我國(guó)網(wǎng)絡(luò)安全技術(shù)體系的短板

劉吉強(qiáng)

【摘要】沒(méi)有網(wǎng)絡(luò)安全就沒(méi)有國(guó)家安全，沒(méi)有信息化就沒(méi)有現(xiàn)代化。網(wǎng)絡(luò)安全的內(nèi)涵和表述形式隨著信息技術(shù)的發(fā)展在不斷演變，其重要性也越來(lái)越凸顯。面對(duì)網(wǎng)絡(luò)信息技術(shù)的核心短板，我國(guó)應(yīng)樹(shù)立動(dòng)態(tài)綜合的防護(hù)理念，推進(jìn)體制機(jī)制創(chuàng)新，加大核心技術(shù)投入，構(gòu)筑主動(dòng)防御體系，有力維護(hù)我國(guó)網(wǎng)絡(luò)信息安全。

【關(guān)鍵詞】網(wǎng)絡(luò)安全 核心技術(shù) 技術(shù)短板 【中圖分類號(hào)】D616 【文獻(xiàn)標(biāo)識(shí)碼】A

我國(guó)網(wǎng)絡(luò)安全技術(shù)發(fā)展短板

當(dāng)前，網(wǎng)絡(luò)安全已上升到國(guó)家戰(zhàn)略高度，網(wǎng)絡(luò)空間已成為繼陸?？仗旌蟾鲊?guó)爭(zhēng)奪的第五空間。由于發(fā)展時(shí)間較短以及技術(shù)障礙等問(wèn)題，我國(guó)網(wǎng)絡(luò)安全領(lǐng)域的技術(shù)深度與發(fā)達(dá)國(guó)家相比差距明顯，特別是關(guān)鍵基礎(chǔ)設(shè)施中的核心技術(shù)還沒(méi)有做到真正的自主可控，短板的存在較為明顯，綜合而言，主要包括如下四個(gè)方面：

第一，核心技術(shù)受制于人。以美國(guó)為例，美國(guó)從1998年開(kāi)始部署相關(guān)的網(wǎng)絡(luò)安全戰(zhàn)略，發(fā)展至今已經(jīng)到達(dá)“深入實(shí)施階段”。從全球信息產(chǎn)業(yè)方面，美國(guó)CPU的產(chǎn)量占全球比重超過(guò)90%，系統(tǒng)軟件的生產(chǎn)量美國(guó)占比約86%，占領(lǐng)了世界各地的大部分市場(chǎng)。核心技術(shù)不可控，就會(huì)造成無(wú)法估量的損失。中國(guó)在芯片領(lǐng)域的技術(shù)短板，就讓“受制于人”充分體現(xiàn)，掌握核心技術(shù)勢(shì)在必行。

第二，體系結(jié)構(gòu)先天不足。如今，互聯(lián)網(wǎng)技術(shù)已深入到各個(gè)國(guó)家的政治經(jīng)濟(jì)中，也滲透到平民百姓的日常生活中。然而，我國(guó)在互聯(lián)網(wǎng)技術(shù)中的相關(guān)協(xié)議和標(biāo)準(zhǔn)技術(shù)方面研究成果并不多，話語(yǔ)權(quán)較弱。在互聯(lián)網(wǎng)中扮演了非常重要角色的域名根服務(wù)器，13臺(tái)中的10臺(tái)設(shè)在美國(guó)，另外3臺(tái)分別設(shè)在英國(guó)、瑞典和日本，也間接受美國(guó)控制，這就更增加了網(wǎng)絡(luò)安全形勢(shì)的嚴(yán)峻性。我們國(guó)家對(duì)信息系統(tǒng)實(shí)行的等級(jí)保護(hù)，是開(kāi)展信息安全保護(hù)工作的有效辦法，但其主體架構(gòu)仍然脫胎于美國(guó)的信息系統(tǒng)安全等級(jí)保護(hù)等相關(guān)標(biāo)準(zhǔn)。而且在實(shí)際系統(tǒng)設(shè)計(jì)實(shí)施中，由于用戶自身缺乏安全系統(tǒng)設(shè)計(jì)能力，無(wú)法基于業(yè)務(wù)流的安全需要進(jìn)行整體安全體系考慮，導(dǎo)致信息系統(tǒng)功能設(shè)計(jì)與安全設(shè)計(jì)脫節(jié)，造成先天性安全短板，容易造成被攻擊者利用的安全盲點(diǎn)。

第三，主動(dòng)防御功能缺失。目前國(guó)內(nèi)安全產(chǎn)品已有很大的發(fā)展，例如，在防病毒、防火墻、入侵檢測(cè)IDS等方面有一定的發(fā)展成果，這類產(chǎn)品應(yīng)用最廣，但其安全機(jī)制以簡(jiǎn)單的被動(dòng)防御為主，難以應(yīng)對(duì)當(dāng)前更新快、隱蔽性強(qiáng)、更智能化的攻擊。主動(dòng)防御技術(shù)在世界上已經(jīng)發(fā)展到了一定的先進(jìn)水平，我國(guó)雖然初步形成了密碼方案、芯片、主板、基礎(chǔ)支撐軟件和可信網(wǎng)絡(luò)連接等方面的自主創(chuàng)新體系，但與國(guó)際先進(jìn)水平還存在較大差距，也未在國(guó)際上形成自己的標(biāo)準(zhǔn)，在專利申報(bào)方面比較滯后。

第四，安全管理亟需改善。近年來(lái)，重大安全事件頻繁發(fā)生，安全領(lǐng)域可以說(shuō)是三分技術(shù)、七分管理，大部分安全事件歸根結(jié)底都與管理相關(guān)。安全管理問(wèn)題主要存在于安全意識(shí)和安全技術(shù)兩方面。在我國(guó)等級(jí)保護(hù)基本要求中，對(duì)安全管理進(jìn)行了細(xì)致的分類，但即便按要求制定了管理規(guī)范，但是由于人員能力有限和人工管理工作的復(fù)雜性，使得規(guī)范在執(zhí)行過(guò)程中存在許多問(wèn)題。工作人員安全意識(shí)不足，主要是由于管理層對(duì)于增強(qiáng)工作人員安全意識(shí)的重要性認(rèn)知不夠。有的管理者認(rèn)為，一旦部署了相應(yīng)的安全產(chǎn)品，其系統(tǒng)就是安全的，能夠抵擋任何攻擊，安全培訓(xùn)較為簡(jiǎn)單，沒(méi)有進(jìn)行針對(duì)不同崗位的不同安全點(diǎn)的培訓(xùn)，沒(méi)有實(shí)質(zhì)性的技術(shù)點(diǎn)。管理者的信息安全意識(shí)水平不足，沒(méi)有意識(shí)到安全防護(hù)是其信息系統(tǒng)運(yùn)行的基本保障，進(jìn)而導(dǎo)致安全人員也較少?gòu)钠渥陨順I(yè)務(wù)需求和發(fā)展需要出發(fā)考慮其安全方案，從而導(dǎo)致系統(tǒng)安全性風(fēng)險(xiǎn)。

樹(shù)立動(dòng)態(tài)綜合的防護(hù)理念，更好維護(hù)網(wǎng)絡(luò)安全新秩序

首先，推進(jìn)體制機(jī)制創(chuàng)新，加大核心技術(shù)投入。在中央網(wǎng)絡(luò)安全和信息化委員會(huì)的統(tǒng)一協(xié)調(diào)指揮下，大力支持自主可控信息安全產(chǎn)業(yè)的發(fā)展，特別是針對(duì)開(kāi)發(fā)周期長(zhǎng)、資金回收慢的核心電子器件、高端通用芯片及基礎(chǔ)軟件等產(chǎn)品，可以出臺(tái)政策，為自主可控產(chǎn)品提供市場(chǎng)應(yīng)用空間，使技術(shù)創(chuàng)新、性能提升與產(chǎn)業(yè)應(yīng)用協(xié)同發(fā)展。不斷推動(dòng)自主可控產(chǎn)品的產(chǎn)業(yè)鏈發(fā)展，積極優(yōu)化產(chǎn)業(yè)生態(tài)環(huán)境，從而有效提高企業(yè)在自主可控技術(shù)產(chǎn)品研發(fā)方面的內(nèi)生動(dòng)力。例如，黨政軍和核心要害系統(tǒng)國(guó)產(chǎn)化替代工程由國(guó)家出資支持，在替代工程實(shí)施中預(yù)留出專用資金對(duì)所應(yīng)用自主可控產(chǎn)品的集成適配和優(yōu)化進(jìn)行提升完善，彌補(bǔ)直接研發(fā)資金缺口。

其次，構(gòu)筑主動(dòng)防御體系，加強(qiáng)安全防護(hù)能力。主動(dòng)防御的可信計(jì)算技術(shù)的重要性已經(jīng)毋庸置疑。我國(guó)的可信計(jì)算技術(shù)已經(jīng)發(fā)展到了3.0階段的“主動(dòng)防御體系”，并在部分領(lǐng)域開(kāi)展了規(guī)模應(yīng)用。我國(guó)科研人員經(jīng)過(guò)長(zhǎng)期攻關(guān)，取得了很好的創(chuàng)新成果，包括采用國(guó)家自主設(shè)計(jì)的算法和雙證書(shū)結(jié)構(gòu)的可信計(jì)算密碼模塊（TCM），可以作為自主可控的可信節(jié)點(diǎn)植入可信源根，先于CPU啟動(dòng)并對(duì)BIOS進(jìn)行驗(yàn)證的可信平臺(tái)控制模塊（TPCM），采用宿主軟件系統(tǒng)+可信軟件基的雙系統(tǒng)體系結(jié)構(gòu)的可信基礎(chǔ)支撐軟件框架以及基于三層三元對(duì)等的可信連接框架，提高了網(wǎng)絡(luò)連接的整體可信性、安全性和可管理性。

最后，健全網(wǎng)絡(luò)安全技術(shù)支撐體系，完善新產(chǎn)業(yè)標(biāo)準(zhǔn)制定。我國(guó)信息安全等級(jí)保護(hù)政策標(biāo)準(zhǔn)相對(duì)滯后，難以滿足新技術(shù)應(yīng)用的信息安全需求。例如，當(dāng)前的云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)的應(yīng)用呈現(xiàn)出新特點(diǎn)，提出了新的安全需求，在網(wǎng)絡(luò)層面原本相對(duì)比較封閉的政府、金融、能源、制造系統(tǒng)，開(kāi)始越來(lái)越多地與互聯(lián)網(wǎng)相連接。因此，我國(guó)要建立健全云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)和工業(yè)控制系統(tǒng)等新型信息系統(tǒng)的自主免疫、主動(dòng)防御的標(biāo)準(zhǔn)和等級(jí)保護(hù)技術(shù)標(biāo)準(zhǔn)，完善實(shí)施、定級(jí)、測(cè)評(píng)、管理全過(guò)程的技術(shù)支持，以達(dá)到攻擊者進(jìn)不去、非授權(quán)者重要信息拿不到、竊取保密信息看不懂、系統(tǒng)和信息篡改不了、系統(tǒng)工作癱不成和攻擊行為賴不掉的防護(hù)效果。

責(zé)編/谷漩 美編/李祥峰