沈昌祥:网络空间安全战略思考

沈昌祥:网络空间安全战略思考

目前世界上有100多个国家具有一定的网络作战能力，有56家公开发布了网络空间的安全战略，可惜我国还没有出台相关战略，这对我国的网络安全提出了严峻的挑战。

习近平总书记在2月27日主持召开中央网络安全和信息化领导小组第一次会议中指出：“没有网络安全就没有国家安全”。如何及早解决受制于人问题，建设世界一流网络强国，已成为我们国家当前面临的重要任务之一。

美国在信息安全、网络空间安全上占据绝对的优势，我们不妨了解一下美国在网络空间战略上的发展历程。

中国工程院院士 沈昌祥

美国网络空间战略发展

1998年5月，克林顿政府发布了第63号总统令(PDD63)：《克林顿政府对关键基础设施保护的政策》。2000年1月，克林顿政府发布了《信息系统保护国家计划》，提出了美国政府在21世纪之初若干年的网络空间安全发展规划。

“9·11”以后，2001年10月16日，布什政府发布了第13231号行政令《信息时代的关键基础设施保护》，宣布成立“总统关键基础设施保护委员会”，代表政府全面负责国家的网络空间安全工作。2003年12月，布什政府又颁布第7号国家安全总统令《关键基础设施标识、优先级和保护》，提出对关键基础设施要盘查，要排序、按序进行保护，也要求军方来保护网络空间的安全，同时也以反恐的名义在全面监控信息。

尽管政府采取了很多措施，但是不少人士认为效率并不是很高，认为信息安全保护是没有效果的。2005年4月，美国政府公布了总统IT咨询委员会向总统提交的《网络空间安全：迫在眉睫的危机》紧急报告，对美国网络空间安全战略提出不同看法，指出，过去10年美国保护国家信息技术基础建设工作是失败的。

2006年4月，信息安全研究委员会发布的《联邦网络空间安全及信息保障研究与发展计划（CSIA）》确定了14个技术优先研究领域，13个重要投入领域。改变无穷无尽地打补丁和封堵的被动防御策略。

2009年5月29日，奥巴马公布了名为《网络空间政策评估——保障可信和强健的信息和通信基础设施》的报告，并在其讲话中强调网络空间安全威胁是“美国面临的最严重的国家经济和国家安全挑战之一”。报告提出了10条近期行动计划和14条中期行动计划，全面规划了保卫网络空间的战略措施。

根据这个报告，2009年6月23日，美国宣布成立了网络空间司令部，并于2010年5月21日正式启动工作，编制近一千人。同时公布了《网络空间国际战略》，该战略文件称，美国希望打造“开放、可共同使用、安全、可信赖”的国际网络空间，并将综合利用外交、防务和发展手段来实现此目标。同年7月，又发布了《网络空间行动战略》，提出具体的五大举措：第一，把网络空间视为一个行动的领域，也就是除了海陆空之外的第四个领域，要有组织、有训练、有装备。第二，要有新的国防战略思想。第三，由于网络空间与基础设施都在私营部门，政府和私营机构应该一起构建一体化网络空间安全战略。第四，要建立与其他联盟和国际伙伴的强大合作关系，以加强网络空间安全。第五，将建立一支卓越的队伍加强创新的力量。

2014年2月，美国国家标准与技术研究所（NIST）提出了《美国增强关键基础设施网络安全框架》，按照风险评估等级提出了4个不同等级进行保护。指出，目前世界上有100多个国家具有一定的网络作战能力，有56家公开发布了网络空间的安全战略，可惜我国还没有出台相关战略，这对我国的网络安全提出了严峻的挑战。

图1 可信计算构建主动免疫体系

图2 可信计算技术结构框架

我国网络安全保障体系建设

在这样的大背景下，则需要构架主动防御的技术保障体系。然而，我国当前大部分网络安全系统还是“老三样”，也就是由防火墙、入侵检测和病毒防范组成。目前严峻的网络安全形势表明：消极被动的“封堵查杀”是防不胜防的，必须要走创新自强之路，采用积极主动防御的技术路线才能彻底扭转当前网络安全受制于人的被动局面。

因此，我们应该建立一个可信的计算机体系结构。可信计算是指在计算运算的同时进行安全防护，使计算结果总是与预期一样，计算全程可测可控，不被干扰，是一种运算和防护并存的主动免疫的新计算模式，及时识别“自己”和“非己”成份，从而破坏与排斥进入机体的有害物质，加强自我安全控制能力。

随着信息化的不断发展，特别是云计算、大数据、物联网的不断革新，仅仅靠防火墙是不行的，构建安全可信系统框架尤为重要。安全可信的系统框架由体系结构可信、操作行为可信、资源配置可信、数据存储可信、策略管理可信5个层面构成。同时，要构建可信安全管理中心支持下的三重防护框架，由可信计算环境、可信边界、可信通信网络共同构成纵深防御的防护体系。

中国在可信计算领域进入得非常早，形成了自主创新的体系，涉及可信计算自主密码方案、芯片层面的主动控制、主板可信安全管理中心支持下的三重防护框架：硬件层面的计算和可信双节点融合、软件层面的双系统体系结构、网络层面三元三层对等架构等，形成主动免疫的双体系结构（如图1所示），克服了TCG外部模块挂接和被动调用的缺陷。中国可信计算已经搭建起了以密码技术为基础、芯片为支柱、主板为平台、软件为核心、网络为纽带、应用成体系的可信计算技术框架（如图2所示）。

在国家的十二五规划中，一些重大项目都把可信列为重点，不少单位开发了芯片、整机、软件、网络等设备，并得到了广泛的应用。由中国电子信息产业集团、中国信息安全研究院、北京工业大学、中国电力科学研究院等60 家单位发起，具有法人资格的社会团体——中关村可信计算产业联盟于2014年4月16日正式成立，是我国网络安全发展、可信计算产业发展的重要事件，将有力推动可信计算的产业化进程。

4月8日，微软公司正式停止对Windows XP的服务支持，全国约2亿台运行XP操作系统的终端将面临无人服务的局面。目前，我们是用自己可信的办法来加固现有XP系统，并以可信服务替代补丁服务，有效抵御新的病毒、黑客的攻击，还为加快自主操作系统产品研发和替代做好技术支持。我们要大力推进基于可信计算的创新制度，推进可控、安全、可信的创新系统的研发和产业化发展。

面临日益严峻的国际网络空间形势，我们要立足国情，加强战略规划和顶层设计，加快制定并出台我国网络安全战略，坚持纵深防御，构建牢固的网络安全保障体系，为我国建设成为世界网络安全强国而努力奋斗。

（本文根据中国工程院院士沈昌祥在2014互联网安全大会上的发言整理而成，整理：杨洁）