吳春明

摘要：提出以動(dòng)態(tài)化、隨機(jī)化、主動(dòng)化為特點(diǎn)的動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御是解決信息系統(tǒng)中未知漏洞與后門攻擊的一種新途徑。在動(dòng)態(tài)網(wǎng)絡(luò)的主動(dòng)變遷技術(shù)中，提出了演進(jìn)防御機(jī)制（EDM），該機(jī)制可以根據(jù)網(wǎng)絡(luò)系統(tǒng)安全狀態(tài)、網(wǎng)絡(luò)系統(tǒng)安全需求等，選擇最佳的網(wǎng)絡(luò)配置變化元素組合來應(yīng)對(duì)潛在的攻擊、保證特定等級(jí)的安全要求。網(wǎng)絡(luò)的動(dòng)態(tài)重構(gòu)和變遷需要根據(jù)系統(tǒng)的安全態(tài)勢和可能遭受的網(wǎng)絡(luò)攻擊來考慮，其關(guān)鍵是如何有效對(duì)系統(tǒng)的安全態(tài)勢和網(wǎng)絡(luò)的攻擊進(jìn)行主動(dòng)探測與感知。尚處于起步階段的動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御的創(chuàng)新技術(shù)研究任重而道遠(yuǎn)。

關(guān)鍵詞：被動(dòng)防御；未知攻擊；主動(dòng)防御

棱鏡計(jì)劃的曝光和斯諾登事件的持續(xù)發(fā)酵，表明了美國網(wǎng)絡(luò)監(jiān)控計(jì)劃和針對(duì)中國物理隔離網(wǎng)絡(luò)的威脅已穿透國門直逼我們面前，以“物理隔離”為基礎(chǔ)的最后一道防線不復(fù)存在。

傳統(tǒng)的網(wǎng)絡(luò)安全防御思想是在現(xiàn)有網(wǎng)絡(luò)體系架構(gòu)的基礎(chǔ)上建立包括防火墻和安全網(wǎng)關(guān)、入侵檢測、病毒查殺、訪問控制、數(shù)據(jù)加密等多層次的防御體系來提升網(wǎng)絡(luò)及其應(yīng)用的安全性。但近年來不斷被披露的網(wǎng)絡(luò)安全事件及由此帶來的嚴(yán)重后果也逐漸暴露了傳統(tǒng)的網(wǎng)絡(luò)安全防御技術(shù)存在的問題，尤其是難以有效抵御系統(tǒng)未知軟硬件漏洞的攻擊，難以防御潛在的各類后門攻擊，難以有效應(yīng)對(duì)各類越來越復(fù)雜和智能化的滲透式網(wǎng)絡(luò)入侵。近年來，研究動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御技術(shù)已成為信息安全領(lǐng)域的重要方向。

如何通過動(dòng)態(tài)化、隨機(jī)化、主動(dòng)化的手段改變網(wǎng)絡(luò)信息系統(tǒng)的運(yùn)行或執(zhí)行環(huán)境，突破傳統(tǒng)網(wǎng)絡(luò)信息安全被動(dòng)防御的窘境，將“亡羊補(bǔ)牢”式的被動(dòng)防御轉(zhuǎn)變?yōu)殡y以被偵測的主動(dòng)防御是一種值得我們思考的創(chuàng)新思路[1-3]。

中國作為信息技術(shù)后進(jìn)國家，關(guān)鍵領(lǐng)域的信息基礎(chǔ)設(shè)施或裝備幾乎都被西方寡頭公司控制，絕大部分核心元器件、高端芯片、基礎(chǔ)/工具軟件和半導(dǎo)體制程裝備也都嚴(yán)重依賴進(jìn)口。中國網(wǎng)絡(luò)空間幾乎單向透明地呈現(xiàn)在以美國為首的西方發(fā)達(dá)國家面前，信息安全面臨極大威脅。當(dāng)前，網(wǎng)絡(luò)空間的軟件攻擊技術(shù)發(fā)展迅速，且已進(jìn)入自動(dòng)化程度高、攻擊速度快、攻擊工具復(fù)雜、潛伏更趨隱蔽的高級(jí)階段。集成電路設(shè)計(jì)、制造、封裝、測試和工具軟件等環(huán)節(jié)被全球少數(shù)寡頭企業(yè)壟斷，在硬件或物理電路中植入或預(yù)留后門/陷阱成為新的攻擊手段，且難以檢測和有效防范。正在興起的軟硬件和電磁協(xié)同攻擊技術(shù)具有植入更隱蔽、識(shí)別更困難、隔離效果差、清理代價(jià)高等綜合優(yōu)勢，正在成為主流攻擊模式，給安全風(fēng)險(xiǎn)的評(píng)估、檢測和防御都帶來了前所未有的挑戰(zhàn)，甚至作為防御方底線的加密手段也很難保證其最終的有效性，現(xiàn)有網(wǎng)絡(luò)空間安全手段的匱乏已嚴(yán)重危及國家主權(quán)和社會(huì)安定。

在全球經(jīng)濟(jì)一體化、專業(yè)分工國際化的時(shí)代背景下，任何一個(gè)國家都不可能完全掌控包含設(shè)計(jì)鏈、生產(chǎn)鏈和供應(yīng)鏈在內(nèi)的完整的安全鏈。從理論上講，目前軟硬件設(shè)計(jì)中的漏洞又是不可避免的，即使中國自主設(shè)計(jì)的芯片、硬件和軟件，迄今尚無有效的漏洞檢測手段和杜絕方法，從工程科學(xué)的角度也很難證明在整個(gè)安全鏈諸環(huán)節(jié)中沒有漏洞、或未被植入病毒木馬和預(yù)留后門。而近年來，控制系統(tǒng)安全事故頻發(fā)，中國工業(yè)安全也受到了嚴(yán)重威脅，已引起了各國政府和學(xué)術(shù)界的廣泛關(guān)注[4]。

動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御以提供運(yùn)行環(huán)境的動(dòng)態(tài)性、非確定性、異構(gòu)性、非持續(xù)性為目的，通過網(wǎng)絡(luò)系統(tǒng)中的環(huán)境、軟件、數(shù)據(jù)等主動(dòng)重構(gòu)或遷移實(shí)現(xiàn)動(dòng)態(tài)環(huán)境，以防御者可控的方式進(jìn)行主動(dòng)變化，對(duì)攻擊者則表現(xiàn)為難以觀察和預(yù)測的動(dòng)態(tài)目標(biāo)，從而大幅增加攻擊難度和成本，大幅降低系統(tǒng)安全風(fēng)險(xiǎn)[5]。

文章從多個(gè)方面論述了我們對(duì)動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御技術(shù)的一些思考和目前所做工作。

1 動(dòng)態(tài)網(wǎng)絡(luò)的主動(dòng)變遷技術(shù)

安全這個(gè)話題，多年來是從防護(hù)、抵御外界的入侵、攻擊的角度來談?wù)摰?，但由于目前防御和攻擊之間的不對(duì)稱，因此一旦遭到無所不在的攻擊后，能主動(dòng)招架、有效抵抗的可能性就變得很小。據(jù)此形態(tài)，我們可以從另外一個(gè)角度來看待這個(gè)問題：即利用網(wǎng)絡(luò)的基礎(chǔ)設(shè)施、傳輸協(xié)議、數(shù)據(jù)訪問等能力來完成特定的某項(xiàng)任務(wù)，在執(zhí)行任務(wù)過程中有效保護(hù)好各環(huán)節(jié)的動(dòng)作或操作，對(duì)注入、駐留、滲透的攻擊所需感知或匹配的網(wǎng)絡(luò)環(huán)境進(jìn)行動(dòng)態(tài)變換，以切斷攻擊行為過程中的先驗(yàn)知識(shí)鏈（即在平時(shí)的攻防僵持狀態(tài)，雙方保持靜態(tài)化）；因沒有實(shí)質(zhì)性的行為發(fā)生，此時(shí)的威脅是可容忍的；在訪問、請求等功能或操作啟動(dòng)后即可發(fā)起動(dòng)態(tài)變換的指令，配置成與靜態(tài)化對(duì)峙時(shí)刻不同的網(wǎng)絡(luò)狀態(tài)，增加入侵攻擊的難度；一旦任務(wù)結(jié)束即可釋放各類資源，形成機(jī)動(dòng)網(wǎng)絡(luò)的生成、配置、執(zhí)行與釋放卸載的動(dòng)態(tài)化機(jī)制[6]。

為了增強(qiáng)網(wǎng)絡(luò)動(dòng)態(tài)變化的隨機(jī)性，可以增加部分冗余網(wǎng)絡(luò)節(jié)點(diǎn)設(shè)備和鏈路，在不同時(shí)刻根據(jù)不同需求將其隨機(jī)激活或休眠，以動(dòng)態(tài)重構(gòu)網(wǎng)絡(luò)，從而使得整個(gè)網(wǎng)絡(luò)難以被探測。

通過網(wǎng)絡(luò)與配置的動(dòng)態(tài)化，將靜態(tài)的網(wǎng)絡(luò)變成動(dòng)態(tài)、隨機(jī)可重構(gòu)的網(wǎng)絡(luò)，改變目前網(wǎng)絡(luò)攻防雙方不對(duì)稱的狀況，使攻擊者無法有效確定攻擊目標(biāo)，從而實(shí)現(xiàn)動(dòng)態(tài)的網(wǎng)絡(luò)安全。

動(dòng)態(tài)網(wǎng)絡(luò)的主動(dòng)重構(gòu)防御的指導(dǎo)思想是：在保障網(wǎng)絡(luò)服務(wù)、功能等價(jià)的前提下，利用網(wǎng)絡(luò)可重構(gòu)的技術(shù)手段，構(gòu)建具有依據(jù)任務(wù)需求、主動(dòng)變遷網(wǎng)絡(luò)運(yùn)行與傳輸環(huán)境的網(wǎng)絡(luò)架構(gòu)，通過對(duì)破壞網(wǎng)絡(luò)攻擊鏈的方法及措施的研究和設(shè)計(jì)，提高網(wǎng)絡(luò)攻擊難度，形成主動(dòng)網(wǎng)絡(luò)防御的能力。

動(dòng)態(tài)網(wǎng)絡(luò)的主動(dòng)變遷需要在考慮現(xiàn)有網(wǎng)絡(luò)基礎(chǔ)設(shè)施組成結(jié)構(gòu)的基礎(chǔ)上，結(jié)合拓?fù)浣Y(jié)構(gòu)、路由、環(huán)境、軟件等網(wǎng)絡(luò)要素來考慮，其關(guān)鍵技術(shù)、變遷策略和協(xié)同機(jī)制可關(guān)注如下幾個(gè)方面：

（1）潛伏部分網(wǎng)絡(luò)物理節(jié)點(diǎn)設(shè)備。通過潛伏部分網(wǎng)絡(luò)設(shè)備，在必要時(shí)將其激活，重構(gòu)出一個(gè)網(wǎng)絡(luò)，在不同時(shí)刻或者根據(jù)不同需求，可以激活不同的潛伏設(shè)備或休眠部分設(shè)備，從而增強(qiáng)探測整個(gè)網(wǎng)絡(luò)結(jié)構(gòu)的難度。

（2）按需動(dòng)態(tài)生成邏輯服務(wù)網(wǎng)絡(luò)。邏輯服務(wù)網(wǎng)絡(luò)是按需動(dòng)態(tài)生成和釋放的，即使對(duì)同一用戶提出的需求，在不同時(shí)段所生成的邏輯服務(wù)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)、映射到的物理設(shè)備位置、邏輯設(shè)備地址等都有可能不一樣。因此，多樣化變換的邏輯服務(wù)網(wǎng)絡(luò)使得網(wǎng)絡(luò)結(jié)構(gòu)也更難以被探測，數(shù)據(jù)難以被追蹤[7]。此外，同一物理設(shè)備內(nèi)各邏輯設(shè)備間的隔離化處理，也可以有效降低諸如路由器分布式拒絕服務(wù)（DDos）攻擊的危害。

（3）多樣化、差異化的網(wǎng)絡(luò)服務(wù)。通過構(gòu)建邏輯服務(wù)網(wǎng)的方式為不同業(yè)務(wù)提供不同等級(jí)的安全傳輸服務(wù)，高效地重構(gòu)、利用網(wǎng)絡(luò)資源。

（4）多徑、動(dòng)態(tài)路由。通過動(dòng)態(tài)路由，用戶信息每次傳輸路徑都可能不同，使得難以被追蹤定位[8]；通過多徑路由，用戶信息在不同的路徑上傳輸，即使部分信息被截獲，竊聽者也很難獲得完整的信息。另外，通過域間/內(nèi)虛擬路由技術(shù)、域間/內(nèi)路由代理技術(shù)等也不失為可進(jìn)一步拓展的手段。

（5）網(wǎng)絡(luò)設(shè)備的“白盒”設(shè)計(jì)。將網(wǎng)絡(luò)設(shè)備封閉結(jié)構(gòu)下不同部件的松耦合，比如軟件定義網(wǎng)絡(luò)（SDN）實(shí)現(xiàn)的數(shù)據(jù)面、控制面和應(yīng)用軟件的分離，而可重構(gòu)網(wǎng)絡(luò)則基于開放標(biāo)準(zhǔn)的構(gòu)件化設(shè)計(jì)思想，實(shí)現(xiàn)粒度可伸縮的彈性模塊化，從而提高設(shè)備主動(dòng)避免干擾的能力。

（6）IP地址的可變。通過IP地址變換，可達(dá)到資源在IP層面的動(dòng)態(tài)變化，使網(wǎng)絡(luò)掃描攻擊環(huán)節(jié)失效，從而形成對(duì)后續(xù)網(wǎng)絡(luò)攻擊失去有效目標(biāo)的有利局面，減緩網(wǎng)絡(luò)中蠕蟲、病毒和木馬的轉(zhuǎn)播[9]。

（7）SDN的控制器聯(lián)動(dòng)?？梢钥紤]新型網(wǎng)絡(luò)操作系統(tǒng)，采用多控制器聯(lián)動(dòng)、協(xié)同與虛擬配置，重構(gòu)虛擬網(wǎng)絡(luò)與虛擬機(jī)等的方式進(jìn)行協(xié)同化變遷控制單元與組件。

在前期的研究工作中我們將生物啟發(fā)方法[10]用于主動(dòng)網(wǎng)絡(luò)安全機(jī)制中，并且提出了演進(jìn)防御機(jī)制（EDM）[11]。該機(jī)制根據(jù)網(wǎng)絡(luò)系統(tǒng)安全狀態(tài)、網(wǎng)絡(luò)系統(tǒng)安全需求、用戶特定應(yīng)用的安全需求，選擇最佳的網(wǎng)絡(luò)配置變化元素組合來應(yīng)對(duì)潛在的攻擊、保證特定等級(jí)的安全要求。通過結(jié)合目前SDN最新控制器技術(shù)，EDM架構(gòu)的愿景可設(shè)為：保證多種動(dòng)態(tài)網(wǎng)絡(luò)配置變化元素種類的共存，避免在配置變化過程中的沖突，并充分利用SDN所具有的良好的可編程性，通過不斷更新動(dòng)態(tài)網(wǎng)絡(luò)配置元素種類、更趨有效的網(wǎng)絡(luò)配置動(dòng)變策略來應(yīng)對(duì)新的威脅，從而保證EDM的不斷持續(xù)演進(jìn)，提高處理威脅的效果、增強(qiáng)安全增益。同時(shí)，EDM架構(gòu)的設(shè)計(jì)考慮了動(dòng)態(tài)網(wǎng)絡(luò)配置所帶來的網(wǎng)絡(luò)效能損失問題，使其能夠根據(jù)網(wǎng)絡(luò)實(shí)際特點(diǎn)來選擇適合的動(dòng)態(tài)網(wǎng)絡(luò)配置組合策略，因而具有自適應(yīng)網(wǎng)絡(luò)環(huán)境的特性。在原理驗(yàn)證用例中同時(shí)實(shí)現(xiàn)了IP地址與數(shù)據(jù)流路徑隨機(jī)化變化機(jī)制，并實(shí)現(xiàn)了兩種隨機(jī)化機(jī)制的協(xié)同與沖突避免。

2 動(dòng)態(tài)網(wǎng)絡(luò)安全態(tài)勢和網(wǎng)絡(luò)攻擊的感知

動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御能有效防御未知漏洞和后門攻擊，實(shí)現(xiàn)動(dòng)態(tài)的網(wǎng)絡(luò)安全，但需要考慮主動(dòng)防御的代價(jià)。過于頻繁的動(dòng)態(tài)變化網(wǎng)絡(luò)元素，則從安全代價(jià)權(quán)衡而言，可能是昂貴的。因此，網(wǎng)絡(luò)的動(dòng)態(tài)重構(gòu)和變遷需要根據(jù)系統(tǒng)的安全態(tài)勢和可能遭受的網(wǎng)絡(luò)攻擊來考慮，其關(guān)鍵是如何有效對(duì)系統(tǒng)的安全態(tài)勢和網(wǎng)絡(luò)的攻擊進(jìn)行主動(dòng)探測與感知。

（1）多維數(shù)據(jù)和全局性能指標(biāo)綜合下的安全態(tài)勢感知

可以通過在網(wǎng)絡(luò)的各個(gè)關(guān)鍵節(jié)點(diǎn)處（包括安全防護(hù)設(shè)備、流量采集設(shè)備、關(guān)鍵資源服務(wù)器、交換路由設(shè)備等）部署傳感器或通過數(shù)據(jù)采集接口，實(shí)時(shí)采集各節(jié)點(diǎn)的運(yùn)行數(shù)據(jù)，包括系統(tǒng)告警、資源占用等，將其發(fā)送到系統(tǒng)的全局監(jiān)控中心，進(jìn)行實(shí)時(shí)分析、感知系統(tǒng)的當(dāng)前安全態(tài)勢[12]。

目前，大數(shù)據(jù)中心、云平臺(tái)等技術(shù)設(shè)施的出現(xiàn)，一方面提高了系統(tǒng)的計(jì)算能力和存儲(chǔ)能力，另一方面也能使我們可更有效地進(jìn)行系統(tǒng)的自動(dòng)化數(shù)據(jù)采集。這一點(diǎn)在目前的SDN和軟件定義安全（SDS）[13]系統(tǒng)中更為突出。在SDN和SDS系統(tǒng)中，管控系統(tǒng)擁有全局視圖和知識(shí)庫，開放和標(biāo)準(zhǔn)化的安全接口，可協(xié)同安全設(shè)備聯(lián)動(dòng)，可對(duì)網(wǎng)絡(luò)流量、網(wǎng)絡(luò)行為、安全事件等進(jìn)行自動(dòng)化、全面的采集、分析。如果能通過大數(shù)據(jù)多維分析，從全局角度對(duì)威脅進(jìn)行有效分析建模，則系統(tǒng)可根據(jù)所建立的模型有效感知系統(tǒng)安全態(tài)勢，從而進(jìn)行針對(duì)性的主動(dòng)防御，增加入侵攻擊的難度，提高系統(tǒng)的安全性[14]。

（2）利用偽裝、誘騙等手段進(jìn)行攪局

利用偽裝、誘騙等手段，使入侵者無法得到真實(shí)的系統(tǒng)信息等先驗(yàn)知識(shí)，誘騙入侵者攻擊一些預(yù)先設(shè)置的陷阱蜜罐系統(tǒng)，來發(fā)現(xiàn)入侵[15]。

·指紋偽裝和隱藏。將真實(shí)系統(tǒng)的指紋信息按照定制策略進(jìn)行改變，返回“真真假假，虛虛實(shí)實(shí)”的系統(tǒng)信息，使入侵者無法確定系統(tǒng)的真實(shí)版本等信息，無從下手。并進(jìn)行指紋偽裝，返回一些不存在的漏洞信息，主動(dòng)“引狼入室”，當(dāng)入侵者上當(dāng)后按照虛假的指紋信息進(jìn)行相關(guān)攻擊，系統(tǒng)可以及時(shí)發(fā)現(xiàn)，達(dá)到早期主動(dòng)發(fā)現(xiàn)入侵的目的。

·蜜罐防御。網(wǎng)絡(luò)通信中攻擊與防御的問題可視為博弈問題，可在傳統(tǒng)蜜罐基礎(chǔ)上通過使用模擬服務(wù)環(huán)境的保護(hù)色機(jī)制和模擬蜜罐特征的警戒色機(jī)制這些主動(dòng)欺騙技術(shù)，使攻擊者無法區(qū)分蜜罐和實(shí)際生產(chǎn)系統(tǒng)，從而達(dá)到對(duì)攻擊者的有效迷惑和誘騙[16-17]。蜜罐的保護(hù)色技術(shù)是指蜜罐通過模仿周邊運(yùn)行環(huán)境和擬保護(hù)的生產(chǎn)系統(tǒng)特征，使攻擊者無法識(shí)別蜜罐的存在。蜜罐的警戒色機(jī)制則是指生產(chǎn)系統(tǒng)模仿蜜罐，使得攻擊者將系統(tǒng)識(shí)別為蜜罐而躲避攻擊。

蜜罐防護(hù)是攻防雙方參與的理性、非合作的誘騙過程，雙方策略相互依存，都期望保護(hù)自身信息并獲得對(duì)方信息以達(dá)到收益最大化，是一種非合作不完全信息動(dòng)態(tài)博弈[18]。從攻擊者視角看，對(duì)手不只是提供真實(shí)服務(wù)的生產(chǎn)系統(tǒng)，而是“蜜罐”和“偽蜜罐”；從防御者視角看，對(duì)手則包含合法用戶和攻擊者。

（3）利用動(dòng)態(tài)的異構(gòu)冗余機(jī)制主動(dòng)感知網(wǎng)絡(luò)的攻擊

使用多個(gè)異構(gòu)冗余的功能一致體同時(shí)運(yùn)行同一請求，對(duì)響應(yīng)結(jié)果進(jìn)行擇多表決，輸出正確結(jié)果，及時(shí)發(fā)現(xiàn)網(wǎng)絡(luò)攻擊蹤跡，報(bào)警異常信息。主動(dòng)防御網(wǎng)絡(luò)的動(dòng)態(tài)異構(gòu)冗余機(jī)制可以在不影響系統(tǒng)正常運(yùn)行的情況下，高準(zhǔn)確率下快速發(fā)現(xiàn)被入侵部件，并進(jìn)行系統(tǒng)清洗和恢復(fù)。

動(dòng)態(tài)的異構(gòu)冗余主動(dòng)防御機(jī)制需要解決兩個(gè)關(guān)鍵問題：

·異構(gòu)冗余部件資源池的構(gòu)建。為了便于進(jìn)行系統(tǒng)清洗和恢復(fù)，可利用虛擬計(jì)算技術(shù)來構(gòu)建異構(gòu)冗余部件資源池[19]。資源池的部件提供相同的服務(wù)，但應(yīng)用程序、操作系統(tǒng)、硬件等需存在差異，以減小異構(gòu)平臺(tái)服務(wù)器共模故障發(fā)生的可能性。

·部件的選擇調(diào)度及異常部件的清洗與恢復(fù)。可利用綜合管控平臺(tái)按照預(yù)定策略完成虛擬機(jī)池中虛擬機(jī)啟動(dòng)、清洗等調(diào)度工作，并且根據(jù)管控中心下發(fā)的異常部件服務(wù)信息執(zhí)行查殺清洗。周期性或基于事件驅(qū)動(dòng)等策略調(diào)度異構(gòu)部件服務(wù)，調(diào)度標(biāo)準(zhǔn)是保證系統(tǒng)的功能集不變和盡可能減小系統(tǒng)漏洞交集的關(guān)鍵。

3 主被動(dòng)防御的組合聯(lián)動(dòng)

主動(dòng)防御機(jī)制不是摒棄目前的被動(dòng)防御系統(tǒng)，不是不需要目前已有的被動(dòng)防御技術(shù)和相關(guān)基礎(chǔ)設(shè)施，而是對(duì)目前被動(dòng)防御系統(tǒng)的拓展、深入和提升，兩者之間絕不矛盾，而是相輔相成[20]。

通常來說，可以利用傳統(tǒng)的被動(dòng)防御作為第1道防御陣線，解決大部分目前已知的網(wǎng)絡(luò)攻擊手段的防御問題；利用主動(dòng)防御作為第2道防線，解決未知漏洞和后門的防御問題，當(dāng)然也可部署在第1道防線中。在主動(dòng)防御發(fā)現(xiàn)入侵攻擊時(shí)，可通過所記錄的入侵攻擊軌跡進(jìn)行學(xué)習(xí)，得到新入侵攻擊的特征，對(duì)被動(dòng)防御的特征庫和檢測規(guī)則進(jìn)行智能更新。被動(dòng)防御可以利用現(xiàn)有的高效檢測機(jī)制在入侵到達(dá)第2道陣線前過濾掉大部分攻擊，主動(dòng)防御則有效檢測第1道防線無法防御的未知攻擊，即擋住第1道防線的“漏網(wǎng)之魚[21]”。

目前，在已開展的面向web應(yīng)用的主動(dòng)防御關(guān)鍵技術(shù)研究中，我們對(duì)主被動(dòng)聯(lián)合協(xié)作防御技術(shù)進(jìn)行了有效嘗試。如圖1所示，首先利用已有的Web應(yīng)用防護(hù)系統(tǒng)（WAF）防御大多數(shù)已知攻擊，利用欺騙偽裝技術(shù)實(shí)現(xiàn)指紋偽裝、統(tǒng)一資源定位器（URL）跳變、虛擬蜜罐欺騙、敏感信息過濾、頁面信息加擾和頭部字段混淆，再利用動(dòng)態(tài)異構(gòu)冗余機(jī)制實(shí)現(xiàn)異構(gòu)冗余體的動(dòng)態(tài)調(diào)度、攻擊入侵的主動(dòng)感知和異常部件的有效清洗與恢復(fù)。通過上述主被動(dòng)聯(lián)合協(xié)作防御，不僅實(shí)現(xiàn)了web應(yīng)用已知漏洞防御，而且通過動(dòng)態(tài)變化、欺騙與清洗，可將多個(gè)靜態(tài)的“帶毒含菌”web服務(wù)應(yīng)用進(jìn)行結(jié)合，形成了一個(gè)動(dòng)態(tài)隨機(jī)的安全web服務(wù)系統(tǒng)。

4 結(jié)束語

在當(dāng)前經(jīng)濟(jì)發(fā)展的大環(huán)境下，如何在保障中國經(jīng)濟(jì)快速發(fā)展同時(shí)做到信息安全的有效防護(hù)，是當(dāng)前學(xué)術(shù)界與產(chǎn)業(yè)界亟需共同解決的一個(gè)重大課題。動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御是解決信息系統(tǒng)中未知漏洞與后門攻擊的有效手段，在主動(dòng)防御系統(tǒng)中，我們不懼怕部件的“帶毒含菌”，做到系統(tǒng)總體的安全風(fēng)險(xiǎn)主動(dòng)可控，可緩解自主產(chǎn)業(yè)能力不足的困境，對(duì)于改變中國目前甚至今后相當(dāng)長時(shí)期內(nèi)，特別是在自主可控領(lǐng)域面臨的嚴(yán)峻形勢下，中國網(wǎng)絡(luò)安全防御的被動(dòng)局面具有重要的戰(zhàn)略意義和巨大的應(yīng)用價(jià)值。文章介紹了對(duì)動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御技術(shù)的若干思考和一些工作，目前中國對(duì)相關(guān)技術(shù)的研究處于起步階段，所做理論基礎(chǔ)研究和相關(guān)實(shí)踐并不充分，動(dòng)態(tài)網(wǎng)絡(luò)主動(dòng)安全防御技術(shù)的研究任重而道遠(yuǎn)。

參考文獻(xiàn)

[1] 鄔江興， 張帆， 羅興國， 等. 擬態(tài)計(jì)算與擬態(tài)安全防御[J]. 計(jì)算機(jī)學(xué)會(huì)通訊， 2015， 11（1）： 8-14

[2] 鄔江興. 網(wǎng)絡(luò)空間擬態(tài)安全防御[J]. 保密科學(xué)技術(shù)， 2014， 10（1）： 4-9

[3] 鄔江興. 專題導(dǎo)讀——擬態(tài)計(jì)算與擬態(tài)安全防御的原意和愿景[J]. 電信科學(xué)， 2014， 30（7）： 1-7

[4] 馬明杰， 孫奉剛， 翟立東， 等. 網(wǎng)絡(luò)安全新威脅下我國面臨的安全挑戰(zhàn)和對(duì)策建議[J]. 電信科學(xué)， 2014， 30（7）： 8-12

[5] COLBAUGH R， GLASS K. Proactive Defense for Evolving Cyber Threats [C]//2011 IEEE International Conference on Intelligence and Security Informatics （ISI）， Beijing， China， 2011： 125-130

[6] 姜偉， 方濱興， 田志宏， 等. 基于攻防隨機(jī)博弈模型的防御策略選取研究[J]. 計(jì)算機(jī)研究與發(fā)展， 2015， 47（10）： 1714-1723

[7] 梁寧寧， 蘭巨龍， 程國振， 等. 基于拍賣博弈的可重構(gòu)服務(wù)承載網(wǎng)動(dòng)態(tài)構(gòu)建算法 [J]. 電信科學(xué)， 2015， 31（5）： 1-6. doi： 10.11959/j.issn.1000-0801.2015106

[8] CHUANG I， SU W T， KUO Y H. Secure Dynamic Routing Protocols Based on Cross-Layer Network Security Evaluation[C]// 2012 IEEE 23rd International Symposium on Personal Indoor and Mobile Radio Communications （PIMRC）， Sydney， NSW， 2012： 303-308.doi： 10.1109/PIMRC.2012.6362800

[9] 田永春， 劉杰， 隋天宇. 軍用無線網(wǎng)絡(luò)動(dòng)態(tài)安全防御技術(shù)研究[J]. 通信技術(shù)， 2015， 48（7）： 830-834

[10] BALASUBRAMANIAM S， LEIBNITZ K， LIO P， et al. Biological Principles for Future Internet Architecture Design [J]. Communications Magazine， IEEE， 2011， 49（7）： 44-52. doi： 10.1109/MCOM.2011.5936154

[11] ZHOU H， WU C， JIANG M， et al. Evolving Defense Mechanism for Future Network Security [J]. Communications Magazine， IEEE， 2015， 53（4）： 45-51. doi： 10.1109/MCOM.2015.7081074

[12] 韋勇， 連一峰， 馮登國. 基于信息融合的網(wǎng)絡(luò)安全態(tài)勢評(píng)估模型[J]. 計(jì)算機(jī)研究與發(fā)展， 2015， 46（3）： 353-362

[13] ALA DARABSEH M A A， JARARWEH Y， BENKHELIFA E， et al. SDSecurity： A Software Defined Security Experimental Framework [C]// Third Workshop on Cloud Computing Systems， Networks， and Applications （CCSNA- 2015）， London， UK， 2015

[14] SHI L， JIANG L， LIU D， et al. Mimicry Honeypots： A Brief Introduction [C] // Networking and Mobile Computing （WiCOM）， 2012 8th International Conference on Wireless Communications， Shanghai， China， 2012： 1- 4. doi： 10.1109/WiCOM.2012.6478572

[15] 付鈺， 陳永強(qiáng)， 吳曉平， 等. 基于隨機(jī)博弈模型的網(wǎng)絡(luò)攻防策略選取[J]. 北京郵電大學(xué)學(xué)報(bào)， 2014， 37（s1）： 35-39

[16] 石樂義， 姜藍(lán)藍(lán)， 劉昕， 等. 擬態(tài)式蜜罐誘騙特性的博弈理論分析[J]. 電子與信息學(xué)報(bào)， 2013， 35（5）： 1063-1068

[17] 石樂義， 姜藍(lán)藍(lán)， 賈春福， 等. 擬態(tài)式蜜罐誘騙特性的博弈理論分析[J]. 電子與信息學(xué)報(bào)， 2013， 35（5）： 1420-1424

[18] FEINBERG Y. Strategic Communication [C]// Proceedings of the 13th Conference on Theoretical Aspects of Rationality and Knowledge， 2011： 1-11

[19] 張翔， 霍志剛， 馬捷， 等. 虛擬機(jī)快速全系統(tǒng)在線遷移[J]. 計(jì)算機(jī)研究與發(fā)展， 2015， 49（3）： 661-668

[20] LIN F Y S， WANG Y S， HUANG M Y. Effective Proactive and Reactive Defense Strategies Against Malicious Attacks in a Virtualized Honeynet [J]. Journal of Applied Mathematics， 2013

[21] 陳鋒， 劉德輝， 張怡， 等. 基于威脅傳播模型的層次化網(wǎng)絡(luò)安全評(píng)估方法[J]. 計(jì)算機(jī)研究與發(fā)展， 2015， 48（6）： 945-954