网络空间安全技术体系研究

张林杰 贾 哲

（1.通信网信息传输与分发技术重点实验室 河北 050000 2.中国电子科技集团公司第五十四研究所 河北 050081）

0 引言

网络空间是军事和社会的信息化、网络化建设以及信息作战概念和技术发展到一定阶段形成的，是一个全新的作战空间。虽然网络空间是人创造的一个域，但仍是一个实实在在存在的空间。网络空间在时域、空域上与海、陆、空、太空等领域是重叠的，横跨物理域和信息域。

网络空间是实现信息获取、传输与处理、应用对抗和武器制导的主要渠道。随着网络的广泛使用和网络攻击技术的发展，入侵事件日益频繁，攻击手段也越来越高明，攻击目标不再仅仅局限于主机、应用系统，网络基础设施也开始成为攻击目标。网络基础设施一旦遭到破坏，提供服务就变得无从谈起。因此，迫切需要开展网络空间安全技术研究，尤其是网络基础设施安全技术研究。

网络空间安全从大的层面上可分为技术、管理和人员三个层面，即安全技术体系、安全管理体系和安全运维体系。安全技术体系是一个纵深防御体系，在物理、网络、数据、应用等不同的层面上采用不同的安全技术，抵御各种威胁，降低系统的安全风险。安全管理体系是以人为本的管理体系，制定对信息安全进行管理的安全组织、安全策略、人员安全管理规范、安全意识培训与教育以及安全政策与制度等，为网络安全提供管理方面的指导和支持。安全运维体系是对网络的日常安全运行进行综合运维管理的体系，包括：安全策略管理、安全事件管理、资源资产管理、值班管理、安全风险管理等。本文将重点从安全技术体系层面，进行网络空间安全的研究与分析。

1 网络空间安全发展趋势

美国政府认为网络空间具有高度的战略价值—无论从经济上还是军事上。因此，美国政府下定决心，分配了充足的人力物力，重塑全球网络空间；并积极采取行动，制定网络空间的“游戏规则”，获取网络空间的主动权。正如美国2010年《四年防务评估》中指出：“尽管网络空间是一个人造领域，但它目前已和陆地、海洋、天空和太空等自然领域一样，成为国防部的活动领域。”

美国网络优先指导委员会认为[2]，国防部的网络基础设施在网络安全方面还远远不够，存在着严重的不确定性和不可控性。要确保完成网络优先任务，还需要建立可信任的混合型可信系统，建立具备强大的自我修复能力的网络基础设施。具体需要发展五大关键能力：一是可信，通过可升级的逆向工程和分析技术、信任关系建立以及可信的传播和维护技术、可信性的测量标准、可信的架构和可信的合成工具，建立基础的可信机制。二是有活力的基础设施，通过弹性的架构、弹性算法和协议、内嵌的弹性机制(例如，冗余性、多样性、虚拟化、随机性、不可预测性及动态刷新等)，打造具有自适应能力的弹性网络系统，实现在网速不同的环境下，对网络响应速度的自主控制能力，抵御网络攻击并实现对关键功能的维持或恢复。三是灵活操作能力，构建具备强大的自我修复能力的网络基础设施，能够根据条件/目标的变化动态地重塑网络系统，避免攻击造成的伤害；同时，跟踪基础设施状态和网络攻击，理解和预测它们如何影响任务功能。四是任务确保能力：通过网络态势的实时感知和实时的任务分析，根据历史数据，利用网络/动能作战任务评估预测工具，进行网络行动决策，实现网络任务控制。五是网络建模与仿真试验能力，能够开展各种专题试验；能够根据任务环境，检验网络操作的各个方面；明确定义的指标；具备一定的规模；具备良好的综合试验能力，能够进行网络建模与仿真演练，定时评估网络作战能力。

此外，美国高度重视基础通信设施安全，并将其提升到国家安全层面，不断加大研发投入支持。2003年2月14日，美国公布的国家战略—《The National Strategy to Secure Cyberspace》中，直接指出需要加强BGP和DNS协议的安全性与健壮性。国土安全部科技部门称自2009年起在路由安全方面的研发投入每年增加至250万。

美军在GIG3.0中，在网络体系设计上就充分考虑信息保障及赛博作战的需求，提出采用统一的黑核网络统一的提供涉密和非密信息的传送。在终端采用多密级瘦客户端技术、核心网利用虚拟化技术实现不同密级信息的隔离传输。通过受控的隔离交换，实现跨域互联。建立安全运维中心，实现全网安全态势的全面感知与分析。

2 我国网络空间安全需求分析

网络空间是未来信息化战争中一个新的作战领域，各国纷纷出台新军事战略，积极发展网络攻防作战能力，将网电空间控制权提升到重大国家战略层面。网络空间渗透与反渗透、控制与反控制、窃密与反窃密斗争日趋激烈，Suter、Stuxnet、Flame等高强度、新概念未知攻击手段层出不穷。网络攻击的方式日趋多样化，以“震网”病毒为代表的网络战武器的出现，证明物理隔离网络并不安全，依然有遭受攻击的风险。网络空间对抗形式的严峻需要网络具备自主安全能力。

在网络空间安全方面，目前国内研究和应用较多的主要在网络防御上，具体有以下几个方面。一是访问控制技术，防止未授权用户使用网络资源，避免网络入侵，目前通常采用的措施包括物理隔离、信号控制接入（采用直扩、跳频、扩频结合方式传输信号）、防火墙、身份认证（防止欺骗攻击）等技术。二是加密技术，防御网络监听，保护信息的机密性，可用于身份验证，防止欺骗。网络传输中常采用链路层加密和网络层加密技术。三是监控技术，监控包括恶意代码扫描和入侵监测两种，恶意代码扫描主要扫描病毒和后门程序，入侵监测主要是通过搜集、分析网络/主机的信息来识别异常。四是审计技术，审计是被攻击后的事后措施，对入侵或攻击进行分析、追踪、记录日志。

当前，我国网络安全的根基还比较脆弱，我国在网络对抗领域还存在很多不足。 我国现有信息安全防护系统的CPU、数据库、操作系统、标准协议、骨干路由器等软硬件平台，主要依赖进口，且大多数是从我主要对手国家引进；建立在他人操作系统之上的网络系统，安全性无从谈起；构筑信息安全平台的根基本身就存有严重的安全隐患，一旦发生网络战，后果难以想象。

综上所述，目前已有的安全防护模式已经难以适应新一代信息系统的安全防护需求，网络安全需要与网络统一设计、同步建设，与网络共同发展。

3 网络空间安全技术体系设计

网络空间安全技术体系的发展，要从基于特征“辨伪”发展到基于身份“识真”，以信任为基础，打造安全可信的网络空间。通过从网络边界防护发展到端到端防护，实现业务信息的全程保障；从粗放保护发展发展到精确控制，根据具体业务特点进行有针对性的安全防护和分级服务，实现细粒度的信息资源访问控制；从外围加固发展到强基固本，基于具有自主知识产权的软硬件平台，构建自主可控的网络基础设施，实现网络空间安全从静态防护到主动防御的发展。

网络空间安全通过网络与安全的一体化设计、基于具有自主知识产权的软硬件平台，打造安全可信的网络连接环境、安全可信的计算处理环境和安全可信的信息服务环境，构建具有多方位感知、多层次分析、融合展现能力的监控预警系统，以及具备联动响应体系的运维管理系统，提升网络空间本身的安全可信性，提高网络空间本身抵御攻击的能力。

图1给出了网络空间安全技术体系的设计。网络空间安全技术体系由网络安全防护、安全管理和安全服务三个面组成，形成覆盖主机-网络-应用的纵深防护体系。

网络安全防护包括由认证与身份管理系统构成的基础支撑层；由终端安全、网络安全可信和边界安全防护构成的网络基础设施安全层；由安全服务、平台软件安全和服务安全构成的信息服务环境安全层；由数据存储安全、传输安全、备份与恢复构成的数据安全层；由访问控制、日志审计等构成的应用安全层；以及由终端监控、无线入侵检测、骨干网络监测、预警发布等构成的网络空间监控预警系统。安全服务包括病毒库、攻击特征库、漏洞库、补丁库等的维护、更新。安全管理主要实现安全设备的综合管理、全网安全策略的统一管理。

图1 网络空间安全技术体系

其中网络基础设施安全与 信息服务环境安全又构成了基础设施安全系统，完成网络分层架构中网络层及服务支撑层的安全。基础设施安全的基本功能一是为各类信息传输、处理、共享和服务提供安全可信的环境；二是捍卫网络空间，实时监视网络安全态势，组织应急响应行动，支持网络的防御作战。

4 结束语

信息技术快速发展和军事理论不断创新，推动了世界军事领域的全面变革，战争形态正在从以武器平台为核心转向以信息网络为中心，作战空间由以“战区”、“战场”为特征的地理空间转变为以“非线性”、“全纵深”为支撑的网络空间。网络中心战理论的创新和实践，推进了基于网络的作战指挥、基于网络的信息获取和基于网络的信息分发与共享。网络空间安全已成为实施联合作战和各种军事行动的重要保障。网络空间安全要走网络与安全的融合发展路线。一是在网络体系设计上，充分考虑安全需求，提升网络的抗毁抗扰能力；二是在协议设计上，充分考虑协议的抗攻击能力；三是在设备研制中，充分考虑设备自身安全性，提高设备自身抵御攻击的能力。四是基于国产软硬件平台和可信计算技术，打造可信的网络空间。

[1] 吴巍.赛博空间技术发展现状与通信网络安全问题[J].无线电通信技术 , 2012,(03)月.

[2] 未来美军网络安全技术发展路线图.知远战略与防务，http://www.knowfar.org.cn/espec/c_2013-10.htm，2013年5月.

[3] 袁春阳，通信基础设施安全研究及相关工作，中国计算机网络安全年会，2011.

[4] CIESLAK Randy.GIG 3.0 Design Factors[EB/OL].[2011-06-11].

http：//info.publicintelligence.net/USPACOM-GIG.pdf.

[5] DAVID E SANGER，JOHN MARKOFF．Obama Outlines,Coordinated Cyber-Security Plan［N］．The New York Times，2009-5-29.