以密碼為基因的網絡安全防護體系研究

隨著國家數字化轉型戰略的推進，大數據、云計算、人工智能等技術得到了廣泛應用，網絡安全進入了一個新的時代。在迎來巨大發展機遇的同時，關鍵信息基礎設施作為事關國家和社會穩定的重要戰略資源，其地位日益凸顯，但也面臨著嚴峻的考驗。密碼技術作為保護網絡安全的重要手段，對建立網絡主體身份體系，確保數據機密性、完整性，構建覆蓋全面、安全可靠的網絡安全防護體系有著至關重要的作用。圍繞數字化轉型推進過程中關鍵信息基礎設施領域存在的網絡安全問題及需求進行分析，提出了 c-DNA 密態防護安全理念和以密碼為基因的網絡安全防護體系，并對未來的發展趨勢和挑戰進行探討。

近年來，針對關鍵信息基礎設施的重大網絡攻擊事件頻頻發生。2021 年 5 月，美國最大輸油企業科洛尼爾管道運輸公司遭受勒索病毒攻擊，令美東海岸 45% 的汽柴油、航空燃油等供應中斷近一周。除此之外，智利銀行系統、愛爾蘭衛生系統、伊朗鐵路系統、美國最大輪渡服務商、沙特國家石油公司阿美石油、南非港口等也相繼曝出遭受黑客攻擊。網絡攻擊的對象已經從傳統的IT系統擴大到關鍵基礎設施，嚴重危害各國安全與穩定。

網絡安全威脅加劇，“統籌發展與安全”是黨中央的重大戰略安排，安全是發展的前提，發展為安全提供保障。《網絡安全法》《密碼法》《數據安全法》《關鍵信息基礎設施安全保護條例》《個人信息保護法》等網絡安全政策法規逐項出臺、落地，極大地推動、規范和促進了網絡安全工作的開展，標志著國家對各組織機構提升網絡安全保護能力、維護國家網絡安全提出了新的、更高的強制性要求。

密碼技術作為一種保護信息安全的技術，通過運用密碼來保證信息在傳輸和存儲過程中的安全性，在網絡安全領域扮演著重要的角色，是構建網絡安全防護體系的基石。

網絡安全防護體系是護航國家安全的重要基石和內在基因，在構建時需瞄準需求牽引和能力生成，堅持體系建設，通過監測預警、縱深防御、效能評估的動態防御閉環，實現網絡安全防護體系可持續演進、信息防御能力可持續增長；堅持內生安全，以密碼筑牢安全保密基因，將安全保密融入通信網絡、數據中心、服務平臺以及行業應用等各個層次，打造實體身份可證、信息全程保護、網絡行為可控、基礎設施可信的網絡信息運行體系；堅持自主可控，全面采用國產化軟硬件系統構建安全可靠的網絡防線。

問題及需求分析

1.1　存在問題

目前在實際工作中，網絡安全建設大多依照等保、分保等要求進行，而等保、分保中相關防護要求則主要圍繞業務層面開展。這種模式下建成的網絡安全體系在面對臨時組網、動態網絡、跨網跨域數據傳輸和未知威脅攻擊等復雜應用場景時，存在網絡安全資源分散、各自為戰的問題，給網絡安全帶來了前所未有的安全風險。

1.1.1　安全風險

（1）臨時組網、無線接入等場景下物理安全風險。比如選址不當、物理安防不到位、電磁信號泄露等，可能導致因物理途徑造成失泄密。

（2）動態網絡、無線接入場景下網絡安全風險。比如動態、臨時授權訪問、信息監聽、拒絕服務攻擊、身份偽造等，可能導致網絡非授權訪問和數據泄露。

（3）任務驅動網絡的數據安全風險。比如動態、臨時權限訪問控制、無線傳輸泄密、數據權屬不清、隱私保護等，可能導致數據處理過程中發生涉密和敏感信息泄露。

（4）跨領域多用戶帶來的應用安全風險。比如動態授權訪問、病毒、風險擴散、審計不全等，可能導致網絡癱瘓、系統故障、安全風險無法發現。

（5）對未知威脅的識別發現和預警風險。比如高級可持續威脅攻擊等，可能導致網絡和信息系統受到未知威脅的攻擊。

1.1.2　關鍵問題

（1）標準問題。現有安全保密標準注重網絡物理隔離、系統分級分域、操作審批審計、載體嚴格管控以及先方案評審后系統測評等技術和管理措施，采用相對靜態、隔離的方式實現涉密信息系統的安全，比較適用于涉密辦公、日常管理等業務。但是云、容器等新技術的應用，一定程度上突破了物理隔離、分級分域的限制；大量接入測試、工控、無線終端等無法采用傳統的終端防護方式；入網設備數量隨項目不同變化較大，導致安全保密范圍頻繁變化。上述與安全保密規范的矛盾阻礙了網絡打通和數據匯聚，限制了國家關鍵信息基礎設施建設和各領域的數字化轉型工作。

（2）管理問題。當前，我國網絡安全力量初見雛形，出現了一批網絡安全專業隊伍，部分單位建設了運營平臺，在日常指揮調度和專項行動計劃中發揮了重要作用。但由于整體網絡安全能力和資源分布不均衡，未形成有效合力，沒有形成上下貫通、整體聯動的指揮保障體系，整體效能還需提升，使得網絡安全運營面臨較大壓力，網絡安全停留在部署安全產品階段，難以抵御有組織的網絡安全攻擊，必須向“安全運營”“安全服務”演進。

（3）建設問題。信息系統建設時，安全系統建設滯后，靠打補丁對信息系統進行安全功能建設，與信息系統結合不緊密。需要什么樣的安全功能就要增加什么樣的安全設備，安全設備與通信網絡結合不緊密，容易出現瓶頸，業務應用安全性不足，該加密的不加，該控制的沒有手段，導致系統整體安全效能差，不成體系，未能有效推動和改進信息安全技術水平，未能有效提高應急處置能力和安全防范能力，未能有效提升安全服務能力和運作效率。

1.2　需求分析

當前，隨著數字化轉型發展戰略的推進，關鍵信息基礎設施領域的網絡安全建設所面臨的復雜場景與傳統網絡安全建設具有明顯不同的特點，在安全動態組網、網絡實體接入管控、數據全生命周期安全保障、網絡安全主動防御、安全運營、標準規范 6 個方面具有內生的安全保密需求。

1.2.1　安全動態組網需求

安全動態組網方面存在的安全需求可以分為以下 4 個方面。一是需要融合組網安全，通過將安全能力融入到天地互補、有線無線“一張網”內，整體提升網絡安全保密能力。二是需要智能安全策略，為網絡提供統一的邊界防護、安全訪問控制、安全審計策略和配置基線以及安全策略智能編排的需求。三是需要智能化的統一安全監管，面向全網實現統一的網絡安全風險監測、安全事件響應處置的需求。四是需要自主可控，全面采用國產化軟硬件系統，構建安全可靠的自主網絡平臺。

1.2.2　網絡實體接入管控需求

（1）實體管理需求。建立網絡實體管理制度，對涉密人員、涉密單位、涉密設備、涉密應用等進行規范管理；對人員進行嚴格的背景審查和身份認證，根據崗位管理要求，完善上崗、在崗、離崗、離職管理；對設備單位的資質、管理、業務等進行持續跟蹤；對設備進行全生命周期管理和監控；對涉密應用 App 開展定期檢查，確保安全使用。

（2）權限劃分需求。網絡實體按最小授權原則進行權限劃分；網絡實體授權管理員間的權限應能夠相互制約、互相監督，避免由于權限過于集中帶來的安全風險；對各類網絡實體的權限進行統一描述、統一管理、統一監控。

（3）訪問控制需求。提供網絡實體身份管理、身份鑒別、身份互信、權限管理、應用訪問控制、身份認證審計等能力，對可信網絡實體實現可信身份傳遞、身份跨域互信、異構身份聯動等功能。

1.2.3　數據全生命周期安全保障需求

數據作為一種新型生產要素，已成為經濟社會發展的核心驅動力，同時，日益嚴峻的數據安全風險使得數據安全已成為事關國家安全與經濟發展的重大問題。數據安全要求提供機密性、完性、真實性、可用性和不可否認性的五維防護，以及為數據提供標識、策略、控制、監管的管控措施，包括數據分級分類管理、數據傳輸存儲安全、數據共享交換安全、數據訪問控制安全、數據跨網隔離安全、涉密數據安全利用 6 大類需求。

1.2.4　網絡安全主動防御需求

現在的網絡攻擊具有隱蔽性、長期性的特點，攻擊手段日趨智能，通過物理隔離和部署安全盒子的方式已經不能形成攻不破的“鐵桶陣”，必須堅持“動態防御”的理念，做好“內管行為、外控攻擊、多維感知、智能決策”，實現全域、全流程態勢清晰展示、安全威脅主動發現和處置。共涉及以下 4 個方面的需求：

（1）態勢感知與決策響應需求。需要依托安全情報、安全監控，快速發現安全攻擊，全面掌握整體安全態勢，并通過智能化安全策略管理支撐安全決策響應。

（2）攻擊溯源需求。需要依托專業分析工具和安全專家，實現對安全攻擊源的定位和攻擊路徑還原，支撐網絡執法，并對潛在攻擊者形成有效威懾。

（3）保密違規監管需求。基于保密管理制度要求，實現對違規外聯、失泄密行為的識別和監控。

（4）網絡異常行為預警需求。基于提前發現、早期介入的保密管理要求，基于數據挖掘、智能分析技術，識別發現業務人員在網絡和系統中的異常行為。

1.2.5　安全運營需求

目前在網絡安全實際工作中，各單位網絡安全工作負責人主要由網絡管理員、系統管理員等兼任，缺乏專業技術人員將保障措施有效落地，專業隊伍建設有待加強。網絡安全組織與隊伍人員匱乏不利于網絡安全保障能力提升，因此，需要進一步完善組織架構和崗位設置，提升網絡安全服務團隊專業水平，強化支撐機構的運維能力、安全事件監測發現能力、應急處置能力。同時，需要以安全應用業務、安全通信網絡需求為牽引，把安全需求貫穿到信息化建設與管理的全領域、全過程，主導規劃制定、體系設計以及系統建設。

1.2.6　標準規范需求

現有安全保密技術規范和管理制度尚未完全覆蓋人工智能、大數據、云計算、物聯網、5G 等新技術的應用，以及跨網跨域、無線接入等復雜業務應用場景，需要統籌現有各項技術規范，研究、發展和完善標準體系，并做出一定的制度突破，以指導網絡安全防護體系建設和安全運營工作。

c-DNA 密態防護安全理念

在國家戰略需求的引導下，圍繞網絡安全典型問題及需求，以建設對抗性網絡為目標，借鑒擬態防御、主動免疫安全防護、主動防御體系等先進安全理念和體系的成果，進行網絡安全防護體系的總體設計。

本文基于上述思路，研究提出“c-DNA 密態防護安全理念”，將“以密碼為基因、以數據為中心、網絡動態防御、智能主動防御”融入技術、管理和運營體系框架，通過打造人員、設備入網可信可管、數據流轉可信控制、網絡攻擊可動態防御、安全事件可追溯、人員行為審計全記錄、安全態勢可視可感的能力體系，護航網絡安全建設。

c-DNA 密態防護安全理念的目標是為新型網絡信息系統提供安全動態組網、彈性邊界防護、實體全域可信接入、數據全生命周期安全可控等實用化安全能力。c-DNA 密態防護安全理念如圖 1 所示。

圖 1　安全理念

c：以密碼為基因（Cipher），密碼是安全保密的基石，基于密碼技術實現數據安全、平臺安全、網絡安全等。

D：以數據為中心（Data-Centralizing），數據是企業的重要資產，是重要保護目標，安全防護設計應以數據為中心，圍繞數據的全生命周期進行。

N：網絡動態防御（Network Dynamic Security），面對網絡動態組網過程中的安全風險，采用動態安全策略配置、終端安全度量、安全風險評估、敏感數據和虛擬資源清除等動態防御措施。

A：智能主動防御（AI&Active Defense），依托安全大數據和智能化分析技術，構建全天候、全方位的網絡安全態勢感知能力。

以密碼為基因的網絡安全防護體系

打造實戰化、體系化、常態化網絡安全防護體系，以全面支撐數字化轉型和發展已成為當前網絡安全防護的總體目標。網絡安全防護體系框架應統籌網絡安全管理、技術防御、運營保障體系建設，設計應遵循國家網絡安全法律法規要求，落實網絡安全管控，全面覆蓋數字化業務和數字化基礎設施的安全保障需求，防范針對重要信息系統的惡意網絡攻擊、防范重要業務數據及客戶敏感信息泄露、防止由于網絡安全引起的影響性事件，有效應對日益嚴峻的網絡安全形勢。

本文基于“c-DNA 密態安全防護”的設計理念，提出以密碼為基因的網絡安全防護體系，由基礎安全支撐、網絡動態安全、計算環境安全、數據安全管控、行為安全、監測預警與智能聯動、安全管理和安全運營組成。網絡安全防護體系框架如圖 2 所示。

圖 2　網絡安全防護體系框架

3.1　基礎安全支撐

針對人、單位、設備、應用等采用實體化思想，面對各類實體的統一認證、跨域信任、數字證書、密鑰管理、數據統一標識和統一密碼支撐等需求，依靠統一網絡信任和統一密碼服務為網絡實體提供數字證書、信任服務、密碼密鑰管理和基礎密碼運算能力支撐。

3.2　網絡動態安全

面對復雜異構的網絡和面向任務的靈活動態組網安全需求，體系通過終端安全度量、網絡接入鑒權、邊界風險監測、數據加密傳輸等技術保障網絡安全保密合規，增強動態組網的協同安全防護措施。

3.3　計算環境安全

為確保終端、網絡、服務器，以及云和大數據平臺安全可控，采用虛擬資源隔離、主機安全防護、可信計算、安全存儲、安全容器等技術，為數據資源管理、數據分析應用提供安全基座。

3.4　數據安全管控

圍繞數據共享交換、數據分析應用兩個方面進行，采用數據安全標簽、數據分級分類、數據權屬保護、密文計算、安全多方計算、保型保序加密、數據脫敏等技術實現科研保障網數據中心形態多樣、密級多樣、流轉廣泛的高敏感、高價值的數據全生命周期保護。

3.5　行為安全

依靠 CA、信任系統，基于密碼技術、多因子身份認證技術實現統一身份認證、跨域認證授權；同時基于數據挖掘、智能分析技術識別人員異常行為和基于保密管理制度進行違規外聯、失泄密等違規行為監控。

3.6　監測預警與智能聯動

依托安全大數據和智能化分析技術，重點落實態勢感知、攻擊預警、追蹤溯源、綜合呈現等安全功能，形成智能安全中樞，支撐“態勢可感、攻擊可防、行為可溯、智能編排、綜合防護”能力目標的實現。

3.7　安全管理與運營

采用安全策略智能編排、響應技術與風險評估技術等，從組織、管理、流程、制度、技術等多個方面綜合考慮，形成安全協同保障機制，提升全網安全防護能力。

未來發展趨勢

當前，全球網絡安全形勢依然嚴峻，針對關鍵行業和新技術、新場景的網絡安全威脅事件頻發，迫使各國持續深化關鍵基礎設施安全舉措，強化新技術、新應用安全風險防范。以密碼為基因的網絡安全防護要推動密碼與網絡安全持續深度融合，構建新網絡安全防護體系，建設新網絡安全環境，形成新網絡安全文明。以密碼為基因的網絡安全防護在未來的主要發展趨勢如下文所述：

（1）隨著量子技術、云計算、大數據、物聯網、人工智能、區塊鏈等新興技術的廣泛應用，數據濫用和數據泄露等問題已成為信息化發展中的嚴重阻礙。針對數據全生命周期各個階段，研究基于密碼與安全標識的數據全生命周期安全防護技術，是密碼保護數據安全的重要研究趨勢。

（2）密碼與網絡信息產品和系統的融合程度不高，這一方面是由于密碼標準與信息化標準間的不協調性導致的，另一方面是由于密碼在網絡和信息產品研制之初并未被考慮在內。在未來的信息化發展中，在網絡生態上，包括移動通信網、物聯網、廣播電視網等基礎通信網絡；在云管端生態上，包括云平臺底層設備和架構、網絡管道設備、移動智能終端和瀏覽器；在工業產品生態上，包括通用處理器、操作系統、數據庫、中間件等基礎軟硬件，以及與工業互聯網和智能制造相關的裝備和控制系統等，均內生支持國家認可的密碼技術是一個重要的發展趨勢。

結　語

網絡安全是關系到全面建成小康社會和實現國家安全的重大問題，已上升到國家戰略層面。針對數字化轉型戰略推進過程中關鍵信息基礎設施領域存在的網絡安全問題及需求，提出了一種 c-DNA 密態防護安全理念，并基于此以對抗的視角，站在領域整體的高度，系統性地提出了以密碼為基因的網絡安全防護體系。該體系基于密碼學的基礎理論，在網絡安全的不同層次上提出了不同的安全措施，確保網絡安全的整體性和可靠性。