網(wǎng)絡(luò)空間安全學(xué)科專業(yè)研究型教學(xué)框架及基礎(chǔ)認(rèn)知

潘麗敏 羅森林 張 笈 王 越

(北京理工大學(xué)信息系統(tǒng)及安全對(duì)抗實(shí)驗(yàn)中心 北京 100081) (panlimin@bit.edu.cn)

信息系統(tǒng)、信息科技是人類社會(huì)發(fā)展的永恒主題之一，越發(fā)展到高級(jí)階段人們對(duì)其依賴性就越強(qiáng).信息安全問題已影響到國(guó)家社會(huì)政治的穩(wěn)定、經(jīng)濟(jì)的發(fā)展、文化的繁榮、國(guó)防的建設(shè)(如美軍準(zhǔn)備“賽博空間作戰(zhàn)”便是一例，并已明確提出建立“網(wǎng)絡(luò)安全部隊(duì)”和在中小學(xué)生中培養(yǎng)“網(wǎng)絡(luò)戰(zhàn)士”)，是信息科技融入社會(huì)可持續(xù)發(fā)展中一個(gè)不可忽視的重要問題.從戰(zhàn)略上我國(guó)于2014年成立了“信息安全委員會(huì)”、“網(wǎng)絡(luò)安全和信息化領(lǐng)導(dǎo)小組”(習(xí)近平任小組組長(zhǎng)，他在講話中談到“沒有網(wǎng)絡(luò)安全就沒有國(guó)家安全！”)，2015年國(guó)家建立“網(wǎng)絡(luò)空間安全”一級(jí)學(xué)科，2016年批準(zhǔn)建立網(wǎng)絡(luò)空間安全博士點(diǎn)，2015年發(fā)布新版國(guó)家安全法[1]，2016年發(fā)布網(wǎng)絡(luò)安全法[2]等，足以說(shuō)明現(xiàn)在國(guó)家對(duì)信息安全非常重視[3].

網(wǎng)絡(luò)空間安全學(xué)科專業(yè)的建設(shè)與發(fā)展，需要從系統(tǒng)層建立其人才培養(yǎng)體系和教學(xué)內(nèi)容，重點(diǎn)培養(yǎng)學(xué)生的科學(xué)思維，樹立運(yùn)動(dòng)發(fā)展觀以及獲得、掌握知識(shí)與解決問題的能力.同時(shí)，在教學(xué)內(nèi)容方面應(yīng)能及時(shí)把教研成果或?qū)W科最新發(fā)展成果引入教學(xué)，即具有基礎(chǔ)性內(nèi)容也有前沿性內(nèi)容，即有經(jīng)典內(nèi)容也有現(xiàn)代內(nèi)容，同時(shí)整合好所有專業(yè)課程內(nèi)容之間的關(guān)系.在教學(xué)方法和手段方面應(yīng)能夠理論聯(lián)系實(shí)際，融知識(shí)傳授、能力培養(yǎng)、素質(zhì)教育于一體，課內(nèi)、課外活動(dòng)相結(jié)合，能夠有效地調(diào)動(dòng)學(xué)生的學(xué)習(xí)積極性，促進(jìn)學(xué)生的積極思考，激發(fā)學(xué)生的潛能.同時(shí)，注重對(duì)學(xué)生知識(shí)運(yùn)用能力的考察.

信息安全對(duì)抗領(lǐng)域涉及的內(nèi)容廣泛，無(wú)法由各種現(xiàn)有技術(shù)方法入手分門別類分析具體技術(shù)原理、性能和優(yōu)缺點(diǎn)等，這樣也會(huì)使得課程內(nèi)容繁雜，不易理出脈絡(luò)；另一方面也容易發(fā)生“只見樹木不見森林”的現(xiàn)象而疏漏了重要的系統(tǒng)概念和規(guī)律.本文基于信息安全與對(duì)抗的基本規(guī)律特點(diǎn)，建立了網(wǎng)絡(luò)空間安全學(xué)科專業(yè)研究型教學(xué)框架，同時(shí)討論了系統(tǒng)層次、基礎(chǔ)層次原理以及系統(tǒng)層次的對(duì)抗方法，構(gòu)建并分析了共道-逆道博弈模型[4].

1 研究型教學(xué)框架

信息安全與對(duì)抗技術(shù)涉及面廣，該領(lǐng)域?qū)W生的培養(yǎng)若按慣例做法，即由各種現(xiàn)有技術(shù)方法入手分門別類分析具體技術(shù)原理、性能和優(yōu)缺點(diǎn)等，由此引導(dǎo)學(xué)生悟出深層次的“道”以達(dá)到培養(yǎng)能力和掌握基本概念、規(guī)律，提高解決問題能力的目的.

信息安全與對(duì)抗實(shí)質(zhì)上是系統(tǒng)性問題，遵守“全量大于諸分量之和”定理分別研究分項(xiàng)技術(shù)，然后簡(jiǎn)單求和，這并不能代表整體，也很難“整合”成整體.經(jīng)過(guò)反復(fù)教學(xué)研究和實(shí)踐，形成3點(diǎn)主要思想[4]：1)概念和原理應(yīng)采用由頂層至下層展開，然后用例子進(jìn)行反饋；2)內(nèi)容由普適性向?qū)傩哉归_，以做到普適與專屬相結(jié)合；3)作為信息領(lǐng)域理工科學(xué)生的信息安全與對(duì)抗專業(yè)基礎(chǔ)課教材，要突出信息安全與對(duì)抗領(lǐng)域的基本概念、原理和方法，鼓勵(lì)學(xué)生深入思考，靈活應(yīng)用；貫徹矛盾對(duì)立統(tǒng)一運(yùn)動(dòng)發(fā)展演化的原理，并將其融入到教材具體問題中進(jìn)行分析、綜合，逐步建立信息安全與對(duì)抗領(lǐng)域普遍性的原理和方法.

主要內(nèi)容上著重系統(tǒng)功能、結(jié)構(gòu)、環(huán)境間多層次、多剖面的關(guān)系所蘊(yùn)涵的本質(zhì)矛盾，及其在現(xiàn)實(shí)條件約束下形成對(duì)立統(tǒng)一動(dòng)態(tài)演化的“正”“反”問題.研究“正”“反”問題是其中重要內(nèi)容之一，安全與攻擊的對(duì)抗問題就是一類正反斗爭(zhēng).矛盾是永遠(yuǎn)存在的，它是在一定現(xiàn)實(shí)條件約束下以對(duì)立面不斷轉(zhuǎn)化主要位置的演化過(guò)程而“存在”的，在此基礎(chǔ)上研究“正”“反”問題的結(jié)果都是動(dòng)態(tài)相對(duì)的，也包括一切技術(shù)和理論的新突破所帶來(lái)的優(yōu)勢(shì).由于在發(fā)展進(jìn)程中是有時(shí)間性及相對(duì)性的，因此不斷發(fā)展才是硬道理.

圖1所示為網(wǎng)絡(luò)空間安全理論教學(xué)內(nèi)容框架，縱向分為3個(gè)層次，即理論、技術(shù)與實(shí)踐，并由前沿技術(shù)和科研工作支撐.同時(shí)，輔以內(nèi)容緊密相關(guān)和支持類的課程內(nèi)容，例如信息網(wǎng)絡(luò)、計(jì)算原理與技術(shù)、數(shù)字通信等課程[4-8].

圖1 網(wǎng)絡(luò)空間安全理論教學(xué)內(nèi)容框架

圖2所示為信息系統(tǒng)與安全對(duì)抗理論課程的主要內(nèi)容框架[4,6]：

圖2 信息系統(tǒng)與安全對(duì)抗理論課內(nèi)容框架

2 基礎(chǔ)層和系統(tǒng)層原理

2.1 基礎(chǔ)層面原理[1]

1) 信息系統(tǒng)特殊性保持利用與攻擊對(duì)抗原理

在各種信息系統(tǒng)中，其工作規(guī)律、原理可以概括地理解為在普遍性(相對(duì)性)基礎(chǔ)上對(duì)某些“特殊性”的維持和轉(zhuǎn)換，如信息的存儲(chǔ)和交換、傳遞、處理等.“安全”可理解為“特殊性”的有序保持和運(yùn)行，各種“攻擊”可理解為對(duì)原有的序和“特殊性”進(jìn)行有目的的破壞、改變以至滲入，實(shí)現(xiàn)攻擊目的的“特殊性”.在抽象概括層次方面，信息安全與對(duì)抗的斗爭(zhēng)是圍繞特殊性而展開的，信息安全主要是特殊性的保持和利用.

2) 信息安全與對(duì)抗信息存在相對(duì)真實(shí)性原理

伴隨著運(yùn)動(dòng)狀態(tài)的存在必定存在相應(yīng)的“信息”.同時(shí)，由于環(huán)境的復(fù)雜性，具體的“信息”可有多種形式表征運(yùn)動(dòng)，且具有相對(duì)的真實(shí)性.信息作為運(yùn)動(dòng)狀態(tài)的表征是客觀存在的，但信息不可能被絕對(duì)隱藏、仿制和偽造，這是運(yùn)動(dòng)的客觀存在及運(yùn)動(dòng)不滅的本質(zhì)所形成的，信息存在具有相對(duì)性.

3) 廣義時(shí)空維信息交織表征及測(cè)度有限原理

各種具體信息存在于時(shí)間與廣義空間中，即信息是以某種形式與時(shí)間、廣義空間形成的某些“關(guān)系”來(lái)表征其存在的.信息的具體形式在廣義空間所占大小以及時(shí)間維中所占長(zhǎng)度都是有限的.在信息安全領(lǐng)域，可將信息在時(shí)間、空間域內(nèi)進(jìn)行變換和(或)處理以滿足信息對(duì)抗的需要.例如，信息隱藏中常用的低截獲概率信號(hào)，便是利用信息、信號(hào)在廣義空間和時(shí)間維的小體積難以被對(duì)方發(fā)現(xiàn)截獲的原理.

4) 在共道基礎(chǔ)上反其道而行之相反相成原理

該原理是矛盾對(duì)立統(tǒng)一律在信息安全領(lǐng)域的一個(gè)重要轉(zhuǎn)化和體現(xiàn).“共其道”是基礎(chǔ)和前提，也是對(duì)抗規(guī)律的一部分，在信息安全對(duì)抗領(lǐng)域以“反其道而行之”為核心的“逆道”階段是對(duì)抗的主要階段，是用反對(duì)方的“道”以達(dá)到己方對(duì)抗目的的機(jī)理、措施、方法的總結(jié).運(yùn)用該原理研究信息安全對(duì)抗問題，可轉(zhuǎn)化為運(yùn)用此規(guī)律研究一組關(guān)系集合中復(fù)雜的動(dòng)態(tài)關(guān)系的相互作用.相反相成原理表現(xiàn)在對(duì)立面互相向?qū)Ψ睫D(zhuǎn)換，借對(duì)方的力幫助自己進(jìn)行對(duì)抗等，都是事物矛盾時(shí)空運(yùn)動(dòng)復(fù)雜性多層次間“正”“反”并存的斗爭(zhēng)，在矛盾對(duì)立統(tǒng)一律支配下產(chǎn)生辯證的矛盾斗爭(zhēng)運(yùn)動(dòng)過(guò)程.

5) 在共道基礎(chǔ)上共其道而行之相成相反原理

信息安全對(duì)抗雙方可看作互為“正”“反”，在形式上以對(duì)方共道同向?yàn)橹?，?shí)質(zhì)上達(dá)到反向?qū)?逆道)效果的原理，稱為共其道而行的相成相反原理.“將欲弱之，必固強(qiáng)之，將欲廢之，必固舉之，將欲取之，必固予之”，在信息安全對(duì)抗領(lǐng)域該原理中的“成”和“反”常具有靈活多樣的內(nèi)涵.例如，攻擊方經(jīng)常組織多層次攻擊，其中佯攻往往吸引對(duì)方的注意力，以掩蓋主攻易于成功，而反攻擊方識(shí)破佯攻計(jì)謀時(shí)往往也佯攻以吸引對(duì)方主攻早日出現(xiàn)，然后痛擊之.

6) 爭(zhēng)奪制對(duì)抗信息權(quán)，快速建立對(duì)策響應(yīng)原理

根據(jù)信息的定義和信息存在相對(duì)性原理，雙方在對(duì)抗過(guò)程所采取的任何行動(dòng)必定伴隨產(chǎn)生“信息”，這種“信息”稱為“對(duì)抗信息”.它對(duì)雙方都很重要，只有通過(guò)它才能判斷對(duì)方攻擊行動(dòng)的“道”，進(jìn)而為反對(duì)抗進(jìn)行“反其道而行之”提供基礎(chǔ)，否則無(wú)法“反其道而行之”，更不要說(shuō)“相反相成”了.圍繞“對(duì)抗信息”所展開的雙方斗爭(zhēng)是復(fù)雜的空、時(shí)域的斗爭(zhēng)，除圍繞“對(duì)抗信息”隱藏與反隱藏體現(xiàn)在空間的對(duì)立斗爭(zhēng)外，在時(shí)間域中也存在著“搶先”“盡早”意義上的斗爭(zhēng)，同樣具有重要性.時(shí)空交織雙方形成了復(fù)雜的“對(duì)抗信息”斗爭(zhēng)，成為信息安全對(duì)抗雙方斗爭(zhēng)過(guò)程第一回合的前沿焦點(diǎn)，并對(duì)其勝負(fù)起重要作用.

2.2 系統(tǒng)層面原理[1]

1) 主動(dòng)、被動(dòng)地位及其局部爭(zhēng)取主動(dòng)力爭(zhēng)過(guò)程制勝原理

該原理說(shuō)明，發(fā)動(dòng)攻擊方全局占主動(dòng)地位，理論上它可以在任何時(shí)間、以任何攻擊方法、對(duì)任何信息系統(tǒng)及任何部位進(jìn)行攻擊，攻擊準(zhǔn)備工作可以隱藏進(jìn)行.被攻擊方在這個(gè)意義上處于被動(dòng)狀態(tài)，這是不可變更的，被攻擊方所能做的是在全局被動(dòng)下爭(zhēng)取局部主動(dòng).爭(zhēng)取局部主動(dòng)的主要措施如下：盡可能隱藏重要信息；事前不斷分析己方信息系統(tǒng)在對(duì)抗環(huán)境下可能遭受攻擊的漏洞，事先預(yù)定可能遭攻擊的系統(tǒng)性補(bǔ)救方案；動(dòng)態(tài)監(jiān)控系統(tǒng)運(yùn)行，快速捕捉攻擊信息并進(jìn)行分析，科學(xué)決策并快速采取抗攻擊有效措施；在對(duì)抗信息斗爭(zhēng)中綜合運(yùn)籌爭(zhēng)取主動(dòng)權(quán)；利用假信息設(shè)置陷阱誘使攻擊方發(fā)動(dòng)攻擊而加以滅殺等.

2) 信息安全問題置于信息系統(tǒng)功能頂層綜合運(yùn)籌原理

信息安全問題是嵌入到信息系統(tǒng)功能中的一項(xiàng)非常重要的功能，但畢竟不是全部功能而是只起保證服務(wù)作用.因此，對(duì)待安全功能應(yīng)根據(jù)具體情況，科學(xué)處理、綜合運(yùn)籌，并置于恰當(dāng)?shù)摹岸取狈秶鷥?nèi).但需著重說(shuō)明的是，針對(duì)安全功能要求高的系統(tǒng)，必然要考慮并在系統(tǒng)設(shè)計(jì)之初就應(yīng)考慮信息安全問題.

3) 技術(shù)核心措施轉(zhuǎn)移構(gòu)成串行鏈結(jié)構(gòu)，形成脆弱性原理

任何技術(shù)的實(shí)施都是相對(duì)有條件的發(fā)揮作用，必依賴于其充要條件的建立，而“條件”再作為一個(gè)事物又不可缺少地依賴其所需條件的建立(條件的條件)，每一種安全措施由達(dá)目的的直接措施出發(fā)逐步落實(shí)效果過(guò)程中，必然遵照從技術(shù)核心環(huán)節(jié)逐次轉(zhuǎn)移直至普通技術(shù)為止這一規(guī)律，從而形成串行結(jié)構(gòu)鏈規(guī)律.

4) 基于對(duì)稱變換與不對(duì)稱性變換的信息對(duì)抗應(yīng)用原理

“變換”可以指相互作用的變換，可以認(rèn)為是事物屬性的“表征”由一種方式向另一種轉(zhuǎn)變，也可認(rèn)為是關(guān)系間的變換，即變換關(guān)系.在數(shù)學(xué)上可將變換看成一種映射，在思維方法中將進(jìn)行變換看成一種“化歸”.這種原理也可用于信息安全對(duì)抗領(lǐng)域，即利用對(duì)稱變換保持自己的功能，同時(shí)利用對(duì)方不具備對(duì)稱變換條件以削弱對(duì)方達(dá)到對(duì)抗制勝的目的.

5) 多層次和多剖面動(dòng)態(tài)組合條件下間接對(duì)抗等價(jià)原理

設(shè)系統(tǒng)構(gòu)成可劃分L0,L1,L2,…,Ln的層次結(jié)構(gòu)，且L0?L1?L2?…?Ln,如在Li層子系統(tǒng)受到信息攻擊，采取某措施時(shí)可允許在Li層性能有所下降，但支持在Li+j層采取有效措施，使得在高層次的對(duì)抗獲勝，從而在更大范圍獲勝.因此，對(duì)抗一方繞開某層次的直接對(duì)抗，而選擇更高、更核心層進(jìn)行更有效的間接式對(duì)抗稱為間接對(duì)抗等價(jià)原理.

3 系統(tǒng)層和技術(shù)層方法

3.1 系統(tǒng)層次方法

在信息安全對(duì)抗問題的運(yùn)行斗爭(zhēng)中，基礎(chǔ)層次和系統(tǒng)層次原理在應(yīng)用中，你中有我，我中有你，往往交織地、相輔相成地起作用，而不是單條孤立地起作用，重要的是利用這些原理觀察、分析掌握問題的本征性質(zhì)，進(jìn)而解決問題.人們稱實(shí)現(xiàn)某種目的所遵循的重要路徑和各種辦法為“方法”，“方法”的產(chǎn)生是按照事物機(jī)理、規(guī)律找出具體的一些實(shí)現(xiàn)路徑和辦法，因此對(duì)應(yīng)產(chǎn)生辦法的“原理”集，它是“方法”的基礎(chǔ)，在信息安全與對(duì)抗領(lǐng)域，重要的問題是按照實(shí)際情況運(yùn)用基礎(chǔ)層和系統(tǒng)層原理，靈活地創(chuàng)造解決問題的各種方法.

1) “反其道而行之相反相成”方法.該方法具有指導(dǎo)思維方式和起核心機(jī)理的作用，“相反相成”部分往往巧妙地利用各種因素，包括對(duì)方“力量”形成有效的對(duì)抗方法.

2) “反其道而行之相反相成”方法與“信息存在相對(duì)性原理”、“廣義空間維及時(shí)間維信息的有限尺度表征原理”相結(jié)合，可以形成在信息進(jìn)行攻擊或反攻擊的方法.

3) “反其道而行之相反相成”方法與“爭(zhēng)奪制對(duì)抗信息權(quán)及快速建立系統(tǒng)對(duì)策響應(yīng)原理”相結(jié)合，為對(duì)抗雙方提供的一類對(duì)抗技術(shù)方案性方法.

4) “反其道而行之相反相成”原理、“爭(zhēng)奪制對(duì)抗信息權(quán)及快速建立系統(tǒng)對(duì)策響應(yīng)原理”、“技術(shù)核心措施轉(zhuǎn)移構(gòu)成串行鏈結(jié)構(gòu)而形成脆弱性原理”，3個(gè)原理相結(jié)合形成一類對(duì)抗技術(shù)性方法.

5) “反其道而行之相反相成”方法及“變換、對(duì)稱與不對(duì)稱變換應(yīng)用原理”相結(jié)合，指導(dǎo)形成或直接形成的一類對(duì)抗技術(shù)方案性方法.

6) “共其道而行之相成相反”方法.“相成相反”展開為：某方在某層次某過(guò)程對(duì)于某事相成；某方在某層次某過(guò)程對(duì)于某事相反.前后2個(gè)“某方”不一定為同一方.在實(shí)際對(duì)抗過(guò)程中，對(duì)抗雙方都會(huì)應(yīng)用“共其道而行之相成相反”方法.

7) 針對(duì)復(fù)合式攻擊的各個(gè)擊破對(duì)抗方法.復(fù)合攻擊是指攻擊方組織多層次、多剖面時(shí)間、空間攻擊的一種攻擊模式，其特點(diǎn)是除在每一層次、剖面的攻擊奏效都產(chǎn)生信息系統(tǒng)安全問題外，實(shí)施中還體現(xiàn)在對(duì)對(duì)方所采取對(duì)抗措施再形成新的附加攻擊，這是一種自動(dòng)形成連環(huán)攻擊的嚴(yán)重攻擊.對(duì)抗復(fù)合攻擊可利用對(duì)方攻擊次序差異(時(shí)間、空間)各個(gè)擊破，或使對(duì)抗攻擊措施中不提供形成附加攻擊的因素等.

3.2 攻防過(guò)程分析[2]

1) 網(wǎng)絡(luò)攻擊行為過(guò)程分析

圖3所示為一般攻擊行為過(guò)程示意圖，一個(gè)攻擊行為的發(fā)生一般有3個(gè)階段，即攻擊準(zhǔn)備、攻擊實(shí)施和攻擊后處理.當(dāng)然，這種攻擊行為有可能對(duì)攻擊目標(biāo)未造成任何損傷或者攻擊未成功.

圖3 攻擊行為過(guò)程示意圖

① 攻擊準(zhǔn)備.攻擊的準(zhǔn)備階段可分為確定攻擊目標(biāo)和信息收集2個(gè)子過(guò)程.攻擊前首先確定攻擊目標(biāo)，而后確定要達(dá)到什么樣的攻擊目的，即給對(duì)方造成什么樣的后果，常見的攻擊目的有破壞型和入侵型2種.破壞型攻擊指的破壞目標(biāo)，使其不能正常工作，而不是控制目標(biāo)系統(tǒng)的運(yùn)行.另一類是入侵型攻擊，這種攻擊是要獲得一定的權(quán)限達(dá)到控制攻擊目標(biāo)或竊取信息的目的.入侵型攻擊較為普遍，威脅性大，因?yàn)橐坏┇@得攻擊目標(biāo)的管理員權(quán)限就可以對(duì)此服務(wù)器做任意動(dòng)作，包括破壞性質(zhì)的攻擊.此類攻擊一般利用服務(wù)器操作系統(tǒng)、應(yīng)用軟件或者網(wǎng)絡(luò)協(xié)議等系統(tǒng)中存在的漏洞進(jìn)行.在確定攻擊目標(biāo)之后，最重要的是收集盡可能多的關(guān)于攻擊目標(biāo)的信息，以便實(shí)施攻擊，這些信息主要包括：目標(biāo)的操作系統(tǒng)類型及版本，目標(biāo)提供的服務(wù)類型，各服務(wù)器程序的類型、版本及相關(guān)的各種信息等.

② 攻擊實(shí)施.當(dāng)收集到足夠的信息后，攻擊者就可以實(shí)施攻擊了，對(duì)于破壞型攻擊只需利用必要的工具發(fā)動(dòng)攻擊即可.但作為入侵型攻擊，往往要利用收集到的信息找到系統(tǒng)漏洞，然后利用該漏洞獲得一定的權(quán)限，有時(shí)獲得一般用戶的權(quán)限就足以達(dá)到攻擊的目的，但一般攻擊者都想盡辦法獲得系統(tǒng)最高權(quán)限，這不僅為了達(dá)到入侵的目的，在某種程度上也是為了顯示攻擊者的實(shí)力.系統(tǒng)漏洞一般分為遠(yuǎn)程和本地漏洞2種，遠(yuǎn)程漏洞是指可以在別的機(jī)器上直接利用該漏洞進(jìn)行攻擊并獲得一定的權(quán)限，這種漏洞的威脅性相當(dāng)大，攻擊行為一般是從遠(yuǎn)程漏洞開始，但是利用遠(yuǎn)程漏洞不一定獲得最高權(quán)限，往往獲得一般用戶的權(quán)限，只有獲得了較高的權(quán)限(如管理員的權(quán)限)才可以進(jìn)行入侵行為(如放置木馬程序).

③ 攻擊后處理.如果攻擊者完成攻擊后，立刻離開系統(tǒng)而不做任何后續(xù)工作，那么他的行蹤將很快被系統(tǒng)管理員發(fā)現(xiàn)，因?yàn)樗械木W(wǎng)絡(luò)操作系統(tǒng)都提供日志記錄功能，會(huì)把系統(tǒng)上發(fā)生的事件記錄下來(lái)，所以攻擊者發(fā)動(dòng)完攻擊后一般要做一些后續(xù)工作.對(duì)于破壞型攻擊，攻擊者隱匿蹤跡是為了不被發(fā)現(xiàn)，而且還有可能再次收集信息以此來(lái)評(píng)估攻擊后的效果.對(duì)于入侵型攻擊最重要的是隱匿蹤跡，攻擊者可以利用系統(tǒng)最高管理員身份隨意修改系統(tǒng)上文件的權(quán)利.隱匿蹤跡最簡(jiǎn)單的方法是刪除日志，但這樣做雖然避免了系統(tǒng)管理員根據(jù)日志的追蹤，但也明確地告訴管理員系統(tǒng)已經(jīng)被入侵，所以一般采用的方法是修改日志中與攻擊行為相關(guān)的那一部分日志，而不是刪除日志.但只修改日志仍不夠，有時(shí)還會(huì)留下蛛絲馬跡，所以高級(jí)攻擊者可以通過(guò)替換一些系統(tǒng)程序的方法進(jìn)一步隱藏蹤跡.此外，攻擊者在入侵系統(tǒng)后還有可能再次入侵該系統(tǒng)，所以為了下次進(jìn)入的方便，攻擊者往往給自己留下后門，如給自己添加一個(gè)賬號(hào)、增加一個(gè)網(wǎng)絡(luò)監(jiān)聽的端口、放置木馬等.還有一種方法，即通過(guò)修改系統(tǒng)內(nèi)核的方法可以使管理員無(wú)法發(fā)現(xiàn)攻擊行為的發(fā)生，但這種方法需要較強(qiáng)的編程技巧，一般的攻擊者較難完成.

2) 信息安全防御行為和對(duì)抗過(guò)程分析

一般情況下被攻擊方幾乎始終處于被動(dòng)局面，他不知道攻擊行為在什么時(shí)候、以什么方式、以什么樣的強(qiáng)度來(lái)攻擊，故而被攻擊方只有沉著應(yīng)戰(zhàn)才有可能獲取最佳效果，把損失降到最低.單就防御來(lái)講，相應(yīng)于攻擊行為過(guò)程，防御過(guò)程也可分為3個(gè)階段，如圖4所示，即確認(rèn)攻擊、對(duì)抗攻擊、補(bǔ)救和預(yù)防.防御方首先要盡可能早地發(fā)現(xiàn)并確定攻擊行為、攻擊者，所以平時(shí)信息系統(tǒng)要一直保持警惕，收集各種有關(guān)攻擊行為的信息，不間斷地進(jìn)行分析、判定.系統(tǒng)一旦確定攻擊行為的發(fā)生，無(wú)論是否具有嚴(yán)重的破壞性，防御方都要立即、果斷地采取行動(dòng)阻斷攻擊，有可能的情況下以主動(dòng)出擊的方式進(jìn)行反擊(如對(duì)攻擊者進(jìn)行定位跟蹤).此外，盡快修復(fù)攻擊行為所產(chǎn)生的破壞性，修補(bǔ)漏洞和缺陷來(lái)加強(qiáng)相關(guān)方面的預(yù)防，對(duì)于造成嚴(yán)重后果的還要充分運(yùn)用法律武器.

圖4 防御行為過(guò)程示意圖

① 確認(rèn)攻擊.攻擊行為一般會(huì)產(chǎn)生某些跡象或者留下蹤跡，所以可根據(jù)系統(tǒng)的異?，F(xiàn)象發(fā)現(xiàn)攻擊行為：如異常的訪問日志、網(wǎng)絡(luò)流量突然增大、非授權(quán)訪問(如非法訪問系統(tǒng)配置文件)、正常服務(wù)的中止、出現(xiàn)可疑的進(jìn)程或非法服務(wù)、系統(tǒng)文件或用戶數(shù)據(jù)被更改、出現(xiàn)可疑的數(shù)據(jù)等.發(fā)現(xiàn)異常行為后要進(jìn)一步根據(jù)攻擊的行為特征，分析、核實(shí)入侵者入侵的步驟，分析入侵的具體手段和入侵目的.一旦確認(rèn)出現(xiàn)攻擊行為，即可進(jìn)行有效的反擊和補(bǔ)救.總之，確認(rèn)攻擊是防御、對(duì)抗的首要環(huán)節(jié).

② 對(duì)抗攻擊.一旦發(fā)現(xiàn)攻擊行為就要立即采取措施以免造成更大的損失，同時(shí)在有可能的情況下給以迎頭痛擊，追蹤入侵者并繩之以法.具體地可根據(jù)獲知的攻擊行為手段或方式采取相應(yīng)的措施，比如，針對(duì)于后門攻擊及時(shí)堵住后門、針對(duì)病毒攻擊利用殺毒軟件或暫時(shí)關(guān)閉系統(tǒng)以免擴(kuò)大受害面積等.還可采取反守為攻的方法追查攻擊者，復(fù)制入侵行為的所有影像作為法律追查分析、證明的材料，必要時(shí)直接通過(guò)法律武器解決或報(bào)案.

③ 補(bǔ)救和預(yù)防.一次攻擊和對(duì)抗過(guò)程結(jié)束后，防御方應(yīng)吸取教訓(xùn)，及時(shí)分析和總結(jié)問題所在，對(duì)于未造成損失的攻擊要修補(bǔ)漏洞或系統(tǒng)缺陷；對(duì)于已造成損失的攻擊行為，被攻擊方應(yīng)盡快修復(fù)，盡早使系統(tǒng)工作正常，同時(shí)修補(bǔ)漏洞和缺陷，需要時(shí)運(yùn)用法律武器追究攻擊方的責(zé)任.總之，無(wú)論是否造成損失，防御方均要盡可能地找出原因，并適時(shí)進(jìn)行系統(tǒng)修補(bǔ)(亡羊補(bǔ)牢)，而且要進(jìn)一步采取措施加強(qiáng)預(yù)防.

4 博弈模型及應(yīng)用分析

4.1 對(duì)抗博弈模型[1]

將待研究問題高度抽象概括構(gòu)成以數(shù)學(xué)概念、理論、方法等為基礎(chǔ)的一組數(shù)學(xué)關(guān)系(或稱數(shù)學(xué)結(jié)構(gòu))用以同態(tài)表征運(yùn)動(dòng)規(guī)律，稱為數(shù)學(xué)模型.建立模型解決問題是人們利用人腦對(duì)欲解決問題進(jìn)行抽象，是最常用一種化歸方法.建立模型的同時(shí)也是一種映射關(guān)系的建立，即由運(yùn)動(dòng)著的事物通過(guò)掌握信息及其本質(zhì)特征建立一種本質(zhì)關(guān)系的映射.根據(jù)具體情況，簡(jiǎn)單的事物可對(duì)其本質(zhì)關(guān)系建立一種簡(jiǎn)單模型；復(fù)雜事物有著多層次、多剖面的動(dòng)態(tài)關(guān)系，其模型可能有多層次、多剖面的隸屬關(guān)系，可以根據(jù)不同的前提條件和用于不同目的建立多種不同的模型.

信息安全與對(duì)抗問題本身是一個(gè)極為復(fù)雜的問題，如果能對(duì)這樣一個(gè)復(fù)雜問題經(jīng)過(guò)對(duì)問題原型的簡(jiǎn)化、濃縮抽象后得出一種模型，將會(huì)對(duì)信息安全與對(duì)抗的研究起到積極指導(dǎo)作用，這也是信息安全與對(duì)抗系統(tǒng)層次上的分析和研究.如圖5所示，是通過(guò)分析信息攻擊與防御過(guò)程，從系統(tǒng)的角度建立的一種信息安全與對(duì)抗過(guò)程的“共道-逆道” 博弈抽象模型[6-8]：

圖5 信息安全與對(duì)抗體系“共道-逆道”博弈模型

首先攻擊與對(duì)抗是一個(gè)過(guò)程，對(duì)于整體系統(tǒng)以及時(shí)間軸來(lái)講這個(gè)過(guò)程是不斷連續(xù)的，隨著人類社會(huì)的發(fā)展而連續(xù)，即攻擊與對(duì)抗過(guò)程貫穿于整個(gè)人類社會(huì)的發(fā)展過(guò)程.但從分析、理解、設(shè)計(jì)、評(píng)價(jià)的角度，一個(gè)具體的過(guò)程又可以置于準(zhǔn)靜態(tài)條件下進(jìn)行分析和建模.針對(duì)具體系統(tǒng)的一次攻擊與對(duì)抗而言，它是連續(xù)中的間斷，有頭有尾，具有不同的對(duì)抗斗爭(zhēng)的方法；還可分為不同的子階段，子階段之間即有銜接也有區(qū)別，所以可以說(shuō)一個(gè)具體的攻擊對(duì)抗是一個(gè)即有連續(xù)又間斷的過(guò)程，雙方都希望對(duì)方早些失敗來(lái)結(jié)束該過(guò)程.但是，就整體而言，信息安全與對(duì)抗是一種矛盾的發(fā)展過(guò)程，將不斷演化和發(fā)展.

過(guò)程是相對(duì)于時(shí)間而言的，所以網(wǎng)絡(luò)攻擊與對(duì)抗過(guò)程模型應(yīng)以時(shí)間軸為基準(zhǔn)，把整個(gè)攻擊和對(duì)抗行為映射于具有相對(duì)位置的時(shí)間軸上，這種時(shí)間關(guān)系對(duì)于雙方在不透明情況下對(duì)抗斗爭(zhēng)以及知彼知已很重要，即獲得信息越及時(shí)、越早越好，行動(dòng)也要盡早、盡快，要力爭(zhēng)對(duì)方來(lái)不及反應(yīng)前動(dòng)手，即攻其不備取其無(wú)意，時(shí)間拖得越長(zhǎng)信息越容易暴露，行動(dòng)就越易于失敗，同時(shí)也會(huì)喪失主動(dòng)權(quán)，這些均是攻守雙方都力求避免的局面.

“道”源于老子道德經(jīng)，這里意指規(guī)律、秩序、機(jī)制原理等，“共道”是遵循共同原理機(jī)制、秩序、機(jī)制、原理之意；“逆道”是指相“逆”而行.這里應(yīng)該強(qiáng)調(diào)的是，信息系統(tǒng)中“共道”是一個(gè)內(nèi)容的集合，不只是單一元素；同樣“逆道”也是一個(gè)內(nèi)容集合.模型中“共道”指為達(dá)到某種攻擊目的所必要的“共道”集合，其中可能有多種元素，是“共道”內(nèi)容集合的子集，即是達(dá)到攻擊目的的必要元素的集合；同樣“逆道”也是達(dá)目的的必要元素的“逆道”內(nèi)容集合的子集.

綜合考慮時(shí)間因素、過(guò)程因素以及“道”之因素，便形成了具有串聯(lián)結(jié)構(gòu)的信息安全與對(duì)抗過(guò)程的“共道-逆道”的抽象模型.從圖5可知，總體上講，對(duì)于一次攻擊與對(duì)抗過(guò)程可分為3個(gè)階段，即“共道”階段、“逆道1”階段和“逆道2”階段.前面分析中攻擊方和被攻擊方行為均為3個(gè)階段，但模型中的3個(gè)階段的劃分有所不同，即此模型不是攻擊和防御過(guò)程3階段的簡(jiǎn)單堆砌或拼湊.模型以時(shí)間軸為基準(zhǔn)，攻擊方和被攻擊方的行為過(guò)程有較嚴(yán)格的時(shí)間對(duì)照關(guān)系.很明顯，被攻擊方一般情況下處于被動(dòng)局面，雖然能提供主動(dòng)防御措施但很難預(yù)測(cè)得出攻擊行為的發(fā)生(雖然通過(guò)統(tǒng)計(jì)可以發(fā)現(xiàn)某些類型和攻擊，但大多數(shù)據(jù)情況下這種方法并不能起作用).而攻擊方始終處于主動(dòng)，能在任何時(shí)間、任意地點(diǎn)以任何方式實(shí)施攻擊(圖5中的橫向雙箭頭是指該“行為”在時(shí)間軸上的移動(dòng)).

4.2 模型分析應(yīng)用[2]

“共道”階段：對(duì)于攻擊方而言，在“共道”階段將主要利用共有的信息(如規(guī)律、機(jī)制、原理等)進(jìn)行信息收集，當(dāng)收集到足夠信息后便可作出決策是否需要進(jìn)一步收集“逆道”信息(如系統(tǒng)漏洞或缺陷等)或?qū)嵤┕?如果欲立即實(shí)施攻擊，其過(guò)程便可直接轉(zhuǎn)致“逆道2”階段，即實(shí)施攻擊階段(如拒絕服務(wù)攻擊，它并不需要進(jìn)行收集逆道信息便可直接實(shí)施攻擊)，這種情況下整個(gè)攻擊與對(duì)抗過(guò)程為2個(gè)階段，即“共道”和“逆道2”階段.對(duì)于被攻擊方而言，在“共道”階段很難獲得攻擊行為所表現(xiàn)的信息，這主要是因?yàn)椤肮驳馈彪A段攻擊行為無(wú)顯著的特征(攻擊方在收集信息的過(guò)程中可能會(huì)不留下任何蹤跡)，故很難采取必要的反擊措施，但這個(gè)階段被攻擊方可以采取必要的措施進(jìn)行主動(dòng)防御，盡可能消除系統(tǒng)的缺陷和漏洞，以使攻擊方無(wú)可乘之機(jī)，總體來(lái)講，“共道”階段被攻擊方對(duì)于后續(xù)的受攻擊只能提供數(shù)據(jù)積累的作用，為反擊提供一定的支持，該階段不能形成成型的對(duì)抗反擊行動(dòng).

“逆道”過(guò)程總體上分為2個(gè)階段，即“逆道1”和“逆道2”階段.但這2個(gè)階段對(duì)于一次具體的攻擊和對(duì)抗過(guò)程，也有可能只存在“逆道2”階段，而不存在“逆道1”階段，這種情況下，攻擊方通過(guò)“逆道2”階段便達(dá)到了攻擊的目的，而不需要實(shí)施“逆道1”信息收集，這種攻擊行為一般屬于破壞型攻擊(如前面提到的拒絕服務(wù)攻擊).但大多數(shù)情況下，對(duì)于攻擊者來(lái)說(shuō)必須通過(guò)“逆道1”信息收集才有可能達(dá)到攻擊的目的.沒有通過(guò)“逆道1”過(guò)程收集到足夠的“逆”信息，就無(wú)法實(shí)施具體的攻擊，也就不能達(dá)到最終的攻擊的目的(如木馬攻擊)，這種情況下“逆道”2個(gè)階段都需要，缺一不可.對(duì)于被攻擊方而言，如果在“逆道1”階段確認(rèn)了攻擊行為或?qū)嵤┝擞行У姆磽?，則是對(duì)攻擊方是一種沉重打擊，攻擊方有可能就此罷手，被攻擊方也不會(huì)造成較大的損失.若被攻擊方對(duì)“逆道1”階段未引起足夠的重視，則于“逆道2”階段的反擊將會(huì)受到很大影響，有可能造成很大的損失.此外，“逆道1”階段也許是被攻擊方采取主動(dòng)的機(jī)會(huì)，被攻擊方可以采取誘騙和陷阱技術(shù)給攻擊者以致命的打擊.總之，攻防雙方誰(shuí)在時(shí)間上占有優(yōu)勢(shì)誰(shuí)就有可能占有主動(dòng)，被攻擊方有可能從被動(dòng)轉(zhuǎn)為主動(dòng).

一次攻擊與對(duì)抗過(guò)程完成后，便循環(huán)進(jìn)入下一輪的對(duì)抗.對(duì)于被攻擊方來(lái)講要充分總結(jié)經(jīng)驗(yàn)、亡羊補(bǔ)牢，加強(qiáng)預(yù)防措施，或變被動(dòng)為主動(dòng)，主動(dòng)追擊攻擊者(如迅速跟蹤定位).對(duì)于攻擊方來(lái)講，要對(duì)攻擊行為產(chǎn)生的后果進(jìn)行評(píng)估，判斷是否達(dá)到了攻擊的目的，是否隱藏好了自己，是否需要進(jìn)入下一輪的攻擊…….

模型分析及運(yùn)用中的注意問題：

1) 模型是一個(gè)框架性模型，可根據(jù)具體情況填充和合理裁剪.信息安全對(duì)抗領(lǐng)域包括了無(wú)數(shù)的具體問題，各不同具體問題有不同之矛盾，也就有不同對(duì)抗機(jī)制，但就其共性和基本性而言，“共道-逆道”模型是攻擊與對(duì)抗的一種基本模型，在攻擊與對(duì)抗過(guò)程中其“共道”和“逆道”環(huán)節(jié)缺一不可，是必然的環(huán)節(jié)，否則不能稱之為對(duì)抗過(guò)程，這也是矛盾的對(duì)方統(tǒng)一規(guī)律的體現(xiàn).

2) 一般情況下，“逆道2”階段是對(duì)抗最為多見和最為激烈的階段.對(duì)于信息系統(tǒng)，其功能越多、應(yīng)用越廣，其重要性越大，則可能遇到之攻擊種類和次數(shù)就越多，這是系統(tǒng)的“道”，同樣反其“道”也就越多、越廣.從這一角度來(lái)講，單項(xiàng)或單元攻擊與對(duì)抗的研究是必要的，但遠(yuǎn)遠(yuǎn)不夠，應(yīng)從系統(tǒng)的角度，綜合地、整體地，即考慮到其特殊性又考慮到其普適性.

3) 防御反擊即可以采用單項(xiàng)技術(shù)又可以采用綜合性技術(shù)(技術(shù)、組織、管理、法律等).可針對(duì)單項(xiàng)技術(shù)攻擊采用相應(yīng)單項(xiàng)或綜合性反擊措施，對(duì)綜合性攻擊只有采用綜合性反擊措施.

4) 信息攻擊與對(duì)抗的系統(tǒng)性研究極為必要.攻擊即是防御，防御也可為攻擊，二者辯證統(tǒng)一.但攻擊行為可以在任意時(shí)間、任意地點(diǎn)、以任意方式進(jìn)行，特別是當(dāng)前信息網(wǎng)絡(luò)的快速發(fā)展，全球已逐漸形成一個(gè)整體，其安全與對(duì)抗更為重要，只有系統(tǒng)地研究攻擊與對(duì)抗行為才有可能有效地防御.

5 結(jié) 論

網(wǎng)絡(luò)空間安全學(xué)科專業(yè)的建設(shè)直接影響到國(guó)家的社會(huì)生態(tài)的安全可持續(xù)發(fā)展，研究型教學(xué)方法有利于高素質(zhì)專業(yè)人才的培養(yǎng)，本文系統(tǒng)地討論了網(wǎng)絡(luò)空間安全研究型教學(xué)框架，給出了信息安全對(duì)抗基礎(chǔ)層和系統(tǒng)層原理、系統(tǒng)層和技術(shù)層方法，構(gòu)建了一種共道-逆道博弈模型并進(jìn)行應(yīng)用分析.希望起到拋磚引玉的目的，與兄弟院校一起共勉，不斷完善信息安全對(duì)抗相關(guān)專業(yè)的理論教學(xué)體系，以便更充分地進(jìn)行專業(yè)人才的培養(yǎng).

[1]全國(guó)人民代表大會(huì)常務(wù)委員會(huì). 中華人民共和國(guó)國(guó)家安全法[EBOL]. (2015-07-01) [2018-01-01]. http:www.npc.gov.cnnpcxinwen2015-0707content_1941161.htm

[2]中華人民共和國(guó)主席令. 中華人民共和國(guó)網(wǎng)絡(luò)安全法[EBOL]. (2016-11-08) [2018-01-01]. http:www.miit.gov.cnn1146295n1146557n1146614c5345009content.html

[3]國(guó)家互聯(lián)網(wǎng)信息辦公室. 國(guó)家網(wǎng)絡(luò)空間安全戰(zhàn)略[EBOL]. (2016-12-27) [2018-01-01]. http:www.cac.gov.cn2016-1227c_1120195926.htm

[4]王越, 羅森林. 信息系統(tǒng)與安全對(duì)抗理論[M]. 2版. 北京: 北京理工大學(xué)出版社, 2015

[5]羅森林. 信息系統(tǒng)與安全對(duì)抗——技術(shù)篇[M]. 2版. 北京: 高等教育出版社, 2017

[6]羅森林, 王越, 潘麗敏, 等. 網(wǎng)絡(luò)信息安全與對(duì)抗[M]. 2版. 北京: 國(guó)防工業(yè)出版社, 2016

[7]羅森林, 高平, 蘇京霞, 等. 信息系統(tǒng)與安全對(duì)抗——實(shí)踐篇[M]. 2版. 北京: 高等教育出版社, 2016

[8]羅森林. 信息安全與對(duì)抗實(shí)踐基礎(chǔ)[M]. 北京: 電子工業(yè)出版社, 2015

潘麗敏

高級(jí)工程師，碩士生導(dǎo)師，主要研究方向?yàn)榫W(wǎng)絡(luò)安全、數(shù)據(jù)挖掘、媒體安全.

panlimin@bit.edu.cn

羅森林

教授，博士生導(dǎo)師，主要研究方向?yàn)榫W(wǎng)絡(luò)安全、數(shù)據(jù)挖掘、文本安全、媒體安全.

luosenlin@ bit.edu.cn

張?bào)?/p>

副教授，碩士生導(dǎo)師，主要研究方向?yàn)榫W(wǎng)絡(luò)安全、數(shù)據(jù)挖掘、文本安全、媒體安全.

zhangji@bit.edu.cn

王越

院士，教授，博士生導(dǎo)師，主要研究方向?yàn)橄到y(tǒng)理論、信息安全與對(duì)抗.

wangyue@bit.edu.cn