式渠道上报给大华的安全问题,能够在24小时最迟48小时得到响应.
大华PSIRT团队对于安全问题的管理采用安全预警SN(SecurityNotice)和安全公告SA(SecurityAdvisory)两种形式和客户沟通,确保在发现问题的不同阶段,我们用合适的方式将安全问题通报给客户.
大华PSIRT团队遵循ISO/IEC30111:2013漏洞处理流程和ISO/IEC29147:2018漏洞披露等标准建立产品安全漏洞以及安全公告、安全预警披露流程,鼓励发现潜在风险/漏洞的最终用户、合作伙伴、供应商、政府机构、行业组织和独立研究人员,主动将大华产品相关的安全漏洞上报给我们.
大华PSIRT团队积极参与业界与公众的活动,以积极开放的心态保持与政府CERT、客户CERT/PSIRT、其他供应商、研究人员和第三方协调机构的交流与沟通.
通过加入国际事件响应和安全组织论坛FIRST、国际CVE编号颁发机构CNAs、国家信息安全漏洞库CNNVD、国家信息安全共享平台CNVD、中国互联网网络安全威胁治理联盟等信息安全组织,充分发挥成员单位作用,实现网络安全威胁情报共享、相互协作的工作机制.
359安全承诺大华非常重视网络安全和隐私保护,为此持续投入专项资金,全面提升安全意识与能力,为产品提供充分的安全保障.
大华内部建立了专业的安全团队,为产品的设计、开发、测试、生产、销售与维护提供了全生命周期的安全赋能与管控.
大华产品在坚持数据最小化、服务最小化、严禁后门植入、去除非必要不安全服务(如Telnet等)的同时,不断引入创新的安全技术,努力提升与完善产品的安全保障能力,更好地满足用户不同场景的安全需求.