用主动免疫可信计算3.0筑牢网络安全防线营造清朗的网络空间

2018-04-19沈昌祥

信息安全研究 2018年4期

□ 沈昌祥

当前，网络空间已经成为继陆、海、空、天之后的第五大主权领域空间。网络安全是国际战略在军事领域的演进，对我国网络安全提出了严峻的挑战。解决信息安全核心技术设备受制于人的问题，需要创新发展主动免疫的可信防护体系。2013年12月20日，习近平总书记在中国工程院1份建议上的批示中指出：“计算机操作系统等信息化核心技术和信息基础设施的重要性显而易见，我们在一些关键技术和设备上受制于人的问题必须及早解决。要着眼国家安全和长远发展，抓紧谋划制定核心技术设备发展战略并明确时间表，大力发扬‘两弹一星’和载人航天精神，加大自主创新力度，经过科学评估后选准突破点，在政策、资源等各方面予以大力扶持，集中优势力量协同攻关实现突破，从而以点带面，整体推进，为确保信息安全和国家安全提供有力保障”。

《中华人民共和国网络安全法》第16条规定，国务院和省、自治区、直辖市人民政府应当统筹规划，加大投入，扶持重点网络安全技术产业和项目，支持网络安全技术的研究开发和应用，推广安全可信的网络产品和服务，保护网络技术知识产权，支持企业、研究机构和高等学校等参与国家网络安全技术创新项目。近期发布的《国家网络空间安全战略》提出的战略任务“夯实网络安全基础”，强调“尽快在核心技术上取得突破，加快安全可信的产品推广应用”。因此，创新发展可信计算技术，推动其产业化，是将我国建设成为“技术先进、设备领先、攻防兼备”网络强国的战略任务。

习近平总书记在2016年4月19日举行的网络安全与信息化工作座谈会上做出了“要尽快在核心技术上取得突破”的重要指示，这就更加明确了发展可信计算技术与实施网络安全等级保护制度的重要性。发展可信计算技术与实施网络安全等级保护制度是构建国家关键信息基础设施、确保整个网络空间安全的基本保障。推广发展中国主动免疫的可信计算技术可以筑牢我国的网络安全防线。

1 重启可信革命——主动免疫可信计算3.0

1.1 科学的网络安全观

1）网络威胁是永远主题

传统的计算设备是工具，与他人利益无关，因此无需防止别人攻击破坏。而现在由计算设备构成的网络空间是资产财富、基础设施和国家主权，因此黑客用病毒获取金钱，敌对势力以APT实施暴恐，霸权国家进行网络战侵占他国，对网络空间构成重大的威胁。

2）网络空间极其脆弱

网络空间极其脆弱，存在以下问题：计算科学少攻防理念；体系结构缺防护部件；工程应用无安全服务。

3）安全风险的实质

因此网络安全风险极大，从科学原理上看，其实质是人们对IT认知逻辑的局限性，由于不能穷尽所有逻辑组合，只能局限于完成计算任务去设计IT系统，必定存在逻辑不全的缺陷，从而形成了难以应对人为利用缺陷进行攻击的网络安全命题，也是永远的主题。因此，为了防御对方攻击，必须从逻辑正确验证理论、计算体系结构和计算工程应用模式等方面进行科学技术创新，以解决逻辑缺陷不被攻击者利用的问题，形成攻防矛盾的统一体。确保为完成计算任务的逻辑组合不被篡改和破坏，实现正确计算，这就是主动免疫防御的相对安全目标。

当前大部分网络安全系统主要是由防火墙、入侵监测和病毒查杀等组成，称为“老三样”。“封堵查杀”难以应对利用逻辑缺陷的攻击。首先，老三样根据已发生过的特征库内容进行比对查杀，面对层出不穷的新漏洞与攻击方法，这种消极被动应对是防不胜防的；其次，老三样属于超级用户，权限越规，违背了基本的安全原则；第三，老三样可以被攻击者控制，成为网络攻击的平台。例如，“棱镜门”就是利用世界著名防火墙收取情报，病毒库篡改后可以导致系统瘫痪（将正常程序作为恶意程序查杀）。最近美国认为俄国利用卡巴斯基杀病毒软件破坏了美国总统大选。因此，只有重建主动免疫可信体系才能有效抵御已知和未知的各种攻击。

4）主动免疫的计算架构

主动免疫可信计算是指计算运算的同时进行安全防护，计算全程可测可控，不被干扰，只有这样才能使计算结果总是与预期一样。这种主动免疫的计算模式改变了传统的只讲求计算效率，而不讲安全防护的片面计算模式。

图1 安全可信的计算节点双体系结构

在图1所示的双体系结构中，采用了一种安全可信策略管控下的运算和防护并存的主动免疫的新计算节点体系结构，以密码为基因实施身份识别、状态度量、保密存储等功能，及时识别“自己”和“非己”成分，从而破坏与排斥进入机体的有害物质，相当于为网络信息系统培育了免疫能力。

5）安全可信的体系框架

网络化基础设施、云计算、大数据、工业控制、物联网等新型信息化环境需要安全可信作为基础和发展的前提，必须进行可信度量、识别和控制。采用安全可信系统架构可以确保体系结构可信、资源配置可信、操作行为可信、数据存储可信和策略管理可信，从而达到积极主动防御的目的。安全可信系统架构如图2所示：

图2 安全可信系统架构

在主动免疫可信计算架构下，将信息系统安全防护体系划分为安全计算环境、安全边界、安全通信网络三层，从技术和管理2个方面进行安全设计，建立安全可信管理中心支持下的主动免疫三重防护框架，如图3所示。该框架实现了国家等级保护标准要求（GB/T 25070—2010），做到可信、可控、可管。

图3 安全可信管理中心支持下的主动免疫三重防护框架

按照安全可信管理中心支持下的主动免疫三重防护框架构建积极主动的防御体系，可以达到攻击者进不去、非授权者重要信息拿不到、窃取保密信息看不懂、系统和信息篡改不了、系统工作瘫不成和攻击行为赖不掉的防护效果。“W annaC ry”、“M irai”、“黑暗力量”、“震网”、“火焰”、“心脏滴血”等将不查杀而自灭。

以主动免疫防治W annaC ry勒索病毒为例。2017年5月12日W annaC ry在全球范围大规模爆发，W annaC ry蠕虫利用了MS 17-010漏洞进行传播。攻击流程是首先扫描网络中机器是否开启了445端口，利用此漏洞接管目标机器核心控制权下载W annaC ry病毒进行感染，目标机器将变成攻击机再次主动扫描其他机器，迅速形成大范围扩散。该病毒会释放敲诈者程序tasksche.exe，对磁盘文件进行加密勒索。采用自主创新主动免疫的可信计算（即可信计算3.0）技术的系统（如中央电视台可信制播环境）在内部建立主动免疫机制，提供执行程序实时可信度量。保障正常的可执行程序持续工作，同时阻止非授权和不符合预期结果的勒索病毒程序运行，从而实时阻止未知的恶意代码的发作。即使用户系统在建立主动免疫机制前已感染病毒，可信计算3.0技术也可以限制病毒软件的越权访问，避免病毒破坏重要资源，真正地实现了积极主动防御未知的攻击。

1.2中国可信计算革命创新

可信计算（trusted com puting）已是世界网络安全的主流技术，TCG（Trus ted Com pu ting G roup）于2003年正式成立，已有190多个成员，以W indow s 10为代表可信计算已成焦点。

我国可信计算源于1992年正式立项，研究“主动免疫的综合防护系统”，经过长期攻关、军民融合，形成了自主创新的可信体系，不少已被国际可信计算组织（TCG）采纳。

几年来，国内权威媒体对我国可信计算的创新发展进行了高度评价。《求是》发表了笔者的署名文章《用可信计算构筑网络安全》；新华社组织召开中国可信开放与网络安全高峰论坛，《参考消息》进行了整版2版报道；新华社《中国名牌》杂志将可信计算定义为网络安全的主动防御时代；《中国信息安全》、《信息安全与通信保密》分别发行了可信计算专刊。

1.2.1 创新可信计算标准体系

相对于国外可信计算被动调用的外挂式体系结构，中国可信计算革命性地开创了自主密码为基础、控制芯片为支柱、双融主板为平台、可信软件为核心、可信连接为纽带、策略管控成体系、安全可信保应用的全新的可信计算体系结构框架，如图4所示：

图4 全新的可信计算体系结构框架

在该体系结构框架指引下，我国2010年前完成了核心的9部国家标准和5部国军标的研究起草工作。到目前为止，已发布国家标准3项和国军标3项，即将发布国家标准2项，已发布团体标准（中关村可信计算产业联盟标准）4项，授权国家专利上百项。我国可信计算标准体系是创新的成果，如图5所示。标准体系的创新性体现在第一是打基础，具有自主的密码体系；第二是构主体，确定了4个主体标准是可信平台控制模块、可信平台主板功能接口、可信基础支撑软件及可信网络连接架构；第三是搞配套，提出了4个配套标准，分别是可信计算规范体系结构、可信服务器平台、可信存储及可信计算机可信性测评指南；第四是成体系，包括了管控应用相关标准，涉及到等级保护系统各个方面。

图5 创新可信计算标准体系

跨越了国际可信计算组织（TCG）可信计算局限性：

1）密码体制的局限性

TCG原版本只采用了公钥密码算法RSA，杂凑算法只支持SHA1系列，回避了对称密码。由此导致密钥管理、密钥迁移和授权协议的设计复杂化（5类证书、7类密钥），也直接威胁着密码的安全。TPM 2.0采用了我国对称与公钥结合的密码体制，并申报成为了国际标准。

2）体系结构的不合理

TCG采用外挂式结构，未从计算机体系结构上作变更，把可信平台模块（TPM）作为外部设备挂接在外总线上。软件上，可信软件栈（TSS）是TPS的子程序库，被动调用，无法动态主动度量。中国可信计算创新地采用了双系统体系架构，变被动模式为主动模式，使主动免疫防御成为可能。

1.2.2 创新可信密码体系

可信计算平台密码方案的创新之处主要体现在算法、机制和证书结构3个方面：

1）在密码算法上，全部采用国有自主设计的算法，定义了可信计算密码模块（TCM）；

2）在密码机制上，采用对称与公钥密码相结合体制，提高了安全性和效率；

3）在证书结构上，采用双证书结构，简化了证书管理，提高了可用性和可管性。

公钥密码算法采用的椭圆曲线密码算法SM 2，对称密码算法采用SM 4算法，SM 3用于完整性校验。利用密码机制可以保护系统平台的敏感数据和用户敏感数据。密码对平台功能的支撑关系如图6所示：

图6 密码算法和可信功能的关系

1.2.3 创新主动免疫体系结构

主动免疫是中国可信计算革命性创新的集中体现。我国自主创建的主动免疫体系结构如图7所示。在双系统体系框架下，采用自主创新的对称非对称相结合的密码体制，作为免疫基因；通过主动度量控制芯片（TPCM）植入可信源根，在TCM基础上加以信任根控制功能，实现密码与控制相结合，将可信平台控制模块设计为可信计算控制节点，实现了TPCM对整个平台的主动控制；在可信平台主板中增加了可信度量控制节点，实现了计算和可信双节点融合；软件基础层实现宿主操作系统和可信软件基的双重系统核心，通过在操作系统核心层并接一个可信的控制软件接管系统调用，在不改变应用软件的前提下实施对应执行点的可信验证，达到主动防御效果；网络层采用三元三层对等的可信连接架构，在访问请求者、访问连接者和管控者（即策略仲裁者）之间进行三重控制和鉴别，管控者对访问请求者和访问连接者实现统一的策略验证，解决了合谋攻击的难题，提高了系统整体的可信性。

另外，特别提醒的是对应用程序未作干预处理，这是确保能正确完成计算任务逻辑完整性所要求的，正确的应用程序不应打补丁，否则将形成新的漏洞。

图7 主动免疫体系结构

通过安全管理中心支持的计算节点可信架构，可以为计算节点的监控提供可信支撑，及时保障计算资源不被干扰和破坏，提高计算节点自我免疫能力。如图8所示，计算节点可信架构中的可信链以物理可信根和密码固件为平台，实施可信基础软件为核心的可信验证过程，以此支撑可信应用。架构中的可信基础软件由基本信任基、可信基准库、支撑机制和主动监控机制组成，主动监控机制又包括了控制机制、度量机制和判定机制。控制机制是通过监视接口接管操作系统的调用命令解释过程，验证主体、客体、操作和执行环境的可信，根据此执行点的策略要求（策略库表达的度量机制），调用支撑机制进行度量验证，与可信基准库比对，由判定机制决定处置办法。可信基础软件通过主动监控机制监控应用进程行为可信和宿主节点的安全机制和资源可信，实现计算节点的主动安全免疫防护。可信协作机制可以实现本地可信基础软件与其他节点可信基础软件之间的可信互联，从而实现了信任机制的进一步扩展。安全管理中心管理各计算节点的可信基准库，并对各个计算节点的安全机制进行总体调度。

图8 计算节点可信架构

1.2.4 开创可信计算3.0新时代

主动免疫体系结构开创了以系统免疫性为特性的可信计算3.0新时代。回顾可信计算的发展路径可以分为3个阶段，如图9所示。可信计算1.0以世界容错组织为代表，主要特征是主机可靠性，通过容错算法、故障诊查实现计算机部件的冗余备份和故障切换。可信计算2.0以TCG为代表，主要特征是PC节点安全性，通过主程序调用外部挂接的TPM芯片实现被动度量。中国的可信计算3.0的主要特征是系统免疫性，其保护对象是系统节点为中心的网络动态链，构成“宿主+可信”双节点可信免疫架构，宿主机运算的同时可信机进行安全监控，实现对网络信息系统的主动免疫防护。

图9 可信计算发展路径

可信计算3.0其理论基础为基于密码的计算复杂性理论以及可信验证。它针对已知流程的应用系统，根据系统的安全需求，通过“量体裁衣”的方式，针对应用和流程制定策略来适应实际安全需要，不需修改应用程序，特别适合为重要生产信息系统提供安全保障。可信计算3.0防御特性如表1所示：

表1 可信计算3.0防御特性

可信计算3.0是传统访问控制机制在新型信息系统环境下的创新发展，在传统的大型机简化成串行PC结构后又增加了免疫的防护部件，解决大型资源多用户共享访问安全可信问题，符合事物的否定之否定螺旋式上升发展规律。它以密码为基因，通过主动识别、主动度量、主动保密存储,实现统一管理平台策略支撑下的数据信息处理可信和系统服务资源可信。可信计算3.0在攻击行为的源头判断异常行为并进行防范，其安全强度较高，可抵御未知病毒、利用未知漏洞的攻击，能够智能感知系统运行过程中出现的规律安全问题，实现真正的态势感知。

可信计算3.0通过独特的可信架构实现主动免疫，目前只加芯片和软件即可，对现有硬软件架构影响小。可以利用现有计算资源的冗余进行扩展，也可在多核处理器内部实现可信节点，实现成本低、可靠性高。同时，可信计算3.0提供可信UKey接入、可信插卡以及可信主板改造等不同的方式进行老产品改造，使新老产品融合，构成统一的可信系统；系统通过对应用程序操作环节安全需求分析，制订安全策略，由操作系统透明的主动可信监控机制保障应用可信运行，不需要修改原应用程序代码，这种防护机制不仅对业务性能影响很小，而且克服了因打补丁会产生新漏洞的困惑。

1.3 用可信计算3.0摆脱受制于人

1.3.1 坚持自主可控、安全可信

《国家中长期科学技术发展纲要（2006—2020年）》明确提出以发展高可信网络为重点开展网络安全技术及相关产品，建立网络安全技术保障体系。“十二五”规划有关重大工程项目都把可信计算列为发展重点，军方演示验证成果用于党政部门。国家重要信息系统，如增值税防伪、彩票防伪、二代居民身份证安全系统都采用可信计算3.0作基础支撑。

中关村可信计算产业联盟于2014年4月16日正式成立，经历3年多的运行，已有10多个专委会，发展迅速、成绩显著。中国可信计算已经成为保卫国家网络空间主权的战略核心技术，已在国家核心系统和关键信息基础设施得到规模化成功应用，并列为国家战略和法律要求。同时也是世界网络空间斗争的焦点，美国第3次“抵消战略”（对抗“下一代敌人”的“下一代技术”）把“高可信网络军事系统”等列为重点，围绕安全可信展开新的较量。

1.3.2 抢占网络空间安全核心技术战略至高点

2014年4月8日，微软公司正式停止对W indow s XP的服务支持，强推可信的W indows 8，严重挑战我国的网络安全。如果国内运行的2亿台终端升级为W indow s 8，不仅耗费巨资还失去了安全控制权和二次开发权。采用我国的可信计算安全增强，可避免微软停止服务所引起的安全风险，有力支撑了按习总书记批示精神政府不采购W indow s 8的决定落实。

2014年10月，微软又推出了W indow s 10，宣布停止非可信的W indow s 7等所有非可信版本。W indow s 10不仅是终端可信，而且是移动终端、服务器、存储系统等全面执行可信版本，强制与硬件TPM芯片配置，并在网上信息加密一体化支持管理，可谓“可信全面控制，一网打尽”。推广W indow s 10将直接威胁网络空间国家主权。

我国按照网络安全审查制度成立安全审查组，按照W TO“尊重销售国有关法律法规和有关标准”的规则，开展对W indow s 10的安全审查。坚持要遵守我国《电子签名法》和《商用密码管理条例》，必须进行本土化改造，其中数字证书、可信计算、密码设备必须是国产自主的，这是底线。而且我国有完整的技术、产品和服务，完全具备国产化替代条件。为此，以改革开放、合作开发、互利共赢的原则成立的合资公司，开始了一场新的博弈，“引进必须安全可控”。

要做到“五可一有”：可知，即对合作方开放全部源代码，要心里有数，不能盲从；可编，要基于对开源代码的理解，能自主编写代码；可重构，面向具体的应用场景和安全需求，对核心技术要素进行重构，形成定制化的新的体系架构；可信，通过自主的可信计算技术增强本土化系统免疫性，防范漏洞影响系统安全性，使国产化替代真正落地；可用，做好应用程序与操作系统的适配工作，确保自主系统能够替代国外产品；有自主知识产权，要对最终的系统拥有自主知识产权，保护好自主创新的知识产权及其安全，坚持核心技术创新专利化、专利标准化、标准推进市场化。要走出国门，成为世界品牌。

1.3.3 用可信计算3.0产品和服务构筑了国家重要信息系统高安全等级防护体系。

根据长期攻关、滚动发展，形成了安全可信的系列产品和服务，对于增量设备可采购可信控制芯片直接嵌入主板的方式的可信整机；对于存量设备可采用主板配插可信控制卡的方式构建可信系统；对于不便于插卡的设备可配接USB可信控制模块实现可信增强，构成可信计算环境、可信边界、可信通信网络三重防护架构，再通过可信安全管理平台实现系统资源、安全策略和审计追踪三权分立监控，构筑了安全管理中心支撑下的三重主动免疫防护框架。科学管理再加上可信计算控制平台提供资源可信度量、数据可信存储、行为可信鉴别、主客体的可信认证，能及时发现异常行为和环境的非法改变，以及主要信息破坏，并立即采取措施，使攻击无效。即使有Bug，也不会变成漏洞，无法实施攻击，保证系统安全运行。

部署可信计算3.0平台后，在原有信息系统建立可信免疫的主动防御安全防护体系，实现高安全等级结构化保护，改变原被动防护的局面，使等级保护制度科学实施，如图10所示。

基于可信计算3.0构建的主动免疫体系运用网络化部署方式，将主动免疫系统软件装载在安全管理平台，再通过网络分发部署到各计算节点，并实施网络化管理与控制。

1.3.4 重要核心系统规模化建设应用

1）中央电视台可信制播环境建设

中央电视台播出42个频道节目，面向全球提供中、英、西、法、俄、阿等语言电视节目，在没有互联网物理隔离的计算机网络环境下，构建了网络制播的可信计算安全技术体系，如图11所示。中央电视台可信制播环境建立了可信、可控、可管的网络制播环境，达到等级保护第四级安全要求，确保节目安全播出。尤其是经受住了永恒之蓝勒索病毒攻击的考验，胜利完成了一带一路世界峰会的保障任务。

2）国家电网电力调度系统安全防护建设

2014年8月，国家发改委印发了〔2014〕第14号令《电力监控系统安全防护规定》，并且同步修订了《电力监控系统安全防护总体方案》等配套技术文件。新版本的总体方案要求生产控制大区具备控制功能的系统应用可信计算技术,实现计算环境和网络环境安全可信，建立对恶意代码的免疫能力，实现等级保护的第四级要求。图12是国家电网电力调度系统可信加固方案，不修改原D 5000控制管理系统的代码，不加装杀毒软件和IDS，以可信计算为核心技术，通过对系统实施逐级度量认证，实现系统的主动免疫。

图10 高安全等级可信防护体系框架

图11 中央电视台可信制播环境建设示意图

图12 国家电网电力调度系统可信加固方案

电力可信计算密码平台已在34个省级以上调度控制中心和59个地级调度控制中心上线运行，覆盖了上万台服务器，运行情况良好，达到等级保护第四级技术要求，整体系统对性能的影响小于3%。国家电网电力调度系统中可信计算加固对性能的影响如表2所示：

表2 可信计算对性能的影响

2 我国网络安全等级保护制度创新和发展

2.1 信息安全等级保护2.0——网络安全等级保护

信息安全等级保护实施十几年来，是我国信息安全保障的基本制度性工作，是网络空间安全保障体系的重要支撑，是应对强敌APT的有效措施。2016年我国对网络安全等级保护制度提出了新的要求，信息安全等级保护已进入2.0时代。《中华人民共和国网络安全法》第21条规定，国家实行网络安全等级保护制度。网络运营者应当按照网络安全等级保护制度的要求，履行下列安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。

2.1.1 我国等级保护工作创新发展过程

我国的等级保护工作是有序推进的。在20世纪80年代兴起了计算机信息系统安全保护研究基础上，1994年国务院发布《中华人民共和国计算机信息系统安全保护条例》（国务院令第147号），为我国信息系统实行等级保护提供法律依据，也是世界上第一个等级保护国家法规。依据国务院147号令制定发布了强制性国家标准《计算机信息系统安全保护等级划分准则》（GB 17859—1999），为等级划分和保护奠定了技术基础。2003年中央办公厅、国务院办公厅转发的《国家信息化领导小组关于加强信息安全保障工作的意见》（中办发[2003]27号）进一步明确要求抓紧建立信息安全等级保护制度。近年来国家有关部委多次联合发文，明确了等级保护的原则、基本内容、工作流程和方法、实施要求和计划等。目前国家各部门都按信息系统定级备案、整改建设和测评进行推进，国家重点工程的验收要求必须通过信息安全等级保护的测评和验收。2017年6月1日正式执行的《中华人民共和国网络安全法》规定了国家实行网络安全等级保护制度。

2.1.2 超越国外等级保护

美国国防部早在20世纪80年代就推出“安全等级划分准则”。2003 年，美国发布《保护网络空间国家战略》，提出按重要程度不同分五级保护，并通过了《联邦信息安全管理法案》（FISMA），要求NIST 制定分类分级标准。2005 年变成强制性标准（FIPS200），要求联邦机构无条件执行。2013 年2 月12 日，奥巴马发布了《增强关键基础设施网络安全》行政令，按此令NIST 于2014 年2月12 日提出了《美国增强关键基础设施网络安全框架》，按风险程度不同分为四个等级，实行识别、保护、监测、响应、恢复全过程的风险管理。

相比较而言，我国网络安全等级保护制度已经超越了国外等级保护。创造世界5个第一：1）第1个以国务院条例立法；2）第1个提出信息系统安全保护，世界上都是计算部件保护；3）第1个提出分五级保护，美国比我们晚10年；4）第1个提出从业务信息和系统服务2个维度来定级，符合现在网络空间的定义；5）第1个实行定级（风险感知）、建设（防护）、测评（整改）、监督检查和应急恢复全过程防护。我们国家网络空间安全的等级保护制度是适用于新型技术条件下的信息安全保护需求的，《中华人民共和国网络安全法》第30条规定：国家对关键信息基础设施，在网络安全等级保护制度基础上实行重点保护。我国的等级保护制度具有科学性、创新性和前瞻性。

2.1.3 等级保护2.0的时代特征

我国的等级保护已经从之前的1.0传统的防御时代开始进入到了主动防御2.0时代，等级保护2.0具有新的时代特征。法律支撑层面，我国的计算机系统等级保护条例提升为国家基础性法律制度，即《中华人民共和国网络安全法》中的网络安全等级保护制度；科学技术层面，由分层被动防护发展到了科学安全框架下的主动免疫防护；工程应用层面，由传统的计算机信息系统防护转向了新型计算环境下的网络空间主动防御体系建设。等级保护2.0时代重点对云计算、移动互联、物联网、工业控制以及大数据安全等进行全面安全防护，确保关键信息基础设施安全。等级保护2.0的全过程继续坚持风险感知、防护建设、测评整改、监督检查和应急恢复5个环节。

2.2 全面建设，全程防护

当前网络安全等级保护制度需要全面建设、全程防护。

2.2.1 分析风险,准确定级

定级很重要，在体系保障里，首先感知分析威胁和脆弱何在，从而确定风险程度。在定级指南指导下，准确划分定级系统，从保护业务信息和系统服务两维资源出发，根据在国家安全、经济建设、社会生活中的重要程度，以及系统遭受破坏后的危害程度等因素确定等级。定级过程依然适用于网络空间的云计算等安全风险分析，而且有助于科学界定复杂系统的风险和准确定级。

对一个系统的定级应该具有4个特征：第一，业务处理流程的完整性；第二，软硬件设备相对的独立性；第三，安全管理责权的统一性；第四，多级互联隔离性。例如云计算里聚集了好多不同级别的系统，不同级别的系统之间要隔离。

在我国的网络安全等级保护中，按重要程度不同分为五级，三级以上是国家重要信息系统。定级的时候要填写2张表：第1张表是业务信息等级；第2张表是系统服务等级。是根据定级系统在国家安全、经济建设、社会生活中的重要程度，即业务信息和系统服务遭到信息破坏和运行中断后对国家安全、社会秩序、公共利益以及公民、法人和其他组织的合法权益的危害程度等因素确定，等级划分如表3所示：

表3 我国网络安全等级保护的划分

2.2.2 主动免疫,全程保障

第一级是用户自主保护级，访问策略自己定；第二级是安全审计保护级，相当于办公室办公，由小组织确定访问策略，但谁做了什么需要审计；第三级为安全标记保护级，信息重要性和访问者资格分级别，由上级单位专门机构给予标记，叫强制性访问标记保护，规定了什么级别的主体能访问什么级别的客体；第四级是结构化保证级，相当于保密室三铁一器一定要严严密密的，防止有隐蔽通道；第五级是实时监控级，每时每刻验证防护，滴水不漏。每个级别都有相应的监管制度和可信保障要求，如表4所示：

表4 等级保护及可信保障要求

现有的等级保护是以访问控制功能为核心。自主访问控制、强制访问控制是基于访问者（主体）的权限来判定能否访问资源（客体），没有对主客体的真实性进行验证，标记标识没有与实体可信绑定，难以防止篡改和假冒的攻击。例如：打印输出驱动程序被篡改为网络接口驱动等攻击时有发生。更为严重的是当执行环境受攻击破坏（如操作系统），在毫无感知情况下，导致操作访问失败，局限于访问控制模型没有防系统攻击的能力。因此必须对主体、客体、操作和执行环境进行可信验证。由此可见，可信计算3.0是等级保护的关键支撑技术（如图13所示），对落实网络安全等级保护制度发挥着重要作用。按等级保护实施可信验证如表5所示。

2.2.3 规范建设,严密管控

图13 可信计算3.0对等级保护的关键支撑技术

表5 按等级保护实施可信验证

网络安全等级保护制度按照《信息安全等级保护管理办法》《计算机信息系统安全保护等级划分准则》（GB17859—1999）和参照《网络安全等级保护安全设计技术要求》（GB/T 25070—2010），设计制定建设方案。并且参照《网络安全等级保护实施指南》《网络安全等级保护安全设计技术要求》等技术标准，从技术和管理2个方面进行安全建设。做到可信、可控、可管。1）可信是针对计算资源（软硬件）构建保护环境，以可信计算基（TCB）为基础，层层扩充，对计算资源进行保护，确保系统服务安全；2）可控是针对信息资源（数据及应用）构建业务流程控制链，以访问控制为核心，实行主体（用户）按策略规则访问客体（信息资源），确保业务信息安全；3）可管是保证资源安全必须实行科学管理，强调最小权限管理，高等级系统实行三权分离管理体制，不许设超级用户。

续表

2.2.4 等级测评,整改完善

网络安全等级保护制度在实施的过程中谨防剩余风险。首先要求严格按照有关的标准选择资质的等级测评机构；等级测评机构依据《网络安全等级保护测评要求》等标准对定级系统制定测评方案；开展测评工作时要确保测评过程在安全可控的前提下规范化实施，对照相应等级安全保护要求进行分析；然后依据测评结果出具等级测评报告；最后对等级测评中发现的问题，要及时采取防范措施加以防控或者缓解，并进一步制定和落实相应的整改方案，并且需要由专家评审确认。按基本要求综合评定定级对象的保护水平，确定符合、基本符合或不符合的测评结果。

2.2.5 监督检查,应急恢复

对重要信息系统按规定进行定期的监督检查，发现问题及时整改，并要制订本行业、本领域的网络安全事件应急预案，在应对事件和灾难发生时立即启动应急预案以减少损失。同时采取必要的应急和备份措施，发生事件及时恢复。

2.3 主动免疫、积极防御的特点

2.3.1 整体防御,可信隔离

加强定级对象系统整体防护，建设管理中心支持下的计算环境、区域边界、通信网络三重防护体系结构，实施多层隔离和保护，以防止某薄弱环节影响整体安全。在可信计算技术支持下确保资源配置、操作行为等可信。在可信计算技术支持下做到：有逻辑设计缺陷，也不能利用漏洞实施有效攻击，有效净化网络环境。

2.3.2 主动防御,内外兼防

重点做好操作人员使用的可信防护，把住攻击发起的源头关。严格执行可信条件下的访问控制，有效防止非法操作。

2.3.3 积极防御,多层控制

可信环境内保护资源主动免疫，使非法攻击者进不去，进去后拿不到，拿到后看不懂，想篡改也改不了，想赖也赖不掉。避免网络封堵的被动局面。

2.3.4 纵深防御,技管并重

加强技术平台支持下的安全策略管理，实现人性化和与业务流程有关的管理。对系统资源、人员授权、审计追踪进行全面管理。实现人、技术、管理的纵深防御。具有预警、应急处理能力。

3 关键信息基础设施的安全防护

《中华人民共和国网络安全法》第31条规定，国家对关键信息基础设施，在网络安全等级保护制度的基础上实行重点保护。

3.1 问题与挑战

云计算、大数据、工业控制、物联网、区块链等，都是通过网络以服务的方式提供给用户的计算模式，组成了新的计算环境和信息系统，都必须用等级保护制度进行安全防护体系建设。这些新应用系统涉及到社会每个角落、样式庞杂、数据海量，面临着新问题与新挑战，必须以改革创新精神来开创等级保护新时代。

新应用系统与传统的信息系统相比，新应用更依赖于移动互联网，而且是关键信息基础设施和主要场景。防护深入到嵌入式设备部件、多源异构、资源共享、虚拟化，必须研究总体框架指导下的具体架构、流程、功能、机制等。

构建主动免疫、安全可信的主动防御体系，对原等级保护有关标准及时进行修改和增补。尤其是对基本要求和测评要求作框架性修改，另按GB/T 25070—2010要求，对新型计算环境下系统制定相应标准规范。

3.2 新型信息技术应用的安全防护架构

3.2.1 云计算可信安全架构

信息系统云化是指其信息处理流程在云计算中心完成。因此云计算中心负责定级系统的系统服务防护，信息系统用户负责业务信息安全保护，是典型的宾馆服务模式。用户自己不用建机房，把业务信息程序（如门户网站、开发软件、定制应用）迁移到云计算中心机房，由云中心负责服务运行（即Saa S，Paa S，Iaa S）。相当于传统招待所的点菜吃饭、开会研究事和小型商店服务等都没有必要经营，去宾馆接受服务更价廉物美。

图14 云中心组成架构

云计算中心可以同时运行多个不同安全级别的信息系统。云计算中心安全防护能力不低于承运最高等级信息系统的级别。

云中心一般由用户网络接入、访问应用边界、计算环境和管理平台组成（如图14所示）。成为聚集式的应用软件、计算节点以及计算环境的计算中心，形成用户通过通信网络连接到前置机（边界），再接入到计算节点组成的计算环境以及后台有运维业务等管理的典型架构。由此去构建可信计算安全主体架构。

云计算可信安全架构也是在安全管理中心支撑下的可信计算环境、可信边界、可信通信网络三重防护架构，如图15所示。

可信云计算环境：可信链传递从基础设施可信根出发，度量基础设施、计算平台，验证虚拟计算资源可信，支持应用服务的可信，确保计算环境可信。业务信息安全应由用户确定主体/客体关系，制定访问控制策略，实现控制流程安全。系统服务安全由中心负责计算资源可信保障，还要对访问实体和操作环境进行可信验证，确保服务安全可信。可信区域边界验证用户请求和连接的计算资源可信。可信通信网络确保用户服务通信过程的安全可信。

安全管理中心（如图16所示）分工与传统的信息系统有所区别，系统管理以云中心为主，保证资源可信；安全（策略）管理以用户为主，负责安全可信策略制订和授权；审计管理以云中心和用户协同处理，负责应急和追踪处置。

图15 云计算可信安全架构

图16 云计算可信安全架构中的安全管理中心

图17 可信云计算资源组成

图17概要表达了可信云计算所需的有关资源及相互连接关系。云计算中心（环境）由大量的宿主机节点（集群）组成计算资源，为了充分发挥基础软硬件资源作用，采取虚拟化资源调度管理，虚拟机管理器（VMM）按用户服务的需求，分配必要的计算资源，创建、就绪、运行虚拟机（VM）（虚拟计算节点），当服务完成后终止虚拟机，收回资源，再分配给其他服务的虚拟机使用。这样形成了无数个动态的虚拟机映射使用宿主机群的基础（物理）计算资源的体系架构。可信云计算既要保证基础计算资源的可信，也要保证虚拟机资源和运行的可信，于是产生了虚拟可信根和虚拟机安全可信机制要求。当然，安全可信机制要求由管理中心制订的策略而定。

云计算边界平台一般由计算中心的前置处理机组成，可信云计算边界平台要把前置处理机设计成安全可信的计算环境，只不过规模小一些。由可信根支撑下的可信软件基实施边界处理的安全可信检测，按管理中心制订的安全策略进行安全可信验证。

可信通信网络由交换机、路由器等设备组成，因此由计算机软硬件实现的通信网络设备必须可信，可信根、可信软件基和可信监管是不可缺少的。

图18 大数据可信安全架构

3.2.2 大数据环境安全架构

数据是对客观事物的性质、状态以及相互关系等进行记载的符号集合，含数字、文字、图形、声音、视频等各种集合。如今信息化时代，人类活动数据化，数据是社会资源，尤其是数量爆炸，形成大数据环境。

大数据是指无法用现有的软件工具进行处理的海量复杂的数据集合，具有多源异构、非结构化、低价值度、快速处理等特点。“大数据是钻石矿”，相当于数据废品和垃圾收集处理，来从中发掘知识和本质规律。大数据是数据科技发展的必然阶段，也是追求发展的过程：数字参数=>文件系统=>关系数据库=>数据仓库=>大数据=>……。

大数据阶段，安全问题也与之前大不一样了。就传统数据本身是精确结构化的，其丢失、损坏等有可能造成系统性破坏。在大数据环境下采用数据挖掘、关联分析等技术手段对分布于网络中异构海量数据进行映射、归纳处理。所涉及的网络环境、计算平台、存储等载体，分属不同的信息系统，处理全过程涉及网络空间资源安全，因而加剧了网络空间中防御与攻击的不对称性。面对这种新形势下的安全问题，传统的信息安全防护措施多集中在“封堵查杀”层面，难以应对大数据时代的信息安全挑战。因此，要坚持积极防范，构建基于等级保护的大数据纵深防御防护体系架构。大数据处理系统大多是基于云计算平台实现数据各种环节的梳理计算，也可分为业务信息处理和系统服务保障来定安全等级，应该按（GB/T 25070—2010更新版）进行设计安全架构。大数据可信安全架构如图18所示，数据采集源通过多方式采集数据，如通过搜索引擎扒数据等。形成特殊的文件系统或数据仓库，在采集过程中，要经过可信网络通信简易协议进行数据汇集存储，这也就是大数据和传统数据交互的改变，用非传统交互协议对采集的数据进行打包。打包的数据送到可信计算环境中完成数据处理过程。第1步，数据节点要规约清理，对杂乱无章的数据进行归纳和映射，搜索数据相互的关联，恢复结构。第2步，计算节点变换挖掘发现数据的内部联系，分析评估出有价值的分类，形成特殊的数据仓库。目的是达到可信应用的知识表达、共享交易，也就是从数据中发掘知识智慧，发现本质的规律，把原始的多源异构化数据变成有价值的信息，这是传统数据处理达不到的目的。

在构建大数据应用业务信息系统安全方面：一是要加强数据采集、数据汇聚、计算环境的整体防护，建设多重防护、多级互联体系结构，确保大数据处理环境安全可信；二是要加强处理流程控制，防止内部攻击，提高计算节点自我免疫能力；三是要加强高价值数据安全机制，制定安全可信访问控制策略，梳理数据处理控制流程，建立安全可信的数据处理新模式；四是要加强技术平台支持下的安全管理，基于安全策略，与业务处理、监控及日常管理制度有机结合。

在大数据系统服务安全方面，传统的数据资源处理能力已经不适应迅速增大的数据量级，原有的计算环境也在随着数据挖掘、关联分析等大数据技术的发展而变化，必须构建超大计算能力的云计算平台。大数据计算平台实现并行虚拟动态资源调度与分配，这方面系统服务的安全与云计算中的系统服务安全要求一样。因此，以可信、可控、可管为目的构建大数据等级保护技术框架，按我国网络安全法的网络安全等级保护制度加强大数据环境和处理过程的安全保障能力，是解决大数据安全的唯一出路。

图19 工业控制系统的三重防御多级互联技术架构

3.2.3 工业控制系统可信安全架构

工业控制系统（ICS）是对多种控制系统的总称，典型形态包括监控与数据采集（SCADA）、分布式控制系统（distributed contro l system,DCS）、过程控制系统（p rocess contro l system,PCS）、可编程逻辑控制器（PLC）和应急管理系统( em ergency m anagem ent system, EMS)等。普遍应用于工业、能源、交通、水利以及市政等领域。相对于一般的信息系统，工业控制系统具有实时性通信、系统不允许重启、人和控制过程安全、加入安全功能后不影响控制流程、通信协议多种多样、设备不易更换且生命周期为15～20年等特殊要求。传统的“封堵查杀”安全防护技术难以解决工控系统安全问题，工业控制系统网络架构是依托网络技术，将控制计算节点构建成为工业生产过程控制的技术环境，是属于等级保护信息系统范围。

基于以上几点，可信计算技术能更好地解决工控安全问题，通过实施可信保障的安全管理中心支持下的计算环境、区域边界、通信网络三重防御多级互联技术框架，能够达到主动免疫的防护效果，满足等级保护要求。工业控制系统的三重防御多级互联技术框架如图19所示：

可信计算环境由可信计算节点组成，使应用系统在可信计算资源支持下安全运行，确保现场控制、生产监控调度、企业管理过程的安全可信。可信应用区域边界子系统通过对进入和流出计算环境的信息流进行可信度量和安全检查，确保不会有违背系统安全策略的信息流经过边界。可信通信网络子系统通过对通信对象的可信验证，并对通信数据包的保密性和完整性进行保护，确保其在传输过程中不会被非授权窃听和篡改，确保通信双方准确可信，与区域边界结合，实现可信接入。安全管理中心是对工控系统的计算环境、应用区域边界和通信网络上的安全机制实现统一安全可信管理的人机操作平台。内部又分为系统资源管理、安全控制和审计3部分。可信管理是指对关键资源可信度量策略和基准库进行管理。

3.2.4 物联网可信安全架构

物联网将传感、通信和信息处理整合成网路系统。把物品与互联网连接起来，实现智能化识别、定位、跟踪监控和管理。物联网主要由感知计算环境、应用计算环境和网络通信环境组成。物联网组成架构如图20所示，物联网感知和应用计算域都由完成计算任务的计算环境和连接网络通信域的区域边界组成。

图20 物联网组成架构

物联网运用大量感知节点（智能设备和传感器），将成为窃取情报、盗窃隐私的攻击对象。计算传感节点可信是基础，庞大节点以集群方式连接将对网络通信的依赖更加敏感，对分布式的物联网核心网络的管理平台安全性、可信性要求更高。另外，物联网对数据传输的安全性和身份认证的可信性提出了更高的要求。2016年10月21日美国东海岸网络的大面积瘫痪，就是大量的摄像头做肉鸡进行的DDoS攻击。

可信计算技术同样可以更好地解决物联网安全问题，和工业控制系统的可信安全解决方案相似，通过实施可信保障的安全管理中心支持下的计算环境、区域边界、通信网络三重防御多级互联技术框架，达到主动免疫的防护效果。物联网可信安全架构如图21所示：

图21 物联网可信安全架构

可信计算环境一般由对物联网系统感知和应用的信息进行存储、处理及实施安全策略的相关部件组成。可分为应用服务软件、计算节点平台和基础设施3部分。可信区域边界实施安全策略控制下的物联网系统的计算环境之间以及与通信网络之间可信连接。可信通信网络实施安全策略控制下的物联网系统的计算环境之间的安全信息传输。安全管理中心对物联网系统的计算环境、区域边界和通信网络实现统一安全可信管理。内部又分为系统资源管理、安全控制和审计3部分。

3.2.5 区块链安全架构

区块链是一种利用密码学技术，将系统内有效交易进行编码的可附加账本。且满足每次交易必须有效，系统必须对数字资产的归属达成共识和过往历史不能篡改。简单来讲，区块链是一种共享的分布式数据库，记录各方都认定的交易数据，增强透明度和安全性，并且能提高处理效率。去中心化没有人工干预，但是依赖于密码加密验证的技术，这个技术使得交易数据块连起来，来表达交易的过程，形成一个链，就是区块链。

区块链的安全与其他重要信息系统等同，它由网络基础设施层、系统平台层、资产交互层、行业应用层组成。区块链安全风险在于网络传输，计算节点基础软硬件、开发的业务软件、工作量证明算法以及密码部件和密钥等存在大量的安全缺陷被攻击所利用，在业务应用信息安全方面保证交易有效、达成共识，必须确保资产交互和行业应用安全可信，在系统服务资源安全方面要做到不能篡改、不能中断，必须确保网络基础设施和系统平台安全可信。区块链本身的安全性，是用密码来保证交易过程不能导致篡改，确保分布式数据库账本公开透明可信。但是系统如果共建以后，系统安全是一样的无法保障，必须构建安全可信的体系架构。

区块链是公开、透明、公共的交易账本，去中心化的传统人工处理，显然是计算机数据处理系统，因此为保证数据和处理过程安全可信，必须用主动免疫可信计算技术以有效保护区块链业务信息的应用安全。在计算资源系统服务可信方面，必须实现区块链计算过程不被恶意干扰，主动免疫防止恶意攻击。在交易数据可控方面，应做到比特币等区块链数据能够安全可信存储与传输。在交易过程可管方面，确保交易过程真实可信，不可伪造，可信共管。安全可信区块链组成如图22所示：