以守為攻：美軍網(wǎng)絡(luò)空間戰(zhàn)的“縱深防御”術(shù)

朱 濱

以守為攻：美軍網(wǎng)絡(luò)空間戰(zhàn)的“縱深防御”術(shù)

朱 濱

《孫子兵法·軍形篇》說：“善守者，藏于九地之下；善攻者，動于九天之上，故能自保而全勝也。”其中“九地”是指至深之地，孫子用其來說明防御時要善于隱蔽企圖，就像隱藏于深不可測的“九地”之下，使敵無法了解防守方的意圖。現(xiàn)實的網(wǎng)絡(luò)攻防戰(zhàn)中，對抗雙方都試圖最大限度地隱蔽自身各種信息：一方要隱藏進(jìn)攻的工具和戰(zhàn)術(shù)，另一方則要隱秘防御方案和措施。所以，《孫子兵法·虛實篇》又說：“故善攻者，敵不知其所守；善守者，敵不知其所攻。”把握主動、誘敵制勝是孫子兵法“示形”思想的精妙所在。在當(dāng)代的網(wǎng)絡(luò)防御中，信息安全概念的演變和發(fā)展，導(dǎo)致單一的手段和措施既無法隱匿己方任何安全防護(hù)意圖，更不利于示形誘敵、駕御有形、克敵制勝，因而把傳統(tǒng)作戰(zhàn)領(lǐng)域中的“縱深防御”戰(zhàn)略引入網(wǎng)絡(luò)空間成為必然。

對美軍而言，作戰(zhàn)系統(tǒng)的網(wǎng)絡(luò)化、信息化產(chǎn)生了巨大的軍事效益，但伴隨而來的風(fēng)險和漏洞卻對軍事安全構(gòu)成了嚴(yán)重威脅。技術(shù)進(jìn)步和安全需求推動著美軍網(wǎng)絡(luò)安全保護(hù)工作在實踐中不斷發(fā)展和完善，美軍以“縱深防御”戰(zhàn)略為指導(dǎo)思想，大力加強(qiáng)信息安全體系的建設(shè)。

約公元前500年愛爾蘭的恩根斯堡縱深防御遺址

“縱深防御”戰(zhàn)略的提出

“縱深防御”原指通過層層設(shè)防來保護(hù)動力學(xué)或現(xiàn)實世界的軍事或戰(zhàn)略資產(chǎn)，迫使敵方分散進(jìn)攻力量，難以維系后勤保障，從而達(dá)到遲滯敵方進(jìn)攻或使之無法繼續(xù)進(jìn)攻的戰(zhàn)術(shù)目的。在網(wǎng)絡(luò)空間防御中，“縱深防御”戰(zhàn)略是指采用多樣化、多層次、縱深的防御措施來保障信息和信息系統(tǒng)安全，其主要目的是在攻擊者成功地破壞了某種防御機(jī)制的情況下，網(wǎng)絡(luò)安全防御體系仍能夠利用其他防御機(jī)制為信息系統(tǒng)提供保護(hù)，使能夠攻破一層或一類保護(hù)的攻擊行為無法破壞整個信息基礎(chǔ)設(shè)施和應(yīng)用系統(tǒng)。

20世紀(jì)末，隨著網(wǎng)絡(luò)技術(shù)的應(yīng)用與發(fā)展以及“網(wǎng)絡(luò)中心戰(zhàn)”概念的提出，美軍各部門和單位對信息和網(wǎng)絡(luò)的依賴性不斷增強(qiáng)，網(wǎng)絡(luò)安全問題隨之凸顯，單純的保密與靜態(tài)防護(hù)已無法滿足信息安全的需求，美軍亟需與之相適應(yīng)的信息安全保障措施。為滿足軍方的需求，美國國家安全局于1998年制定了《信息保障技術(shù)框架（1.0版）》（IATF）。IATF系統(tǒng)地研究了信息保障技術(shù)，提出了“縱深防御”戰(zhàn)略，認(rèn)為信息保障要靠人員、操作和技術(shù)來實現(xiàn)，并建立起了“防護(hù)、檢測、響應(yīng)、恢復(fù)”動態(tài)反饋模式（即PDRR模型）保障網(wǎng)絡(luò)安全，為保護(hù)美國的信息基礎(chǔ)設(shè)施提供了技術(shù)指南。在美軍的實踐中，“縱深防御”戰(zhàn)略應(yīng)用于一種風(fēng)險共擔(dān)的信息系統(tǒng)環(huán)境，由多方共同采取多樣化、多層次的綜合性防御措施來保障美軍信息和信息系統(tǒng)安全。借助在信息系統(tǒng)內(nèi)廣泛采用的多種防御措施，“縱深防御”戰(zhàn)略有效地解決和彌補(bǔ)了信息系統(tǒng)生命周期內(nèi)在人員、技術(shù)和操作方面存在的安全漏洞和薄弱環(huán)節(jié)。

PDRR模型圖

“縱深防御”戰(zhàn)略的主要內(nèi)容

人員、技術(shù)和操作是“縱深防御”戰(zhàn)略的核心要素，著眼于人員管理、技術(shù)保障和運(yùn)行維護(hù)的政策制度設(shè)計、裝備技術(shù)研發(fā)、安全態(tài)勢維持等活動，構(gòu)成了“縱深防御”戰(zhàn)略的主要內(nèi)容。

人員是網(wǎng)絡(luò)安全體系中的決定性因素。“縱深防御”戰(zhàn)略強(qiáng)調(diào)人員因素，在領(lǐng)導(dǎo)層面上，要求領(lǐng)導(dǎo)層能夠意識到現(xiàn)實的網(wǎng)絡(luò)安全威脅，重視安全管理工作，自上而下地推動安全管理政策的落實；在操作人員層面，要求加強(qiáng)對操作人員的培訓(xùn)，提高信息安全意識；在人員制度層面，要求制定嚴(yán)格的網(wǎng)絡(luò)安全管理規(guī)范，明確各類人員的責(zé)任和義務(wù)職責(zé)；在安全防范機(jī)制層面，要求建立物理的和人工的安全監(jiān)測機(jī)制，防止出現(xiàn)違規(guī)操作。

技術(shù)是網(wǎng)絡(luò)安全最基本的保障，是構(gòu)建網(wǎng)絡(luò)空間防御體系的現(xiàn)實基礎(chǔ)。“縱深防御”戰(zhàn)略提出：建立有效的技術(shù)引進(jìn)政策和機(jī)制是確保技術(shù)運(yùn)用適當(dāng)?shù)那疤?，只有依?jù)系統(tǒng)架構(gòu)與安全政策，進(jìn)行風(fēng)險評估，選擇合適的安全防御技術(shù)，構(gòu)建完善的防御體系，才有助于推動實現(xiàn)全面的網(wǎng)絡(luò)安全。

操作是指為保持系統(tǒng)的安全狀態(tài)而開展的日常工作，其主要任務(wù)是嚴(yán)格執(zhí)行系統(tǒng)安全策略，迅速應(yīng)對入侵事件，確保信息系統(tǒng)關(guān)鍵功能的正常運(yùn)行。操作是“縱深防御”戰(zhàn)略中的核心因素，人員和技術(shù)在防御體系中的作用只有通過經(jīng)常性的運(yùn)行維護(hù)工作才能得以體現(xiàn)。

“縱深防御”戰(zhàn)略的體系框架

實施“縱深防御”戰(zhàn)略的指導(dǎo)思想及應(yīng)用原則

“縱深防御”戰(zhàn)略是美軍保護(hù)網(wǎng)絡(luò)系統(tǒng)核心部分免遭入侵的基本策略。美國防部規(guī)定各軍兵種、國防部各部門、各司令部應(yīng)運(yùn)用“縱深防御”戰(zhàn)略保護(hù)國防部的信息和信息系統(tǒng)，開展相應(yīng)的計劃和訓(xùn)練工作；各級領(lǐng)導(dǎo)部門需因地制宜地開展風(fēng)險評估工作，制定有效的風(fēng)險管理措施，并根據(jù)各單位的能力和水平采取有效的“縱深防御”措施；在國防部信息系統(tǒng)的軟硬件研發(fā)過程中，應(yīng)貫徹“縱深防御”戰(zhàn)略，積極建設(shè)相關(guān)網(wǎng)絡(luò)安全防御系統(tǒng)，采取漸進(jìn)的方式優(yōu)先保護(hù)關(guān)鍵資產(chǎn)和數(shù)據(jù)。為推動“縱深防御”戰(zhàn)略的實施，深化認(rèn)識、明確重點，IATF提出實施“縱深防御”戰(zhàn)略應(yīng)遵循“多處設(shè)防、分層防護(hù)、細(xì)化標(biāo)準(zhǔn)”等原則。

多處設(shè)防。“縱深防御”戰(zhàn)略把網(wǎng)絡(luò)與基礎(chǔ)設(shè)施、飛地邊界、計算環(huán)境和支撐性基礎(chǔ)設(shè)施列為重點防護(hù)區(qū)域，實際應(yīng)用當(dāng)中涉及針對路由器、防火墻、VPN、服務(wù)器、個人計算機(jī)和應(yīng)用軟件等的保護(hù)。本地計算環(huán)境的防護(hù)以服務(wù)器和工作站為重點，是信息系統(tǒng)安全保護(hù)的核心地帶。飛地是一組本地計算設(shè)備的集合，飛地邊界防護(hù)主要關(guān)注如何對進(jìn)出這些“區(qū)域”邊界的數(shù)據(jù)流進(jìn)行有效地控制與監(jiān)視。網(wǎng)絡(luò)及其附屬基礎(chǔ)設(shè)施是連接各種飛地的大型傳輸網(wǎng)絡(luò)，由在網(wǎng)絡(luò)節(jié)點間傳輸信息的設(shè)備構(gòu)成，包括各類業(yè)務(wù)網(wǎng)、城域網(wǎng)、校園網(wǎng)和局域網(wǎng)。網(wǎng)絡(luò)及其附屬基礎(chǔ)設(shè)施的安全是整個信息系統(tǒng)安全的基礎(chǔ)。支撐性基礎(chǔ)設(shè)施（如密鑰管理基礎(chǔ)設(shè)施）是網(wǎng)絡(luò)安全機(jī)制賴以運(yùn)行的基礎(chǔ)，其作用在于保障網(wǎng)絡(luò)、飛地和計算環(huán)境中網(wǎng)絡(luò)安全機(jī)制的運(yùn)行，從而實現(xiàn)對信息系統(tǒng)的安全管理。

分層防護(hù)。美軍在實施“縱深防御”戰(zhàn)略的過程中，按照分層的網(wǎng)絡(luò)體系結(jié)構(gòu)，對國防信息系統(tǒng)各層面臨的安全威脅進(jìn)行充分的分析評估，針對不同的安全威脅分層部署防護(hù)和檢測機(jī)制措施，形成梯次配置，進(jìn)而增加攻擊被檢測的風(fēng)險，提高攻擊成本，降低其成功幾率。以美海軍為例，美海軍在實施“縱深防御”戰(zhàn)略的過程中，構(gòu)建起了以“主機(jī)、局域網(wǎng)、廣域網(wǎng)、海軍GIG網(wǎng)絡(luò)、國防部GIG網(wǎng)絡(luò)”五個區(qū)域為基礎(chǔ)的設(shè)防區(qū)域，綜合運(yùn)用入侵防御系統(tǒng)、防火墻、基于主機(jī)的安全系統(tǒng)等分層防護(hù)措施實施網(wǎng)絡(luò)防御。

細(xì)化標(biāo)準(zhǔn)。細(xì)化標(biāo)準(zhǔn)是對各類網(wǎng)絡(luò)安全系統(tǒng)機(jī)制的強(qiáng)度（如加密算法的強(qiáng)度）和網(wǎng)絡(luò)安全技術(shù)解決方案的設(shè)計保障（如采用機(jī)密手段確保機(jī)制的實施）做出具體的規(guī)定。為了描述網(wǎng)絡(luò)安全的強(qiáng)度，美國防部制定了初、中、高三個等級，并提出國防信息系統(tǒng)的“縱深防御”戰(zhàn)略中，網(wǎng)絡(luò)安全技術(shù)解決方案應(yīng)根據(jù)系統(tǒng)的重要性等級，采取其中一個級別的措施。例如高等級的安全服務(wù)和機(jī)制可提供最嚴(yán)格的防護(hù)和最強(qiáng)的安全對抗措施，高等級的安全解決方案必須達(dá)到下列要求：采用國家安全局認(rèn)證的1類密碼用于加密；采用國家安全局認(rèn)證的1類密碼驗證訪問控制；密鑰管理方面，對于對稱密碼，采用國家安全局批準(zhǔn)的密鑰管理措施（創(chuàng)建、控制和分發(fā)），對于非對稱密碼，使用5類PKI認(rèn)證和硬件安全標(biāo)識保護(hù)用戶私有密鑰和加密算法；采用的產(chǎn)品需通過國家安全局的評估和認(rèn)證。

網(wǎng)絡(luò)安全技術(shù)通用框架

“縱深防御”戰(zhàn)略的實踐和發(fā)展

美軍率先將“縱深防御”戰(zhàn)略應(yīng)用于全球信息柵格的建設(shè)，加強(qiáng)頂層設(shè)計與長遠(yuǎn)規(guī)劃，積極開展安全技術(shù)創(chuàng)新，大膽借鑒和利用成熟的商用安全產(chǎn)品，從組織管理、裝備技術(shù)和政策法規(guī)層面，建立起綜合性網(wǎng)絡(luò)安全保障體系，不斷強(qiáng)化國防信息系統(tǒng)的安全。

在組織管理層面，為推動“縱深防御”戰(zhàn)略的落實，美軍建立了以聯(lián)合參謀部為領(lǐng)導(dǎo)機(jī)構(gòu)、各軍種具體負(fù)責(zé)、國家安全局和國防信息系統(tǒng)局提供技術(shù)支援和保障的組織管理體系。聯(lián)合參謀部情報部部長負(fù)責(zé)制定保障“縱深防御”戰(zhàn)略的情報條令和法規(guī)，聯(lián)合參謀部作戰(zhàn)計劃與聯(lián)合部隊發(fā)展部負(fù)責(zé)計劃和在演習(xí)中落實“縱深防御”戰(zhàn)略；各軍種部長負(fù)責(zé)制定本軍種“縱深防御”戰(zhàn)略的具體實施細(xì)則，監(jiān)督所轄網(wǎng)絡(luò)的貫徹和執(zhí)行情況；國防信息系統(tǒng)局局長負(fù)責(zé)組織和領(lǐng)導(dǎo)國防信息系統(tǒng)“縱深防御”戰(zhàn)略防御技術(shù)的研發(fā)工作，會同參聯(lián)會主席和國家安全局局長制定“縱深防御”戰(zhàn)略分層保護(hù)措施，并監(jiān)督落實情況；國家安全局局長負(fù)責(zé)管理IATF的制定工作，保障“縱深防御”戰(zhàn)略的實施，并提供相應(yīng)的工程技術(shù)支援。

在裝備技術(shù)層面的建設(shè)，美國國防部要求：美軍網(wǎng)絡(luò)空間安全解決方案應(yīng)堅持以通用性和綜合性為研發(fā)方向，以“縱深防御”為基本手段，以C4ISR框架結(jié)構(gòu)為基礎(chǔ)，推動網(wǎng)絡(luò)空間作戰(zhàn)的發(fā)展。為此，美軍貫徹“先關(guān)鍵資產(chǎn)和數(shù)據(jù)，后飛地網(wǎng)絡(luò)”的保護(hù)原則，通過技術(shù)研發(fā)和裝備采辦，有重點、分階段地推動裝備技術(shù)防御體系的完善和更新。裝備技術(shù)體系建設(shè)核心內(nèi)容包括密碼技術(shù)、非軍事區(qū)、虛擬安全飛地、基于主機(jī)的安全系統(tǒng)“應(yīng)用程序白名單”技術(shù)和網(wǎng)絡(luò)態(tài)勢感知。

在政策法規(guī)層面，2009年美國國防部制定并頒布了《網(wǎng)絡(luò)空間的信息保障發(fā)展戰(zhàn)略（CIIA）》，提出了國防部信息系統(tǒng)安全建設(shè)的“網(wǎng)絡(luò)保障、身份保障和信息保障”總體目標(biāo)，從能力建設(shè)、任務(wù)管理、攻擊防范和應(yīng)變處置四個方面提出了具體的工作任務(wù)目標(biāo)。為促進(jìn)任務(wù)目標(biāo)的落實，國防部首席信息官辦公室制定了《信息安全政策總圖》，以四項任務(wù)目標(biāo)為總綱，著眼“縱深防御”戰(zhàn)略的實際應(yīng)用，對國防部和聯(lián)邦政府現(xiàn)行的網(wǎng)絡(luò)安全政策和技術(shù)法規(guī)進(jìn)行了全面的梳理和分類，內(nèi)容涉及網(wǎng)絡(luò)空間安全工作的組織與領(lǐng)導(dǎo)、網(wǎng)絡(luò)空間作戰(zhàn)技術(shù)研發(fā)、從業(yè)人員職業(yè)技能培訓(xùn)、通信加密和信息共享管理、網(wǎng)絡(luò)攻擊防范、可信網(wǎng)絡(luò)系統(tǒng)建設(shè)以及加強(qiáng)網(wǎng)絡(luò)安全戰(zhàn)備等方面，從而建立起了完整而又清晰的“縱深防御”戰(zhàn)略的政策法規(guī)體系。

在國防信息系統(tǒng)由傳統(tǒng)的鏈接加密和邊界保護(hù)的分散網(wǎng)絡(luò)向無縫互聯(lián)的信息環(huán)境轉(zhuǎn)型過程中，美軍提出運(yùn)用“縱深防御”戰(zhàn)略，建立全軍統(tǒng)一的網(wǎng)絡(luò)安全機(jī)制，未來將大力加強(qiáng)七項網(wǎng)絡(luò)防御能力的建設(shè)。這七項能力相互補(bǔ)充融合，構(gòu)成保障國防信息系統(tǒng)正常運(yùn)行的重要基礎(chǔ)。

通信保護(hù)能夠?qū)崿F(xiàn)在不同安全等級的信息環(huán)境中，對每次通信都實施端對端的精準(zhǔn)安全控制，以便保護(hù)個人隱私，確保通信的連續(xù)性、真實性和不可否認(rèn)性；網(wǎng)絡(luò)敵我識別能夠?qū)崿F(xiàn)對國防信息系統(tǒng)及其附屬網(wǎng)絡(luò)中人員和實體（包括設(shè)備、數(shù)據(jù)和網(wǎng)絡(luò)）的網(wǎng)絡(luò)空間敵我識別，確保友方網(wǎng)絡(luò)實體的可視和可控；可信數(shù)據(jù)和平臺能夠強(qiáng)化安全機(jī)制，確保軍事數(shù)據(jù)的完整性和保密性；網(wǎng)絡(luò)空間偵察和監(jiān)視能夠持續(xù)監(jiān)測國防信息系統(tǒng)用戶、設(shè)備和網(wǎng)絡(luò)的行為，實時掌握國防信息系統(tǒng)的安全態(tài)勢；企業(yè)化安全管理可綜合利用各類企業(yè)化安全管理服務(wù)，如密鑰管理、審計、認(rèn)證、授權(quán)、證書、策略等等，持續(xù)而有效地管控國防信息系統(tǒng)內(nèi)的安全功能，必要時采取應(yīng)急措施進(jìn)行實時調(diào)整；動態(tài)防御將構(gòu)建廣闊的網(wǎng)絡(luò)空間傳感器網(wǎng)，并以之為基礎(chǔ)來建設(shè)企業(yè)化安全管理基礎(chǔ)設(shè)施，應(yīng)對國防信息系統(tǒng)之外的安全威脅；強(qiáng)化任務(wù)意識，以滿足“執(zhí)行任務(wù)”需要為出發(fā)點，對各類網(wǎng)絡(luò)、服務(wù)和數(shù)據(jù)實施統(tǒng)籌和優(yōu)化，實現(xiàn)“滿足任務(wù)需求”與“建設(shè)網(wǎng)絡(luò)安全”的協(xié)調(diào)發(fā)展。

美軍將大力加強(qiáng)七項網(wǎng)絡(luò)防御能力的建設(shè)

責(zé)任編輯：何 旭