數(shù)字化時代網(wǎng)絡(luò)空間內(nèi)生安全技術(shù)發(fā)展與應用

羅論涵 李翔 余新勝

（中國電子科技集團第三十二研究所 上海市 201808）

1 內(nèi)生安全技術(shù)迎來重大發(fā)展機遇

數(shù)字化時代，網(wǎng)絡(luò)安全成為夯實信息系統(tǒng)與基礎(chǔ)設(shè)施數(shù)字化、智能化服務能力的基礎(chǔ)支撐，傳統(tǒng)附加式安全手段無論防御架構(gòu)或是防御效能都難以適應數(shù)字應用、新一代基礎(chǔ)設(shè)施的復雜網(wǎng)絡(luò)安全需求。內(nèi)生安全作為新興的網(wǎng)絡(luò)安全技術(shù)，構(gòu)建了具備主動防御、態(tài)勢感知、威脅清洗等能力的新型網(wǎng)絡(luò)安全防御框架，典型內(nèi)生安全技術(shù)包括擬態(tài)防御、移動目標防御、可信計算、零信任架構(gòu)等，通過構(gòu)建新型信息系統(tǒng)運行環(huán)境、關(guān)鍵系統(tǒng)資源訪問認證等技術(shù)手段，內(nèi)生安全技術(shù)在已知和未知網(wǎng)絡(luò)威脅的防護上取得了良好的防御效果。在政策與應用的雙重驅(qū)動下，未來內(nèi)生安全技術(shù)有望迎來技術(shù)和產(chǎn)業(yè)的跨越式發(fā)展。

1.1 我國科技創(chuàng)新發(fā)展進入新的歷史階段

新形勢下，科技自立自強將成為我國未來科技創(chuàng)新發(fā)展的主要特點。從國際環(huán)境看，美國將我國重新定位為戰(zhàn)略競爭對手，必將牽動西方發(fā)達國家對我國的整體戰(zhàn)略調(diào)整。我國已邁向高質(zhì)量發(fā)展階段，中共中央國民經(jīng)濟和社會發(fā)展第十四個五年規(guī)劃和二〇三五年遠景目標的建議指出，在當前國際發(fā)展環(huán)境面臨深刻復雜變化的時期，需要打好關(guān)鍵核心技術(shù)攻堅戰(zhàn)，提高創(chuàng)新鏈整體效能，加強基礎(chǔ)研究、注重原始創(chuàng)新，全面加強網(wǎng)絡(luò)安全保障體系和能力建設(shè)。因此，在新一輪科技革命和產(chǎn)業(yè)變革深入發(fā)展的機遇中，需要對科技創(chuàng)新具有強烈的危機意識和充分的戰(zhàn)略準備。

1.2 網(wǎng)絡(luò)空間安全形勢日趨嚴峻

網(wǎng)絡(luò)空間作為繼陸、海、空、天之后的第五維空間，已成為信息時代國家間博弈的新舞臺和戰(zhàn)略利益拓展的新疆域。在十四五時期數(shù)字社會、數(shù)字政府、現(xiàn)代化國防建設(shè)的智能化轉(zhuǎn)型趨勢下，筑牢國家數(shù)據(jù)、個人信息、智能應用服務、新型信息基礎(chǔ)設(shè)施網(wǎng)絡(luò)安全防護屏障，是統(tǒng)籌安全與發(fā)展雙向驅(qū)動路徑之必需。近年來，美國等西方國家已經(jīng)把實施先發(fā)制人的網(wǎng)絡(luò)戰(zhàn)、奪取網(wǎng)絡(luò)空間優(yōu)勢乃至制網(wǎng)權(quán)作為制勝的關(guān)鍵，并以此展開網(wǎng)絡(luò)戰(zhàn)演習和部署。我國網(wǎng)絡(luò)空間面臨挑戰(zhàn)，隱患就在身邊，威脅近在眼前，安全形勢非常嚴峻，漏洞的普遍性、后門的易安插、網(wǎng)絡(luò)空間構(gòu)架基因的單一性和攻防雙方的不對稱性使得安全漏洞無法被根除且容易被利用，從而導致漏洞頻發(fā)。

1.3 數(shù)字中國戰(zhàn)略使網(wǎng)絡(luò)安全技術(shù)面臨重大發(fā)展機遇

“數(shù)字中國”建設(shè)的宏偉藍圖鋪陳了新基建、云計算、大數(shù)據(jù)、人工智能等先進技術(shù)助力現(xiàn)代產(chǎn)業(yè)體系、經(jīng)濟體系數(shù)字化轉(zhuǎn)型的技術(shù)路線，在夯實新基建基礎(chǔ)建設(shè)業(yè)態(tài)、激活數(shù)據(jù)要素潛能、釋放云計算、大數(shù)據(jù)、人工智能產(chǎn)業(yè)升級活力的同時，在國家安全戰(zhàn)略的高度下，也揭示了新應用場景下網(wǎng)絡(luò)安全對新技術(shù)支撐的迫切盼望。5G、云計算、大數(shù)據(jù)、人工智能等技術(shù)因其泛在的計算力、數(shù)據(jù)集成與關(guān)聯(lián)分析能力導致信息系統(tǒng)防護邊界逐漸模糊，單獨依賴傳統(tǒng)防御手段將難以適應“無處不在”“隨時隨地”的計算環(huán)境。內(nèi)生安全技術(shù)遵循不以邊界作為信任條件的零信任理念，基于計算機結(jié)構(gòu)的動態(tài)性和異構(gòu)性，大幅增加網(wǎng)絡(luò)攻擊成功的難度和成本，確保后門和漏洞激活情景上系統(tǒng)的安全、可靠運行，并實施安全威脅診斷清洗以及設(shè)施恢復，可為數(shù)字中國、新基建、新技術(shù)背景下的行業(yè)轉(zhuǎn)型升級提供安全解決方案。

1.4 網(wǎng)絡(luò)安全產(chǎn)業(yè)動能持續(xù)釋放

中國信通院發(fā)布的《中國網(wǎng)絡(luò)安全產(chǎn)業(yè)白皮書（2020年）》[1]顯示，到2021年中國網(wǎng)絡(luò)安全市場規(guī)模將達到千億級市場。2018-2021年，中國網(wǎng)絡(luò)安全市場規(guī)模年復合增長率為23.24%。根據(jù)IDC預測，未來5年，中國網(wǎng)絡(luò)安全市場總體支出復合增速預計為25.1%，遠高于9.44%的全球水平。根據(jù)賽迪咨詢對于網(wǎng)絡(luò)安全市場前景的預測，“云大物智”等新興技術(shù)加速與各行業(yè)融合，正驅(qū)動網(wǎng)絡(luò)安全市場不斷擴張，并成為行業(yè)重要的增長風口。2021年，中國云安全、物聯(lián)網(wǎng)安全、大數(shù)據(jù)安全、工業(yè)互聯(lián)網(wǎng)安全市場規(guī)模分別為115.7億元、301.4億元、69.7億元、228億元，各細分領(lǐng)域年均復合增速均超過30%。

2 內(nèi)生安全技術(shù)展望

2.1 技術(shù)發(fā)展趨勢

當前網(wǎng)絡(luò)空間內(nèi)生安全技術(shù)路線主要包括：擬態(tài)防御、移動目標防御、可信計算、零信任架構(gòu)等。

2.1.1 擬態(tài)防御

基于動態(tài)、異構(gòu)、冗余信息基礎(chǔ)設(shè)施，以“架構(gòu)決定安全”為主要思想的內(nèi)生安全技術(shù)。擬態(tài)防御是我國鄔江興院士首創(chuàng)的技術(shù)體系[2]，主張通過非侵入式擬態(tài)防御支撐工具、平臺、產(chǎn)品構(gòu)建視在結(jié)構(gòu)可變的信息系統(tǒng)運行環(huán)境，可將隨機發(fā)生的網(wǎng)絡(luò)威脅事件量化為廣義不確定擾動從多級差?；A(chǔ)設(shè)施環(huán)境逃逸的概率問題。擬態(tài)防御是一種不依賴網(wǎng)絡(luò)威脅行為、特征碼、知識庫的新型內(nèi)生安全架構(gòu)，具備主動防御、威脅感知、柔性重構(gòu)等特點，可指數(shù)級的提高信息系統(tǒng)針對已知和未知網(wǎng)絡(luò)威脅的防御能力，有效支撐高可用、高可靠信息系統(tǒng)建設(shè)[3-5]。擬態(tài)防御技術(shù)未來發(fā)展將體現(xiàn)分布式、微服務、動態(tài)防護、軟件定義等增量，研究分布式內(nèi)生安全通用運行支撐、基于上下文語義的應用指令動態(tài)檢測引擎、基于分布式部署架構(gòu)的動態(tài)防護、內(nèi)生安全運營等關(guān)鍵技術(shù)，構(gòu)建覆蓋威脅感知、響應、分析、管控的自主可控內(nèi)生安全框架，實現(xiàn)內(nèi)生安全系列產(chǎn)品和解決方案的開發(fā)、度量、測試和標準規(guī)范建設(shè)。

2.1.2 移動目標防御

移動目標防御是美國國家科學技術(shù)委員會提出的基于動態(tài)化、隨機化、多樣化思想改造現(xiàn)有信息系統(tǒng)缺陷的理論和方法。其核心思想是構(gòu)建動態(tài)、不確定的網(wǎng)絡(luò)空間目標環(huán)境，增加攻擊難度，以系統(tǒng)的隨機性和不可預測性來對抗網(wǎng)絡(luò)攻擊[6][7]。移動目標防御常用的技術(shù)手段包括：無線通信跳頻抗干擾技術(shù)，即通過動態(tài)IP，動態(tài)網(wǎng)絡(luò)混淆進行通信跳頻；指令集隨機化技術(shù)，即系統(tǒng)在代碼加載時生成隨機關(guān)鍵指令序列；動態(tài)內(nèi)存技術(shù)，即系統(tǒng)運行時分配的內(nèi)存、堆棧地址空間的隨機化[8]。移動目標防御可在網(wǎng)絡(luò)、平臺、運行環(huán)境、軟件、數(shù)據(jù)等多個層面實施，不斷變化的目標系統(tǒng)環(huán)境和資源配置關(guān)系極大的增加了信息系統(tǒng)嗅探難度與系統(tǒng)缺陷的可利用性，是一種主要聚焦于系統(tǒng)運行時的內(nèi)生安全技術(shù)[9]。移動目標防御技術(shù)未來發(fā)展在于動態(tài)變化的可管理性．攻擊面的變化性必須以一種內(nèi)部可管理的方式來實施，才能在進行主動防御的同時保證任務的連續(xù)性以及系統(tǒng)的功能與性能。另一方面，要研究系統(tǒng)動態(tài)跳變時機和配置的最優(yōu)方案，這需要統(tǒng)籌系統(tǒng)的資源和狀態(tài)表達，平衡系統(tǒng)多樣化、變換速率、可用資源等變量，并在激烈的系統(tǒng)攻防對抗中保持優(yōu)勢。

2.1.3 可信計算

保障信息行為的機密性、完整性和真實性，核心為具備簽注密鑰的安全硬件芯片，簽注密鑰是一個2048位的RSA公共和私有密鑰對，在芯片出廠時隨機生成并且不能改變，私鑰存儲于芯片中，公鑰用來認證及加密發(fā)送到該芯片的敏感數(shù)據(jù)[10]。圍繞可信根，可信計算構(gòu)建從平臺加電，到BIOS執(zhí)行、操作系統(tǒng)加載程序，再到操作系統(tǒng)啟動、應用程序執(zhí)行的層層傳遞的可信鏈，可信計算可保障預設(shè)的安全策略的執(zhí)行落實，有效屏蔽非注冊用戶、設(shè)備、系統(tǒng)、程序?qū)π畔⑾到y(tǒng)的指令操作，如病毒、木馬、攻擊驅(qū)動注入等[11-13]?？尚庞嬎惆l(fā)展方向為我國沈昌祥院士提出的可信計算3.0主動免疫防御體系，基于三層三元對等的可信連接框架，以自主密碼為基礎(chǔ)，以可控芯片為支柱，以雙融主板為平臺，以可信軟件為核心，以對等網(wǎng)絡(luò)為紐帶，形成可信生態(tài)應用體系，確保系統(tǒng)全程可測可控、防干擾，構(gòu)建防御與計算并行的免疫計算模式。

2.1.4 零信任架構(gòu)

零信任架構(gòu)基于身份而非網(wǎng)絡(luò)位置來構(gòu)建訪問控制體系，為網(wǎng)絡(luò)中的人和設(shè)備賦予數(shù)字身份，將身份化的人和設(shè)備進行運行時組合，并為訪問主體設(shè)定其所需的最小權(quán)限[14]。零信任架構(gòu)關(guān)注業(yè)務暴露面的收縮，應用、服務、接口、數(shù)據(jù)都可以視作業(yè)務資源，使用業(yè)務資源默認隱藏，所有業(yè)務訪問請求進行流量加密和強制授權(quán)。通過信任評估模型和算法對訪問的上下文環(huán)境進行風險判定，實時的調(diào)整對訪問主體的信任評級[15]。通過RBAC和ABAC的組合授權(quán)靈活的訪問控制基線，基于信任等級動態(tài)的對主體資源訪問進行授權(quán)[16]。零信任架構(gòu)未來的發(fā)展方向是訪問控制的動態(tài)化和身份分析的智能化，訪問控制的動態(tài)化是指通過對業(yè)務訪問主體的信任度、環(huán)境的風險進行持續(xù)度量并動態(tài)判定授權(quán)，其考量維度可擴大至人、物、環(huán)境相關(guān)的時間、地址、訪問頻度等信息。智能身份分析能夠通過人工智能、大數(shù)據(jù)等技術(shù)實施自適應訪問控制，對當前系統(tǒng)的權(quán)限、策略、角色進行分析，發(fā)現(xiàn)潛在的策略違規(guī)并觸發(fā)工作流引擎進行自動或人工干預的策略調(diào)整，構(gòu)建治理閉環(huán)。

2.2 關(guān)鍵內(nèi)生安全產(chǎn)品發(fā)展趨勢

為滿足數(shù)字化時代個人用戶、企業(yè)用戶內(nèi)生安全升級轉(zhuǎn)型需求，同時適應云計算、大數(shù)據(jù)、人工智能等先進計算技術(shù)特點，內(nèi)生安全云平臺、內(nèi)生安全web服務器、內(nèi)生安全態(tài)勢感知與安全運營平臺、高安全數(shù)據(jù)防護中間件等內(nèi)生安全產(chǎn)品將提供集成化內(nèi)生安全構(gòu)造工具集。

2.2.1 內(nèi)生安全云平臺服務

內(nèi)生安全云平臺服務提供分布式安全運行基座，基于容器云技術(shù)實現(xiàn)以多模裁決為核心的等價功能異構(gòu)執(zhí)行體的敏捷部署、調(diào)度與應用遷移，基于內(nèi)生安全云管組件可依據(jù)業(yè)務需求靈活定義內(nèi)生安全防御邊界，支持自定義業(yè)務數(shù)據(jù)流與內(nèi)生安全防御框架控制流，組成單級、串聯(lián)、嵌套動態(tài)防御與異構(gòu)防御架構(gòu)[17]。基于微服務技術(shù)構(gòu)建內(nèi)生安全云平臺服務組件與云應用組件，建設(shè)支持負載均衡、應用狀態(tài)遷移的請求分發(fā)、多模裁決服務集群。引入動態(tài)防護體系，內(nèi)生安全云管支持分布式部署組件的模塊級、功能級、代碼級動態(tài)要地防御，打造任務驅(qū)動型動態(tài)、異構(gòu)混合式架構(gòu)內(nèi)生安全防御體系。

2.2.2 內(nèi)生安全Web服務器

軟硬件一體的內(nèi)生安全Web服務器，支持B/S應用部署管理服務保障服務器對漏洞后門威脅的主動感知和柔性重構(gòu)。采用一致性判決、指令特征匹配等方法可防御黑客采用身份偽裝、權(quán)限竊取等傳統(tǒng)手段無法識別和防御的攻擊形式，能夠阻斷黑客利用漏洞后門發(fā)起的網(wǎng)頁篡改、數(shù)據(jù)竊取等攻擊[18]。從數(shù)據(jù)訪問安全加固、多類型數(shù)據(jù)裁決算法構(gòu)建等層面優(yōu)化內(nèi)生安全Web服務器。數(shù)據(jù)訪問安全加固防御利用漏洞后門的SQL注入、旁路攻擊、數(shù)據(jù)權(quán)限竊取等威脅；多類型數(shù)據(jù)裁決算法提升針對文本、圖片、視頻、語音等類型的一致性比較能力，并可切換響應包內(nèi)容裁決、長度裁決、MD5裁決等比較策略。

2.2.3 內(nèi)生安全態(tài)勢感知與安全運營平臺

內(nèi)生安全態(tài)勢感知與安全運營平臺打造“內(nèi)生安全+主動感知+精細化運維”的一體化內(nèi)生安全運營模式，通過輸出一致性判決、攻擊場景復現(xiàn)、差模分析為技術(shù)路線，捕捉一致性判決過程中感知的異常信息，定位異常執(zhí)行體，對系統(tǒng)進行差模請求處理過程追溯監(jiān)控，動態(tài)替換系統(tǒng)及其運行環(huán)境的組件，對攻擊鏈上的缺陷部分進行精確定位，分析威脅的作用范圍與特征信息，提高基礎(chǔ)設(shè)施與信息系統(tǒng)的智能化運維水平。

2.2.4 高安全數(shù)據(jù)防護中間件

構(gòu)建面向分布式部署應用的高安全數(shù)據(jù)防護中間件，構(gòu)建具備內(nèi)生安全特征的動態(tài)數(shù)據(jù)訪問防護架構(gòu)，形成以應用場景數(shù)據(jù)體量、數(shù)據(jù)類型、讀寫頻率為參照變量的數(shù)據(jù)防護方案。結(jié)合業(yè)務要地防御需求切分整體架構(gòu)的分段式防護策略，為各分片結(jié)構(gòu)附加單一或綜合動態(tài)、異構(gòu)、冗余技術(shù)實現(xiàn)，將數(shù)據(jù)訪問整體架構(gòu)安全落實于分段結(jié)構(gòu)安全。針對數(shù)據(jù)資源進行等級分類，構(gòu)建數(shù)據(jù)訪問身份認證中心，實時監(jiān)控和評估訪問者行為風險，對惡意行為進行阻斷和服務拒絕。

3 內(nèi)生安全應用發(fā)展展望

3.1 構(gòu)建重要行業(yè)構(gòu)建信息系統(tǒng)內(nèi)生安全技術(shù)護城河

面向軍事、黨政、運營商等重要行業(yè)以及大數(shù)據(jù)中心等新一代基礎(chǔ)設(shè)施開展內(nèi)生安全產(chǎn)品、服務、解決方案的應用推廣，培養(yǎng)技術(shù)研發(fā)、產(chǎn)品實施、網(wǎng)絡(luò)攻防相關(guān)人才，創(chuàng)新內(nèi)生安全服務模式。以強化工控、物聯(lián)網(wǎng)等嵌入式設(shè)備的網(wǎng)絡(luò)攻防對抗能力與綜合防護能力為目標，形成高時效、資源緊湊應用場景的內(nèi)生安全技術(shù)體系與內(nèi)生安全解決方案。

3.2 我國內(nèi)生安全技術(shù)發(fā)展應結(jié)合自主可控建設(shè)生態(tài)

圍繞自主可控基礎(chǔ)設(shè)施適配、自主可控內(nèi)生安全、高性能計算架構(gòu)建設(shè)目標，基于申威、龍芯、鯤鵬等國產(chǎn)處理器，麒麟、統(tǒng)信等國產(chǎn)操作系統(tǒng)，人大金倉、達夢等國產(chǎn)數(shù)據(jù)庫、金蝶等國產(chǎn)Web服務器，國產(chǎn)GPU、FPGA等計算芯片，構(gòu)建異構(gòu)軟硬件基礎(chǔ)設(shè)施，推動自主可控基礎(chǔ)設(shè)施與內(nèi)生安全架構(gòu)適配，形成行業(yè)應用、自主可控與內(nèi)生安全的適配融合能力，帶動自主可控內(nèi)生安全產(chǎn)業(yè)生態(tài)圈建設(shè)及配套資源建設(shè)，推動重要行業(yè)基礎(chǔ)設(shè)施國產(chǎn)化替代進程。

3.3 推進科技創(chuàng)新成果轉(zhuǎn)化與產(chǎn)業(yè)融合發(fā)展

打造內(nèi)生安全產(chǎn)業(yè)推廣生態(tài)環(huán)境，釋放內(nèi)生安全技術(shù)產(chǎn)業(yè)應用轉(zhuǎn)化動能，集聚優(yōu)質(zhì)創(chuàng)新上下游資源，推動內(nèi)生安全產(chǎn)業(yè)生態(tài)圈建設(shè)，擴大內(nèi)生安全技術(shù)在國內(nèi)網(wǎng)絡(luò)安全市場的份額占比，落實數(shù)字中國、網(wǎng)絡(luò)強國等國家戰(zhàn)略，推進科技創(chuàng)新成果轉(zhuǎn)化與產(chǎn)業(yè)融合發(fā)展。

4 總結(jié)

本文從新國際形勢下我國網(wǎng)絡(luò)安全形勢著手，分析了“數(shù)字中國”戰(zhàn)略對我國網(wǎng)絡(luò)安全技術(shù)與應用發(fā)展的升級轉(zhuǎn)型的提振作用，探討了擬態(tài)防御、移動目標防御、可信計算、零信任架構(gòu)等典型內(nèi)生安全體系的技術(shù)特點、適用場景與未來技術(shù)發(fā)展趨勢，提出了對內(nèi)生安全云平臺、內(nèi)生安全Web服務器、內(nèi)生安全態(tài)勢感知與安全運營平臺、高安全數(shù)據(jù)防護中間件等支撐數(shù)字化時代網(wǎng)絡(luò)安全防護產(chǎn)品的發(fā)展展望。在應用方面，提出應結(jié)合自主可控建設(shè)生態(tài)，面向重要行業(yè)關(guān)鍵信息系統(tǒng)發(fā)展需求，構(gòu)建內(nèi)生安全產(chǎn)業(yè)生態(tài)圈，推進科技創(chuàng)新成果轉(zhuǎn)化與產(chǎn)業(yè)融合發(fā)展，內(nèi)生安全技術(shù)與應用雙輪驅(qū)動，共同筑牢我國數(shù)字化時代發(fā)展基石。