導(dǎo)語：如何才能寫好一篇網(wǎng)絡(luò)攻防與安全滲透，這就需要搜集整理更多的資料和文獻，歡迎閱讀由公文云整理的十篇范文，供你借鑒。

篇1

關(guān)鍵詞：OpenStack；云平臺；網(wǎng)絡(luò)攻防；靶場

中圖分類號：TP393 文獻標(biāo)識碼：A 文章編號：1671-2064（2017）01-0027-02

1 引言

隨著計算機網(wǎng)絡(luò)技術(shù)的快速發(fā)展及其在各領(lǐng)域的廣泛應(yīng)用，社會各界也越來越重視信息網(wǎng)絡(luò)安全問題，不斷投入資源進行網(wǎng)絡(luò)攻防演練和信息安全研究?？紤]到計算機網(wǎng)絡(luò)應(yīng)用服務(wù)的實時性和高可靠性要求，難以直接在業(yè)務(wù)網(wǎng)絡(luò)尤其是生產(chǎn)系統(tǒng)上進行網(wǎng)絡(luò)攻防演練和滲透測試研究。網(wǎng)絡(luò)靶場技術(shù)能夠?qū)φ鎸崢I(yè)務(wù)網(wǎng)絡(luò)進行模擬，在其上進行攻防演練能夠避免對真實業(yè)務(wù)網(wǎng)絡(luò)的破壞，并且成本低、部署靈活、過程可重復(fù)，是網(wǎng)絡(luò)攻防演練和測試研究的有效途徑。

網(wǎng)絡(luò)靶場概念最初在軍事領(lǐng)域提出，是為了滿足信息化武器系統(tǒng)的研究需求而構(gòu)建的信息安全試驗平臺，是一個貼近實戰(zhàn)的信息戰(zhàn)模擬環(huán)境[1]。由于網(wǎng)絡(luò)靶場可以進行各種攻擊手段和防御技術(shù)的研究，針對性制定安全性策略以及安全方案，并可進行定量和定性的安全評估，因此其在軍事領(lǐng)域之外的其他信息安全研究領(lǐng)域也得到了廣泛的應(yīng)用。

本文根據(jù)網(wǎng)絡(luò)攻擊及防護技術(shù)在真實網(wǎng)絡(luò)環(huán)境中的應(yīng)用特點，基于云計算技術(shù)構(gòu)建了網(wǎng)絡(luò)攻防靶場平臺，能夠為網(wǎng)絡(luò)攻防演練、滲透測試以及防護技術(shù)研究提供綜合模擬環(huán)境，可應(yīng)用于政府、企業(yè)以及高校等行業(yè)的網(wǎng)絡(luò)安全實驗室。

2 OpenStack云計算技術(shù)

云計算是一種基于互聯(lián)網(wǎng)的計算方式和服務(wù)模式，它具有靈活動態(tài)分配資源、統(tǒng)一管理、有效降低管理維護成本等優(yōu)勢，因此基于云計算平臺的網(wǎng)絡(luò)靶場也具有高性價比和便于管理維護等優(yōu)點。OpenStack是由開源社區(qū)開發(fā)維護的一個開源云計算平臺，采用組件化的服務(wù)形式管理計算、存儲以及網(wǎng)絡(luò)資源池，支持自定義方式搭建靈活的云計算環(huán)境，其主要組件包括：

（1）運算組件Nova，是OpenStack的核心組件，負責(zé)虛擬運算和資源的調(diào)度；

（2）對象存儲組件Swift，其以分布式對象存儲方式存放虛擬機鏡像文件；

（3）區(qū)塊存儲組件Cinder，分塊存儲，為虛擬機提供塊存儲設(shè)備；

（4）網(wǎng)絡(luò)組件Quantum，管理虛擬網(wǎng)絡(luò)系統(tǒng)；

（5）身份認證組件Keystone，用于身份認證和授權(quán)；

（6）鏡像文件管理組件Glance，對虛擬機鏡像文件進行管理；

（7）儀表盤組件Horizon，提供UI操作界面。

OpenStack通過以上組件提供可擴展、靈活的云計算平臺，并且鑒于其開源特性以及強大的社區(qū)開發(fā)模式，本文采用OpenStack作為云平臺構(gòu)建網(wǎng)絡(luò)靶場。

3 基于OpenStack技術(shù)的網(wǎng)絡(luò)攻防靶場平臺構(gòu)建

3.1 設(shè)計目標(biāo)

在實際業(yè)務(wù)環(huán)境中，網(wǎng)絡(luò)攻擊和防御是“道高一尺魔高一丈”的關(guān)系，手段也呈現(xiàn)多樣性特點，所以近似真實業(yè)務(wù)網(wǎng)絡(luò)是靶場設(shè)計的基本要求，并且靶場的設(shè)計應(yīng)滿足以下目標(biāo)：

（1）網(wǎng)絡(luò)攻防的指標(biāo)參數(shù)應(yīng)可以根據(jù)需要進行配置，比如拓撲結(jié)構(gòu)、漏洞等級、設(shè)備參數(shù)以及評價指標(biāo)等。

（2）可以進行多種模式的演練，以滿足不同的演練需求，包括紅藍對抗和單兵作戰(zhàn)。

（3）能夠?qū)ρ菥氝^程和成績進行實時監(jiān)控和統(tǒng)計，并以圖形化界面全程展示演練情況，具備一定的態(tài)勢感知能力。

（4）在演練過程中，靶場應(yīng)能夠在運行資源和管理資源方面支持不同攻防場景的快速部署，從而全方位地對靶場進行安全性評估，重點完善薄弱環(huán)節(jié)，也能夠通過豐富的演練場景，掌握網(wǎng)絡(luò)攻擊與防護的理論知識和實踐技能。

（5）演練數(shù)據(jù)應(yīng)被詳細記錄，通過數(shù)據(jù)處理和分析，評估靶場的安全性以及演練人員的技能水平，并進一步形成和豐富網(wǎng)絡(luò)攻防實驗?zāi)Ｐ秃蛯嶒灁?shù)據(jù)庫。

3.2 總體架構(gòu)

根據(jù)前述設(shè)計目標(biāo)，基于云平臺的網(wǎng)絡(luò)攻防靶場在OpenStack基礎(chǔ)設(shè)施之上模擬出多種設(shè)備和系統(tǒng)，包括網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機設(shè)備以及操作系統(tǒng)，并能夠完全貼近網(wǎng)絡(luò)安全的各應(yīng)用領(lǐng)域，例如網(wǎng)絡(luò)設(shè)備安全、操作系統(tǒng)安全、數(shù)據(jù)庫安全、Web應(yīng)用安全、主機程序安全、移動設(shè)備安全以及中間件安全。功能模塊主要有靶場信息管理系統(tǒng)、紅藍對抗系統(tǒng)和單兵作戰(zhàn)系統(tǒng)。靶場系統(tǒng)又包括各種靶場場景，可以預(yù)設(shè)和修改，主要靶場場景包括ServU漏洞利用靶場、Windows漏洞靶場、Linux漏洞靶場、webshell利用、SqlServer提權(quán)靶場、SQL注入靶場、cookie分析靶場、ftp弱口令利用靶場、telnet弱口令利用靶場、系統(tǒng)登錄弱口令利用靶場、電商網(wǎng)站靶場、新聞系統(tǒng)靶場、個人博客靶場、Wiki靶場、OA系統(tǒng)靶場等。系統(tǒng)總體架構(gòu)如圖1所示。

3.3 功能模塊

3.3.1 靶場管理信息系統(tǒng)

靶場管理信息系統(tǒng)對整個靶場平臺進行統(tǒng)一管理調(diào)度，采用B/S架構(gòu)模式，無需安裝客戶端，升級維護靈活方便。其一方面通過API接口訪問OpenStack云計算資源，另一方面負責(zé)對靶場場景進行鏡像管理和參數(shù)配置，并提供實時監(jiān)控、分析統(tǒng)計、可視化展示、系統(tǒng)管理等功能。靶場管理信息系統(tǒng)自身具備較高的安全防護能力，能夠防止在攻防演練中受到攻擊導(dǎo)致整個靶場平臺的失效。

3.3.2 紅藍對抗系統(tǒng)

呈現(xiàn)紅藍對抗演練模式，即將演練者分為紅方和藍方兩組進行網(wǎng)絡(luò)攻防的對抗演練，以CTF（Capture the Flag）奪旗比賽模式進行，紅方試圖利用藍方的安全防護漏洞獲取藍方的Flag，藍方則盡力堵住自身安全漏洞，并反利用紅方漏洞獲取紅方Flag，是一種對抗激烈的演練模式，對演練者的技能水平有較高考驗。

3.3.3 單兵作戰(zhàn)系統(tǒng)

主要訓(xùn)練考核演練者的攻擊水平，系統(tǒng)為演練者提供了兩臺攻擊機以及目標(biāo)靶機，攻擊機分別為預(yù)置有攻擊工具的Windows操作系統(tǒng)和Kali Linux操作系統(tǒng)，目標(biāo)靶機由系統(tǒng)管理員從靶場場景中選取設(shè)置，演練者通過攻擊機對靶機進行滲透，獲取過關(guān)文件，向系統(tǒng)提交過關(guān)文件后由系統(tǒng)自動進行判分，并給出實時成績。

4 網(wǎng)絡(luò)攻防滲透測試實例

本文對系統(tǒng)功能和各靶場場景逐一進行了測試，此處以Windows漏洞利用靶場場景為例闡述滲透測試過程。該靶場場景部署Windows xp SP1版本操作系統(tǒng)作為目標(biāo)靶機，測試時使用靶場平臺提供的Kali Linux作為攻擊機，在攻擊機運行漏洞掃描程序?qū)δ繕?biāo)靶機進行漏洞掃描，發(fā)現(xiàn)目標(biāo)靶機存在MS08-067高危漏洞。于是攻擊機啟動Metasploit攻擊框架，使用攻擊模塊，加載攻擊載荷，對靶機進行滲透，從而獲取到靶機的命令行權(quán)限，并添加用戶、提權(quán)，最終獲得靶機的最高控制權(quán)，取得Flag，滲透成功。

通過對網(wǎng)絡(luò)攻防靶場系統(tǒng)全部功能模塊和靶場場景的測試以及實踐檢驗，證明該系統(tǒng)功能全面、運行穩(wěn)定，達到了預(yù)期設(shè)計目標(biāo)。

5 結(jié)語

本文根據(jù)網(wǎng)絡(luò)攻擊及防護技術(shù)在真實網(wǎng)絡(luò)業(yè)務(wù)環(huán)境中的應(yīng)用特點，基于OpenStack云計算技術(shù)構(gòu)建了網(wǎng)絡(luò)攻防靶場平臺，能夠為網(wǎng)絡(luò)攻防演練、滲透測試以及防護技術(shù)研究提供綜合模擬環(huán)境，避免對真網(wǎng)絡(luò)的影響和危害，可應(yīng)用于政府、企業(yè)以及高校等行業(yè)的網(wǎng)絡(luò)安全實驗室。

篇2

摘要：本文結(jié)合筆者的實際教學(xué)經(jīng)驗，從課程實驗課的教學(xué)目標(biāo)、教學(xué)方法和考核方式三個方面探索了新的教學(xué)方法。

關(guān)鍵詞：網(wǎng)絡(luò)攻防技術(shù)；實驗課；教學(xué)研究

中圖分類號：G642

文獻標(biāo)識碼：B

實驗教學(xué)在高校教學(xué)體系中占有十分重要的地位，進行實驗教學(xué)改革與探索的目的是提高實驗教學(xué)質(zhì)量，使實驗教學(xué)在人才培養(yǎng)中發(fā)揮更大的作用。下面結(jié)合筆者自身的教學(xué)經(jīng)驗，從教學(xué)目標(biāo)、教學(xué)方法和考核方式三個方面對實驗課的教學(xué)進行了一些探索。

1完善教學(xué)內(nèi)容

1.1教學(xué)內(nèi)容設(shè)計

“網(wǎng)絡(luò)攻防技術(shù)”課程實驗課的教學(xué)目標(biāo)就是以實驗為手段，使學(xué)生在實際操作過程中鞏固已有的網(wǎng)絡(luò)攻防理論知識，并以此為基礎(chǔ)了解目前常見的漏洞和攻擊模式，熟練配置一個安全的網(wǎng)絡(luò)系統(tǒng)，培養(yǎng)學(xué)生使用計算機網(wǎng)絡(luò)工具和設(shè)備來組建、配置和調(diào)試安全的局域網(wǎng)。

我們認為，目前的網(wǎng)絡(luò)攻防技術(shù)課程實驗課教學(xué)設(shè)計具有兩大特點：一是要突出實驗課在網(wǎng)絡(luò)攻防課程教學(xué)中的地位和作用；二是要以培養(yǎng)學(xué)生技術(shù)應(yīng)用能力為主線設(shè)計實驗課的教學(xué)內(nèi)容。為此，結(jié)合我院網(wǎng)絡(luò)實驗室已有的實驗設(shè)備和工具情況，我們設(shè)計了如下教學(xué)內(nèi)容。

(1) 網(wǎng)絡(luò)安全漏洞測試與評估實驗：安裝并使用安全測試評估工具Shadow Security Scanner；使用Shadow Security Scanner對局域網(wǎng)的特定主機進行網(wǎng)絡(luò)安全檢測；分析并撰寫安全評估報告，及安全加固措施。

(2) 網(wǎng)絡(luò)嗅探與欺騙實驗：使用網(wǎng)絡(luò)嗅探工具Iris對局域網(wǎng)的特定主機進行ARP、ICMP、TCP、UDP等協(xié)議的數(shù)據(jù)報網(wǎng)絡(luò)嗅探；使用Iris對局域網(wǎng)的特定主機進行ARP欺騙。

(3) 計算機木馬與后門實驗：使用后門工具Hkdoor對局域網(wǎng)的特定主機進行FindPass、Shutdown等遠程監(jiān)控；使用HkDoor與局域網(wǎng)的特定主機進行FTP數(shù)據(jù)傳輸。

(4) 軟件緩沖區(qū)溢出漏洞利用設(shè)計實驗：編寫并運用由MessageBoxA顯示信息的ShellCode代碼；編寫具有安全漏洞實例代碼的攻擊利用程序，并測試通過。

1.2實驗環(huán)境設(shè)置

網(wǎng)絡(luò)攻防實驗與其他實驗有著很大的區(qū)別，主要表現(xiàn)為系統(tǒng)性與繼承性。

系統(tǒng)性是指網(wǎng)絡(luò)攻防面對的是系統(tǒng)集成問題，其實驗的對象和環(huán)境是一個計算機網(wǎng)絡(luò)。計算機網(wǎng)絡(luò)所面對的系統(tǒng)集成問題與電子測量、電子技術(shù)、微機接口等實驗課程不大一樣。微機接口等實驗立足與元件級，即把一些元件按實驗內(nèi)容設(shè)計出電路圖，再連接成相應(yīng)的電路，實驗結(jié)果是完成某一功能。由于功能單一，整體結(jié)構(gòu)簡單，因而安裝、調(diào)試過程難度均不大。而網(wǎng)絡(luò)攻防實驗無論硬件和軟件的復(fù)雜程度都大大超過微機接口實驗，系統(tǒng)集成后復(fù)雜程度更高。因此，我們在實驗中更要注意從系統(tǒng)的、聯(lián)系的觀點看問題，這也是培養(yǎng)學(xué)生處理大系統(tǒng)，從事系統(tǒng)開發(fā)和提高系統(tǒng)集成能力的好機會。

繼承性有硬件、軟件方面的。硬件方面繼承性是指只有完成了基本的組網(wǎng)實驗，后繼實驗才能順利地在此環(huán)境下進行。軟件方面的繼承性是指每一種網(wǎng)絡(luò)環(huán)境下的實驗，都基于特定的網(wǎng)絡(luò)操作系統(tǒng)，只有完成了有關(guān)網(wǎng)絡(luò)操作系統(tǒng)的安裝、配置，這個網(wǎng)絡(luò)環(huán)境下的其他實驗才能順利進行。因為網(wǎng)絡(luò)實驗的系統(tǒng)性和繼承性，使得網(wǎng)絡(luò)攻防的實驗對實驗環(huán)境要求較高，涉及實驗的設(shè)備與組織管理多方面，實驗前后的許多工作需要實驗室的支持與配合，實驗指導(dǎo)老師需要對實驗環(huán)境有較深的了解，每一個實驗項目都要考慮其可行性和可操作性。開設(shè)網(wǎng)絡(luò)教學(xué)實驗，需要有更多的實驗設(shè)備與技術(shù)力量的支持，相對于計算機課程的其他實驗，難度更大。因此實驗前的準(zhǔn)備功夫一定要做好，只有這樣才能理清實驗?zāi)康?、要求，列出實驗步驟，對可能出現(xiàn)的問題有充分的準(zhǔn)備，才不會臨到實驗時手忙腳亂、窮于應(yīng)付。

2改革實驗課教學(xué)方法

2.1教師的主導(dǎo)作用

一直以來，計算機課程實驗主要是驗證性實驗，嚴格來說這種實驗只能稱為上機，談不上實驗教學(xué)。改革實驗教學(xué)方法，規(guī)范管理，提高教學(xué)水平，就是要注重學(xué)生是教育主體的作用，通過對學(xué)生的引導(dǎo)、幫助和促進，充分調(diào)動他們獲取知識的積極性和主動性，增強能力，提高素質(zhì)。實驗是教學(xué)過程中的一個重要環(huán)節(jié)，因此實驗教學(xué)方法的好壞直接影響著學(xué)生對實驗的態(tài)度，影響著他們的動手能力，創(chuàng)新意識的培養(yǎng)。我們認為網(wǎng)絡(luò)攻防技術(shù)這門課程既有一般計算機課程的普遍性，也有其自身特性，網(wǎng)絡(luò)攻防技術(shù)實驗不僅是理論的驗證，更重要的是通過網(wǎng)絡(luò)與系統(tǒng)安全的實驗操作，培養(yǎng)學(xué)生對網(wǎng)絡(luò)安全的分析、設(shè)計、管理和應(yīng)用的實驗技能，加深對網(wǎng)絡(luò)攻防理論知識的理解和應(yīng)用。

在教師主導(dǎo)作用方面，我們首先改變過去按部就班的教學(xué)模式[3]，以啟發(fā)式的方式指導(dǎo)實驗。教師在備課時，對每次實驗重點和難點、實驗中可能出現(xiàn)的問題、實驗的數(shù)據(jù)和結(jié)果做到心中有數(shù)。實驗過程中，教師加強巡視，出現(xiàn)問題，一般由學(xué)生自主研究解決，教師作啟發(fā)提示、釋疑和引導(dǎo)。這樣的實驗不光是學(xué)生動手做，教師在整個實驗中起著主導(dǎo)作用。

在學(xué)生主體方面，由于實驗報告是培養(yǎng)學(xué)生寫作能力、表達能力、分析能力和總結(jié)能力的一種較好方式。因此，要求學(xué)生每一個實驗都要提交實驗報告。在報告中注重分析、總結(jié)實驗中的收獲、體會，使學(xué)生從實驗中不斷積累經(jīng)驗，獲得更多的實驗技能。在實驗課結(jié)束時，組織實驗技能考核，最后根據(jù)學(xué)生實驗情況、實驗報告、考核及平時成績，客觀評價學(xué)生的實驗成績。

通過以上措施，提高了學(xué)生對實驗課的重視程度，同時對指導(dǎo)老師也提出了更高的要求?？梢?，把教師的主導(dǎo)作用和學(xué)生的主體作用結(jié)合起來，有利于提高實驗教學(xué)水平。

2.2學(xué)生的組織管理

我院根據(jù)網(wǎng)絡(luò)攻擊技術(shù)實驗的特點，采取了獨立實驗和分組實驗等多種形式進行實驗操作。更多地采用分批分組來組織實驗，學(xué)生相互學(xué)習(xí)、相互討論切磋，提出一個最優(yōu)方案，然后實施。

在實踐中，我們發(fā)現(xiàn)分組實驗的許多優(yōu)點。網(wǎng)絡(luò)安全從軟件、硬件和通信幾個方面來說，都是一個復(fù)雜的網(wǎng)絡(luò)系統(tǒng)，網(wǎng)絡(luò)攻防的信息探測、分析、漏洞掃描、實施，以及滲透測試一般都是一個群體來實現(xiàn)的，學(xué)生將來如何從事網(wǎng)絡(luò)攻防方面的工作，也需要與人合作，分組實踐，加強了學(xué)生之間相互學(xué)習(xí)研究、溝通和合作的精神。對于實驗?zāi)芰^強的學(xué)生，可以指定他們做一些實驗輔導(dǎo)工作，由他們負責(zé)所在小組的實驗，這種變教師指導(dǎo)實驗為學(xué)生指導(dǎo)實驗的教學(xué)方式，充分調(diào)動了學(xué)生參加實驗教學(xué)的積極性。網(wǎng)絡(luò)攻防實驗不光是需要計算機和網(wǎng)絡(luò)，還需要一些配套設(shè)施，且操作有一定的破壞性，一人一套設(shè)備有時是不可能也沒必要，以小組為單位，有利于實驗室的恢復(fù)和維護。不過，分組實驗有些問題也要引起注意。如在一個小組中，學(xué)生的能力相對有強弱之分，如果以小組為單位完成某個實驗，那么學(xué)生為盡早完成，可能由能力強的學(xué)生做完了事，而其他同學(xué)，尤其是能力較差的學(xué)生就沒有得到應(yīng)用的實踐。所以，在實驗的組織與管理中，應(yīng)當(dāng)注意對不同層次學(xué)生做不同要求，采取多種形式提高學(xué)生對實驗的興趣，加強分組分配的合理性以及實驗過程中鼓勵弱勢學(xué)生的積極參與。

2.3實驗課教學(xué)方法改進

實驗課是培養(yǎng)學(xué)生動手能力的最基本環(huán)節(jié)，在很大程度上影響著實驗課的教學(xué)目標(biāo)能否順利實現(xiàn)。因此，結(jié)合網(wǎng)絡(luò)攻防技術(shù)課程實驗課的教學(xué)特點，我院對本課程實驗教學(xué)方法進行了積極的探索和改革。

(1) 規(guī)范操作流程。實驗之前，要求學(xué)生撰寫并提交以明確實驗?zāi)康?、實驗任?wù)、分析或預(yù)測可能困難為目標(biāo)的預(yù)習(xí)報告；實驗過程中，應(yīng)按規(guī)定操作，并遵守實驗室各項規(guī)章制度；實驗完成后，應(yīng)及時提交實驗報告、實驗心得以及經(jīng)驗總結(jié)等相應(yīng)資料。

(2) 改革教學(xué)模式。減少演示性實驗內(nèi)容，增加技能性、設(shè)計性和綜合性實踐教學(xué)內(nèi)容；在教學(xué)過程中，結(jié)合流行的新網(wǎng)絡(luò)技術(shù)講解，激發(fā)學(xué)生學(xué)習(xí)的積極性，在實驗課中使學(xué)生由被動受教育轉(zhuǎn)為積極主動受教育。

(3) 改革教學(xué)方式。減少教師手把手的教學(xué)方式，指導(dǎo)和啟發(fā)學(xué)生分析、解決問題，盡可能地讓學(xué)生通過自己查找資料、相互討論，解決實踐過程中遇到的問題。

(4) 激發(fā)學(xué)生的創(chuàng)造性思維。鼓勵學(xué)生對同一個實際問題從不同角度來思考，并提出不同的解決方案。教師在規(guī)定問題求解的大范圍前提下，可讓學(xué)生自行完成方案設(shè)計和實驗操作，充分挖掘?qū)W生的創(chuàng)新性、靈活性等，并讓優(yōu)秀方案設(shè)計者談?wù)勂湓O(shè)計思路、心得體會，促進學(xué)生間的相互交流，營造濃厚的學(xué)習(xí)氛圍。

(5) 培養(yǎng)學(xué)生查找和搜索專業(yè)資料的能力。教師可以在實驗課的不同階段，布置一些與本階段學(xué)習(xí)相關(guān)的最前沿的主題，讓學(xué)生自己去查找，并進行相互之間的交流，這不僅僅可以開闊學(xué)生的知識視野，也為最后階段的綜合網(wǎng)絡(luò)實踐順利完成提供了文獻查閱方面的保障。

(6) 鼓勵學(xué)生深入實驗。在完成規(guī)定的教學(xué)內(nèi)容外，安排一些更具有實用性、工程性特點的實驗內(nèi)容，加強對學(xué)生動手能力的訓(xùn)練。

3結(jié)束語

隨著計算機業(yè)的發(fā)展，網(wǎng)絡(luò)環(huán)境下的實驗在不斷更新，實驗內(nèi)容也必須隨之而更新，這對于提高實驗教學(xué)質(zhì)量有著重要作用，因此改革之路仍然漫長，我們?nèi)孕璨粩嗵剿鳌?/p>

篇3

會議擬請公安、工業(yè)和信息化、國家保密、國家密碼管理主管部門、中國科學(xué)院、國家網(wǎng)絡(luò)與信息安全信息通報中心等部門擔(dān)任指導(dǎo)單位，同時將出版論文集，經(jīng)專家評選的部分優(yōu)秀論文，將推薦至國家核心期刊發(fā)表?，F(xiàn)就會議征文的有關(guān)情況通知如下：

一、征文范圍

1. 新技術(shù)應(yīng)用環(huán)境下信息安全等級保護技術(shù)：物聯(lián)網(wǎng)、云計算、大數(shù)據(jù)、工控系統(tǒng)、移動接入網(wǎng)、下一代互聯(lián)網(wǎng)（IPv6）等新技術(shù)、環(huán)境下的等級保護支撐技術(shù)，等級保護技術(shù)體系在新環(huán)境下的應(yīng)用方法；

2. 關(guān)鍵基礎(chǔ)設(shè)施信息安全保護技術(shù)：政府部門及金融、交通、電力、能源、通信、制造等重要行業(yè)網(wǎng)站、核心業(yè)務(wù)信息系統(tǒng)等安全威脅、隱患分析及防范措施；

3. 國內(nèi)外信息安全管理政策與策略：信息安全管理政策和策略研究，信息安全管理體制和機制特點，信息安全管理標(biāo)準(zhǔn)發(fā)展對策，網(wǎng)絡(luò)恐怖的特點、趨勢、危害研究；

4. 信息安全預(yù)警與突發(fā)事件應(yīng)急處置技術(shù)：攻擊監(jiān)測技術(shù)，態(tài)勢感知預(yù)警技術(shù)，安全監(jiān)測技術(shù)，安全事件響應(yīng)技術(shù)，應(yīng)急處置技術(shù)，災(zāi)難備份技術(shù)，恢復(fù)和跟蹤技術(shù)，風(fēng)險評估技術(shù)；

5. 信息安全等級保護建設(shè)技術(shù)：密碼技術(shù)，可信計算技術(shù)，網(wǎng)絡(luò)實名制等體系模型與構(gòu)建技術(shù)，漏洞檢測技術(shù)，網(wǎng)絡(luò)監(jiān)測與監(jiān)管技術(shù)，網(wǎng)絡(luò)身份認證技術(shù)，網(wǎng)絡(luò)攻防技術(shù)，軟件安全技術(shù)，信任體系研究；

6. 信息安全等級保護監(jiān)管技術(shù)：用于支撐安全監(jiān)測的數(shù)據(jù)采集、挖掘與分析技術(shù)，用于支撐安全監(jiān)管的敏感數(shù)據(jù)發(fā)現(xiàn)與保護技術(shù)，安全態(tài)勢評估技術(shù)，安全事件關(guān)聯(lián)分析技術(shù)、安全績效評估技術(shù)，電子數(shù)據(jù)取證和鑒定技術(shù)；

7. 信息安全等級保護測評技術(shù)：標(biāo)準(zhǔn)符合性檢驗技術(shù)，安全基準(zhǔn)驗證技術(shù)，源代碼安全分析技術(shù)，逆向工程剖析技術(shù)，滲透測試技術(shù)，測評工具和測評方法；

8. 信息安全等級保護策略與機制：網(wǎng)絡(luò)安全綜合防控體系建設(shè)，重要信息系統(tǒng)的安全威脅與脆弱性分析，縱深防御策略，大數(shù)據(jù)安全保護策略，信息安全保障工作評價機制、應(yīng)急響應(yīng)機制、安全監(jiān)測預(yù)警機制。

二、投稿要求

1. 來稿內(nèi)容應(yīng)屬于作者的科研成果，數(shù)據(jù)真實、可靠，未公開發(fā)表過，引用他人成果已注明出處，署名無爭議，論文摘要及全文不涉及保密內(nèi)容；

2. 會議只接受以Word排版的電子稿件，稿件一般不超過5000字；

3. 稿件以Email方式發(fā)送到征稿郵箱；

4. 凡投稿文章被錄用且未作特殊聲明者，視為已同意授權(quán)出版；

5. 提交截止日期： 2014年5月25日。

三、聯(lián)系方式

通信地址：北京市海淀區(qū)首都體育館南路1號

郵編：100048

Email：.cn

聯(lián)系人： 范博、王晨

聯(lián)系電話：010-68773930，

13717905088，13581879819

篇4

新戰(zhàn)略對我國網(wǎng)絡(luò)空間安全的主要威脅與挑戰(zhàn)

美國是世界信息技術(shù)革命的“領(lǐng)跑者”。近來，美國在網(wǎng)絡(luò)空間不斷取得新的突破對我國網(wǎng)絡(luò)空間安全帶來嚴峻威脅與挑戰(zhàn)。

第一，美國從“全面防御”到“營造威懾態(tài)勢”對我國網(wǎng)絡(luò)空間安全和社會穩(wěn)定帶來巨大沖擊。

美國新版網(wǎng)絡(luò)戰(zhàn)略與前幾屆政府的網(wǎng)絡(luò)戰(zhàn)略重心形成了鮮明對比。一是把營造威懾態(tài)勢作為美網(wǎng)絡(luò)戰(zhàn)略的關(guān)鍵目標(biāo)。奧巴馬執(zhí)政后，美國將威懾作為網(wǎng)絡(luò)戰(zhàn)略的關(guān)鍵部分。未來10年，美軍將不再僅僅是打造防火墻，而是要明確告訴敵對分子，他們要為自己的網(wǎng)絡(luò)攻擊行為付出代價。新戰(zhàn)略列出了美認為在網(wǎng)絡(luò)安全面臨最大威脅的對手――俄羅斯、中國、伊朗和朝鮮。二是全面提升網(wǎng)絡(luò)戰(zhàn)略威懾能力。新戰(zhàn)略聲稱，為阻止網(wǎng)絡(luò)攻擊，必須在網(wǎng)絡(luò)惡意行為發(fā)生前威懾此類行為。為有效實施威懾戰(zhàn)略，美將重點打造三種能力：通過政策宣示展現(xiàn)反擊的態(tài)度；形成強大的防御能力，保護國防部和整個國家免受復(fù)雜網(wǎng)絡(luò)攻擊，實現(xiàn)“拒止”威懾；提高網(wǎng)絡(luò)系統(tǒng)的恢復(fù)能力，確保遭受攻擊后能繼續(xù)運轉(zhuǎn)，降低對手網(wǎng)絡(luò)攻擊的成功幾率。三是美新戰(zhàn)略對我國網(wǎng)絡(luò)空間安全和社會穩(wěn)定帶來巨大沖擊。目前，美憑借在網(wǎng)絡(luò)空間追求一種遠超對手能力甚至遠超盟友能力的“絕對優(yōu)勢”，企圖通過掌控網(wǎng)絡(luò)空間“單方面自由和透明”，達到遏制威懾對手、顛覆我國政權(quán)目的。

第二，美國從“主動防御”到塑造“進攻性網(wǎng)絡(luò)作戰(zhàn)能力”對我網(wǎng)絡(luò)空間和作戰(zhàn)能力提升帶來嚴峻挑戰(zhàn)。美新版網(wǎng)絡(luò)戰(zhàn)略突出的“進攻能力”與過去的“主動防御”相比更顯戰(zhàn)略透明。一是新戰(zhàn)略首次將網(wǎng)絡(luò)戰(zhàn)列為戰(zhàn)術(shù)選項；二是美國必須擁有多種網(wǎng)絡(luò)進攻能力和手段；三是明確總統(tǒng)或國防部長開展網(wǎng)絡(luò)行動的指揮權(quán)；四是美對我國網(wǎng)絡(luò)空間和作戰(zhàn)能力提升帶來嚴峻挑戰(zhàn)。

第三，美國從“國際伙伴關(guān)系倡議”到“國際網(wǎng)絡(luò)同盟控制世界”對我網(wǎng)絡(luò)空間國家利益形成嚴重擠壓。

美國在《網(wǎng)絡(luò)政策評估報告》中提出“加強與國際伙伴關(guān)系”倡議，并持續(xù)發(fā)力，拉攏傳統(tǒng)盟國打造國際網(wǎng)絡(luò)同盟。一是在歐洲利用北約“借尸還魂”。美先后主導(dǎo)北約新版“網(wǎng)絡(luò)防御政策”、召開網(wǎng)絡(luò)安全國防部長會議，頻繁舉行“網(wǎng)絡(luò)聯(lián)盟”“鎖定盾牌”“堅定爵士”等演習(xí)。二是在亞太玩弄網(wǎng)絡(luò)空間的“亞太再平衡”。美國于2011年與澳大利亞達成協(xié)議，在雙邊共同防御條約中納入網(wǎng)絡(luò)安全方面的內(nèi)容；2013年與日本舉行首次網(wǎng)絡(luò)安全綜合對話，就共享網(wǎng)絡(luò)威脅情報、開展網(wǎng)絡(luò)培訓(xùn)等達成共識。今年在“山櫻”聯(lián)合演習(xí)中首次演練網(wǎng)絡(luò)戰(zhàn)課目，兩國還宣稱，將在新版《美日防衛(wèi)合作指針》中加入網(wǎng)絡(luò)安全合作內(nèi)容。美國還將在關(guān)鍵地區(qū)“優(yōu)先”合作對象，建立強大的同盟體系和伙伴關(guān)系。三是美企圖重構(gòu)虛擬世界國際秩序，擠壓我國網(wǎng)絡(luò)空間國家利益。美國認為，在現(xiàn)代安全局勢下，聯(lián)盟作戰(zhàn)是政治上最易被接受、經(jīng)濟上最可持續(xù)的方法。新版戰(zhàn)略的出臺，意味著美國將在打造國際網(wǎng)絡(luò)同盟的問題上尋找更多著力點。

應(yīng)對新戰(zhàn)略威脅的體系能力構(gòu)建策略

網(wǎng)絡(luò)空間安全威脅不是危言聳聽，我們應(yīng)遵循網(wǎng)絡(luò)空間的特點規(guī)律，從國家安全戰(zhàn)略高度，優(yōu)化戰(zhàn)略領(lǐng)導(dǎo)機構(gòu)，重塑新質(zhì)力量體系，確立攻勢行動戰(zhàn)略，開展國際合作與斗爭。

第一，網(wǎng)絡(luò)空間的復(fù)雜屬性，決定我國網(wǎng)絡(luò)空間安全必須加快“重塑體系”，建立我國軍警民戰(zhàn)略應(yīng)急指揮機構(gòu)。

網(wǎng)絡(luò)空間信息依托網(wǎng)絡(luò)和電磁信號的傳遞無形無聲、瞬間同步，形成實體層和虛擬層相互貫通，多域融合的復(fù)雜虛擬空間。這一復(fù)雜特性決定了重塑網(wǎng)絡(luò)空間力量體系，應(yīng)遵循網(wǎng)絡(luò)空間系統(tǒng)的共性規(guī)律，按照“明確定位、找準(zhǔn)問題、體系構(gòu)建、整體推進”的思想，重塑新常態(tài)下中國特色的網(wǎng)絡(luò)空間力量體系。一是組建國家層次的網(wǎng)絡(luò)空間戰(zhàn)略指揮機構(gòu)。著眼適應(yīng)國家網(wǎng)絡(luò)空間安全管控的需求，組建國家層次的網(wǎng)絡(luò)空間戰(zhàn)略指揮機構(gòu)，整合網(wǎng)絡(luò)空間力量體系，負責(zé)網(wǎng)絡(luò)空間應(yīng)急行動的力量動員和組織指揮，充分發(fā)揮在關(guān)鍵時刻、關(guān)鍵問題、關(guān)鍵行動上的戰(zhàn)略指揮優(yōu)勢。二是確立軍警民協(xié)調(diào)機制。著眼國家網(wǎng)絡(luò)空間安全大局需要，健全跨領(lǐng)域跨部門的合作與協(xié)調(diào)制度，明確職責(zé)任務(wù)，制定應(yīng)急預(yù)案，確保有效應(yīng)對網(wǎng)絡(luò)空間安全突發(fā)事件，最大限度地發(fā)揮國家整體合力優(yōu)勢。三是建立國家網(wǎng)絡(luò)空間安全管控常態(tài)化運行制度。根據(jù)我國網(wǎng)絡(luò)空間安全管控平戰(zhàn)一體、軍民一體、聯(lián)合制勝的要求，建立情報搜集、信息共享、動態(tài)感知、聯(lián)合反制的運行機制，保持常態(tài)化運行，確保隨時應(yīng)對各種網(wǎng)絡(luò)空間安全的突發(fā)事件。

第二，網(wǎng)絡(luò)空間攻防的分離性，決定了我國網(wǎng)絡(luò)空間安全必須堅持“攻勢戰(zhàn)略”，將攻勢行動作為奪取主動權(quán)的重要方式。

面對網(wǎng)絡(luò)空間安全的威脅與挑戰(zhàn)，一是積極貫徹攻勢戰(zhàn)略的思想。我國應(yīng)立足國家實際，突出網(wǎng)絡(luò)空間攻防中的攻勢行動，扭轉(zhuǎn)敵攻我守、敵進我弱的戰(zhàn)略態(tài)勢，打好網(wǎng)絡(luò)空間安全的主動仗。二是堅持網(wǎng)絡(luò)空間攻勢管控行動。網(wǎng)絡(luò)空間作戰(zhàn)能夠以非對稱信息迅速顛覆實體空間的客觀現(xiàn)實，改變戰(zhàn)爭進程和格局。網(wǎng)絡(luò)空間攻勢行動應(yīng)突出應(yīng)對危機的主動性、靈活性和攻防行動的整體性。三是爭奪網(wǎng)絡(luò)空間技術(shù)自主創(chuàng)新主動權(quán)。著力提高核心信息技術(shù)的研發(fā)能力，堅持把核心信息技術(shù)研發(fā)作為國家科技創(chuàng)新發(fā)展的重大項目。制定滿足新型網(wǎng)絡(luò)空間安全管控技術(shù)標(biāo)準(zhǔn)，用足后發(fā)優(yōu)勢實現(xiàn)跨越式發(fā)展。建立自主創(chuàng)新“孵化”基地，加快創(chuàng)新成果的產(chǎn)品轉(zhuǎn)化。

第三，網(wǎng)絡(luò)戰(zhàn)爭“制勝機理”的特殊屬性，決定我國必須將網(wǎng)絡(luò)空間作戰(zhàn)作為“新質(zhì)作戰(zhàn)力量”重點發(fā)展。

信息技術(shù)正以驚人的速度向各領(lǐng)域滲透，網(wǎng)絡(luò)空間正以超乎想象的速度在全球擴張，成為影響社會穩(wěn)定、國家安全、軍事經(jīng)濟發(fā)展和文化傳播的第五維國家安全空間。一是網(wǎng)絡(luò)空間戰(zhàn)爭“制勝機理”改寫戰(zhàn)場規(guī)則。未來戰(zhàn)爭形態(tài)已發(fā)生了深刻變化，網(wǎng)絡(luò)空間戰(zhàn)爭的制勝機理顛覆了傳統(tǒng)戰(zhàn)爭的作戰(zhàn)方式。未來網(wǎng)絡(luò)空間作戰(zhàn)將按照實時感知、靈敏響應(yīng)、毀源斷鏈、聯(lián)合制勝的“制勝機理”刷新戰(zhàn)場規(guī)則。二是網(wǎng)絡(luò)空間力量成長為一種新質(zhì)作戰(zhàn)力量。信息時代的戰(zhàn)爭，以網(wǎng)絡(luò)為中心，依靠信息力制勝，打“網(wǎng)絡(luò)戰(zhàn)+火力戰(zhàn)”。未來網(wǎng)絡(luò)空間作戰(zhàn)力量是指“相互依賴的信息技術(shù)基礎(chǔ)設(shè)施網(wǎng)，包括互聯(lián)網(wǎng)、電信網(wǎng)、計算機系統(tǒng)以及重要行業(yè)的嵌入式處理器和控制器”。這些網(wǎng)絡(luò)空間作戰(zhàn)力量逐漸從支援保障力量向核心作戰(zhàn)力量遷移，成為一種新質(zhì)作戰(zhàn)力量。三是重點發(fā)展網(wǎng)絡(luò)空間新質(zhì)作戰(zhàn)力量。近年來，美國高調(diào)宣布成立網(wǎng)絡(luò)司令部。新戰(zhàn)略中，美國防部長卡特還在硅谷聯(lián)絡(luò)高科技企業(yè)和專家，保證美國軍方擁有尖端網(wǎng)絡(luò)技術(shù)。美國還成立了一個由現(xiàn)役軍人、平民和預(yù)備役軍人組成的全日制機構(gòu)，專門網(wǎng)羅可用于情報工作的創(chuàng)新技術(shù)。目前我國還沒有形成完整的網(wǎng)絡(luò)空間作戰(zhàn)力量體系，缺少既會網(wǎng)絡(luò)技術(shù)又懂作戰(zhàn)指揮的高端人才，加強網(wǎng)絡(luò)空間作戰(zhàn)力量建設(shè)勢在必行。

篇5

【 關(guān)鍵詞 】 高級隱遁技術(shù)；高級持續(xù)性攻擊；檢測方法

China’s Situation of Protection Techniques against Special Network Attacks

Xu Jin-wei

（The Chinese PLA Zongcan a Research Institute Beijing 100091）

【 Abstract 】 By the end of 2013，the author visited more than ten domestic well-known information security companies to make a special investigation and research on the focused “APT” attack issue. During the visit， the author made deeply exchange and discussion with the first-line professional research and management personnel and gained much knowledge. This article mainly introduces the present situation of protect technology construction by some of domestic information security companies against network attacks， as an inspiration to the colleagues？and units in the information security industry.

【 Keywords 】 advanced evasion techniques； advanced persistent threat； detection methods

1 引言

2010年發(fā)生的“震網(wǎng)”病毒對伊朗布什爾核電站離心機的攻擊和2013年的“斯諾登”事件，標(biāo)志著信息安全進入了一個全新的時代：新型攻擊者（國家組織的專業(yè)團隊），采用全新的方式（APT[注1]）攻擊國家的重要基礎(chǔ)設(shè)施。

APT攻擊因其采用了各種組合隱遁技術(shù)，具有極強的隱蔽攻擊能力，傳統(tǒng)的依賴攻擊特征庫比對模式的IDS/IPS無法檢測到它的存在，APT攻擊得手后并不馬上進行破壞的特性更是難以發(fā)覺。它甚至能在重要基礎(chǔ)網(wǎng)絡(luò)中自由進出長時間潛伏進行偵察活動，一旦時機成熟即可通過在正常網(wǎng)絡(luò)通道中構(gòu)筑的隱蔽通道盜取機密資料或進行目標(biāo)破壞活動，APT的出現(xiàn)給網(wǎng)絡(luò)安全帶來了極大危害。目前在西方先進國家，APT攻擊已經(jīng)成為國家網(wǎng)絡(luò)安全防御戰(zhàn)略的重要環(huán)節(jié)。例如，美國國防部的High Level網(wǎng)絡(luò)作戰(zhàn)原則中，明確指出針對APT攻擊行為的檢測與防御是整個風(fēng)險管理鏈條中至關(guān)重要也是最基礎(chǔ)的組成部分。

從資料中得知，國外有些著名的信息安全廠商和研究機構(gòu)，例如美國電信公司Verizon Business的ICSA實驗室，芬蘭的Stonesoft公司幾年前就開展了高級隱遁技術(shù)的研究；2013年美國的網(wǎng)絡(luò)安全公司FireEye（FEYE）受到市場追捧，因為FireEye能夠解決兩大真正的安全難題――能夠阻止那種許多公司此前無法阻止的網(wǎng)絡(luò)攻擊，即所謂的“零天（Zeroday）”攻擊和“高級持續(xù)性威脅（APT）”。零天攻擊是指利用軟件廠商還未發(fā)現(xiàn)的軟件漏洞來發(fā)動網(wǎng)絡(luò)攻擊，也就是說，黑客在發(fā)現(xiàn)漏洞的當(dāng)天就發(fā)動攻擊，而不會有延遲到后幾天再發(fā)動攻擊，軟件廠商甚至都來不及修復(fù)這些漏洞。高級持續(xù)性威脅則是由那些想進入特殊網(wǎng)絡(luò)的黑客所發(fā)動的一系列攻擊。FireEye的安全應(yīng)用整合了硬件和軟件功能，可實時通過在一個保護區(qū)來運行可疑代碼或打開可疑電子郵件的方式來查看這些可疑代碼或可疑電子郵件的行為，進而發(fā)現(xiàn)黑客的攻擊行為。

APT攻擊的方式和危害后果引起了我國信息安全管理機構(gòu)和信息安全專業(yè)檢測及應(yīng)急支援隊伍的高度重視。國家發(fā)改委在關(guān)于組織實施2013年信息安全專項通知中的 “信息安全產(chǎn)品產(chǎn)業(yè)化”項目中，首次明確指明“高級可持續(xù)威脅（APT）安全監(jiān)測產(chǎn)品”是支持重點產(chǎn)品之一。我國的眾多信息安全廠商到底有沒有掌握檢測和防護APT的技術(shù)手段？2013年底，帶著這個疑問專門走訪了幾家對此有研究和技術(shù)積累的公司，聽取了他們近年來在研究防護APT攻擊方面所取得的成果介紹，并與技術(shù)人員進行了技術(shù)交流。

2 高級隱遁技術(shù)（AET[注2]）

根據(jù)IMB X-force小組針對2011年典型攻擊情況的采樣分析調(diào)查，如圖1所示可以看出，有許多的攻擊是未知（Unknown）原因的攻擊。Gartner《Defining Next-Generation Network Intrusion Prevention》文章中也明確提出了利用先進技術(shù)逃避網(wǎng)絡(luò)安全設(shè)備檢查的事件越來越多。同時，NSS Lab最新的IPS測試標(biāo)準(zhǔn)《NSS Labs ips group 滲透測試工具t methodology v6.2》，已經(jīng)把layered evasion（也就是AET）作為必須的測試項。

結(jié)合近年情況，各國基礎(chǔ)網(wǎng)絡(luò)和重要信息系統(tǒng)所面臨的最新和最大的信息安全問題，即APT攻擊，我們相信高級隱遁技術(shù)有可能已經(jīng)在APT中被黑客廣泛采用。

目前，各企事業(yè)單位為了應(yīng)對網(wǎng)絡(luò)外部攻擊威脅，均在網(wǎng)絡(luò)邊界部署了入侵檢測系統(tǒng)（簡稱IDS）和入侵防御系統(tǒng)（簡稱IPS），這些措施確實有效地保護了企業(yè)內(nèi)部網(wǎng)絡(luò)的安全。黑客們?yōu)榱嗽噲D逃避IPS這類系統(tǒng)的檢測，使用了大量的逃避技術(shù)。近年來，國外信息安全機構(gòu)發(fā)現(xiàn)了一套新型逃避技術(shù)，即將以前的逃避技術(shù)進行各種新的組合，以增加IPS對入侵檢測的難度。這些新型逃避技術(shù)，我們稱之為高級隱遁技術(shù)（AET）。AET可利用協(xié)議的弱點以及網(wǎng)絡(luò)通信的隨意性，從而使逃避技術(shù)的數(shù)量呈指數(shù)級增長，這些技術(shù)的出現(xiàn)對信息安全而言無疑是個新的挑戰(zhàn)。

使用畸形報頭和數(shù)據(jù)流以及迷惑性代碼調(diào)用的AET攻擊的原理：包含AET攻擊代碼的非常規(guī)IP數(shù)據(jù)流首先躲避過IDS/IPS的檢測，悄悄滲透到企業(yè)網(wǎng)中；之后，這些數(shù)據(jù)流被用規(guī)范方式重新組裝成包并被發(fā)送至目標(biāo)終端上。以上過程看似正常，但這樣的IP包經(jīng)目標(biāo)終端翻譯后，則會形成一個可攻擊終端系統(tǒng)的漏洞利用程序，從而給企業(yè)的信息資源造成大規(guī)模破壞，只留下少量或根本不會留下任何審計數(shù)據(jù)痕跡，這類攻擊就是所謂的隱遁攻擊。

2.1 常見的高級隱遁技術(shù)攻擊方法

常見的高級隱遁技術(shù)攻擊方法有字符串混淆、加密和隧道、碎片技術(shù)和協(xié)議的違規(guī)。這些僅列舉了TCP協(xié)議某層的幾種隱遁攻擊的技術(shù)，實際上高級隱遁技術(shù)千變?nèi)f化，種類疊加后更是天文數(shù)字。

2.2 高級隱遁技術(shù)的測試

為了研究AET的特點，研發(fā)AET檢測、防護工具，國內(nèi)有必要搭建自己的高級隱遁監(jiān)測審計平臺來對現(xiàn)有的網(wǎng)絡(luò)安全設(shè)備進行測試和分析，并根據(jù)檢測結(jié)果來改進或重新部署現(xiàn)有網(wǎng)絡(luò)中的網(wǎng)絡(luò)安全設(shè)備。

國內(nèi)某信息安全公司最近研制成功一款專門針對高級隱遁技術(shù)測試的工具CNGate-TES。CNGate-TES有針對CVE-2008-4250/CVE-2004-1315/CVE-2012-0002漏洞的各種組合、疊加隱遁模擬的測試工具，從IP、TCP、NetBios、SMB、MSRPC、HTTP等各層都有自己相應(yīng)的隱遁技術(shù)。各個層之間的隱遁可以互相疊加組合，同一層內(nèi)的隱遁技術(shù)也可以互相疊加組合。

測試的目的是檢驗網(wǎng)絡(luò)中的IDS/IPS是否具備檢測和防護AET的能力。

CNGate-TES測試環(huán)境部署如圖2所示。

3 下一代威脅與 APT

下一代威脅主要是指攻擊者采取了現(xiàn)有檢測體系難以檢測的方式（未知漏洞利用、已知漏洞變形、特種木馬等），組合各種其他手段（社會工程、釣魚、供應(yīng)鏈植入等），有針對性地對目標(biāo)發(fā)起的攻擊。這種攻擊模式能有效穿透大多數(shù)公司的內(nèi)網(wǎng)防御體系，攻擊者成功控制了內(nèi)網(wǎng)主機之后，再進行內(nèi)部滲透或收集信息。

對信息系統(tǒng)的下一代威脅和特征有幾點。

0DAY漏洞威脅：0DAY漏洞由于系統(tǒng)還未修補，而大多數(shù)用戶、廠商也不知道漏洞的存在，因此是攻擊者入侵系統(tǒng)的利器。也有很多利用已修復(fù)的漏洞，但由于補丁修復(fù)不普遍（如第三方軟件），通過變形繞過現(xiàn)有基于簽名的檢測體系而發(fā)起攻擊的案例。

多態(tài)病毒木馬威脅：已有病毒木馬通過修改變形就可以形成一個新的未知的病毒和木馬，而惡意代碼開發(fā)者也還在不斷開發(fā)新的功能更強大的病毒和木馬，他們可以繞過現(xiàn)有基于簽名的檢測體系發(fā)起攻擊。

混合性威脅：攻擊者混合多種路徑、手段和目標(biāo)來發(fā)起攻擊，如果防御體系中存在著一個薄弱點就會被攻破，而現(xiàn)有安全防御體系之間缺乏關(guān)聯(lián)而是獨立防御，即使一個路徑上檢測到威脅也無法將信息共享給其他的檢測路徑。

定向攻擊威脅：攻擊者發(fā)起針對具體目標(biāo)的攻擊，大多數(shù)情況下是從郵件、IM、SNS發(fā)起，因為這些系統(tǒng)賬戶背后標(biāo)記的都是一個真實固定的人，而定向到人與他周邊的關(guān)系，是可以在和攻擊者目標(biāo)相關(guān)的人與系統(tǒng)建立一個路徑關(guān)系。定向攻擊如果是小范圍發(fā)起，并和多種滲透手段組合起來，就是一種APT攻擊，不過定向攻擊也有大范圍發(fā)起的，這種情況下攻擊者出于成本和曝光風(fēng)險考慮，攻擊者往往使用已知的安全漏洞來大規(guī)模發(fā)起，用于撒網(wǎng)和撈魚（攻擊一大片潛在受害者，再從成功攻擊中查找有價值目標(biāo)或作為APT攻擊的滲透路徑點）。

高級持續(xù)性威脅： APT是以上各種手段（甚至包括傳統(tǒng)間諜等非IT技術(shù)手段）的組合，是威脅中最可怕的威脅。APT是由黑客團隊精心策劃，為了達成即定的目標(biāo)，長期持續(xù)的攻擊行為。攻擊者一旦攻入系統(tǒng)，會長期持續(xù)的控制、竊取系統(tǒng)信息，關(guān)鍵時也可能大范圍破壞系統(tǒng)，會給受害者帶來重大的損失（但受害者可能渾然不知）。APT攻擊，其實是一種網(wǎng)絡(luò)情報、間諜和軍事行為。很多時候，APT都具有國家和有政治目的組織的背景，但為了商業(yè)、知識產(chǎn)權(quán)和經(jīng)濟目的的APT攻擊，也不少見。

3.1 APT攻擊過程和技術(shù)手段

APT攻擊可以分為大的三個環(huán)節(jié)，每個環(huán)節(jié)具體的工作內(nèi)容，如圖3所示。

在攻擊前奏環(huán)節(jié)，攻擊者主要是做入侵前的準(zhǔn)備工作。主要是收集信息：了解被攻擊目標(biāo)的IT環(huán)境、保護體系、人際關(guān)系、可能的重要資產(chǎn)等信息，用于指導(dǎo)制定入侵方案，開發(fā)特定的攻擊工具。在收集信息時，攻擊者可以利用多種方式來收集信息，主要有網(wǎng)絡(luò)公開信息收集、釣魚收集、人肉搜集、嗅探、掃描等，信息收集是貫穿全攻擊生命周期的，攻擊者在攻擊計劃中每獲得一個新的控制點，就能掌握更多的信息，指導(dǎo)后續(xù)的攻擊。

技術(shù)準(zhǔn)備：根據(jù)獲取的信息，攻擊者做相應(yīng)的技術(shù)準(zhǔn)備，主要有入侵路徑設(shè)計并選定初始目標(biāo)，尋找漏洞和可利用代碼及木馬（漏洞、利用代碼和木馬，我們統(tǒng)稱為攻擊負載），選擇控制服務(wù)器和跳板。

周邊滲透準(zhǔn)備：入侵實際攻擊目標(biāo)可信的外部用戶主機、外部用戶的各種系統(tǒng)賬戶、外部服務(wù)器、外部基礎(chǔ)設(shè)施等。

在入侵實施環(huán)節(jié)，攻擊者針對實際的攻擊目標(biāo)，展開攻擊；主要內(nèi)容有攻擊者利用常規(guī)的手段，將惡意代碼植入到系統(tǒng)中；常見的做法有通過病毒傳播感染目標(biāo)、通過薄弱安全意識和薄弱的安全管理控制目標(biāo)，利用缺陷入侵、漏洞入侵、通過社會工程入侵、通過供應(yīng)鏈植入等。

SHELLCODE執(zhí)行：大多數(shù)情況攻擊者利用漏洞觸發(fā)成功后，攻擊者可以在漏洞觸發(fā)的應(yīng)用母體內(nèi)執(zhí)行一段特定的代碼（由于這段代碼在受信應(yīng)用空間內(nèi)執(zhí)行，很難被檢測），實現(xiàn)提權(quán)并植入木馬。

木馬植入：木馬植入方式有遠程下載植入、綁定文檔植入、綁定程序植入、激活后門和冬眠木馬。

滲透提權(quán)：攻擊者控制了內(nèi)網(wǎng)某個用戶的一臺主機控制權(quán)之后，還需要在內(nèi)部繼續(xù)進行滲透和提權(quán)，最終逐步滲透到目標(biāo)資產(chǎn)存放主機或有特權(quán)訪問攻擊者目標(biāo)資產(chǎn)的主機上，到此攻擊者已經(jīng)成功完成了入侵。

在后續(xù)攻擊環(huán)節(jié)，攻擊者竊取大量的信息資產(chǎn)或進行破壞，同時還在內(nèi)部進行深度的滲透以保證發(fā)現(xiàn)后難以全部清除，主要環(huán)節(jié)有價值信息收集、傳送與控制、等待與破壞；一些破壞性木馬，不需要傳送和控制，就可以進行長期潛伏和等待，并按照事先確定的邏輯條件，觸發(fā)破壞流程，如震網(wǎng)，探測到是伊朗核電站的離心機環(huán)境，就觸發(fā)了修改離心機轉(zhuǎn)速的破壞活動，導(dǎo)致1000臺離心機癱瘓。

深度滲透：攻擊者為了長期控制，保證被受害者發(fā)現(xiàn)后還能復(fù)活，攻擊者會滲透周邊的一些機器，然后植入木馬。

痕跡抹除：為了避免被發(fā)現(xiàn)，攻擊者需要做很多痕跡抹除的工作，主要是銷毀一些日志，躲避一些常規(guī)的檢測手段等。

3.2 APT檢測方法

隨著APT攻擊被各國重視以來，一些國際安全廠商逐步提出了一些新的檢測技術(shù)并用于產(chǎn)品中，并且取得了良好的效果，這些檢測技術(shù)主要有兩種。

虛擬執(zhí)行分析檢測：通過在虛擬機上執(zhí)行檢測對抗，基于運行行為來判定攻擊。這種檢測技術(shù)原理和主動防御類似，但由于不影響用戶使用，可以采用更深更強的防繞過技術(shù)和在虛擬機下層進行檢測。另外，可疑可以由對安全研究更深入的人員進行專業(yè)判定和驗證。國外多家廠商APT檢測的產(chǎn)品主要使用該技術(shù)。

內(nèi)容無簽名算法檢測：針對內(nèi)容深度分析發(fā)現(xiàn)可疑特征，再配合虛擬執(zhí)行分析檢測。該技術(shù)需要對各種內(nèi)容格式進行深入研究，并分析攻擊者負載內(nèi)容的原理性特征。該技術(shù)可以幫助快速過濾檢測樣本，降低虛擬執(zhí)行分析檢測的性能壓力，同時虛擬執(zhí)行分析檢測容易被對抗，而攻擊原理性特征比較難繞過。國外幾個最先進的APT檢測廠商檢測的產(chǎn)品里部分使用了該技術(shù)。

國內(nèi)某公司總結(jié)了近年來對APT攻擊特點的研究和檢測實踐，提出了建立新一代安全檢測體系的設(shè)想。

3.2.1基于攻擊生命周期的縱深檢測體系

從攻擊者發(fā)起的攻擊生命周期角度，可以建立一個縱深檢測體系，覆蓋攻擊者攻擊的主要環(huán)節(jié)。這樣即使一點失效和被攻擊者繞過，也可以在后續(xù)的點進行補充，讓攻擊者很難整體逃逸檢測。

信息收集環(huán)節(jié)的檢測：攻擊者在這個環(huán)節(jié)，會進行掃描、釣魚郵件等類型的刺探活動，這些刺探活動的信息傳遞到受害者網(wǎng)絡(luò)環(huán)境中，因此可以去識別這類的行為來發(fā)現(xiàn)攻擊準(zhǔn)備。

入侵實施環(huán)節(jié)的檢測：攻擊者在這個環(huán)節(jié)，會有基于漏洞利用的載體、木馬病毒的載體傳遞到受害者網(wǎng)絡(luò)環(huán)境中，因此可以去識別這類的行為和載體來發(fā)現(xiàn)攻擊發(fā)起。

木馬植入環(huán)節(jié)：攻擊者在這個環(huán)節(jié)，會釋放木馬并突破防御體系植入木馬。因此可以去識別這類的行為來發(fā)現(xiàn)入侵和入侵成功。

控制竊取與滲透環(huán)節(jié)：攻擊者在這個環(huán)節(jié)，會收集敏感信息，傳遞敏感信息出去，與控制服務(wù)器通訊，在本地滲透等行為。因此可以去識別已經(jīng)受害的主機和潛在被攻擊的主機。

3.2.2基于信息來源的多覆蓋檢測

從攻擊者可能采用的攻擊路徑的角度，可以建立一個覆蓋廣泛的檢測體系，覆蓋攻擊者攻擊的主要路徑。這樣避免存在很大的空區(qū)讓攻擊者繞過，同時增加信息的來源度進行檢測。

從攻擊載體角度覆蓋：攻擊者發(fā)起攻擊的內(nèi)容載體主要包括：數(shù)據(jù)文件、可執(zhí)行文件、URL、HTML、數(shù)據(jù)報文等，主要發(fā)起來源的載體包括郵件、HTTP流量和下載、IM通訊、FTP下載、P2P通訊。

雙向流量覆蓋：攻擊者在信息收集環(huán)節(jié)、入侵實施環(huán)節(jié)主要是外部進入內(nèi)部的流量。但在木馬植入環(huán)節(jié)、控制竊取與滲透環(huán)節(jié)，則包含了雙向的流量。對內(nèi)部到外部的流量的檢測，可以發(fā)現(xiàn)入侵成功信息和潛在可疑已被入侵的主機等信息。

從攻擊類型角度覆蓋：覆蓋主要的可以到達企業(yè)內(nèi)容的攻擊類型，包括但不限于基于數(shù)據(jù)文件應(yīng)用的漏洞利用攻擊、基于瀏覽器應(yīng)用的漏洞利用攻擊、基于系統(tǒng)邏輯的漏洞利用攻擊、基于XSS、CSRF的漏洞利用攻擊、進行信息收集的惡意程序的竊取、掃描、嗅探等。

從信息來源角度覆蓋：主要覆蓋網(wǎng)絡(luò)流來收集流量，但是考慮到加密流量、移動介質(zhì)帶入的攻擊等方式，還需要補充客戶端檢測機制。同時為了發(fā)現(xiàn)更多的可疑點，針對主機的日志挖掘，也是一個非常重要的信息補充。

3.2.3基于攻擊載體的多維度檢測

針對每個具體攻擊載體點的檢測，則需要考慮多維度的深度檢測機制，保證攻擊者難以逃過檢測。

基于簽名的檢測：采用傳統(tǒng)的簽名技術(shù)，可以快速識別一些已知的威脅。

基于深度內(nèi)容的檢測：通過對深度內(nèi)容的分析，發(fā)現(xiàn)可能會導(dǎo)致危害的內(nèi)容，或者與正常內(nèi)容異常的可疑內(nèi)容?；谏疃葍?nèi)容的檢測是一種廣譜但無簽名檢測技術(shù)，讓攻擊者很難逃逸，但是又可以有效篩選樣本，降低后續(xù)其他深度分析的工作量。

基于虛擬行為的檢測：通過在沙箱中，虛擬執(zhí)行漏洞觸發(fā)、木馬執(zhí)行、行為判定的檢測技術(shù)，可以分析和判定相關(guān)威脅。

基于事件關(guān)聯(lián)的檢測：可以從網(wǎng)絡(luò)和主機異常行為事件角度，通過分析異常事件與發(fā)現(xiàn)的可疑內(nèi)容事件的時間關(guān)聯(lián)，輔助判定可疑內(nèi)容事件與異常行為事件的威脅準(zhǔn)確性和關(guān)聯(lián)性。

基于全局數(shù)據(jù)分析的檢測：通過全局收集攻擊樣本并分析，可以獲得攻擊者全局資源的信息，如攻擊者控制服務(wù)器、協(xié)議特征、攻擊發(fā)起方式，這些信息又可以用于對攻擊者的檢測。

對抗處理與檢測：另外需要考慮的就是，攻擊者可以采用的對抗手段有哪些，被動的對抗手段（條件觸發(fā)）可以通過哪些模擬環(huán)境手段仿真，主動的對抗手段（環(huán)境檢測）可以通過哪些方式檢測其對抗行為。

綜上所述，新一代的威脅檢測思想，就是由時間線（攻擊的生命周期）、內(nèi)容線（信息來源覆蓋）、深度線（多維度檢測），構(gòu)成一個立體的網(wǎng)狀檢測體系，攻擊者可能會饒過一個點或一個面的檢測，但想全面地逃避掉檢測，則非常困難。只有逐步實現(xiàn)了以上的檢測體系，才是一個最終完備的可以應(yīng)對下一代威脅（包括APT）的新一代安全檢測體系。

4 結(jié)束語

結(jié)合目前我國防護特種網(wǎng)絡(luò)攻擊技術(shù)現(xiàn)狀，針對AET和APT的防護提出三點建議。

一是國家信息安全主管部門應(yīng)將高級隱遁攻擊和APT技術(shù)研究列入年度信息安全專項，引導(dǎo)國內(nèi)信息安全廠商重點開展針對高級隱遁攻擊和高級持續(xù)性威脅的防御技術(shù)研發(fā)，推動我國具有自主知識產(chǎn)權(quán)的新一代IDS和IPS產(chǎn)品產(chǎn)業(yè)化。

二是有條件的網(wǎng)絡(luò)安全設(shè)備廠商應(yīng)建設(shè)網(wǎng)絡(luò)攻防實驗室，搭建仿真實驗環(huán)境，對網(wǎng)絡(luò)IDS/IPS進行高級隱遁技術(shù)和APT的攻防測試，收集此類攻擊的案例，積累檢測和防御此類攻擊的方法和經(jīng)驗。

三是在業(yè)界成立“防御特種網(wǎng)絡(luò)攻擊”學(xué)術(shù)聯(lián)盟，定期開展學(xué)術(shù)交流并嘗試制定特網(wǎng)攻擊應(yīng)急響應(yīng)的防護技術(shù)要求和檢測標(biāo)準(zhǔn)。

[注1] APT（Advanced Persistent Threat）直譯為高級持續(xù)性威脅。這種威脅的特點：一是具有極強的隱蔽能力和很強的針對性；二是一種長期而復(fù)雜的威脅方式。它通常使用特種攻擊技術(shù)（包括高級隱遁技術(shù)）對目標(biāo)進行長期的、不定期的探測（攻擊）。

[注2] AET（Advanced Evasion Techniques），有的文章譯為高級逃避技術(shù)、高級逃逸技術(shù)，筆者認為譯為高級隱遁技術(shù)比較貼切，即說明采用這種技術(shù)的攻擊不留痕跡，又可躲避IDS、IPS的檢測和阻攔。

參考文獻

[1] 關(guān)于防御高級逃逸技術(shù)攻擊的專題報告.

[2] Mark Boltz、Mika Jalava、Jack Walsh（ICSA實驗室）Stonesoft公司.高級逃逸技術(shù)-避開入侵防御技術(shù)的新方法和新組合 .

[3] 惡意代碼綜合監(jiān)控系統(tǒng)技術(shù)白皮書.國都興業(yè)信息審計系統(tǒng)技術(shù)（北京）有限公司.

[4] 杜躍進.從RSA2012看中國的網(wǎng)絡(luò)安全差距.2012信息安全高級論壇.

[5] 張帥.APT攻擊那些事.金山網(wǎng)絡(luò)企業(yè)安全事業(yè)部.

[6] 徐金偉，徐圣凡.我國信息安全產(chǎn)業(yè)現(xiàn)狀調(diào)研報告.2012.5.

[7] 徐金偉.我國專業(yè)公司網(wǎng)絡(luò)流量監(jiān)控技術(shù)現(xiàn)狀. 2012.6.

[8] 北京科能騰達信息技術(shù)股份有限公司.CNGate-TES測試手冊.

[9] 南京翰海源信息技術(shù)有限公司.星云2技術(shù)白皮書V1.0.

篇6

“數(shù)據(jù)那些事兒”理念很重要

UZER、安全工作空間、數(shù)據(jù)不落地……，一個個新興詞匯蹦入眼簾，對此諧桐科技CTO張之收表示，隨著后移動時代的到來，信息存在的場景以及使用的方式與設(shè)備變得更加多樣化，導(dǎo)致之前的安全防護方式有了很明顯的變化。盡管近些年人們都十分注重企業(yè)數(shù)據(jù)安全方面的投入，但是安全事件依然頻發(fā)，“我們覺得這是非常好的創(chuàng)業(yè)發(fā)展契機，確實想通過自身的不斷努力去實踐一些創(chuàng)新的想法?！睆堉諏Α吨袊畔⒒軋蟆酚浾哒f。

據(jù)筆者了解，UZER安全工作空間與傳統(tǒng)的攻防類安全產(chǎn)品有很大不同，它除了與傳統(tǒng)的安全產(chǎn)品相結(jié)合外，還補足其在移動端方面的不足，是一種“不走尋常路”的創(chuàng)新。產(chǎn)品將視角專注于適應(yīng)越來越復(fù)雜網(wǎng)絡(luò)環(huán)境，尤其是復(fù)雜的WiFi環(huán)境以及BYOD趨勢。張之收認為，依照傳統(tǒng)的攻防形式保障數(shù)據(jù)安全，即使一個企業(yè)部署了防火墻、加密安全產(chǎn)品，架構(gòu)完整的安全體系，仍很難從源頭上有效制止數(shù)據(jù)泄露，諧桐科技的理念恰好相反，遵循“大道至簡”的規(guī)律原則，認為越復(fù)雜的部署反而不利于安全的管控，因此UZER安全工作空間并不做出復(fù)雜的部署，并且提供給運維人員行之有效的便利。

例如在投資銀行的業(yè)務(wù)工作中，公司往往會在相關(guān)人員的便攜設(shè)備上安裝諸多監(jiān)控，當(dāng)負責(zé)人員使用沒有認證過的軟件或者登錄沒有認證過的網(wǎng)址時，系統(tǒng)就會報警，但系統(tǒng)本身對于安全與否的鑒定又不十分準(zhǔn)確，如此看來就會對用戶體驗造成很明顯的困擾。UZER安全工作空間正是從不給用戶使用帶來負擔(dān)，不增加運維人員的安全運維難度的角度出發(fā)，力圖通過最簡單的方式提供安全使用環(huán)境的一款產(chǎn)品。

數(shù)據(jù)不落地 一切在云端

眾所周知，傳統(tǒng)的安全防護是通過防火墻，包括網(wǎng)絡(luò)端防火墻以及應(yīng)用層防火墻來攔截攻擊，而客戶端主要是通過殺毒軟件來避免設(shè)備被黑客控制。概括來講安全環(huán)境就意味著后臺服務(wù)器的安全以及員工設(shè)備的安全，但傳統(tǒng)的邊界式防護，通常無法解決通過移動設(shè)備繞到內(nèi)網(wǎng)中進行破壞的行為。張之收說：“后臺服務(wù)器的安全相對來說可控性較高，但是個人設(shè)備的安全就沒有很大的保證。因為設(shè)備掌握在人的手中，可以被攜帶到任何地點的任何環(huán)境，也可以在其中安裝各種軟件，所以說在用戶的設(shè)備上進行安全防護是十分復(fù)雜的，無論是從安全還是運維抑或其他方面。

傳統(tǒng)的辦公環(huán)境中設(shè)備與人相互綁定，也就是說人的身份得到認證后就代表所使用的設(shè)備安全性同時得到默認，目前的企業(yè)辦公系統(tǒng)還沒有辦法在短時間內(nèi)有效界定設(shè)備是否安全，這就會很容易造成在使用公司數(shù)據(jù)時，由于自身的設(shè)備漏洞造成安全隱患?！睆膯T工使用公司數(shù)據(jù)的一般流程來說，在某個環(huán)境中登錄客戶端或者相關(guān)應(yīng)用，對辦公數(shù)據(jù)進行修改、上傳。但復(fù)雜的網(wǎng)絡(luò)環(huán)境就有可能造成數(shù)據(jù)被篡改、泄露；或被植入一些木馬病毒造成數(shù)據(jù)的感染，當(dāng)用戶上傳被感染的數(shù)據(jù)到服務(wù)器端就會造成一次安全事故。也就是說黑客就可以輕松繞過防火墻、審計以及加密等設(shè)置，達成不良的目的?！懊鎸@種數(shù)據(jù)泄露的方式，我們的產(chǎn)品是將公司的數(shù)據(jù)以及相關(guān)軟件應(yīng)用始終部署在后臺服務(wù)器端，軟件應(yīng)用和數(shù)據(jù)的結(jié)合也是在服務(wù)器端。使用的是應(yīng)用軟件與服務(wù)器端瞬間組合而成的、可供使用的安全的臨時環(huán)境，然后以視頻流的方式推送到用戶終端，用戶看到的畫面其實是一個視頻，而且是經(jīng)過加密的。”張之收補充道。

當(dāng)用戶進行常規(guī)操作時，不需要將數(shù)據(jù)下載到本地，只是本地的鼠標(biāo)鍵盤事件通過一個加密的通道上傳到后臺，后臺的軟件接收到鼠標(biāo)鍵盤事件后進行對應(yīng)的處理，在本地沒有任何數(shù)據(jù)落地，內(nèi)存中也找不到任何數(shù)據(jù)痕跡，加密視頻播放之后也隨之消失于無形?！斑@就在服務(wù)端和客戶端形成了一條隔離帶，讓用戶沒有辦法獲取超越其權(quán)限的數(shù)據(jù)，避免了因為本地設(shè)備受到黑客控制造成的數(shù)據(jù)泄露。”諧桐科技執(zhí)行副總裁陳立言解釋道。

由于應(yīng)用和數(shù)據(jù)始終保存在后臺服務(wù)器上，在數(shù)據(jù)不落地的情況下，保障數(shù)據(jù)安全；而視頻也通過加密傳輸?shù)娇蛻舳?，在傳輸?shù)倪^程中視頻始終呈現(xiàn)加密狀態(tài)，即使在網(wǎng)絡(luò)環(huán)境中被截取，視頻的內(nèi)容也是不可見的，只是一種行為的呈現(xiàn)。

靈活接入、報警留據(jù)

一個不落

所謂“離職季，你的數(shù)據(jù)又丟了多少”，形象生動地展現(xiàn)了數(shù)據(jù)泄露在很大程度上取決于內(nèi)部人員。因為數(shù)據(jù)本身存儲在服務(wù)器中，UZER安全工作空間做到讓員工用戶只是通過設(shè)備去安全查看、修改以及上傳，如果發(fā)現(xiàn)有任何不軌的行為，后臺隨時可以報警，但是這個報警的行為只有用戶在使用安全工作空間時才會觸發(fā)，換句話說，只有進入安全空間后才可能訪問到企業(yè)數(shù)據(jù)，因此員工的個人行為不會受到監(jiān)控，保證員工的隱私不會被侵犯。不同的員工根據(jù)不同的工作內(nèi)容會有不同的權(quán)限，如果存在問題就會被直接鎖定控制，瞬間將風(fēng)險控制到最小，面對嚴重問題后臺還可以留據(jù)，做到做到信息可以追溯，給具體的員工以警示。

“UZER安全工作空間，成功地將公司的應(yīng)用與數(shù)據(jù)以及個人的應(yīng)用與數(shù)據(jù)分離，我們不監(jiān)控員工在個人設(shè)備上購物，看網(wǎng)頁等個人行為，這樣就不會給員工帶來反感和排斥，在不改變用戶習(xí)慣的前提下完成了監(jiān)控。我們無法控制每個員工嚴格按照安全守則的規(guī)則操作個人設(shè)備，也無法避免他們不去點擊那些高度偽裝的釣魚]件。所以我們換了一個思路，從服務(wù)器端解決問題，讓應(yīng)用與數(shù)據(jù)做到真正的不落地，最終解決移動設(shè)備的安全性所帶來的風(fēng)險。”陳立言認為。

篇7

 

0 引言

 

在信息時代里，網(wǎng)絡(luò)化的信息系統(tǒng)已經(jīng)成為國防力量的重要標(biāo)志，軍事活動中，軍事信息的交流行為越來越多，局城網(wǎng)、廣城網(wǎng)等技術(shù)也逐步成為了軍事活動中不可或缺的內(nèi)容，確保網(wǎng)絡(luò)環(huán)境下軍事信息的安全就是一項非常重要任務(wù)。

 

1 網(wǎng)絡(luò)環(huán)境下軍事信息安全面臨的威脅

 

軍事信息安全的主要威脅有：網(wǎng)絡(luò)攻擊、蓄意入侵、計算機病毒等。

 

1.1 計算機病毒

 

現(xiàn)代計算機病毒可以借助文件、郵件、網(wǎng)頁、局域網(wǎng)中的任何一種方式進行傳播，具有自動啟動功能，并且常潛人系統(tǒng)核心與內(nèi)存，利用控制的計算機為平臺，對整個網(wǎng)絡(luò)里面的軍事信息進行大肆攻擊。病毒一旦發(fā)作，能沖擊內(nèi)存、影響性能、修改數(shù)據(jù)或刪除文件，將使軍事信息受到損壞或者泄露。

 

1.2 網(wǎng)絡(luò)攻擊

 

對于網(wǎng)絡(luò)的安全侵害主要來自于敵對勢力的竊取、纂改網(wǎng)絡(luò)上的特定信息和對網(wǎng)絡(luò)環(huán)境的蓄意破壞等幾種情況。目前來看各類攻擊給網(wǎng)絡(luò)使用或維護者造成的損失已越來越大了，有的損失甚至是致命的。一般來講，常見的網(wǎng)絡(luò)攻擊有如下幾種：

 

(1)竊取軍事秘密：這類攻擊主要是利用系統(tǒng)漏洞，使入侵者可以用偽裝的合法身份進入系統(tǒng)，獲取軍事秘密信息。

 

(2)軍事信息網(wǎng)絡(luò)控制：這類攻擊主要是依靠在目標(biāo)網(wǎng)絡(luò)中植入黑客程序，使系統(tǒng)中的軍事信息在不知不覺中落入指定入侵者的手中。

 

(3)欺騙性攻擊：它主要是利用網(wǎng)絡(luò)協(xié)議與生俱來的某些缺陷，入侵者進行某些偽裝后對網(wǎng)絡(luò)進行攻擊。主要欺騙性攻擊方式有：IP欺騙，ARP欺騙，Web欺騙、電子郵件欺騙、源路由欺騙，地址欺騙等。

 

(4)破壞信息傳輸完整性：信息在傳輸中可能被修改，通常用加密方法可阻止大部分的篡改攻擊。當(dāng)加密和強身份標(biāo)識、身份鑒別功能結(jié)合在一起時，截獲攻擊便難以實現(xiàn)。

 

(5)破壞防火墻：防火墻由軟件和硬件組成，目的是防止非法登錄訪問或病毒破壞，但是由于它本身在設(shè)計和實現(xiàn)上存在著缺陷。這就導(dǎo)致攻擊的產(chǎn)生，進而出現(xiàn)軍事信息的泄露。

 

1.3 人為因素造成的威脅

 

因為計算機網(wǎng)絡(luò)是一個巨大的人機系統(tǒng)，除了技術(shù)因素之外，還必須考慮到工作人員的安全保密因素。如國外的情報機構(gòu)的滲透和攻擊，利用系統(tǒng)值班人員和掌握核心技術(shù)秘密的人員，對軍事信息進行竊取等攻擊。網(wǎng)絡(luò)運用的全社會廣泛參與趨勢將導(dǎo)致控制權(quán)分散，由于人們利益、目標(biāo)、價值的分歧，使軍事信息資源的保護和管理出現(xiàn)脫節(jié)和真空，從而使軍事信息安全問題變得廣泛而復(fù)雜。

 

2 網(wǎng)絡(luò)環(huán)境下軍事信息安全的應(yīng)對策略

 

2.1 確立網(wǎng)絡(luò)信息安全的戰(zhàn)略意識

 

要確保網(wǎng)絡(luò)信息的完整性、可用性和保密性，當(dāng)前最為緊要的是各級都要確立網(wǎng)絡(luò)信息安全的戰(zhàn)略意識。必須從保證信息安全，就是保證國家主權(quán)安全，掌握軍事斗爭準(zhǔn)備主動權(quán)和打贏信息化戰(zhàn)爭主動權(quán)的高度，來認識網(wǎng)絡(luò)信息安全的重要性。要堅決克服那種先把網(wǎng)絡(luò)建起來，解決了"有"的問題之后，再去考慮信息安全保密問題的錯誤認識。注意從系統(tǒng)的整體性出發(fā)，統(tǒng)籌考慮，同步進行，協(xié)調(diào)發(fā)展。

 

2.2 重視網(wǎng)絡(luò)信息安全人才的培養(yǎng)。

 

加強計算機網(wǎng)絡(luò)指揮人員的培訓(xùn)，使網(wǎng)絡(luò)指揮人員熟練通過計算機網(wǎng)絡(luò)實施正確的指揮和對信息進行有效的安全管理，保證部隊的網(wǎng)絡(luò)信息安全。加強操作人員和管理人員的安全培訓(xùn)，主要是在平時訓(xùn)練過程中提高能力，通過小間斷的培訓(xùn)，提高保密觀念和責(zé)任心，加強業(yè)務(wù)、技術(shù)的培訓(xùn)，提高操作技能;對內(nèi)部涉密人員更要加強人事管理，定期組織思想教育和安全業(yè)務(wù)培訓(xùn)，不斷提高人員的思想素質(zhì)、技術(shù)素質(zhì)和職業(yè)道德。

 

積極鼓勵廣大官兵研究軍隊計算機網(wǎng)絡(luò)攻防戰(zhàn)的特點規(guī)律，尋找進入和破壞敵力網(wǎng)絡(luò)系統(tǒng)的辦法，探索竭力阻止敵人網(wǎng)絡(luò)入侵，保護己方網(wǎng)絡(luò)系統(tǒng)安全的手段。只有擁有一支訓(xùn)練有素、善于信息安全管理的隊伍，才能保證軍隊在未來的信息化戰(zhàn)爭中占據(jù)主動權(quán)。

 

2.3 加強網(wǎng)絡(luò)信息安全的技術(shù)手段

 

在進行軍隊信息化建設(shè)時，要大力開發(fā)各種信息安全技術(shù)，普及和運用強有力的安全技術(shù)手段。技術(shù)的不斷創(chuàng)新和進步，才是網(wǎng)絡(luò)信息安全的關(guān)鍵，才是實現(xiàn)網(wǎng)絡(luò)信息安全最重要、最有力的武器。

 

2.3.1 防火墻技術(shù)

 

防火墻是指設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間的一系列部件的組合，它是不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信息的唯一出入口，能根據(jù)使用者的安全政策控制出入網(wǎng)絡(luò)的信息流。根據(jù)防火墻所采用的技術(shù)和對數(shù)據(jù)的處理方式不同，我們可以將它分為三種基本類型：過濾型，型和監(jiān)測型。

 

2.3.2 數(shù)據(jù)加密技術(shù)

 

數(shù)據(jù)加密是對軍信息內(nèi)容進行某種方式的改變，從而使其他人在沒有密鑰的前提下不能對其進行正常閱讀，這一處理過程稱為"加密"。

 

在計算機網(wǎng)絡(luò)中，加密可分為"通信加密"和"文件加密"，這些加密技術(shù)可用于維護數(shù)據(jù)庫的隱蔽性、完整性、反竊聽等安全防護工作，它的核心思想就是：既然網(wǎng)絡(luò)本身并不安全、可靠，那么，就要對全部重要的信息都進行加密處理，密碼體制能將信息進行偽裝，使得任何未經(jīng)授權(quán)者無法了解其真實內(nèi)容。加密的過程，關(guān)鍵在于密鑰。

 

2.3.3安裝入侵檢測系統(tǒng)和網(wǎng)絡(luò)誘騙系統(tǒng)。入侵檢測能力是衡量個防御體系是否完整有效的重要因素，入侵檢測的軟件和硬件共同組成了入侵檢測系統(tǒng)。

 

強大的、完整的入侵檢測系統(tǒng)可以彌補軍隊網(wǎng)絡(luò)防火墻相對靜態(tài)防御的小足，可以對內(nèi)部攻擊、外部攻擊和誤操作進行實時防護，當(dāng)軍隊計算機網(wǎng)絡(luò)和系統(tǒng)受到危害之前進行報攔截和響應(yīng)，為系統(tǒng)及時消除威脅。網(wǎng)絡(luò)誘騙系統(tǒng)是通過構(gòu)建個欺騙環(huán)境真實的網(wǎng)絡(luò)、主機，或用軟件模擬的網(wǎng)絡(luò)和主機)，誘騙入侵者對其進行攻擊或在檢測出對實際系統(tǒng)的攻擊行為后，將攻擊重定向到該嚴格控制的環(huán)境中，從而保護實際運行的系統(tǒng);同時收集入侵信息，借以觀察入侵者的行為，記錄其活動，以便分析入侵者的水平、目的、所用上具、入侵手段等，并對入侵者的破壞行為提供證據(jù)。

 

要確保軍事信息網(wǎng)絡(luò)安全，技術(shù)是安全的主體，管理是安全的保障，人才是安全的靈魂。當(dāng)前最為緊要的是各級都要樹立信息網(wǎng)絡(luò)安全意識，從系統(tǒng)整體出發(fā)，進一步完善和落實好風(fēng)險評估制度，建立起平時和戰(zhàn)時結(jié)合、技術(shù)和管理一體、綜合完善的多層次、多級別、多手段的軍事安全信息網(wǎng)絡(luò)。

篇8

關(guān)鍵詞：高職院校；信息安全專業(yè); 專業(yè)實驗室；方案設(shè)計

1、引言

目前，信息安全已發(fā)展成為一個綜合、交叉的學(xué)科領(lǐng)域，它需要綜合利用計算機、通信、微電子、數(shù)學(xué)、法律、管理、教育等等諸多學(xué)科的長期知識積累和最新研究成果。信息安全也是一個復(fù)雜的系統(tǒng)工程，涉及到信息基礎(chǔ)建設(shè)、網(wǎng)絡(luò)與系統(tǒng)的構(gòu)造、信息系統(tǒng)與業(yè)務(wù)應(yīng)用系統(tǒng)的開發(fā)、信息安全的法律法規(guī)、安全管理體系等。信息安全作為一門新興、綜合、交叉學(xué)科，涉及的領(lǐng)域也很多，因此除了工程教育共有的特點，信息安全人才培養(yǎng)有其獨有的特點：信息安全領(lǐng)域知識覆蓋面寬、信息安全知識更新快、信息安全教育是一種持續(xù)教育、信息安全教育需要面向多樣化、層次化的人才需求、信息安全教育更注重應(yīng)用和實踐能力。

作為高職院校信息安全專業(yè)，應(yīng)該在專業(yè)培養(yǎng)目標(biāo)明確的前提下，充分考慮信息安全人才培養(yǎng)的特點，對專業(yè)實驗室建設(shè)進行科學(xué)設(shè)計，準(zhǔn)確定位，才能發(fā)揮專業(yè)實驗室對培養(yǎng)學(xué)生核心能力，提高動手能力的重要作用。

2、專業(yè)實驗室建設(shè)的定位

高等職業(yè)教育培養(yǎng)的是面向生產(chǎn)、建設(shè)、服務(wù)和管理第一線的高級應(yīng)用型人才，“高級”強調(diào)的是理論基礎(chǔ)寬厚，“應(yīng)用型”強調(diào)的是技能熟練程度，因此培養(yǎng)具備較扎實的專業(yè)理論知識和一定實踐操作技能的“高級藍領(lǐng)”（社會上把企業(yè)中的人員按其受教育程度、工作性質(zhì)、創(chuàng)造的價值、獲取的報酬等綜合因素分為金領(lǐng)、白領(lǐng)、藍領(lǐng)。隨著我國加入WTO與經(jīng)濟全球化的發(fā)展，我國的國民經(jīng)濟結(jié)構(gòu)調(diào)整使許多企業(yè)進行了產(chǎn)品結(jié)構(gòu)的調(diào)整，崗位技術(shù)含量正在不斷增加，“藍領(lǐng)”“白領(lǐng)”的邊際正在模糊和淡化，“高級藍領(lǐng)”應(yīng)運而生。

以浙江警官職業(yè)學(xué)院司法信息安全專業(yè)為例，該專業(yè)的培養(yǎng)目標(biāo)是為司法行政機關(guān)及其他行政機關(guān)、企事業(yè)單位培養(yǎng)信息安全管理員(運行維護)，為信息安全企業(yè)培養(yǎng)安全服務(wù)工程師，為公安機關(guān)培養(yǎng)網(wǎng)絡(luò)警察，培養(yǎng)能夠勝任“信息安全事件的預(yù)防、發(fā)現(xiàn)、處置”工作的技能型、管理型、復(fù)合型人才，主要滿足一線工作崗位、實踐操作技能強、具有大專學(xué)歷層次的信息安全人才需求。因此，高職院校司法信息安全專業(yè)更加注重實踐教學(xué)，更加注重學(xué)生動手能力的培養(yǎng)，更加注重學(xué)生職業(yè)能力的培養(yǎng)。

3、專業(yè)實驗室規(guī)劃與設(shè)計

3.1專業(yè)實驗室規(guī)劃

信息安全綜合實訓(xùn)室的建設(shè)緊緊圍繞網(wǎng)絡(luò)信息安全事件“預(yù)防發(fā)現(xiàn)處置”工作流程為主線，以學(xué)生職業(yè)能力培養(yǎng)為中心，實現(xiàn)“教、學(xué)、做”一體。目標(biāo)為培養(yǎng)掌握最前沿高級信息安全的實用技能型人才，突出網(wǎng)絡(luò)信息安全事件處置能力的培養(yǎng)，加強網(wǎng)絡(luò)安全技術(shù)應(yīng)用與管理能力、信息安全事件處置能力的實訓(xùn)。

3.2專業(yè)實驗室設(shè)計

信息安全綜合實訓(xùn)室實驗實訓(xùn)綜合系統(tǒng)分別由信息安全基礎(chǔ)實驗室系統(tǒng)(實驗性質(zhì)、仿真環(huán)境)、信息安全仿真實訓(xùn)平臺(實訓(xùn)性質(zhì)、仿真環(huán)境)、信息安全綜合實訓(xùn)平臺(實訓(xùn)性質(zhì)、全真環(huán)境)三部分組成,學(xué)生通過該實驗實訓(xùn)系統(tǒng)的訓(xùn)練，逐步完成從基本技能培養(yǎng)崗位能力建立崗位能力提升及強化三個層次職業(yè)能力的三次提升。

（1）信息安全基礎(chǔ)實驗室系統(tǒng)——（實驗性質(zhì)、仿真環(huán)境）

信息安全基礎(chǔ)實驗室系統(tǒng)能夠提供多種常用信息安全產(chǎn)品的仿真環(huán)境，能夠完成人機操作、多機操作等攻防實驗內(nèi)容。配合理論教學(xué)供學(xué)生進行日常上機實驗，教師可以參照實驗室教材與標(biāo)準(zhǔn)講義，指導(dǎo)學(xué)生通過實際操作理解典型網(wǎng)絡(luò)攻擊的原理與手法，進而掌握針對這些典型攻擊的各種網(wǎng)絡(luò)安全防御手段，同時掌握常用網(wǎng)絡(luò)安全防御軟件的配置使用方法。 （教學(xué)軟件+硬件集成為一體） 

要求滿足：50人能同時進行交互操作。

（2）信息安全仿真實訓(xùn)平臺——（實訓(xùn)性質(zhì)、仿真環(huán)境）

信息安全仿真實訓(xùn)平臺通過還原職業(yè)活動情景的方式，仿真多種企業(yè)環(huán)境，重建企業(yè)不同的網(wǎng)絡(luò)安全需求，采用案例分析模式，任務(wù)驅(qū)動的教學(xué)方式，培養(yǎng)學(xué)生對企業(yè)各種安全問題的綜合處理能力，使其掌握不同網(wǎng)絡(luò)環(huán)境下對一系列安全產(chǎn)品的綜合部署和配置方法。支持多人配合完成實訓(xùn)任務(wù)，具有高互動性和真實性，培養(yǎng)學(xué)生團隊工作意識。實訓(xùn)方案來源于真實企業(yè)需求，并參照國家職業(yè)技能鑒定標(biāo)準(zhǔn)符合當(dāng)前信息安全保障工作對實用型信息安全人才的要求，實現(xiàn)學(xué)習(xí)與就業(yè)的無縫銜接。（教學(xué)軟件+硬件集成為一體）

要求滿足：50人能同時進行交互操作。

4、結(jié)語

信息安全綜合實訓(xùn)室主要是針對司法信息安全專業(yè)崗位（信息安全管理員-運行維護）所要求的核心能力（網(wǎng)絡(luò)安全技術(shù)應(yīng)用能力和信息安全事件的綜合處置能力），進行設(shè)計的。信息安全綜合實訓(xùn)室的建設(shè)為信息安全人才培養(yǎng)提供了全方位的實驗環(huán)境, 學(xué)生在這里通過實驗、實訓(xùn)，能夠加深對網(wǎng)絡(luò)攻擊技術(shù)、網(wǎng)絡(luò)滲透技術(shù)、服務(wù)器入侵技術(shù)、網(wǎng)絡(luò)防護技術(shù)、數(shù)據(jù)恢復(fù)技術(shù)及計算機信息的加密與解密等技術(shù)原理的理解，掌握防火墻、IDS等網(wǎng)絡(luò)安全產(chǎn)品的搭建、配置與使用，電子證據(jù)的固定與分析，電子數(shù)據(jù)恢復(fù)，信息安全事件的綜合處置等核心技能，對于提升學(xué)生就業(yè)能力將有直接幫助，同時，對改善學(xué)校辦學(xué)條件、提高教學(xué)質(zhì)量、培養(yǎng)高素質(zhì)操作技能強的信息安全人才具有十分重要的意義。

參考文獻

[1]李建華，張愛新等.信息安全實驗室的建設(shè)方案[J].實驗室研究與探索，2009（3）：65-67

[2]鐘平,王會林.高校網(wǎng)絡(luò)安全實驗室建設(shè)探索[J].實驗室科學(xué),2010(2):122-124

篇9

關(guān)鍵詞：網(wǎng)絡(luò)技術(shù)；實訓(xùn)；模塊

中圖分類號：TG76-4 文獻標(biāo)識碼：A文章編號：1007-9599(2012)04-0000-02

隨著經(jīng)濟和技術(shù)水平的迅猛發(fā)展，計算機網(wǎng)絡(luò)技術(shù)發(fā)生著日新月異的變化，互聯(lián)網(wǎng)的普及與網(wǎng)民人數(shù)的絕不斷攀升，各行各業(yè)都離不開網(wǎng)絡(luò)技術(shù)。網(wǎng)絡(luò)技術(shù)學(xué)習(xí)和網(wǎng)絡(luò)人才培養(yǎng)在各級、各類教育中也占據(jù)了重要的地位。隨著各種高新技術(shù)的流入，對各行各業(yè)人才也提出了較高要求。一些非網(wǎng)絡(luò)專業(yè)的學(xué)生在今后的職業(yè)生涯中都會和網(wǎng)絡(luò)技術(shù)打交道，但是他們在職業(yè)教育中沒有接觸任何網(wǎng)絡(luò)技術(shù)方面的知識甚至是動手的機會，可能連網(wǎng)線斷了這樣的的問題也無從下手。高等職業(yè)教育的根本任務(wù)是為國民經(jīng)濟建設(shè)培養(yǎng)造就大批的應(yīng)用型、技能型的人才，這就要求高職院校的實踐模式必須適應(yīng)高新技術(shù)的發(fā)展。

如何針對傳統(tǒng)高職教育中網(wǎng)絡(luò)教學(xué)的缺點進行課程模式和教學(xué)方法的改革？如何使各專業(yè)學(xué)生能夠適應(yīng)新的網(wǎng)絡(luò)教學(xué)體系？網(wǎng)絡(luò)教學(xué)如何適應(yīng)飛速發(fā)展的網(wǎng)絡(luò)技術(shù)的日新月異的技術(shù)標(biāo)準(zhǔn)？如何使畢業(yè)生盡快適應(yīng)企業(yè)的工作需求？這些都是目前網(wǎng)絡(luò)技術(shù)教育工作者思考和探索的問題。

一、模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)的必要性

（一）對提高網(wǎng)絡(luò)教學(xué)水平意義重大

模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)的研究對提高網(wǎng)絡(luò)教學(xué)水平的意義體現(xiàn)在兩個方面：一，增加了網(wǎng)絡(luò)實訓(xùn)教學(xué)這門課；二，提高教師的教學(xué)水平。

（二）提高個各專業(yè)人才對網(wǎng)絡(luò)技術(shù)的需求

通過模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)，各專業(yè)各層次人才能夠?qū)W(wǎng)絡(luò)技術(shù)有一定的了解，能夠提高網(wǎng)絡(luò)動手能力。

（三）對學(xué)生就業(yè)意義重大

模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)提供了真實的網(wǎng)絡(luò)環(huán)境，可以讓學(xué)生親自搭建網(wǎng)絡(luò)、親自動手調(diào)試、配置網(wǎng)絡(luò)，加深對網(wǎng)絡(luò)原理、協(xié)議、標(biāo)準(zhǔn)的認識。通過模塊化網(wǎng)絡(luò)實訓(xùn)基地的學(xué)習(xí)，提高學(xué)生的網(wǎng)絡(luò)技能和實戰(zhàn)能力，在將來的就業(yè)競爭中非常明顯的競爭優(yōu)勢。

（四）促進學(xué)校品牌的建設(shè)

模塊化網(wǎng)絡(luò)實訓(xùn)的建設(shè)，可以提高學(xué)校的教師的教學(xué)力量；其次，模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)還可以提高學(xué)生的動手能力，在日漸激烈的就業(yè)市場中更有競爭力。

二、模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)改革的目標(biāo)和原則

（一）完成模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)的目標(biāo)。第一個層次是實訓(xùn)類別的完備；第二個層次是實訓(xùn)模擬情境的完備；第三個層次是實訓(xùn)功能的完備；第四個層次是實訓(xùn)布局的完備性；第五個層次是效益的完備性；最終建成一個高水平的綜合模塊化網(wǎng)絡(luò)實訓(xùn)，在其平臺上運行多種實訓(xùn)系統(tǒng)。使實訓(xùn)中心成為滿足不同層次教學(xué)需要的面向全校學(xué)生開放的計算機網(wǎng)絡(luò)技術(shù)實訓(xùn)基地和人才培養(yǎng)基地。（二）建設(shè)模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)的原則。為達到模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)建設(shè)的目標(biāo)，綜合考慮近幾年IP技術(shù)的發(fā)展和數(shù)據(jù)承載網(wǎng)絡(luò)的發(fā)展，在實訓(xùn)教學(xué)設(shè)計構(gòu)建中，應(yīng)始終堅持以下原則：第一，高可靠性；第二，標(biāo)準(zhǔn)性及開放性；第三，靈活性及可擴展性；第四，先進性；第五，可管理性；第六，安全性；第七，綜合性和統(tǒng)一性；第八，模塊化設(shè)計；第九，分離式理念。

三、模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)改革思路

（一）通過將專業(yè)分類的方式對各專業(yè)對網(wǎng)絡(luò)技術(shù)的不同需求

A類：計算機網(wǎng)絡(luò)專業(yè)

B類：信息相關(guān)專業(yè)，包括電子商務(wù)、信息安全、計算機應(yīng)用技術(shù)、多媒體技術(shù)等相關(guān)專業(yè)

C類：其它專業(yè)

（二）由于不同專業(yè)的知識基礎(chǔ)不同，對網(wǎng)絡(luò)知識的攫取要求也是不一樣的，通過模塊化細分確定不同總類專業(yè)對網(wǎng)絡(luò)技術(shù)的需求

（三）分析各高職類專業(yè)網(wǎng)絡(luò)實訓(xùn)常用模塊，將網(wǎng)絡(luò)實訓(xùn)部分進行模塊化分類：網(wǎng)絡(luò)基礎(chǔ)部分、網(wǎng)絡(luò)技術(shù)應(yīng)用部分（含服務(wù)器搭建、網(wǎng)絡(luò)維護、設(shè)備操作）、路由交換技術(shù)實訓(xùn)模塊、無線技術(shù)實訓(xùn)模塊、網(wǎng)絡(luò)安全與管理（含協(xié)議分析、災(zāi)難修復(fù)、網(wǎng)絡(luò)攻防）、網(wǎng)絡(luò)管理實訓(xùn)模塊

（四）建立菜單式網(wǎng)絡(luò)技術(shù)實訓(xùn)教學(xué)模塊，并分析出前驅(qū)知識點、適用專業(yè)與人員類型、每個模塊理論知識基礎(chǔ)、實訓(xùn)目的、考核標(biāo)準(zhǔn)、實訓(xùn)條件要求等；

四、模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)建設(shè)需求分析

（一）培養(yǎng)網(wǎng)絡(luò)技術(shù)人才的目標(biāo)。職業(yè)學(xué)校主要培養(yǎng)生產(chǎn)、建設(shè)、管理、服務(wù)第一線需要的，德、智、體全面發(fā)展的技術(shù)應(yīng)用性人才。本著“系統(tǒng)性、整體性、綜合性、應(yīng)用性”的原則，形成了以素質(zhì)教育和能力培養(yǎng)為主線、理論教學(xué)和實踐教學(xué)互相滲透的人才培養(yǎng)模式，注重對學(xué)生實際能力的培養(yǎng)的同時，同時積極開展多種職業(yè)技能培訓(xùn)。（二）職業(yè)學(xué)校的網(wǎng)絡(luò)人才培養(yǎng)需求。職業(yè)技術(shù)教育培養(yǎng)目標(biāo)是應(yīng)用型（技能型）人才，職業(yè)教育的發(fā)展特性決定了它堅持以就業(yè)為導(dǎo)向。首先，要實現(xiàn)辦學(xué)思想的轉(zhuǎn)變；第二，要適應(yīng)就業(yè)市場、勞動力市場的需要，要面向社會、面向市場、面向企業(yè)、面向群眾需求來辦學(xué)。第三，要實行更大范圍工學(xué)結(jié)合。

五、模塊化網(wǎng)絡(luò)實訓(xùn)教學(xué)的應(yīng)用需求

提供真實的網(wǎng)絡(luò)實訓(xùn)教學(xué)環(huán)境，滿足不同層次實訓(xùn)的需要，提供實訓(xùn)基地配套的實訓(xùn)教學(xué)系統(tǒng)，實操技能型實訓(xùn)能在實訓(xùn)基地完成，有效地對實訓(xùn)教學(xué)進行管理，解決學(xué)生將來就業(yè)的通用性問題，模塊化網(wǎng)絡(luò)實訓(xùn)基地和職業(yè)教育認證培訓(xùn)結(jié)合。

篇10

關(guān)鍵詞：電力系統(tǒng)；智能終端；安全挑戰(zhàn)與風(fēng)險；安全防護

0引言

為應(yīng)對全球節(jié)能減排、能源綜合利用效率提升的挑戰(zhàn)，發(fā)展能源互聯(lián)網(wǎng)成為推動后危機時代經(jīng)濟轉(zhuǎn)型、發(fā)展低碳經(jīng)濟的重要手段[1]。能源互聯(lián)網(wǎng)的建設(shè)使得現(xiàn)代電網(wǎng)向開放、互聯(lián)、以用戶為中心的方向發(fā)展，實現(xiàn)多類型能源開放互聯(lián)、各種設(shè)備與系統(tǒng)開放對等接入。2019年，國家電網(wǎng)有限公司提出了“三型兩網(wǎng)”的戰(zhàn)略發(fā)展目標(biāo)，在建設(shè)堅強智能電網(wǎng)的基礎(chǔ)上，重點建設(shè)泛在電力物聯(lián)網(wǎng)，以構(gòu)建世界一流能源互聯(lián)網(wǎng)。泛在電力物聯(lián)網(wǎng)將充分應(yīng)用移動互聯(lián)、人工智能等現(xiàn)代信息技術(shù)和先進通信技術(shù)，實現(xiàn)電力系統(tǒng)各個環(huán)節(jié)萬物互聯(lián)、人機交互，打造電網(wǎng)狀態(tài)全面感知、信息高效處理、應(yīng)用便捷靈活的能力。泛在電力物聯(lián)網(wǎng)的建設(shè)主要包括感知層、網(wǎng)絡(luò)層、平臺層、應(yīng)用層4個部分，其中感知層重點實現(xiàn)終端標(biāo)準(zhǔn)化統(tǒng)一接入，以及通信、計算等資源共享，在源端實現(xiàn)數(shù)據(jù)融通和邊緣智能。在此背景下，智能表計、新一代配電終端、源網(wǎng)荷友好互動終端、電動汽車充電樁等多類型電力系統(tǒng)智能終端在電網(wǎng)中得以廣泛應(yīng)用[2]，成為連接電力骨干網(wǎng)絡(luò)與電力一次系統(tǒng)、用戶的第一道門戶。電力系統(tǒng)智能終端作為能源互聯(lián)中多網(wǎng)“融合控制”的紐帶節(jié)點，實現(xiàn)了電網(wǎng)監(jiān)測數(shù)據(jù)的“本地疏導(dǎo)”以及電網(wǎng)對外控制的“功能聚合”[3]，其安全性直接關(guān)系到電網(wǎng)的安全穩(wěn)定運行，研究電力系統(tǒng)智能終端的信息安全防護技術(shù)意義重大。

針對電力系統(tǒng)信息安全防護問題，自2002年起中國提出了以網(wǎng)絡(luò)邊界隔離保護為主的電力二次安全防護體系[4]，有效保障了電力監(jiān)控系統(tǒng)和電力調(diào)度數(shù)據(jù)網(wǎng)的安全穩(wěn)定運行。電力二次安全防護體系制定了“安全分區(qū)、網(wǎng)絡(luò)專用、橫向隔離、縱向認證”的安全防護策略，重點強調(diào)了通過內(nèi)網(wǎng)隔離保護的方式確保電力二次系統(tǒng)的安全防護[5]，然而對新形勢下電力系統(tǒng)智能終端的安全防護并未考慮。一方面，與傳統(tǒng)信息安全相比，泛在電力物聯(lián)網(wǎng)中各環(huán)節(jié)數(shù)億規(guī)模終端具有異構(gòu)與分散特性，后天標(biāo)準(zhǔn)化的終端自身安全防護理論與技術(shù)難以獲得，如何兼顧實時性和安全性雙重約束進行電力系統(tǒng)終端自身安全防護成為需要考慮的問題，電力系統(tǒng)智能終端自身安全性保證需求迫切。另一方面，隨著泛在電力物聯(lián)網(wǎng)建設(shè)推進，電力系統(tǒng)智能終端廣泛采用無線傳感網(wǎng)絡(luò)等公共網(wǎng)絡(luò)與電網(wǎng)主站系統(tǒng)進行通信[6]，在電力二次安全防護體系隔離保護邊界外形成具有泛在互聯(lián)、開放共享特性的邊緣計算網(wǎng)絡(luò)。這必然會將網(wǎng)絡(luò)攻擊威脅傳導(dǎo)至電力系統(tǒng)本體，使得因網(wǎng)絡(luò)攻擊造成的大停電風(fēng)險陡增。

為應(yīng)對以上安全威脅，2014年國家發(fā)改委和能源局了《電力監(jiān)控系統(tǒng)安全防護規(guī)定》[7]，要求電力生產(chǎn)控制大區(qū)設(shè)立安全接入?yún)^(qū)，對使用無線通信網(wǎng)等方式縱向接入生產(chǎn)控制大區(qū)的電力系統(tǒng)智能終端進行網(wǎng)絡(luò)隔離。因此，在當(dāng)前網(wǎng)絡(luò)攻擊手段呈現(xiàn)高級定制化、特征不確定化的嚴峻形勢下，如何解決異構(gòu)多樣、數(shù)量龐大的電力系統(tǒng)智能終端邊緣接入過程中的網(wǎng)絡(luò)攻擊實時監(jiān)控發(fā)現(xiàn)和防滲透成為需要考慮的另外一項重要問題。

為此，本文圍繞電力系統(tǒng)智能設(shè)備安全互聯(lián)需求，首先分析電力系統(tǒng)智能終端業(yè)務(wù)特征和信息安全風(fēng)險，明確電力系統(tǒng)智能終端信息安全防護特性；在此基礎(chǔ)上，本文總結(jié)提出了電力系統(tǒng)智能終端信息安全防護面臨的關(guān)鍵技術(shù)問題；然后，設(shè)計構(gòu)建了覆蓋芯片層、終端層、交互層的電力系統(tǒng)智能終端信息安全防護研究框架；最后，對電力系統(tǒng)智能終端信息安全防護關(guān)鍵技術(shù)進行了展望。

1電力系統(tǒng)智能終端信息安全風(fēng)險

近年來網(wǎng)絡(luò)空間安全事件頻發(fā)，國家級、集團式網(wǎng)絡(luò)安全威脅層出不窮[8-10]。電力等重要基礎(chǔ)設(shè)施領(lǐng)域成為“網(wǎng)絡(luò)戰(zhàn)”的重點攻擊目標(biāo)之一，信息安全形勢異常嚴峻[11]。2010年“震網(wǎng)”病毒事件中，西門子可編程邏輯控制器(PLC)終端受病毒攻擊導(dǎo)致1000多臺離心機損毀，使得核電站癱瘓。2015年烏克蘭停電事件，以終端為攻擊跳板癱瘓電力控制系統(tǒng)導(dǎo)致，成為全球首例公開報道的因黑客攻擊導(dǎo)致大范圍停電事件[12]。以上事件均表明，電力系統(tǒng)智能終端已成為攻擊電網(wǎng)的重要目標(biāo)和主要跳板[13]，面臨著嚴峻的信息安全風(fēng)險。本文從信息安全防護的保密性、完整性、可用性3項重要目標(biāo)角度出發(fā)[14-15]，結(jié)合電力系統(tǒng)智能終端的組成結(jié)構(gòu)和業(yè)務(wù)特征對信息安全風(fēng)險進行分析，具體涉及芯片層、終端層、交互層3個方面，如圖1所示。

1)芯片層：電力系統(tǒng)智能終端芯片自主可控性和安全性不足，在非受控環(huán)境下面臨后門漏洞被利用風(fēng)險。

2018年Intel芯片漏洞事件，爆出Intel芯片存在融毀漏洞以及幽靈漏洞，利用該漏洞進行攻擊，可獲取用戶的賬號密碼、通信信息等隱私，智能終端均受波及，電力系統(tǒng)智能終端芯片同樣面臨漏洞、后門隱患的巨大問題。隨著電力系統(tǒng)智能終端的開放性逐漸增強，與外界交互范圍逐漸擴大，電力系統(tǒng)智能終端芯片安全性的不足逐漸凸顯，主要表現(xiàn)在電力系統(tǒng)智能終端芯片自主可控程度低、芯片安全設(shè)計不足，導(dǎo)致當(dāng)前電力系統(tǒng)智能終端存在“帶病”運行，漏洞隱患易被攻擊利用造成安全事件。為此，需要在芯片層面提高電力系統(tǒng)智能終端芯片的安全性，從芯片層面提高電網(wǎng)的安全防護能力。

2)終端層：異構(gòu)電力系統(tǒng)智能終端計算環(huán)境安全保證不足，存在終端被惡意控制破壞的風(fēng)險。

據(jù)數(shù)據(jù)統(tǒng)計表明，目前中國電網(wǎng)已部署各類型電力系統(tǒng)智能終端總數(shù)超4億，規(guī)劃至2030年接入各類保護、采集、控制終端設(shè)備數(shù)量將達到20億。各類電力系統(tǒng)智能終端覆蓋了電力“發(fā)電、輸電、變電、配電、用電、調(diào)度”等各個環(huán)節(jié)，終端形態(tài)各異且業(yè)務(wù)邏輯差異巨大。終端復(fù)雜多樣的嵌入式硬件計算環(huán)境、異構(gòu)的軟件應(yīng)用環(huán)境和多類型私有通信協(xié)議等特性，使得其安全防護尚未形成統(tǒng)一標(biāo)準(zhǔn)。各類終端安全防護措施和水平亦參差不齊，在面對病毒、木馬等網(wǎng)絡(luò)攻擊時整體安全防護能力薄弱。同時，電力系統(tǒng)智能終端在研發(fā)、生產(chǎn)、制造等環(huán)節(jié)無法避免的漏洞后門隱患也存在被攻擊者利用的巨大安全風(fēng)險。隨著電力系統(tǒng)智能化水平的不斷升級，各類型電力系統(tǒng)智能終端越來越多地承載了大量異構(gòu)封閉、連續(xù)作業(yè)的電力生產(chǎn)運營應(yīng)用，運行可靠性、實時性要求較高。電力系統(tǒng)智能終端一旦遭受惡意網(wǎng)絡(luò)攻擊，將可能導(dǎo)致終端生產(chǎn)監(jiān)測信息采集失真，甚至造成終端誤動作引發(fā)停電風(fēng)險，傳統(tǒng)事后響應(yīng)型的終端被動防護技術(shù)無法滿足電力安全防護的需要。因此，確保電力系統(tǒng)智能終端軟硬件計算環(huán)境安全的標(biāo)準(zhǔn)化防護技術(shù)，以及事前防御型的主動防御技術(shù)研究需求迫切。

3)交互層：電力系統(tǒng)智能終端廣泛互聯(lián)互通導(dǎo)致網(wǎng)絡(luò)開放性擴大，引入網(wǎng)絡(luò)攻擊滲透破壞風(fēng)險。

泛在電力物聯(lián)網(wǎng)的建設(shè)，其核心目標(biāo)是將電力用戶及其設(shè)備、電網(wǎng)企業(yè)及其設(shè)備、發(fā)電企業(yè)及其設(shè)備、供應(yīng)商及其設(shè)備，以及人和物連接起來，產(chǎn)生共享數(shù)據(jù)，為用戶、電網(wǎng)、發(fā)電、供應(yīng)商和政府社會服務(wù)。以電網(wǎng)為樞紐，發(fā)揮平臺和共享作用，為全行業(yè)和更多市場主體發(fā)展創(chuàng)造更大機遇，提供價值服務(wù)。因此，泛在電力物聯(lián)網(wǎng)環(huán)境下的電力系統(tǒng)智能終端將廣泛采用電力無線專網(wǎng)、NB-IoT、北斗定位、IPv6和5G等無線、公共網(wǎng)絡(luò)與電網(wǎng)主站系統(tǒng)進行通信，使得電力系統(tǒng)智能終端的通信交互形式將呈現(xiàn)數(shù)量大、層級多、分布廣、種類雜等特點，極大地增加了遭受網(wǎng)絡(luò)攻擊的暴露面。無論是電力系統(tǒng)智能終端，還是主站電力系統(tǒng)，被網(wǎng)絡(luò)攻擊滲透破壞的風(fēng)險均進一步增大。在當(dāng)前網(wǎng)絡(luò)空間安全異常嚴峻的形勢下，新型網(wǎng)絡(luò)攻擊手段不斷衍變衍生，呈高級、定制化、持續(xù)性發(fā)展，尤其是面向工控環(huán)境的攻擊更具有高度定制化、危害大的特點，使得電力系統(tǒng)智能終端通信交互過程中面臨著新型網(wǎng)絡(luò)攻擊被動處置的局面。例如在烏克蘭停電事件中，黑客通過欺騙電力公司員工信任、植入木馬、后門連接等方式，繞過認證機制，對烏克蘭境內(nèi)3處變電站的數(shù)據(jù)采集與監(jiān)控(SCADA)系統(tǒng)發(fā)起攻擊，刪除磁盤所有文件，造成7個110kV和23個35kV變電站發(fā)生故障，從而導(dǎo)致該地區(qū)發(fā)生大面積停電事件。

綜上可知，電力系統(tǒng)智能終端面臨的芯片層、終端層信息安全風(fēng)險主要由終端芯片、計算環(huán)境安全性不可控和漏洞被利用等原因造成，可歸納為終端“自身安全”問題。交互層信息安全風(fēng)險產(chǎn)生的原因主要為電力系統(tǒng)智能終端在互聯(lián)接入過程中存在被滲透攻擊可能性造成的，可歸納為“攻擊防御”問題。

2電力系統(tǒng)智能終端信息安全防護技術(shù)問題剖析

為了解決電力系統(tǒng)智能終端“自身安全”和“攻擊防御”問題，國內(nèi)外學(xué)者開展了諸多信息安全防護技術(shù)研究，主要從傳統(tǒng)信息安全的角度探索密碼技術(shù)在終端自身數(shù)據(jù)保護、通信協(xié)議安全、安全接入傳輸方面的應(yīng)用[16]。然而，受制于當(dāng)前中國的芯片自主可控水平限制，以及電力系統(tǒng)智能終端異構(gòu)多樣的復(fù)雜計算環(huán)境和高安全、高實時運行特性限制，加之網(wǎng)絡(luò)攻擊特征不確定的混合約束，電力系統(tǒng)智能終端的整體安全防護尚存在待突破的技術(shù)問題，具體如下。

1)技術(shù)問題1：覆蓋電路級、CPU內(nèi)核及片上內(nèi)嵌入式操作系統(tǒng)的芯片全通路安全防護機制及適應(yīng)各類異構(gòu)終端的普適性主動免疫問題。

根據(jù)安全風(fēng)險分析可知，解決電力系統(tǒng)智能終端“自身安全”問題，必須實現(xiàn)芯片安全和終端計算環(huán)境安全。

在電力系統(tǒng)智能終端芯片層，面臨的安全隱患表現(xiàn)為芯片各層次防護理論和技術(shù)無法滿足安全需求。然而，當(dāng)前電力系統(tǒng)智能終端采用了大量先進工藝條件制造的芯片，此類芯片主要由國外掌控，自主可控程度很低，其安全性保障技術(shù)更是存在空白。隨著中國自主先進芯片技術(shù)發(fā)展，電力系統(tǒng)智能終端芯片在實現(xiàn)自主可控的同時應(yīng)充分考慮芯片的安全防護，同步設(shè)計、同步發(fā)展。首先需從芯片設(shè)計理論的安全建模方面進行技術(shù)突破，確保理論層面的可證明安全。其次，應(yīng)突破電路級、CPU內(nèi)核以及片上內(nèi)嵌入式操作系統(tǒng)等芯片核心組件的安全防護技術(shù)，從而構(gòu)建芯片全通路安全防護技術(shù)體系。在電力系統(tǒng)智能終端計算環(huán)境安全方面，由于電力系統(tǒng)智能終端異構(gòu)多樣、資源受限、長期運行，傳統(tǒng)終端被動式、個性化安全技術(shù)無法適用。因此需開展結(jié)合芯片層面的終端安全技術(shù)研究，構(gòu)建適用于電力系統(tǒng)智能終端不同硬件架構(gòu)、不同系統(tǒng)環(huán)境、不同應(yīng)用環(huán)境的標(biāo)準(zhǔn)化安全防護框架，且能夠在網(wǎng)絡(luò)安全事件發(fā)生前、發(fā)生時確保終端計算環(huán)境的安全性和完整性，最終形成電力系統(tǒng)智能終端的普適性主動免疫技術(shù)體系。

2)技術(shù)問題2：攻擊特征不確定、終端/業(yè)務(wù)/網(wǎng)絡(luò)強耦合條件下，終端安全狀態(tài)建模、精確感知及威脅阻斷問題。

解決電力系統(tǒng)智能終端“攻擊防御”問題，重點需突破電力系統(tǒng)終端遠程接入交互過程中的攻擊監(jiān)測和防滲透技術(shù)。然而，電力系統(tǒng)智能終端點多面廣、業(yè)務(wù)系統(tǒng)專業(yè)性強、互聯(lián)網(wǎng)絡(luò)組成復(fù)雜度高，且三者間相互耦合，而針對電力系統(tǒng)的網(wǎng)絡(luò)攻擊呈現(xiàn)定制化、隱蔽化和高級化等特點，難以清晰描述基于零日漏洞的高級持續(xù)性網(wǎng)絡(luò)攻擊的機理和特征，不同電力系統(tǒng)智能終端、系統(tǒng)、網(wǎng)絡(luò)在攻擊下的表現(xiàn)不一，因此無法單一根據(jù)攻擊特征進行識別和阻斷。傳統(tǒng)監(jiān)測手段缺少對電力業(yè)務(wù)場景的安全建模，監(jiān)測數(shù)據(jù)源僅涉及CPU內(nèi)存等基礎(chǔ)資源狀態(tài)和基礎(chǔ)網(wǎng)絡(luò)流量，未面向電網(wǎng)業(yè)務(wù)流、專用協(xié)議和應(yīng)用特征進行深度監(jiān)控與分析，難以精確、深入地感知電力系統(tǒng)智能終端系統(tǒng)安全狀態(tài)，需要探索終端安全精確感知與攻擊阻斷技術(shù)。同時，在電力設(shè)備廣泛互聯(lián)后，邊緣側(cè)安全防護能力不足，需突破混合電力業(yè)務(wù)可信邊緣接入與多級安全隔離技術(shù)。

3電力系統(tǒng)智能終端信息安全防護技術(shù)研究思路

針對電力系統(tǒng)智能設(shè)備安全互聯(lián)的需求，以解決電力系統(tǒng)智能終端“自身安全”和“攻擊防御”問題為核心，本文提出了覆蓋“芯片層、終端層、交互層”的3層安全防護研究脈絡(luò)，構(gòu)建電力系統(tǒng)智能終端安全防護技術(shù)研究模型，如圖2所示。

具體來說，首先需解決“覆蓋電路級、CPU內(nèi)核及片上內(nèi)嵌入式操作系統(tǒng)的芯片全通路安全防護機制及適應(yīng)各類異構(gòu)終端的普適性主動免疫問題”，從芯片層安全和終端層安全開展關(guān)鍵技術(shù)研究，以確保電力系統(tǒng)智能終端自身安全。在芯片層，需開展芯片電路級安全、專用CPU內(nèi)核、片上內(nèi)嵌入式操作系統(tǒng)安全等3方面技術(shù)研究，為電力系統(tǒng)智能終端計算環(huán)境安全提供滿足安全性、實時性要求的電力專用芯片，為終端主動免疫能力構(gòu)建提供基礎(chǔ)。在終端層，需從終端計算環(huán)境安全、應(yīng)用安全、通信安全角度，重點研究具有主動免疫能力的電力系統(tǒng)智能終端內(nèi)嵌入式組件和控制單元技術(shù)，并研制具備主動免疫能力的電力嵌入式組件、控制單元和終端。芯片層研究和終端層研究的成果共同解決終端主動免疫問題；同時，終端層將為交互層提供終端安全監(jiān)測數(shù)據(jù)，并向交互層終端邊緣接入防護提供業(yè)務(wù)場景和接入需求。

在此基礎(chǔ)上，為解決“攻擊特征不確定、終端/業(yè)務(wù)/網(wǎng)絡(luò)強耦合條件下，終端安全狀態(tài)建模、精確感知及威脅阻斷”的問題，需從交互層安全開展關(guān)鍵技術(shù)研究以確保外部攻擊防御。具體來說，面向主動免疫終端的互聯(lián)應(yīng)用場景，研究提供網(wǎng)絡(luò)監(jiān)控防御和安全交互保障技術(shù)；從終端狀態(tài)感知、攻擊識別、威脅阻斷等3個監(jiān)控與防滲透必要環(huán)節(jié)，研究終端、業(yè)務(wù)、網(wǎng)絡(luò)多維融合狀態(tài)感知、關(guān)聯(lián)電力業(yè)務(wù)邏輯的深度攻擊識別、終端網(wǎng)絡(luò)聯(lián)動的威脅阻斷技術(shù)，實現(xiàn)終端安全威脅精確感知與阻斷，為電力系統(tǒng)智能終端提供網(wǎng)絡(luò)攻擊防滲透決策控制服務(wù)。同時，研究電力系統(tǒng)智能終端的統(tǒng)一邊緣接入場景安全防護，為終端的邊緣接入安全、數(shù)據(jù)安全和隔離保護提供技術(shù)支撐，為具有自免疫能力的電力系統(tǒng)智能終端的邊緣接入提供安全傳輸通道。

4電力系統(tǒng)智能終端信息安全防護關(guān)鍵技術(shù)

下文將從芯片層、終端層、交互層等3個方面對電力系統(tǒng)智能終端安全防護需突破的關(guān)鍵技術(shù)展開闡述。

1)芯片層安全防護關(guān)鍵技術(shù)：芯片電路級可證明安全防護技術(shù)和內(nèi)核故障自修復(fù)技術(shù)。

針對復(fù)雜環(huán)境、先進工藝條件以及新型攻擊模型帶來的一系列芯片安全問題，研究覆蓋電路級、CPU內(nèi)核以及嵌入式操作系統(tǒng)的具有完全自主知識產(chǎn)權(quán)的電力芯片安全技術(shù)[17]。滿足電力系統(tǒng)終端對電力專用芯片的高安全、高可靠、高實時性要求。

首先需要進行芯片級安全防護理論研究，針對集成電路器件的信息泄露產(chǎn)生源問題[18]，具體理論研究方法為：研究先進工藝下電流、光、熱等物理信息的產(chǎn)生機理[19]，掌握其內(nèi)在物理特性和工藝間的關(guān)系；分析芯片電路元件的組合物理特性，以及多元并行數(shù)據(jù)在信息泄露上的相互影響；在芯片內(nèi)部特征差異和外部噪聲環(huán)境下，研究先進工藝下電力專用芯片物理信息泄露的精準(zhǔn)建模方法，構(gòu)建普適性物理信息泄露模型；研究可證明安全的泄露信息掩碼、隱藏技術(shù)以及抵御高階分析和模式類分析的防護技術(shù)，提升芯片安全設(shè)計理論與方法；研究層次化芯片安全防御體系架構(gòu)。通過研究芯片運行電磁環(huán)境監(jiān)測、運行狀態(tài)監(jiān)測、多源故障檢測技術(shù)，實現(xiàn)芯片的環(huán)境監(jiān)測和內(nèi)部監(jiān)測。研究CPU指令流加密和簽名、平衡電路構(gòu)建、數(shù)字真隨機數(shù)電路等技術(shù)，實現(xiàn)芯片內(nèi)部數(shù)據(jù)的存儲加密、總線擾動、電路掩碼。提出可證明安全的自主知識產(chǎn)權(quán)芯片電路級防護方法，滿足電力專用芯片的高安全要求。

在理論研究基礎(chǔ)上，需基于可證明安全的芯片電路級防護方法進行芯片電路級防護實現(xiàn)技術(shù)研究。首先，基于自主知識產(chǎn)權(quán)的CPU架構(gòu)，研發(fā)帶有高安全、高可靠特性的CPU內(nèi)核，并對以上技術(shù)進行仿真驗證，研究形成CPU內(nèi)核故障自修復(fù)技術(shù)，滿足電力專用芯片的高可靠性要求；然后，確定仿真驗證可行性，并采用以上關(guān)鍵技術(shù)研制低功耗、高速特性的電力專用芯片，開發(fā)適用于電力應(yīng)用的片上內(nèi)嵌入式操作系統(tǒng)，滿足電力專用芯片的高實時性要求。

最后，對研制的電力專用芯片和內(nèi)嵌入式操作系統(tǒng)進行全套模擬測試，以確定滿足后續(xù)電力智能終端的開發(fā)應(yīng)用。通過芯片層安全研究方法確保電力專用芯片滿足安全防護要求，實現(xiàn)功耗電磁隱藏、數(shù)據(jù)命令掩碼、電路屏蔽，以抵御模板攻擊、電磁注入攻擊等新型信道攻擊、故障攻擊、侵入式攻擊。具體研究框架如圖3所示。

2)終端層安全防護關(guān)鍵技術(shù)：融合可信計算和業(yè)務(wù)安全的異構(gòu)智能終端主動免疫技術(shù)。

針對電力智能終端異構(gòu)、資源受限條件帶來的終端易被惡意控制和破壞的風(fēng)險，提出研究融合可信計算和業(yè)務(wù)安全的異構(gòu)智能終端主動免疫技術(shù)。首先，根據(jù)電力多場景業(yè)務(wù)應(yīng)用情況，分析各類電力系統(tǒng)智能終端的安全防護需求，提取異構(gòu)智能終端的主動免疫需求特征；然后，根據(jù)異構(gòu)終端的主動免疫需求特征，研究建立適應(yīng)電力系統(tǒng)智能終端的普適性主動免疫安全架構(gòu)。①在硬件安全架構(gòu)技術(shù)研究方面，針對電力終端特性研究基于電力專用芯片的電力終端可信根[20]，實現(xiàn)對電力終端操作系統(tǒng)、業(yè)務(wù)應(yīng)用程序的可信量度，保證終端狀態(tài)的可信[21-22]；設(shè)計以可信根為基礎(chǔ)、以嵌入式微控制單元(MCU)為應(yīng)用的終端可信邏輯硬件架構(gòu)，研究端口安全訪問機制和接口驅(qū)動安全機制，實現(xiàn)終端的主動免疫能力。②在軟件架構(gòu)技術(shù)研究方面，針對電力終端在數(shù)據(jù)交互、訪問機制、檢查機制、審計機制方面存在的漏洞，研究數(shù)據(jù)安全保護機制[23]，保證各個應(yīng)用和各部分數(shù)據(jù)的獨立安全；研究滿足電力系統(tǒng)需求的安全訪問控制機制，外層訪問和軟件平臺之間的安全檢查機制；研究適應(yīng)外層、軟件平臺訪問的安全訪問審計機制。

在電力系統(tǒng)智能終端普適性主動免疫安全架構(gòu)基礎(chǔ)上，為實現(xiàn)終端計算環(huán)境安全、業(yè)務(wù)應(yīng)用安全和對外通信安全，提升多種場景下異構(gòu)電力系統(tǒng)智能終端的安全防護能力。需開展系統(tǒng)安全訪問、數(shù)據(jù)安全保護、信任鏈構(gòu)建、可信量度與可信管理、可信證明與可信證據(jù)收集、數(shù)據(jù)安全交互、核心功能保護、快速恢復(fù)及通信完整性保護等方面的關(guān)鍵技術(shù)研究，建立適應(yīng)電力系統(tǒng)異構(gòu)終端的普適性主動免疫體系。具體研究框架如圖4所示。

3)交互層安全防護關(guān)鍵技術(shù)一：面向不確定攻擊特征的終端威脅精確感知與阻斷技術(shù)。

針對電力終端接入和互聯(lián)過程中的攻擊監(jiān)測、異常處理與安全防護需求存在的問題，研究基于“異常監(jiān)測—阻斷響應(yīng)—安全防護”的交互層安全技術(shù)。

首先，研究多級分布式監(jiān)測與防滲透架構(gòu)，構(gòu)建監(jiān)測布點機制和終端防滲透模型：①針對典型電力終端業(yè)務(wù)場景，分析不同場景的脆弱性和安全威脅，研究基于業(yè)務(wù)場景的終端網(wǎng)絡(luò)滲透路徑；②對終端系統(tǒng)中已有的安全防御措施進行建模；③綜合防御模型與終端網(wǎng)絡(luò)滲透路徑，形成不同業(yè)務(wù)場景的監(jiān)控與防滲透模型。

其次，針對網(wǎng)絡(luò)滲透攻擊特征的不確定性，需研究終端、業(yè)務(wù)、網(wǎng)絡(luò)多維融合安全狀態(tài)建模與感知方法，建立各維度安全狀態(tài)基準(zhǔn)，采用異常特征抽取技術(shù)獲取各類攻擊和異常特征的映射關(guān)系，反向推導(dǎo)可能發(fā)生的滲透攻擊，實現(xiàn)異常識別。在終端安全狀態(tài)感知方面，需分析多源異構(gòu)嵌入式電力智能終端硬件資源、可信模塊、配置文件、關(guān)鍵進程等運行狀態(tài)特征，構(gòu)建面向終端狀態(tài)異常行為的分類和診斷模型，實現(xiàn)對多源異構(gòu)終端的有效異常感知。在業(yè)務(wù)安全狀態(tài)感知方面，開展基于協(xié)議深度分析的業(yè)務(wù)異常感知的研究。分析電力協(xié)議的格式規(guī)范、業(yè)務(wù)指令特征和操作邏輯，對協(xié)議進行深度解析并提取指令級特征[24]；分析單一數(shù)據(jù)報文的合規(guī)性，識別畸形報文；分析組合數(shù)據(jù)報文，還原業(yè)務(wù)操作行為，實現(xiàn)對違規(guī)行為的異常感知。在網(wǎng)絡(luò)安全狀態(tài)感知方面，從通信路徑、通信頻率、流量大小、流量類型等多維角度分析電力終端流量特征[25]，并融合歸一化處理，以自學(xué)習(xí)的方式確定行為基線，實現(xiàn)流量異常識別。

在此基礎(chǔ)上，針對電力系統(tǒng)遭受滲透攻擊后的準(zhǔn)確有效響應(yīng)需求，結(jié)合各類電力系統(tǒng)業(yè)務(wù)場景，研究基于特征提取和模式識別的攻擊關(guān)聯(lián)分析方法，構(gòu)建概率關(guān)聯(lián)模型和因果關(guān)聯(lián)模型，對攻擊特征進行關(guān)聯(lián)分析[26]，作為攻擊識別技術(shù)的支撐基礎(chǔ)。對具有較顯著特征的攻擊行為，構(gòu)建多模式快速匹配模型，實現(xiàn)攻擊的快速匹配識別，對特征相對不很顯著的復(fù)雜攻擊行為，利用機器學(xué)習(xí)，實現(xiàn)攻擊的有效檢測。

最后需研究防滲透策略管理和隔離阻斷技術(shù)，形成網(wǎng)絡(luò)和終端設(shè)備的策略下發(fā)、執(zhí)行和優(yōu)化等綜合管理方法；對于被入侵的高風(fēng)險終端，產(chǎn)生終端隔離策略或網(wǎng)絡(luò)阻斷策略，對于受影響終端，生成風(fēng)險規(guī)避策略。并需要研究策略優(yōu)化、沖突檢測、沖突消除算法，實現(xiàn)融合“終端隔離”與“網(wǎng)絡(luò)阻斷”的多層協(xié)同防御策略，最終基于攻擊危害評估的隔離阻斷技術(shù)實現(xiàn)攻擊的抵御和消解。具體研究框架如圖5所示。

4)交互層安全防護關(guān)鍵技術(shù)二：電力系統(tǒng)智能終端互聯(lián)場景下終端邊緣安全接入和混合業(yè)務(wù)隔離保護技術(shù)。

首先研究電力系統(tǒng)智能終端邊緣接入體系架構(gòu)和安全防護體系，為電力監(jiān)控系統(tǒng)、智慧能源系統(tǒng)、能源計量系統(tǒng)的終端互聯(lián)安全提供基礎(chǔ)支撐。

在此基礎(chǔ)上，針對電力系統(tǒng)智能終端互聯(lián)、混合業(yè)務(wù)統(tǒng)一接入場景下，海量多樣化終端的合法快速接入認證問題，需采用分布式授權(quán)接入控制、輕量級驗簽等方法，研究快速接入認證技術(shù)；在輕量級公鑰、私鑰研究的基礎(chǔ)上，提出輕量級簽名算法以及公鑰對生成算法[27]，通過軟硬件結(jié)合方式構(gòu)建輕量級的驗簽體系，支撐系統(tǒng)的實時驗簽處理。實現(xiàn)終端分布式授權(quán)和高速安全接入認證。同時，需針對不同邊緣側(cè)業(yè)務(wù)、環(huán)境、時間、跨度，實現(xiàn)不同安全需求的邊緣側(cè)認證授權(quán)技術(shù)，即在知識庫、規(guī)則庫構(gòu)建的基礎(chǔ)上，基于自學(xué)習(xí)方法構(gòu)建完整的電力系統(tǒng)邊緣計算認證因子體系[28]，實現(xiàn)多種認證因子共存的“白名單”最小化授權(quán)認證。

針對邊緣接入過程中的數(shù)據(jù)安全防護問題，需研究輕量級密鑰更新和數(shù)據(jù)安全處理與質(zhì)量保障技術(shù)，實現(xiàn)全實時數(shù)據(jù)安全防護。首先設(shè)計密鑰管理、協(xié)商、更新機制，重點研究混合業(yè)務(wù)分級分類安全存儲、高速接入場景動態(tài)協(xié)調(diào)存儲方法，滿足數(shù)據(jù)高速增量存儲。在此基礎(chǔ)上，研究高性能的安全多方計算方法，實現(xiàn)實時數(shù)據(jù)流的安全、高速處理和隱私保護，在計算能力和帶寬約束條件下解決數(shù)據(jù)篡改、數(shù)據(jù)失真等安全問題，并在邊緣計算能力和帶寬約束條件下實現(xiàn)數(shù)據(jù)清洗、融合、治理，定量化提升數(shù)據(jù)質(zhì)量。

最后針對多業(yè)務(wù)互聯(lián)過程中的業(yè)務(wù)隔離困難的問題[29]，需結(jié)合資源虛擬化調(diào)度和切片技術(shù)，研究多業(yè)務(wù)安全隔離技術(shù)，選擇合適的切片粒度和生命周期，平衡切片的靈活性和復(fù)雜性，實現(xiàn)多業(yè)務(wù)共享資源的切片式安全隔離，支持混合業(yè)務(wù)可信敏捷接入與多級安全隔離。同時為了確保業(yè)務(wù)連續(xù)性不受影響，充分利用不同通道的優(yōu)勢，需采用通道切換的方法進行多模通道自動倒換，實現(xiàn)通道使用優(yōu)化，提高業(yè)務(wù)接入和備份能力，確保業(yè)務(wù)狀態(tài)不中斷。具體研究框架如圖6所示。

5電力系統(tǒng)智能終端信息安全防護能力測試驗證技術(shù)

電力系統(tǒng)智能終端信息安全防護需要多方面的關(guān)鍵技術(shù)，目前國內(nèi)外尚無適用于電力系統(tǒng)智能終端業(yè)務(wù)環(huán)境的安全性測評驗證技術(shù)。本文嘗試從安全防護技術(shù)集成優(yōu)化、實驗室測試驗證、多業(yè)務(wù)綜合試驗驗證等3個方面，對電力系統(tǒng)智能終端信息安全防護技術(shù)有效性進行分析和展望。

1)安全防護關(guān)鍵技術(shù)集成優(yōu)化。電力系統(tǒng)智能終端安全防護涉及了芯片層、終端層、交互層3個方面，相關(guān)技術(shù)在應(yīng)用過程中需兼容電力不同業(yè)務(wù)系統(tǒng)應(yīng)用場景、防護要求及措施的差異。同時，需要兼顧與各業(yè)務(wù)系統(tǒng)在功能模型、性能指標(biāo)、安全策略等方面的匹配性，考慮與已有防護策略的優(yōu)化集成應(yīng)用需求，以支撐芯片層—終端層—交互層安全防護技術(shù)的整體研發(fā)與應(yīng)用。

2)安全性實驗室測試驗證。為滿足電力系統(tǒng)智能終端信息安全防護技術(shù)有效性驗證需求，需基于電力業(yè)務(wù)系統(tǒng)運行場景模擬，研究安全防護能力的實驗室測試技術(shù)，構(gòu)建終端安全性檢驗測試平臺，實現(xiàn)安全功能符合性、穿透性測試。此外，需研究考慮不同攻擊密度、攻擊特征及目標(biāo)定位的攻擊用例，構(gòu)建安全攻防驗證平臺，實現(xiàn)主動免疫電力系統(tǒng)智能終端及安全監(jiān)測與防滲透系統(tǒng)安全功能的有效性測試。

3)安全性綜合驗證評估。綜合考慮實際業(yè)務(wù)環(huán)境中的負荷特點、供電可靠性要求等因素，在安全防護技術(shù)應(yīng)用到生產(chǎn)環(huán)境后，為對相關(guān)安全技術(shù)有效性以及業(yè)務(wù)影響性進行測評驗證。需考慮通過紅隊攻擊和專家組驗證等方式，采用終端自身攻擊、縱向通信攻擊、主站下行攻擊等方式，驗證主動免疫電力終端、終端安全監(jiān)測與防滲透系統(tǒng)、邊緣計算安全接入設(shè)備的安全功能有效性，并評估對業(yè)務(wù)系統(tǒng)實時性、正確性、可靠性等方面的影響及對現(xiàn)有防護體系的提升能力。