美國賽博空間安全和網絡靶場現狀與啟示論文
1.引言
隨著計算機和網絡技術的發展，賽博空間已逐漸演變為一個類似于陸、海、空、天等真實存在的客觀領域，主要由各種電子設備、網絡、信息系統以及相關的基礎設施組成，以信息和對信息的控制為主要內容，通過對數據的產生、存儲、修改和交換，實現對物理系統的操控并影響人的認知和社會活動[1~2].在賽博空間越來越被重視的同時，其面臨的安全威脅與挑戰也與日俱增，各種攻擊手段和方法如網絡攻擊、程序漏洞、計算機病毒、邏輯炸彈、預置后門、惡意軟件等在賽博空間中層出不窮。在賽博空間中，攻擊者只要能夠接入系統，就可不受時間和地點的影響，隨時隨地發起攻擊，而且攻擊能夠瞬間到達。一旦攻擊成功，將對對方的政治、軍事、經濟、科技、社會等方面造成極大的破壞[3].
鑒于賽博空間安全在國家政治、軍事、經濟安全中的重要地位，世界各軍事強國紛紛將賽博空間安全納入國家安全戰略。美國為實施賽博威懾，謀求戰略優勢，以反恐為名，不斷擴大和完善其網絡安全戰略，先后經歷了"全面防御、保護設施"、"攻防結合、網絡反恐"、"主動防御、網絡威懾"等幾個階段[4];近年來還相繼發布了《賽博空間作戰條令》、《賽博空間國際戰略報告》、《賽博空間作戰戰略報告》等多份有關賽博空間的重量級戰略文件。
英、德、法、日等國也相繼推出了網絡安全戰略和建設網絡作戰力量的發展計劃。我國海軍雖然高度重視賽博空間和信息安全保障工作，但在開展賽博空間安全工作時也面臨著一些挑戰。首先，在實際的海戰場環境中直接開展真實的大范圍的網絡安全試驗和攻防演練，容易造成物理設備故障和系統崩潰，引起不必要的損失。
其次，在實際的海戰場環境中進行真實的大范圍的網絡攻防演練時，一次試驗無法覆蓋多種攻防場景，需要不斷地調整物理設備和節點的部署情況進行多次試驗，不僅增加了投入成本，有時也不具有可實現性。因此，為保證海戰場環境下的賽博空間安全，需要建立能夠模擬實際海戰場的仿真試驗環境，在該環境中開展真實的大范圍網絡攻防演練，以測試和評估海軍賽博空間和網絡設施的薄弱環節，預防來自賽博空間的威脅和攻擊，提升賽博空間作戰能力，推進海軍賽博空間安全戰略的科學規劃和有效實施。網絡靶場為這種仿真環境的建立提供了技術手段和實現途徑。
網絡靶場是指為了適應軍事領域內的信息系統和信息化武器裝備的發展要求，提供近似實戰的信息戰環境而建立的網絡安全試驗平臺。網絡靶場可以為各種網絡技術、攻擊防御手段和制定的安全性策略和方案提供定量和定性的評估，實現信息系統和信息化武器裝備的技戰術性能測試和作戰效能評估，為信息安全主管機構評估網絡信息系統的安全程度提供一個可信性、可控性、可操作性強的試驗環境[5].本文通過對美國賽博空間安全和網絡靶場現狀的追蹤分析，結合我國海軍的現實需求，探討了建設我國海軍網絡靶場的一些技術思路和實現方案，具體包括總體框架，靶場平臺、網絡攻防、數據與管理安全、測試與評估等方面。
2.美國網絡靶場現狀
2.1美國國家網絡靶場
國家網絡靶場（National Cyber Range,NCR）是美國"國家網絡安全綜合計劃（ComprehensiveNational Cybersecurity Initiative,CNCI）"的重要組成部分，由高級研究計劃局負責管理，建成后將為美國、陸海空三軍和其他政府機構服務。
NCR的參與方包括信息安全企業、學術機構和商業實體，其建設目標為：為模擬真實的網絡攻防作戰提供虛擬環境，針對敵方電子攻擊和網絡攻擊等電子作戰手段進行試驗，以實現網絡戰能力的重大變革，打贏在未來現代化戰爭中具有決定意義的網絡戰爭。
NCR建成后將具備的能力包括[5]:大規模軍用網絡、政府網絡、商用網絡及國家級網絡攻防對抗的仿真能力；支持成千上萬的物理和虛擬節點的部署與測試，并能提供自動測試的能力；支持不同安全等級條件下的大規模網絡以及信息系統的攻擊和防御測試；根據實際需求和資源情況，測試網絡安全、主機系統安全工具和套件的能力；加速或減緩相關測試時間的能力；封閉或隔離測試數據的能力；真實復制相關用戶行為及弱點的能力；開發與部署創新性網絡測試的能力。
NCR在試驗規模、對象、環境、安全與復雜度等方面都有別于傳統的電子靶場和通信靶場。建設NCR時面臨的關鍵技術難點主要有：大規模網絡仿真環境構建技術、靶場試驗時鐘同步技術、靶場試驗運行控制技術等[6].
1）大規模網絡仿真環境構建技術
NCR需要能夠重現出大規模的軍事、政府和商業網絡，由于網絡的規模龐大、覆蓋范圍廣，形態多樣而且動態變化，靶場難以利用有限的物理資源真實重現各類網絡。故需要采用仿真的方法以擴大靶場的規模，且盡可能減少與真實網絡環境的差異性，同時根據不同的試驗要求和對象按需部署，以滿足靶場試驗環境在結構、規模和節點要素等方面的要求。
2）靶場試驗時鐘同步技術
在NCR中進行試驗時，為提高試驗的逼真度，通常需要將外部的實際設備與系統作為配試系統接入靶場。由于這些真實資源與靶場中的虛擬資源在時鐘同步方式、描述精度與運行方式等方面存在差異，而且在大規模網絡環境中存在不可預知的網絡延時，故需要解決真實資源與虛擬資源之間的精準時鐘同步問題。
3）靶場試驗運行控制技術
網絡靶場試驗運行控制技術主要包括試驗的進程控制和調試控制技術。其中，試驗進程控制技術主要包括進程的開始、跳轉、加減速、凍結、恢復和結束等，試驗過程的縮短與延長是通過運行不同粒度的時間驅動來實現的。試驗調試控制技術主要是通過調整試驗設定中的事件順序來完成的'。
2.2美國信息保障靶場
信息保障靶場（Information Assurance Range,IAR）是由美國（Department of Defense,DoD）信息系統局安全作戰室倡導謀劃的，旨在提供一個全球信息柵格（Global Information Grid,GIG）作戰仿真環境，其信息保障、網絡防御能力以及網絡服務均處于封閉環境中。
IAR也是賽博人員的虛擬訓練場，為賽博演習、新信息保障技術與網絡防御戰術、技術和規程的測試與評估提供綜合仿真環境。IAR的許多功能與NCR類似，但IAR并非NCR項目的一部分，兩者在靶場的使用對象、環境、靶場職能、作戰強度以及安全性等方面都有所不同，具體內容如表1所示[7].為了模擬真實的作戰環境，IAR主要采用了系統管理者仿真訓練器SAST和斷點等工具。
SAST是一個為訓練人員、組織訓練和測試工具提供真實賽博靶場環境的軟件套件，用以描述和產生網絡行為，主要包括三個工具插件包[7].
1）多用戶流量產生工具：描述賽博空間中正常用戶的行為活動，通過網絡流量模擬正常用戶行為，適用于對網絡安全設備能力的測試以及邊界防護技術人員的訓練。
2）協同攻擊工具：描述并產生惡意攻擊者行為，支持用戶制定的攻擊方案，集成了大量不同類型的已有的攻擊工具和漏洞溢出程序工具包，適用于描述內部威脅以及模擬仿真紅隊。
3）虛擬網絡提供商服務：模擬互聯網提供的網絡服務，如遠程終端、超文本傳輸和文件傳輸服務等。
3.面向賽博空間的海軍網絡靶場建設思路
3.1總體框架
面向賽博空間的海軍網絡靶場的主要任務是研究和開發適用于海戰場環境的網絡安全仿真試驗平臺，其總體框架如圖1所示。研究人員可以根據需要設定網絡設備參數、網絡拓撲結構、脆弱性參數、威脅參數、擬評估指標等網絡攻防參數，根據不同的試驗需求，從網絡攻防試驗模型和試驗數據庫中選取不同的試驗模型和試驗數據，進行網絡攻防試驗。在試驗過程中，靶場要能夠在運行資源和管理資源之上支持不同攻防場景的快速部署，使得研究人員能夠全方位地對靶場和被測系統進行安全性評估，重點完善改進薄弱環節，并研發各種可能的新技術來應對可能的威脅和攻擊；靶場要能夠進行網絡攻防態勢感知，測試對比各種態勢感知工具的功能和性能；靶場要能夠通過設定不同的網絡拓撲、網絡協議與服務和網絡流量，測試并評估網絡的復雜性。此外，靶場應支持人為地為被測試系統設置系統漏洞或故障，以測試被測系統的管理配置安全性。所有的攻防試驗數據都被詳細地記錄下來，通過數據處理和分析，生成便于直觀理解的結果，反饋給研究人員、指戰員和上級機關，用以評估靶場、被測系統的安全性和抗攻擊性，采取的網絡攻防手段和方案的優缺點，并進一步形成和豐富網絡攻防試驗模型和試驗數據庫。
3.2建設方案
海軍網絡靶場的建設需要不同的技術部門共同參與，需要由統一的部門統籌管理，協調分工，做好靶場基礎設施建設規劃和標準的制定，統一信息格式和標準化接口，以使靶場內的資源和信息互聯、互通、互操作，實現海戰場環境下一體化的試驗功能、機動化的試驗平臺、多樣化的試驗模式、精確化的試驗指揮、可視化的試驗場景。在靶場的建設過程中應重點考慮以下方面[8]:1）盡可能重現真實的物理網絡狀況，包括路由器、交換機、服務器、防火墻、入侵檢測設備、無線接入設備等要素；2）盡可能全面反映各種平臺和服務的工作狀況；3）盡可能包含具備不同安全意識等級的網管人員的管理策略和方法；4）盡可能詳細地記錄各種攻防日志，提供數據處理和分析功能，把處理后的攻防數據以直觀的方式展現給研究人員和指戰員，便于反饋和學習。
在靶場建設過程中，可從靶場平臺、網絡攻防、數據分析、測試與評估等幾個方面來具體實施，包括：提供基礎平臺和軟硬件環境，設定相應的版本和補丁可控的操作系統以及各個系統平臺漏洞；網絡上提供各種協議服務和應用軟件，允許數據在網絡上以明文方式傳輸，同時也提供數據加密和完整性校驗機制，允許/禁止網段內數據包過濾和嗅探，允許網絡欺騙和中間人攻擊等，各種級別的訪問權限控制，人為的管理漏洞，如弱口令、口令重用、敏感文件無規范放置；詳盡的攻防日志以及機器狀態日志等。
3.2.1靶場平臺
網絡靶場需要提供近似真實環境的仿真環境，可通過云計算技術搭建基礎平臺。云計算通過網絡將超大規模的計算與存儲資源整合起來，并將計算任務分布在這些資源池上，使用戶能夠根據自己的需要獲得計算和存儲等信息服務。云計算將抽象的業務邏輯與具體的計算資源分離，用戶只需關注自身的業務邏輯，而無需關注復雜、易錯的底層計算機的資源管理。這些特點使得采用云計算技術構建網絡靶場時能做到低成本、容易管理。
每次進行靶場試驗前，可動態地創建虛擬機以滿足當前試驗所需要的節點數量，并通過對虛擬機的靈活部署和動態遷移，形成預想的網絡拓撲結構。靶場試驗過程中，所有的攻擊效果都被限定在虛擬機中，對實際的物理設備的影響甚小，減少了物理設備因攻擊而出現故障或損壞而需要增加投入的風險。每次試驗結束時，可動態的掛起或者銷毀虛擬機，釋放分配的試驗資源，由靶場完整回收并供下次試驗繼續使用。研究人員可以非常方便地在靶場中部署各種不同的攻防場景，反復演練不同的攻擊和防御手段。
3.2.2網絡攻防
網絡靶場在建設和運行過程中，需要反復演練各種網絡攻擊和防御手段與策略，測試發現尚未發現的漏洞和攻擊點，試驗改進新的防御工具，同時也在攻防演練的過程中提高相關人員的網絡安全防御意識和能力。
網絡攻擊一般包括三個階段，即攻擊的準備階段、實施階段、善后階段。在準備階段，主要是確定攻擊目的，偵察掃描目標系統，準備攻擊工具。在實施階段，攻擊者首先會隱藏自己的位置，然后利用收集到的信息和各種手段登錄目標主機并提升權限，之后便是利用漏洞、后門或者其他方法獲得控制權。在善后階段，攻擊者需要消除或者隱藏攻擊痕跡，植入后門或者木馬，退出目標系統。攻擊者通過遠程控制植入的后門程序或者木馬，可以隨時再次對目標系統發起攻擊。在網絡靶場的建設過程中應至少考慮以下攻擊方式：網絡偵察技術，拒絕服務攻擊，緩沖區溢出攻擊，程序攻擊，欺騙攻擊，利用處理程序錯誤攻擊，高級可持續攻擊等。
在網絡安全防護技術方面，可以從網絡的不同層次和角度采取不同的安全技術[1],包括：
1）信息傳輸安全技術：保護傳輸信道的物理層與鏈路層，主要包括通信鏈路加密和數據加密、數據完整性校驗、信道的旁路攻擊檢測和防護等技術。
2）信息交換安全技術：保護數據的可靠尋址、路由與交換，主要包括網絡實體的身份認證、路由表訪問控制、地址反欺騙、協議報文防篡改等技術，以及采用自主設計的通信協議，包括呼叫處理、信令處理、路由協議等。
3）網絡服務安全技術：保護應用層的網絡服務，主要包括應用系統訪問控制、拒絕服務攻擊檢測與防御、入侵檢測與保護、安全審計、數據包過濾、深度包檢測、反病毒、漏洞掃描與挖掘、虛擬專用網、蜜罐、安全恢復等技術。
4）自免疫與自愈技術：當網絡受到攻擊而影響到正常的服務功能時，能夠通過自身的免疫能力來實現網絡的自愈。
5）網絡管理安全技術：保護管理各類網絡設備，主要包括網絡管理安全需求的等級劃分與保護，網絡管理安全架構與訪問控制，網絡資源的保護機制與實時監控，基于策略的網絡管理等。
6）網絡安全分析評估技術：用于評定網絡的安全防護能力，針對網絡安全策略，給出理論分析和仿真結果，結合定性和定量的分析結果，得出網絡的風險評估模型、風險評估方法和網絡安全威脅標識，檢測網絡的滲透性和安全脆弱性等。
此外，還可以將一些其他技術應用到網絡攻防演練中，如可信計算技術[9]、博弈論等。可信計算技術能夠從底層硬件保護信息系統，可抵抗軟件攻擊，為平臺以及運行在平臺上的軟件提供完整性證明，從而為上層應用系統提供安全可信的運行環境；將可信計算技術延伸到網絡層面，可以構建可信網絡連接，對網絡用戶的身份進行認證。理想的防御系統應該對所有的弱點或攻擊行為都做出防護，但是從組織資源限制等實際情況考慮，"不惜一切代價"的防御顯然是不合理的，必須考慮"適度安全"的概念，即考慮信息安全的風險和投入之間尋求一種均衡，應當利用有限的資源做出最合理的決策。因而，可以將攻擊者與防御者之間的攻防過程抽象為一個二人的博弈問題，防御者所采取的防御策略是否有效，不應該只取決于其自身的行為，還應取決于攻擊者和防御系統的策略，從而通過均衡的計算來尋找最優防御策略[10].
圖2展示了網絡靶場的攻防演練流程圖。首先，訓練人員從攻擊工具庫獲取相應的攻擊工具或攻擊方法，并對目標機器發起攻擊，攻擊行為被記錄在攻擊行為記錄庫中。然后，攻擊行為被攻擊行為檢測模塊檢測到，脆弱性模擬模塊也開始接受攻擊行為的壓力測試，實現不同程度的被攻擊效果，行為控制模塊對攻擊行為被允許的限度和攻擊難度進行調節；被攻擊效果記錄庫對攻擊行為進行詳細記錄，在不同層次上跟蹤攻擊行為，得到原始的攻防數據。最后，攻擊源端的行為記錄和被攻擊目標的被攻擊效果記錄被數據融合系統融合[8],得到詳細的攻防效果分析報告，作為攻防演練的經驗總結與評估。
3.2.3數據分析
網絡靶場在試驗過程中會產生大量的原始試驗數據，這些試驗數據是分析、評估和改進靶場和試驗系統的關鍵因素。對原始試驗數據的詳細記錄是一個方面，更重要的是對試驗數據的分析與處理。首先，需要對大量的試驗數據進行預處理和清洗，去除偏差較大或者無效的干擾數據，使得分析的結果盡可能反映真實的靶場情況。再次，需要有高效的數據分析方法和工具，如可以通過數據融合算法和技術對預處理后的數據進行融合，再用數據挖掘技術和機器學習方法對融合數據進行分析，也可以采用大數據技術處理分析試驗數據。最后，還需要有直觀有效的數據解釋方法和工具，方便用戶對數據分析結果的使用，通過數據分析結果能夠直觀地總結靶場和試驗系統當前的狀況和薄弱環節，涉及的主要技術包括可視化和人機交互等。
3.2.4測試與評估
網絡靶場建成后，研究人員可以在靶場環境中對海軍的指揮控制、信息傳輸等信息技術和系統的安全性以及信息安全保障工具與手段進行定性及定量的評估。通過對復雜的海戰場環境的高度仿真，既可以在靶場內同時對海軍的各信息系統進行獨立的測試與評估，也可以在各信息系統之間進行一體化的聯合演練測評，從而為海軍各信息系統的優化改進、提高系統安全性和抗攻擊性等提供試驗支撐。
面向賽博空間的海軍網絡靶場測試的對象應涵蓋各信息系統的關鍵組成要素，包括主機操作系統與系統內核、關鍵設備/終端部件、主機安全系統、局域網安全工具和組件、網絡操作系統和設備、網絡拓撲結構以及網絡協議等。為了對靶場的實際功能效果進行翔實有效的測試與評估，需要根據相應的測評標準擬定測評指標。面向賽博空間的海軍網絡靶場的測評標準的制定可參考國內外使用廣泛的測評標準，如美國的《可信計算機系統評價準則》（TCSEC橙皮書）、我國的《計算機信息系統安全保護等級劃分準則》（GB 18759-1999）、總裝備部的《信息安全保障體系框架》（GJB 7250-2011）等。
4.結語
本文首先通過對賽博空間面臨的安全威脅與挑戰的分析，引出了網絡靶場的概念，指出網絡靶場為建立海戰場環境下賽博空間安全的仿真試驗環境提供了技術手段和實現途徑。之后，本文分析對比了美國網絡靶場現狀，在此基礎上，探討了建設我國海軍網絡靶場的一些技術思路和實現方案，包括總體框架，靶場平臺、網絡攻防、數據分析、測試與評估等方面。
【美國賽博空間安全和網絡靶場現狀與啟示論文】相關文章：