張小軍,李智林,萬 抒,康英來,郝志超
(中國電子科技集團公司第三十研究所,四川 成都 610041)
2023年9月,美國防部發(fā)布《國防部網(wǎng)絡(luò)戰(zhàn)略》[1],提出了保衛(wèi)國家、準(zhǔn)備戰(zhàn)斗并贏得國家戰(zhàn)爭、與盟友及伙伴開展合作、建立持久優(yōu)勢的優(yōu)先事項,為國防部下一步網(wǎng)絡(luò)空間行動指明了方向。戰(zhàn)略強調(diào)通過公私合作開發(fā),實施新的網(wǎng)絡(luò)能力,包括零信任架構(gòu)及相關(guān)技術(shù)、高級終端監(jiān)控功能、定制數(shù)據(jù)收集策略、增強網(wǎng)絡(luò)取證、自動化數(shù)據(jù)分析,以及支持網(wǎng)絡(luò)自動化、網(wǎng)絡(luò)恢復(fù)和網(wǎng)絡(luò)欺騙的系統(tǒng)等,以建立網(wǎng)絡(luò)空間持久優(yōu)勢,支持并實現(xiàn)全方位的網(wǎng)絡(luò)活動。為實時深入了解美軍網(wǎng)絡(luò)安全領(lǐng)域的前沿動態(tài)及進展,本文闡述美軍2023年網(wǎng)絡(luò)領(lǐng)域的工作重點,剖析美軍新開展和完成交付的網(wǎng)絡(luò)安全項目情況并分析其項目特點,以期為我國網(wǎng)絡(luò)能力建設(shè)、網(wǎng)絡(luò)安全技術(shù)發(fā)展提供參考。
為應(yīng)對持續(xù)增長的多樣威脅,確保大國競爭的優(yōu)勢地位,美國防部近年來不斷增加國防預(yù)算投入,延續(xù)了對軍事現(xiàn)代化和創(chuàng)新方面的重視,優(yōu)化效率、提高能力,創(chuàng)新以獲得競爭優(yōu)勢,確保美軍采辦、發(fā)展優(yōu)勢軍事力量[2]。
基于《2022年國防戰(zhàn)略》與2023年《國防部網(wǎng)絡(luò)戰(zhàn)略》,美軍將網(wǎng)絡(luò)空間作為“綜合威懾”戰(zhàn)略的核心組成部分,發(fā)展網(wǎng)絡(luò)安全以實現(xiàn)靈活、彈性的防御態(tài)勢,保持網(wǎng)絡(luò)領(lǐng)域的先進性以擊敗對手。
網(wǎng)絡(luò)安全方面,美軍將構(gòu)建更靈活高效的網(wǎng)絡(luò)能力、網(wǎng)絡(luò)彈性平臺,為更強大的網(wǎng)絡(luò)態(tài)勢、下一代加密解決方案、零信任架構(gòu)和網(wǎng)絡(luò)現(xiàn)代化提供支持。重點工作包括:實施網(wǎng)絡(luò)安全戰(zhàn)略方案、推進密碼與武器系統(tǒng)的整合、保護跨域信息、實施零信任架構(gòu)、加速身份和憑證訪問管理現(xiàn)代化等。
網(wǎng)絡(luò)作戰(zhàn)方面,美軍將資助網(wǎng)絡(luò)收集、作戰(zhàn)情報準(zhǔn)備、進攻與防御性網(wǎng)絡(luò)作戰(zhàn)及直接支持聯(lián)合作戰(zhàn)的能力和基礎(chǔ)設(shè)施等計劃和活動。重點工作包括:擴充網(wǎng)絡(luò)任務(wù)部隊、改善網(wǎng)絡(luò)靶場、強化關(guān)鍵信息系統(tǒng)和基礎(chǔ)設(shè)施的網(wǎng)絡(luò)彈性等。
網(wǎng)絡(luò)研發(fā)方面,美軍將研究開發(fā)網(wǎng)絡(luò)彈性、高級應(yīng)用等關(guān)鍵網(wǎng)絡(luò)相關(guān)領(lǐng)域。重點工作包括:提高當(dāng)前和未來國防部系統(tǒng)、網(wǎng)絡(luò)、關(guān)鍵基礎(chǔ)設(shè)施和關(guān)鍵資源的防御能力;通過人機協(xié)作顯著提升網(wǎng)絡(luò)行動的規(guī)模和速度;探索新的計算范式,制定大數(shù)據(jù)分析策略,以及開發(fā)綜合傳感和感知決策所需的邊緣設(shè)備和處理節(jié)點,擴展網(wǎng)絡(luò)空間前沿,從而在聯(lián)合全域指揮和控制內(nèi)實現(xiàn)統(tǒng)一能力。
2023 財年,美國防部網(wǎng)絡(luò)活動預(yù)算約112 億美元,投入同比增長約8%,其中網(wǎng)絡(luò)安全預(yù)算約66 億美元、網(wǎng)絡(luò)作戰(zhàn)預(yù)算約41.8 億美元、網(wǎng)絡(luò)研發(fā)預(yù)算約3.8 億美元。從近三年的數(shù)據(jù)來看,美軍網(wǎng)絡(luò)領(lǐng)域三大方面的預(yù)算比例保持一致(網(wǎng)絡(luò)安全方面約占59%,網(wǎng)絡(luò)作戰(zhàn)方面約占37%,網(wǎng)絡(luò)研發(fā)方面約占4%),始終將網(wǎng)絡(luò)安全放在最首要位置[3]。
2023年,以國防部高級研究計劃局(Defense Advanced Research Projects Agency,DARPA)為代表的美國國防研究機構(gòu)持續(xù)加強對網(wǎng)絡(luò)安全的重視程度,通過發(fā)布信息征詢書新增開展數(shù)個網(wǎng)絡(luò)安全研究項目,同時將已完成的項目過渡到各軍種或其他軍事機構(gòu),以進一步提升作戰(zhàn)能力。
2023年3月,DARPA 推出“實現(xiàn)彈性系統(tǒng)的驗證程序流水線推理(Pipelined Reasoning of Verifiers Enabling Robust Systems,PROVERS)”項目[4],旨在為國家安全系統(tǒng)提供領(lǐng)先于網(wǎng)絡(luò)安全威脅、實現(xiàn)高保障的系統(tǒng)工程,并產(chǎn)生具有可驗證安全屬性的網(wǎng)絡(luò)加固、彈性系統(tǒng)和支持性基礎(chǔ)設(shè)施。該項目技術(shù)領(lǐng)域涉及驗證工程工具、國家安全系統(tǒng)平臺及專業(yè)“紅隊”安全測試,以提供定量評估和證據(jù)整理。
該項目為期42 個月,共分為3 個階段。第1階段為期12 個月,將專注于開發(fā)、流水線化自動化技術(shù),并開發(fā)國防部開源系統(tǒng);第2 階段為期18 個月,將專注于成熟化、擴大自動化技術(shù)的使用規(guī)模,完成與現(xiàn)代軟件開發(fā)基礎(chǔ)設(shè)施的整合;第3 階段為期12 個月,將專注于開放、封閉生態(tài)系統(tǒng)的工具集成演示。
2023年4月,DARPA 推出“分區(qū)化和權(quán)限管理(Compartmentalization and Privilege Management,CPM)”項目[5],將開發(fā)一套工具及配套軟硬件基礎(chǔ)設(shè)施,可以自動將遺留的復(fù)雜軟件系統(tǒng)重組為性能良好的有限權(quán)限分區(qū),防止初步滲透演變?yōu)榫W(wǎng)絡(luò)攻擊,從而降低網(wǎng)絡(luò)風(fēng)險。該項目技術(shù)領(lǐng)域涉及自動化劃區(qū)、特權(quán)策略、評估支持。
該項目為期4年,共分為2 個階段。第1 階段為期30 個月,將專注于技術(shù)開發(fā),使用Linux、Unix 等開源類操作系統(tǒng)作為測試和評估套件;第2 階段為期18 個月,將側(cè)重于擴展技術(shù),并將用戶程序添加至測試和評估套件,如網(wǎng)絡(luò)瀏覽器、服務(wù)器及數(shù)據(jù)庫管理系統(tǒng)。
2023年6月,DARPA 推出“安全智能工具生成(Intelligent Generation of Tools for Security,INGOTS)”項目[6],開創(chuàng)由程序分析和人工智能驅(qū)動的新技術(shù),加速判定、修復(fù)網(wǎng)絡(luò)瀏覽器和移動操作系統(tǒng)等現(xiàn)代復(fù)雜系統(tǒng)中的漏洞。該項目將開發(fā)集成生產(chǎn)線,協(xié)同部署一套獨立的半自動工具,并利用計算機與人的團隊合作來快速、大規(guī)模地評估漏洞的嚴(yán)重性。該項目技術(shù)領(lǐng)域涉及漏洞分級、嚴(yán)重性分析、數(shù)據(jù)建模與集成系統(tǒng)測評。
該項目為期3年,分為2 個階段。第1 階段為期20 個月,重點探索、設(shè)計、開發(fā)并演示驗證工具和技術(shù);第2 階段為期16 個月,重點完善工具和技術(shù),促進技術(shù)成熟化,并擴大可識別的漏洞范圍。每個階段都將舉行中期會議、黑客馬拉松和演示,并以與政府合作伙伴的共同評估結(jié)果為結(jié)束標(biāo)志。
2023年6月,DARPA 推出“量子增強網(wǎng)絡(luò)(A Network Security Revolution Enhanced by Quantum Communication,QuANET)”項目[7],探索將量子和經(jīng)典方法集成到網(wǎng)絡(luò)中,為關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供基于量子物理學(xué)的安全能力。該項目技術(shù)領(lǐng)域涉及量子網(wǎng)絡(luò)接口卡(qNIC)、數(shù)據(jù)流的量子增強、拓撲量子增強技術(shù)。
該項目為期51 個月,分為4 個階段。第1階段為期3 個月,將專注于量子網(wǎng)絡(luò)接口卡的設(shè)計;第2 階段為期18 個月,將專注于量子網(wǎng)絡(luò)接口卡的制作,以及原型數(shù)據(jù)流的開發(fā)和拓撲結(jié)構(gòu)的增強;第3 階段為期18 個月,將專注于利用光纖網(wǎng)絡(luò),將數(shù)據(jù)流和拓撲增強功能與制造的qNIC 集成;第4 階段為期12 個月,將專注于光纖、量子增強網(wǎng)絡(luò)的可擴展性和空中鏈接擴展的初步設(shè)計。
2023年2月,美國情報高級研究計劃局(Intelligence Advanced Research Projects Activity,IARPA)推出“基于網(wǎng)絡(luò)心理學(xué)重塑信息網(wǎng)絡(luò)防御安全(Reimagining Security with Cyberpsychology-Informed Network Defenses,ReSCIND)”項目[8],旨在利用網(wǎng)絡(luò)攻擊者的人類局限性,開發(fā)一套新的網(wǎng)絡(luò)心理學(xué)防御系統(tǒng)以提高網(wǎng)絡(luò)安全。該項目技術(shù)領(lǐng)域涉及認知漏洞識別、網(wǎng)絡(luò)攻擊行為測量、開發(fā)、網(wǎng)絡(luò)心理信息防御系統(tǒng)、創(chuàng)建網(wǎng)絡(luò)計算認知模型。
該項目為期45 個月,分為3 個階段。第1階段為期18 個月,將專注于識別與網(wǎng)絡(luò)攻擊者相關(guān)的認知漏洞,包括誘導(dǎo)、加速和測量認知漏洞的方法;第2 階段為期15 個月,將專注于開發(fā)基于網(wǎng)絡(luò)心理學(xué)的防御系統(tǒng),能夠降低攻擊者的性能和成功率;第3 階段為期12 個月,將專注于開發(fā)自適應(yīng)防御系統(tǒng)和特定網(wǎng)絡(luò)的計算認知模型,以反映和預(yù)測所提供的行為數(shù)據(jù)。
2023年11月,IARPA 推出“偏見效應(yīng)和生成式人工智能顯著局限性(Bias Effects and Notable Generative AI Limitations,BENGAL)”項目[9],尋求開發(fā)和整合新技術(shù)來有效探測大語言模型(Large Language Model,LLM),以檢測、表征、減弱LLM 威脅模式和漏洞。該項目技術(shù)領(lǐng)域涉及不同輸出觀點的歸納、人工智能的檢測與推理、敏感環(huán)境中的安全信息流、對不完善或有害信息源進行彈性處理。
該項目為期2年,分為2 個階段。第1 階段為期12 個月,用于演示概念驗證原型,并提供初步軟件交付成果和性能評估報告,獨立的測試和評估團隊將驗證執(zhí)行結(jié)果及軟件性能;第2 階段為期12 個月,將在第1 階段概念驗證研究的基礎(chǔ)上進行演示示范。
2023年6月,DARPA 正式將“戰(zhàn)術(shù)邊緣彈性網(wǎng)絡(luò)安全手持設(shè)備(Secure Handhelds on Assured Resilient networks at the tactical Edge,SHARE)”項目移交國防部戰(zhàn)術(shù)攻擊套件產(chǎn)品中心,負責(zé)將軟件集成至現(xiàn)有及未來的C4ISR系統(tǒng)與平臺上[10]。該項目旨在創(chuàng)建一個可連接多安全等級信息的安全彈性網(wǎng)絡(luò),實現(xiàn)不同種類之間、驗證跨軍用和民用網(wǎng)絡(luò)的多涉密層級的信息安全交換。該項目技術(shù)領(lǐng)域涉及分布式戰(zhàn)術(shù)安全管理、彈性安全網(wǎng)絡(luò)、安全配置自動化。
該項目開始于2017年1月,共分為3 個階段。第1 階段為期12 個月,承包商為Vencore Labs 公司、RAM Laboratories 公司,針對驗證技術(shù)、應(yīng)用安全方法和整體系統(tǒng)架構(gòu)進行設(shè)計與演示,并在戰(zhàn)術(shù)邊緣條件下進行網(wǎng)絡(luò)實驗;第2階段為期12 個月,針對手持設(shè)備進行實地試驗,并設(shè)計、演示系統(tǒng)結(jié)構(gòu);第3 階段為期12 個月,針對集成系統(tǒng)的現(xiàn)場試驗與演示。第2、第3 階段承包商為Two Six Technologies 公司、Eucleo 軟件公司、Perspecta Labs 公司及MAPPS 公司。該項目成功開發(fā)并集成了軟件與網(wǎng)絡(luò)技術(shù),使美軍和國際盟友在戰(zhàn)術(shù)行動中實現(xiàn)安全、彈性的信息共享。
2023年7月,美國國家安全局(National Security Agency,NSA)正式將“鯊魚先知(SHARKSEER)”項目過渡給國防信息系統(tǒng)局(Defense Information Systems Agency,DISA)[11],并構(gòu)成零信任項目“雷霆穹頂”邊界安全的重要組成部分。該項目通過利用動態(tài)生成和增強全球威脅知識實現(xiàn)快速網(wǎng)絡(luò)保護,以檢測、緩解基于網(wǎng)絡(luò)的惡意軟件和高級持續(xù)威脅。該項目重點包括:保護互聯(lián)網(wǎng)接入點(InterAcademy Partnership,IAP),提供高度可用、可靠的自動感知和緩解功能,并通過自動化數(shù)據(jù)分析功能建立發(fā)現(xiàn)和緩解的基礎(chǔ);實現(xiàn)網(wǎng)絡(luò)態(tài)勢感知和數(shù)據(jù)共享,通過自動化系統(tǒng)與合作伙伴實時共享相關(guān)數(shù)據(jù)。
在2024 財年預(yù)算中,DISA 為該項目投資約400 萬美元,對所有IAP 位置和監(jiān)控網(wǎng)絡(luò)流量的安全系統(tǒng)防火墻和網(wǎng)絡(luò)設(shè)備進行技術(shù)更新。
DARPA 作為美軍顛覆性技術(shù)研究的“風(fēng)向標(biāo)”,資助整合了行業(yè)企業(yè)、研究機構(gòu)等研究力量,并以此來牽引全社會網(wǎng)絡(luò)安全技術(shù)研究創(chuàng)新方向,從而為美軍網(wǎng)絡(luò)裝備及技術(shù)的創(chuàng)新與研發(fā)工作奠定基礎(chǔ)。2023年,美軍開展的網(wǎng)絡(luò)安全項目具有致力于網(wǎng)絡(luò)彈性提高、漏洞安全管理、數(shù)據(jù)安全防護、新興技術(shù)賦能等特點。
面對愈加復(fù)雜和多發(fā)的網(wǎng)絡(luò)威脅,美國政府與國防部顯現(xiàn)出對網(wǎng)絡(luò)彈性的迫切需求,確保系統(tǒng)遭受攻擊時能夠繼續(xù)執(zhí)行任務(wù)。拜登政府《國家網(wǎng)絡(luò)安全戰(zhàn)略》更加強調(diào)網(wǎng)絡(luò)彈性的重要性,承諾長期投資下一代網(wǎng)絡(luò)空間彈性技術(shù),最大限度地避免網(wǎng)絡(luò)安全事件產(chǎn)生的持續(xù)影響[12];2023年《國防部網(wǎng)絡(luò)戰(zhàn)略》強調(diào)通過與盟友伙伴合作,加強關(guān)鍵基礎(chǔ)設(shè)施網(wǎng)絡(luò)彈性、消除戰(zhàn)備威脅,同時進一步投資聯(lián)合部隊網(wǎng)絡(luò)彈性,確保國防部信息網(wǎng)絡(luò)安全[1]。
2023年,美軍特別強調(diào)網(wǎng)絡(luò)彈性的研究和構(gòu)建,針對商用設(shè)備的軟硬件彈性、安全彈性網(wǎng)絡(luò)等領(lǐng)域,著重加強網(wǎng)絡(luò)防御、可恢復(fù)能力,進一步深化網(wǎng)絡(luò)能力與大規(guī)模軍事行動的融合。例如,DARPA 開展PROVERS 項目,生產(chǎn)具有可驗證安全屬性的網(wǎng)絡(luò)加固、彈性系統(tǒng)和支持性基礎(chǔ)設(shè)施;DARPA 將SHARE 項目移交至美國國防部戰(zhàn)術(shù)突擊套件產(chǎn)品中心,提供彈性的安全存儲和共享能力。
美國政府和軍方一直致力于確保關(guān)鍵基礎(chǔ)設(shè)施和通信網(wǎng)絡(luò)的安全性和可靠性,其中漏洞管理是重點內(nèi)容。拜登政府《國家網(wǎng)絡(luò)安全戰(zhàn)略》強調(diào),減少互聯(lián)網(wǎng)基礎(chǔ)和整個數(shù)字生態(tài)系統(tǒng)中的系統(tǒng)性技術(shù)漏洞,同時使其更能抵御跨國數(shù)字壓制[12];2023年《國防部網(wǎng)絡(luò)戰(zhàn)略》強調(diào),通過解決網(wǎng)絡(luò)漏洞,確保國防部信息網(wǎng)絡(luò)安全[1]。
2023年,美軍開展漏洞管理項目,持續(xù)識別、修復(fù)可能被惡意網(wǎng)絡(luò)行為者利用的漏洞,以維護美軍網(wǎng)絡(luò)和系統(tǒng)的安全性、機密性。同時,借助人工智能等技術(shù)實現(xiàn)漏洞掃描挖掘、利用及防御系統(tǒng)和工具的研發(fā),增強漏洞管理能力。例如,DARPA 推出INGOTS 項目,試圖創(chuàng)建一個新的方法進行自動漏洞特征描述、原始漏洞利用預(yù)測和漏洞利用組合,從而提高商業(yè)設(shè)備的軟件和硬件彈性;IARPA 推出“偏見效應(yīng)和生成式人工智能顯著局限性”項目,通過開發(fā)整合新技術(shù)來有效探測LLM,以檢測、表征、減弱LLM 的威脅模式和漏洞。
近年來,美軍向“以數(shù)據(jù)為中心”的網(wǎng)絡(luò)架構(gòu)轉(zhuǎn)型,明確將數(shù)據(jù)定位為戰(zhàn)略資產(chǎn),更加強調(diào)數(shù)據(jù)資產(chǎn)的安全性,并將零信任、云計算、加密算法等先進技術(shù)融入數(shù)據(jù)使用的全生命周期,構(gòu)建訪問控制和安全標(biāo)準(zhǔn)以保護數(shù)據(jù)安全。
美軍正在采取關(guān)鍵步驟,在未來的云計算和數(shù)據(jù)存儲平臺中采用零信任架構(gòu),以減少攻擊面并鞏固軍事部門和國防機構(gòu)網(wǎng)絡(luò)上的數(shù)據(jù)。例如,“雷霆穹頂”項目作為DISA 零信任安全和網(wǎng)絡(luò)架構(gòu)的核心,已完成原型設(shè)計并步入了規(guī)模化生產(chǎn)階段[13];DISA 托管和計算中心發(fā)布“分布式混合多云”項目,應(yīng)用零信任架構(gòu)、多因素身份認證搭建多云環(huán)境[14];美陸軍啟動“統(tǒng)一網(wǎng)絡(luò)運營”項目,利用身份認證與訪問管理軟件來簡化網(wǎng)絡(luò)運營流程,支持開展基于屬性的數(shù)據(jù)訪問和交換,以滿足零信任安全架構(gòu)和未來戰(zhàn)場環(huán)境需求[15]。
美軍認為,人工智能、量子技術(shù)等新興技術(shù)的運用將有可能成為未來網(wǎng)絡(luò)空間的“游戲規(guī)則改變者”,因此,美軍進一步加大了對相關(guān)技術(shù)的研發(fā)和利用力度,試圖實現(xiàn)技術(shù)突破,并將根據(jù)軍事需要進行轉(zhuǎn)化運用。
人工智能技術(shù)方面,美軍廣泛應(yīng)用人工智能以提高網(wǎng)絡(luò)安全防御效率,定位威脅攻擊,提升網(wǎng)絡(luò)安全防御的自動化、智能化水平。例如,NSA 將SHARKSEER 項目移交至DISA,使用人工智能技術(shù)來識別和減輕零日網(wǎng)絡(luò)攻擊和高級持續(xù)威脅;DARPA 創(chuàng)建INGOTS 項目,開創(chuàng)由程序分析和人工智能驅(qū)動的新技術(shù),以測量現(xiàn)代復(fù)雜系統(tǒng)中的漏洞。
量子技術(shù)方面,美軍持續(xù)加速量子信息技術(shù)的應(yīng)用研發(fā),為關(guān)鍵網(wǎng)絡(luò)基礎(chǔ)設(shè)施提供基于量子物理的安全能力。例如,DARPA 開啟QuANET 項目,開發(fā)混合量子經(jīng)典通信網(wǎng)絡(luò)架構(gòu),使量子增強經(jīng)典網(wǎng)絡(luò)的安全性。
加強自身網(wǎng)絡(luò)安全防御能力、保護關(guān)鍵基礎(chǔ)設(shè)施能力、加強網(wǎng)絡(luò)能力依然是拜登政府網(wǎng)絡(luò)領(lǐng)域發(fā)展布局的重點。在新版《國防部網(wǎng)絡(luò)戰(zhàn)略》下,美軍將投入更多的網(wǎng)絡(luò)活動預(yù)算,旨在保持網(wǎng)絡(luò)領(lǐng)域的先進性,加速過渡到基于零信任的下一代網(wǎng)絡(luò)安全體系結(jié)構(gòu),加強關(guān)鍵基礎(chǔ)設(shè)施防御。同時,美網(wǎng)絡(luò)司令部聯(lián)手DARPA 啟動“星座”計劃,培養(yǎng)從研究到作戰(zhàn)的快捷通道,讓網(wǎng)絡(luò)作戰(zhàn)人員更快地獲取新的網(wǎng)絡(luò)能力。未來,美軍將持續(xù)為網(wǎng)絡(luò)行動的情報、科技、網(wǎng)絡(luò)安防等賦能元素投資,擴大網(wǎng)絡(luò)聯(lián)盟及合作伙伴的網(wǎng)絡(luò)能力,進一步加強國防部及國防工業(yè)基地的網(wǎng)絡(luò)安全態(tài)勢。