網(wǎng)絡(luò)空間擬態(tài)防御原理簡介（下）

◎鄔江興院士

編者按：網(wǎng)絡(luò)空間擬態(tài)防御是鄔江興院士研究團隊首創(chuàng)的主動防御理論，可為應(yīng)對網(wǎng)絡(luò)空間中不同領(lǐng)域相關(guān)應(yīng)用層次上基于未知漏洞、后門、病毒或木馬等未知威脅，提供具有普適創(chuàng)新意義的防御理論和方法。擬態(tài)防御為實現(xiàn)網(wǎng)絡(luò)安全再平衡戰(zhàn)略提供了全球可以依賴的理論和技術(shù)基礎(chǔ)，是中國的創(chuàng)造，也是網(wǎng)絡(luò)世界的福音。上期主要介紹了網(wǎng)絡(luò)空間面臨的安全威脅、傳統(tǒng)防御體系的脆弱性、脊椎動物免疫機制等內(nèi)容，在《網(wǎng)絡(luò)空間擬態(tài)防御原理簡介（下）》，鄔江興院士將對網(wǎng)絡(luò)空間擬態(tài)防御的愿景、模型、工作原理，以及國家有關(guān)部門對其有效性的測試評估情況進行介紹，對其深入應(yīng)用進行分析預(yù)測。

五、網(wǎng)絡(luò)空間擬態(tài)防御

1.擬態(tài)現(xiàn)象與擬態(tài)偽裝

一種生物在色彩、紋理和形狀等特征上模擬另一種生物或環(huán)境，從而使一方或雙方受益的生態(tài)適應(yīng)現(xiàn)象，稱為擬態(tài)現(xiàn)象。按防御行為分類可將其列入基于內(nèi)生機理的主動防御范疇，可以稱為擬態(tài)偽裝。擬態(tài)現(xiàn)象在生物界其實很普遍，林林總總，光怪陸離。如果生物體不僅在色彩、紋理和形狀上，而且在行為和形態(tài)上也能模擬另一種生物或環(huán)境的擬態(tài)偽裝，我們稱之為擬態(tài)防御。

2.生物界擬態(tài)防御大師——條紋章魚

被稱為擬態(tài)章魚的條紋章魚，也許是生物界的擬態(tài)防御大師。據(jù)研究，它可以至少模擬15種以上海洋生物，可以在珊瑚礁環(huán)境和沙質(zhì)海底完全隱身。能在本征功能不變條件下，以不確定的色彩、紋理、形狀和行為變化給攻擊者造成目標(biāo)認(rèn)知困境，極大地削弱攻擊的有效性與可靠性。

3.擬態(tài)防御在軍事領(lǐng)域的應(yīng)用

“擬態(tài)防御”在軍事領(lǐng)域的典型應(yīng)用就是隱形飛行器或艦船，目的就是要盡可能的在對方雷達(dá)屏幕上隱匿自己的蹤跡和特征。例如美國的F22，將近30噸重的戰(zhàn)斗機在雷達(dá)屏幕上的特征僅相當(dāng)于一只大雁；而上萬噸的驅(qū)逐艦DDG1000，雷達(dá)屏幕上的特征也只不過類似于一條小漁船。

4.運用系統(tǒng)工程思想解決問題

錢學(xué)森老先生曾經(jīng)指出“從復(fù)雜問題的總體入手，認(rèn)為總體大于各部分之和，各部分雖較劣但總體可以優(yōu)化?！边@就給出了運用系統(tǒng)工程思想解決“用可信性不能確保的軟硬構(gòu)件搭建安全可控信息系統(tǒng)”問題的方法。就像是自然界里，同樣是碳原子，不同的排列結(jié)構(gòu)就決定了鉆石和石墨具有截然不同的物質(zhì)硬度和其它特性。

5.網(wǎng)絡(luò)空間擬態(tài)防御的愿景

網(wǎng)絡(luò)空間擬態(tài)防御的愿景是，能夠應(yīng)對擬態(tài)界內(nèi)未知漏洞后門等導(dǎo)致的未知風(fēng)險或不確定威脅；擬態(tài)防御的有效性由架構(gòu)內(nèi)生防御機制決定而不是依賴現(xiàn)有的防御手段或方法；不以擬態(tài)界內(nèi)軟硬構(gòu)件的“可信可控”為前提，適應(yīng)全球化開放生態(tài)環(huán)境；能夠融合現(xiàn)有的任何安全防護技術(shù)并可以獲得超非線性的放大防御效果。期望解決基于不可信供應(yīng)鏈構(gòu)建“自主可控、安全可信”系統(tǒng)的“網(wǎng)絡(luò)時代經(jīng)濟學(xué)”難題；最大程度降低攻擊者經(jīng)驗的可復(fù)現(xiàn)性和傳播價值；顯著提高攻擊者入侵難度和獲利代價，逆轉(zhuǎn)“易攻難守”格局。最終尋求“構(gòu)造決定內(nèi)生安全”的革命性防御能力。

6.網(wǎng)絡(luò)空間擬態(tài)防御模型

系統(tǒng)從構(gòu)件池獲取功能構(gòu)件，并經(jīng)多維重構(gòu)和策略調(diào)度形成服務(wù)集k的異構(gòu)冗余執(zhí)行體，由動態(tài)生成的服務(wù)k提供系統(tǒng)當(dāng)前的服務(wù)。期望在給定功能或性能不變條件下，擬態(tài)界內(nèi)的異構(gòu)冗余執(zhí)行體可以在時間、空間兩個維度上實現(xiàn)結(jié)構(gòu)上的相異性和冗余性改變，包括對寄生其上的未知漏洞、后門等的改變。其基本工作流程是，輸入序列由輸入代理分發(fā)給服務(wù)集k的各執(zhí)行體，他們的輸出經(jīng)過歸一化處理再實施多模表決，多數(shù)相同的結(jié)果被選擇輸出。顯然，除非服務(wù)集k的各異構(gòu)執(zhí)行體中的未知漏洞能被相同激勵觸發(fā)并產(chǎn)生完全相同的錯誤輸出，否則，即使各執(zhí)行體中都存在未知的安全問題也無法瓦解擬態(tài)防御。于是，除了給定服務(wù)功能不變外，目標(biāo)對象（包括未知漏洞后門、病毒木馬等）始終處于時空變化中。不確定性威脅被異構(gòu)冗余架構(gòu)轉(zhuǎn)化為“異構(gòu)執(zhí)行體同時出現(xiàn)完全或多數(shù)相同性錯誤內(nèi)容的判定問題”，即“未知的未知威脅”被擬態(tài)物理機制轉(zhuǎn)化為“已知的未知風(fēng)險”控制問題，成為可用概率等數(shù)學(xué)方法或工具分析和表述的問題。

7.擬態(tài)防御的基本目標(biāo)——“改變網(wǎng)絡(luò)安全游戲規(guī)則”

擬態(tài)防御的基本目標(biāo)是：要在后全球化時代、開源開放產(chǎn)業(yè)模式、“相互依存”關(guān)系常態(tài)化的生態(tài)環(huán)境中，基于“有毒帶菌”不可信、不可控的軟硬構(gòu)件，搭建基于創(chuàng)新的動態(tài)異構(gòu)冗余體制的信息系統(tǒng)，并能提供不依賴但不排斥傳統(tǒng)防御方法的安全可信可靠的信息服務(wù)?；趧?chuàng)新理論和方法，首先將確定性攻擊轉(zhuǎn)變?yōu)樾Ч淮_定的攻擊事件，其次將效果不確定性事件再轉(zhuǎn)換成為概率可控的可靠性問題，試圖從根本上降低不確定威脅對目前網(wǎng)絡(luò)攻防不對稱游戲規(guī)則的影響，開辟網(wǎng)絡(luò)安全再平衡的新方法和新途徑。

8.擬態(tài)防御工作原理

擬態(tài)防御工作原理是：一個功能等價的異構(gòu)執(zhí)行體的集合F，在t1時刻隨機從F中選取k個執(zhí)行體提供帶有裁決機制的輸入輸出服務(wù)，在t2時刻作類似動作，在后續(xù)的時刻依次類推。在功能等價條件下，動態(tài)異構(gòu)冗余構(gòu)造的防御界內(nèi)，在時空維度上具有多維動態(tài)重構(gòu)機制，未知漏洞后門或者病毒木馬及攻擊鏈會隨著防御場景作不確定性的改變。

9.動態(tài)異構(gòu)冗余構(gòu)造的安全機理

從攻擊者的角度來說，面對多元動態(tài)異構(gòu)空間的攻擊，需要實現(xiàn)非配合條件下的多元目標(biāo)協(xié)同攻擊，還要在環(huán)境動態(tài)性和隨機性變化情況下保證攻擊的階段性成果，而環(huán)境的動態(tài)性和隨機性使階段性攻擊成果很難具有可繼承性和可再現(xiàn)性，這使得任何基于目標(biāo)對象漏洞后門等的攻擊幾乎不可能達(dá)成預(yù)期的目的。

顯然，擬態(tài)防御將攻擊難度提升了三個層次：從現(xiàn)在的基于靜態(tài)空間的單一確定目標(biāo)攻擊難度，增強為靜態(tài)異構(gòu)空間的多目標(biāo)協(xié)同一致攻擊難度，再增強為“動態(tài)異構(gòu)空間，多元目標(biāo)協(xié)同一致攻擊”難度，難度等級呈非線性提升，“即使攻擊成功，也只是一次”。

擬態(tài)防御的基本原理也可以視為不確定威脅被動態(tài)異構(gòu)冗余物理架構(gòu)歸一化為擬態(tài)界內(nèi)同時出現(xiàn)完全或多數(shù)相同錯誤的可靠性問題。

10.擬態(tài)防御構(gòu)造的內(nèi)生屬性

擬態(tài)防御架構(gòu)本質(zhì)上是一種具有集約化屬性和普適性意義的“四位一體”信息系統(tǒng)架構(gòu)技術(shù)，能夠提供主被動防御一體化，服務(wù)提供與安全防御一體化，內(nèi)生安全與可靠性一體化，高可用與高可信一體化的功能。正如三角形具有幾何意義上的穩(wěn)定性內(nèi)涵一樣，理論上可以證明擬態(tài)界內(nèi)：擬態(tài)防御架構(gòu)對“已知的未知風(fēng)險”或“未知的未知威脅”具有相同的防御功效，且與架構(gòu)內(nèi)生機制強相關(guān)。這使得信息系統(tǒng)能夠具備類似生物體的非特異性免疫機制，能夠在缺乏攻擊特征信息的情況下，對確定或不確定威脅實施有效的“面防御”。

六、國家測試驗證評估概況

擬態(tài)防御的有效性雖然在理論上已經(jīng)得到證明，但工程實踐效果如何仍需要嚴(yán)格的測試驗證和分析評估。

2016年1月，國家科技部委托上海市科委組織中國科學(xué)院信息工程研究所、國家信息技術(shù)安全研究中心、中國信息通信研究院、軍委裝備發(fā)展部第61研究所、上海交通大學(xué)、浙江大學(xué)、北京奇虎科技有限公司、啟明星辰信息安全技術(shù)有限公司、安天科技股份有限公司等業(yè)界權(quán)威檢測單位，組成聯(lián)合眾測團隊，歷時5個月，分別從原理研討與驗證測試方案制定、規(guī)范標(biāo)準(zhǔn)對比測試、互聯(lián)網(wǎng)滲透測試和驗證測試總結(jié)分析四個階段開展測試驗證工作。先后有21名院士和110余名同行專家參與不同階段測評工作。

測評對象為兩種擬態(tài)應(yīng)用場景：一是，屬于信息通信網(wǎng)絡(luò)基礎(chǔ)設(shè)施范疇的擬態(tài)路由器原理驗證系統(tǒng)，另一個是屬于網(wǎng)絡(luò)信息服務(wù)范疇的擬態(tài)web服務(wù)器原理驗證系統(tǒng)，并且測評對象的所有軟硬構(gòu)件都是“來自全球市場的商品化產(chǎn)品”，共完成三輪聯(lián)合測試，進行了13類、113項、204例驗證測試。

采取了黑盒測試、白盒測試、滲透測試、對比測試等多種測試方法和手段，也包括直接設(shè)置后門或配合注入木馬病毒代碼等極端方式。采取了能夠應(yīng)用的各種傳統(tǒng)和非傳統(tǒng)的驗證測試方法，包括完全開放條件下的“插樁”測試，是目前網(wǎng)絡(luò)安全業(yè)界最為嚴(yán)苛，也是開放程度最高的測試驗證。

1.擬態(tài)系統(tǒng)內(nèi)生防御機理與構(gòu)造效應(yīng)驗證

為了檢驗擬態(tài)系統(tǒng)的內(nèi)生防御機理，測試程序規(guī)定評測對象禁止安裝任何殺毒滅馬等防護工具；測試過程中禁止進行任何形式的漏洞修補或后門封堵等增量開發(fā)；也禁止使用諸如防火墻、加密認(rèn)證等安全加固手段。在保證被測對象服務(wù)功能和性能的前提下，需要作5個方面的測試驗證：（1）擬態(tài)系統(tǒng)能否隱匿擬態(tài)界內(nèi)的未知漏洞和后門；（2）攻擊者能否利用擬態(tài)界內(nèi)未知漏洞注入未知病毒木馬；（3）能否顯著降低攻擊或探測經(jīng)驗的可重復(fù)利用性；（4）能否允許擬態(tài)界內(nèi)使用“不可信不可控”的軟硬構(gòu)件；（5）擬態(tài)界內(nèi)能否允許存在病毒或木馬。驗證測試和分析評估表明：與理論預(yù)期完全吻合，原理具有普適性。同時，還獲得了兩個重要結(jié)論，即擬態(tài)防御的效果“與軟硬構(gòu)件代碼缺陷或惡意代碼數(shù)量和種類弱相關(guān)；與軟硬構(gòu)件代碼缺陷或惡意代碼時空一致性表現(xiàn)強相關(guān)”。

2.擬態(tài)防御構(gòu)造效應(yīng)

經(jīng)過測試，擬態(tài)防御至少具備如下效應(yīng)：（1）具有不確定性威脅感知能力，能顯著地降低攻擊鏈的可靠性；（2）顯著增加多模裁決協(xié)同逃逸難度，動態(tài)異構(gòu)環(huán)境降低漏洞可利用性；（3）具有獨立高效的安全增益，能夠逆轉(zhuǎn)現(xiàn)今網(wǎng)絡(luò)空間攻防不對稱格局；（4）適應(yīng)全球化開放產(chǎn)業(yè)生態(tài)環(huán)境，一體化架構(gòu)具有普適意義；（5）能夠自然地繼承或融合信息技術(shù)和安全技術(shù)成果，對服務(wù)提供具有透明性。評測組專家經(jīng)過反復(fù)醞釀于2016年8月，形成《擬態(tài)防御原理驗證系統(tǒng)測評意見》并上報中央。

3.測評意見和結(jié)論

（1）受測系統(tǒng)是擬態(tài)防御理論與方法的成功實踐。在滿足服務(wù)功能和性能要求下，能夠獨立且有效地應(yīng)對或抵御擬態(tài)界內(nèi)已知風(fēng)險或不確定威脅，其疊加與迭代、融合集成效應(yīng)能夠非線性地增加目標(biāo)對象的攻擊難度。證明了擬態(tài)防御無論從理論和實踐上都能有效應(yīng)對擬態(tài)界內(nèi)已知的未知風(fēng)險和未知的未知威脅。

（2）現(xiàn)有的掃描探測、漏洞利用、后門設(shè)置、病毒注入、木馬植入乃至高級持續(xù)威脅（APT）等常規(guī)或可能采取的非常規(guī)攻擊手段和方法，對擬態(tài)界內(nèi)受保護對象沒有預(yù)期的作用和可信效力。融合傳統(tǒng)安全技術(shù)可獲得“超非線性”防御效果。證明了擬態(tài)防御構(gòu)造在缺乏攻擊特征信息、構(gòu)件可信性不能確保條件下，能夠?qū)崿F(xiàn)基于目標(biāo)對象“內(nèi)生機制”的“融合式防御”。

（3）擬態(tài)防御體制機制還具有大幅度降低系統(tǒng)全壽命周期內(nèi)專用安全設(shè)施配置或更新升級代價、防護的實時性要求、版本同步更新頻度等綜合優(yōu)勢。在產(chǎn)業(yè)鏈開放的全球化生態(tài)環(huán)境中，使得利用“有毒帶菌”構(gòu)件實現(xiàn)可管可控的信息系統(tǒng)成為可能。此外，還可以大大縮短新產(chǎn)品入市和成熟的過程。證明了在全球化生態(tài)環(huán)境、非封閉產(chǎn)業(yè)鏈情況下，擬態(tài)防御是克服信息通信與服務(wù)基礎(chǔ)設(shè)施“自主可控、安全可信”難題的新途徑。

（4）擬態(tài)防御不僅具有顯著的安全功效，同時還可提供期望的服務(wù)功能與高可靠的應(yīng)用場景（縮短產(chǎn)品進入市場的時間），并能自然地繼承和接納網(wǎng)絡(luò)安全與信息化領(lǐng)域的科技成果。普適性的系統(tǒng)架構(gòu)開辟了內(nèi)生防御理論和技術(shù)研究新方向。證明了擬態(tài)防御構(gòu)造的集約化屬性能夠支持：“服務(wù)提供與安全防護”自然結(jié)合；“安全性與開放性”完美融合；“高可靠與高可信”自然結(jié)合；“內(nèi)生安全機制與傳統(tǒng)防御手段”完美融合。

（5）作為“網(wǎng)絡(luò)安全游戲規(guī)則改變者”，擬態(tài)防御體系使得：基于全球產(chǎn)業(yè)鏈仍然可以搭建自主可控、安全可信的信息服務(wù)設(shè)施；能夠顯著降低漏洞后門、病毒木馬等的實時性處理要求；不能形成時空、內(nèi)容一致性表現(xiàn)的漏洞后門、病毒木馬等攻擊，原理上無利用價值；“即使攻擊成功，也只是可能一次”，攻擊經(jīng)驗難以復(fù)制或繼承。擬態(tài)防御有效性不依賴任何“絕對可信”要素或部件的支持，安全性由動態(tài)異構(gòu)冗余物理機制決定，與計算復(fù)雜度無關(guān)。擬態(tài)防御顛覆了基于“先發(fā)技術(shù)和賣方市場”優(yōu)勢的網(wǎng)絡(luò)攻擊戰(zhàn)略；顛覆了基于“同一處理空間共享資源機制”網(wǎng)絡(luò)攻擊理論基礎(chǔ)；顛覆了“只有確保構(gòu)件可信才能達(dá)成系統(tǒng)安全”的傳統(tǒng)思維定式。

4.問題與前景

擬態(tài)防御自身也存在問題：首先是擬態(tài)界外的防護效果不確定；其次是擬態(tài)界內(nèi)異構(gòu)冗余帶來設(shè)計、體積、成本、功耗和維護復(fù)雜度的增加，但在高可靠與高安全應(yīng)用領(lǐng)域，成本增加量可控制在10%以內(nèi)（但全壽命周期使用維護等綜合成本則顯著低于傳統(tǒng)系統(tǒng)配置）；最后是擬態(tài)防御的實現(xiàn)，依賴軟硬構(gòu)件多樣化、多元化供應(yīng)水平。但是分析表明，擬態(tài)防御實現(xiàn)的工程代價低于可靠性領(lǐng)域經(jīng)典非相似余度架構(gòu)，同時實現(xiàn)的安全性要求遠(yuǎn)遠(yuǎn)高于專用加密裝置。

盡管擬態(tài)防御基本原理與方法具有普適性，但是不同領(lǐng)域可能面臨不同的應(yīng)用挑戰(zhàn)，理論和技術(shù)層面尚需不斷完善與再創(chuàng)新。

七、創(chuàng)造網(wǎng)絡(luò)安全與信息產(chǎn)業(yè)新格局

作為網(wǎng)絡(luò)安全再平衡戰(zhàn)略的技術(shù)抓手之一，擬態(tài)防御架構(gòu)可以在“軟硬構(gòu)件供應(yīng)鏈不可控不可信”的前提下，支撐全球化時代網(wǎng)絡(luò)安全與信息化“一體兩翼，雙輪驅(qū)動”發(fā)展目標(biāo)的實現(xiàn)；有助于消除網(wǎng)絡(luò)安全與信息化融合領(lǐng)域給全球自由貿(mào)易造成的有形或無形壁壘；異構(gòu)冗余體制創(chuàng)造或擴大市場新需求，同質(zhì)不再只是排他性競爭；顯著降低基于未知漏洞后門等謀利活動的商業(yè)價值，遏制灰色產(chǎn)業(yè)鏈的發(fā)展勢頭。

多元化異構(gòu)市場越開放，功能等價軟硬件產(chǎn)品越豐富，擬態(tài)界內(nèi)異構(gòu)部件可選范圍越寬，擬態(tài)防御性價比越高。自主可信安全構(gòu)造加上自主可控軟硬構(gòu)件，可以創(chuàng)建網(wǎng)絡(luò)空間安全新秩序。

如果把擬態(tài)構(gòu)造看成基因的話，其具備天然的滲透性、普適性、集約化和繼承性；作為網(wǎng)絡(luò)空間全維防御技術(shù)，適合戰(zhàn)略、戰(zhàn)役、戰(zhàn)術(shù)各個層面應(yīng)用；為網(wǎng)信領(lǐng)域“一體之兩翼，雙輪之驅(qū)動”發(fā)展戰(zhàn)略，提供了抓手級技術(shù)和強勁的產(chǎn)業(yè)創(chuàng)新力。同時，也開辟了基于擬態(tài)架構(gòu)的器件、部件、構(gòu)件、中間件、IP核、硬件、軟件、系統(tǒng)、裝置、平臺、網(wǎng)絡(luò)、開發(fā)測試工具等新興產(chǎn)品市場。

研究團隊在相關(guān)領(lǐng)域已經(jīng)做了試點應(yīng)用，除了上述的擬態(tài)路由器與交換機和擬態(tài)Web服務(wù)器，還包括：擬態(tài)網(wǎng)絡(luò)域名服務(wù)體系（能夠顛覆某些國家在互聯(lián)網(wǎng)上的先天戰(zhàn)略優(yōu)勢）；擬態(tài)工控平臺（可以構(gòu)建工業(yè)4.0時代高可靠、高可信、高可用、高效能一體化控制體系）；擬態(tài)文件和數(shù)據(jù)存儲系統(tǒng)（為云服務(wù)打造安全可信的數(shù)據(jù)文件存儲系統(tǒng)）；擬態(tài)的云化服務(wù)環(huán)境（具有擬態(tài)防御需要的內(nèi)在要素，能突破“雞蛋不能放在一個籃子里”的安全困局）。

網(wǎng)絡(luò)空間擬態(tài)防御是“中國的創(chuàng)造，網(wǎng)絡(luò)世界的福音”。雖然擬態(tài)防御理論體系目前已初具形態(tài)，但還需進一步完善，普適性和成熟性尚需規(guī)模化應(yīng)用并加以檢驗與提高，相信通過全球業(yè)界的努力，實現(xiàn)“網(wǎng)絡(luò)安全再平衡”不再是夢想。