数字化时代网络空间内生安全技术发展与应用

罗论涵 李翔 余新胜

（中国电子科技集团第三十二研究所 上海市 201808）

1 内生安全技术迎来重大发展机遇

数字化时代，网络安全成为夯实信息系统与基础设施数字化、智能化服务能力的基础支撑，传统附加式安全手段无论防御架构或是防御效能都难以适应数字应用、新一代基础设施的复杂网络安全需求。内生安全作为新兴的网络安全技术，构建了具备主动防御、态势感知、威胁清洗等能力的新型网络安全防御框架，典型内生安全技术包括拟态防御、移动目标防御、可信计算、零信任架构等，通过构建新型信息系统运行环境、关键系统资源访问认证等技术手段，内生安全技术在已知和未知网络威胁的防护上取得了良好的防御效果。在政策与应用的双重驱动下，未来内生安全技术有望迎来技术和产业的跨越式发展。

1.1 我国科技创新发展进入新的历史阶段

新形势下，科技自立自强将成为我国未来科技创新发展的主要特点。从国际环境看，美国将我国重新定位为战略竞争对手，必将牵动西方发达国家对我国的整体战略调整。我国已迈向高质量发展阶段，中共中央国民经济和社会发展第十四个五年规划和二〇三五年远景目标的建议指出，在当前国际发展环境面临深刻复杂变化的时期，需要打好关键核心技术攻坚战，提高创新链整体效能，加强基础研究、注重原始创新，全面加强网络安全保障体系和能力建设。因此，在新一轮科技革命和产业变革深入发展的机遇中，需要对科技创新具有强烈的危机意识和充分的战略准备。

1.2 网络空间安全形势日趋严峻

网络空间作为继陆、海、空、天之后的第五维空间，已成为信息时代国家间博弈的新舞台和战略利益拓展的新疆域。在十四五时期数字社会、数字政府、现代化国防建设的智能化转型趋势下，筑牢国家数据、个人信息、智能应用服务、新型信息基础设施网络安全防护屏障，是统筹安全与发展双向驱动路径之必需。近年来，美国等西方国家已经把实施先发制人的网络战、夺取网络空间优势乃至制网权作为制胜的关键，并以此展开网络战演习和部署。我国网络空间面临挑战，隐患就在身边，威胁近在眼前，安全形势非常严峻，漏洞的普遍性、后门的易安插、网络空间构架基因的单一性和攻防双方的不对称性使得安全漏洞无法被根除且容易被利用，从而导致漏洞频发。

1.3 数字中国战略使网络安全技术面临重大发展机遇

“数字中国”建设的宏伟蓝图铺陈了新基建、云计算、大数据、人工智能等先进技术助力现代产业体系、经济体系数字化转型的技术路线，在夯实新基建基础建设业态、激活数据要素潜能、释放云计算、大数据、人工智能产业升级活力的同时，在国家安全战略的高度下，也揭示了新应用场景下网络安全对新技术支撑的迫切盼望。5G、云计算、大数据、人工智能等技术因其泛在的计算力、数据集成与关联分析能力导致信息系统防护边界逐渐模糊，单独依赖传统防御手段将难以适应“无处不在”“随时随地”的计算环境。内生安全技术遵循不以边界作为信任条件的零信任理念，基于计算机结构的动态性和异构性，大幅增加网络攻击成功的难度和成本，确保后门和漏洞激活情景上系统的安全、可靠运行，并实施安全威胁诊断清洗以及设施恢复，可为数字中国、新基建、新技术背景下的行业转型升级提供安全解决方案。

1.4 网络安全产业动能持续释放

中国信通院发布的《中国网络安全产业白皮书（2020年）》[1]显示，到2021年中国网络安全市场规模将达到千亿级市场。2018-2021年，中国网络安全市场规模年复合增长率为23.24%。根据IDC预测，未来5年，中国网络安全市场总体支出复合增速预计为25.1%，远高于9.44%的全球水平。根据赛迪咨询对于网络安全市场前景的预测，“云大物智”等新兴技术加速与各行业融合，正驱动网络安全市场不断扩张，并成为行业重要的增长风口。2021年，中国云安全、物联网安全、大数据安全、工业互联网安全市场规模分别为115.7亿元、301.4亿元、69.7亿元、228亿元，各细分领域年均复合增速均超过30%。

2 内生安全技术展望

2.1 技术发展趋势

当前网络空间内生安全技术路线主要包括：拟态防御、移动目标防御、可信计算、零信任架构等。

2.1.1 拟态防御

基于动态、异构、冗余信息基础设施，以“架构决定安全”为主要思想的内生安全技术。拟态防御是我国邬江兴院士首创的技术体系[2]，主张通过非侵入式拟态防御支撑工具、平台、产品构建视在结构可变的信息系统运行环境，可将随机发生的网络威胁事件量化为广义不确定扰动从多级差模基础设施环境逃逸的概率问题。拟态防御是一种不依赖网络威胁行为、特征码、知识库的新型内生安全架构，具备主动防御、威胁感知、柔性重构等特点，可指数级的提高信息系统针对已知和未知网络威胁的防御能力，有效支撑高可用、高可靠信息系统建设[3-5]。拟态防御技术未来发展将体现分布式、微服务、动态防护、软件定义等增量，研究分布式内生安全通用运行支撑、基于上下文语义的应用指令动态检测引擎、基于分布式部署架构的动态防护、内生安全运营等关键技术，构建覆盖威胁感知、响应、分析、管控的自主可控内生安全框架，实现内生安全系列产品和解决方案的开发、度量、测试和标准规范建设。

2.1.2 移动目标防御

移动目标防御是美国国家科学技术委员会提出的基于动态化、随机化、多样化思想改造现有信息系统缺陷的理论和方法。其核心思想是构建动态、不确定的网络空间目标环境，增加攻击难度，以系统的随机性和不可预测性来对抗网络攻击[6][7]。移动目标防御常用的技术手段包括：无线通信跳频抗干扰技术，即通过动态IP，动态网络混淆进行通信跳频；指令集随机化技术，即系统在代码加载时生成随机关键指令序列；动态内存技术，即系统运行时分配的内存、堆栈地址空间的随机化[8]。移动目标防御可在网络、平台、运行环境、软件、数据等多个层面实施，不断变化的目标系统环境和资源配置关系极大的增加了信息系统嗅探难度与系统缺陷的可利用性，是一种主要聚焦于系统运行时的内生安全技术[9]。移动目标防御技术未来发展在于动态变化的可管理性．攻击面的变化性必须以一种内部可管理的方式来实施，才能在进行主动防御的同时保证任务的连续性以及系统的功能与性能。另一方面，要研究系统动态跳变时机和配置的最优方案，这需要统筹系统的资源和状态表达，平衡系统多样化、变换速率、可用资源等变量，并在激烈的系统攻防对抗中保持优势。

2.1.3 可信计算

保障信息行为的机密性、完整性和真实性，核心为具备签注密钥的安全硬件芯片，签注密钥是一个2048位的RSA公共和私有密钥对，在芯片出厂时随机生成并且不能改变，私钥存储于芯片中，公钥用来认证及加密发送到该芯片的敏感数据[10]。围绕可信根，可信计算构建从平台加电，到BIOS执行、操作系统加载程序，再到操作系统启动、应用程序执行的层层传递的可信链，可信计算可保障预设的安全策略的执行落实，有效屏蔽非注册用户、设备、系统、程序对信息系统的指令操作，如病毒、木马、攻击驱动注入等[11-13]。可信计算发展方向为我国沈昌祥院士提出的可信计算3.0主动免疫防御体系，基于三层三元对等的可信连接框架，以自主密码为基础，以可控芯片为支柱，以双融主板为平台，以可信软件为核心，以对等网络为纽带，形成可信生态应用体系，确保系统全程可测可控、防干扰，构建防御与计算并行的免疫计算模式。

2.1.4 零信任架构

零信任架构基于身份而非网络位置来构建访问控制体系，为网络中的人和设备赋予数字身份，将身份化的人和设备进行运行时组合，并为访问主体设定其所需的最小权限[14]。零信任架构关注业务暴露面的收缩，应用、服务、接口、数据都可以视作业务资源，使用业务资源默认隐藏，所有业务访问请求进行流量加密和强制授权。通过信任评估模型和算法对访问的上下文环境进行风险判定，实时的调整对访问主体的信任评级[15]。通过RBAC和ABAC的组合授权灵活的访问控制基线，基于信任等级动态的对主体资源访问进行授权[16]。零信任架构未来的发展方向是访问控制的动态化和身份分析的智能化，访问控制的动态化是指通过对业务访问主体的信任度、环境的风险进行持续度量并动态判定授权，其考量维度可扩大至人、物、环境相关的时间、地址、访问频度等信息。智能身份分析能够通过人工智能、大数据等技术实施自适应访问控制，对当前系统的权限、策略、角色进行分析，发现潜在的策略违规并触发工作流引擎进行自动或人工干预的策略调整，构建治理闭环。

2.2 关键内生安全产品发展趋势

为满足数字化时代个人用户、企业用户内生安全升级转型需求，同时适应云计算、大数据、人工智能等先进计算技术特点，内生安全云平台、内生安全web服务器、内生安全态势感知与安全运营平台、高安全数据防护中间件等内生安全产品将提供集成化内生安全构造工具集。

2.2.1 内生安全云平台服务

内生安全云平台服务提供分布式安全运行基座，基于容器云技术实现以多模裁决为核心的等价功能异构执行体的敏捷部署、调度与应用迁移，基于内生安全云管组件可依据业务需求灵活定义内生安全防御边界，支持自定义业务数据流与内生安全防御框架控制流，组成单级、串联、嵌套动态防御与异构防御架构[17]。基于微服务技术构建内生安全云平台服务组件与云应用组件，建设支持负载均衡、应用状态迁移的请求分发、多模裁决服务集群。引入动态防护体系，内生安全云管支持分布式部署组件的模块级、功能级、代码级动态要地防御，打造任务驱动型动态、异构混合式架构内生安全防御体系。

2.2.2 内生安全Web服务器

软硬件一体的内生安全Web服务器，支持B/S应用部署管理服务保障服务器对漏洞后门威胁的主动感知和柔性重构。采用一致性判决、指令特征匹配等方法可防御黑客采用身份伪装、权限窃取等传统手段无法识别和防御的攻击形式，能够阻断黑客利用漏洞后门发起的网页篡改、数据窃取等攻击[18]。从数据访问安全加固、多类型数据裁决算法构建等层面优化内生安全Web服务器。数据访问安全加固防御利用漏洞后门的SQL注入、旁路攻击、数据权限窃取等威胁；多类型数据裁决算法提升针对文本、图片、视频、语音等类型的一致性比较能力，并可切换响应包内容裁决、长度裁决、MD5裁决等比较策略。

2.2.3 内生安全态势感知与安全运营平台

内生安全态势感知与安全运营平台打造“内生安全+主动感知+精细化运维”的一体化内生安全运营模式，通过输出一致性判决、攻击场景复现、差模分析为技术路线，捕捉一致性判决过程中感知的异常信息，定位异常执行体，对系统进行差模请求处理过程追溯监控，动态替换系统及其运行环境的组件，对攻击链上的缺陷部分进行精确定位，分析威胁的作用范围与特征信息，提高基础设施与信息系统的智能化运维水平。

2.2.4 高安全数据防护中间件

构建面向分布式部署应用的高安全数据防护中间件，构建具备内生安全特征的动态数据访问防护架构，形成以应用场景数据体量、数据类型、读写频率为参照变量的数据防护方案。结合业务要地防御需求切分整体架构的分段式防护策略，为各分片结构附加单一或综合动态、异构、冗余技术实现，将数据访问整体架构安全落实于分段结构安全。针对数据资源进行等级分类，构建数据访问身份认证中心，实时监控和评估访问者行为风险，对恶意行为进行阻断和服务拒绝。

3 内生安全应用发展展望

3.1 构建重要行业构建信息系统内生安全技术护城河

面向军事、党政、运营商等重要行业以及大数据中心等新一代基础设施开展内生安全产品、服务、解决方案的应用推广，培养技术研发、产品实施、网络攻防相关人才，创新内生安全服务模式。以强化工控、物联网等嵌入式设备的网络攻防对抗能力与综合防护能力为目标，形成高时效、资源紧凑应用场景的内生安全技术体系与内生安全解决方案。

3.2 我国内生安全技术发展应结合自主可控建设生态

围绕自主可控基础设施适配、自主可控内生安全、高性能计算架构建设目标，基于申威、龙芯、鲲鹏等国产处理器，麒麟、统信等国产操作系统，人大金仓、达梦等国产数据库、金蝶等国产Web服务器，国产GPU、FPGA等计算芯片，构建异构软硬件基础设施，推动自主可控基础设施与内生安全架构适配，形成行业应用、自主可控与内生安全的适配融合能力，带动自主可控内生安全产业生态圈建设及配套资源建设，推动重要行业基础设施国产化替代进程。

3.3 推进科技创新成果转化与产业融合发展

打造内生安全产业推广生态环境，释放内生安全技术产业应用转化动能，集聚优质创新上下游资源，推动内生安全产业生态圈建设，扩大内生安全技术在国内网络安全市场的份额占比，落实数字中国、网络强国等国家战略，推进科技创新成果转化与产业融合发展。

4 总结

本文从新国际形势下我国网络安全形势着手，分析了“数字中国”战略对我国网络安全技术与应用发展的升级转型的提振作用，探讨了拟态防御、移动目标防御、可信计算、零信任架构等典型内生安全体系的技术特点、适用场景与未来技术发展趋势，提出了对内生安全云平台、内生安全Web服务器、内生安全态势感知与安全运营平台、高安全数据防护中间件等支撑数字化时代网络安全防护产品的发展展望。在应用方面，提出应结合自主可控建设生态，面向重要行业关键信息系统发展需求，构建内生安全产业生态圈，推进科技创新成果转化与产业融合发展，内生安全技术与应用双轮驱动，共同筑牢我国数字化时代发展基石。