基于新技術(shù)的網(wǎng)絡(luò)空間安全架構(gòu)分析

申志偉，辛葉舟/Shen Zhiwei，Xin Yezhou

（中國(guó)聯(lián)合網(wǎng)絡(luò)通信有限公司研究院 北京100032）

1 引言

網(wǎng)絡(luò)早已滲透進(jìn)人們生活中的各個(gè)方面，雖然目前存在很多網(wǎng)絡(luò)安全解決方案，但網(wǎng)絡(luò)安全問(wèn)題仍然突出，這些問(wèn)題主要涉及網(wǎng)絡(luò)空間漏洞、個(gè)人信息安全、網(wǎng)絡(luò)沖突與攻擊、網(wǎng)絡(luò)犯罪等。網(wǎng)絡(luò)空間漏洞是無(wú)授權(quán)的攻擊者對(duì)計(jì)算機(jī)系統(tǒng)軟/硬件、網(wǎng)絡(luò)協(xié)議、系統(tǒng)安全方面存在的缺陷進(jìn)行竊取、操控?cái)?shù)據(jù)，進(jìn)而破壞網(wǎng)絡(luò)系統(tǒng)。個(gè)人信息安全受到嚴(yán)重威脅：服務(wù)商、員工人為泄露客戶信息；黑客通過(guò)技術(shù)盜取信息數(shù)據(jù)；服務(wù)商在用戶沒(méi)有知情權(quán)的情況下濫用其互聯(lián)網(wǎng)使用信息來(lái)獲取商業(yè)利益。網(wǎng)絡(luò)沖突與攻擊日益凸顯，中國(guó)是目前世界上最主要的黑客攻擊受害國(guó)之一，網(wǎng)絡(luò)空間已經(jīng)成為繼陸、海、空之后各國(guó)相互角逐的新戰(zhàn)場(chǎng)。網(wǎng)絡(luò)信息竊取、互聯(lián)網(wǎng)金融詐騙、網(wǎng)上洗錢、色情服務(wù)、虛假?gòu)V告等網(wǎng)絡(luò)犯罪也呈現(xiàn)出快速上升的趨勢(shì)，同時(shí)其智能性、隱蔽性和復(fù)雜性使得取證困難。物聯(lián)網(wǎng)、云計(jì)算和大數(shù)據(jù)等新技術(shù)的應(yīng)用本身也帶來(lái)了新的安全問(wèn)題，但是同樣可以通過(guò)不斷改進(jìn)這些新技術(shù)來(lái)克服這些安全隱患，并形成比較完善的網(wǎng)絡(luò)安全技術(shù)保障體系。

2 網(wǎng)絡(luò)空間安全事件

國(guó)際上，2013年雅虎日本2200萬(wàn)用戶信息被泄露，數(shù)字貨幣交易所“自由儲(chǔ)備（Liberty Reserve）”被指幫助全球罪犯洗錢60億美元（約合367億元人民幣），是全球網(wǎng)絡(luò)罪犯對(duì)其非法所得進(jìn)行分發(fā)、儲(chǔ)存和洗錢的主要渠道。2014年安全公司Codenomicon和Google安全工程師發(fā)現(xiàn)了最嚴(yán)重的安全漏洞——“心臟出血（Heartbleed）”，攻擊者利用此漏洞獲取用戶密碼，欺騙用戶訪問(wèn)釣魚網(wǎng)站；“破殼（Bash Shellshock）”安全漏洞緊隨其后，讓全球成千上萬(wàn)的企業(yè)和數(shù)以百萬(wàn)計(jì)的消費(fèi)者在網(wǎng)絡(luò)攻擊面前不堪一擊；俄羅斯與烏克蘭展開網(wǎng)絡(luò)大戰(zhàn)，相互攻擊政府媒體、外交部等關(guān)鍵網(wǎng)站[1]。2015年美國(guó)教育部被The Supreme Union入侵，泄露了1 000多個(gè)用戶名及密碼；美國(guó)軍方也被敘利亞電子軍進(jìn)行涂鴉；德國(guó)聯(lián)邦政府受到Swatbanker變種木馬攻擊；東南亞國(guó)家受到“蓮花運(yùn)動(dòng)”的不斷攻擊等[2]。

在國(guó)內(nèi)，2013年如家、七天等連鎖酒店有多達(dá)2 000萬(wàn)條客戶開房信息遭泄露；搜狗輸入法和瀏覽器頻頻泄露用戶信息；國(guó)家域名解析節(jié)點(diǎn)受到拒絕服務(wù)攻擊；12306網(wǎng)站上線數(shù)小時(shí)被發(fā)現(xiàn)存在漏洞[3]。2014年旅游網(wǎng)站攜程被曝在其支付過(guò)程中用戶信息被黑客讀取；國(guó)內(nèi)通用頂級(jí)域的根服務(wù)器受到攻擊，超過(guò)85%的用戶遭遇DNS故障，引發(fā)網(wǎng)速變慢和打不開網(wǎng)站現(xiàn)象；黑客利用淘寶和支付寶存在的安全漏洞登錄他人淘寶/支付寶賬號(hào)進(jìn)行操作[4]。2015年知名連鎖酒店（桔子、錦江之星、速八、布丁等）和多家高端酒店（萬(wàn)豪、麗思卡爾頓、喜來(lái)登等）網(wǎng)站存在高危漏洞——房客開房信息大量泄露；超30省市曝安全管理漏洞，數(shù)千萬(wàn)社保用戶敏感信息或遭泄露[5]；黑客利用“Wi-Fi殺手”Android 系統(tǒng)漏洞對(duì)開啟了Wi-Fi的Android手機(jī)進(jìn)行遠(yuǎn)程攻擊，竊取用戶手機(jī)內(nèi)的照片、通訊錄等重要信息[6]。

3 新技術(shù)中的安全保障方法

3.1 物聯(lián)網(wǎng)安全技術(shù)

物聯(lián)網(wǎng)技術(shù)的重要基礎(chǔ)和核心是互聯(lián)網(wǎng)，是各種感知技術(shù)的廣泛應(yīng)用，物聯(lián)網(wǎng)上部署了海量多種類型的傳感器，傳感器定時(shí)采集信息，通過(guò)各種有線和無(wú)線網(wǎng)絡(luò)與互聯(lián)網(wǎng)融合，將物體的信息實(shí)時(shí)準(zhǔn)確地傳遞出去，物聯(lián)網(wǎng)不僅提供了傳感器的連接，其本身也具有智能處理能力，能夠?qū)ξ矬w實(shí)施智能控制，物聯(lián)網(wǎng)將傳感器和智能處理相結(jié)合，為大數(shù)據(jù)分析和處理海量數(shù)據(jù)做前期工作。

物聯(lián)網(wǎng)一般可分為感知層、網(wǎng)絡(luò)層和應(yīng)用層，在每一個(gè)層上都有相應(yīng)的安全保障技術(shù)。在感知層，增強(qiáng)感知設(shè)備物理安全與節(jié)點(diǎn)自身安全防護(hù)能力、通信的機(jī)密性和認(rèn)證性；在網(wǎng)絡(luò)層，涉及互聯(lián)網(wǎng)、移動(dòng)網(wǎng)絡(luò)、異構(gòu)網(wǎng)絡(luò)等通信網(wǎng)絡(luò)，其安全機(jī)制包括節(jié)點(diǎn)認(rèn)證、數(shù)據(jù)完整性與機(jī)密性、數(shù)據(jù)流機(jī)密性、DoS攻擊預(yù)防與檢測(cè)，移動(dòng)網(wǎng)中A-KA機(jī)制的一致性和兼容性、跨域和跨網(wǎng)絡(luò)認(rèn)證，密鑰基礎(chǔ)設(shè)施、協(xié)商和管理，端對(duì)端和節(jié)點(diǎn)對(duì)節(jié)點(diǎn)加密、密碼算法和協(xié)議等；在應(yīng)用層，內(nèi)容篩選機(jī)制和數(shù)據(jù)庫(kù)訪問(wèn)控制、不同場(chǎng)景的隱私保護(hù)機(jī)制、信息泄露追蹤技術(shù)和安全的數(shù)據(jù)銷毀技術(shù)等[7]。

3.2 云計(jì)算安全技術(shù)

云計(jì)算技術(shù)具有超大規(guī)模、虛擬化、高可靠性、通用性和成本低廉等特點(diǎn)，可以動(dòng)態(tài)管理幾十萬(wàn)臺(tái)、幾百萬(wàn)臺(tái)甚至幾千萬(wàn)臺(tái)計(jì)算機(jī)資源所具有的總處理能力，并按需分配給全球用戶使用，他們可以在此之上構(gòu)建穩(wěn)定而快速的存儲(chǔ)以及其他IT服務(wù)。

在確保用戶存儲(chǔ)數(shù)據(jù)的安全性和可靠性方面，在云計(jì)算環(huán)境下，計(jì)算機(jī)可以將局域網(wǎng)、廣域網(wǎng)有機(jī)結(jié)合在一起，建立安全系數(shù)很高的數(shù)據(jù)中心，進(jìn)而實(shí)現(xiàn)多機(jī)互聯(lián)備份或者異地備份等，確保用戶數(shù)據(jù)的安全。而隨著云計(jì)算技術(shù)的改進(jìn)，其應(yīng)用更加廣泛，通過(guò)把用戶的相關(guān)數(shù)據(jù)存儲(chǔ)在能夠攔截病毒變種的“云”端，用戶無(wú)需按時(shí)殺毒和升級(jí)軟件就可以防止電腦丟失或者數(shù)據(jù)被竊的風(fēng)險(xiǎn)，避免了由于計(jì)算機(jī)崩潰或是硬盤被盜而產(chǎn)生的數(shù)據(jù)丟失或是被盜問(wèn)題，有效地避免了計(jì)算機(jī)網(wǎng)絡(luò)用戶數(shù)據(jù)外泄問(wèn)題的發(fā)生。

在保障用戶在數(shù)據(jù)共享中的安全方面，云計(jì)算存在大量先進(jìn)的加密和組合技術(shù)，可以讓用戶在信息傳輸中處于加密狀態(tài)，并且以嚴(yán)格的管理權(quán)限實(shí)施監(jiān)控，從而大大地提高網(wǎng)絡(luò)信息的安全性，利于用戶在保密狀態(tài)下進(jìn)行加密操作。

在對(duì)網(wǎng)絡(luò)中的各種軟件進(jìn)行實(shí)時(shí)監(jiān)測(cè)和跟蹤方面，云計(jì)算融合了并行處理、網(wǎng)格計(jì)算、未知病毒行為判斷等新興技術(shù)和概念，通過(guò)網(wǎng)狀的大量客戶端對(duì)網(wǎng)絡(luò)中的軟件行為進(jìn)行異常監(jiān)測(cè)，獲取互聯(lián)網(wǎng)中木馬、惡意程序的最新信息，傳送到服務(wù)器端進(jìn)行自動(dòng)分析和處理，再把病毒和木馬的解決方案分發(fā)到每一個(gè)客戶端，這樣通過(guò)云計(jì)算技術(shù)使得整個(gè)互聯(lián)網(wǎng)變成一個(gè)巨大的殺毒軟件，參與者越多，每個(gè)參與者就越安全，整個(gè)互聯(lián)網(wǎng)就會(huì)更安全。

3.3 大數(shù)據(jù)安全技術(shù)

大數(shù)據(jù)通過(guò)對(duì)網(wǎng)絡(luò)中產(chǎn)生的各種海量信息數(shù)據(jù)進(jìn)行自動(dòng)化分析處理與深度挖掘，把發(fā)現(xiàn)安全問(wèn)題后再做處理的方式，轉(zhuǎn)變成在安全問(wèn)題出現(xiàn)前就精準(zhǔn)預(yù)測(cè)，并提供更優(yōu)化的解決方案。以數(shù)據(jù)驅(qū)動(dòng)的網(wǎng)絡(luò)安全技術(shù)，尤其是Hadoop生態(tài)圈（Hive、Pig、RHadoop和Mahout）、復(fù)雜事件處理、流挖掘和NoSQL數(shù)據(jù)庫(kù)能夠以巨大的速度和規(guī)模來(lái)分析和處理海量的異構(gòu)數(shù)據(jù)集，這些技術(shù)通過(guò)安全網(wǎng)絡(luò)信息的存儲(chǔ)、維護(hù)和分析來(lái)增強(qiáng)安全分析，可用于欺詐檢測(cè)和基于異常的入侵監(jiān)測(cè)，另外，大數(shù)據(jù)技術(shù)將分散孤立、更長(zhǎng)時(shí)間范圍的大量數(shù)據(jù)源進(jìn)行合理關(guān)聯(lián)、整合并歸納整理起來(lái)，促使網(wǎng)絡(luò)安全分析人員更為精確和效率地做網(wǎng)絡(luò)優(yōu)化分析[8]。

大數(shù)據(jù)在分析和預(yù)測(cè)網(wǎng)絡(luò)安全威脅時(shí)，第一步是采集包括頁(yè)面、圖片、壓縮包、可執(zhí)行文件、流量等各種數(shù)據(jù)，第二步是對(duì)這些數(shù)據(jù)進(jìn)行分類、關(guān)聯(lián)和挖掘后進(jìn)行提煉，第三步利用安全分析技術(shù)和數(shù)據(jù)挖掘技術(shù)對(duì)提煉出來(lái)的信息數(shù)據(jù)進(jìn)行檢測(cè)，最終預(yù)測(cè)和發(fā)現(xiàn)網(wǎng)絡(luò)安全威脅。在運(yùn)用大數(shù)據(jù)技術(shù)進(jìn)行網(wǎng)絡(luò)安全分析和預(yù)測(cè)時(shí)，經(jīng)常需要跟蹤若干個(gè)月的時(shí)間才能夠發(fā)現(xiàn)網(wǎng)絡(luò)攻擊、數(shù)據(jù)泄露等將在何時(shí)以何種方式發(fā)生以及可能出現(xiàn)的結(jié)果，而這些則需要更多數(shù)量、更多類別和以更快速度增長(zhǎng)的數(shù)據(jù)來(lái)更加有效地洞察網(wǎng)絡(luò)安全的潛在問(wèn)題。

據(jù)市場(chǎng)研究機(jī)構(gòu)Gartner的研究，大數(shù)據(jù)技術(shù)將在偵測(cè)網(wǎng)絡(luò)攻擊方面發(fā)揮重要作用。2016年全球25%以上的機(jī)構(gòu)將在至少一種安全和欺詐偵測(cè)案例中使用大數(shù)據(jù)分析，這一比例將比目前的8%大幅提升[9]。同時(shí)，大數(shù)據(jù)還將改變計(jì)算機(jī)網(wǎng)絡(luò)安全領(lǐng)域中的產(chǎn)品分類，這其中包括網(wǎng)絡(luò)監(jiān)控、欺詐偵測(cè)、系統(tǒng)的控制、風(fēng)險(xiǎn)與合規(guī)。此外，大數(shù)據(jù)還將改變?nèi)鐐鹘y(tǒng)防火墻、反惡意軟件和數(shù)據(jù)損失防護(hù)等安全控制的性質(zhì)，未來(lái)數(shù)據(jù)分析工具將具備高級(jí)預(yù)測(cè)能力和實(shí)時(shí)自動(dòng)控制能力。

4 基于新技術(shù)的網(wǎng)絡(luò)空間安全架構(gòu)

物聯(lián)網(wǎng)、云計(jì)算、大數(shù)據(jù)這3種新技術(shù)不是獨(dú)立存在的，而是相互作用和協(xié)調(diào)的。物聯(lián)網(wǎng)突出傳感器感知能力，也具備網(wǎng)絡(luò)線路傳輸、信息存儲(chǔ)和處理、行業(yè)應(yīng)用接口等功能，在人與人、人與物、物與物之間的交互中產(chǎn)生海量大數(shù)據(jù)；云計(jì)算將網(wǎng)絡(luò)的核心硬件層、核心軟件層和網(wǎng)絡(luò)信息層統(tǒng)一起來(lái)為大數(shù)據(jù)的存儲(chǔ)、計(jì)算、處理等提供服務(wù)和支持；大數(shù)據(jù)強(qiáng)調(diào)對(duì)產(chǎn)生的海量數(shù)據(jù)進(jìn)行專業(yè)化處理和挖掘，以此來(lái)產(chǎn)生有價(jià)值的信息，而在這個(gè)過(guò)程中，需要運(yùn)用云計(jì)算來(lái)實(shí)現(xiàn)。圖1給出了3種新技術(shù)在共同提供網(wǎng)絡(luò)安全方面的關(guān)系。

在具體的網(wǎng)絡(luò)部署中，可以從網(wǎng)絡(luò)安全接入層、傳輸層和處理層3層來(lái)進(jìn)行，分別對(duì)應(yīng)物聯(lián)網(wǎng)技術(shù)、云計(jì)算技術(shù)和大數(shù)據(jù)技術(shù)，圖2給出了分層的網(wǎng)絡(luò)架構(gòu)，這里部署的服務(wù)器都是一種集群服務(wù)器或者虛擬服務(wù)器，是3種新技術(shù)在網(wǎng)絡(luò)安全保障方面的功能性體現(xiàn)。

在網(wǎng)絡(luò)安全接入層，通過(guò)部署鑒權(quán)服務(wù)器來(lái)運(yùn)用物聯(lián)網(wǎng)增強(qiáng)的用戶識(shí)別代碼、口令、登錄控制、資源授權(quán)、授權(quán)核查等技術(shù)手段對(duì)用戶進(jìn)行嚴(yán)格的合法接入；另外，在網(wǎng)絡(luò)中利用傳感器部署的監(jiān)控服務(wù)器來(lái)實(shí)時(shí)監(jiān)控網(wǎng)絡(luò)流量異常，一旦流量發(fā)生異常，及時(shí)報(bào)警并且進(jìn)行處理，同時(shí)把這些用戶的接入信息和網(wǎng)絡(luò)流量信息傳輸至網(wǎng)絡(luò)安全處理層。

在網(wǎng)絡(luò)安全傳輸層，通過(guò)部署調(diào)度服務(wù)器來(lái)運(yùn)用云計(jì)算的虛擬化存儲(chǔ)、彈性擴(kuò)展、負(fù)載均衡等技術(shù)優(yōu)勢(shì)實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)軟件、硬件的安全掃描和監(jiān)測(cè)。另外，部署密鑰服務(wù)器對(duì)網(wǎng)絡(luò)信息進(jìn)行分布式加密傳輸，動(dòng)態(tài)調(diào)配資源來(lái)處理網(wǎng)絡(luò)攻擊，為信息傳輸提供安全架構(gòu)保障，同時(shí)再將用戶信息傳輸中所產(chǎn)生的用戶網(wǎng)絡(luò)行為信息傳輸至網(wǎng)絡(luò)安全處理層。

在網(wǎng)絡(luò)安全處理層，由接入層和傳輸層所產(chǎn)生的、在網(wǎng)絡(luò)中的人、物以及任意兩者之間的各種交互海量信息由部署的信息服務(wù)器來(lái)進(jìn)行存儲(chǔ)，通過(guò)處理服務(wù)器對(duì)這些海量信息進(jìn)行深入分析，并挖掘出隱藏的網(wǎng)絡(luò)攻擊、網(wǎng)絡(luò)病毒、網(wǎng)絡(luò)有害信息等內(nèi)容。利用大數(shù)據(jù)處理、分析技術(shù)來(lái)實(shí)時(shí)洞察網(wǎng)絡(luò)基礎(chǔ)設(shè)施狀況，精確檢測(cè)網(wǎng)絡(luò)欺詐行為、異常入侵行為等，有效防范網(wǎng)絡(luò)安全隱患，同時(shí)把這些安全隱患反饋至接入層和傳輸層，從而讓接入層和傳輸層更好地制定針對(duì)這些隱患的解決方案。

5 結(jié)束語(yǔ)

網(wǎng)絡(luò)安全事件的不斷發(fā)生暴露出更多的安全隱患，任何新技術(shù)的出現(xiàn)都是一把雙刃劍，本文基于對(duì)物聯(lián)網(wǎng)、大數(shù)據(jù)和云計(jì)算的安全保障方法研究，給出了一種新的網(wǎng)絡(luò)空間安全架構(gòu)，即利用物聯(lián)網(wǎng)技術(shù)優(yōu)勢(shì)來(lái)嚴(yán)控網(wǎng)絡(luò)安全入口，使用云計(jì)算技術(shù)優(yōu)勢(shì)來(lái)保障信息傳輸安全，運(yùn)用大數(shù)據(jù)技術(shù)優(yōu)勢(shì)來(lái)精確防范網(wǎng)絡(luò)安全隱患。

[1]李世興.2014年全球網(wǎng)絡(luò)空間安全十大事件[J].信息安全與通信保密，2015，（1）:68-70.

[2]全球安全事件縱覽[EB/OL].http://www.05112.com/zixun/it/2015/0727/29656.htm l,2015.

[3]2013年國(guó)內(nèi)外重大互聯(lián)網(wǎng)安全事件盤點(diǎn)[EB/OL].http://news.ctocio.com.cn/270/12815770,2013.

[4]2014年全球14大網(wǎng)絡(luò)安全事件[EB/OL].http://www.cctime.com/htm l/2015-1-20/2015120161127366.htm,2015.

[5]2015年上半年國(guó)內(nèi)網(wǎng)絡(luò)信息安全泄露事件盤點(diǎn)[EB/OL].http://www.leagsoft.com/news/p/1390,2015.

[6]還記得嗎？2015上半年發(fā)生的幾個(gè)網(wǎng)絡(luò)安全大事[EB/OL].http://www.chinaz.com/news/2015/0701/418363.shtml,2015.

[7]葉海燕.物聯(lián)網(wǎng)環(huán)境下的網(wǎng)絡(luò)安全問(wèn)題研究[J].吉林廣播電視大學(xué)學(xué)報(bào),2014,(10)：15-16.

[8]CARDENAS A A,MANADHATA P K,RAJAN S P.Big data analytics for security[J].IEEE Security&Privacy,2014.

[9]Gartner報(bào)告：大數(shù)據(jù)將在未來(lái)兩年革新網(wǎng)絡(luò)安全[EB/OL].http://tutorials.hostucan.cn/gartner-report-big-data-will-revolutionize-thecybersecurity-in-next-two-year.