增加防御技能_ 网络空间安全主动防御技术概述

网络空间防御现状

现有的网络安全防御系统采用了防火墙、入侵检测、主机监控、身份验证、防病毒软件、漏洞修补等多种要塞性刚性防御系统，阻止或阻挡外部入侵，这种静态分层深度防御系统根据事先知识，经常在面对攻击时产生反应 虽然有防护有效的优点，但是在与未知的攻击对手对抗的时候力量不够，有自己容易被攻击的危险。 总之，目前传统的网络空间安全防护系统主要是静态的，不能实现各部件之间的有效联动，具体特点如下

(1)主要采用防火墙、加密和认证技术等静态网络安全技术。

(2)内各部件的防御或检测能力是静态的。

(3)内各部件孤立，无法实现高效的信息共享、能力共享、协同工作。

(4)网络设备没有安全对策，不被认为受到攻击行为，在网络中自由横行。

国内外的应对

为了应对传统网络安全防御体系的静态不变特征，国内外科研队伍和技术队伍相继开展了技术研究和创新工作。 特别是2011年12月，美国国家科学技术委员会( NSCT )发布了《可靠的网络空间:联邦网络空间安全研究战略计划》。 核心是针对网络空间面临的现实和潜在威胁建立“改变游戏规则”的创新技术，定制内置安全、移动目标防御和可靠的空间， 确定了网络经济激励的四个“改变游戏规则”研发主题，作为美国白宫网络安全研究和发展战略规划的四个重要领域，其中动态防御技术是学术界、工业界最想进入实战化的研究方向。

在这种“改变游戏规则”革命性动态网络空间安全防护体系的建设中，国内外也开展了其他相关技术研究，如美国的“爱因斯坦”技术和MTD (移动目标防护体系)。 国内网络空间拟态防御理论、动态能源网络空间防御系统和防卫达内网络防护系统等。

1《爱因斯坦》方案

“爱因斯坦”计划是美国联邦政府主导的网络空间安全自动监视项目，由国土安全部( departmentoffomelandsecurityity，DHS )下的美国计算机应急应对小组( US-CERT )开发，监视侵入政府网络的行为 下面是爱因斯坦方案经验的三个阶段

(1)“爱因斯坦-1”从2003年开始实施，通过监测联邦政府机构的网络出入量，收集并分析网络流量记录，DHS可以识别潜在的攻击活动，在攻击事件发生后进行重要的取证分析。

(2)“爱因斯坦-2”从2007年开始，在“爱因斯坦1”中加入入侵检测技术，根据特定的已知特征识别了联邦政府网络流量的恶意和潜在的有害计算机网络活动。 “爱因斯坦2”传感器会发出大量潜在的网络攻击警告，DHS警卫会评估这些警告，确认警告是否受到威胁，是否需要进一步补救，如果需要DHS，将与受害机构合作解决。 “爱因斯坦2”是“爱因斯坦1”的强化，系统根据原来的异常行为分析，增加恶意行为的分析能力，US-CERT具有更好的态势感知能力。

(3)2010年，DHS设计开发了入侵防御( Intrusion Prevention )，计划了阻止网络攻击的“爱因斯坦3”。 根据奥巴马政府发表的摘要，“爱因斯坦3”利用商业科学技术与政府专业能力相结合的方式，实现了实时的完整数据包检查，可以根据威胁情况决定出入联邦行政部门的网络流量，在发生危害之前 目前公开的资料显示，“爱因斯坦-3”的入侵防御能力主要来源于美国国家安全局( NSA )开发的名为TUTELAGE的系统。 TUTELAGE是一个具有网络流量监控、自主防御和反击功能的系统，用于保护美军的网络安全，相关文件在2009年之前已经使用。 TUTELAGE通过SIGINT预先发现对方的工具、意图，设计反体制手段，在对方入侵前拒绝。 即使对方成功入侵，也可以通过阻止、修改C2命令等方法来缓解威胁。

2 .移动目标防御系统( MTD )的建设

美国国家技术委员会在2011年提出了“移动目标防御”( MTD )的概念。 该技术与传统的网络安全研究构想不同，目的在于开展和执行不确定、随机动态的网络和系统，攻击者很难发现目标。 动态防御还可以主动欺骗攻击者，打乱攻击者的视线，引入死胡同，设置模拟目标/诱饵，欺骗攻击者实施攻击，诱发攻击警告。 动态防御改变了网络防御的被动态势，改变了攻防双方的“游戏规则”，真正实现了“主动性”防御。

3 .网络空间的伪防御理论

网络空间拟态防御理论是由中国工程院院院院院院院院院院院院院院院院院院院院提出的，该理论不再追求无脆弱性、无后门、无缺陷、无菌、完善的运行场景和防御环境来对抗网络空间的各种安全威胁， 采用硬件和软件系统可迭代收敛的广义动态化控制策略，旨在构建基于多模判决的策略规划和多维动态负反馈机制。 实施虚拟动态防御的基本框架是“动态异构冗馀”结构( Dynamic Heterogeneous Redundancy，DHR )。 DHR通过在成熟的非相似度体系结构( DRS )中引入动态性和随机性改善了抗攻击性。 DHR体系结构要求系统在外部表现结构上的随机性和不可预测性，可采用的机制能够转换当前不定期运行的执行体的集合，重建异构体，利用虚拟化等技术改变执行环境等的配置，因此攻击者能够将成功的攻击场景 DHR的结构图1如下图所示。

图1 DHR结构图

DHR体系结构主要由异构集、动态调度机制、输入代理、执行集和决策器部件组成。 其中，异种构筑集是由标准化的硬件和软件模块进行编译，生成n个功能等价的执行体而构成的。 并且，根据动态选择策略，从中选出m个执行体作为执行体集合。 输入代理负责向当前正在执行的执行体分发输入。 裁决器对所有执行体生成的输出向量进行多数表决，得到最终的输出。

4 .动态能源网络空间防护系统

动态能源网络空间防御系统由北京信息系统研究所杨林研究员提出，该防御系统以软件定义的安全防护设施为基础，支撑服务化后台安全服务设施，对静态设置的网络空间安全能力载体进行动态能源活性化 这是网络空间信息系统全生命周期设计过程中必须贯彻的基本安全理念，在尽可能保证网络空间系统可用性的同时，也是信息系统全生命周期运行过程中所有参与主体、通信协议、 (1)攻击者难以发现目标，目的是使信息数据等在时间和空间两个领域具有独立或同时变换自己的特征属性或属性向外部提示信息的能力。 (2)攻击者发现目标是错误的。 (3)攻击者发现了目标，但未能实施攻击。 (4)攻击者可以实施攻击但不能持续。 (5)攻击者可以实施攻击，但可以立即检测出。

动态防御的核心技术

信息系统实体通常主要包括软件、网络节点、计算平台和数据。 在动态能源网络空间保护系统中提出了动态软件防御技术、动态网络防御技术、动态平台防御技术和动态数据防御技术等。

1、动态软件防御技术:动态改变应用本身及其执行环境的技术。 相关的技术包括地址空间布局的随机化技术、指令集的随机化技术、在位码的随机化技术、软件的多样化技术、多样化的执行技术等。

2、动态网络防御技术:通过在网络级别实施动态防御，具体是对网络拓扑、网络配置、网络资源、网络节点、网络业务等网络要素进行动态化、虚拟化和随机化的方法 打破确定性和相似性缺陷，防止对目标网络的恶意攻击，提高攻击者网络探测和网络节点渗透攻击的难度。 例如，以网络伪装为代表的各种动态网络安全技术主要包括前摄伪装和被动伪装技术。 网络伪装技术在黑客试图踩踏开始攻击时，通过向真实信息添加虚假信息，黑客逐步扫描目标，然后不采取正确的攻击手段和攻击方法。 因为在不同的网络环境、小的网络状态下，采取不同的网络攻击手段。 混入虚假信息的话，攻击者就很难利用自己的攻击工具攻击现有的网络。

3、动态平台防御技术:传统平台系统设计采用单一体系结构，交付后长期保持不变，为攻击者侦察和攻击尝试提供了足够的时间。 如果恶意攻击者发现系统的脆弱性并成功利用。 系统面临服务异常、信息被盗、数据被篡改等严重危害。 平台动态防御技术是解决这种固有缺陷的一种方法。 平台防御技术构建了多种运行平台，动态改变了应用运行环境，使西戎看到了不确定性和动态性，难以掌握系统的具体结构，难以开始有效的攻击。 相关技术包括可重构平台的动态化、基于异构平台的应用程序的热迁移、Web服务的多样化以及基于入侵容忍的平台动态化。

4、动态数据防御技术:动态数据防御技术具有根据系统防御需要动态变更相关数据的形式、句法、代码或表现形式，增加攻击者的攻击面，提高攻击难度的效果。 相关技术主要包括数据随机化技术、n型数据的多样化技术、用于容错性的N-Copy数据的多样化技术、用于Web应用的安全性的数据的多样化技术等。

总结

在网络空间安全日益严峻的背景下，全面提高我国网络信息系统的安全防御能力迫在眉睫，以MTD为代表的下一代网络保护系统改变了防御能力集中于边界、静态化防御能力、削弱防御能力等一系列问题，基于这一技术使网络保护达到了新的水平

参考资料

[1]动态能源网络空间防御.杨林、人民邮政出版社

[2]网络空间拟态防御理论——广义鲁棒性控制与内生安全(上/下卷).邯让江兴、科学出版社

[3]动态目标防御——构筑应对网络威胁的不对称不确定性。 杨林，国防工业出版社

[4]零信任网--在不信任网中构建安全体系.中国工信出版集团。

[5]虚拟网络操作系统架构及关键技术研究

[6]建立卫生达安全_网络安全知识主动防御体系

[7]主动动态网络防御技术研究.张博

[8]网络信息安全动态防御系统研究.陈捷

作者:徐国坤李楠

声明:本文来自中国保密协会科学技术分会，版权归作者所有。 文章的内容只是代表者的独立观点，不代表安全的内参立场，转载的目的是传达更多信息。 如有侵犯，请联系anquanneican@163.com。