下一代安全體系的核心防護機制

■ 安徽 劉揚

編者按： 以霧計算為代表的新興網絡技術正成為構建下一代大數據監管系統及網絡信息安全防護體系的基石。而霧計算的特性是一柄雙刃劍，解決這一問題的關鍵在于構建與下一代網絡特點相適應的防護機制。

隨著各國加快5G建設，車聯網、工業互聯網等人們期待已久的垂直行業應用正逐步走入生活，5G時代定義的三大應用場景——eMBB、URLLC和mMTC——帶來的不僅是技術的進步，更是工作生活方式的顛覆。

與此同時，這些應用場景也給網絡帶來了前所未有的承載壓力，網絡的物理極限閾值正從理論上的可能性逐步變為現實存在的系統性風險。

為解決這一風險，以霧計算為代表的新興網絡技術正在成為構建下一代大數據監管系統及網絡信息安全防護體系的基石。但是霧計算的八大支柱特性本身也是一柄雙刃劍，而解決這一問題的關鍵在于構建與下一代網絡特點相適應的防護機制。

霧計算支柱特性的天然弱點

根據已經發布的霧計算標準IEEE 1934，霧計算具有8大支柱特性，分別為安全性、可擴展性、開放性、自主權、可靠性、靈活性、層次性和可編程性。霧計算的支柱特性既是其優勢所在，也是其弱點所系。

在這些支柱特性中，安全性、可擴展性、自主性和層次性與下一代監管系統及網絡信息安全防護體系的技術演進趨勢相契合（筆者已在拙作《下一代安全防護體系的突破口》中進行了探討），但開放性、可靠性、靈活性和可編程性也會使得威脅網絡信息安全的惡意行為可以直接通過網絡遠程實施，輕則造成數據泄露，重則直接對物理世界產生破壞。

開放性實現了資源共享，使得應用內部的生產設施能夠直接連接到遠程維護服務提供商和其它合作伙伴，也為非授權的訪問行為打開了方便之門。

可靠性既為遠程維護和預測維護功能實現提供了便利，也為非授權獲取數據等惡意行為的實施提供了土壤。

靈活性允許霧計算節點實時檢測和處理故障、自行調整生產線，也讓破壞物理世界的惡意行為可以通過網絡遠程實現。

可編程性賦予霧計算節點的編程能力，使其可以創建動態的價值鏈，并分析現場的數據，而不是將其發送到云；也使上述惡意行為可以長期隱藏在霧計算節點中，持續威脅網絡信息安全。

霧計算支柱特性的天然弱點不僅使其自身存在安全隱患，也直接影響了邊緣計算層和云計算層的安全防護。從節點層次來說，霧計算處于構建邊緣計算-霧計算-云計算的多層次網絡信息安全防護的樞紐位置，起著承上啟下的重要作用。邊緣計算中的計算和存儲資源相對有限、云計算中的網絡邊緣能力不足都需要通過霧計算解決。一旦霧計算節點遭到破壞，將直接引發相鄰邊緣計算節點與云計算節點的連鎖反應。

總體來說，霧計算既是構建下一代大數據監管系統及網絡信息安全防護體系的基石，也是下一代網絡信息安全防護的要害。

面向下一代網絡的核心防護機制

如何解決霧計算的天然弱點產生的安全隱患，關鍵在于構建與下一代網絡特點相適應的防護機制。

這一防護機制不同于以往的防護機制，需要匹配下一代網絡的兩項基本特征：一是全程全網，即不同位置、不同層次、不同規模異構節點共同匯聚于一個網絡；二是節點有別，即不同層級、不同類別節點之間的差異性將會顯現，同時節點的分層化趨勢也逐漸凸顯。

因此面向下一代網絡的防護機制需要具備兩項能力，一是基于節點的差異和分層匹配不同的安全防護策略，二是在部分節點出現問題時能保障網絡總體不受影響。根據其外在表現形式，可以將這一防護機制命名為閉鎖機制。

閉鎖機制，其外在表現形式為將問題節點或節點內出問題的功能模塊與其他節點或功能模塊隔離開來，防止在網絡中的進一步擴散或聯動。根據隔離的程度和技術實現方式，可以進一步分為四種類型：

物理閉鎖，即節點在網絡中運行時只允許遠程訪問，所有功能模塊均不可修改。

剛性閉鎖，即節點在網絡中運行時只允許特定的遠程操作，只允許修改部分功能模塊。

灰度閉鎖，指在一定范圍的網絡中始終只有部分節點和功能模塊處于允許遠程操作的狀態，并且預先配置不相容節點和功能模塊。即在部分節點和功能模塊處于允許遠程操作狀態時，始終有另一部分節點和功能模塊禁止遠程操作，而且預設數據校驗，由后者校驗前者，監測異常行為。

擬態閉鎖，指節點和功能模塊在網絡中運行時不斷切換遠程操作規則與權限、基于內生機理的主動閉鎖，必要時可模擬出物理閉鎖、剛性閉鎖或灰度閉鎖的擬態偽裝。實現這一閉鎖需要節點配備擬態防御技術，使其具備動態異構冗余的內生安全特性，并可根據需要模擬成物理閉鎖、剛性閉鎖或灰度閉鎖的蜜罐，配合追蹤溯源等技術進行有效的主動誘捕。

基于閉鎖機制的下一代網絡閉鎖矩陣

考慮到下一代網絡的發展趨勢，主要有兩類因素影響節點采用相應的閉鎖機制。

一是對真實世界的物理影響。隨著車聯網、工業互聯網等垂直行業應用的發展，節點將逐漸從傳統意義上IT域拓展到OT域，節點越趨向OT域，越可能對真實世界產生物理影響。

二是節點功能的復雜度。隨著旨在實現萬物互聯的下一代網絡建設，從功能單一的傳感器，到功能復雜的無人駕駛汽車，各類設備都可以成為網絡中的節點。

基于閉鎖機制的下一代網絡閉鎖矩陣如圖1所示。

在閉鎖矩陣中，閉鎖類型與節點特點相對應，表示的是某類節點以采用某類閉鎖機制為主。當節點功能單一且趨向OT域應用時，以采用物理閉鎖為主，例如工業互聯網中的運動控制器。當節點功能單一且趨向IT域應用時，以采用剛性閉鎖為主，例如物聯網中的傳感器。當節點功能復雜且趨向OT域應用時，以采用灰度閉鎖為主，例如工業機器人。當節點功能復雜且趨向IT域應用時，以采用擬態閉鎖為主，例如智能車間的中央控制室。

在現實應用中，各類節點中部署的閉鎖機制往往是組合式的，通過閉鎖組合提升閉鎖效果。例如，基于配合追蹤溯源等技術需要也可能在功能單一且趨向OT域的節點中配置采用擬態閉鎖的特定節點。

此外，節點所在的網絡層次、節點的部署成本等因素也會影響閉鎖機制的選擇，閉鎖矩陣還可以作進一步的維度拓展。

圖1 基于閉鎖機制的下一代網絡閉鎖矩陣

基于閉鎖矩陣的下一代大數據監管系統建設

基于閉鎖矩陣，可以將基于物理極限維度的下一代大數據監管系統的概念架構作進一步拓展，根據節點功能的復雜度和對真實世界的物理影響進一步明確監管節點對采用不同閉鎖機制節點的監管重點。

1.對采用物理閉鎖節點，監管重點為是否出現超出設置范圍的異常數據，關注節點的物理運行狀態。

2.對采用剛性閉鎖節點，監管重點為是否出現數據的異常流動，關注非授權獲取數據的惡意行為。

3對采用灰度閉鎖節點，監管重點為節點的物理運行數據和數據的異常流動，關注節點是否已被遠程侵入和操縱、預設數據校驗是否能控制異常物理運動。

4.對采用擬態閉鎖節點，監管重點為對節點遭遇的惡意行為進行特征提取和追蹤溯源。監管節點自身的閉鎖機制也以擬態閉鎖為主，保障監管節點的安全可信。

在大數據監管系統的建設中，這些監管重點與邊緣計算層-霧計算層-云計算層配備的技術深度融合，分層分類分配各項監管任務，配備的技術包括TLS/SSL等協議、入侵防護技術、流量識別技術、追蹤溯源技術、新型加密技術（混合加密、同態加密等）、安全審計技術、數據匿名化技術、基于數據失真和加密的技術、數據挖掘技術、訪問控制技術、區塊鏈、擬態防御等。

其中，霧計算的關鍵節點需要以擬態閉鎖為核心構建防護，從而保障其在面臨與云計算層或邊緣計算層設備失聯時的極端情況下的自主處置權能夠正常運轉。

基于閉鎖機制的下一代網絡信息安全防護體系構建

構建下一代網絡信息安全防護體系，既要充分運用霧計算等新興網絡技術，也要建立與之相適應的核心防護機制——閉鎖機制，更要提高人們對網絡信息安全的認識與意識，實現人機協同的一體式防護，及時閉鎖問題節點與功能模塊，將風險遏制在網絡的末梢上。