华为星河AI 园区全域安全技术白皮书

产生背景

• 数字化转型下的园区安全重构与挑战
  • 终端爆炸增长，内网攻击进入“规模化时代”。2025年，全球平均每天发生超过820,000次IoT相关攻击事件；全球IoT恶意软件攻击同比增长124%。
  • 无线全面普及，数据暴露在“看不见的空口”。全球已有30多个国家发布针对政府无线连接的法规与标准，明确要求加密强度、身份认证及审计能力。
  • 隐私合规和人力瓶颈，让园区出现“安全盲区”。GDPR等法规限制覆盖，产生安全盲区；人力负担过重，漏报率居高不下；盲区与人力不足共同迫使夜间依赖巡检，夜间成为入侵事件的高发窗口。
  • 隐藏摄像头泛滥，个人隐私及商业秘密威胁被窃取。全球隐藏摄像头市场规模已超过10亿美元，2025年隐私泄露事件同比增长35.2%。

全域安全园区简介

• 全域安全园区理念： 从数字世界延伸至物理世界，构建覆盖全场景的园区安全体系。
  • 数字侧： 以资产安全与连接安全为核心，实现资产自动聚类与可视化管理，有效防范私接、仿冒及内网横向攻击；依托密盾与全链路MACsec+PQC抗量子加密能力，构建端到端防护体系，确保数据“不可窃听、不可破解”。
  • 物理侧： 以空间安全与隐私安全为延伸，实现对人员存在的实时感知，覆盖传统监控盲区，并支持自动化巡检；结合毫米波雷达能力，实现人体体征与行为检测，提升空间安全保障能力；通过Wi-Fi对非法摄像头的智能检测，强化隐私保护。

关键技术

• 资产安全
  • 资产盘点：
    • 物联插卡的资产管理方案： 基于RFID技术，实现资产位置、状态监控及在线盘点，达成可视化管理。
    • 基于容器的资产管理方案： 采用搭载容器技术的AP，设备内置蓝牙芯片，可直接提供蓝牙感知能力，支持轻量化容器APP部署，简化部署，灵活扩展资产管理相关业务应用。
  • 资产识别： 通过扫描识别、指纹识别、AI聚类识别等方法，识别终端类型、厂商、型号等信息，实现终端数字化呈现、安全准入控制等。
  • 资产入网威胁检测：
    • 防仿冒： 学习终端访问网络的流量特征并形成流量行为模型，识别仿冒终端，自动下发隔离策略。
    • 防私接： 分析终端流行为构建流特征画像，基于流特征检测算法判断当前流量是否存在异常，决策是否存在私接行为，识别私接行为类型。
    • 防攻击： SmartAD将安全能力内生到接入交换机中，实现对哑终端的贴身防护，有效应对零日攻击和未知威胁。
• 连接安全
  • 无线链路防窃听： 华为空口密盾技术，通过信道探测流程得到合法用户信道位置信息，基于波束成形技术向合法用户位置外发送随机噪声干扰，使窃听方无法正确解调有效信号，确保无线安全。
  • 有线防破解： 华为提供园区内网全链路加密方案，终端对接接入LSW MACSec链路加密，AP上行对接LSW支持MACSec链路加密，园区内网LSW、园区间LSW端到端MACSec加密、核心交换机和出口AR之间MACSec链路加密，实现园区内网无线有线E2E的链路安全。
  • 面向未来的PQC抗量子技术： 针对量子计算机可能带来的安全破解风险，园区网络组网从管理面、控制面、数据面、系统面等多个维度考虑抗量子改造，主要考虑点包括：
    • 管理面： NETCONF/SSH、Telemetry/HTTP2 支持ML-KEM算法。
    • 控制面： TLS/DTLS、Radius 支持ML-KEM算法。
    • 数据面： IPSec、MACSec 支持ML-KEM算法。
    • 系统面： 安全启动支持XMSS算法。
• 空间安全
  • 感知人存：
    • CSI人存感知技术： 利用无线信号的传播特性，通过分析信道状态信息来获取环境中的物体运动、位置变化等信息，实现对人员存在的实时感知，可联动安防系统覆盖传统监控盲区，并支持自动化巡检。
    • 毫米波雷达检测技术： 通过非接触、非侵入、高精度方式，24 小时无感捕捉呼吸、心跳、体动、离床、跌倒等，实现异常实时预警、自动生成体征数据、减轻护士查房负担、提升救治响应效率。
  • 应用场景：
    • 防入侵： 对人员进出、开关门窗等典型入侵动作做出快速识别，并支持告警通知。
    • 医疗康养： 实现呼吸、睡眠、离床、坠床等监测，提升空间安全保障能力。
• 隐私安全： 华为灵眸AP的摄像头检测功能24小时自动检测环境中疑似摄像头设备，判断其存在的可能性，降低人工排查成本；华为灵眸手持款产品，可以扫描检测周边空间是否有疑似摄像头，并协助人工排查摄像头，从而保护用户隐私安全。

总结

• 未来展望： 园区安全将不再是“事后防护”的被动体系，而是向“实时感知、主动决策、自主进化”的智能安全体系演进。
  • 数字侧： 资产与连接安全将持续向智能化发展，实现内网威胁的自动识别与自愈处置。
  • 物理侧： 空间安全将从“感知存在”走向“理解行为”，实现对异常行为、突发事件的提前预警与联动响应。
  • 隐私安全： 将从单点检测走向持续守护，构建常态化、无感知的隐私保护机制。
  • AI能力： 园区安全将具备“自主学习”和“持续优化”的能力，实现策略自动生成与动态调整，真正形成覆盖全场景、全生命周期的安全闭环。
  • 未来园区： 将不再区分网络安全与物理安全，而是以全域安全为基础，构建一个可感知、可决策、可进化的智能安全空间，为业务连续性与人员安全提供坚实保障。