自主网络空间安全技术研究

贾哲　张林杰

（通信网信息传输与分发技术重点实验室，河北石家庄050081）

自主网络空间安全技术研究

贾哲张林杰

（通信网信息传输与分发技术重点实验室，河北石家庄050081）

随着网络技术的高速发展，网络空间安全得到世界各国的普遍重视，网络空间对抗形式日益严峻。漏洞和被后门被认为是网络空间安全问题的根本原因。针对网络空间设备“被后门”情况严峻、技术受制于人的现状，提出了基于软硬件平台基础设施自主化、软件应用自主化、网络体系结构自主化的从单一设备到整体网络自主可控的自主网络空间安全体系，实现网络空间安全的长远保障。

网络空间安全自主可控后门漏洞信息监控可信计算

1　引言

21世纪的网络安全已经成为安全研究的一个焦点，“网络战”、“网络主权”、“网络国家利益”和“网络边界”等概念层出不穷［1］，网络空间作为继“陆、海、空、天”后的第五空间而备受瞩目。美国作为当今世界的信息霸主，不但积极制定各项网络安全战略，还通过建立网络战部队将网络战付诸实践，“网络空间”逐渐成为美国寻求信息霸权和网络霸权的一个新领域。美国有庞大的组织从事信息监控活动，通过在网络设备、芯片、操作系统和服务器等核心软硬件平台留有后门，任何采用这些软硬件平台的产品、设备和用户的使用信息等，都可以源源不断的被监控、收集和分析，例如“棱镜门”事件中，美国就通过在网络设备供应商如思科等产品进行后门植入，攻入多个国家的移动运营商服务器，窃取了数以百万计的用户信息。这种现状使得网络空间的安全态势愈演愈烈，各国对网络空间安全，特别是设备自主可控的关注持续上升。

2　网络空间安全发展现状

美国第54号国家总统令暨第23号国土安全总统令将网络空间定义为：“网络空间是一个相关联的信息技术基础设施的网络，包括Internet、电信网、计算机系统以及关键产业中的嵌入式处理器和控制器”。该定义明确指出网络空间的范围并不局限于因特网或计算机网络，还包括了各种军事网络和工业网络。由此可以看出，网络空间同时包含了物理域中的信息系统、计算机系统和通信系统，以及信息域中的数据和信息。

美国是世界上第一个提出“网络战”概念并将之系统化、理论化和实践化的国家。网络战一般是以计算机病毒、恶意软件、逻辑炸弹及黑客等手段，通过对目标网络中的路由器、交换机、防火墙、关键节点和涉密计算机等进行攻击，达到使整个网络陷入瘫痪和控制目标网络的目的。美国国防部在1995年就开始组织“网络黑客”开展全面信息对抗。随着20多年的发展，美军已建成了涵盖“美国总统-国防部长-美国战略司令部-美国网络空间司令部司令-全球部署的网络空间作战部队”在内的网空作战指挥链条，形成了世界首屈一指的网军规模，开展多次大规模的网络战演习。

2013年7月曝光的美国“棱镜”计划，让国际社会对网络空间安全问题的严重性有了新的认识。根据该计划，美国情报机构可以在九家美国互联网公司包括微软、雅虎和谷歌等进行监听和数据挖掘工作，监控的类型包括信息电邮、即时消息、视频、照片、存储数据、语音聊天、文件传输、视频会议、登录时间及社交网络等10类资料的细节，监视任何使用上述服务器的美国境内外民众的通话记录及网络活动［2］。

在网络空间安全防御方面，美国大力发展网络空间自身安全的感知技术，研制多个针对网络空间的目标发现、状态检测、攻击预警、攻击源跟踪定位和情报分析等的新型探测系统，从整体上全面监测、探测和感知自身网络的安全性，例如爱因斯坦系统，就是美国联邦政府为了保障政府网络免受攻击而推出的网络安全项目，通过扫描所有互联网流量及政府电脑的副本数据，发现恶意代码的“特征”，识别恶意网络流量，在危害发生前，自动检测并正确响应网络威胁，形成一个支持动态保护的入侵防护系统。同时，在网络基础设施方面，美国网络优先指导委员会认为，国防部的网络基础设施在网络安全方面还远远不够，存在着严重的不确定性和不可控性，需要大力发展具有可信、有活力、并能够灵活操作弹性网络系统，实现在不同的对抗环境下，对网络响应速度的自主控制能力，抵御网络攻击并实现对关键功能的维持或恢复。

而我国在网络空间安全相应技术的发展起步较晚，主要分为网络安全技术与信息安全技术2个方面。其中，网络安全技术主要包括信息传送安全技术、信息交换安全技术、网络管理安全技术、通信网络服务安全技术、通信网络安全性能分析评估技术等［3］，而信息安全技术，则主要包括访问控制、加密、网络监控和安全审计等技术和通过网络空间安全技术的发展，防止非授权用户使用网络资源，保护网络中传输信息的机密性，识别和发现恶意代码及网络流量异常，提供攻击后的日志分析和追踪能力。

尽管上述领域的研究中取得了较大的进展，但是，至关重要的安全芯片、网络协议、数据库和操作系统等核心软硬件严重依赖美国等发达国家，这使得我国的信息网络存在严重的安全隐患。发展网络空间安全需要站在国家战略能力高度［4］，通过大力发展自主化技术，实现对网络空间中各要素的可管可控。

3　自主化技术发展趋势

自主化是指能够完全掌握核心技术和设计细节，完全控制生产流程，具备可持续修改、升级和完善的能力，并提供长期供货保障的全程可管可控的能力。

目前，我国的通用处理器市场被Intel等跨国公司垄断，操作系统和大型数据库等基础软件大部分来自国外。即使是联想和华为等国有品牌的产品，其核心元器件也不是自主可控的。每当国外核心技术升级换代时，就不得不再次引入国外新一代的技术，设备研制、技术发展只能受制于人。

随着我国信息化进程不断深入，信息技术获得较大发展，芯片、集成电路和基础软件等一大批具有自主知识产权产品的研发，提高了我国信息产业的竞争力。在硬件自主化方面，中国科学院研制的龙芯处理器和国防科技大学研制的飞腾系列处理器，都已经在消费类电子、高端嵌入式和桌面计算系统等领域得到了广泛的应用；软件自主化方面，随着我国近年来大力度的核心基础技术自主化研发工作的开展，基础软件平台的国产化水平也得到大幅提高，典型的产品包括麒麟服务器操作系统、达梦数据库、金仓数据库和神舟OSCAR数据库管理系统等。这些软硬件平台的自主化和国产化的发展，打破了西方发达国家对网络设备核心技术和核心部件的垄断地位，消除使用国外产品带来的后门和漏洞等安全隐患，为我国网络设备的自主生产、自主保障和可持续发展提供支撑。

4　自主的网络空间安全体系

通过软硬件平台基础设施自主化、软件应用自主化、网络体系结构自主化，实现从单一设备的自主可控，到整体网络的自主可控。

⑴构建自主可信的软硬件平台基础设施

面对XP停止服务，Windows黑屏等事件，倪光南院士认为要从信息安全的角度看待和处理这一事件［5］，大力发展我国智能终端操作系统，发展我国自主的操作系统。同时，通过分析可以发现，很多超级病毒也正是利用了诸如微软等操作系统漏洞，或者在网络传输设备如思科交换机上预留后门，从而导致了机密信息的泄露和网络攻击。基于上述需求，需要尽快通过构建自主可信的软硬件平台基础设施，摆脱我国网络和设备被国外掌控的局面。

基础设施层面，通过研制自主芯片、自主操作系统和自主数据库等核心软硬件产品，保障网络设备组成元器件和平台的自主可控；同时，积极引入可信计算的思想，针对自主芯片、主板、软硬件平台和操作系统等增加可信启动、可信度量和信任传递等安全机制，从根本上杜绝恶意代码和木马病毒等的入侵和注入攻击。

（2）自主研制的软件应用

新一代信息技术正加速从硬件主导转向软件主导的趋势，软件定义网络（SDN）和网络功能虚拟化（NFV）等新兴技术的发展，使得在信息领域中，由“软件定义”的场合不断增多。美国政府机构正是利用“脸谱”和“推特”等新媒体，引导了埃及危机从酝酿、爆发、升级到转折的全过程，成为事件发展的“催化剂”。由此可见，软件与网络空间安全的关系十分密切，需要大力发展基于自主研制的软件应用技术：充分利用开源软件与自主研发等方式，实现软件的可管可控；国家层面加大科研创新的投入，提高航空、航天及国防等关键领域的大型化工业软件的自主创新水平；重视互联网软件应用的自主化，保障核心部门信息支撑平台和应用服务器的自主可控。

（3）自主可控的网络体系架构设计

通信网络在设计之初，对网络安全问题的考虑不足，于是出现了核心简单和边缘复杂的网络安全模式。传统的网络安全防护手段，主要包括病毒查杀、安全扫描、入侵检测、防火墙和访问控制等技术，这些技术主要是通过在网络边缘部署相应的安全防护设备，对流量进行监测，对信息进行访问控制，本质上都是基于不断升级或补充特征库或攻击模式的方式来对网络安全问题做出被动响应。随着网络安全形势的日益严峻，查漏补缺、外围封堵的传统网络安全模式正在走入“死胡同”，已经难以抵御迅速增长的威胁和攻击，更不能从根本上彻底解决网络的安全可信问题。

为了解决上述问题，必须从根本上提高系统和网络的自主性、安全性和可信性。在网络体系设计上，将可信计算的思想纳入到网络设计中，使得网络中各类实体运行在一个彼此可信的环境中，从根本上杜绝各类入侵和攻击行为的发生；同时，考虑网络本身的抗毁、抗扰和自身安全性，对网络管理、路由和控制等各类网络基础协议进行安全防护，通过研制自主协议、对现有协议进行安全加固等方法，提供可靠的信息安全传输保障；此外，还要考虑网络用户的真实性、合法性问题，通过研制自主化的接入鉴权和认证机制，实现对用户和设备的真实性保障，杜绝非法接入和越权访问等安全风险。

5　结束语

我国网络空间安全的根基还比较脆弱，至关重要的安全芯片、网络协议、数据库和操作系统等核心软硬件严重依赖美国等发达国家，这使得我国的信息网络存在严重的安全隐患。因此大力推广自主化技术的发展，研制自主可控、自主生产和自主保障的可持续发展的软硬件技术和基础支撑平台，消除使用国外产品带来的后门等隐患，具有十分重要的意义。

［1］吴承泽.美国网络安全与网络战政策探析［D］.吉林：吉林大学，2013.

［2］方兴东，张笑容，胡怀亮.棱镜门事件与全球网络空间安全战略研究［J］.现代传播：中国传媒大学学报，2014（1）：115-122.

［3］吴巍.赛博空间技术发展现状与通信网络安全问题［J］.无线电通信技术，2012，38（3）：1-4.

［4］张文木.国家战略能力与大国博弈［M］.山东：山东人民出版社，2012.

［5］倪光南.发展国产智能终端操作系统是当务之急［J］.世界电信，2014（8）：22-25.

Research on Independent and Controllable Cyberspace Security Technology

JIA Zhe，ZHANG Lin-jie
（Science and Technology on Information Transmission and Dissemination in Communication Networks Laboratory，Shijiazhuang Hebei 050081，China）

With the development of Internet，the countries all over the world pay more and more attention on Cyberspace security and the situation of Cyberspace confrontation is increasingly severe.The vulnerability and back-door are considered as the root cause of Cyberspace security problems.For the current situation of equipment attacked by back-door，and the technique controlled by others，this paper proposes the independent Cyberspace security architecture controllable from single equipment to the whole network based on independent software/hardware platform，software applications and network architecture，which can achieve the long-term guarantee for Cyberspace security.

Cyberspace security；independent and controllable；back-door；vulnerability；information monitoring；trusted computing

TP393

A

1008-1739（2015）14-59-3

定稿日期：2015-06-26