网络攻防与安全渗透范文

导语：如何才能写好一篇网络攻防与安全渗透，这就需要搜集整理更多的资料和文献，欢迎阅读由公务员之家整理的十篇范文，供你借鉴。

篇1

关键词：OpenStack；云平台；网络攻防；靶场

中图分类号：TP393 文献标识码：A 文章编号：1671-2064（2017）01-0027-02

1 引言

随着计算机网络技术的快速发展及其在各领域的广泛应用，社会各界也越来越重视信息网络安全问题，不断投入资源进行网络攻防演练和信息安全研究。考虑到计算机网络应用服务的实时性和高可靠性要求，难以直接在业务网络尤其是生产系统上进行网络攻防演练和渗透测试研究。网络靶场技术能够对真实业务网络进行模拟，在其上进行攻防演练能够避免对真实业务网络的破坏，并且成本低、部署灵活、过程可重复，是网络攻防演练和测试研究的有效途径。

网络靶场概念最初在军事领域提出，是为了满足信息化武器系统的研究需求而构建的信息安全试验平台，是一个贴近实战的信息战模拟环境[1]。由于网络靶场可以进行各种攻击手段和防御技术的研究，针对性制定安全性策略以及安全方案，并可进行定量和定性的安全评估，因此其在军事领域之外的其他信息安全研究领域也得到了广泛的应用。

本文根据网络攻击及防护技术在真实网络环境中的应用特点，基于云计算技术构建了网络攻防靶场平台，能够为网络攻防演练、渗透测试以及防护技术研究提供综合模拟环境，可应用于政府、企业以及高校等行业的网络安全实验室。

2 OpenStack云计算技术

云计算是一种基于互联网的计算方式和服务模式，它具有灵活动态分配资源、统一管理、有效降低管理维护成本等优势，因此基于云计算平台的网络靶场也具有高性价比和便于管理维护等优点。OpenStack是由开源社区开发维护的一个开源云计算平台，采用组件化的服务形式管理计算、存储以及网络资源池，支持自定义方式搭建灵活的云计算环境，其主要组件包括：

（1）运算组件Nova，是OpenStack的核心组件，负责虚拟运算和资源的调度；

（2）对象存储组件Swift，其以分布式对象存储方式存放虚拟机镜像文件；

（3）区块存储组件Cinder，分块存储，为虚拟机提供块存储设备；

（4）网络组件Quantum，管理虚拟网络系统；

（5）身份认证组件Keystone，用于身份认证和授权；

（6）镜像文件管理组件Glance，对虚拟机镜像文件进行管理；

（7）仪表盘组件Horizon，提供UI操作界面。

OpenStack通过以上组件提供可扩展、灵活的云计算平台，并且鉴于其开源特性以及强大的社区开发模式，本文采用OpenStack作为云平台构建网络靶场。

3 基于OpenStack技术的网络攻防靶场平台构建

3.1 设计目标

在实际业务环境中，网络攻击和防御是“道高一尺魔高一丈”的关系，手段也呈现多样性特点，所以近似真实业务网络是靶场设计的基本要求，并且靶场的设计应满足以下目标：

（1）网络攻防的指标参数应可以根据需要进行配置，比如拓扑结构、漏洞等级、设备参数以及评价指标等。

（2）可以进行多种模式的演练，以满足不同的演练需求，包括红蓝对抗和单兵作战。

（3）能够对演练过程和成绩进行实时监控和统计，并以图形化界面全程展示演练情况，具备一定的态势感知能力。

（4）在演练过程中，靶场应能够在运行资源和管理资源方面支持不同攻防场景的快速部署，从而全方位地对靶场进行安全性评估，重点完善薄弱环节，也能够通过丰富的演练场景，掌握网络攻击与防护的理论知识和实践技能。

（5）演练数据应被详细记录，通过数据处理和分析，评估靶场的安全性以及演练人员的技能水平，并进一步形成和丰富网络攻防实验模型和实验数据库。

3.2 总体架构

根据前述设计目标，基于云平台的网络攻防靶场在OpenStack基础设施之上模拟出多种设备和系统，包括网络设备、安全设备、主机设备以及操作系统，并能够完全贴近网络安全的各应用领域，例如网络设备安全、操作系统安全、数据库安全、Web应用安全、主机程序安全、移动设备安全以及中间件安全。功能模块主要有靶场信息管理系统、红蓝对抗系统和单兵作战系统。靶场系统又包括各种靶场场景，可以预设和修改，主要靶场场景包括ServU漏洞利用靶场、Windows漏洞靶场、Linux漏洞靶场、webshell利用、SqlServer提权靶场、SQL注入靶场、cookie分析靶场、ftp弱口令利用靶场、telnet弱口令利用靶场、系统登录弱口令利用靶场、电商网站靶场、新闻系统靶场、个人博客靶场、Wiki靶场、OA系统靶场等。系统总体架构如图1所示。

3.3 功能模块

3.3.1 靶场管理信息系统

靶场管理信息系统对整个靶场平台进行统一管理调度，采用B/S架构模式，无需安装客户端，升级维护灵活方便。其一方面通过API接口访问OpenStack云计算资源，另一方面负责对靶场场景进行镜像管理和参数配置，并提供实时监控、分析统计、可视化展示、系统管理等功能。靶场管理信息系统自身具备较高的安全防护能力，能够防止在攻防演练中受到攻击导致整个靶场平台的失效。

3.3.2 红蓝对抗系统

呈现红蓝对抗演练模式，即将演练者分为红方和蓝方两组进行网络攻防的对抗演练，以CTF（Capture the Flag）夺旗比赛模式进行，红方试图利用蓝方的安全防护漏洞获取蓝方的Flag，蓝方则尽力堵住自身安全漏洞，并反利用红方漏洞获取红方Flag，是一种对抗激烈的演练模式，对演练者的技能水平有较高考验。

3.3.3 单兵作战系统

主要训练考核演练者的攻击水平，系统为演练者提供了两台攻击机以及目标靶机，攻击机分别为预置有攻击工具的Windows操作系统和Kali Linux操作系统，目标靶机由系统管理员从靶场场景中选取设置，演练者通过攻击机对靶机进行渗透，获取过关文件，向系统提交过关文件后由系统自动进行判分，并给出实时成绩。

4 网络攻防渗透测试实例

本文对系统功能和各靶场场景逐一进行了测试，此处以Windows漏洞利用靶场场景为例阐述渗透测试过程。该靶场场景部署Windows xp SP1版本操作系统作为目标靶机，测试时使用靶场平台提供的Kali Linux作为攻击机，在攻击机运行漏洞扫描程序对目标靶机进行漏洞扫描，发现目标靶机存在MS08-067高危漏洞。于是攻击机启动Metasploit攻击框架，使用攻击模块，加载攻击载荷，对靶机进行渗透，从而获取到靶机的命令行权限，并添加用户、提权，最终获得靶机的最高控制权，取得Flag，渗透成功。

通过对网络攻防靶场系统全部功能模块和靶场场景的测试以及实践检验，证明该系统功能全面、运行稳定，达到了预期设计目标。

5 结语

本文根据网络攻击及防护技术在真实网络业务环境中的应用特点，基于OpenStack云计算技术构建了网络攻防靶场平台，能够为网络攻防演练、渗透测试以及防护技术研究提供综合模拟环境，避免对真网络的影响和危害，可应用于政府、企业以及高校等行业的网络安全实验室。

篇2

摘要：本文结合笔者的实际教学经验，从课程实验课的教学目标、教学方法和考核方式三个方面探索了新的教学方法。

关键词：网络攻防技术；实验课；教学研究

中图分类号：G642

文献标识码：B

实验教学在高校教学体系中占有十分重要的地位，进行实验教学改革与探索的目的是提高实验教学质量，使实验教学在人才培养中发挥更大的作用。下面结合笔者自身的教学经验，从教学目标、教学方法和考核方式三个方面对实验课的教学进行了一些探索。

1完善教学内容

1.1教学内容设计

“网络攻防技术”课程实验课的教学目标就是以实验为手段，使学生在实际操作过程中巩固已有的网络攻防理论知识，并以此为基础了解目前常见的漏洞和攻击模式，熟练配置一个安全的网络系统，培养学生使用计算机网络工具和设备来组建、配置和调试安全的局域网。

我们认为，目前的网络攻防技术课程实验课教学设计具有两大特点：一是要突出实验课在网络攻防课程教学中的地位和作用；二是要以培养学生技术应用能力为主线设计实验课的教学内容。为此，结合我院网络实验室已有的实验设备和工具情况，我们设计了如下教学内容。

(1) 网络安全漏洞测试与评估实验：安装并使用安全测试评估工具Shadow Security Scanner；使用Shadow Security Scanner对局域网的特定主机进行网络安全检测；分析并撰写安全评估报告，及安全加固措施。

(2) 网络嗅探与欺骗实验：使用网络嗅探工具Iris对局域网的特定主机进行ARP、ICMP、TCP、UDP等协议的数据报网络嗅探；使用Iris对局域网的特定主机进行ARP欺骗。

(3) 计算机木马与后门实验：使用后门工具Hkdoor对局域网的特定主机进行FindPass、Shutdown等远程监控；使用HkDoor与局域网的特定主机进行FTP数据传输。

(4) 软件缓冲区溢出漏洞利用设计实验：编写并运用由MessageBoxA显示信息的ShellCode代码；编写具有安全漏洞实例代码的攻击利用程序，并测试通过。

1.2实验环境设置

网络攻防实验与其他实验有着很大的区别，主要表现为系统性与继承性。

系统性是指网络攻防面对的是系统集成问题，其实验的对象和环境是一个计算机网络。计算机网络所面对的系统集成问题与电子测量、电子技术、微机接口等实验课程不大一样。微机接口等实验立足与元件级，即把一些元件按实验内容设计出电路图，再连接成相应的电路，实验结果是完成某一功能。由于功能单一，整体结构简单，因而安装、调试过程难度均不大。而网络攻防实验无论硬件和软件的复杂程度都大大超过微机接口实验，系统集成后复杂程度更高。因此，我们在实验中更要注意从系统的、联系的观点看问题，这也是培养学生处理大系统，从事系统开发和提高系统集成能力的好机会。

继承性有硬件、软件方面的。硬件方面继承性是指只有完成了基本的组网实验，后继实验才能顺利地在此环境下进行。软件方面的继承性是指每一种网络环境下的实验，都基于特定的网络操作系统，只有完成了有关网络操作系统的安装、配置，这个网络环境下的其他实验才能顺利进行。因为网络实验的系统性和继承性，使得网络攻防的实验对实验环境要求较高，涉及实验的设备与组织管理多方面，实验前后的许多工作需要实验室的支持与配合，实验指导老师需要对实验环境有较深的了解，每一个实验项目都要考虑其可行性和可操作性。开设网络教学实验，需要有更多的实验设备与技术力量的支持，相对于计算机课程的其他实验，难度更大。因此实验前的准备功夫一定要做好，只有这样才能理清实验目的、要求，列出实验步骤，对可能出现的问题有充分的准备，才不会临到实验时手忙脚乱、穷于应付。

2改革实验课教学方法

2.1教师的主导作用

一直以来，计算机课程实验主要是验证性实验，严格来说这种实验只能称为上机，谈不上实验教学。改革实验教学方法，规范管理，提高教学水平，就是要注重学生是教育主体的作用，通过对学生的引导、帮助和促进，充分调动他们获取知识的积极性和主动性，增强能力，提高素质。实验是教学过程中的一个重要环节，因此实验教学方法的好坏直接影响着学生对实验的态度，影响着他们的动手能力，创新意识的培养。我们认为网络攻防技术这门课程既有一般计算机课程的普遍性，也有其自身特性，网络攻防技术实验不仅是理论的验证，更重要的是通过网络与系统安全的实验操作，培养学生对网络安全的分析、设计、管理和应用的实验技能，加深对网络攻防理论知识的理解和应用。

在教师主导作用方面，我们首先改变过去按部就班的教学模式[3]，以启发式的方式指导实验。教师在备课时，对每次实验重点和难点、实验中可能出现的问题、实验的数据和结果做到心中有数。实验过程中，教师加强巡视，出现问题，一般由学生自主研究解决，教师作启发提示、释疑和引导。这样的实验不光是学生动手做，教师在整个实验中起着主导作用。

在学生主体方面，由于实验报告是培养学生写作能力、表达能力、分析能力和总结能力的一种较好方式。因此，要求学生每一个实验都要提交实验报告。在报告中注重分析、总结实验中的收获、体会，使学生从实验中不断积累经验，获得更多的实验技能。在实验课结束时，组织实验技能考核，最后根据学生实验情况、实验报告、考核及平时成绩，客观评价学生的实验成绩。

通过以上措施，提高了学生对实验课的重视程度，同时对指导老师也提出了更高的要求。可见，把教师的主导作用和学生的主体作用结合起来，有利于提高实验教学水平。

2.2学生的组织管理

我院根据网络攻击技术实验的特点，采取了独立实验和分组实验等多种形式进行实验操作。更多地采用分批分组来组织实验，学生相互学习、相互讨论切磋，提出一个最优方案，然后实施。

在实践中，我们发现分组实验的许多优点。网络安全从软件、硬件和通信几个方面来说，都是一个复杂的网络系统，网络攻防的信息探测、分析、漏洞扫描、实施，以及渗透测试一般都是一个群体来实现的，学生将来如何从事网络攻防方面的工作，也需要与人合作，分组实践，加强了学生之间相互学习研究、沟通和合作的精神。对于实验能力较强的学生，可以指定他们做一些实验辅导工作，由他们负责所在小组的实验，这种变教师指导实验为学生指导实验的教学方式，充分调动了学生参加实验教学的积极性。网络攻防实验不光是需要计算机和网络，还需要一些配套设施，且操作有一定的破坏性，一人一套设备有时是不可能也没必要，以小组为单位，有利于实验室的恢复和维护。不过，分组实验有些问题也要引起注意。如在一个小组中，学生的能力相对有强弱之分，如果以小组为单位完成某个实验，那么学生为尽早完成，可能由能力强的学生做完了事，而其他同学，尤其是能力较差的学生就没有得到应用的实践。所以，在实验的组织与管理中，应当注意对不同层次学生做不同要求，采取多种形式提高学生对实验的兴趣，加强分组分配的合理性以及实验过程中鼓励弱势学生的积极参与。

2.3实验课教学方法改进

实验课是培养学生动手能力的最基本环节，在很大程度上影响着实验课的教学目标能否顺利实现。因此，结合网络攻防技术课程实验课的教学特点，我院对本课程实验教学方法进行了积极的探索和改革。

(1) 规范操作流程。实验之前，要求学生撰写并提交以明确实验目的、实验任务、分析或预测可能困难为目标的预习报告；实验过程中，应按规定操作，并遵守实验室各项规章制度；实验完成后，应及时提交实验报告、实验心得以及经验总结等相应资料。

(2) 改革教学模式。减少演示性实验内容，增加技能性、设计性和综合性实践教学内容；在教学过程中，结合流行的新网络技术讲解，激发学生学习的积极性，在实验课中使学生由被动受教育转为积极主动受教育。

(3) 改革教学方式。减少教师手把手的教学方式，指导和启发学生分析、解决问题，尽可能地让学生通过自己查找资料、相互讨论，解决实践过程中遇到的问题。

(4) 激发学生的创造性思维。鼓励学生对同一个实际问题从不同角度来思考，并提出不同的解决方案。教师在规定问题求解的大范围前提下，可让学生自行完成方案设计和实验操作，充分挖掘学生的创新性、灵活性等，并让优秀方案设计者谈谈其设计思路、心得体会，促进学生间的相互交流，营造浓厚的学习氛围。

(5) 培养学生查找和搜索专业资料的能力。教师可以在实验课的不同阶段，布置一些与本阶段学习相关的最前沿的主题，让学生自己去查找，并进行相互之间的交流，这不仅仅可以开阔学生的知识视野，也为最后阶段的综合网络实践顺利完成提供了文献查阅方面的保障。

(6) 鼓励学生深入实验。在完成规定的教学内容外，安排一些更具有实用性、工程性特点的实验内容，加强对学生动手能力的训练。

3结束语

随着计算机业的发展，网络环境下的实验在不断更新，实验内容也必须随之而更新，这对于提高实验教学质量有着重要作用，因此改革之路仍然漫长，我们仍需不断探索。

篇3

会议拟请公安、工业和信息化、国家保密、国家密码管理主管部门、中国科学院、国家网络与信息安全信息通报中心等部门担任指导单位，同时将出版论文集，经专家评选的部分优秀论文，将推荐至国家核心期刊发表。现就会议征文的有关情况通知如下：

一、征文范围

1. 新技术应用环境下信息安全等级保护技术：物联网、云计算、大数据、工控系统、移动接入网、下一代互联网（IPv6）等新技术、环境下的等级保护支撑技术，等级保护技术体系在新环境下的应用方法；

2. 关键基础设施信息安全保护技术：政府部门及金融、交通、电力、能源、通信、制造等重要行业网站、核心业务信息系统等安全威胁、隐患分析及防范措施；

3. 国内外信息安全管理政策与策略：信息安全管理政策和策略研究，信息安全管理体制和机制特点，信息安全管理标准发展对策，网络恐怖的特点、趋势、危害研究；

4. 信息安全预警与突发事件应急处置技术：攻击监测技术，态势感知预警技术，安全监测技术，安全事件响应技术，应急处置技术，灾难备份技术，恢复和跟踪技术，风险评估技术；

5. 信息安全等级保护建设技术：密码技术，可信计算技术，网络实名制等体系模型与构建技术，漏洞检测技术，网络监测与监管技术，网络身份认证技术，网络攻防技术，软件安全技术，信任体系研究；

6. 信息安全等级保护监管技术：用于支撑安全监测的数据采集、挖掘与分析技术，用于支撑安全监管的敏感数据发现与保护技术，安全态势评估技术，安全事件关联分析技术、安全绩效评估技术，电子数据取证和鉴定技术；

7. 信息安全等级保护测评技术：标准符合性检验技术，安全基准验证技术，源代码安全分析技术，逆向工程剖析技术，渗透测试技术，测评工具和测评方法；

8. 信息安全等级保护策略与机制：网络安全综合防控体系建设，重要信息系统的安全威胁与脆弱性分析，纵深防御策略，大数据安全保护策略，信息安全保障工作评价机制、应急响应机制、安全监测预警机制。

二、投稿要求

1. 来稿内容应属于作者的科研成果，数据真实、可靠，未公开发表过，引用他人成果已注明出处，署名无争议，论文摘要及全文不涉及保密内容；

2. 会议只接受以Word排版的电子稿件，稿件一般不超过5000字；

3. 稿件以Email方式发送到征稿邮箱；

4. 凡投稿文章被录用且未作特殊声明者，视为已同意授权出版；

5. 提交截止日期： 2014年5月25日。

三、联系方式

通信地址：北京市海淀区首都体育馆南路1号

邮编：100048

Email：.cn

联系人： 范博、王晨

联系电话：010-68773930，

13717905088，13581879819

篇4

新战略对我国网络空间安全的主要威胁与挑战

美国是世界信息技术革命的“领跑者”。近来，美国在网络空间不断取得新的突破对我国网络空间安全带来严峻威胁与挑战。

第一，美国从“全面防御”到“营造威慑态势”对我国网络空间安全和社会稳定带来巨大冲击。

美国新版网络战略与前几届政府的网络战略重心形成了鲜明对比。一是把营造威慑态势作为美网络战略的关键目标。奥巴马执政后，美国将威慑作为网络战略的关键部分。未来10年，美军将不再仅仅是打造防火墙，而是要明确告诉敌对分子，他们要为自己的网络攻击行为付出代价。新战略列出了美认为在网络安全面临最大威胁的对手――俄罗斯、中国、伊朗和朝鲜。二是全面提升网络战略威慑能力。新战略声称，为阻止网络攻击，必须在网络恶意行为发生前威慑此类行为。为有效实施威慑战略，美将重点打造三种能力：通过政策宣示展现反击的态度；形成强大的防御能力，保护国防部和整个国家免受复杂网络攻击，实现“拒止”威慑；提高网络系统的恢复能力，确保遭受攻击后能继续运转，降低对手网络攻击的成功几率。三是美新战略对我国网络空间安全和社会稳定带来巨大冲击。目前，美凭借在网络空间追求一种远超对手能力甚至远超盟友能力的“绝对优势”，企图通过掌控网络空间“单方面自由和透明”，达到遏制威慑对手、颠覆我国政权目的。

第二，美国从“主动防御”到塑造“进攻性网络作战能力”对我网络空间和作战能力提升带来严峻挑战。美新版网络战略突出的“进攻能力”与过去的“主动防御”相比更显战略透明。一是新战略首次将网络战列为战术选项；二是美国必须拥有多种网络进攻能力和手段；三是明确总统或国防部长开展网络行动的指挥权；四是美对我国网络空间和作战能力提升带来严峻挑战。

第三，美国从“国际伙伴关系倡议”到“国际网络同盟控制世界”对我网络空间国家利益形成严重挤压。

美国在《网络政策评估报告》中提出“加强与国际伙伴关系”倡议，并持续发力，拉拢传统盟国打造国际网络同盟。一是在欧洲利用北约“借尸还魂”。美先后主导北约新版“网络防御政策”、召开网络安全国防部长会议，频繁举行“网络联盟”“锁定盾牌”“坚定爵士”等演习。二是在亚太玩弄网络空间的“亚太再平衡”。美国于2011年与澳大利亚达成协议，在双边共同防御条约中纳入网络安全方面的内容；2013年与日本举行首次网络安全综合对话，就共享网络威胁情报、开展网络培训等达成共识。今年在“山樱”联合演习中首次演练网络战课目，两国还宣称，将在新版《美日防卫合作指针》中加入网络安全合作内容。美国还将在关键地区“优先”合作对象，建立强大的同盟体系和伙伴关系。三是美企图重构虚拟世界国际秩序，挤压我国网络空间国家利益。美国认为，在现代安全局势下，联盟作战是政治上最易被接受、经济上最可持续的方法。新版战略的出台，意味着美国将在打造国际网络同盟的问题上寻找更多着力点。

应对新战略威胁的体系能力构建策略

网络空间安全威胁不是危言耸听，我们应遵循网络空间的特点规律，从国家安全战略高度，优化战略领导机构，重塑新质力量体系，确立攻势行动战略，开展国际合作与斗争。

第一，网络空间的复杂属性，决定我国网络空间安全必须加快“重塑体系”，建立我国军警民战略应急指挥机构。

网络空间信息依托网络和电磁信号的传递无形无声、瞬间同步，形成实体层和虚拟层相互贯通，多域融合的复杂虚拟空间。这一复杂特性决定了重塑网络空间力量体系，应遵循网络空间系统的共性规律，按照“明确定位、找准问题、体系构建、整体推进”的思想，重塑新常态下中国特色的网络空间力量体系。一是组建国家层次的网络空间战略指挥机构。着眼适应国家网络空间安全管控的需求，组建国家层次的网络空间战略指挥机构，整合网络空间力量体系，负责网络空间应急行动的力量动员和组织指挥，充分发挥在关键时刻、关键问题、关键行动上的战略指挥优势。二是确立军警民协调机制。着眼国家网络空间安全大局需要，健全跨领域跨部门的合作与协调制度，明确职责任务，制定应急预案，确保有效应对网络空间安全突发事件，最大限度地发挥国家整体合力优势。三是建立国家网络空间安全管控常态化运行制度。根据我国网络空间安全管控平战一体、军民一体、联合制胜的要求，建立情报搜集、信息共享、动态感知、联合反制的运行机制，保持常态化运行，确保随时应对各种网络空间安全的突发事件。

第二，网络空间攻防的分离性，决定了我国网络空间安全必须坚持“攻势战略”，将攻势行动作为夺取主动权的重要方式。

面对网络空间安全的威胁与挑战，一是积极贯彻攻势战略的思想。我国应立足国家实际，突出网络空间攻防中的攻势行动，扭转敌攻我守、敌进我弱的战略态势，打好网络空间安全的主动仗。二是坚持网络空间攻势管控行动。网络空间作战能够以非对称信息迅速颠覆实体空间的客观现实，改变战争进程和格局。网络空间攻势行动应突出应对危机的主动性、灵活性和攻防行动的整体性。三是争夺网络空间技术自主创新主动权。着力提高核心信息技术的研发能力，坚持把核心信息技术研发作为国家科技创新发展的重大项目。制定满足新型网络空间安全管控技术标准，用足后发优势实现跨越式发展。建立自主创新“孵化”基地，加快创新成果的产品转化。

第三，网络战争“制胜机理”的特殊属性，决定我国必须将网络空间作战作为“新质作战力量”重点发展。

信息技术正以惊人的速度向各领域渗透，网络空间正以超乎想象的速度在全球扩张，成为影响社会稳定、国家安全、军事经济发展和文化传播的第五维国家安全空间。一是网络空间战争“制胜机理”改写战场规则。未来战争形态已发生了深刻变化，网络空间战争的制胜机理颠覆了传统战争的作战方式。未来网络空间作战将按照实时感知、灵敏响应、毁源断链、联合制胜的“制胜机理”刷新战场规则。二是网络空间力量成长为一种新质作战力量。信息时代的战争，以网络为中心，依靠信息力制胜，打“网络战+火力战”。未来网络空间作战力量是指“相互依赖的信息技术基础设施网，包括互联网、电信网、计算机系统以及重要行业的嵌入式处理器和控制器”。这些网络空间作战力量逐渐从支援保障力量向核心作战力量迁移，成为一种新质作战力量。三是重点发展网络空间新质作战力量。近年来，美国高调宣布成立网络司令部。新战略中，美国防部长卡特还在硅谷联络高科技企业和专家，保证美国军方拥有尖端网络技术。美国还成立了一个由现役军人、平民和预备役军人组成的全日制机构，专门网罗可用于情报工作的创新技术。目前我国还没有形成完整的网络空间作战力量体系，缺少既会网络技术又懂作战指挥的高端人才，加强网络空间作战力量建设势在必行。

篇5

【 关键词 】 高级隐遁技术；高级持续性攻击；检测方法

China’s Situation of Protection Techniques against Special Network Attacks

Xu Jin-wei

（The Chinese PLA Zongcan a Research Institute Beijing 100091）

【 Abstract 】 By the end of 2013，the author visited more than ten domestic well-known information security companies to make a special investigation and research on the focused “APT” attack issue. During the visit， the author made deeply exchange and discussion with the first-line professional research and management personnel and gained much knowledge. This article mainly introduces the present situation of protect technology construction by some of domestic information security companies against network attacks， as an inspiration to the colleagues？and units in the information security industry.

【 Keywords 】 advanced evasion techniques； advanced persistent threat； detection methods

1 引言

2010年发生的“震网”病毒对伊朗布什尔核电站离心机的攻击和2013年的“斯诺登”事件，标志着信息安全进入了一个全新的时代：新型攻击者（国家组织的专业团队），采用全新的方式（APT[注1]）攻击国家的重要基础设施。

APT攻击因其采用了各种组合隐遁技术，具有极强的隐蔽攻击能力，传统的依赖攻击特征库比对模式的IDS/IPS无法检测到它的存在，APT攻击得手后并不马上进行破坏的特性更是难以发觉。它甚至能在重要基础网络中自由进出长时间潜伏进行侦察活动，一旦时机成熟即可通过在正常网络通道中构筑的隐蔽通道盗取机密资料或进行目标破坏活动，APT的出现给网络安全带来了极大危害。目前在西方先进国家，APT攻击已经成为国家网络安全防御战略的重要环节。例如，美国国防部的High Level网络作战原则中，明确指出针对APT攻击行为的检测与防御是整个风险管理链条中至关重要也是最基础的组成部分。

从资料中得知，国外有些著名的信息安全厂商和研究机构，例如美国电信公司Verizon Business的ICSA实验室，芬兰的Stonesoft公司几年前就开展了高级隐遁技术的研究；2013年美国的网络安全公司FireEye（FEYE）受到市场追捧，因为FireEye能够解决两大真正的安全难题――能够阻止那种许多公司此前无法阻止的网络攻击，即所谓的“零天（Zeroday）”攻击和“高级持续性威胁（APT）”。零天攻击是指利用软件厂商还未发现的软件漏洞来发动网络攻击，也就是说，黑客在发现漏洞的当天就发动攻击，而不会有延迟到后几天再发动攻击，软件厂商甚至都来不及修复这些漏洞。高级持续性威胁则是由那些想进入特殊网络的黑客所发动的一系列攻击。FireEye的安全应用整合了硬件和软件功能，可实时通过在一个保护区来运行可疑代码或打开可疑电子邮件的方式来查看这些可疑代码或可疑电子邮件的行为，进而发现黑客的攻击行为。

APT攻击的方式和危害后果引起了我国信息安全管理机构和信息安全专业检测及应急支援队伍的高度重视。国家发改委在关于组织实施2013年信息安全专项通知中的 “信息安全产品产业化”项目中，首次明确指明“高级可持续威胁（APT）安全监测产品”是支持重点产品之一。我国的众多信息安全厂商到底有没有掌握检测和防护APT的技术手段？2013年底，带着这个疑问专门走访了几家对此有研究和技术积累的公司，听取了他们近年来在研究防护APT攻击方面所取得的成果介绍，并与技术人员进行了技术交流。

2 高级隐遁技术（AET[注2]）

根据IMB X-force小组针对2011年典型攻击情况的采样分析调查，如图1所示可以看出，有许多的攻击是未知（Unknown）原因的攻击。Gartner《Defining Next-Generation Network Intrusion Prevention》文章中也明确提出了利用先进技术逃避网络安全设备检查的事件越来越多。同时，NSS Lab最新的IPS测试标准《NSS Labs ips group 渗透测试工具t methodology v6.2》，已经把layered evasion（也就是AET）作为必须的测试项。

结合近年情况，各国基础网络和重要信息系统所面临的最新和最大的信息安全问题，即APT攻击，我们相信高级隐遁技术有可能已经在APT中被黑客广泛采用。

目前，各企事业单位为了应对网络外部攻击威胁，均在网络边界部署了入侵检测系统（简称IDS）和入侵防御系统（简称IPS），这些措施确实有效地保护了企业内部网络的安全。黑客们为了试图逃避IPS这类系统的检测，使用了大量的逃避技术。近年来，国外信息安全机构发现了一套新型逃避技术，即将以前的逃避技术进行各种新的组合，以增加IPS对入侵检测的难度。这些新型逃避技术，我们称之为高级隐遁技术（AET）。AET可利用协议的弱点以及网络通信的随意性，从而使逃避技术的数量呈指数级增长，这些技术的出现对信息安全而言无疑是个新的挑战。

使用畸形报头和数据流以及迷惑性代码调用的AET攻击的原理：包含AET攻击代码的非常规IP数据流首先躲避过IDS/IPS的检测，悄悄渗透到企业网中；之后，这些数据流被用规范方式重新组装成包并被发送至目标终端上。以上过程看似正常，但这样的IP包经目标终端翻译后，则会形成一个可攻击终端系统的漏洞利用程序，从而给企业的信息资源造成大规模破坏，只留下少量或根本不会留下任何审计数据痕迹，这类攻击就是所谓的隐遁攻击。

2.1 常见的高级隐遁技术攻击方法

常见的高级隐遁技术攻击方法有字符串混淆、加密和隧道、碎片技术和协议的违规。这些仅列举了TCP协议某层的几种隐遁攻击的技术，实际上高级隐遁技术千变万化，种类叠加后更是天文数字。

2.2 高级隐遁技术的测试

为了研究AET的特点，研发AET检测、防护工具，国内有必要搭建自己的高级隐遁监测审计平台来对现有的网络安全设备进行测试和分析，并根据检测结果来改进或重新部署现有网络中的网络安全设备。

国内某信息安全公司最近研制成功一款专门针对高级隐遁技术测试的工具CNGate-TES。CNGate-TES有针对CVE-2008-4250/CVE-2004-1315/CVE-2012-0002漏洞的各种组合、叠加隐遁模拟的测试工具，从IP、TCP、NetBios、SMB、MSRPC、HTTP等各层都有自己相应的隐遁技术。各个层之间的隐遁可以互相叠加组合，同一层内的隐遁技术也可以互相叠加组合。

测试的目的是检验网络中的IDS/IPS是否具备检测和防护AET的能力。

CNGate-TES测试环境部署如图2所示。

3 下一代威胁与 APT

下一代威胁主要是指攻击者采取了现有检测体系难以检测的方式（未知漏洞利用、已知漏洞变形、特种木马等），组合各种其他手段（社会工程、钓鱼、供应链植入等），有针对性地对目标发起的攻击。这种攻击模式能有效穿透大多数公司的内网防御体系，攻击者成功控制了内网主机之后，再进行内部渗透或收集信息。

对信息系统的下一代威胁和特征有几点。

0DAY漏洞威胁：0DAY漏洞由于系统还未修补，而大多数用户、厂商也不知道漏洞的存在，因此是攻击者入侵系统的利器。也有很多利用已修复的漏洞，但由于补丁修复不普遍（如第三方软件），通过变形绕过现有基于签名的检测体系而发起攻击的案例。

多态病毒木马威胁：已有病毒木马通过修改变形就可以形成一个新的未知的病毒和木马，而恶意代码开发者也还在不断开发新的功能更强大的病毒和木马，他们可以绕过现有基于签名的检测体系发起攻击。

混合性威胁：攻击者混合多种路径、手段和目标来发起攻击，如果防御体系中存在着一个薄弱点就会被攻破，而现有安全防御体系之间缺乏关联而是独立防御，即使一个路径上检测到威胁也无法将信息共享给其他的检测路径。

定向攻击威胁：攻击者发起针对具体目标的攻击，大多数情况下是从邮件、IM、SNS发起，因为这些系统账户背后标记的都是一个真实固定的人，而定向到人与他周边的关系，是可以在和攻击者目标相关的人与系统建立一个路径关系。定向攻击如果是小范围发起，并和多种渗透手段组合起来，就是一种APT攻击，不过定向攻击也有大范围发起的，这种情况下攻击者出于成本和曝光风险考虑，攻击者往往使用已知的安全漏洞来大规模发起，用于撒网和捞鱼（攻击一大片潜在受害者，再从成功攻击中查找有价值目标或作为APT攻击的渗透路径点）。

高级持续性威胁： APT是以上各种手段（甚至包括传统间谍等非IT技术手段）的组合，是威胁中最可怕的威胁。APT是由黑客团队精心策划，为了达成即定的目标，长期持续的攻击行为。攻击者一旦攻入系统，会长期持续的控制、窃取系统信息，关键时也可能大范围破坏系统，会给受害者带来重大的损失（但受害者可能浑然不知）。APT攻击，其实是一种网络情报、间谍和军事行为。很多时候，APT都具有国家和有政治目的组织的背景，但为了商业、知识产权和经济目的的APT攻击，也不少见。

3.1 APT攻击过程和技术手段

APT攻击可以分为大的三个环节，每个环节具体的工作内容，如图3所示。

在攻击前奏环节，攻击者主要是做入侵前的准备工作。主要是收集信息：了解被攻击目标的IT环境、保护体系、人际关系、可能的重要资产等信息，用于指导制定入侵方案，开发特定的攻击工具。在收集信息时，攻击者可以利用多种方式来收集信息，主要有网络公开信息收集、钓鱼收集、人肉搜集、嗅探、扫描等，信息收集是贯穿全攻击生命周期的，攻击者在攻击计划中每获得一个新的控制点，就能掌握更多的信息，指导后续的攻击。

技术准备：根据获取的信息，攻击者做相应的技术准备，主要有入侵路径设计并选定初始目标，寻找漏洞和可利用代码及木马（漏洞、利用代码和木马，我们统称为攻击负载），选择控制服务器和跳板。

周边渗透准备：入侵实际攻击目标可信的外部用户主机、外部用户的各种系统账户、外部服务器、外部基础设施等。

在入侵实施环节，攻击者针对实际的攻击目标，展开攻击；主要内容有攻击者利用常规的手段，将恶意代码植入到系统中；常见的做法有通过病毒传播感染目标、通过薄弱安全意识和薄弱的安全管理控制目标，利用缺陷入侵、漏洞入侵、通过社会工程入侵、通过供应链植入等。

SHELLCODE执行：大多数情况攻击者利用漏洞触发成功后，攻击者可以在漏洞触发的应用母体内执行一段特定的代码（由于这段代码在受信应用空间内执行，很难被检测），实现提权并植入木马。

木马植入：木马植入方式有远程下载植入、绑定文档植入、绑定程序植入、激活后门和冬眠木马。

渗透提权：攻击者控制了内网某个用户的一台主机控制权之后，还需要在内部继续进行渗透和提权，最终逐步渗透到目标资产存放主机或有特权访问攻击者目标资产的主机上，到此攻击者已经成功完成了入侵。

在后续攻击环节，攻击者窃取大量的信息资产或进行破坏，同时还在内部进行深度的渗透以保证发现后难以全部清除，主要环节有价值信息收集、传送与控制、等待与破坏；一些破坏性木马，不需要传送和控制，就可以进行长期潜伏和等待，并按照事先确定的逻辑条件，触发破坏流程，如震网，探测到是伊朗核电站的离心机环境，就触发了修改离心机转速的破坏活动，导致1000台离心机瘫痪。

深度渗透：攻击者为了长期控制，保证被受害者发现后还能复活，攻击者会渗透周边的一些机器，然后植入木马。

痕迹抹除：为了避免被发现，攻击者需要做很多痕迹抹除的工作，主要是销毁一些日志，躲避一些常规的检测手段等。

3.2 APT检测方法

随着APT攻击被各国重视以来，一些国际安全厂商逐步提出了一些新的检测技术并用于产品中，并且取得了良好的效果，这些检测技术主要有两种。

虚拟执行分析检测：通过在虚拟机上执行检测对抗，基于运行行为来判定攻击。这种检测技术原理和主动防御类似，但由于不影响用户使用，可以采用更深更强的防绕过技术和在虚拟机下层进行检测。另外，可疑可以由对安全研究更深入的人员进行专业判定和验证。国外多家厂商APT检测的产品主要使用该技术。

内容无签名算法检测：针对内容深度分析发现可疑特征，再配合虚拟执行分析检测。该技术需要对各种内容格式进行深入研究，并分析攻击者负载内容的原理性特征。该技术可以帮助快速过滤检测样本，降低虚拟执行分析检测的性能压力，同时虚拟执行分析检测容易被对抗，而攻击原理性特征比较难绕过。国外几个最先进的APT检测厂商检测的产品里部分使用了该技术。

国内某公司总结了近年来对APT攻击特点的研究和检测实践，提出了建立新一代安全检测体系的设想。

3.2.1基于攻击生命周期的纵深检测体系

从攻击者发起的攻击生命周期角度，可以建立一个纵深检测体系，覆盖攻击者攻击的主要环节。这样即使一点失效和被攻击者绕过，也可以在后续的点进行补充，让攻击者很难整体逃逸检测。

信息收集环节的检测：攻击者在这个环节，会进行扫描、钓鱼邮件等类型的刺探活动，这些刺探活动的信息传递到受害者网络环境中，因此可以去识别这类的行为来发现攻击准备。

入侵实施环节的检测：攻击者在这个环节，会有基于漏洞利用的载体、木马病毒的载体传递到受害者网络环境中，因此可以去识别这类的行为和载体来发现攻击发起。

木马植入环节：攻击者在这个环节，会释放木马并突破防御体系植入木马。因此可以去识别这类的行为来发现入侵和入侵成功。

控制窃取与渗透环节：攻击者在这个环节，会收集敏感信息，传递敏感信息出去，与控制服务器通讯，在本地渗透等行为。因此可以去识别已经受害的主机和潜在被攻击的主机。

3.2.2基于信息来源的多覆盖检测

从攻击者可能采用的攻击路径的角度，可以建立一个覆盖广泛的检测体系，覆盖攻击者攻击的主要路径。这样避免存在很大的空区让攻击者绕过，同时增加信息的来源度进行检测。

从攻击载体角度覆盖：攻击者发起攻击的内容载体主要包括：数据文件、可执行文件、URL、HTML、数据报文等，主要发起来源的载体包括邮件、HTTP流量和下载、IM通讯、FTP下载、P2P通讯。

双向流量覆盖：攻击者在信息收集环节、入侵实施环节主要是外部进入内部的流量。但在木马植入环节、控制窃取与渗透环节，则包含了双向的流量。对内部到外部的流量的检测，可以发现入侵成功信息和潜在可疑已被入侵的主机等信息。

从攻击类型角度覆盖：覆盖主要的可以到达企业内容的攻击类型，包括但不限于基于数据文件应用的漏洞利用攻击、基于浏览器应用的漏洞利用攻击、基于系统逻辑的漏洞利用攻击、基于XSS、CSRF的漏洞利用攻击、进行信息收集的恶意程序的窃取、扫描、嗅探等。

从信息来源角度覆盖：主要覆盖网络流来收集流量，但是考虑到加密流量、移动介质带入的攻击等方式，还需要补充客户端检测机制。同时为了发现更多的可疑点，针对主机的日志挖掘，也是一个非常重要的信息补充。

3.2.3基于攻击载体的多维度检测

针对每个具体攻击载体点的检测，则需要考虑多维度的深度检测机制，保证攻击者难以逃过检测。

基于签名的检测：采用传统的签名技术，可以快速识别一些已知的威胁。

基于深度内容的检测：通过对深度内容的分析，发现可能会导致危害的内容，或者与正常内容异常的可疑内容。基于深度内容的检测是一种广谱但无签名检测技术，让攻击者很难逃逸，但是又可以有效筛选样本，降低后续其他深度分析的工作量。

基于虚拟行为的检测：通过在沙箱中，虚拟执行漏洞触发、木马执行、行为判定的检测技术，可以分析和判定相关威胁。

基于事件关联的检测：可以从网络和主机异常行为事件角度，通过分析异常事件与发现的可疑内容事件的时间关联，辅助判定可疑内容事件与异常行为事件的威胁准确性和关联性。

基于全局数据分析的检测：通过全局收集攻击样本并分析，可以获得攻击者全局资源的信息，如攻击者控制服务器、协议特征、攻击发起方式，这些信息又可以用于对攻击者的检测。

对抗处理与检测：另外需要考虑的就是，攻击者可以采用的对抗手段有哪些，被动的对抗手段（条件触发）可以通过哪些模拟环境手段仿真，主动的对抗手段（环境检测）可以通过哪些方式检测其对抗行为。

综上所述，新一代的威胁检测思想，就是由时间线（攻击的生命周期）、内容线（信息来源覆盖）、深度线（多维度检测），构成一个立体的网状检测体系，攻击者可能会饶过一个点或一个面的检测，但想全面地逃避掉检测，则非常困难。只有逐步实现了以上的检测体系，才是一个最终完备的可以应对下一代威胁（包括APT）的新一代安全检测体系。

4 结束语

结合目前我国防护特种网络攻击技术现状，针对AET和APT的防护提出三点建议。

一是国家信息安全主管部门应将高级隐遁攻击和APT技术研究列入年度信息安全专项，引导国内信息安全厂商重点开展针对高级隐遁攻击和高级持续性威胁的防御技术研发，推动我国具有自主知识产权的新一代IDS和IPS产品产业化。

二是有条件的网络安全设备厂商应建设网络攻防实验室，搭建仿真实验环境，对网络IDS/IPS进行高级隐遁技术和APT的攻防测试，收集此类攻击的案例，积累检测和防御此类攻击的方法和经验。

三是在业界成立“防御特种网络攻击”学术联盟，定期开展学术交流并尝试制定特网攻击应急响应的防护技术要求和检测标准。

[注1] APT（Advanced Persistent Threat）直译为高级持续性威胁。这种威胁的特点：一是具有极强的隐蔽能力和很强的针对性；二是一种长期而复杂的威胁方式。它通常使用特种攻击技术（包括高级隐遁技术）对目标进行长期的、不定期的探测（攻击）。

[注2] AET（Advanced Evasion Techniques），有的文章译为高级逃避技术、高级逃逸技术，笔者认为译为高级隐遁技术比较贴切，即说明采用这种技术的攻击不留痕迹，又可躲避IDS、IPS的检测和阻拦。

参考文献

[1] 关于防御高级逃逸技术攻击的专题报告.

[2] Mark Boltz、Mika Jalava、Jack Walsh（ICSA实验室）Stonesoft公司.高级逃逸技术-避开入侵防御技术的新方法和新组合 .

[3] 恶意代码综合监控系统技术白皮书.国都兴业信息审计系统技术（北京）有限公司.

[4] 杜跃进.从RSA2012看中国的网络安全差距.2012信息安全高级论坛.

[5] 张帅.APT攻击那些事.金山网络企业安全事业部.

[6] 徐金伟，徐圣凡.我国信息安全产业现状调研报告.2012.5.

[7] 徐金伟.我国专业公司网络流量监控技术现状. 2012.6.

[8] 北京科能腾达信息技术股份有限公司.CNGate-TES测试手册.

[9] 南京翰海源信息技术有限公司.星云2技术白皮书V1.0.

篇6

“数据那些事儿”理念很重要

UZER、安全工作空间、数据不落地……，一个个新兴词汇蹦入眼帘，对此谐桐科技CTO张之收表示，随着后移动时代的到来，信息存在的场景以及使用的方式与设备变得更加多样化，导致之前的安全防护方式有了很明显的变化。尽管近些年人们都十分注重企业数据安全方面的投入，但是安全事件依然频发，“我们觉得这是非常好的创业发展契机，确实想通过自身的不断努力去实践一些创新的想法。”张之收对《中国信息化周报》记者说。

据笔者了解，UZER安全工作空间与传统的攻防类安全产品有很大不同，它除了与传统的安全产品相结合外，还补足其在移动端方面的不足，是一种“不走寻常路”的创新。产品将视角专注于适应越来越复杂网络环境，尤其是复杂的WiFi环境以及BYOD趋势。张之收认为，依照传统的攻防形式保障数据安全，即使一个企业部署了防火墙、加密安全产品，架构完整的安全体系，仍很难从源头上有效制止数据泄露，谐桐科技的理念恰好相反，遵循“大道至简”的规律原则，认为越复杂的部署反而不利于安全的管控，因此UZER安全工作空间并不做出复杂的部署，并且提供给运维人员行之有效的便利。

例如在投资银行的业务工作中，公司往往会在相关人员的便携设备上安装诸多监控，当负责人员使用没有认证过的软件或者登录没有认证过的网址时，系统就会报警，但系统本身对于安全与否的鉴定又不十分准确，如此看来就会对用户体验造成很明显的困扰。UZER安全工作空间正是从不给用户使用带来负担，不增加运维人员的安全运维难度的角度出发，力图通过最简单的方式提供安全使用环境的一款产品。

数据不落地 一切在云端

众所周知，传统的安全防护是通过防火墙，包括网络端防火墙以及应用层防火墙来拦截攻击，而客户端主要是通过杀毒软件来避免设备被黑客控制。概括来讲安全环境就意味着后台服务器的安全以及员工设备的安全，但传统的边界式防护，通常无法解决通过移动设备绕到内网中进行破坏的行为。张之收说：“后台服务器的安全相对来说可控性较高，但是个人设备的安全就没有很大的保证。因为设备掌握在人的手中，可以被携带到任何地点的任何环境，也可以在其中安装各种软件，所以说在用户的设备上进行安全防护是十分复杂的，无论是从安全还是运维抑或其他方面。

传统的办公环境中设备与人相互绑定，也就是说人的身份得到认证后就代表所使用的设备安全性同时得到默认，目前的企业办公系统还没有办法在短时间内有效界定设备是否安全，这就会很容易造成在使用公司数据时，由于自身的设备漏洞造成安全隐患。”从员工使用公司数据的一般流程来说，在某个环境中登录客户端或者相关应用，对办公数据进行修改、上传。但复杂的网络环境就有可能造成数据被篡改、泄露；或被植入一些木马病毒造成数据的感染，当用户上传被感染的数据到服务器端就会造成一次安全事故。也就是说黑客就可以轻松绕过防火墙、审计以及加密等设置，达成不良的目的。“面对这种数据泄露的方式，我们的产品是将公司的数据以及相关软件应用始终部署在后台服务器端，软件应用和数据的结合也是在服务器端。使用的是应用软件与服务器端瞬间组合而成的、可供使用的安全的临时环境，然后以视频流的方式推送到用户终端，用户看到的画面其实是一个视频，而且是经过加密的。”张之收补充道。

当用户进行常规操作时，不需要将数据下载到本地，只是本地的鼠标键盘事件通过一个加密的通道上传到后台，后台的软件接收到鼠标键盘事件后进行对应的处理，在本地没有任何数据落地，内存中也找不到任何数据痕迹，加密视频播放之后也随之消失于无形。“这就在服务端和客户端形成了一条隔离带，让用户没有办法获取超越其权限的数据，避免了因为本地设备受到黑客控制造成的数据泄露。”谐桐科技执行副总裁陈立言解释道。

由于应用和数据始终保存在后台服务器上，在数据不落地的情况下，保障数据安全；而视频也通过加密传输到客户端，在传输的过程中视频始终呈现加密状态，即使在网络环境中被截取，视频的内容也是不可见的，只是一种行为的呈现。

灵活接入、报警留据

一个不落

所谓“离职季，你的数据又丢了多少”，形象生动地展现了数据泄露在很大程度上取决于内部人员。因为数据本身存储在服务器中，UZER安全工作空间做到让员工用户只是通过设备去安全查看、修改以及上传，如果发现有任何不轨的行为，后台随时可以报警，但是这个报警的行为只有用户在使用安全工作空间时才会触发，换句话说，只有进入安全空间后才可能访问到企业数据，因此员工的个人行为不会受到监控，保证员工的隐私不会被侵犯。不同的员工根据不同的工作内容会有不同的权限，如果存在问题就会被直接锁定控制，瞬间将风险控制到最小，面对严重问题后台还可以留据，做到做到信息可以追溯，给具体的员工以警示。

“UZER安全工作空间，成功地将公司的应用与数据以及个人的应用与数据分离，我们不监控员工在个人设备上购物，看网页等个人行为，这样就不会给员工带来反感和排斥，在不改变用户习惯的前提下完成了监控。我们无法控制每个员工严格按照安全守则的规则操作个人设备，也无法避免他们不去点击那些高度伪装的钓鱼]件。所以我们换了一个思路，从服务器端解决问题，让应用与数据做到真正的不落地，最终解决移动设备的安全性所带来的风险。”陈立言认为。

篇7

 

0 引言

 

在信息时代里，网络化的信息系统已经成为国防力量的重要标志，军事活动中，军事信息的交流行为越来越多，局城网、广城网等技术也逐步成为了军事活动中不可或缺的内容，确保网络环境下军事信息的安全就是一项非常重要任务。

 

1 网络环境下军事信息安全面临的威胁

 

军事信息安全的主要威胁有：网络攻击、蓄意入侵、计算机病毒等。

 

1.1 计算机病毒

 

现代计算机病毒可以借助文件、邮件、网页、局域网中的任何一种方式进行传播，具有自动启动功能，并且常潜人系统核心与内存，利用控制的计算机为平台，对整个网络里面的军事信息进行大肆攻击。病毒一旦发作，能冲击内存、影响性能、修改数据或删除文件，将使军事信息受到损坏或者泄露。

 

1.2 网络攻击

 

对于网络的安全侵害主要来自于敌对势力的窃取、纂改网络上的特定信息和对网络环境的蓄意破坏等几种情况。目前来看各类攻击给网络使用或维护者造成的损失已越来越大了，有的损失甚至是致命的。一般来讲，常见的网络攻击有如下几种：

 

(1)窃取军事秘密：这类攻击主要是利用系统漏洞，使入侵者可以用伪装的合法身份进入系统，获取军事秘密信息。

 

(2)军事信息网络控制：这类攻击主要是依靠在目标网络中植入黑客程序，使系统中的军事信息在不知不觉中落入指定入侵者的手中。

 

(3)欺骗性攻击：它主要是利用网络协议与生俱来的某些缺陷，入侵者进行某些伪装后对网络进行攻击。主要欺骗性攻击方式有：IP欺骗，ARP欺骗，Web欺骗、电子邮件欺骗、源路由欺骗，地址欺骗等。

 

(4)破坏信息传输完整性：信息在传输中可能被修改，通常用加密方法可阻止大部分的篡改攻击。当加密和强身份标识、身份鉴别功能结合在一起时，截获攻击便难以实现。

 

(5)破坏防火墙：防火墙由软件和硬件组成，目的是防止非法登录访问或病毒破坏，但是由于它本身在设计和实现上存在着缺陷。这就导致攻击的产生，进而出现军事信息的泄露。

 

1.3 人为因素造成的威胁

 

因为计算机网络是一个巨大的人机系统，除了技术因素之外，还必须考虑到工作人员的安全保密因素。如国外的情报机构的渗透和攻击，利用系统值班人员和掌握核心技术秘密的人员，对军事信息进行窃取等攻击。网络运用的全社会广泛参与趋势将导致控制权分散，由于人们利益、目标、价值的分歧，使军事信息资源的保护和管理出现脱节和真空，从而使军事信息安全问题变得广泛而复杂。

 

2 网络环境下军事信息安全的应对策略

 

2.1 确立网络信息安全的战略意识

 

要确保网络信息的完整性、可用性和保密性，当前最为紧要的是各级都要确立网络信息安全的战略意识。必须从保证信息安全，就是保证国家主权安全，掌握军事斗争准备主动权和打赢信息化战争主动权的高度，来认识网络信息安全的重要性。要坚决克服那种先把网络建起来，解决了"有"的问题之后，再去考虑信息安全保密问题的错误认识。注意从系统的整体性出发，统筹考虑，同步进行，协调发展。

 

2.2 重视网络信息安全人才的培养。

 

加强计算机网络指挥人员的培训，使网络指挥人员熟练通过计算机网络实施正确的指挥和对信息进行有效的安全管理，保证部队的网络信息安全。加强操作人员和管理人员的安全培训，主要是在平时训练过程中提高能力，通过小间断的培训，提高保密观念和责任心，加强业务、技术的培训，提高操作技能;对内部涉密人员更要加强人事管理，定期组织思想教育和安全业务培训，不断提高人员的思想素质、技术素质和职业道德。

 

积极鼓励广大官兵研究军队计算机网络攻防战的特点规律，寻找进入和破坏敌力网络系统的办法，探索竭力阻止敌人网络入侵，保护己方网络系统安全的手段。只有拥有一支训练有素、善于信息安全管理的队伍，才能保证军队在未来的信息化战争中占据主动权。

 

2.3 加强网络信息安全的技术手段

 

在进行军队信息化建设时，要大力开发各种信息安全技术，普及和运用强有力的安全技术手段。技术的不断创新和进步，才是网络信息安全的关键，才是实现网络信息安全最重要、最有力的武器。

 

2.3.1 防火墙技术

 

防火墙是指设置在不同网络或网络安全域之间的一系列部件的组合，它是不同网络或网络安全域之间信息的唯一出入口，能根据使用者的安全政策控制出入网络的信息流。根据防火墙所采用的技术和对数据的处理方式不同，我们可以将它分为三种基本类型：过滤型，型和监测型。

 

2.3.2 数据加密技术

 

数据加密是对军信息内容进行某种方式的改变，从而使其他人在没有密钥的前提下不能对其进行正常阅读，这一处理过程称为"加密"。

 

在计算机网络中，加密可分为"通信加密"和"文件加密"，这些加密技术可用于维护数据库的隐蔽性、完整性、反窃听等安全防护工作，它的核心思想就是：既然网络本身并不安全、可靠，那么，就要对全部重要的信息都进行加密处理，密码体制能将信息进行伪装，使得任何未经授权者无法了解其真实内容。加密的过程，关键在于密钥。

 

2.3.3安装入侵检测系统和网络诱骗系统。入侵检测能力是衡量个防御体系是否完整有效的重要因素，入侵检测的软件和硬件共同组成了入侵检测系统。

 

强大的、完整的入侵检测系统可以弥补军队网络防火墙相对静态防御的小足，可以对内部攻击、外部攻击和误操作进行实时防护，当军队计算机网络和系统受到危害之前进行报拦截和响应，为系统及时消除威胁。网络诱骗系统是通过构建个欺骗环境真实的网络、主机，或用软件模拟的网络和主机)，诱骗入侵者对其进行攻击或在检测出对实际系统的攻击行为后，将攻击重定向到该严格控制的环境中，从而保护实际运行的系统;同时收集入侵信息，借以观察入侵者的行为，记录其活动，以便分析入侵者的水平、目的、所用上具、入侵手段等，并对入侵者的破坏行为提供证据。

 

要确保军事信息网络安全，技术是安全的主体，管理是安全的保障，人才是安全的灵魂。当前最为紧要的是各级都要树立信息网络安全意识，从系统整体出发，进一步完善和落实好风险评估制度，建立起平时和战时结合、技术和管理一体、综合完善的多层次、多级别、多手段的军事安全信息网络。

篇8

关键词：高职院校；信息安全专业; 专业实验室；方案设计

1、引言

目前，信息安全已发展成为一个综合、交叉的学科领域，它需要综合利用计算机、通信、微电子、数学、法律、管理、教育等等诸多学科的长期知识积累和最新研究成果。信息安全也是一个复杂的系统工程，涉及到信息基础建设、网络与系统的构造、信息系统与业务应用系统的开发、信息安全的法律法规、安全管理体系等。信息安全作为一门新兴、综合、交叉学科，涉及的领域也很多，因此除了工程教育共有的特点，信息安全人才培养有其独有的特点：信息安全领域知识覆盖面宽、信息安全知识更新快、信息安全教育是一种持续教育、信息安全教育需要面向多样化、层次化的人才需求、信息安全教育更注重应用和实践能力。

作为高职院校信息安全专业，应该在专业培养目标明确的前提下，充分考虑信息安全人才培养的特点，对专业实验室建设进行科学设计，准确定位，才能发挥专业实验室对培养学生核心能力，提高动手能力的重要作用。

2、专业实验室建设的定位

高等职业教育培养的是面向生产、建设、服务和管理第一线的高级应用型人才，“高级”强调的是理论基础宽厚，“应用型”强调的是技能熟练程度，因此培养具备较扎实的专业理论知识和一定实践操作技能的“高级蓝领”（社会上把企业中的人员按其受教育程度、工作性质、创造的价值、获取的报酬等综合因素分为金领、白领、蓝领。随着我国加入WTO与经济全球化的发展，我国的国民经济结构调整使许多企业进行了产品结构的调整，岗位技术含量正在不断增加，“蓝领”“白领”的边际正在模糊和淡化，“高级蓝领”应运而生。

以浙江警官职业学院司法信息安全专业为例，该专业的培养目标是为司法行政机关及其他行政机关、企事业单位培养信息安全管理员(运行维护)，为信息安全企业培养安全服务工程师，为公安机关培养网络警察，培养能够胜任“信息安全事件的预防、发现、处置”工作的技能型、管理型、复合型人才，主要满足一线工作岗位、实践操作技能强、具有大专学历层次的信息安全人才需求。因此，高职院校司法信息安全专业更加注重实践教学，更加注重学生动手能力的培养，更加注重学生职业能力的培养。

3、专业实验室规划与设计

3.1专业实验室规划

信息安全综合实训室的建设紧紧围绕网络信息安全事件“预防发现处置”工作流程为主线，以学生职业能力培养为中心，实现“教、学、做”一体。目标为培养掌握最前沿高级信息安全的实用技能型人才，突出网络信息安全事件处置能力的培养，加强网络安全技术应用与管理能力、信息安全事件处置能力的实训。

3.2专业实验室设计

信息安全综合实训室实验实训综合系统分别由信息安全基础实验室系统(实验性质、仿真环境)、信息安全仿真实训平台(实训性质、仿真环境)、信息安全综合实训平台(实训性质、全真环境)三部分组成,学生通过该实验实训系统的训练，逐步完成从基本技能培养岗位能力建立岗位能力提升及强化三个层次职业能力的三次提升。

（1）信息安全基础实验室系统——（实验性质、仿真环境）

信息安全基础实验室系统能够提供多种常用信息安全产品的仿真环境，能够完成人机操作、多机操作等攻防实验内容。配合理论教学供学生进行日常上机实验，教师可以参照实验室教材与标准讲义，指导学生通过实际操作理解典型网络攻击的原理与手法，进而掌握针对这些典型攻击的各种网络安全防御手段，同时掌握常用网络安全防御软件的配置使用方法。 （教学软件+硬件集成为一体） 

要求满足：50人能同时进行交互操作。

（2）信息安全仿真实训平台——（实训性质、仿真环境）

信息安全仿真实训平台通过还原职业活动情景的方式，仿真多种企业环境，重建企业不同的网络安全需求，采用案例分析模式，任务驱动的教学方式，培养学生对企业各种安全问题的综合处理能力，使其掌握不同网络环境下对一系列安全产品的综合部署和配置方法。支持多人配合完成实训任务，具有高互动性和真实性，培养学生团队工作意识。实训方案来源于真实企业需求，并参照国家职业技能鉴定标准符合当前信息安全保障工作对实用型信息安全人才的要求，实现学习与就业的无缝衔接。（教学软件+硬件集成为一体）

要求满足：50人能同时进行交互操作。

4、结语

信息安全综合实训室主要是针对司法信息安全专业岗位（信息安全管理员-运行维护）所要求的核心能力（网络安全技术应用能力和信息安全事件的综合处置能力），进行设计的。信息安全综合实训室的建设为信息安全人才培养提供了全方位的实验环境, 学生在这里通过实验、实训，能够加深对网络攻击技术、网络渗透技术、服务器入侵技术、网络防护技术、数据恢复技术及计算机信息的加密与解密等技术原理的理解，掌握防火墙、IDS等网络安全产品的搭建、配置与使用，电子证据的固定与分析，电子数据恢复，信息安全事件的综合处置等核心技能，对于提升学生就业能力将有直接帮助，同时，对改善学校办学条件、提高教学质量、培养高素质操作技能强的信息安全人才具有十分重要的意义。

参考文献

[1]李建华，张爱新等.信息安全实验室的建设方案[J].实验室研究与探索，2009（3）：65-67

[2]钟平,王会林.高校网络安全实验室建设探索[J].实验室科学,2010(2):122-124

篇9

关键词：网络技术；实训；模块

中图分类号：TG76-4 文献标识码：A文章编号：1007-9599(2012)04-0000-02

随着经济和技术水平的迅猛发展，计算机网络技术发生着日新月异的变化，互联网的普及与网民人数的绝不断攀升，各行各业都离不开网络技术。网络技术学习和网络人才培养在各级、各类教育中也占据了重要的地位。随着各种高新技术的流入，对各行各业人才也提出了较高要求。一些非网络专业的学生在今后的职业生涯中都会和网络技术打交道，但是他们在职业教育中没有接触任何网络技术方面的知识甚至是动手的机会，可能连网线断了这样的的问题也无从下手。高等职业教育的根本任务是为国民经济建设培养造就大批的应用型、技能型的人才，这就要求高职院校的实践模式必须适应高新技术的发展。

如何针对传统高职教育中网络教学的缺点进行课程模式和教学方法的改革？如何使各专业学生能够适应新的网络教学体系？网络教学如何适应飞速发展的网络技术的日新月异的技术标准？如何使毕业生尽快适应企业的工作需求？这些都是目前网络技术教育工作者思考和探索的问题。

一、模块化网络实训教学的必要性

（一）对提高网络教学水平意义重大

模块化网络实训教学的研究对提高网络教学水平的意义体现在两个方面：一，增加了网络实训教学这门课；二，提高教师的教学水平。

（二）提高个各专业人才对网络技术的需求

通过模块化网络实训教学，各专业各层次人才能够对网络技术有一定的了解，能够提高网络动手能力。

（三）对学生就业意义重大

模块化网络实训教学提供了真实的网络环境，可以让学生亲自搭建网络、亲自动手调试、配置网络，加深对网络原理、协议、标准的认识。通过模块化网络实训基地的学习，提高学生的网络技能和实战能力，在将来的就业竞争中非常明显的竞争优势。

（四）促进学校品牌的建设

模块化网络实训的建设，可以提高学校的教师的教学力量；其次，模块化网络实训教学还可以提高学生的动手能力，在日渐激烈的就业市场中更有竞争力。

二、模块化网络实训教学改革的目标和原则

（一）完成模块化网络实训教学的目标。第一个层次是实训类别的完备；第二个层次是实训模拟情境的完备；第三个层次是实训功能的完备；第四个层次是实训布局的完备性；第五个层次是效益的完备性；最终建成一个高水平的综合模块化网络实训，在其平台上运行多种实训系统。使实训中心成为满足不同层次教学需要的面向全校学生开放的计算机网络技术实训基地和人才培养基地。（二）建设模块化网络实训教学的原则。为达到模块化网络实训教学建设的目标，综合考虑近几年IP技术的发展和数据承载网络的发展，在实训教学设计构建中，应始终坚持以下原则：第一，高可靠性；第二，标准性及开放性；第三，灵活性及可扩展性；第四，先进性；第五，可管理性；第六，安全性；第七，综合性和统一性；第八，模块化设计；第九，分离式理念。

三、模块化网络实训教学改革思路

（一）通过将专业分类的方式对各专业对网络技术的不同需求

A类：计算机网络专业

B类：信息相关专业，包括电子商务、信息安全、计算机应用技术、多媒体技术等相关专业

C类：其它专业

（二）由于不同专业的知识基础不同，对网络知识的攫取要求也是不一样的，通过模块化细分确定不同总类专业对网络技术的需求

（三）分析各高职类专业网络实训常用模块，将网络实训部分进行模块化分类：网络基础部分、网络技术应用部分（含服务器搭建、网络维护、设备操作）、路由交换技术实训模块、无线技术实训模块、网络安全与管理（含协议分析、灾难修复、网络攻防）、网络管理实训模块

（四）建立菜单式网络技术实训教学模块，并分析出前驱知识点、适用专业与人员类型、每个模块理论知识基础、实训目的、考核标准、实训条件要求等；

四、模块化网络实训教学建设需求分析

（一）培养网络技术人才的目标。职业学校主要培养生产、建设、管理、服务第一线需要的，德、智、体全面发展的技术应用性人才。本着“系统性、整体性、综合性、应用性”的原则，形成了以素质教育和能力培养为主线、理论教学和实践教学互相渗透的人才培养模式，注重对学生实际能力的培养的同时，同时积极开展多种职业技能培训。（二）职业学校的网络人才培养需求。职业技术教育培养目标是应用型（技能型）人才，职业教育的发展特性决定了它坚持以就业为导向。首先，要实现办学思想的转变；第二，要适应就业市场、劳动力市场的需要，要面向社会、面向市场、面向企业、面向群众需求来办学。第三，要实行更大范围工学结合。

五、模块化网络实训教学的应用需求

提供真实的网络实训教学环境，满足不同层次实训的需要，提供实训基地配套的实训教学系统，实操技能型实训能在实训基地完成，有效地对实训教学进行管理，解决学生将来就业的通用性问题，模块化网络实训基地和职业教育认证培训结合。

篇10

关键词：电力系统；智能终端；安全挑战与风险；安全防护

0引言

为应对全球节能减排、能源综合利用效率提升的挑战，发展能源互联网成为推动后危机时代经济转型、发展低碳经济的重要手段[1]。能源互联网的建设使得现代电网向开放、互联、以用户为中心的方向发展，实现多类型能源开放互联、各种设备与系统开放对等接入。2019年，国家电网有限公司提出了“三型两网”的战略发展目标，在建设坚强智能电网的基础上，重点建设泛在电力物联网，以构建世界一流能源互联网。泛在电力物联网将充分应用移动互联、人工智能等现代信息技术和先进通信技术，实现电力系统各个环节万物互联、人机交互，打造电网状态全面感知、信息高效处理、应用便捷灵活的能力。泛在电力物联网的建设主要包括感知层、网络层、平台层、应用层4个部分，其中感知层重点实现终端标准化统一接入，以及通信、计算等资源共享，在源端实现数据融通和边缘智能。在此背景下，智能表计、新一代配电终端、源网荷友好互动终端、电动汽车充电桩等多类型电力系统智能终端在电网中得以广泛应用[2]，成为连接电力骨干网络与电力一次系统、用户的第一道门户。电力系统智能终端作为能源互联中多网“融合控制”的纽带节点，实现了电网监测数据的“本地疏导”以及电网对外控制的“功能聚合”[3]，其安全性直接关系到电网的安全稳定运行，研究电力系统智能终端的信息安全防护技术意义重大。

针对电力系统信息安全防护问题，自2002年起中国提出了以网络边界隔离保护为主的电力二次安全防护体系[4]，有效保障了电力监控系统和电力调度数据网的安全稳定运行。电力二次安全防护体系制定了“安全分区、网络专用、横向隔离、纵向认证”的安全防护策略，重点强调了通过内网隔离保护的方式确保电力二次系统的安全防护[5]，然而对新形势下电力系统智能终端的安全防护并未考虑。一方面，与传统信息安全相比，泛在电力物联网中各环节数亿规模终端具有异构与分散特性，后天标准化的终端自身安全防护理论与技术难以获得，如何兼顾实时性和安全性双重约束进行电力系统终端自身安全防护成为需要考虑的问题，电力系统智能终端自身安全性保证需求迫切。另一方面，随着泛在电力物联网建设推进，电力系统智能终端广泛采用无线传感网络等公共网络与电网主站系统进行通信[6]，在电力二次安全防护体系隔离保护边界外形成具有泛在互联、开放共享特性的边缘计算网络。这必然会将网络攻击威胁传导至电力系统本体，使得因网络攻击造成的大停电风险陡增。

为应对以上安全威胁，2014年国家发改委和能源局了《电力监控系统安全防护规定》[7]，要求电力生产控制大区设立安全接入区，对使用无线通信网等方式纵向接入生产控制大区的电力系统智能终端进行网络隔离。因此，在当前网络攻击手段呈现高级定制化、特征不确定化的严峻形势下，如何解决异构多样、数量庞大的电力系统智能终端边缘接入过程中的网络攻击实时监控发现和防渗透成为需要考虑的另外一项重要问题。

为此，本文围绕电力系统智能设备安全互联需求，首先分析电力系统智能终端业务特征和信息安全风险，明确电力系统智能终端信息安全防护特性；在此基础上，本文总结提出了电力系统智能终端信息安全防护面临的关键技术问题；然后，设计构建了覆盖芯片层、终端层、交互层的电力系统智能终端信息安全防护研究框架；最后，对电力系统智能终端信息安全防护关键技术进行了展望。

1电力系统智能终端信息安全风险

近年来网络空间安全事件频发，国家级、集团式网络安全威胁层出不穷[8-10]。电力等重要基础设施领域成为“网络战”的重点攻击目标之一，信息安全形势异常严峻[11]。2010年“震网”病毒事件中，西门子可编程逻辑控制器(PLC)终端受病毒攻击导致1000多台离心机损毁，使得核电站瘫痪。2015年乌克兰停电事件，以终端为攻击跳板瘫痪电力控制系统导致，成为全球首例公开报道的因黑客攻击导致大范围停电事件[12]。以上事件均表明，电力系统智能终端已成为攻击电网的重要目标和主要跳板[13]，面临着严峻的信息安全风险。本文从信息安全防护的保密性、完整性、可用性3项重要目标角度出发[14-15]，结合电力系统智能终端的组成结构和业务特征对信息安全风险进行分析，具体涉及芯片层、终端层、交互层3个方面，如图1所示。

1)芯片层：电力系统智能终端芯片自主可控性和安全性不足，在非受控环境下面临后门漏洞被利用风险。

2018年Intel芯片漏洞事件，爆出Intel芯片存在融毁漏洞以及幽灵漏洞，利用该漏洞进行攻击，可获取用户的账号密码、通信信息等隐私，智能终端均受波及，电力系统智能终端芯片同样面临漏洞、后门隐患的巨大问题。随着电力系统智能终端的开放性逐渐增强，与外界交互范围逐渐扩大，电力系统智能终端芯片安全性的不足逐渐凸显，主要表现在电力系统智能终端芯片自主可控程度低、芯片安全设计不足，导致当前电力系统智能终端存在“带病”运行，漏洞隐患易被攻击利用造成安全事件。为此，需要在芯片层面提高电力系统智能终端芯片的安全性，从芯片层面提高电网的安全防护能力。

2)终端层：异构电力系统智能终端计算环境安全保证不足，存在终端被恶意控制破坏的风险。

据数据统计表明，目前中国电网已部署各类型电力系统智能终端总数超4亿，规划至2030年接入各类保护、采集、控制终端设备数量将达到20亿。各类电力系统智能终端覆盖了电力“发电、输电、变电、配电、用电、调度”等各个环节，终端形态各异且业务逻辑差异巨大。终端复杂多样的嵌入式硬件计算环境、异构的软件应用环境和多类型私有通信协议等特性，使得其安全防护尚未形成统一标准。各类终端安全防护措施和水平亦参差不齐，在面对病毒、木马等网络攻击时整体安全防护能力薄弱。同时，电力系统智能终端在研发、生产、制造等环节无法避免的漏洞后门隐患也存在被攻击者利用的巨大安全风险。随着电力系统智能化水平的不断升级，各类型电力系统智能终端越来越多地承载了大量异构封闭、连续作业的电力生产运营应用，运行可靠性、实时性要求较高。电力系统智能终端一旦遭受恶意网络攻击，将可能导致终端生产监测信息采集失真，甚至造成终端误动作引发停电风险，传统事后响应型的终端被动防护技术无法满足电力安全防护的需要。因此，确保电力系统智能终端软硬件计算环境安全的标准化防护技术，以及事前防御型的主动防御技术研究需求迫切。

3)交互层：电力系统智能终端广泛互联互通导致网络开放性扩大，引入网络攻击渗透破坏风险。

泛在电力物联网的建设，其核心目标是将电力用户及其设备、电网企业及其设备、发电企业及其设备、供应商及其设备，以及人和物连接起来，产生共享数据，为用户、电网、发电、供应商和政府社会服务。以电网为枢纽，发挥平台和共享作用，为全行业和更多市场主体发展创造更大机遇，提供价值服务。因此，泛在电力物联网环境下的电力系统智能终端将广泛采用电力无线专网、NB-IoT、北斗定位、IPv6和5G等无线、公共网络与电网主站系统进行通信，使得电力系统智能终端的通信交互形式将呈现数量大、层级多、分布广、种类杂等特点，极大地增加了遭受网络攻击的暴露面。无论是电力系统智能终端，还是主站电力系统，被网络攻击渗透破坏的风险均进一步增大。在当前网络空间安全异常严峻的形势下，新型网络攻击手段不断衍变衍生，呈高级、定制化、持续性发展，尤其是面向工控环境的攻击更具有高度定制化、危害大的特点，使得电力系统智能终端通信交互过程中面临着新型网络攻击被动处置的局面。例如在乌克兰停电事件中，黑客通过欺骗电力公司员工信任、植入木马、后门连接等方式，绕过认证机制，对乌克兰境内3处变电站的数据采集与监控(SCADA)系统发起攻击，删除磁盘所有文件，造成7个110kV和23个35kV变电站发生故障，从而导致该地区发生大面积停电事件。

综上可知，电力系统智能终端面临的芯片层、终端层信息安全风险主要由终端芯片、计算环境安全性不可控和漏洞被利用等原因造成，可归纳为终端“自身安全”问题。交互层信息安全风险产生的原因主要为电力系统智能终端在互联接入过程中存在被渗透攻击可能性造成的，可归纳为“攻击防御”问题。

2电力系统智能终端信息安全防护技术问题剖析

为了解决电力系统智能终端“自身安全”和“攻击防御”问题，国内外学者开展了诸多信息安全防护技术研究，主要从传统信息安全的角度探索密码技术在终端自身数据保护、通信协议安全、安全接入传输方面的应用[16]。然而，受制于当前中国的芯片自主可控水平限制，以及电力系统智能终端异构多样的复杂计算环境和高安全、高实时运行特性限制，加之网络攻击特征不确定的混合约束，电力系统智能终端的整体安全防护尚存在待突破的技术问题，具体如下。

1)技术问题1：覆盖电路级、CPU内核及片上内嵌入式操作系统的芯片全通路安全防护机制及适应各类异构终端的普适性主动免疫问题。

根据安全风险分析可知，解决电力系统智能终端“自身安全”问题，必须实现芯片安全和终端计算环境安全。

在电力系统智能终端芯片层，面临的安全隐患表现为芯片各层次防护理论和技术无法满足安全需求。然而，当前电力系统智能终端采用了大量先进工艺条件制造的芯片，此类芯片主要由国外掌控，自主可控程度很低，其安全性保障技术更是存在空白。随着中国自主先进芯片技术发展，电力系统智能终端芯片在实现自主可控的同时应充分考虑芯片的安全防护，同步设计、同步发展。首先需从芯片设计理论的安全建模方面进行技术突破，确保理论层面的可证明安全。其次，应突破电路级、CPU内核以及片上内嵌入式操作系统等芯片核心组件的安全防护技术，从而构建芯片全通路安全防护技术体系。在电力系统智能终端计算环境安全方面，由于电力系统智能终端异构多样、资源受限、长期运行，传统终端被动式、个性化安全技术无法适用。因此需开展结合芯片层面的终端安全技术研究，构建适用于电力系统智能终端不同硬件架构、不同系统环境、不同应用环境的标准化安全防护框架，且能够在网络安全事件发生前、发生时确保终端计算环境的安全性和完整性，最终形成电力系统智能终端的普适性主动免疫技术体系。

2)技术问题2：攻击特征不确定、终端/业务/网络强耦合条件下，终端安全状态建模、精确感知及威胁阻断问题。

解决电力系统智能终端“攻击防御”问题，重点需突破电力系统终端远程接入交互过程中的攻击监测和防渗透技术。然而，电力系统智能终端点多面广、业务系统专业性强、互联网络组成复杂度高，且三者间相互耦合，而针对电力系统的网络攻击呈现定制化、隐蔽化和高级化等特点，难以清晰描述基于零日漏洞的高级持续性网络攻击的机理和特征，不同电力系统智能终端、系统、网络在攻击下的表现不一，因此无法单一根据攻击特征进行识别和阻断。传统监测手段缺少对电力业务场景的安全建模，监测数据源仅涉及CPU内存等基础资源状态和基础网络流量，未面向电网业务流、专用协议和应用特征进行深度监控与分析，难以精确、深入地感知电力系统智能终端系统安全状态，需要探索终端安全精确感知与攻击阻断技术。同时，在电力设备广泛互联后，边缘侧安全防护能力不足，需突破混合电力业务可信边缘接入与多级安全隔离技术。

3电力系统智能终端信息安全防护技术研究思路

针对电力系统智能设备安全互联的需求，以解决电力系统智能终端“自身安全”和“攻击防御”问题为核心，本文提出了覆盖“芯片层、终端层、交互层”的3层安全防护研究脉络，构建电力系统智能终端安全防护技术研究模型，如图2所示。

具体来说，首先需解决“覆盖电路级、CPU内核及片上内嵌入式操作系统的芯片全通路安全防护机制及适应各类异构终端的普适性主动免疫问题”，从芯片层安全和终端层安全开展关键技术研究，以确保电力系统智能终端自身安全。在芯片层，需开展芯片电路级安全、专用CPU内核、片上内嵌入式操作系统安全等3方面技术研究，为电力系统智能终端计算环境安全提供满足安全性、实时性要求的电力专用芯片，为终端主动免疫能力构建提供基础。在终端层，需从终端计算环境安全、应用安全、通信安全角度，重点研究具有主动免疫能力的电力系统智能终端内嵌入式组件和控制单元技术，并研制具备主动免疫能力的电力嵌入式组件、控制单元和终端。芯片层研究和终端层研究的成果共同解决终端主动免疫问题；同时，终端层将为交互层提供终端安全监测数据，并向交互层终端边缘接入防护提供业务场景和接入需求。

在此基础上，为解决“攻击特征不确定、终端/业务/网络强耦合条件下，终端安全状态建模、精确感知及威胁阻断”的问题，需从交互层安全开展关键技术研究以确保外部攻击防御。具体来说，面向主动免疫终端的互联应用场景，研究提供网络监控防御和安全交互保障技术；从终端状态感知、攻击识别、威胁阻断等3个监控与防渗透必要环节，研究终端、业务、网络多维融合状态感知、关联电力业务逻辑的深度攻击识别、终端网络联动的威胁阻断技术，实现终端安全威胁精确感知与阻断，为电力系统智能终端提供网络攻击防渗透决策控制服务。同时，研究电力系统智能终端的统一边缘接入场景安全防护，为终端的边缘接入安全、数据安全和隔离保护提供技术支撑，为具有自免疫能力的电力系统智能终端的边缘接入提供安全传输通道。

4电力系统智能终端信息安全防护关键技术

下文将从芯片层、终端层、交互层等3个方面对电力系统智能终端安全防护需突破的关键技术展开阐述。

1)芯片层安全防护关键技术：芯片电路级可证明安全防护技术和内核故障自修复技术。

针对复杂环境、先进工艺条件以及新型攻击模型带来的一系列芯片安全问题，研究覆盖电路级、CPU内核以及嵌入式操作系统的具有完全自主知识产权的电力芯片安全技术[17]。满足电力系统终端对电力专用芯片的高安全、高可靠、高实时性要求。

首先需要进行芯片级安全防护理论研究，针对集成电路器件的信息泄露产生源问题[18]，具体理论研究方法为：研究先进工艺下电流、光、热等物理信息的产生机理[19]，掌握其内在物理特性和工艺间的关系；分析芯片电路元件的组合物理特性，以及多元并行数据在信息泄露上的相互影响；在芯片内部特征差异和外部噪声环境下，研究先进工艺下电力专用芯片物理信息泄露的精准建模方法，构建普适性物理信息泄露模型；研究可证明安全的泄露信息掩码、隐藏技术以及抵御高阶分析和模式类分析的防护技术，提升芯片安全设计理论与方法；研究层次化芯片安全防御体系架构。通过研究芯片运行电磁环境监测、运行状态监测、多源故障检测技术，实现芯片的环境监测和内部监测。研究CPU指令流加密和签名、平衡电路构建、数字真随机数电路等技术，实现芯片内部数据的存储加密、总线扰动、电路掩码。提出可证明安全的自主知识产权芯片电路级防护方法，满足电力专用芯片的高安全要求。

在理论研究基础上，需基于可证明安全的芯片电路级防护方法进行芯片电路级防护实现技术研究。首先，基于自主知识产权的CPU架构，研发带有高安全、高可靠特性的CPU内核，并对以上技术进行仿真验证，研究形成CPU内核故障自修复技术，满足电力专用芯片的高可靠性要求；然后，确定仿真验证可行性，并采用以上关键技术研制低功耗、高速特性的电力专用芯片，开发适用于电力应用的片上内嵌入式操作系统，满足电力专用芯片的高实时性要求。

最后，对研制的电力专用芯片和内嵌入式操作系统进行全套模拟测试，以确定满足后续电力智能终端的开发应用。通过芯片层安全研究方法确保电力专用芯片满足安全防护要求，实现功耗电磁隐藏、数据命令掩码、电路屏蔽，以抵御模板攻击、电磁注入攻击等新型信道攻击、故障攻击、侵入式攻击。具体研究框架如图3所示。

2)终端层安全防护关键技术：融合可信计算和业务安全的异构智能终端主动免疫技术。

针对电力智能终端异构、资源受限条件带来的终端易被恶意控制和破坏的风险，提出研究融合可信计算和业务安全的异构智能终端主动免疫技术。首先，根据电力多场景业务应用情况，分析各类电力系统智能终端的安全防护需求，提取异构智能终端的主动免疫需求特征；然后，根据异构终端的主动免疫需求特征，研究建立适应电力系统智能终端的普适性主动免疫安全架构。①在硬件安全架构技术研究方面，针对电力终端特性研究基于电力专用芯片的电力终端可信根[20]，实现对电力终端操作系统、业务应用程序的可信量度，保证终端状态的可信[21-22]；设计以可信根为基础、以嵌入式微控制单元(MCU)为应用的终端可信逻辑硬件架构，研究端口安全访问机制和接口驱动安全机制，实现终端的主动免疫能力。②在软件架构技术研究方面，针对电力终端在数据交互、访问机制、检查机制、审计机制方面存在的漏洞，研究数据安全保护机制[23]，保证各个应用和各部分数据的独立安全；研究满足电力系统需求的安全访问控制机制，外层访问和软件平台之间的安全检查机制；研究适应外层、软件平台访问的安全访问审计机制。

在电力系统智能终端普适性主动免疫安全架构基础上，为实现终端计算环境安全、业务应用安全和对外通信安全，提升多种场景下异构电力系统智能终端的安全防护能力。需开展系统安全访问、数据安全保护、信任链构建、可信量度与可信管理、可信证明与可信证据收集、数据安全交互、核心功能保护、快速恢复及通信完整性保护等方面的关键技术研究，建立适应电力系统异构终端的普适性主动免疫体系。具体研究框架如图4所示。

3)交互层安全防护关键技术一：面向不确定攻击特征的终端威胁精确感知与阻断技术。

针对电力终端接入和互联过程中的攻击监测、异常处理与安全防护需求存在的问题，研究基于“异常监测—阻断响应—安全防护”的交互层安全技术。

首先，研究多级分布式监测与防渗透架构，构建监测布点机制和终端防渗透模型：①针对典型电力终端业务场景，分析不同场景的脆弱性和安全威胁，研究基于业务场景的终端网络渗透路径；②对终端系统中已有的安全防御措施进行建模；③综合防御模型与终端网络渗透路径，形成不同业务场景的监控与防渗透模型。

其次，针对网络渗透攻击特征的不确定性，需研究终端、业务、网络多维融合安全状态建模与感知方法，建立各维度安全状态基准，采用异常特征抽取技术获取各类攻击和异常特征的映射关系，反向推导可能发生的渗透攻击，实现异常识别。在终端安全状态感知方面，需分析多源异构嵌入式电力智能终端硬件资源、可信模块、配置文件、关键进程等运行状态特征，构建面向终端状态异常行为的分类和诊断模型，实现对多源异构终端的有效异常感知。在业务安全状态感知方面，开展基于协议深度分析的业务异常感知的研究。分析电力协议的格式规范、业务指令特征和操作逻辑，对协议进行深度解析并提取指令级特征[24]；分析单一数据报文的合规性，识别畸形报文；分析组合数据报文，还原业务操作行为，实现对违规行为的异常感知。在网络安全状态感知方面，从通信路径、通信频率、流量大小、流量类型等多维角度分析电力终端流量特征[25]，并融合归一化处理，以自学习的方式确定行为基线，实现流量异常识别。

在此基础上，针对电力系统遭受渗透攻击后的准确有效响应需求，结合各类电力系统业务场景，研究基于特征提取和模式识别的攻击关联分析方法，构建概率关联模型和因果关联模型，对攻击特征进行关联分析[26]，作为攻击识别技术的支撑基础。对具有较显著特征的攻击行为，构建多模式快速匹配模型，实现攻击的快速匹配识别，对特征相对不很显著的复杂攻击行为，利用机器学习，实现攻击的有效检测。

最后需研究防渗透策略管理和隔离阻断技术，形成网络和终端设备的策略下发、执行和优化等综合管理方法；对于被入侵的高风险终端，产生终端隔离策略或网络阻断策略，对于受影响终端，生成风险规避策略。并需要研究策略优化、冲突检测、冲突消除算法，实现融合“终端隔离”与“网络阻断”的多层协同防御策略，最终基于攻击危害评估的隔离阻断技术实现攻击的抵御和消解。具体研究框架如图5所示。

4)交互层安全防护关键技术二：电力系统智能终端互联场景下终端边缘安全接入和混合业务隔离保护技术。

首先研究电力系统智能终端边缘接入体系架构和安全防护体系，为电力监控系统、智慧能源系统、能源计量系统的终端互联安全提供基础支撑。

在此基础上，针对电力系统智能终端互联、混合业务统一接入场景下，海量多样化终端的合法快速接入认证问题，需采用分布式授权接入控制、轻量级验签等方法，研究快速接入认证技术；在轻量级公钥、私钥研究的基础上，提出轻量级签名算法以及公钥对生成算法[27]，通过软硬件结合方式构建轻量级的验签体系，支撑系统的实时验签处理。实现终端分布式授权和高速安全接入认证。同时，需针对不同边缘侧业务、环境、时间、跨度，实现不同安全需求的边缘侧认证授权技术，即在知识库、规则库构建的基础上，基于自学习方法构建完整的电力系统边缘计算认证因子体系[28]，实现多种认证因子共存的“白名单”最小化授权认证。

针对边缘接入过程中的数据安全防护问题，需研究轻量级密钥更新和数据安全处理与质量保障技术，实现全实时数据安全防护。首先设计密钥管理、协商、更新机制，重点研究混合业务分级分类安全存储、高速接入场景动态协调存储方法，满足数据高速增量存储。在此基础上，研究高性能的安全多方计算方法，实现实时数据流的安全、高速处理和隐私保护，在计算能力和带宽约束条件下解决数据篡改、数据失真等安全问题，并在边缘计算能力和带宽约束条件下实现数据清洗、融合、治理，定量化提升数据质量。

最后针对多业务互联过程中的业务隔离困难的问题[29]，需结合资源虚拟化调度和切片技术，研究多业务安全隔离技术，选择合适的切片粒度和生命周期，平衡切片的灵活性和复杂性，实现多业务共享资源的切片式安全隔离，支持混合业务可信敏捷接入与多级安全隔离。同时为了确保业务连续性不受影响，充分利用不同通道的优势，需采用通道切换的方法进行多模通道自动倒换，实现通道使用优化，提高业务接入和备份能力，确保业务状态不中断。具体研究框架如图6所示。

5电力系统智能终端信息安全防护能力测试验证技术

电力系统智能终端信息安全防护需要多方面的关键技术，目前国内外尚无适用于电力系统智能终端业务环境的安全性测评验证技术。本文尝试从安全防护技术集成优化、实验室测试验证、多业务综合试验验证等3个方面，对电力系统智能终端信息安全防护技术有效性进行分析和展望。

1)安全防护关键技术集成优化。电力系统智能终端安全防护涉及了芯片层、终端层、交互层3个方面，相关技术在应用过程中需兼容电力不同业务系统应用场景、防护要求及措施的差异。同时，需要兼顾与各业务系统在功能模型、性能指标、安全策略等方面的匹配性，考虑与已有防护策略的优化集成应用需求，以支撑芯片层—终端层—交互层安全防护技术的整体研发与应用。

2)安全性实验室测试验证。为满足电力系统智能终端信息安全防护技术有效性验证需求，需基于电力业务系统运行场景模拟，研究安全防护能力的实验室测试技术，构建终端安全性检验测试平台，实现安全功能符合性、穿透性测试。此外，需研究考虑不同攻击密度、攻击特征及目标定位的攻击用例，构建安全攻防验证平台，实现主动免疫电力系统智能终端及安全监测与防渗透系统安全功能的有效性测试。

3)安全性综合验证评估。综合考虑实际业务环境中的负荷特点、供电可靠性要求等因素，在安全防护技术应用到生产环境后，为对相关安全技术有效性以及业务影响性进行测评验证。需考虑通过红队攻击和专家组验证等方式，采用终端自身攻击、纵向通信攻击、主站下行攻击等方式，验证主动免疫电力终端、终端安全监测与防渗透系统、边缘计算安全接入设备的安全功能有效性，并评估对业务系统实时性、正确性、可靠性等方面的影响及对现有防护体系的提升能力。