等保2.0下可信计算在网络安全防御体系中的有效性研究

曹军奇

摘要： 我国等级保护制度正式进入2.0时代，等保2.0纳入了云计算、大数据、AI等方面新内容，由传统的计算机信息系统防护转向云计算、移动互联、工业控制、物联网和大数据等新型计算环境下的网络空间主动防御体系建设。本文在分析传统网络安全防御体系存在问题的基础上，结合等保2.0新要求，深入分析了可信计算3.0在构建主动防御体系中的作用，并针对网络安全动态变化存在的问题给出了切实可行的主动防御实施建议。

关键词： 等保2.0 可信计算3.0 网络安全防御体系

一、引言

当前网络攻击手段层出不穷，网络安全态势依然严峻。国家互联网应急中心发布的第43次《中国互联网发展状况统计报告》指出，我国网民规模达8亿之多，互联网普及率达59.6%。发展迅猛的互联网在带来便利的同时，随之而来的安全挑战也不容忽视。国家互联网应急中心发布的报告显示，2018年勒索软件攻击事件频发，变种数量不断攀升，国家互联网应急中心捕获勒索软件近14万个，全年总体呈现增长趋势，关键信息基础设施等面临的安全风险仍很突出，APT攻击、数据泄露、分布式拒绝服务攻击等问题也较为严重。云计算、大数据等新兴技术兴起，更多的信息系统部署到云上，特别是涉及民生的信息系统和基础设施，假如被攻击，结果不可想象，被动式的传统查杀方式已凸显不足，建立主动防御体系势在必行。2019年5月，随着网络安全等级保护2.0核心标准正式发布，我国网络安全等级保护已进入2.0时代。在防御方面，由传统的被动型信息防护转向了新型环境下主动防御体系建设，等保2.0时代下重点对云计算、大数据安全等进行全面安全防护，以此保障信息基础设施安全。

二、传统网络安全防御体系存在的问题

当前网络安全形势严峻，近年来的网络安全事件暴露了传统网络安全防御技术存在的问题，被动式的防御技术难以抵御和预防未知、潜在攻击，难以应对越发复杂智能化网络入侵，传统网络安全防御体系主要存在如下几个问题：

第一，安全基础不可控，主动防御缺失。传统的被动防御难以从根本上保障信息系统安全，例如传统的网络安全防御思想是在现有网络体系架构的基础上建立，包括防火墙和安全网关、入侵检测、病毒查杀、访问控制、数据加密等多层次的防御体系，来提升网络及应用的安全性。传统的防御方式，是利用已知的方法防范已知的威胁，相当于在网络资产宝箱外面加了一把锁，尽管能够抵挡一般的攻击行为，但遇到猛烈而有组织的攻击会被轻松攻破。

第二，安全管理人员思想认识不够，缺乏对等级保护工作经验，自身防范意识不强，相关制度不规范，缺乏有效的工作流程。在安全管理工作中，尚未形成统一标准，又由于攻击方式多样，即使制定应对措施，也会存在管理规范的漏洞，这些因素都会影响等级保护制度的贯彻落实[1]。

第三，相关标准跟不上技术的发展。当前云计算、大数据、物联网等新兴技术的快速发展，所带来的便捷服务受到更多客户青睐，在带来巨大市场机遇的同时，也带来了安全问题，等级保护相关政策的滞后，安全性方面已不能满足新型信息系统的需求[2]。

三、等保2.0下新要求

当前，为适应新兴领域信息系统的等级保护工作的需要，公安部正式发布《网络安全等级保护条例（征求意见稿）》，等级保护正式迈入2.0时代。

新标准包含了网络安全等级保护定级指南、实施指南、基本要求和测评要求，其中新修订的《网络安全等级保护基本要求》包含安全扩展要求六个部分，等保2.0主要呈现以下几个特点：

（一）可信计算

其基本思想是先建一个信任根，其可信性由物理、技术和管理安全共同确保;然后建一条信任链，从信任根开始到软硬件平台、到OS、再到应用，逐级上升，最后将信任应用到整个系统，从而确保整个系统可信。对比等保1.0、2.0，3.0增加了可信计算的相关要求。可信计算贯穿了等保2.0四级标准，对通信网络、区域边界有明确要求。

（二）安全监测

以事件为基础，采集网络安全日志及数据运行日志信息，通过大数据分析等形式，实时监测风险点，可实现风险识别、事件报警，同时包含网络流量、网络链路、网络攻击与审计等多维度。

（三）通报预警

新标准中要求构建网络安全事件预警和通报制度，同时能够准确把握本领域基础设施运行情况以及安全风险情况。

（四）应急处置

当信息安全事件发生，能够采取一定急救措施，将损失和影响降至最低，这就要求系统具备快速识别能力，其次具有内容信息被篡改、系统不可用时的应急措施。

四、基于可信计算3.0构建主动防御体系

可信计算通过验证计算机组件的运行状态，以启用计算机组件的冗余备份和故障转移。但由于纯软件实施的安全机制极易受到攻击。故出现了以TCG组织为代表，通过向计算机终端来添加硬件以此实现TPM的信任，通过建立信任链，以此来实现终端可信，硬件的引入代表可信计算迈入2.0时代[3]。由于通过添加硬件的可信计算是采用主程序调用外部连接的TPM芯片来实现的被动度量。因此，我国提出了一种“主机+可信”双节点主动免疫可信計算架构，受信任机器在运行时监控和验证主机。同时，我国可信计算技术将可信验证对象扩展到整个信息系统，实现主动免疫保护，从此迈入可信计算3.0时代。

积极信任的可信计算架构可以为信息系统构建一个活跃而完整的信任系统，使他们能够在计算时执行安全保护。及时识别“自我”和“非自我”组件，并计算整个过程可测量和可控制而不受干扰。这可确保计算结果始终与预期相同，从而防止已知、未知病毒入侵特洛伊木马。基于主动免疫可信计算架构，不仅可以为单个设备构建完整的信任链，而且还可以利用可信连接机制，验证网络中的其他设备实现计算节点之间的可信互连，从而进一步扩展了信任机制[4]。为构建可信的信息系统奠定了基础。

五、对策建议

等级保护2.0实施环节要从被动防御的安全体系向事前预防、事中响应、事后审计的动态保障体系转变，传统的网络安全保护理论已不能适应网络安全动态特性。基于等保2.0主动防御思想，构建以主动免疫为特征的主动防御系统势在必行。

第一，构建网络安全技术防御系统，提高可信度和主动防御新标准，解决当前网络安全保护政策标准的滞后性及难以满足新信息系统的安全性要求问题。云计算和物联网新兴技术正面临新的要求，所有行业都连接到互联网;新兴技术带来了新的安全威胁，并对信息安全防御提出了新的挑战。建立新信息系统的主动免疫、主动防御和水平保护标准，并改进对实施分级、评估和管理的技术支持。

第二，加强信息安全学科建设，培养信息安全专业人才队伍。尤其需要的是技术熟练的业务骨干，如网络安全对抗人才。针对社会缺乏信息安全人才、学科建设不健全等情况，应采取相应措施。

参考文献：

[1]沈昌祥.可信计算3.0筑牢网络安全防线[J].信息安全研究，2017（03）.

[2]何占博，王颖，刘军.我国网络安全等级保护现状与2.O标准体系研究[J].信息技术与网络安全，2019（03）.

[3]陈卫平.可信计算3.0在等级保护2.0标准体系中的作用研究[J].信息安全研究，2018（07）.

[4]沈昌祥，陈兴蜀.基于可信计算构建纵深防御的信息安全保障体系[J].四川大学学报（工程科学版），2014（01）.

作者单位：中国人民银行焦作市中心支行