《网络空间安全体系及关键技术》由会员分享，可在线阅读，更多相关《网络空间安全体系及关键技术（15页珍藏版）》请在金锄头文库上搜索。
1、网络空间安全体系及关键技术摘要：提出一种新型立体式网络空间安全体系结构， 新结构有助于实现立体式网络空间安全防御体系，克服了传 统线性防御体系只能应对单一性安全威胁的缺点。在新的体 系结构中，网络空间中的节点分布于所有层次之中，且每一 层的活动支撑着其他层的活动，并对整个网络空间产生影响。 此外，针对所提出的立体式网络空间安全体系结构，结合当 前的热点应用，指出了立体式网络空间安全防御体系应采取 的关键技术。关键词：网络空间；立体式安全体系；信息安全网络空间1一词最早出现在美国科幻小说中，在故事中 主角将自己意识感知的世界称为网络空间。随着时代的发展， 网络空间被赋予了很多新的含义。网络空间是
2、连接各种信息 技术基础设施的网络，包括互联网、各种计算机系统及人与 人之间相互影响的虚拟环境。网络不仅是一个消息的载体和媒介，它还改变了我们周 围的一切，并悄悄地改变着我们的思维2。从某种程度上讲， 人们所处的环境，都被赋予了网络和信息的属性3 o因此， 我们可以认为网络空间安全4的核心是信息安全。如今，信 息技术以及其工业应用迎来了前所未有的繁荣，信息安全问题也变得越来越突出。此外，科学与技术的发展给信息安全 带来了新的挑战，利用量子5与DNA计算，许多现存的公 钥加密系统变得不再安全，网络空间的安全问题变得越来越 严峻。1网络空间安全分析在给出网络空间安全体系结构之前，我们首先对网络空 间
3、的安全性进行分析。1.1传统意义上的网络空间安全范畴1.1.1物理电子设备安全物理电子设备是我们存放消息数据的载体，从这个意义 上讲，对于其安全性的考虑，不仅包括硬件电子设备在硬件 上的不被恶意损毁和盗取，也应包括用户存放于上面的数据 不应被人为地通过物理手段窃取或者删除。如何保证存放数 据的物理设备有一定的灾备能力，如何从毁坏的设备中恢复 用户的数据等问题都非常重要。此外，旁路攻击6中利用电 磁信号变化、电位变化等，通过统计学恢复加密数据明文的 攻击手段也属于此范畴。1.1.2应用层与系统层安全应用层与系统安全主要是指当用户的数据在计算机系 统中储存的时候，系统和应用层是安全可靠的。这里的安
4、全 威胁主要来自于不可信系统，或者恶意应用软件。1.1.3网络安全传统意义上的网络安全是如何保障网络互连互通安全。 网络互连指的是将不同的网络通过连接设备连接形成一个 巨大的网络，或者是为了便于管理，将一个更大的网络划分 为几个子网，而网络互通是指建立各个子系统共享资源的环 境，网络互连比网络互通更易实现。为了实现网络互连，一 般使用中继器、网桥、路由器等设备，而为了实现网络互通， 必须考虑各个子系统之间数据交流协调同步问题，同时需要 设置各个子系统之间硬件和软件的参数等。如何在网络空间 上安全传播，不被恶意窃听和修改，便成了重中之重。网络 传播过程的安全，也不仅仅指的是传播链路上的安全，还应
5、 包括提供网际传输链路的服务提供商在硬件和软件上，不被 恶意攻击，链路可以畅通无阻。针对网络的常见攻击手段有 拒绝服务攻击、中间人攻击等。1.1.4人员管理安全网络管理人员是网络空间的一个至关重要的组成部分， 管理人员依靠专业知识规划、监督、控制着网络资源的使用 以及网络中的各种活动，从而使得网络的安全性能达到最优 化。因此，从信息技术角度上解决网络安全问题的同时，我 们必须加强对网络网络管理人员的监督以及管理。网络管理 人员对网络安全的威胁不仅包括管理人员的监守自盗、擅权 越权等非法操作，更包括安全意识薄弱、管理环节不健全等 潜在威胁。所以我们要采取切实可行的措施，制订更加严格 的管理制度，
6、不断提高和加强网络管理人员的管理水平以及 安全意识。1.2新形势下的网络空间安全范畴近几年，随着智能移动终端的普及，人们的生活与网络 联系更为密切。因此，除了 4个传统意义上的安全考虑之外， 新的形势下还有很多新的网络空间安全问题。这里所谓的新 形势是指：在当代新技术不断涌现，各领域高度融合的前提 下，网络空间安全所展现出来的新局面。新形势之所以新， 是因为：（1）所处层次的复杂化。如果不考虑人员层的管理安 全，以往的安全问题出现的时候，所处层次往往比较单一， 比如上述提到的XcodeGhost事件，就出现在编译环境和由该 环境生成的代码中，属于应用层范畴。但是新形势下的网络 空间安全往往是跨
7、区域、跨层次的。（2）表现形式的多元化。传统安全问题表现形式较为 单一，比如个人隐私，在传统的思维模式里，用户可以根据 自己意愿对所持有数据进行公开。但是在大数据时代，数据 挖掘技术和机器学习学习技术能从用户已公开的数据中嗅 探出用户不愿意公开的数据，隐私的表现形式已经不仅仅是 自己不愿意公开的数据，更广泛地分布在已经公开的碎片数 据中。（3）涉及技术的多样化、新型化。比如下面提到的物 联网技术，它涵盖了材料技术、生物技术、通信技术等，每 个环节都有新的安全指标和挑战。很多技术在以往的安全关 键技术中都是很少涉及的，比如材料技术。涉及到安全问题 的一个典型例子就是最近逐渐兴起的可编程材料技术，
8、工程 师可根据需求对材料进行编程，改变材料结构。那么，我们 可以断言，距离材料型病毒诞生的一天也不远了。可以看出，新形势下的安全问题是对传统问题的延续与 补充，传统问题所表达的安全基准在新形势下也同样适用。 新形势下的安全问题很可能是若干传统安全问题的交集。下 面我们就结合当下的热点应用，阐述新形势下的安全问题。1.2.1智能移动终端安全近年来，手机等智能移动终端迅速发展，很多安全问题 也随之暴漏出来，如图1所示，具体包括：（1）恶意软件。智能终端的恶意软件和PC端的恶意软 件具有同样的危害。从所属层次上来说，终端恶意软件仍然 属于应用层和系统层层面，但是由于移动终端的存储能力和 计算能力有限
9、，终端恶意软件多以后门、木马的形态存在。 所以，终端恶意应用正逐渐向网络层过渡。（2）基于位置服务7。基于位置服务是指通过运营商或者外部设备 获取移动终端设备位置信息的服务。如何保证一个基于位置 服务提供商是可信的，不会将用户的位置信息暴漏给其他第 三方，是值得考虑的一个问题。基于位置的服务是网络层、 应用层与物理设备层的相互交叉的产物。（3）数据销毁。当更换手机或硬盘时，人们会把旧的 设备格式化，以清除数据，避免信息泄露。数据销毁则是需 要物理设备层、应用层与系统层协调工作。1.2.2可穿戴设备安全近几年还有一些其他类型嵌入式系统和可穿戴设备的 安全性也引起了人们的重视。常见的可穿戴设备是指
10、那些具 有部分计算能力，与智能移动设备相辅使用的便携式设备。 这些设备多以手表、鞋子、帽子等形式存在，边缘化的还有 一些服装、书包、配饰等。然而，在2015年的HackPWN安 全极客狂欢节上，有白帽子黑客向组委会递交了一个小米手 环的漏洞，通过该漏洞，黑客可以完全接管小米手环的控制 权。要想解决可穿戴设备安全问题，应该从物理设备层与系 统层进行考虑。1.2.3云计算安全云计算8在近几年受到了学术界、产业界和政府等的共 同关注。云计算的安全主要包括：（1）虚拟化安全。虚拟化技术在信息系统中发挥着极 其重要的作用，它可以降低信息系统的操作代价、改进硬件 资源的利用率和灵活性。但随着虚拟技术的广泛
11、运用，其安 全问题越来越受到人们的关注。（2）云存储安全。云存储可以为用户提供海量的存储 能力，而且可以减少成本投入。然而，由于对数据安全性的 担忧，仍然有很多用户不愿意使用云存储服务。如何保证用 户所存储数据的私密性，完整性等都是云存储安全的范畴。1.2.4物联网安全物联网9被视为继计算机、互联网和移动通信之后的第 3次技术革命和信息产业浪潮，它广阔的行业前景和潜在的 巨大市场规模受到了各国政府和研究者的极度重视。物联网 涵盖了材料技术、生物技术、计算机技术、电子技术、通信 技术，打破了行业之间的界限，实现了通信从人与人向人与 物，甚至于物与物之间拓展。然而，也正因为如此，物联网 的安全才更
12、加具有挑战性。1.2.5量子计算机对传统密码学算法带来的挑战随着科学的进步与发展，诞生了很多新兴的技术，如量 子计算机技术。量子计算机的诞生，可能对传统意义上的密 码学构成威胁，其特点是计算能力非比寻常，将在现有计算 能力上实现指数增长。目前来说，量子计算机还处于萌芽期， 不具备可操作性，而且实验性量子计算机也不足以对传统加 密算法发起攻击，但是随着政府资金的大量投入，理论和实 践活动的开展，实用性量子计算机或许随时都会诞生。传统 密码算法10-11 所依赖的大整数分解，椭圆曲线以及离散对 数问题在大规模量子计算机面前，会变得不堪一击。2网络空间安全体系结构随着中国在电子银行、电子商务和电子政
13、务方面的进一 步发展，网络空间安全形势也越来越严峻，急需构建新型网 络空间安全防御体系，从传统线性防御体系向新型立体式网 络空间防御体系发展。传统线性防御体系只能应对某一层内 的单一性安全威胁，而新型网络空间防御体系必须能够实现 立体化的安全防域，即该网络空间中的节点分布于所有域之 中，网络空间中的所有活动支撑着其他域中的活动，并且其 他域中的活动同样能够对网络空间产生影响。立体式网络空 间安全体系如图2所示。2.1第1道防线网络层防御体系网络防御层12是保证信息数据在网络传输过程中的坚 固堡垒与屏障。防御模式不仅包括传统意义上的虚拟专用网 络（VPN）、防火墙等。而且为了确保网络互连互通安全
14、，需 要加强对网络互连互通设备的安全设置，比如中继器、网桥、 路由器等等。在新兴技术的支持下，网络层安全如虎添翼。 服务器可以通过固化在用户终端的安全模块，对用户的网页 浏览行为进行管控，确保用户所浏览的网页没有受到钓鱼网 站的劫持冒用。同时，用户之间的会话在逻辑上是加密的， 并且会话密钥的分享方式是安全可靠的。2.2第2道防线系统层与应用层防御体系系统层与应用层防御是针对于软件而言的，在系统最先 开始编译的时候，就可以将一些安防软件、病毒检测软件内 嵌到系统中，尤其是在软件开源的大趋势下，我们完全有能 力将安防体系作为系统模块的一部分，固化在操作系统本身 的结构中。面向的对象，包括一些底层是
15、Linux嵌入式系统 的可穿戴设备，以及拥有开源优势的安卓手机系统，都可以 被这个防御思维有针对性地进行改造。在用户接入系统的时 候，通过系统将对所有的用户进行约束与管控：通过在终端 上部署防病毒客户端，有效控制病毒的感染与传播，依托于 大数据云计算平台，进行终端和网络病毒查杀，以保证计算 终端配置和软硬件信息不被恶意病毒修改。通过主机对终端 硬件如磁盘、外接设备等的安全监控，可以实现移动存储介 质的安全接入，控制终端用户对核心系统的读写等。2.3第3道防线设备层防御体系设备层防御体系是从硬件上构建的防御体系，从最底层 打牢网络空间的基石。通过改良硬件的基础设施，在硬件最 初被设计的时候，就将
16、其安全功能考虑进去，必要时候可以 在芯片中内嵌一些安全算法，布控一些安全防御设备，包括 反窃听、反旁路攻击等。合理规划安排硬件安装过程中的每 一个环节，对硬件的操作进行软件上或者物理上的监控。确 保在设备层面构成网络空间的第3道防线。2.4纵防线人员防御体系建设人员防御体系的核心是建设合理的人员管理体系。对人员的安防意识进行有针对性的强化，同时加强道德品质 建设，对于具有专业能力的计算机从业人员进行正确疏导， 避免误入歧途。加强法律的威慑力与约束能力，加强安防软 件硬件的基础设施建设，加快落实实名制，在实名制的基础 上引入生物特征识别机制，加大网络犯罪的犯罪成本。人员 的管理穿插在防御体系的每一个环节中，因此非常值得关注。 3网络空间安全关键技术3.1智能移动终端恶意代码检测技术针对智能移动终端恶意代码而研制的新型恶意代码检
