01 · 可见性基础：协议指纹与互联网测绘
1.1 协议指纹
在加密普及的前提下，"看不见内容"不等于"看不见行为"。协议指纹通过报文结构、握手特征、字段取值等非内容层特征识别服务与设备类型：
| 指纹类别 | 特征源 | 用途 |
|---|---|---|
| MQTT指纹 | CONNECT报文（ClientID命名模式、KeepAlive值、User Flag/Password Flag、协议版本字节）、CONNACK响应特征 | 识别Broker类型与版本（Mosquitto/EMQX/HiveMQ）、发现影子设备接入 |
| CoAP指纹 | 首部选项编码顺序、Token长度、.well-known/core响应格式、DTLS握手套件偏好 | 识别LwM2M实现（如某厂商对象注册行为）、发现未加密CoAP端口 |
| TLS指纹（JA3/JA4） | ClientHello的密码套件、扩展、椭圆曲线列表的MD5/排序特征 | 区分设备SDK（不同固件TLS栈）、识别伪造客户端（如PC脚本冒充设备） |
| DHCP/LLMNR/mDNS | 主机名、厂商OUI、选项参数 | 内网IoT资产发现（与子课题01设备台账互证） |
1.2 互联网测绘（合规边界内）
对自有或获授权的网络，互联网测绘方法（Shodan/Censys类引擎检索或ZMap/Masscan自扫）可快速回答"我们暴露了什么"：检索协议指纹（如port:1883 mqtt、port:5683 coap）枚举暴露服务，比对资产台账发现影子Broker。本课题强调两条纪律：①仅对自身/授权目标扫描；②测绘结果中的他方暴露服务仅作趋势统计用途，不做连接尝试（订阅/发布即越界）。
02 · 蜜罐与威胁狩猎：IoT协议的诱捕体系
- 协议蜜罐类型：①Telnet/SSH蜜罐（抓Mirai类爆破口令，直接服务子课题06）；②MQTT蜜罐（伪Broker记录CONNECT尝试与Topic探测行为）；③CoAP/LwM2M蜜罐（记录资源枚举与Object访问序列）；④厂商云API蜜罐（伪设备注册端点捕获伪造注册流程）。
- 高交互与低交互权衡：高交互（真实服务）捕获质量高但维护成本与风险大；低交互（脚本模拟）部署广泛。生产推荐"低交互为主+高交互沙箱隔离"混合架构。
- 情报产出闭环：捕获的口令字典、Topic探测模式、源IP段→与运营商清洗中心、CNVD通报、本组织防火墙联动（自动化封锁+人工研判）；捕获样本（如有）送沙箱分析。
- 伦理与法律：蜜罐捕获数据含攻击者源信息，应最小化留存；蜜罐本身不得成为"反射跳板"（严格限速、禁转发UDP）。
03 · 加密流量下的异常检测
TLS加密后，检测重心从"内容"转向"元数据与行为"：
| 检测维度 | 特征示例 | 可发现异常 |
|---|---|---|
| 连接行为基线 | 每设备连接的目标地址集、时间分布、重连频率、会话时长 | 僵尸网络C2（固定低频心跳、DGA式域名）、凭据泄露后的异地接入 |
| 流量统计特征 | 字节分布熵、包长序列、上下行比例（JA3-style统计/时序特征） | 加密隧道内隐藏的非协议流量（隧道滥用） |
| Topic行为分析 | 订阅树结构变化、发布频率突增、通配符订阅事件 | 恶意订阅（内鬼或入侵者枚举消息）、DDoS式刷消息 |
| 失败模式分析 | CONNECT/SUBSCRIBE失败率、拒绝原因码分布（MQTT 5.0可观测） | 口令爆破尝试、策略探测（攻击者摸权限边界） |
| 证书与密钥异常 | 证书有效期突变、同证书多地域同时接入 | 凭据克隆（一型一密失守的直接信号） |
04 · 基线核查工具与检查清单
4.1 工具集（开源为主）
| 任务 | 工具/方法 | 要点 |
|---|---|---|
| 协议端口与服务枚举 | nmap（含MQTT NSE脚本、coap-resources脚本） | 仅授权范围；记录协议版本与Banner |
| TLS/DTLS配置审计 | sslscan、testssl.sh、openssl s_client | 对照第3页核查表（版本/套件/证书链） |
| MQTT授权测试 | mosquitto_sub/mosquitto_pub（订阅#、跨设备Topic发布测试）、mqtt-pwn类审计框架 | 在测试租户验证ACL收敛度；验证匿名拒绝 |
| API安全测试 | OWASP ZAP（主动/被动扫描）、手工IDOR测试（双账户对比法） | 对照OWASP API Top 10（2023） |
| 暴露面监测 | Shodan/Censys监控自身资产、Grafana+ELK自构建 | 自有资产指纹入库，新增暴露自动告警 |
| 影子/规则引擎审计 | 云平台原生审计（CloudTrail类）+策略扫描工具（PMapper类思路） | 重点查"*"通配与过宽角色 |
4.2 上线前基线核查清单（Top 10）
- Broker拒绝匿名CONNECT（测试账户空凭据连接应失败）；
- 1883端口不对公网开放（或纯内网）；
- 跨设备Topic订阅测试全部拒绝；
- TLS仅启用1.2/1.3，无弱套件（sslscan无RED项）；
- 设备证书唯一且吊销检查生效；
- 管理面独立网段+MFA，Dashboard默认口令已改；
- 影子desired写入权限仅限控制面服务账户；
- 规则引擎下游函数角色最小化（无平台级管理权限）；
- 审计日志覆盖身份/策略/影子/规则四类操作，留存≥180天；
- OTA Job需签名+灰度+回滚预案，触发账户最小化。
05 · 防护能力成熟度模型（五级）
| 等级 | 名称 | 特征 |
|---|---|---|
| L1 | 基础合规 | 完成基线核查清单；匿名/明文/通配符三类高危清零；日志留存达标 |
| L2 | 主动监测 | 部署失败模式告警与Topic行为基线；暴露面持续监测；凭据轮换自动化 |
| L3 | 威胁狩猎 | 蜜罐情报进入检测规则；JA3/行为基线模型化；每季度狩猎演练 |
| L4 | 协同防御 | 与运营商/监管/同行情报联动；演练覆盖平台权限失控场景（Verkada式） |
| L5 | 韧性运营 | 整型号凭据轮换剧本常态化；混沌工程验证检测有效性；度量指标驱动持续改进 |
度量建议：高危误配置清零率、凭据轮换平均时长、异常接入检测MTTD、影子写入审计覆盖率、蜜罐情报转化率——五项指标纳入季度安全度量，向L3+演进。
本节参考来源（第7页）
以下均为真实可查的权威来源（标准组织、监管机构、漏洞库、厂商安全公告与主流安全媒体报道），用于支撑本页事实性表述；涉统计数字均标注原始出处。
nmap NSE脚本库（mqtt-subscribe、coap-resources等）：nmap.org/nsedoc。
sslscan：github.com/rbsec/sslscan；testssl.sh：testssl.sh；OWASP ZAP：zaproxy.org。
JA3/JA4指纹方法（Salesforce与FoxIO公开方法）：github.com/salesforce/ja3、github.com/FoxIO-LLC/ja4。
Shodan：shodan.io；Censys：censys.com（使用须遵守服务条款与法律边界）。
OWASP API Security Top 10（2023）：owasp.org/API-Security/editions/2023/en/0x11-t10。
OWASP IoT Top 10（2018）：owasp.org/www-project-internet-of-things。
Eclipse Mosquitto工具包（mosquitto_sub/mosquitto_pub）：mosquitto.org/man。
MITRE ATT&CK（战术与技术对照）：attack.mitre.org。
终审增补 · 检测工具链与数据合规补充2026-09核验
G1. 协议层检测工具增补清单
| 工具 | 物联网协议支持 | 典型用途 |
|---|---|---|
| Zeek（原Bro） | 内置MQTT协议分析器，可输出CONNECT/SUBSCRIBE/PUBLISH等事件日志 | Broker侧旁路监测：匿名连接尝试、通配符订阅事件、失败模式分析（第3节五维模型落地） |
| nDPI | 支持MQTT、CoAP等IoT协议的应用识别 | 网关/边界流量中的IoT协议资产发现与占比统计 |
| Suricata | 经规则关键字支持MQTT等协议字段匹配 | 基于规则的异常Topic/客户端ID检测（蜜罐情报规则化载体） |
| Wireshark | 内置MQTT/CoAP解析器 | 现场取证与基线核查的人工验证工具 |
G2. 检测体系自身的数据合规边界
- 日志留存：《网络安全法》第21条要求网络日志留存不少于六个月——第4.2节核查清单中"≥180天"与该法定要求对齐，关基与等保三级场景按更严标准执行。
- 加密流量元数据：JA3类指纹与流量统计特征属于通信元数据，处理时应遵循最小化原则，避免与身份信息做超目的关联（衔接第8页个保法映射）。
- 蜜罐数据：捕获的攻击源IP与口令字典仅用于防御目的与威胁情报共享，不对来源做主动反向探测（呼应第2节伦理条款）。
增补来源
Zeek官方文档（含MQTT分析器说明）：docs.zeek.org；nDPI项目：github.com/ntop/nDPI。
Suricata官方文档：docs.suricata.io；Wireshark协议解析列表：wireshark.org/docs/dfref。
《中华人民共和国网络安全法》（2017年6月1日施行）第21条网络日志留存要求：gov.cn/xinwen/2016-11/07/content_5129723.htm。