监测数据的安全与完整性：被篡改的数据比丢失更危险
IoT Monitoring Data Security and Integrity
监测数据被篡改比丢失更危险：超标数据被改小、报警数据被删除，直接导致错误决策。从传感器到平台的每一跳，都要回答"数据还是不是原来的数据"。
本文涉及的条目16 条 · 自动匹配自标签与标题
威胁模型：谁会对监测数据动手
- 外部入侵：攻击者进入平台/通信链路，篡改或删除数据；
- 内部利益相关：超标企业修改排放数据（环保数据造假是典型场景）；
- 设备被替换：物理访问替换传感器/采集器（节点伪造）；
- 传输错误：不是恶意，但校验缺失导致静默损坏。
监测数据的特殊风险：它影响执法、罚款、安全事故判定——数据完整性（integrity）比保密性（confidentiality）更重要。监控视频被人改掉、超标记录被人删掉，后果是灾难性的。
数据链路的五个环节
传感器 → 采集器 → 传输（4G/NB） → 平台 → 存储/分析
每个环节都要防篡改 + 可审计。
各环节的安全措施
1. 传感器/采集器端
- 防物理篡改：机箱防拆（铅封/防拆开关），现场记录照片；
- 固件签名：采集器只运行签名固件（防止被刷入恶意固件改数据）；
- 时钟可信：时间戳是审计基础——采集器时间被改，数据链条就断了（NTP/北斗授时 + 时间回退检测）。
2. 传输链路
- 加密：TLS/DTLS（HTTPS/MQTTS），物联网卡走 APN 专网更佳（物理隔离）；
- 完整性校验：每条报文带 CRC/校验和（防传输损坏）；
- 身份认证：设备证书/密钥（防节点冒充）——一卡一证，禁用默认口令。
3. 平台端
- 审计日志：谁在什么时间改了什么数据、谁导出了数据（不可抵赖）；
- 权限最小化：修改权只给运维角色，普通角色只读；敏感字段（超标记录）修改需双人审批；
- 数据指纹：入库时对每条记录计算哈希（HMAC），定期校验数据是否被改（防"改库"）；
- 异常检测：数据被修改的特征检测（修改时间集中、修改者异常、数值跳变）——平台应记录"原始值"与"修正值"两列。
数据完整性设计（落地清单）
- 每条记录带：设备 ID、采样时间、接收时间、质量标记、校验和；
- 入库双写：原始报文存一份（只追加不改写），解析后的值存另一份；
- 哈希链：每条记录的哈希包含前一条哈希（区块链式），修改任何一条都会破坏链条；
- 只追加存储：数据库用 append-only 或审计表，禁止覆盖历史；
- 审计日志：登录、查询、修改、导出全部留痕；
- 定期校验：每周对哈希链做完整性校验，发现断链立即告警。
环保监测数据的特殊要求
中国环保监测数据造假是明确的违法违规行为（篡改、伪造监测数据）：自动监测数据须留痕、设备参数修改须记录、运维操作须日志化。作为技术方，正确做法是"让数据改不了、改了会被发现"——哈希链 + 只追加存储 + 审计日志是三条底线。
结语
监测数据安全的优先级是：完整性 > 可用性 > 保密性。防篡改的手段（哈希链、只追加、审计、设备认证）都不是昂贵技术，而是设计习惯。数据丢了可以补测，数据被改而不知道，等于整个系统在撒谎——比丢失更危险。