军队军工网络安全观 2021-04-29​美国国防部CIO谢尔曼强调：”这不是技术问题，而是战略问题。” 美国国防部CIO（首席信息官）谢尔曼（John Sherman）于4月22日宣布：美国国防部计划推出一个零信任战略2021。谢尔曼特别强调：”这不是技术问题，而是战略问题。“ 国防部重视零信任，并不足为奇。但是这次的关键词是“战略”。从重视零信任到形成零信任战略，还是有本质不同的。另外，之前重视零信任的主要是DISA（国防信息系统局）和NSA（国家安全局）等国防部的下级机构，他们主要是执行者。而国防部CIO（首席信息官）是他们的上级，是决策者。所以，这次算是决策者的表态。这也是为何重视此项消息的原因。 本文主要概述三件事：一是国防部CIO计划推出零信任战略；二是国防部零信任参考架构指南的进展；三是国防部CISO（首席信息安全官）表示计划建立零信任投资组合管理办公室。 至此，我们可以简单地总结和预判：美国国防部的IT战略是DMS（数字现代化战略）；美国国防部的网络安全战略大概率是基于云的零信任战略。 目 录 1.国防部计划推出2021年零信任架构战略 2. 国防部零信任参考架构指南的进展 3. 国防部计划建立零信任投资组合管理办公室 4. 国防部推行零信任的方式 01 国防部计划推出2021年零信任架构战略 美国国防部代理首席信息官（CIO）谢尔曼（John Sherman）周四（4月22日）宣布：美国国防部计划发布2021年零信任架构战略（zero-trust architecture strategy 2021）。这也进一步增加了美国国防部今年将发布的越来越多与零信任相关的文件列表。 图-约翰·谢尔曼（John Sherman） 尽管没有分享多少关于战略性质的细节，但谢尔曼强调，达成一个零信任框架以改善国防部网络的网络安全，是枢纽性的。这项战略可以改变国防部建立安全态势的方式，即围绕零信任原则组织网络——将网络分段，并限制用户只能访问他们所需的数据。 谢尔曼在Billington 网络安全防御峰会上说：”我认为我们正处在这些转折点之一。” “而我们目前的做法，无法将我们带向未来。” 零信任是一种安全架构，它把每个用户都当作局外人对待——给予他们所谓的”零信任”，并限制他们在网络中漫游。尽管边界突破是不可避免的，但零信任方式可以将边界突破造成的损害降到最低。 在这次最新的消息中，一个有趣的用词是：国防部官员调侃了国防信息系统局（DISA）和国家安全局（NSA）正在编制的参考架构指南。为什么使用”调侃/取笑“（tease）这个词？希望有机会弄明白。 在最近的SolarWinds攻击中，俄罗斯黑客通过软件供应链渗透网络，这给了政府IT官员转向零信任框架的新动力。目前还不清楚，零信任是否能够阻止俄罗斯人对几个政府网络和数千家私营公司的黑客攻击。但在零信任模式下，他们将无法横向移动以访问数据或长期隐藏（至少安全专家希望如此）。 虽然国防部已经制定了一些”纵深防御“措施，但谢尔曼强调，全面实施技术、文化、战略变革是安全的当务之急。 谢尔曼补充说，到国防部完全实现零信任时，它可能已经有了一个新的绰号。但分段网络和限制横向移动的指导原则才是关键。这一战略应该在今年最终确定，它很可能会解决零信任所涉及的技术和实践问题。当然，这取决于谢尔曼在多大程度上强调了用户和管理员文化的变化，以使零信任发挥作用。 “这不是技术问题，而是战略问题。“谢尔曼强调。 02 国防部零信任参考架构指南的进展 DISA（国防信息系统局）计划在2021年发布零信任参考指南。该参考指南是DISA、国家安全局（NSA）、美国网络司令部和私营部门之间持续合作的产物，将为国防机构和IT部门提供了一个蓝图，使网络过渡到这样一个模型，从本质上讲，网络对用户的信任为零。 2020年7月，DISA（国防信息系统局）在的AFCEA国际年度陆军信号会议上宣布，将为国防部制定一个零信任参考架构。注意DISA不能完全代表国防部的意图。 2020年10月，已经完成零信任参考架构的初稿。它是一套指导方针，旨在使该机构的网络安全协议超越传统的边界防御行动。这个消息，是DISA安全使能组合负责人Joseph Brinker在一封电子邮件中告诉Nextgov网站的。Brinker说，它已经作为国防部CIO（首席信息官）“正式的企业架构内容审查、评估、批准流程”的一部分发布，供整个国防部人员使用。 2020年12月，DISA前局长Nancy Norton在AFCEA技术网络会议上第一次提到该参考指南。同月，DISA发布了DISA战略计划的首次年度更新，概述了该机构到2022年的愿景，零信任在该计划的新技术路线图中占据突出位置。路线图表明，DISA将定义零信任参考架构，并开发策略测试和实施能力。可参见《DISA战略计划2.0版抬升零信任地位》。

CPE全称是Common Platform Enumeration，意思是通用平台枚举项。它是NMAP对识别出来的软件、操作系统和硬件的一种命名方式。它的格式如下： cpe:/:::::: 其中，part表示目标类型，允许的值有a（应用程序）、h（硬件平台）、o（操作系统）；vendor表示向量类型；product表示产品名称；version表示版本号；update表示更新包；edition表示版本；language表示语言项。 这七项不一定每次都出现。例如，在cpe:/o:freebsd:freebsd:3.5.1中，part为o，表示操作系统类型；vendor为freebsd，表示向量类型为freebsd；product为freebsd，表示产品为FreeBSD；version为3.5.1，表示FreeBSD的版本号。————————————————版权声明：本文为CSDN博主「大学霸_ITDaren」的原创文章，遵循CC 4.0 BY-SA版权协议，转载请附上原文出处链接及本声明。原文链接：https://blog.csdn.net/daxueba/article/details/72637683

（1）泛终端弹性安全防护 针对传统桌面终端，及新兴的移动终端、IoT终端、工业终端等各类异构的终端，提供终端安全防护和监测响应能力，实现终端发现、资产管理、设备准入、多网切换、终端审计、病毒查杀、环境感知与威胁检测和响应等功能，并能够通过控制中心对网络中终端进行集中管理、配置、维护，达到提升泛终端复杂环境整体网络安全防护能力的目的。 （2）软件定义弹性安全网络。 针对互联网网络环境，提供可信链路的建立和管控以及恶意流量清洗的能力，实现安全自动组网、安全选路、安全策略下发、爬虫检测与保护、Web攻击检测与防护、DDoS攻击检测与防护功能，达到为用户提供整体网络环境安全弹性防护的目的。 （3）云平台弹性安全资源池。 基于云计算平台，以安全即服务的形式，通过调度虚拟化防火墙、虚拟WAF、抗拒绝服务攻击、虚拟入侵防御、虚拟VPN主机防护等安全组件，为云租户提供访问控制、风险评估、攻击防护、安全审计等云安全防护能力，并统一提供安全组件的自动化部署、授权自动分发、日志统一收集配置、安全能力弹性伸缩、开放接口等功能。 （4）自适应弹性安全访问控制系统。 由可信访问控制台、可信应用代理、可信API代理、可信环境感知等组件构成，通过对人、终端和系统的实体身份化，为用户访问应用，应用和服务之间的API调用等各场景提供纵深的动态可信访问控制机制，解决泛终端接入、多方人员接入、混合计算环境下的数据安全访问及共享的问题。 （5）可编排弹性安全监测与响应系统。 充分发挥网络威胁情报的驱动作用，实施精准化、针对性防御行动；及时发现潜藏在其网络中的安全威胁，对入侵途径及攻击者背景的研判与溯源；通过自动化或半自动化工具、流程和策略，进行自动化安全事件的响应和预防，加快事件响应的速度。

隐私增强计算包括三类技术，这些技术在保护数据的同时，还可以实现安全的数据处理和数据分析： 第一种方法提供了一个可信任的环境，可以在其中处理或分析敏感数据。它包括可信的第三方和硬件可信的执行环境(也称为加密计算)。 第二种以分散的方式执行处理和分析，包括联邦机器学习和隐私感知机器学习。 第三种是在处理或分析之前对数据和算法进行转换。包括差分隐私、同态加密（目前还处在半同态加密水平）、安全多方计算、零知识证明、Private Set intersection（PSI）和隐私信息检索。 每种技术都具有特定的保密性和隐私保护，某些技术可以结合起来提高效率。

On January 13, a large-scale outbreak of the infamous worm virus incaseformat was detected. Once infected with this virus, after the computer restarts, all disk files except the system disk will be deleted, causing great losses. The social media on

当前，我国工业互联网标识解析系统与产业应用尚处于建设初期，面临着诸如安全管理制度不完善、安全防护技术手段缺失、产业支撑能力不足、安全主体意识薄弱等日趋复杂的安全风险，加快推进标识解析体系安全防护能力建设迫在眉睫。建议在工业互联网规划设计阶段同步开展标识解析安全风险相关研究工作，从根源上识别出潜在的风险以及可能带来的后果等，做到提前谋划、预先布局，有效防范不断变化的安全风险并防患于未然。 一、传统网络基础资源的安全现状 互联网网络基础资源主要包括DNS域名、IP地址等，相关服务系统既是网络保持互连互通的基础，也是网络安全稳定运行的关键。 当前，网络基础资源及其服务系统的安全问题日益严峻。例如2019年10月，美国亚马逊公司DNS服务器受到DDoS（Distributed Denial of Service，分布式拒绝服务）攻击，导致域名解析服务持续15小时无法访问；2019年2月，国家互联网应急中心监测到大量的家用路由器遭DNS劫持攻击，影响涉及我国境内全部省份的400多万个IP地址。 由此可见针对网络基础资源及其服务系统的安全攻击简单、直接、危害性大，攻击平均峰值和大规模攻击技术的成熟度逐年提高，构建更可信、更有效的网络基础资源设施安全保障体系势在必行。 二、工业互联网标识解析风险分析 工业互联网标识解析体系是工业互联网网络体系重要组成部分，是支撑工业互联网互联互通的神经枢纽。目前，国家顶级节点已经在北京、上海、广州、重庆、武汉等五地上线运行，覆盖25个行业的55个二级服务节点完成部署上线，标识注册总量突破38亿，日均解析量超过200余万次，接入标识服务节点的企业超过1700家。整个系统涉及工业互联网终端、解析系统、网络、工控系统及各种通用协议和软硬件，呈开放式与互联网相连接，势必为工业互联网标识解析发展带来许多新的安全隐患，极易被攻击，一旦系统出现安全问题，将对标识解析体系和工业生产等造成重大影响。 一是体系架构风险。标识解析体系是一个树状分层架构，主要由国家顶级节点、二级节点、公共递归节点和客户端组成。当体系架构中的某一层节点出现问题时，就会对整个架构的安全性产生一定程度威胁。具体来看，体系架构风险又可分为节点可用性风险、节点之间协同风险、关键节点关联性风险三种。节点可用性风险主要为DDoS攻击，通过僵尸网络利用各种服务请求耗尽被攻击节点的系统资源，造成被攻击节点无法处理合法用户的请求；节点之间协同风险主要为代理服务器或镜像服务器延时，引发解析过程中数据同步或者复制内容过程出现延迟现象，从而导致数据不一致或者数据完整性出现问题；关键节点关联性风险是指标识解析体系架构中某些关键节点出现问题，将会影响其他节点的功能。 二是身份管理风险。工业互联网标识解析身份安全风险主要包括人、机、物等标识解析系统中各种角色的身份风险。如身份认证安全和访问控制安全，用户客户端的安全和标识解析服务器身份的真实性核验，身份认证在不同层级间的节点互信、标识源的真实性验证、用户终端与标识解析节点间的互信等方面都存在被窃听或攻击的风险。常见的身份风险中人员风险主要为身份欺骗、越权访问、权限紊乱等；机器风险主要为身份欺骗和设备漏洞；物的风险主要为身份欺骗、身份标识与产品关联错误、设备漏洞等。 三是数据服务风险。工业互联网标识解析体系数据安全风险主要为标识注册数据、标识解析数据、标识服务日志数据等三类数据风险。在数据的采集、传输、存储、使用和销毁等全生命周期流转中，都可能存在诸如数据窃取、数据篡改、隐私数据泄露和数据丢失等安全风险。数据窃取风险主要是破坏数据的机密性，数据被非授权用户获得，使得标识注册数据、标识解析数据或日志数据外泄；数据篡改风险主要指攻击者对设备中存储的数据进行读取、恶意篡改、伪造等，导致数据处理算法和过程被破解，进而导致标识解析的注册数据、解析数据和日志数据被篡改。数据泄露和数据丢失风险主要指在没有安全的保护措施和合理的备份情况下，不法分子通过对缓存或代理服务器进行攻击获取了权限后读取、恶意删除数据，导致数据泄露或丢失。 四是系统运营风险。工业互联网标识解析体系主要存在物理和环境管理、访问控制、业务连续性管理、人员管理、分支机构管理以及流程管理几方面的运营风险。物理环境管理风险指业务范围内的物理和环境方面的控制和管理不到位，可能会引起未授权的访问、损害和干扰；访问控制风险主要包括用户的非授权登录、访问，对网络访问授权和认证管控风险，以及对关键应用的访问控制风险；业务连续性管理风险主要为在标识解析体系的运营过程中，突发情况或其他灾难发生时，可能导致服务业务中断或恶化，进而对机构运营产生负面影响；人员管理、分支机构管理和流程管理风险主要包括对人员角色鉴别、关键岗位角色管理、人员操作、分支机构授权、分支机构运营、业务流程管控、二级节点管理等诸多安全风险。 三、标识解析安全发展对策及建议 针对工业互联网标识解析可能存在的安全风险，中国信通院围绕安全风险防控已经采取了一些手段措施，提出了工业互联网标识可信解析技术方案和软件实现，构建了工业互联网标识解析安全风险分析模型。但当前的安全形势依然很严峻，需要社会各界、各产业界等更加关注、多投入，发挥产业与技术优势，加强交流合作和资源共享，共同构建标识解析安全防护整体架构，持续优化工业互联网标识解析安全环境和产业生态。 一是协同推进。相比传统网络安全，工业互联网安全呈现出涉及范围广、复杂度高、安全要求高等新特点，进一步增加了安全防护的难度。构建标识解析安全生态，需要产业各界积极参与，投入更多的人力、物力。同时调动政产学研用的积极性，各方发挥各自技术和优势，群策群力、找准位置、形成合力，推动技术共享合作纵深发展，共建工业互联网标识解析安全产业生态，持续推进标识解析产业快速、健康、稳定发展。 二是提早布局。加强核心技术创新研究，重点突破标识解析安全核心技术的研究，将更多的安全因素纳入标识解析体系框架设计中，在标识解析体系建设初期从根源上把控风险，提前防范；加快推进安全风险预警和态势感知平台建设，提升标识解析体系安全防御能力。 三是全面分析。加快推进标识解析安全风险分析、标识解析节点接入认证、标识解析体系安全防护等研究工作；强化工业互联网标识解析安全创新成果转化和产业发展力度，推动产业快速发展。javascript:'<html><body style=background:transparent;></body></html>’ 四是逐项突破。在认证、加密、隐私保护等重点方向开展技术验证；逐步推广使用国产密码算法和符合国家密码管理部门规定的安全认证产品对标识解析的开放式协议架构进行加固；推动科研院所和高校等设立重点实验室，积极探索人工智能、区块链、零信任、大数据等新技术在标识解析安全防护能力建设中的创新应用。 五是重视标准。加快工业互联网标识解析安全关键亟需标准研制，积极引导和开展标识解析节点接入认证、解析体系安全防护、可信解析和安全运营规范等方面标准的研究、制定、推广。 六是人才培养。强化工业互联网标识解析安全人才培养，加强安全宣传教育，鼓励企业和高校安全专家积极参与“智能+”学院、专题会议等主题演讲活动；引导高等院校、科研机构和安全企业成立联合实验室，建立人才联合培养机制，促进技术研究和复合型人才培养；同时依托工业互联网产业联盟平台，组织开展技能大赛等活动，提升工业互联网标识解析安全从业人员的技能水平。