揭秘美國網絡安全體系架構

王純錄

美國作為擁有最復雜的信息網絡的國家之一，平均每5年就會推出新的網絡概念、新的網絡架構和新的網絡建設計劃。關于美國的網絡安全體系架構是怎么樣的？它是如何貫穿在美國的網絡安全計劃中、落實到具體機構的？帶著這些困惑，一起來看看美國的網絡安全體系架構。

安全體系模型

先聊聊安全體系模型。國家級的網絡安全體系必然不是一蹴而就，要探究如此龐大的體系架構，還是要理論先行。

過去幾十年，美國提出了多個網絡安全體系模型和框架，比較經典的如PDRR模型、P2DR模型、IATF框架和黃金標準框架，都廣為人知并被廣泛應用。

P2DR模型：基于時間的動態安全循環

安全=風險分析+執行策略+系統實施+漏洞監測+實時響應。

20世紀90年代末，美國國際互聯網安全系統公司（ISS）提出了基于時間的自適應網絡安全模型P2DR，該模型較大的特點是可以進行量化與數據證明。在使用加密、防火墻等靜態防御工具的同時，P2DR模型利用檢測工具來評估系統的安全狀態，通過安全策略、防護、檢測和響應，達到一個動態的安全循環。

PDRR模型：強調修復能力

這個階段，安全的概念開始從信息安全擴展到了安全保障。由美國國防部提出的PDRR模型，集防護、檢測、恢復和響應于一體，更強調自動故障修復能力。

IATF框架：縱深防御

IATF由美國國家安全局（NSA）制定并發布。通過將信息系統的信息保障技術層面劃分成4個焦點域，局域計算環境、區域邊界、網絡和基礎設施、支撐性基礎設施，再在每個焦點域內，描述其特有的安全需求和相應可控選擇的技術措施，將信息基礎設施的防護擴展到多層。

直到現在，IATF仍在不斷完善和修訂。

黃金標準框架：能力整合

2014年6月，NSA發布《美國國家安全體系黃金標準》，可以說是基于美國國家安全系統信息保障的優秀實踐。

黃金標準框架強調網絡安全四大總體性功能是治理、保護、檢測和響應恢復。值得注意的是，該框架沒有給出解決方法，而是按照邏輯，將基礎設施的系統性理解和管理能力、以及通過協同工作來保護組織安全的保護和檢測能力整合在了一起，給出方法而不是“標準答案”。

雖然框架一直有所調整，但防御、檢測、響應和恢復始終是核心所在，因此，就以PDRR模型為對照，看看美國網絡安全體系如何在各機構層面鋪開。

防護

關于網絡空間安全防御，由于涉及面非常廣泛，加上很多內容作為機密文檔并不公開，所以這里只是簡單介紹了美國在防御這塊所做的一些努力。

首先，近年來，美國組織了一些大規模的國家計劃和戰略，比較典型的就是國家級演習計劃。

此外，CNCI也是美國構建國家網絡空間安全防御協調機制不能忽視的一個點。“9·11事件”后，美國于2008年發布第54號總統令，旨在從國家層面建設一個綜合的網絡空間安全防御系統，核心即實施CNCI。雖然CNCI自簽署以來，因涉及國家安全的原因被列為高度機密，但從2008年底公開的12項計劃對其防護覆蓋范圍之廣可見一斑。

CNCI：12個子計劃

通過可信因特網連接（TIC）把聯邦的企業級規模的網絡作為一個單一的網絡組織進行管理；

部署一個遍布整個聯邦的感應器組成的入侵檢測系統；

尋求在整個聯邦范圍內部署入侵防御系統；

對研發工作進行協調并重新定向；

把當前的各網絡行動中心相互連接起來，加強態勢感知；

制定和實施覆蓋整個政府部門的網絡情報對抗計劃；

增強涉密網絡的安全；

擴大網絡安全教育；

定義和制定能“超越未來”的持久的技術、戰略與規劃；

定義和發展持久的遏制戰略與項目；

建立全方位的方法來實施全球供應鏈風險管理；

明確聯邦的角色，將網絡安全延伸到關鍵基礎設施領域。

檢測/態勢感知

根據CNCI，由DHS內的NCSC協調和綜合來自6個中心的信息，從而提供橫跨6個中心的態勢感知與分析，并報告美國在情報、國防、國土安全、司法等方面的網絡和系統狀態。

NCSC隸屬于DHS，7×24 h全天候工作，制定政策報告，基于已有威脅制定緩和措施，評估網絡空間狀態，其核心競爭力主要體現在國防和態勢感知兩個方面。

響應

響應部分，可以通過一個簡單的思維導圖來看。美國針對安全事件的響應機制分為4個層面，國土安全、情報、國防和司法，每個領域由專門的機構來負責。

為什么要劃分開來？對于美國，包括其他國家來說，單一的個人或是組織完成一個重大網絡空間事件的響應工作顯然是不現實的，各機構的協調是必須的。基于協作的理念，2010年，美國針對全美國各個機構、國際合作伙伴之間在應對網絡空間安全事件時的協調和穩定運行問題，制定了NCIRP———非戰爭狀態下，由DHS主導的對國家級網絡空間安全事件的應急響應。

而NCCIC作為DHS的一個協調中心，其響應的信息來源分為2塊：

1.與其有合作伙伴關系的機構通過特殊渠道共享的網絡空間安全事件信息源；

2.自有信息源。

這些信息經過匯總和自身的COP傳輸給NCRAL系統進行評估，NCRAL系統在風險評估信息源和態勢感知專項指導的參與下給出評估結果：常態事件或重大網絡空間安全事件。

針對常態事件，CyberUCG可以給出響應措施，并把這些響應措施反饋給與NCCIC有合作關系的機構或組織；

針對重大網絡空間安全事件，DHS中負責網絡和通信的副部長負責直接與NCCIC協調召集組成CyberUCG IMT，進行響應，并把響應措施通過特殊渠道反饋給與NCCIC有合作關系的機構或組織。

恢復

恢復，是安全事件響應的后續動作，主要是對各部門的響應實施情況提出意見，幫助其及時有效地恢復工作，從而降低損失。

應急演習

在美國網絡安全體系的梳理后，不得不談談應急演習。作為無風險的環境下，用以訓練、評估和改進國家網絡安全能力的重要手段，應急演習是國家網絡安全體系的測試場。實戰見能力，美國開展了Cyber Storm，Cyber Guard，Cyber Flag等比較典型、大型的年度網絡空間安全演習。

以最出名的Cyber Storm為例，這是美國國土安全部為了推動關鍵基礎設施安全監測、應急響應能力而舉行的一個多國家、多聯邦政府部門和多私營企業參與的協同演練。演習覆蓋了演習規劃、方案設計、實戰和演習后優化等步驟，以此發現網絡安全體系在防御、檢測、響應、修復環節中的問題和待優化的反面，評估NCIRP的有效性。

理論模型———網絡安全體系構建———演習實戰的驗證，讓美國的網絡空間安全體系不斷優化運行。

在整個美國網絡安全體系的研究過程中，可以深切地感受到，國家級網絡空間安全是一個如此龐雜的體系，涵蓋面廣的同時各個因素又互相影響、互相制約。由此，我國網絡空間安全的工作開展，同樣需要從全局的角度考慮各種變量，從而形成一個完整的、動態的網絡安全體系。

最后，和大家聊幾句近年來關注度特別高的話題———網絡戰。美國作為世界上第一個提出網絡戰概念，也是第一個將其應用于實戰的國家，其網絡安全體系往往與網絡戰掛鉤，尤其是近年來美國啟動大量針對性的國家級演習，更是透露出在網絡戰上的事前準備。不止如此，美國網絡司令部也聲名鵲起，取代美國國土安全部（DHS）成為美國網軍的指揮主角。

要知道，自2010年全面運作以來，美國網絡司令部就將原本各自為戰的美軍各部門統一起來。2017年，特朗普宣布美國網絡司令部升級，地位與中央司令部持平；到了2018年，其所轄的網絡任務部隊數量更是達到了133支，總人數約6 200人。

可以說，在美國龐大的網絡安全體系之下，基本形成了統一的網絡戰指揮體系。