DSO 2022 | 中国电信研究院何国锋：高可信内生安全网络助力数字化转型

2022年12月28日，由悬镜安全主办，3S-Lab软件供应链安全实验室、ISC互联网安全大会、Linux基金会OpenChain社区、OpenSCA社区联合协办的通过全球直播的形式圆满举行。本届大会以“共生·敏捷·进化”为主题，以“敏捷共生，守护中国软件供应链安全”为使命，立足全球视野，汇聚来自“产学研用”各界的顶尖技术专家、行业意见领袖、资深学者智囊、企业精英代表，聚焦DevSecOps敏捷安全、软件供应链安全和云原生安全三大典型应用场景下的新技术、新态势、新实践。

会上，中国电信研究院安全技术研究所所长何国锋以“高可信内生安全网络助力数字化转型”为主题，重点分享了由安全技术研究所提出的，满足数字化时代安全需求的解决方案——高可信内生安全网络架构。

图1 中国电信研究院安全技术研究所所长 何国锋

点击播放→高可信内生安全网络助力数字化转型

以下为演讲实录：

大家好，非常高兴应邀参加悬镜安全主办的第二届全球DevSceOps敏捷安全大会，我是来自中国电信研究院安全技术研究所的何国锋。

随着数字化进程的推进，网络安全凸显其重要性。习总书记指出，网络安全和信息化是“一体之两翼、驱动之双轮”。从国家层面而言，网络安全是国家安全的重要组成部分，以俄乌冲突为例，网络战争贯穿其中且一直在持续；从企业层面而言，网络安全从合规驱动走向了刚需，由于安全风险加剧，企业在数字化转型过程中必须要有充分的安全技术储备，来适应攻击常态化的网络环境。

数字化时代有三个明显的特征：

这三大特征都促使数字化时代安全挑战加剧。

● 软件定义带来的挑战

软件化作为发展趋势，带来了更多的灵活性和低成本，却同时给恶意用户带来了更多的便利。据Gartner统计，80%的网络风险来自于软件。风险是由“脆弱性”和“威胁”共同决定的，通俗而言，系统是否有弱点，是否有人利用弱点进行破坏。

图2 Gartner指出80%的风险来自于软件

软件脆弱性的加剧主要源于三方面因素：其一是软件开发者的安全意识薄弱；其二是软件开发者可能更关注于软件开发技术，而相对缺乏安全知识；其三，也是最为重要的一个原因，就是现代软件趋向复杂化和大型化，引入了大量的第三方组件，这也是在落地实践DevSecOps过程中需要重点解决的问题如软件成分分析、组件安全等。

同时，面向软件的攻击威胁频繁发生，也有三方面原因：其一是软件部署应用场景的多样性；其二是软件价值越来越高；其三，面向软件的攻击门槛降低，随着漏洞被持续公布以及可利用的工具增多，任何人都有可能利用开源资源发起黑客攻击。

所以在软件定义的时代，需要保障软件安全，这也正是DevSecOps敏捷安全大会所重点关注的。如何保障？我认为要做好两方面工作：一是确保软件自身的健康；二是软件信任的传递，尤其在软硬解耦后，软件的正确性十分重要。

● 云网融合带来的挑战

除软件定义之外，云网融合也带来许多安全挑战。云化、移动化、远程办公、产业互联使网络边界消失。云化后的企业业务系统都运行在第三方的基础架构之上甚至直接使用SaaS服务，使得企业应用位于企业网络之外；同时，移动互联网的发展，使得许多办公业务需要采用移动手段来实现，并且确保无论在公司内部还是在外出差都可以进行办公，这便要求内外网共存；近几年的疫情催生了远程办公，使员工走出办公室，通过互联网进入企业网络；还有产业数字化的推进，导致不同企业之间的网络互联。

由于这些趋势，企业的数据中心不再是用户和设备访问需求的中心。这便产生了一个很有意思的现象：企业员工在企业外部，访问位于企业数据中心之外的企业应用。这状况使得企业的网络物理边界消失，导致了传统边界防御失效。以防火墙为例，它能在员工访问企业数据中心时提供安全保护，但由于企业应用和企业员工都在企业之外，防火墙就无法发挥作用。

另外，分布式部署的云应用以及分散的企业员工，使得企业网络碎片化、企业安全管理复杂化。随时随地能接入企业网络，给企业员工带去便利的同时也给黑客提供了更多的攻击机会。

● 万物互联带来的挑战

万物互联使传统网络安全效能大幅度降低。原先安全防护的目标主要是企业网络中的电脑、服务器，只需要部署防火墙就可以很好地实现访问控制。但是现在各类物联网设备不仅数量庞大，而且涉及众多厂商，安全能力不一，部分设备由于计算能力弱，甚至不适合融入安全能力。此外，部分设备无人看管，例如摄像头、电表等，却与内网直连。更为严重的是，部分设备能直接控制生产，影响人们的生命安全。设备本身价值不高但危害巨大，而且设备保护的成本非常高。

综上所述，数字化时代给人们的工作和生活带来许多便利，但数字化系统也随之产生了越来越多的暴露面和0Day漏洞，使传统的安全手段无法适应；云网融合如云化、边缘化、多云部署的出现，以及云的动态迁移特性，给独立部署安全网元带来额外挑战；网络边界模糊，无法依靠边界外挂来实现安全。

传统的安全防护方式已无法满足数字化时代的安全要求，无法解决边界消失所造成的安全问题，不适用于云网融合场景，无法应对快速出现且数量庞大的0Day漏洞。亟待一种新的安全理念、新的技术体系或者新的能力，来解决数字化时代的安全风险。

我们团队近年来通过研究，提出了高可信内生安全网络架构，借此机会与大家探讨。

关于安全有两种思维模式，一种是正向思维，正确的主体对正确的客体执行正确的操作，即白名单，需要实现人员可信、设备可信、行为可信、数据可信，进而形成可信体系；另一种思维方式是反向思维，主体、客体和操作中，但凡出现一处不正确便要阻止，即黑名单。两者理论上相同，无论选择哪种思维模式，如果能保证100%的准确性，就天下太平、万事大吉。但是在实际操作中却不可能实现，主要原因是很多行为不可以穷举。例如在企业中，正确的主体和正确的操作是有限的，但正确的客体难以穷举，而针对不正确的主体、操作和客体，更是无法做到穷举。对比发现，正向思维相对适用于用户数量有限的场景比如针对企业的内部应用，当下的零信任理念正是主要应对企业内部安全；反向思维相对适用于用户不确定的场景比如针对To C的应用。

图3 可信链体系

鉴于这两种思维实际上并不完备，因此需要两者结合去构建高可信内生安全体系。体系要有可信的基础，同时具备对恶意用户行为的感知和拦截能力，即所谓免疫。但无论是可信还是免疫都不可能完备，因而要具备一定的弹性，保障在局部失效时，依然能够保持基本的服务。具体包括三个方面：

在高可信内生安全网络模型中，需要从三个维度考虑上述特征：

● 时间维度：要覆盖全生命周期，从规划、开发、发布到建设、运行、退网。

● 空间维度：要覆盖端、边、管、云;

● 层次维度：要覆盖全栈，包括设备、网络、应用、数据、管理。

高可信内生安全有三大核心要素：

高可信内生安全技术体系主要包含以下能力：

● 安全的基础设施：包括大数据、AI、漏洞库、规则库、加解密、威胁情报等能力；

● 关键技术：包括身份认证及持续动态评估，这是整个体系的基石；同时要引入IPDRR，尽可能采用内生机制去实现风险识别、安全防御、安全检测、安全响应和容灾容错。推动关键技术的多域跨层融合，构建全栈的安全能力。

通过高可信内生安全技术体系，最终实现自身健壮、自主感知、自动防护、自我成长和自适弹性，即健壮可信、主动免疫和自适弹性。

图4 高可信内生安全技术体系

上述技术在具体部署时，需借助高可信内生安全架构。从全生命周期维度来看，要构建两大平台，其一是可信安全开发平台，覆盖软件供应链安全、CI/CD以及DevSecOps流程管理等；其二是在运营阶段同时建立可信安全运营平台，包括全局的SOC和本地的SOC，可以层次化和分布式部署。

针对可信安全应用和可信安全算力，要构建全栈安全能力，解决碎片化问题。

针对可信安全网络和可信安全边缘，要构建端到端的安全能力，以及可信安全的骨干网络，同时利用SASE架构，结合安全访问边缘（SAE）和安全能力资源池，为企业构建一个逻辑的安全边界。

针对可信安全端点，要对用户进行持续的信任评估和精细化访问控制。

高可信内生安全网络助力数字化转型体现在以下五个方面：

● 软件化、云网融合、万物数字化、移动化需要高可信内生安全的网络，传统的边界防护无法解决数字化转型过程中的安全问题；

● 高可信内生安全主要特征是健壮可信、主动免疫和自适弹性；

● 通过安全内生的方式，应对数字化时代的安全风险；

● 高可信内生安全需要覆盖系统全生命周期、端到端和全栈的融合；

● 以一体化的思维重构解决安全能力碎片化和低性价比的挑战。

以上就是我的全部分享，谢谢大家。

关于DSO敏捷安全大会

DSO敏捷安全大会以“敏捷共生，守护中国软件供应链安全”为使命，旨在搭建一个融合“行业用户场景实践、产业智库标准研究、安全媒体行业趋势和领军厂商创新技术”的DevSecOps生态交流分享平台。聚集技术智慧之光，携手共建，致力于助力敏捷安全技术创新实践发展，共筑行业整体性解决方案。了解更多信息请访问DSO大会官网：www.dsocon.cn

关于悬镜安全

悬镜安全，DevSecOps软件供应链安全领导者，起源于北京大学网络安全技术研究团队“XMIRROR”，创始人子芽。悬镜专注于以“代码疫苗”技术为内核，通过原创专利级“全流程软件供应链安全赋能平台+敏捷安全工具链”的第三代DevSecOps智适应威胁管理体系，持续赋能金融、泛互联网、车联网、智能制造、能源及运营商等数千家行业标杆用户，帮助其构筑起适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生积极防御体系。了解更多信息请访问悬镜安全官网：www.xmirror.cn