网络空间威胁权集：认知威胁本质，构建数据基座 | CCCF精选

网络空间是各国建设维护的新型主权空间，网络空间安全对保障政治、军事、商业等方面的国家安全具有重大意义。当前，网络空间斗争日趋激烈化，我国网络空间长期遭受敌对势力、黑客组织等大规模、高隐蔽、强对抗、有组织的威胁，特别是随着人工智能应用于网络攻击，攻击技术和水平不断提升，互联网、工业控制系统、天基网、电信网都成为了网络攻击的对象，尤其是针对我国关键信息基础设施、重要保护单位的威胁日益加剧。

本文梳理并分析了现有网络威胁研究的数据基础、认知框架及评估方法，提出并定义了网络空间威胁权集（无歧义时，简称为“威胁权集”）的术语，权集中的“权”是指能表达未知和未来可能出现威胁的“权威性”，以及能提供衡量安全防御能力标准和尺度的“权衡性”。本文也阐述了构建威胁权集所需的关键技术及其典型应用场景，提出了从本质上认知网络空间威胁的全新研究概念和研究视角，为网络威胁检测、防御体系构建等提供真实、权威、可量化、可调节的威胁数据基座。

网络威胁数据

网络威胁数据是认知威胁、开展威胁研究的数据基础，它指任何可能导致网络节点与网络通信被破坏和产生延迟、越权、暴露等不良后果的软硬件参数、日志、环境数据。从数据获取方式的角度，网络威胁数据可划分为捕获数据、复现数据、生成数据三类。

捕获数据指在网络系统工作状态下直接采集的威胁数据。例如UNSW-NB15数据集由新南威尔士大学（UNSW）网络安全实验室于2015年收集，涵盖22种攻击类型和正常流量，具有高度真实性和复杂性。DARPA CHASE正在开发自动化工具，用于检测新的攻击和收集网络数据，从而实现实时精准的网络狩猎。复现数据指通过模拟或重现威胁发生时的威胁行为和网络系统环境得到的威胁数据。具有代表性的复现威胁数据如NSL-KDD，该数据集由加拿大网络安全研究所(Canadian Institute for Cybersecurity)通过在局域网中模拟拒绝服务(Denial of Service，DoS)、R2L(Remote to Local)等网络威胁构建。生成数据是指基于捕获的部分数据构建、模拟出的网络系统威胁数据，例如清华大学未来智能实验室的李勇团队通过知识增强的生成对抗网络框架，生成了在保留物联网行为特征基础上避免个人身份信息泄露的大规模物联网流量数据。

从数据获取点位的角度，网络威胁数据亦可划分为硬件数据、内核数据、网络数据三类。结合数据的获取方式与点位，我们对目前主流防御数据集进行归类，如表1所示。

表1 现有网络威胁数据集划分

结合上述归纳，我们可发现，已有数据大多在封闭环境下捕获或模拟形成，难以展现网络信息系统的真实样貌；数据量不充足且只能包含特定类别的网络威胁，难以为不同场景的威胁防御提供网络、主机等不同防御点的数据支撑；缺乏对威胁强度、威胁复杂度等的有效调节或表征方法，难以支撑对防御能力量化评估的要求。本质原因是现有的威胁数据均是基于已知威胁构建，缺乏对未知和未来可能出现的威胁的认知方法和能力。综上，网络空间防御的研究和能力评估面临着威胁数据不全面、真实度不高、滞后于攻击等问题，亟须从本质上、理论上建立全面掌握网络威胁的新理念。

网络威胁认知框架

网络威胁认知框架是用于指导网络威胁防御工作的一套科学的方法和工具体系。它能够帮助研究者更深入地认知威胁，系统全面地分析其攻击意图、手法、过程与技术，是网络威胁建模中的一个关键步骤。当前，对网络威胁认知框架的研究主要从攻击或防御的角度开展，被关注和应用较多的几个网络威胁防御认知框架包括Cyber Kill Chain、STRIDE模型以及ATT&CK模型等。

Cyber Kill Chain模型，即“网络杀伤链”，是洛克希德·马丁公司（Lockheed Martin）提出的用于识别和预防网络入侵活动的杀伤链模型。该模型包括完整的网络攻击经历的七个阶段，为攻击者确定了实现目标必须完成的操作，提高了攻击的可见性。但由于它没有提供对攻击者使用工具或程序的深入洞察功能，其可用性受到限制。STRIDE模型由微软公司开发，它将威胁分成6个维度来考察，其主要作用是帮助分析师识别和分类威胁，并对威胁进行优先级排序。由于STRIDE模型主要用于软件开发，适用场景有限。ATT&CK(Adversarial Tactics, Techniques and Common Knowledge)由美国MITRE公司于2013年开始开发，是一个站在防御者视角描述攻击中各阶段所使用技术的模型。ATT&CK威胁框架为网络安全防御部署提供指导，并已成为引领和标记全球网络安全攻防潮流的安全技术战术知识库框架。但ATT＆CK威胁框架缺乏安全工具支持，难以实现互操作性；对已知威胁开展研究，既无法枚举各种威胁，也无法应对未知威胁，难以实现自动化；对网络威胁防御的作用还需要验证。

防御能力评估方法

防御能力评估是对网络威胁发生时防御的水平和能力进行评估，旨在掌握并量化网络安全产品、系统及防御体系的能力。目前，网络威胁防御评估的研究工作主要从网络脆弱性分析评估、网络威胁评估和网络风险综合评估3个方面展开。

网络脆弱性分析评估是指对网络系统中存在的可能被攻击者利用，导致网络系统遭受攻击和破坏的安全漏洞和弱点进行评估，以确定网络系统面临的安全风险和威胁。常用的评估模型有攻击树模型，最早是由施耐尔(Schneier)于1999年提出的一种系统脆弱性分析模型，但模型的建立依赖专业知识，需要耗费大量的时间和资源，并且需要持续更新，难以在大规模网络环境下应用。

网络威胁评估是指对网络系统面临的威胁的破坏和影响程度进行评估，通过分析多种指标评估网络的安全状况，以确定网络系统的安全性和可靠性。常用的评估模型如Zhang等人提出的状态转移分析方法，该方法利用有限状态机表示和分析已知威胁入侵的过程，但由于状态机自身的缺陷，模型在任何时刻都只能有一个状态，无法表示并发性或异步性的攻击行为，存在状态空间爆炸问题。

网络风险综合评估是指对网络系统中可能存在的各种威胁和漏洞进行全面、系统、科学地评估，以确定网络系统的安全性和风险水平。目前用于网络威胁防御评估的国内外网络威胁标准主要有美国国家标准与技术研究院(NIST)发布的安全和隐私控制框架NIST SP 800-53、国际标准化组织(ISO)和国际电工委员会（IEC）联合发布的信息安全管理标准ISO/IEC 27001、美国中小企业网络安全中心（CIS）发布的网络安全控制标准CIS Controls、中国国家标准化管理委员会发布的GB/T 22239-2019《信息安全技术网络安全等级保护基本要求》、由开放式Web应用程序安全项目(OWASP)发布的应用程序安全标准OWASP ASVS等。在现行的网络威胁防御评估标准的研究中，特别是我国推行的等级保护、云服务安全评估等办法提升了对威胁的安全防御能力，但这些评估的标准或指南往往只针对特定场景某个方面的安全防御能力，且往往滞后于新技术和新型威胁的发展。

总体而言，现有的网络威胁评估方法存在依赖评估人员的专业水平、评估工具的准确性、评估标准难以量化等问题，且防御评估技术与评价体系仅针对已知网络威胁进行检测率、识别率、召回率等的评估，缺乏对安全技术、产品或网络系统安全防御能力的量化评估。因此，亟待建立一套全面且权威的网络威胁防御评估的新方法和新标准，以提升整体威胁防御的评估能力。

威胁权集的研究目标

网络空间作为当前国际上各国建设维护的重要内容，建设能够对抗国家级、大规模、高隐蔽、强对抗威胁的网络防御能力迫在眉睫。当前网络防御存在能力底数不清、对网络威胁认识不足等严重问题，尤其是缺乏有效的检验评估标准和手段，严重制约了网络空间防御体系相关技术的发展。

因此，我们提出了网络空间威胁权集的概念及方法。威胁权集具有表达已知威胁、演化未知威胁的能力，可以客观、全面地展现当前和未来威胁及其发生场景，即权威性；且能根据威胁类型、强度和场景输出所需数据，为网络安全防御能力的量化评估提供标准、尺度，即权衡性。

威胁权集基于评估目标，构建并输出可定制、可量化、适配目标网络、逼真的目标场景与网络威胁的融合数据，为防御能力评估提供网络信流、硬件接口、系统行为、业务交互等不同观测点的不同类型数据（如网络观测点的数据为网络数据包，主机行为观测点的数据为系统调用或内核函数调用序列等），构建网络威胁数据基座。

网络威胁致效的认知概念

网络威胁往往由一系列行为构成，其中有正常操作，也有为掌握控制权、伪装、获取信息等进行的异常行为，为了从本质上揭示网络威胁，我们提出从网络威胁对信息系统中各类对象造成破坏，即致效的行为序列开展研究，研究网络威胁的原子行为、致效量化方法，构建网络威胁致效机理的全新认知概念。

定义1 行为。指针对复杂信息系统中不同域、不同子系统乃至不同模块中对象的操作，行为包括若干属性：时间、空间、主体、操作、客体等。其中时间指行为发生的时间；空间指行为发生的环境，以硬件、操作系统、应用等分层结构描述；主体指行为发出者，如进程等；操作指行为的具体动作及描述等；客体指行为操作的对象。

定义2 威胁原子行为。指能够独立对某个客体（文件、目录、函数、账号等）的安全属性（机密性、完整性、可用性等）产生破坏效果的操作序列，由一个或若干个有时序逻辑的行为组成，且该行为再分解则无法对客体的安全属性实施破坏。

定义3 安全属性向量。用来量化一个威胁原子行为对某个客体安全属性的破坏程度，可以形式化表达为公式（1）：

S={0, c, i, a}   c, i, a ∈ [0, 1]    （1）

其中0代表本次行为的客体，c、i、a分别代表该行为客体的机密性（C）、完整性（I）、可用性（A）的破坏程度，值越接近1表示相应安全属性破坏程度越大，反之越小。该定义中安全属性只考虑了最基本的C、I、A三性，可根据需要扩展必要的安全属性，方法不变。

以著名的勒索蠕虫“魔窟”(WannaCry)事件为例，该事件的样本利用了“影子经纪人”(Shadow Brokers)泄露的美国国家安全局(NSA)“永恒之蓝”漏洞进行传播，病毒运行过程主要分为三步：（1）主程序文件利用漏洞传播自身，运行“WannaCry”勒索程序；（2）“WannaCry”勒索程序加密文件；（3）勒索界面(@[email protected])显示勒索信息，解密示例文件。此次威胁事件中，威胁在网络层、操作系统层及应用层等各层面都有不同的威胁行为，呈现出不一样的威胁表象，从各层级观测到的是不一样的行为，甚至单从某一层面的行为并不能看出这个行为背后隐藏的是整个威胁事件。因此，对威胁行为的刻画需要从威胁直接产生的表象出发，根据从网络空间各层面各维度观测到的威胁表象对其进行表征，全面刻画各层级的威胁行为，形成威胁行为序列，探寻其内在共性规律，即从海量行为序列中识别能产生破坏效果的致效行为序列，再从致效行为序列中抽取威胁原子行为。另外，威胁致效行为层层递进形成序列，其一定是依托威胁源头节点、中间节点、目的节点以及这些节点上的软硬件运行环境触发出最终的威胁表象效果，因此需要探索威胁表象产生的可能过程，明确表象效果与对应的威胁原子行为的关联关系，找出威胁效果与产生的致效机理之间的映射关系，从威胁破坏的本质认知威胁。

网络空间威胁权集三要素

威胁权集是能客观、真实展现网络威胁场景的数据、方法、工具、标准的集合，它是一套方法和技术，也是一种全新的理论体系。威胁权集包含三个核心要素：背景库、威胁库与想定库，如图1所示。

图1 网络威胁权集构建

背景库指能充分、客观、全面地展示不同网络信息系统运行场景的数据、方法及标准的集合，不仅包括在不同观测点（如网络链路、网络设备、内存、操作系统、IO接口等）观测到的不同对象（如网络流、系统调用、文件、业务、账号等）在系统运行中的原始数据，还包括对原始数据进行表达、标注的行为序列数据，以及对原始数据进行表达和标注的方法、标准，能提供目标网络信息系统的逼真场景数据。

威胁库指能复现已知网络威胁、展示未知和新型网络威胁的数据、工具及标准的集合，不仅包括网络威胁在不同观测点（如网络链路、网络设备、内存、操作系统、IO接口等）观测到的对不同对象（如网络流、系统调用、文件、业务、账号等）造成安全属性破坏的原始数据，还包括威胁原子行为的表达、标注，以及对威胁原子行为进行表达、标注的方法和标准，能提供可定制、可调节破坏程度的网络威胁数据。威胁库根据威胁产生的破坏机理认知、刻画网络威胁，形成一种系统、普适的威胁原子行为的抽取、表征和刻画方法，且能通过对威胁原子行为的演化，形成表达未知/未来的新型网络威胁的数据和方法的能力。

想定库是指能根据需求设定网络威胁场景的规则、方法和标准的数据集合。想定是指对威胁种类、对抗强度和目标场景等设想的策略，想定库描述拟生成的目标网络信息系统的场景，至少包括：攻击者的目标、方法、技术、策略及攻击强度等，受到攻击的系统、网络或数据及其受破坏程度，以及背景数据、威胁数据的融合策略等，以输出真实、可调节、可量化的网络威胁场景。

威胁权集研究的核心思想将“网络威胁”与“基因突变”进行类比。碱基对是构成DNA双螺旋结构的基石，基因是编码蛋白质或RNA等具有特定功能产物的遗传信息的基本单位，是染色体或基因组的一段DNA序列，即碱基是生物基础的化学代码。在复杂网络信息系统中，模块、进程、接口等之间的交互、调用等行为序列表现出极大的差异性。无论是生物体的DNA序列还是系统的行为序列，它们都是通过不同的排列序列方式表达信息。

由此，我们提出以“天眼”视角认知威胁，通过复现已知威胁和攻击场景，对网络威胁造成破坏的实质性操作进行采集、抽取、标注，对威胁致效的内在机理进行分析，构建基于威胁原子行为的威胁数据，形成分层分类的威胁行为刻画方法。在威胁权集构建中，需要首先关注的关键技术主要有复杂网络系统中海量行为（网络行为、主机行为、业务行为等）及威胁行为的科学全面表征方法，类似于生物体的DNA测序；其次，将威胁原子行为进行关联和演化，进而生成未知威胁，类似于通过DNA编辑创造新物种；最后，在想定库的策略下，将威胁权集的背景库与威胁库进行融合，产生真实、可量化、可调节的威胁行为序列，以形成能展示未来网络空间威胁场景的能力。

威胁行为表象的科学全面表征

针对复杂信息系统的威胁，会在网络信流、指令调用、接口调用、业务交互等不同观测点展现不同对象的行为表象，因此需要科学、全面地表征不同观测点的对象行为。以在网络链路上观测的网络流为例，网络数据包蕴含了网络行为的各种属性，通过对网络流进行分析，可提取网络流的通信、会话、负载等分层特征，并可构建分层的时空属性，从而实现对网络流完整、细粒度的客观表征。针对网络流的行为和属性抽取与表征的研究已有相当基础，比如为了挖掘网络流中隐藏的网络攻击行为的蛛丝马迹，采用金字塔池化技术(Spatial Pyra-mid Pooling，SPP)提取时空属性的各类统计特性，即使攻击方频率很低、数据量很小，也能保留其交互过程和空间属性，能有效地表达隐蔽性、持续性的攻击行为。

显然，在不同的观测点观测的对象不同，如在终端侧的攻击行为表征应为系统调用、内核函数、IO操作等。为了全面而科学地描述威胁行为，需要对各观测点的不同对象及其行为表象进行表征，构建分类（主机类、网络类、业务类等）分层（硬件、操作系统、应用等）的、全面客观反映网络威胁行为序列的描述、刻画方法及体系。

基于威胁原子行为的新型威胁演化

威胁原子行为是对复杂网络系统中特定对象实施安全属性破坏的最小行为序列，它不是一个特定网络威胁的完整行为表达，而是可能出现在不同网络威胁中的能产生破坏效果的共性行为序列。针对若干威胁原子行为可通过组合、关联构成具有破坏作用的新型威胁行为，我们基于因果、时间、空间、对象、破坏效果等威胁原子行为的相关属性，开展威胁原子行为的组合、替换等方法研究，即基于威胁原子行为演化而构建新型的、未知的网络威胁场景，如图2所示。

 图2 基于威胁原子行为相关性的新型威胁演化示意图

基于想定策略的背景与威胁的融合

基于想定策略的背景库与威胁库的融合，是根据拟展示的目标网络威胁场景制定合适的策略，实现网络威胁场景中不同观测点的逼真、可量化、可调节的背景与攻击融合数据输出，且在对抗强度、攻击强度以及攻击难度等方面达到预定级别和权重的目标观测点数据输出要求。例如，在物联网、互联网、工控网、社工网、电信网等多种公共网络和专有网络中，都存在各种不同形式的网络攻击行为。在某些特定目标场景中，能从威胁库中筛选出构建威胁场景所需的威胁数据，依据目标应用场景的类型选择相应的背景数据，并根据想定策略将威胁数据与背景数据有机融合，以形成逼真的可用于衡量安全防御技术有效性的威胁场景数据。

威胁权集的科学全面表征和基于威胁原子行为的新型威胁演化赋予了科研人员从本质理解和分析网络威胁的能力，而威胁的产生离不开其发生的场景，威胁权集的背景库则提供了面向不同观测点的分类分层充分刻画、表达特定应用场景的统一方法和规范。本节针对典型应用场景的威胁权集进行简要阐述。

云计算环境下的资源虚拟化导致其网络拓扑、业务和信息具有动态性、快速变化的特点，特别是云计算平台上基于软件定义网络导致的东西向、南北向网络流和交互行为的复杂性。本研究场景重点关注云计算环境中的延展网络(overlay network)和底层网络(underlay network)中复杂多样的网络行为表征，以及虚拟机、容器中威胁致效行为序列与网络行为之间的内在联系，以展示云计算威胁场景中网络动态、系统层级复杂的特性。

工业控制系统对生产过程的稳定性和可靠性要求非常高，也与业务的实时性和响应速度、精确控制要求、生产工艺的复杂性等因素有关，导致工控系统与业务强相关，其采用的网络协议、控制设备也具有很大的差异。因此，工控场景下的威胁权集构建需要建立符合工控系统特性的威胁行为描述方法，构建信息域与物理域相结合的工控场景下的背景库与威胁库，实现业务相关的工控系统行为序列与网络信流的映射。

开展威胁权集研究一方面要深入研究网络威胁的致效源头、破坏效能、演化机制及路径，构建基于威胁致效机理的网络威胁内在本质认知理论体系；另一方面要研究威胁在不同观测点（如网络接口、IO设备接口等）的网络信流、IO调用等外在表象，提出网络威胁致效行为的演化方法、观测对象的行为表征方法等，构造和迭代演进全面且能充分反应未来高级威胁的权集，为我国网络威胁防御研究建立全新方向。

未来，威胁权集的构建需要大量网络信息系统场景和威胁数据，这将使得数据基座不断丰富和多样化，包括更多类型的网络威胁数据和更广泛的观测点数据，以更全面、真实地反映网络威胁的复杂性。该研究涉及面广、数据量极大，需要研究机构、企业与应用单位共同构建研究生态，从研究的方法、工具、标准等方面推动网络威胁权集的迭代发展，从而为提升我国网络空间方面的科研能力、防御水平作贡献。

本文提出了网络空间威胁权集的概念、要素和关键技术，对目前网络威胁防御的数据基础、认知方式、评估标准进行了深入分析，提出了一套新的网络威胁数据基座的构建体制。但是，在整体的理论化、系统化、框架化方面还存在一定不足，亟待开展更深入的探索和研究。开展网络威胁权集研究，有望建立全新的“先于威胁认知威胁”的研究体系，创新网络威胁防御研究，找到科学基础和技术瓶颈，推动威胁对抗防御的研究和能力的实质性提升，意义重大。我们坚信，在领域同行的共同努力下，网络威胁防御问题将会得到深刻的认知、研究和解决，助力网络空间安全学科和产业发展。

其他作者：王小娟

特别声明：中国计算机学会(CCF)拥有《中国计算机学会通讯》(CCCF)所刊登内容的所有版权，未经CCF允许，不得转载本刊文字及照片，否则被视为侵权。对于侵权行为，CCF将追究其法律责任