现代网络安全体系的使命目标与必备能力解析

谢军

摘 要：本文通过对现代网络安全体系内生安全理念的阐述，明确安防体系的价值主要体现在“提能力、能应变、保弹性”，解析现代网络安全体系的必备能力。

关键词：网络安全体系;目标;能力

中图分类号：TP393 文献标识码：A 文章编号：1671-2064（2020）07-0036-02

网络安全体系向信息体系的嵌入与影响越来越深刻，通过技术创新和业务融合对不同安全协议、安全机制和安全措施的聚合，实现对下一代网络的全面安全治理;执行“自主以生”的技术路线，使得内生安全防护具备自主驱动力，能够同步甚至前瞻地适应网络变化，以衍生网络内在稳定的防御能力。

1现代网络安全体系内生安全理念

现代网络安全体系建设的总体价值，是保障各级业务部门在任何时间、任何地点，以任何方式，使用信息资源、运用信息系统、展开业务活动的能力，简称为“使命确保”的总体目标。具体而言，“使命确保”是指：为应对即将（正在、已经）发生的不利环境（或情况），确保职责使命、业务活动、工作任务所依赖的网络信息资源或信息系统，在设计、开发、生产、部署、运行、管理等全生命周期，实施预先准备、持续运行、顽强抵抗、恢复重建和适应演进的能力。

网络安全体系的价值，不仅仅是保护网络信息体系安全，这只是手段、途径或中间态，而不是最终目标。安防系统的价值，不在于清除了多少恶意代码，发现了多少个漏洞威胁，阻止了多少次攻击渗透，部署了多少安全装备，而在于有了安全，让多个系统连接到网上，多少数据存在网上，多少用户持续在线，多少网络连接，多少业务上线。正是由于安全的存在，让我们延伸了业务的边界，让我们增加了系统的存在，让我们拓展了活动的空间。具体而言，安防体系的价值主要体现在“提能力、能应变、保弹性”。

1.1提能力：确保网络信息系统的高效运用

在“一切皆由网络控制”的信息时代，网络安全“零日威胁”近在咫尺。网络不仅消弭了线上线下和前方后方的边界，也使得业务安全对网络技术的依赖性越来越强，整个安全体系中任何一个信息化设备都有可能成为信息安全屏障的突破口，直接威胁业务安全，最终破坏总体安全。为此，网络信息系统组织运用总是受到安全保密问题的掣肘，网络信息化建设难以突破安全桎梏，导致各级业务部门实际运行受到较大影响。

大力推进安防体系建设，推动网络与信息化同步规划、同步建设、同步实施，让安全设施真正成为信息基础设施的一部分，不是就安全论安全，也不是一味强化安防本身，恰恰正是着眼于打破安全枷锁、突破安全桎梏，通过全面展开安全建設促成“透明无感”的安全防护体验，通过安全能力全面提升实现网络信息系统的高效运用。换言之，只有真正投入资源建设安全，改变安全能力低弱的窘境现状、进而实际提升安全能力，才能真正推动信息系统全面成体系运行使用，全面提升信息化建设效益，而不是陷入“不够安全不敢用”“没有运用不尝试”“没有成效不投入”的不利格局。

1.2能应变：确保网络信息系统的动态防护

网络空间攻防，总是在动态对抗的过程中不断探寻彼此的漏洞和短板，尽可能地获得阶段性对抗的相对优势。攻防双方对抗边界总是动态变化的，攻防技术能力在对抗过程中实现螺旋式上升;攻防双方对抗主体也是动态变化的，新型网络威胁行为体不断显现，新兴网络攻击手段方法不断翻新，持续深化的信息化建设不断带来新的安全暴露面。

传统安防体系，是通过不同安全防御产品的部署、累积实现筑高墙式的安全防御，被动地应对攻击者不断变化的攻击手段。新型安防体系，立足于更加积极的安全防御模式，通过建立覆盖全网的态势感知与自动响应系统，实施威胁感知主动发现、异常活动分析研判、攻击迹象通告预警、安全事件响应处置、攻击活动追踪调查和复盘整改，构建形成自适应持续运行的安全闭环，并进一步针对网络关键信息基础设施实现更加主动有效的全方位体系化防护，能够有效对抗目标意志坚定的高水平对手，在日益严峻、持续变化的网络空间风险与威胁形势中确保网络信息系统安全可靠。

1.3保弹性：确保网络信息系统的持续运转

网络空间平战一体、隐蔽性强，无需实体空间调动和调整部署，就可在没有明显征兆的情况下，在极短时间内提高攻击强度和加快攻击节奏，易达成攻击的突然性，新型的网络闪击战将成为未来网络战争的重要样式。美军133支网络任务部队已于2018年6月全面形成作战能力，美网络空间司令部升级为一级职能司令部，实际具备了战略层面的指挥能力，同时与其他军种进行跨域融合，嵌入基本战术作战单元，随时保持高度战备状态，在战术层面形成网络作战力量与常规作战力量的整合使用。未来如果爆发战争，相信在网络空间将会打响战争的“第一枪”，以夺取制网权为目标的网络战将成为作战各方竞争的焦点。

也就是说，战争情况下国家网络信息体系是作战对手发动攻击的首要目标，网络空间安全防御能力是我们的第一道防线。安防体系建成后，形成稳定可靠的安全能力输出，能够真正让各级各类网络信息系统运行起来，切实保障业务链路常时畅通、持续有效，确保业务指令、业务活动得以依托网络快速展开，实现通信链路的全时贯通、业务信息的全时受控、业务系统的连续运行、业务体系的安全可靠。

2现代网络安全体系的必备能力

现代网络安全体系建设，按照全域覆盖、自主决策、主动防御的设计理念，技术和管理并重、可靠和好用兼顾、安全防护和信息系统一体，全力打造态势全网感知、设备协同联动、结构动态捷变、技术高效融合的动态安全防御体系。体系必备能力如下。

2.1 无边界纵深防御能力

能够在多条安全防护战线上使用不同的防御手段来构建多层安全防护体系，支持安全设施能力全平台统一调配，确保在外层防御被渗透或被突破时内层能够有效阻断甚至反制攻击行为。整个防御体系可以没有明显边界，但每个重要资产之外都有边界防护能力，提供整体安全保障能力，确保业务网络无惧新型安全攻击威胁。

未来网络信息体系的网络边界、数据边界、应用边界非常模糊，安全防护措施不应该停留在边界，而是进入网络信息体系所有关键环节，在各个分系统设计之初就充分考虑安全要求，各个分系统的业务需求与安全需求相互融合，安全能力完全融入各个分系统的方方面面，形成技术先进、设施完备的多层次纵深防御阵地，对外能够有效阻断外来敌对势力的攻击，对内有效遏制内部人员的违规和恶意行为，真正做到“拿不走数据、打不瘫网络、阻不断应用、隐不掉踪迹”。

2.2无死角态势掌握能力

能够构建全网尺度范围上的威胁“发现—检测—防御—响应”安全运行闭环，全方位全流程掌握网络运行安全态势，支持大尺度、多维度、多层次安全态势展现，小到单台虚拟机安全状态、大到平台整体安全情况，都可以及时掌握并持续检测安全威胁，结合历史安全事故和威胁情报进行未知威胁分析检测，做出安全威胁预判和防护措施预置，以及安全事件应急自动化响应。

网络信息体系的资产类型多样、业务活动丰富、信息交互频繁，安全事件爆发从来不局限于一隅，其影响与危害程度也很难控制在较小范围内，需要全方位监测通信网络与业务系统产生的海量安全数据，研判掌握全局安全态势，结合本地化威胁情报，实现安全威胁全程可知、可视、可防、可控，大幅提升安全事件的应急响应能力，避免恶性安全事故在业务网络内扩散蔓延，推动网络信息系统安全保障从技术系统向安全运行的迭代演进，推动网络信息系统安全能力建设向更高层级跃升。

2.3无特权数据管制能力

采用零信任架构，能够唯一使用人的身份来进行数据资源使用安全控制，不允许使用IP地址、主机标识之类的静态上下文环境信息为作为访问控制的依据，平台不相信任何人，平台所有的资源，包括硬件、软件、模型、算法、应用、接口、协议、VPN等等，使用者在访问之前都必须经过严格身份认证，认证通过后才能使用。

基于用户行为和环境上下文进行动态权限管理，根据任务、身份、安全环境等多种因素进行可信关系计算，对数据使用情况进行全过程审计与行为分析，真正将数据分级分类管理和最小访问权限原则贯彻落实，落实到系统设计和程序逻辑上，落实到工程实践和业务运行上，权限控制粒度能够细化到具体的业务功能接口方法、数据字段、数据行且支持控制粒度配置，能够在线即时审核用户访问授权请求，支持按照事前预置的权限控制策略来审核请求，而不必按照行政结构层层审核，支持动态风险识别和报警预判。

2.4无间隙安全服务能力

网络信息体系建设将汇聚各类业务、数据和应用资源，为业务活动的智能化升级提供了信息基础，但同时也带来了极大的安全隐患。如果没有对信息安全的绝对保障，將重要业务活动、敏感数据、特殊信息进行汇集和分析计算的风险将会无限放大。未来网络信息化建设将涉及到固定网络环境、移动网络环境、云计算环境和数据中心环境，新的基础架构、新的数据资源、新的应用体系，以及数万量级用户群体都对网络信息安全提出前所未有的挑战。

现代网络安全体系建设，使用先进的安全防护技术能力和管理保障制度，解决信息化建设的“阿喀琉斯之踵”（死穴），让信息安全不再成为阻碍信息化建设深化推进的“拦路虎”“绊脚石”，让安全建设服从服务于业务建设，让安全系统能力全方位融入强化业务信息体系，为加快推进业务工作信息化进程、提高各级信息系统效能提供有力支撑。