等保2.0下可信計(jì)算在網(wǎng)絡(luò)安全防御體系中的有效性研究

曹軍奇

摘要： 我國等級(jí)保護(hù)制度正式進(jìn)入2.0時(shí)代，等保2.0納入了云計(jì)算、大數(shù)據(jù)、AI等方面新內(nèi)容，由傳統(tǒng)的計(jì)算機(jī)信息系統(tǒng)防護(hù)轉(zhuǎn)向云計(jì)算、移動(dòng)互聯(lián)、工業(yè)控制、物聯(lián)網(wǎng)和大數(shù)據(jù)等新型計(jì)算環(huán)境下的網(wǎng)絡(luò)空間主動(dòng)防御體系建設(shè)。本文在分析傳統(tǒng)網(wǎng)絡(luò)安全防御體系存在問題的基礎(chǔ)上，結(jié)合等保2.0新要求，深入分析了可信計(jì)算3.0在構(gòu)建主動(dòng)防御體系中的作用，并針對(duì)網(wǎng)絡(luò)安全動(dòng)態(tài)變化存在的問題給出了切實(shí)可行的主動(dòng)防御實(shí)施建議。

關(guān)鍵詞： 等保2.0 可信計(jì)算3.0 網(wǎng)絡(luò)安全防御體系

一、引言

當(dāng)前網(wǎng)絡(luò)攻擊手段層出不窮，網(wǎng)絡(luò)安全態(tài)勢(shì)依然嚴(yán)峻。國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的第43次《中國互聯(lián)網(wǎng)發(fā)展?fàn)顩r統(tǒng)計(jì)報(bào)告》指出，我國網(wǎng)民規(guī)模達(dá)8億之多，互聯(lián)網(wǎng)普及率達(dá)59.6%。發(fā)展迅猛的互聯(lián)網(wǎng)在帶來便利的同時(shí)，隨之而來的安全挑戰(zhàn)也不容忽視。國家互聯(lián)網(wǎng)應(yīng)急中心發(fā)布的報(bào)告顯示，2018年勒索軟件攻擊事件頻發(fā)，變種數(shù)量不斷攀升，國家互聯(lián)網(wǎng)應(yīng)急中心捕獲勒索軟件近14萬個(gè)，全年總體呈現(xiàn)增長趨勢(shì)，關(guān)鍵信息基礎(chǔ)設(shè)施等面臨的安全風(fēng)險(xiǎn)仍很突出，APT攻擊、數(shù)據(jù)泄露、分布式拒絕服務(wù)攻擊等問題也較為嚴(yán)重。云計(jì)算、大數(shù)據(jù)等新興技術(shù)興起，更多的信息系統(tǒng)部署到云上，特別是涉及民生的信息系統(tǒng)和基礎(chǔ)設(shè)施，假如被攻擊，結(jié)果不可想象，被動(dòng)式的傳統(tǒng)查殺方式已凸顯不足，建立主動(dòng)防御體系勢(shì)在必行。2019年5月，隨著網(wǎng)絡(luò)安全等級(jí)保護(hù)2.0核心標(biāo)準(zhǔn)正式發(fā)布，我國網(wǎng)絡(luò)安全等級(jí)保護(hù)已進(jìn)入2.0時(shí)代。在防御方面，由傳統(tǒng)的被動(dòng)型信息防護(hù)轉(zhuǎn)向了新型環(huán)境下主動(dòng)防御體系建設(shè)，等保2.0時(shí)代下重點(diǎn)對(duì)云計(jì)算、大數(shù)據(jù)安全等進(jìn)行全面安全防護(hù)，以此保障信息基礎(chǔ)設(shè)施安全。

二、傳統(tǒng)網(wǎng)絡(luò)安全防御體系存在的問題

當(dāng)前網(wǎng)絡(luò)安全形勢(shì)嚴(yán)峻，近年來的網(wǎng)絡(luò)安全事件暴露了傳統(tǒng)網(wǎng)絡(luò)安全防御技術(shù)存在的問題，被動(dòng)式的防御技術(shù)難以抵御和預(yù)防未知、潛在攻擊，難以應(yīng)對(duì)越發(fā)復(fù)雜智能化網(wǎng)絡(luò)入侵，傳統(tǒng)網(wǎng)絡(luò)安全防御體系主要存在如下幾個(gè)問題：

第一，安全基礎(chǔ)不可控，主動(dòng)防御缺失。傳統(tǒng)的被動(dòng)防御難以從根本上保障信息系統(tǒng)安全，例如傳統(tǒng)的網(wǎng)絡(luò)安全防御思想是在現(xiàn)有網(wǎng)絡(luò)體系架構(gòu)的基礎(chǔ)上建立，包括防火墻和安全網(wǎng)關(guān)、入侵檢測(cè)、病毒查殺、訪問控制、數(shù)據(jù)加密等多層次的防御體系，來提升網(wǎng)絡(luò)及應(yīng)用的安全性。傳統(tǒng)的防御方式，是利用已知的方法防范已知的威脅，相當(dāng)于在網(wǎng)絡(luò)資產(chǎn)寶箱外面加了一把鎖，盡管能夠抵擋一般的攻擊行為，但遇到猛烈而有組織的攻擊會(huì)被輕松攻破。

第二，安全管理人員思想認(rèn)識(shí)不夠，缺乏對(duì)等級(jí)保護(hù)工作經(jīng)驗(yàn)，自身防范意識(shí)不強(qiáng)，相關(guān)制度不規(guī)范，缺乏有效的工作流程。在安全管理工作中，尚未形成統(tǒng)一標(biāo)準(zhǔn)，又由于攻擊方式多樣，即使制定應(yīng)對(duì)措施，也會(huì)存在管理規(guī)范的漏洞，這些因素都會(huì)影響等級(jí)保護(hù)制度的貫徹落實(shí)[1]。

第三，相關(guān)標(biāo)準(zhǔn)跟不上技術(shù)的發(fā)展。當(dāng)前云計(jì)算、大數(shù)據(jù)、物聯(lián)網(wǎng)等新興技術(shù)的快速發(fā)展，所帶來的便捷服務(wù)受到更多客戶青睞，在帶來巨大市場(chǎng)機(jī)遇的同時(shí)，也帶來了安全問題，等級(jí)保護(hù)相關(guān)政策的滯后，安全性方面已不能滿足新型信息系統(tǒng)的需求[2]。

三、等保2.0下新要求

當(dāng)前，為適應(yīng)新興領(lǐng)域信息系統(tǒng)的等級(jí)保護(hù)工作的需要，公安部正式發(fā)布《網(wǎng)絡(luò)安全等級(jí)保護(hù)條例（征求意見稿）》，等級(jí)保護(hù)正式邁入2.0時(shí)代。

新標(biāo)準(zhǔn)包含了網(wǎng)絡(luò)安全等級(jí)保護(hù)定級(jí)指南、實(shí)施指南、基本要求和測(cè)評(píng)要求，其中新修訂的《網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求》包含安全擴(kuò)展要求六個(gè)部分，等保2.0主要呈現(xiàn)以下幾個(gè)特點(diǎn)：

（一）可信計(jì)算

其基本思想是先建一個(gè)信任根，其可信性由物理、技術(shù)和管理安全共同確保;然后建一條信任鏈，從信任根開始到軟硬件平臺(tái)、到OS、再到應(yīng)用，逐級(jí)上升，最后將信任應(yīng)用到整個(gè)系統(tǒng)，從而確保整個(gè)系統(tǒng)可信。對(duì)比等保1.0、2.0，3.0增加了可信計(jì)算的相關(guān)要求。可信計(jì)算貫穿了等保2.0四級(jí)標(biāo)準(zhǔn)，對(duì)通信網(wǎng)絡(luò)、區(qū)域邊界有明確要求。

（二）安全監(jiān)測(cè)

以事件為基礎(chǔ)，采集網(wǎng)絡(luò)安全日志及數(shù)據(jù)運(yùn)行日志信息，通過大數(shù)據(jù)分析等形式，實(shí)時(shí)監(jiān)測(cè)風(fēng)險(xiǎn)點(diǎn)，可實(shí)現(xiàn)風(fēng)險(xiǎn)識(shí)別、事件報(bào)警，同時(shí)包含網(wǎng)絡(luò)流量、網(wǎng)絡(luò)鏈路、網(wǎng)絡(luò)攻擊與審計(jì)等多維度。

（三）通報(bào)預(yù)警

新標(biāo)準(zhǔn)中要求構(gòu)建網(wǎng)絡(luò)安全事件預(yù)警和通報(bào)制度，同時(shí)能夠準(zhǔn)確把握本領(lǐng)域基礎(chǔ)設(shè)施運(yùn)行情況以及安全風(fēng)險(xiǎn)情況。

（四）應(yīng)急處置

當(dāng)信息安全事件發(fā)生，能夠采取一定急救措施，將損失和影響降至最低，這就要求系統(tǒng)具備快速識(shí)別能力，其次具有內(nèi)容信息被篡改、系統(tǒng)不可用時(shí)的應(yīng)急措施。

四、基于可信計(jì)算3.0構(gòu)建主動(dòng)防御體系

可信計(jì)算通過驗(yàn)證計(jì)算機(jī)組件的運(yùn)行狀態(tài)，以啟用計(jì)算機(jī)組件的冗余備份和故障轉(zhuǎn)移。但由于純軟件實(shí)施的安全機(jī)制極易受到攻擊。故出現(xiàn)了以TCG組織為代表，通過向計(jì)算機(jī)終端來添加硬件以此實(shí)現(xiàn)TPM的信任，通過建立信任鏈，以此來實(shí)現(xiàn)終端可信，硬件的引入代表可信計(jì)算邁入2.0時(shí)代[3]。由于通過添加硬件的可信計(jì)算是采用主程序調(diào)用外部連接的TPM芯片來實(shí)現(xiàn)的被動(dòng)度量。因此，我國提出了一種“主機(jī)+可信”雙節(jié)點(diǎn)主動(dòng)免疫可信計(jì)算架構(gòu)，受信任機(jī)器在運(yùn)行時(shí)監(jiān)控和驗(yàn)證主機(jī)。同時(shí)，我國可信計(jì)算技術(shù)將可信驗(yàn)證對(duì)象擴(kuò)展到整個(gè)信息系統(tǒng)，實(shí)現(xiàn)主動(dòng)免疫保護(hù)，從此邁入可信計(jì)算3.0時(shí)代。

積極信任的可信計(jì)算架構(gòu)可以為信息系統(tǒng)構(gòu)建一個(gè)活躍而完整的信任系統(tǒng)，使他們能夠在計(jì)算時(shí)執(zhí)行安全保護(hù)。及時(shí)識(shí)別“自我”和“非自我”組件，并計(jì)算整個(gè)過程可測(cè)量和可控制而不受干擾。這可確保計(jì)算結(jié)果始終與預(yù)期相同，從而防止已知、未知病毒入侵特洛伊木馬。基于主動(dòng)免疫可信計(jì)算架構(gòu)，不僅可以為單個(gè)設(shè)備構(gòu)建完整的信任鏈，而且還可以利用可信連接機(jī)制，驗(yàn)證網(wǎng)絡(luò)中的其他設(shè)備實(shí)現(xiàn)計(jì)算節(jié)點(diǎn)之間的可信互連，從而進(jìn)一步擴(kuò)展了信任機(jī)制[4]。為構(gòu)建可信的信息系統(tǒng)奠定了基礎(chǔ)。

五、對(duì)策建議

等級(jí)保護(hù)2.0實(shí)施環(huán)節(jié)要從被動(dòng)防御的安全體系向事前預(yù)防、事中響應(yīng)、事后審計(jì)的動(dòng)態(tài)保障體系轉(zhuǎn)變，傳統(tǒng)的網(wǎng)絡(luò)安全保護(hù)理論已不能適應(yīng)網(wǎng)絡(luò)安全動(dòng)態(tài)特性。基于等保2.0主動(dòng)防御思想，構(gòu)建以主動(dòng)免疫為特征的主動(dòng)防御系統(tǒng)勢(shì)在必行。

第一，構(gòu)建網(wǎng)絡(luò)安全技術(shù)防御系統(tǒng)，提高可信度和主動(dòng)防御新標(biāo)準(zhǔn)，解決當(dāng)前網(wǎng)絡(luò)安全保護(hù)政策標(biāo)準(zhǔn)的滯后性及難以滿足新信息系統(tǒng)的安全性要求問題。云計(jì)算和物聯(lián)網(wǎng)新興技術(shù)正面臨新的要求，所有行業(yè)都連接到互聯(lián)網(wǎng);新興技術(shù)帶來了新的安全威脅，并對(duì)信息安全防御提出了新的挑戰(zhàn)。建立新信息系統(tǒng)的主動(dòng)免疫、主動(dòng)防御和水平保護(hù)標(biāo)準(zhǔn)，并改進(jìn)對(duì)實(shí)施分級(jí)、評(píng)估和管理的技術(shù)支持。

第二，加強(qiáng)信息安全學(xué)科建設(shè)，培養(yǎng)信息安全專業(yè)人才隊(duì)伍。尤其需要的是技術(shù)熟練的業(yè)務(wù)骨干，如網(wǎng)絡(luò)安全對(duì)抗人才。針對(duì)社會(huì)缺乏信息安全人才、學(xué)科建設(shè)不健全等情況，應(yīng)采取相應(yīng)措施。

參考文獻(xiàn)：

[1]沈昌祥.可信計(jì)算3.0筑牢網(wǎng)絡(luò)安全防線[J].信息安全研究，2017（03）.

[2]何占博，王穎，劉軍.我國網(wǎng)絡(luò)安全等級(jí)保護(hù)現(xiàn)狀與2.O標(biāo)準(zhǔn)體系研究[J].信息技術(shù)與網(wǎng)絡(luò)安全，2019（03）.

[3]陳衛(wèi)平.可信計(jì)算3.0在等級(jí)保護(hù)2.0標(biāo)準(zhǔn)體系中的作用研究[J].信息安全研究，2018（07）.

[4]沈昌祥，陳興蜀.基于可信計(jì)算構(gòu)建縱深防御的信息安全保障體系[J].四川大學(xué)學(xué)報(bào)（工程科學(xué)版），2014（01）.

作者單位：中國人民銀行焦作市中心支行