基于态势感知技术的政务云安全防护体系建设研究*

梁 昊，丁 宏，文 兰，赵立健

（济南市生态环境数字化应用中心，山东 济南 250102）

0 引言

政务云是专门服务于政府领域的一种云计算技术，面向各类政府机构提供电子政务服务。在政务信息系统整体部署、互联互通、资源共享和业务协同的背景下，政府电子信息系统逐步迁移到政务云平台。政务云在节约资源、提升经济效益和公共服务水平方面具有显著优势，但同时也带来了信息安全方面的问题，比如面临网络攻击与数据泄露风险，缺乏适当的身份验证与访问控制机制，数据备份与容灾机制不完善等。随着政府领域利用云平台来管理公共服务和治理的普及，将网络安全放在首位并投资于强大的安全措施以保护敏感数据和确保国家安全变得至关重要。传统的网络安全防护方法（如防火墙、漏洞扫描、杀毒软件和入侵检测等）虽然能在特定功能上实现安全防御，但在面对云上复杂的网络环境时仍存在很多不足，无法实现多个方法之间的联动，更不能从全局上主动对网络威胁进行防御。传统安全防护的重心在于边界防护（如终端防护、网络防护、主机防护等），随着物联网、云计算、大数据等新技术的普及，越来越多的数据存储在云端，超越了传统的安全防护边界，同时日益增长的物联网设备也在挑战传统安全防护方法的防护能力。与日趋乏力的安全防护手段相比，攻击者的攻击手段（如零日漏洞、高级持续攻击、网络军火武器等）却日趋高级，在层出不穷的漏洞和高级攻击手段面前，看似坚固的传统网络安全防护堡垒成为摆设[1]。因此，本文使用网络安全态势感知技术，采集网络安全设备防火墙、僵尸网络木马和蠕虫监测与处置系统及终端威胁防御系统的日志数据，研究基于政务云多源异构数据的云安全防护体系建设，加强政务云自身的安全防护及云上政务数据安全保障。

1 网络安全态势感知模型建设

为解决以上问题，本文从态势感知、态势理解和态势预测3个方面实现安全态势感知模型的建设。

安全数据是指在计算机网络和系统中产生的与安全相关的各种信息和记录，包括但不限于登录记录、网络流量、系统日志、恶意代码样本及异常行为等。来源涵盖网络设备、主机系统、应用程序、防火墙、入侵检测系统（Intrusion Detection System，IDS）、入侵防御系统（Intrusion Prevention System，IPS）及日志文件等。安全数据采集被视为持续监测、分析和响应网络和系统安全状态，及早识别和应对潜在的安全威胁和风险的基础。

政务云环境是指专门为政府部门和机构提供的云计算基础设施和服务。具有存储、计算、网络和业务4个方面的特点：存储包含敏感信息，如个人身份信息、机密文件等，具有存储安全性要求高、数据归档与长期保留特点；计算具有随着业务需求的变化而波动的计算需求特点；网络需要提供高速稳定的网络连接，保持隔离不同政府部门和机构之间的数据；业务要符合政府法规和合规性要求，支持多个政府部门和机构共享。总之，政务云环境的存储、计算、网络和业务特点是为了满足政府部门的特定需求，包括安全性、合规性、灵活性及高可用性等方面的要求。

当进行安全态势感知时，将从脆弱性分析、生存性分析、威胁性分析、平稳性分析4个层面对安全数据进行采集和分析（如表1所示），并再细分为二级指标得到政务云中实体数据源。脆弱性分析是指对系统暴露在外的、容易被攻击的自身缺陷的分析；生存性分析是指对发生的安全事件的分析，目的是从事件中汲取经验教训，加强对外部威胁的抵御能力；威胁性分析是指对资产的各类攻击进行分析和评估；平稳性分析是指减少风险的发生，保证系统稳定运行。

表1 安全数据采集分析

1.1 态势感知

态势感知是实现态势感知模型过程的核心概念和关键组成部分。针对政务云中多源异构、数据量大的安全态势数据，通过网络设备采集和挖掘重要的数据，对采集后的数据进行数据清洗、格式化处理等操作，把异构数据融合关联到一起，并存储到数据库中。

基于Agent数据采集和应用程序编程接口（Application Program Interface，API）的安全数据采集系统，包含Agent实时数据采集、数据分析处理、数据格式化、数据上传的通信模块、配置管理等，对不同安全数据类型，开发相应的数据采集Agent。从物理环境、通信网络、区域边界、计算环境和系统安全等方面实时采集系统运行的安全数据，并将采集后的数据上传到接口，接口接收后进行数据的格式化统一，消除数据冗余、类型和格式的差异，然后进行统一语义封装，消除语义理解的差异，最后将数据存储到安全信息库中[2]。

1.2 态势理解

态势理解是将采集到的多种类型数据清洗、格式化，采用分类、归并、层次分析、关联分析等方法对网络安全系统中的要素进行统计，包括资产管理、风险发现、威胁监测和基线检查等。再对各类数据要素定性分析，找到要素之间的相互联系，通过警报匹配方法计算警报相关信息与目标系统资产和配置的相关性，监测入侵检测报警信息、漏洞信息及网络与主机安全评估，结合攻击发生频率、带宽占用率及对网络的影响，评估出对整个服务器的影响威胁。根据指标体系选取数据，进行态势量化处理得到态势值，同时为态势预测提供准确的预测数据集。

1.3 态势预测

态势预测是网络安全态势感知的最终目标，可让网络防护人员及时或提前掌握网络运行的状况。网络安全数据具有信息关联性，通过海量连接和攻击尝试，会产生具有时间序列特性的网络安全数据。长短期记忆网络（Long Short-Term Memory，LSTM）具有独特的“门”结构，能够更好地记录时间序列数据关系，具有记忆功能。基于对相关网络安全数据的理解，对网络安全数据进行数据预处理、数据格式化、模型预训练。具体步骤如下：

（1）构造数据集。对威胁进行权重分配，网络安全态势值的计算方法为：

式中：SA为安全态势值；i为威胁种类；w为权重；Ti为某类威胁的数量；Timax为最大时数值。并对安全态势值进行归一化预处理。

（2）特征提取。基于自编码器（Auto-Encoder，AE）的特征提取，AE利用原始数据参考，进行自监督学习特征提取。

编码过程表示为：

式中：he为编码器的输出；f e为编码部分激活函数；We为权重矩阵；X为n维向量；be为编码部分偏置。

解码过程表示为：

式中：X'为解码器的输出；f d为解码部分激活函数；Wd为解码部分的权重矩阵；bd为解码部分偏置。

MSE损失函数表示为：

式中：L(X,X')为损失函数；k为样本数；j为样本序列；Xj为预测值；Xj'为目标值。

（3）基于自注意力门控单元（Self-Attention Gate Recurrent Unit，SA-GRU）的网络安全态势预测方法，对态势数据进行表征学习进而实现预测。将通过网络态势评估获得的态势数据按一定的比例分为预测训练集和预测测试集，将预测训练集输入SA-GRU神经网络模型进行态势模型训练（如图1所示），将预测数据输入训练好的网络进行预测，得到预测值。

图1 基于SA-GRU的政务云安全态势神经网络训练模型

2 安全防护体系设计

基于网络安全态势感知模型设计一套安全防护体系，主要分为态势感知联合防火墙自动布防、态势理解加强网络安全保障和态势预测建立自适应安全防御3个方向。

2.1 态势感知联合防火墙自动布防

部署态势感知管控中心和Agent探针，采集网络安全设备防火墙、僵尸网络木马和蠕虫监测与处置系统及终端威胁防御系统的日志数据，实现对网络安全的态势觉察、跟踪和预警，及时掌握网络安全威胁、风险和隐患，监测漏洞、病毒木马、网络攻击情况，发现网络安全事件线索，防范网络攻击等恶意行为[3]。

将态势感知中心与边界防火墙设备进行联动处置，通过邮件、企业微信等方式实时推送事件告警。同时，在态势感知中心可一键下发配置安全防护策略，边界防火墙可自动更新相关配置，从而实现半自动化运维，提高日常运维的工作效率。

（1）攻击源和攻击类型实时监测。将攻击分为高风险、中风险、低风险，包括攻击源和被攻击主机，并在页面上根据攻击类型显示注入攻击、扫描探测、文件漏洞攻击、浏览器挟持、非授权访问等其他信息。

（2）主机和业务系统动态防护。对主机进行安全防护，防止对主机的恶意攻击，实时记录僵尸主机和被控制的主机，监测被入侵的主机。业务系统动态防护是对业务系统进行安全防护，对受影响业务（如Web应用、数据库）进行及时维护。

（3）告警和恶意文件管理控制。基于防护规则统计分析告警事件，包括规则编号、事件描述、级别、攻击次数。详细记录告警信息，包括告警内容、告警级别、告警类型、最近发生时间、告警状态和操作。

实时主动控制安全策略，防止恶意文件的传播和攻击，面对恶意IP、恶意域名、恶意统一资源定位符（Uniform Resource Locator，URL）传播源、感染主机、恶意程序、疑似恶意程序、联动阻断等威胁，做到及时发现并采取相应措施，实现一键封堵功能。

2.2 态势理解加强网络安全保障

建立自适应安全防御机制，对攻击模式、攻击手段、攻击目标进行分析，了解安全的动态变化，以自适应安全架构和云工作负载保护平台为核心理念，采用“管控中心+Agent探针”的部署方式，保证政务云上租户的主机应用及数据安全[4]。同时，结合实际情况，将自适应安全防御软件与安全服务充分结合，加强对新型未知病毒及高级攻击的防御能力，提供全栈保护能力与安全巡检。自适应安全防御机制的主要功能如下：

（1）资产管理功能。按照IP、主机、资产3个维度进行分类，主机资产统计包括管控主机的总数，即在线、离线和未管控的主机。操作系统统计包括Linux、Server以及对政务云环境中账号、端口、进程、软件、数据库及容器的细分资产的统计，包括开通账号、端口和各类数据库的主机数。

（2）风险发现功能。检测出系统漏洞、中间件漏洞、数据库漏洞、配置缺陷及弱口令。

（3）威胁监测功能。实时监测暴力破解并自动封停，对主机存在的病毒及WebShell后门程序进行隔离清除。

（4）基线检查功能。配置合规且包含等保基线检查规则在内的模板，为网络安全防护提供更加准确的合规判别。

2.3 态势预测建立自适应安全防御

远程监控提供实时预警，对政务云服务平台进行24小时重点网站远程监控，及时发现政务门户网站等Web应用系统存在的安全问题，针对网站挂马、首页篡改、敏感关键字、暗链等异常操作，在第一时间通过短信、邮件、电话等方式进行预警。通知格式包括标题、网站名称和URL、事件发生的时间和类型、事件发生错误概览等内容[5]。

日常防护包括使用各种攻击技术对网站、App、小程序等互联网系统和内网系统进行每季度一次的渗透测试。此外，还包括授权测试、业务逻辑测试、配置及部署管理、客户端测试、数据验证、身份认证、信息泄露、会话管理等方面，从而发现系统存在的安全隐患。

3 结语

本文研究了基于态势感知技术的政务云安全防护体系建设，从态势感知、态势理解和态势预测方面解决了海量、多源、异构安全数据采集和处理的难题，构建了基于SA-GRU的政务云安全态势神经网络训练模型，实现对安全态势定量评估，设计包括态势感知联合防火墙自动布防、态势理解加强网络安全保障和态势预测建立自适应安全防御3个子系统的安全平台，实现对政务云上信息系统安全态势的监测预警、检测、防护及安全能力的全面提升，保证云上系统数据安全，提高了政务云平台服务能力和安全管理人员的工作效率。