習總書記在“4.19”講話中明確指出，“要樹立正確的網(wǎng)絡(luò)安全觀，加快構(gòu)建關(guān)鍵信息基礎(chǔ)設(shè)施安全保障體系”“我們必須深入研究，采取有效措施，切實做好國家關(guān)鍵信息基礎(chǔ)設(shè)施安全防護”。等級保護2.0也從保護對象、保護內(nèi)容、標準體系等方面進行了相應(yīng)升級，契合我國網(wǎng)絡(luò)安全形勢的不斷發(fā)展。
數(shù)字經(jīng)濟的飛速發(fā)展，大數(shù)據(jù)技術(shù)的深化應(yīng)用，促使數(shù)字資產(chǎn)成為企業(yè)乃至國家新的增長引擎，也成為世界各國“兵家必爭之地”。網(wǎng)安安全保障將是數(shù)字經(jīng)濟的“基石”，“基石”搭建是否可靠對網(wǎng)絡(luò)安全整體運維服務(wù)提出了新的需求。隨著人工智能、云計算、大數(shù)據(jù)以及邊緣計算等新技術(shù)的不斷發(fā)展和應(yīng)用，網(wǎng)絡(luò)攻擊方式多樣，呈現(xiàn)智能化、自動化等特點，且攻擊目標已從純粹的個人“秀技術(shù)肌肉”轉(zhuǎn)變成謀取經(jīng)濟利益和政治利益。這對傳統(tǒng)“交付產(chǎn)品”模式提出了挑戰(zhàn)，對“購買安全目標”提出了新的需求。
隨著5G應(yīng)用，萬物互聯(lián)成為現(xiàn)實，網(wǎng)絡(luò)入侵不僅影響數(shù)字世界，而且對萬物互聯(lián)的設(shè)備、媒體社交平臺等均有深入影響。企業(yè)信息化系統(tǒng)強關(guān)聯(lián)性、耦合性導(dǎo)致網(wǎng)絡(luò)入侵由點及面地快速擴散影響。因此，從單點防護擴展到點面結(jié)合以及全面防護十分緊迫。以上從數(shù)字驅(qū)動重要性、技術(shù)發(fā)展多樣性、關(guān)聯(lián)影響廣泛性等方面進行分析，傳統(tǒng)以交付產(chǎn)品完成建設(shè)的線下模式已不足以支撐高速發(fā)展的信息化社會，適應(yīng)新時期以交付能力和目標為主的整體運維服務(wù)模式成為趨勢，只有搭建全方位、多層次、全維度的網(wǎng)絡(luò)安全運維服務(wù)體系，才能保護企業(yè)的網(wǎng)絡(luò)安全。
01網(wǎng)絡(luò)安全運維服務(wù)存在的隱患
網(wǎng)絡(luò)安全運維服務(wù)及能力建設(shè)以系統(tǒng)全生命周期為主線，以業(yè)務(wù)安全需求為起點，前端根據(jù)企業(yè)安全需求開展安全規(guī)劃設(shè)計，同步根據(jù)規(guī)劃開展安全開發(fā)、建設(shè)、測試以及測評等。測評通過進入實際運維服務(wù)階段，進行安全事件監(jiān)測、安全事件處理、安全事件分析預(yù)測以及安全審計追蹤等，同時對企業(yè)安全技術(shù)人員開展安全技術(shù)認證培訓(xùn)，提升其安全技能和安全意識。
上述網(wǎng)絡(luò)安全運維服務(wù)體系架構(gòu)中，運營維護階段會有大量需要人為處理的工作，且海量安全數(shù)據(jù)需要及時進行分析處理。如果純粹依靠技術(shù)人員進行人工分析、處理，會錯失優(yōu)秀的防御時機，攻防博弈的天平會全面倒向入侵者一方，導(dǎo)致企業(yè)關(guān)鍵信息基礎(chǔ)設(shè)施遭受嚴重威脅。以下從3方面分析網(wǎng)絡(luò)安全運維服務(wù)面臨的一些挑戰(zhàn)。
(1)傳統(tǒng)網(wǎng)絡(luò)安全保護模式是購買網(wǎng)絡(luò)安全產(chǎn)品，安全廠商完成建設(shè)交付即可，主要使用單點的網(wǎng)絡(luò)安全設(shè)備在線下實現(xiàn)安全防護，安全策略配置、系統(tǒng)升級、故障排查等過多依賴安全廠商技術(shù)人員，用戶技術(shù)人員因設(shè)備自適應(yīng)程度較低、過于機械，無法及時做出相應(yīng)處置。在面對日趨復(fù)雜的安全環(huán)境，不僅是面對未知威脅，面對已知威脅也難以做到有效的及時防御。
(2)企業(yè)有自己的主責主業(yè)，安全一般歸屬信息化部門，專業(yè)安全人才只占信息化維護人員的很小一部分，企業(yè)也難以投入進行全方位安全人才隊伍建設(shè)。因此，企業(yè)的安全技術(shù)人員數(shù)量和水平有限，只能解決一些具體到某點的安全問題，系統(tǒng)性的由點及面顯得力不從心，達不到全生命周期、全維度的運維管理。
(3)內(nèi)外部海量流量數(shù)據(jù)隱藏了大量有用的安全信息，人工數(shù)據(jù)分析顯然不現(xiàn)實，還未待完成數(shù)據(jù)特征提取，一波新的攻擊可能就來了。由此可見，攻防博弈爭分奪秒，缺乏對安全數(shù)據(jù)高效挖掘、分析、利用環(huán)節(jié)，不能敏銳抓住數(shù)據(jù)流量中的異常，從而不能有效預(yù)測、評估、預(yù)警和防御安全風險。
總結(jié)來看，一是技術(shù)人員的過渡依賴性問題;二是橫向和縱向運維的全覆蓋問題;三是處理動態(tài)變化的威脅時效性問題;四是對海量安全數(shù)據(jù)的分析利用問題。人工智能彌補人的不足，以模仿人類思維開展自我優(yōu)化學(xué)習，相比人為操作，可以以秒為單位處理很多數(shù)據(jù)問題。本文研究人工智能賦能網(wǎng)絡(luò)安全運維服務(wù)，打開智慧運營新局面。
02人工智能賦能網(wǎng)絡(luò)安全運維服務(wù)
人工智能技術(shù)架構(gòu)如圖1所示，分為基礎(chǔ)、技術(shù)、應(yīng)用3層。基礎(chǔ)層包含計算能力和數(shù)據(jù)資源，是整個人工智能的核心;技術(shù)層包含算法、模型、知識庫、特征庫等;應(yīng)用層為人工智能結(jié)合網(wǎng)絡(luò)安全服務(wù)，不局限于某個具體應(yīng)用場景，重點解決運維服務(wù)中人為因素等不足造成的問題。
圖1
人工智能架構(gòu)一個大型集團包含很多下級單位，如何縱向延伸，以中心化運維為思路，以公有或私有云加載計算單元，充分實現(xiàn)全域運維。下面具體分析網(wǎng)絡(luò)安全運維服務(wù)事前檢測、事中運維、事后分析3個階段需要做的重點工作，并以此為重點，研究人工智能如何在這些工作中發(fā)揮作用，從而實現(xiàn)智慧化運營，如圖2所示。
圖2 網(wǎng)絡(luò)安全運維服務(wù)體系架構(gòu)
2.1 數(shù)據(jù)資產(chǎn)態(tài)勢感知
企業(yè)的數(shù)據(jù)資產(chǎn)是其核心資產(chǎn)，利用人工智能搭建企業(yè)安全數(shù)據(jù)的學(xué)習系統(tǒng)，自動采集企業(yè)各類設(shè)備、軟硬件系統(tǒng)、應(yīng)用系統(tǒng)、業(yè)務(wù)系統(tǒng)以及管理系統(tǒng)等數(shù)據(jù)，以多種維度關(guān)聯(lián)數(shù)據(jù)，打造企業(yè)安全數(shù)據(jù)資產(chǎn)的態(tài)勢感知平臺，實時動態(tài)展現(xiàn)企業(yè)相關(guān)資產(chǎn)的使用情況，根據(jù)安全態(tài)勢對安全產(chǎn)品和安全流程進行動態(tài)部署，強化安全控制流程，提升網(wǎng)絡(luò)彈性，并對安全數(shù)據(jù)進行實時動態(tài)分析，對相關(guān)安全警報進行優(yōu)先級排序及建議處理，自動生成企業(yè)全維度安全報告，供安全負責領(lǐng)導(dǎo)參考決策。
2.2 軟件模塊自動化走查
隨著軟件工程化的發(fā)展和開源社區(qū)代碼的豐富，企業(yè)級模塊化開發(fā)提高效率的同時，也帶來了潛在風險。開源代碼存在邏輯性、完整性等問題，而非專業(yè)公司并沒有精力和能力去分析動輒幾萬行甚至幾十萬行的代碼。利用人工智能技術(shù)可幫助識別和分析代碼中的錯誤，降低未被發(fā)現(xiàn)的漏洞，以提高現(xiàn)有軟硬件的防御水平。
2.3 應(yīng)對APT高級持續(xù)威脅
企業(yè)面對嚴重的威脅就是有組織、有目的、經(jīng)過精心策劃實施的APT攻擊。針對已知漏洞，已有防火墻、IDS等成熟產(chǎn)品應(yīng)對;針對未知漏洞威脅，顯然不能依靠人工進行數(shù)據(jù)分析。APT攻擊的復(fù)雜性結(jié)合攻擊者的隱蔽性，需要獲取海量的內(nèi)外部流量數(shù)據(jù)，并對數(shù)據(jù)進行挖掘和關(guān)聯(lián)分析，發(fā)現(xiàn)攻擊者線索并進行追蹤溯源。同時，網(wǎng)絡(luò)安全運維工程師可利用人工智能技術(shù)，利用逆向工程改進系統(tǒng)，防止再次發(fā)生類似事件。
2.4 系統(tǒng)動態(tài)加固
信息化程度越高的基礎(chǔ)設(shè)施，遭受攻擊的面更寬，面臨人員短缺、技術(shù)局限的窘境。利用人工智能的自動識別技術(shù)，檢測信息系統(tǒng)、軟件等運行過程中的漏洞、缺陷等，設(shè)計、生成、運行補丁程序，對漏洞進行實時修復(fù)，實現(xiàn)真正意義上的自動防御功能，實現(xiàn)系統(tǒng)動態(tài)加固。
2.5 異常動態(tài)檢測，快速響應(yīng)攻擊
攻防博弈是一個動態(tài)過程，網(wǎng)絡(luò)攻擊方式日趨多樣化，安全運維團隊只有以不斷優(yōu)化調(diào)整相關(guān)技術(shù)來應(yīng)對持續(xù)不斷的異常和威脅。但是，攻擊者猶如潛伏在黑暗中的劍客，不知他什么時間以什么“招式”攻擊，充滿了不確定性，而攻防雙方從時間上就已失衡。利用人工智能和機器學(xué)習，通過算法和歷史數(shù)據(jù)搭建合理化模型，以一種可靠的方法解析各類異常事件，通過不斷學(xué)習、訓(xùn)練知道運維者最想要的信息是什么，就能在攻擊發(fā)生時及時提供相關(guān)重要情報來阻擊攻擊，并給運維工程師響應(yīng)異常事件提供解決參考，大大縮短了攻擊的響應(yīng)流程，將損失減少到最小。
2.6 自動化故障排查
以一個大型集團公司為例，總部各部門、各分子公司等下屬機構(gòu)每天會產(chǎn)生大量業(yè)務(wù)數(shù)據(jù)和安全數(shù)據(jù)，各類故障頻發(fā)。通用性故障若大量耗費維護人員進行分析處理，既不利于運維中心化，也沒有諸多的人力物力來支撐。此時，可將企業(yè)每天產(chǎn)生的各類型網(wǎng)絡(luò)安全方面的故障數(shù)據(jù)及解決措施數(shù)據(jù)進行分析存儲，建立故障事件特征庫，形成規(guī)則庫和知識庫，針對網(wǎng)絡(luò)告警數(shù)據(jù)自動選擇合適的解決方案，保障通信網(wǎng)絡(luò)和業(yè)務(wù)系統(tǒng)的正常運轉(zhuǎn)。利用人工智能技術(shù)進行邏輯推理，分析研判潛在安全威脅，從而提前預(yù)警。
2.7 安全整體態(tài)勢持續(xù)呈現(xiàn)及預(yù)測
企業(yè)的通信網(wǎng)絡(luò)、硬件、軟件、系統(tǒng)應(yīng)用、業(yè)務(wù)應(yīng)用以及安全應(yīng)用等，產(chǎn)生大量數(shù)據(jù)結(jié)構(gòu)不一致且具備相關(guān)關(guān)聯(lián)性的安全數(shù)據(jù)。安全運維專家經(jīng)驗再豐富也不可能實現(xiàn)安全數(shù)據(jù)的持續(xù)分析呈現(xiàn)，以及發(fā)現(xiàn)安全數(shù)據(jù)之間的關(guān)系。利用人工智能算法對安全數(shù)據(jù)進行關(guān)聯(lián)分析，生成當前狀態(tài)的綜合評估和趨勢預(yù)判，可實現(xiàn)持續(xù)態(tài)勢監(jiān)控，并預(yù)測未知漏洞風險等。
03結(jié) 語
本文從數(shù)據(jù)資產(chǎn)重要性、新技術(shù)多樣性、系統(tǒng)耦合脆弱性出發(fā)，分析網(wǎng)絡(luò)安全運維服務(wù)的重要性和必要性，站在社會工程學(xué)角度，分析了人在運維服務(wù)中的局限性，創(chuàng)新性地探索人工智能在運維服務(wù)中的應(yīng)用，形成了智能高效的網(wǎng)絡(luò)安全運維新思路，改變攻防博弈中被動防御的不利局面，保護重要行業(yè)關(guān)鍵基礎(chǔ)設(shè)施安全。下一步工作將重點研究算法和搭建模型，分析解決具體的問題。
京公網(wǎng)安備 11010502049343號