摘要：随着新型信息技术的高速发展，基于网络信息系统的各种网络化应用已经深刻融入到人类生产生活的各种环节，伴随而来的网络信息安全问题也更加突出。通过分析新时代背景下网络信息系统面临的主要安全风险，提出了一种以统一安全基底为基础、以安全按需赋能为核心、以智能安全管理为保障的网络信息安全动态防御体系，从安全平台、安全服务、安全管理等方面实现防御体系的闭环运行，为提升我国网络信息系统安全保障能力提供参考。
1.引 言
习总书记在2018年全国网络安全和信息化工作会议上强调，没有网络安全就没有国家安全，就没有经济社会稳定运行，广大人民群众利益也难以得到保障。当前，国家政府、军队、企业的重要网络信息系统，已经成为敌对国家、恐怖组织和各种恶意者的逐利目标，严重影响了国家政治、经济、社会的稳定和发展。此外，大数据、云计算、人工智能等新兴信息技术逐步应用到网络信息系统中，在提升通信效率和用户服务体验的同时，也给网络信息系统安全带来了新的挑战[1]。网络信息安全防御体系是网络信息系统安全运行的重要保障，通过成体系的建设，能够从通信网络、计算环境、数据与应用等多个方面形成纵深防御能力，全面保护网络信息系统安全。然而，随着网络攻击日益高级化、复杂化和持续化，主要基于边界防御、漏洞检测、规则匹配等静态安全防护手段的传统安全防御体系，在面对当前日益复杂的网络安全威胁时已经“力不从心”[2]。本文在分析新时代背景下网络信息安全威胁的基础上，提出了一种以统一安全基底为基础、以安全按需赋能为核心、以智能安全管理为保障的网络信息安全动态防御体系，能够为提升我国网络信息系统安全防御能力提供参考。
组织结构如下：第1部分分析网络信息系统面临的主要安全风险;第2部分提出一种分层的网络信息动态防御体系架构;第3部分对动态防御体系的组成及主要特征进行阐述;最后总结全文。
2.网络信息系统安全风险分析
近年来，世界主要强国都高度重视网络信息安全问题，积极采取行动，加紧提升网络空间安全攻防能力。这主要表现在如下几个方面。第一，发布各种顶层设计文件，积极升格网络空间安全为国家战略;第二，启动各种网络安全工程，加快实施自身网络的全面防护;第三，建设专门网络空间军队，全力谋求网络空间霸权;第四，加大网络空间安全战略投入，积极抢占网络空间技术制高点;第五，全面研究网络空间安全形势和对策，积极主导国际游戏规则。
在这种背景下，国际网络空间对抗态势已经日渐明朗，典型案例已陆续出现，网络空间斗争愈演愈烈[3]。从应对国际网络空间对抗常态化、军事化的角度来看，我国网络信息系统安全防御在技术发展、防护模式以及基础平台等方面仍存在一定的差距，使得我国网络信息系统安全面临着巨大的安全风险。
2.1 技术发展不平衡引发的安全风险
我国网络信息安全技术体系受国外技术体系影响非常大，尽管在技术体系上与国际接轨并保持相对完整，但在一些关键的基础技术领域、短期内见不到成果的领域，如安全评估、网络攻防、漏洞挖掘、高安全级信息系统安全一体化设计、软件安全性测试与评估以及面向新型信息技术的信息安全防护等方面，布局和投入有些不足。正是这种技术发展的不平衡，导致我国网络信息安全在态势感知与融合、面向新型信息技术的安全防御、网络安全效能评估、新型网络攻击手段等方面尚缺乏关键技术支撑，还不具备成体系的高持续性威胁攻击发掘、网络威慑反制等理论和技术。
2.2 防护模式不完善引发的安全风险
当前，我国主要网络信息系统建设一般采用叠加式的后加模式，采用网络信息安全产品的安全加固方法。尽管该方式在某种程度上提高了网络信息系统的安全防护能力，但是网络信息安全与通信网络没有形成统一的体系，且各安全产品之间也没有形成聚合能力，不仅应对新的、未知的攻击束手无策，而且增加了系统的复杂性，安全防护强度不高，防护粒度也不足。这种网络信息安全防御模式的不完善，导致我国网络信息系统安全机制的完备性、安全防护强度和动态适应能力无法满足强对抗环境和高安全的运行需求，无法有效应对国与国之间持续、有预谋、高烈度的网络对抗，安全风险事件频频发生。
2.3 基础平台不对称引发的安全风险
中兴通信禁运事件又一次敲响了我国关键元器件自主可控的警钟，也暴露出我国科技基础薄弱的真实背景。在网络信息安全领域，我国信息安全技术研发和装备研制所依赖的部分基础芯片、基础软件、基础软硬件工具仍然依赖国外的技术、产品(或开源技术和产品)，难以摆脱在软硬件初始设计阶段即被植入后门、引入漏洞的安全风险。一旦这些技术和产品被预埋(或植入)后门，在国与国对抗的背景下，整个网络信息系统将处于基本“不设防”的状态。纵观中兴通信禁运事件可以发现，在供应链上我们容易受制于人。这种网络信息安全基础平台的不对称性，致使我国重要的网络信息系统面临着许多无法避免的安全威胁，漏洞后门防不胜防，并陷入“围追堵截”的防御怪圈。
3.网络信息安全动态防御分层架构
面对当前我国网络信息安全在技术发展、防护模式、基础平台等方面存在的问题，提出了一种以统一安全基底为基础、以安全按需赋能为核心、以智能安全管理为保障的网络信息安全动态防御体系，变静态为动态，变被动为主动，确保网络信息系统在“有毒带菌”、攻防博弈日益激烈的背景下安全可靠运行。网络信息安全动态防御体系的分层架构如图1所示。
网络信息安全动态防御体系以统一的安全基底为基础，对构成网络信息系统的人、设备、数据等组成要素开展统一安全防护设计，形成全网统一的安全防护基础，并将安全作为一种基本属性贯穿到整个网络信息系统的运行流程中。
安全平台层为网络信息系统的基础传输、网络承载、计算终端、信息服务等提供安全基础服务。它的产品形态为各种软硬件设备，采用软件可定义架构，并具有态势感知功能。
安全服务层由安全服务云平台、安全数据环境、安全原子服务以及安全聚合服务组成。安全服务云平台为整个安全服务层提供基础计算环境。安全数据环境采用大数据技术手段，整合公共域、专业域、管理域等各领域的安全数据资源，并提供数据挖掘、数据呈现、决策支持等数据服务。安全原子服务包括机密性保护、完整性保护、不可否认性保护、身份认证服务和访问控制服务等基础安全服务。安全聚合服务将不同的安全原子服务和安全资源按需聚合为相应的安全服务，从而为不同的安全应用提供服务保障。
安全管理层为整个网络信息动态防御体系提供统一的身份认证、访问控制、资源管理、策略配置和设备管控等安全管理基础设施，支持智能化辅助决策、态势全景呈现等功能。
安全监测预警主要提供态势融合分析处理、威胁识别、态势评估与预测等功能，能够为网络信息系统动态防御提供情报来源和决策支撑。
4.体系组成及特征阐述
网络信息安全动态防御体系以统一安全基底为基础，以安全按需赋能为核心，以智能安全管理为保障，在安全检测预警的支撑下，能够形成“监测—决策—响应—防御”的动态防御体系，实现基于态势变化和安全需求的网络信息系统安全防御。
4.1 统一安全基底
作为网络信息系统的基础组成要素，人、设备、数据是网络信息安全防护的基础对象。在全网统一的身份认证与访问控制基础设施支撑下，对网络信息系统中的人、设备、数据进行标准化安全设计，以期形成全网统一的安全防护基础。
对标识人本身的自然属性(如职位、角色、权限等)进行抽取并进行数字化描述，融合相应的访问权限，采用其私钥进行加密，形成全网可识别的身份证书标识;对各种计算设施、通信平台、服务器等网络信息系统基础设施，除了采用与用户类似的身份标识外，还采用可信计算、软件合法性控制等手段，确保“物”自身的安全可信;数据的保护工作随着智能技术和物联网的普及愈发重要，为此采用统一的元数据格式，对全网信息数据编码实施标准化，并根据数据自身的价值属性，增加数据安全属性字段，以标定该数据的安全等级。
通过上述安全性设计，网络信息系统在整个运行过程中都可以根据安全需求对网络上的“人”“物”“数据”进行安全性检查和认证，确保全网中各种实体的身份可鉴别、权限可控制、行为可审计、风险可评估、责任可认定。
4.2 安全按需赋能
安全按需赋能是指网络信息安全防御体系能够根据安全保障需求和安全态势动态变化，动态调整系统安全服务能力，实现安全功能按需加载。
首先，安全服务层将各种安全服务抽象为一组安全原子服务。对于不同的安全服务需求，网络信息安全动态防御体系能够基于安全服务云平台采用服务聚合模式，将不同的安全原子服务和所需的安全资源进行按需聚合，形成定制化的安全服务功能。
其次，安全平台层的基础传输、网络承载、计算终端、信息服务等安全防护装备，采用硬件与软件解耦的软件定义设计思路，能够根据业务应用类型、业务通联关系以及网络安全态势等多样化需求，按需加载定制后的安全服务功能插件，从根本上改变现有安全防护产品功能固化、单一的现状，实现通过软件插件来定义和赋予所需的安全服务功能。它的模式如同智能手机下载、安装、卸载各种“App”应用。
最后，在安全管理层的统一管理控制决策下，安全服务层将聚合的安全服务功能远程在线下发到可软件定义的安全平台上，从而实现安全功能的按需加载。
4.3 智能安全管理
安全管理层采用智能辅助决策技术，能够在网络信息系统运行过程中，根据安全服务需求变化和安全态势的动态变化，结合当前管理保障力量部署、安全策略配置等情况，通过行为深度学习、智能推理决策等手段，快速生成安全服务需求规划和策略配置方案，从而大幅提升安全管控的自动化、智能化水平，提高安全管理保障的灵活性、有效性和实时性。在交互接口上，安全监测预警为安全管理层提供威胁情报和预警信息。安全服务层接受安全管理层的控制指令，聚合相应的安全服务，下发到安全平台层进行执行。
4.4 防御体系联动
网络信息安全动态防御体系通过对网络信息系统中的人、设备、数据进行统一安全设计，能够将安全作为一种基本属性贯穿到整个通信网络及其运行流程中。同时，通过安全管理层、安全服务层、安全平台层以及安全监测预警的联动，构建形成“监测—决策—响应—防御”的动态防御体系，可实现基于网络空间态势的动态防御。“监测”即实时采集系统安全态势数据并进行融合分析处理，对发现的系统漏洞、违规操作以及网络攻击行为等安全风险进行告警。“决策”即安全管理层在安全防御辅助决策技术的支撑下开展安全服务规划与决策，确定安全服务、安全资源等安全防御调整方案。“响应”即安全服务层根据安全防御调整方案向安全平台下发对应的安全服务功能，使得安全平台具备应对安全风险的能力。“防御”即各类支持安全服务功能软件定义的安全平台实施安全防御，并上报网络空间安全态势，抵抗各种安全风险事件。
5.结语
在网络空间安全日益严峻的背景下，全面提升我国网络信息系统的安全防御能力已经迫在眉睫。本文结合新形势下我国网络信息系统面临的安全风险，提出了一种以统一安全基底为基础、以安全按需赋能为核心、以智能安全管理为保障的网络信息安全动态防御体系，能够转变当前网络信息系统安全防御静态、僵化、被动的局面，提升网络信息系统在多样化安全需求和强网络空间对抗下的体系防御能力，从而为重要网络信息系统安全防御设计提供技术参考。
