本发明涉及物联网安全技术，具体涉及一种面向智能终端的物联网安全防御系统。
背景技术：
随着移动互联网技术迅猛发展，移动互联网终端特别是智能终端开始广泛地进入千家万户，智能电视、智能冰箱、智能空调、智能网关、智能家居、互联网汽车、机器人等渗透到人们生活的方方面面，安全问题也逐渐成为社会和设备厂商普遍关注的课题。
在当前的主流智能终端交互方案中，普遍采用基于云端服务的方式，实现人机远程控制与交互，因此，云端服务的安全性成为整个技术方案的木桶短板，一旦云端服务遭到攻击，轻则造成服务崩溃、数据泄露，重则机毁人亡，酿成重大安全事故。如何保护云服务的安全，成为整个智能终端解决方案的关键技术要点。本申请有必要提出一种面向智能终端的物联网安全防御系统。
技术实现要素：
本发明所要解决的技术问题是：提出一种面向智能终端的物联网安全防御系统，确保智能终端云服务运行可靠、安全可控。
本发明解决其技术问题所采用的技术方案是：
一种面向智能终端的物联网安全防御系统，包括部署于云服务前端的物联网安全网关，所述物联网安全网关包括云服务管理模块、接入终端管理模块、身份认证模块及安全策略库；
所述云服务管理模块提供对所有开放的云服务的注册和管理功能；
所述接入终端管理模块提供对接入终端的注册和管理功能；
所述身份认证模块用于在接收到终端访问云服务的请求后验证终端的合法性；
所述安全策略库提供相应的安全策略，用于在终端请求合法性验证通过后提供安全检测和网络流量分析功能。
作为进一步优化，所述安全策略库包括：IP黑名单模块、敏感词模块、攻击特征模块；
所述IP黑名单模块用于提供IP黑名单管理，被加入黑名单中的IP在向云服务发送请求时会被物联网安全网关自动过滤；
所述敏感词模块用于提供敏感词管理，安全网关在检测到请求中的敏感词时，自动过滤该请求并向终端反馈请求中含非法信息的提示信息；
所述攻击特征模块用于提供攻击特征管理，安全网关在检测请求数据时匹配攻击特征，若匹配成功则判定为攻击行为，则进行攻击预警并过滤该请求，同时将发送请求的对应IP加入IP黑名单中。
作为进一步优化，接入终端管理模块还用于在注册通过后，为该终端分配唯一的终端标识以及终端证书，同时，终端开发者可下载网关SDK以及开发者手册，开发者手册中详细说明服务代码、服务参数以及接入规范。
作为进一步优化，所述网关SDK用于供终端通过网关SDK的管道接口建立HTTP/HTTPS安全通道，之后终端通过服务代码访问云端服务。
作为进一步优化，所述身份认证模块用于在接收到终端访问云服务的请求后根据访问票据验证终端的合法性，所述访问票据包括终端标识及服务代码。
作为进一步优化，所述IP黑名单模块管理的IP黑名单包括：
用户手动设置的IP黑名单及安全网关检测到的单位时间内流量异常而自动添加的IP黑名单，其中对于安全网关自动加入的IP黑名单在锁定一定时间后自动解除黑名单限制。
本发明的有益效果是：本发明提出的物联网安全网关系统是一套完善的物联网安全防御方案，其通过身份认证、IP黑名单过滤、敏感词过滤以及攻击特征库过滤，可有效保护物联网云服务的安全，有效抵御网络渗透以及网络攻击行为，同时，通过高可用的安全部署实施，可真正确保物联网云服务运行可靠，安全可控。
附图说明
图1为本发明实施例中的物联网安全网关对流量处理的流程图。
具体实施方式
本发明旨在提出一种面向智能终端的物联网安全防御系统，确保智能终端云服务运行可靠、安全可控。本发明中的物联网安全防御系统的实现要点包括：
(1)将物联网安全网关部署在云服务前端，所有开放的云服务需要在安全网关中进行注册和管理。
(2)访问云服务的终端业务，需要在安全网关中进行注册和管理，同时，明确该终端业务能够访问的云服务权限范围以及终端证书。
(3)终端接入审批通过后，为该终端分配唯一的终端标识APPKey，以及终端证书，同时，终端开发者可下载网关SDK以及开发者手册，开发者手册中会详细说明服务代码、服务参数以及接入规范等。
(4)终端通过网关SDK的管道接口，建立HTTP/HTTPS安全通道，通过服务代码访问云端服务。
(5)安全网关接收到终端请求后，根据访问票据(含APPKey、服务代码ServiceCode)，验证终端访问的合法性，仅合法的请求才可以继续处理。
(6)合法性验证通过后，安全网关还还需要进行安全检测和网络流量分析，主要根据安全网关中该终端业务的安全策略，如IP黑名单、敏感词过滤、网络攻击特征匹配等进行安全检测和流量分析，以防止遭到入侵者攻击和网络渗透。
(7)当安全网关检测到攻击或渗透行为后，自动根据预置的防御策略进行流量清洗和安全预警。
在具体实现时，基于本发明中的物联网安全防御系统，其实现以下几个方面的功能：
一、统一的云服务管理：通过物联网安全网关，将云端服务进行统一集中管理，一方面有利于建立统一的云服务通信和管理规范，提供后续业务的延续性和科学性，另一方面，也有利于在云服务前端做负载均衡和高可用，以确保业务高效可靠地运行。
二、统一的终端业务接入管理：随着业务的不断拓展，终端业务的接入管控难度迅速增加，终端遭受攻击的风险也快速提高。因此，对每个接入的终端业务进行统一身份管理，可确保终端访问的合法性，也能对云服务形成有效防护。每个被授权接入的终端业务，都有唯一的终端标识APPKey，每一次对云服务的请求，都仅仅通过服务代码ServiceCode进行调用，可有效避免将核心的云服务信息直接暴露在网络前端，不论是终端APP脱壳、反编译、还是对网络通信数据截取分析，都可以有效对抗对云服务真实信息的收集和渗透分析行为，有效降低遭受黑客攻击的可能性。
三、安全管道通信支持：通过网关SDK，接入的智能终端可以和物联网安全网关之间，建立安全的HTTPS管道通信，既支持对服务器的单向身份认证，也支持终端和服务器的双向身份认证，同时实现数据加密传输，达到防泄露、防抵赖、防篡改的目的。
四、安全检测与流量清洗：通过物联网安全网关，可对访问数据进行安全检测。
在本发明中，实现安全检测时基于安全网关的安全策略库，主要的安全策略库包括以下几个模块：
(1)IP黑名单模块：既可手动设定黑名单IP，安全网关也会自动将单位时间内流量异常的IP添加到黑名单中，锁定一定时间后自动解除黑名单限制；被拉入黑名单的IP请求，安全网关自动过滤该无效流量，可有效防止DDos攻击，以保护云服务的有效性。
(2)敏感词模块：安全网关的敏感词库中预置了丰富的敏感词数据，同时运维人员也可以根据业务需要自定义特定的敏感词，一旦安全网关检测到请求中存在敏感词数据，将自动过滤该请求，并向终端反馈请求含非法信息的提示信息。
(3)攻击特征模块：网络攻击环中，第一步通常是采用多种检测工具收集目标信息，以发现目标可被利用的漏洞。因此，要防范网络攻击，首先应该做的就是通过渗透数据特征，识别渗透检测行为，防止云服务真实信息被泄露，其次，攻击数据往往带有典型的规律和特征，这些特征数据可以在物联网安全网关中进行定义和管理。一旦安全网关检测到请求数据匹配这些攻击特征，则可认定为攻击行为，除了实时发出攻击预警外，同时立即过滤该请求，并将该IP纳入黑名单管理，按照黑名单规则进行流量过滤。
图1示意了本发明中物联网安全网关对流量处理的流程：智能终端在向云服务发送请求时，物联网安全网关首先通过身份认证来验证请求的合法性，非法的请求被拦截下来，只有合法的请求才会进入后续处理；在后续处理中，物联网安全网关依次过滤黑名单流量、敏感词流量和攻击流量，最后的合法请求才会被送入云端服务器进行处理。