引用本文：陳劍鋒，楊例鋼，陳天瑩.基於知識服務的網路空間安全戰略風險管理研究[J].通訊技術，2020，53（12）：3034-3039.

摘要

近年來，網路空間已經形成並不斷髮展，從根本上革新了資訊的傳播方式，使得物理世界和人類活動的關係越來越密切。但從世界範圍看，網路空間結構和功能的複雜性、蘊含的極大經濟和政治利益以及其本身的固有脆弱性，成為安全威脅和風險日益突出的重要原因，併成為新時期國家安全的全新挑戰。網路空間戰略風險是一類核心性、結構性、系統性風險，若疏於控制防範將會對網路空間造成重大破壞。為了探索應對這類威脅的方法，研究網路空間戰略風險的概念、要素及特徵，基於資料驅動安全思想構建了知識化網路空間戰略風險預警及評估機制，從而為發展基於知識服務的戰略風險管理體系提供新思路。

關鍵詞：網路空間安全；戰略安全風險；安全評估；知識服務

內容目錄：

0 引言

1 網路空間戰略風險

1.1 網路空間風險要素

1.2 網路空間戰略風險

2 網路空間戰略風險評估與預警

2.1 資料化風險預警體系

2.3 風險資料的組織與管理

2.4 風險資料的決策和應用

3 基於知識服務的風險管理系統

4 結語

引言

隨著人類資訊化技術的進步，網路空間逐步形成並發展，同時與傳統的陸海空天等物理空間相互滲透，形成了虛擬與現實交織的人類生產生活的新空間。在網路空間的賦能和媒介作用下，人與人、人與物、物與物的關聯越來越密切。虛擬的服務、個體甚至社會持續繁榮，對國家政治、經濟、文化、社會以及國防等領域的作用和影響不斷增強。但與此同時，世界範圍內網路安全威脅和風險也日益突出，成為國家安全的全新挑戰。

網路空間的安全風險主要歸因於承載資訊生成、交換、儲存、共享和使用的網路底層裝置、作業系統及高層應用自身固有的難以消除的脆弱性，促使攻擊者因利益、使命或其他動機發起了各類攻擊行為。對於網路空間安全風險，就受害目標而言，包括網路基礎設施、終端及計算平臺、系統及終端服務、資料及數字資產和認知及網路社會等領域；就作用影響而言，它包括導致系統完整性、資訊機密性、服務可用性，以及物理設施、社會系統、聲譽信用被破壞的諸多潛在能力；就利用方式而言，有的攻擊強度高，有的攻擊範圍大，有的隱密程度高，有的甚至集成了多個尚未披露的高價值漏洞，具備干擾國家政治、經濟和國防執行的效果。基於風險存在的客觀性與普遍性，開展安全防禦、預警和防範工作應圍繞面臨的風險進行識別和分析，從而提升安全資源投入的效率和收益。

1、網路空間戰略風險1.1 網路空間風險要素

維護網路安全首先要知道風險在哪裡，是什麼樣的風險，什麼時候發生風險。沒有意識到風險才是最大的風險。網路空間風險通常是指由人或自然因素導致的網路安全系統的脆弱性、面臨的威脅以及脆弱性被威脅資源利用後所產生的實際負面影響，包括在物理環境、網路結構、系統平臺、應用服務以及資料資源等層面存在的技術、管理脆弱性因素。如同物理空間透過雷達對空天目標、來襲武器進行監視和預警一樣，網路空間也需要密切關注風險的產生、變化和發展。越早識別風險、檢測到風險，就能越早清除風險，從而把風險造成的危險降到最低。

網路空間的物理域風險指環境、場地、周界和裝置安全風險；邏輯域風險指網路協議、計算平臺和軟體服務安全風險；認知域風險指資料隱私、機密資訊和數字資產安全風險；社會域風險指意識形態、社會認知和網路文化安全風險；跨域安全風險指在兩個或多個域之間因傳導、擴散導致的衍生式、級聯式安全風險，有可能對某一個域施加影響，而在另一個域顯現。網路空間廣泛相聯的網路、計算和應用基礎設施是一把雙刃劍，既便利了使用者，又便利了攻擊者。連線無處不在、資料無處不在、服務無處不在的便利性更容易為攻擊者所利用，因此“攻擊無處不在”成為網路空間設計者必須面對的現實。

在風險成因中，動機是攻擊者發起的意願，脆弱性是系統存在可被攻擊的入口，而連線是攻擊者訪問到這一入口的可能性，三個條件缺一不可。攻擊者依託既有的工具、能力和經驗，在一定的時空條件下針對網路空間目標發起基於“發現—定位—跟蹤—瞄準—打擊—評估”殺傷鏈的敵對行動，從而獲取巨大的經濟、政治和軍事利益。

1.2 網路空間戰略風險

網路空間主流的攻擊對抗方式具備廣維度、多目標、高烈度、短猝發以及強隱蔽等特點，為安全防護帶來了極大的複雜性和不確定性。在攻擊事件和活動中，網路空間既可能成為直接或間接的攻擊目標，也可能是攻擊的載體和媒介而使其他陸海空天空間成為攻擊目標。在不同的攻擊者能力大小、不同的攻擊發起時機、不同的防禦者應對能力和不同的資產重要等級配比下，風險的規模、水平、發生機率和破壞能力具有顯著的差異化。

與危害較輕的“戰術級”風險相比，網路空間安全“戰略性”風險一般在核心性、結構性以及系統性上具有鮮明的特點，可能對全球網路空間及關聯空間的結構、功能、組織造成顯著破壞，給目標系統造成綜合或連鎖反應影響，甚至導致國家關鍵資訊基礎設施癱瘓、重要資料資源洩露、經濟金融紊亂以及工業生產停擺等嚴重後果。

網路空間安全戰略風險的顯著特點包括體現國家意志、蘊含重大破壞、跨越巨大時空以及持久負面影響4個方面。

（1）體現國家意志。需要國家級平臺和資源作為實施條件，是有組織、有目的的長期對抗設計。風險背後操縱者的意圖、動機和意識形態較為明顯。

（2）蘊含重大破壞。融合網路空間安全威脅的基礎性、長期性、全面性和強對抗性屬性特點及發展規律，可對重要網路、關鍵基礎設施和高價值目標造成難以估量的損失。

（3）跨越巨大時空。在時間角度，風險的產生需要一定的預備時間和歷史、技術條件。在空間角度，不僅對網路空間本身構成風險，也對關聯的其他空間帶來了危害。

（4）持久負面影響。風險的檢測、發現與處置抑制，通常需要在較高的技術積累、產業規模和資源投入水平上與多域力量協同聯動才能夠有效實施，且風險影響在很長一段時期內都難以消除。

戰術風險的識別和防範是網路安全主動防禦的一項具體任務，而戰略風險的檢測、控制和防範是一項體系工程，需要將傳統風險理論和方法向網路空間拓展、延伸和有機融合，深化對戰略風險的定義、識別機制、方法研究和深入實踐。

管理網路空間安全戰略風險的首要環節是評估與預警。網路空間安全評估是確定防護物件及重要資產的安全威脅和脆弱性，並估計可能由此造成的損失或影響的過程。網路空間安全預警是透過資料採集、關聯分析和研判決策，對潛在或正在發生的圍繞網路空間的攻擊和威脅活動進行識別、分析、預測和告警的技術和活動集合。科學評估和有效預警透過把握安全風險發生的本質與規律，準確預測風險的性質、特點、動向和趨勢，從而儘可能為聯合處置力量組織防禦和響應爭取時間。

2、 網路空間戰略風險評估與預警

2.1 資料化風險預警體系

在當今充分數字化和資訊化的世界，特別是網路空間環境中，任何行為與活動都不可避免地留下了痕跡，形成了可供追蹤的碎片化資訊。儘管安全事件的發生具有一定的隨機性和不確定性，但事實上在不同的網路空間場所存在大量的誘因和線索。各類與網路空間安全風險相關的資料能夠以“拼圖”方式還原安全事件的歷史資訊，為態勢感知、早期預警和應急響應提供支撐。網路空間安全風險預警的資料化、情報化是在新的威脅形式和對抗環境下，提升風險辨識、認知和預警能力的必然選擇。

網路空間風險預警體系的執行以大資料基礎設施為載體，以資料和資訊的採集、匯聚、分析、運用為前提和條件。整個體系突出資料和證據在網路空間戰略風險研判中的重要作用，以及組織、技術、人員、投資以及策略所產生的風險在全球尺度網路空間格局中的反映，體現出在複雜時空條件下網路與資訊系統安全保障的能力需求。從整體上看，基於資料資源的獲取、資料內涵的提煉、資料關聯的建立和資料價值的挖掘，分析主要戰略對手、合作伙伴和技術團體在網路空間安全發展、利用、治理、保障和掌控等相關的活動，以此調整相應網路空間戰略、技術、機構和力量關係，在人員、策略和技術3大要素的作用下，以人員為核心，以策略為橋樑，以技術為保證，使安全目標成為安全現實。

2.2 風險資料的來源

網路空間戰略風險資料的來源非常廣泛。從採集途徑看，它主要包括政府官方釋出、研究型智庫釋出、安全企業釋出、網路安全研究者、惡意團伙釋出或系統裝置主動上報的不同來源資料。從形式上分，它主要包括威脅情報、日誌、協議類結構化資訊和文字、影片、音訊、網頁等非結構化和半結構化資訊。從描述的內容看，它主要有動向型、技術型、事件型、漏洞型、資源型和綜合研究型。

威脅情報（Threat Intelligence）是戰略風險研判重要、規範的結構化資料來源，包括情境、機制、指標、暗示和可供操作的建議，透過描述正在發生或者即將出現的針對網路空間資產的威脅或危險，能夠被用於通知相關主體對這些威脅或危險做出響應決策。兩個比較流行的威脅情報格式包括結構化威脅資訊描述語言（Structured Threat Information Expression，STIX）和ATT&CK（Adversarial Tactics，Techniques，and Common Knowledge）。其中，STIX是為威脅情報採集、分析和交流而設計的一種語言，以結構化的方式來支援更有效的網路威脅管理流程化和應用自動化。許多企業已經支援透過STIX進行威脅情報和安全知識的共享。ATT&CK是由MITRE公司提出的站在攻擊者的視角來描述攻擊中各階段用到的技術的模型，主要應用於評估攻防能力覆蓋、APT情報分析、威脅溯源及攻擊模擬等領域。

非結構化資料的來源相對更為廣泛，包括用各種語言文字儲存的網際網路網頁、文件、電子書、出版物、智庫報告、部落格、微博、論文、簡報、內參和各類資料庫等。機器學習、網路爬蟲、智慧影象分析研究自然語言處理等人工智慧技術在資料的獲取過程中廣泛應用，使得大規模、高質量、多樣化且極具戰略風險情報價值的資訊能夠被及時發現和記錄。非結構化資料在使用中需統合多個來源和多種格式，將其轉化為統一的戰略風險知識表達形式，在保留原始資訊的同時，便於知識檢索、管理、查詢和推理。

2.3 風險資料的組織與管理

知識和情報的價值在於傳遞和共享。戰略風險資訊內在結構複雜，內容豐富，用法多樣，受眾廣泛。為了最大限度地節約使用者的資源和精力，它的處理過程必須儘可能自動化，從而對機器與機器之間實現情報內容的可讀、可理解的規範化交換提出了迫切要求。

目前，無論是威脅情報的共享交換還是文字、多媒體資料的自動化處理，都需要建立統一的風險描述框架和語言體系，核心是將關鍵資料和資訊本體化。本體透過減少概念和術語上的歧義，為使用不同語言、具有不同背景和目的的個體提供一致性的框架和語義模型，從而使不同元件間的理解和交流成為可能。本體的這種特性使得它尤其適用於戰略風險情報這類概念眾多、關聯複雜、更新迅速以及資訊共享需求迫切的場景。

2.4 風險資料的決策和應用

根據不同的風險管理與控制需求，戰略風險評估將包括3類具有不同時效性的預警輸出。

（1）直前預警是最緊迫、最現實的預警樣式，針對的是已發生或很快發生並即將造成破壞的戰略風險。透過網路入侵檢測、行為審計系統採集監測異常行為資訊進行分析，對高價值基礎設施或重要系統等關鍵部位發出預警。

（2）近期預警是前瞻性、強證據的預警樣式，針對的是未發生但很快蔓延或有發起跡象的攻擊。基於監測全球殭屍網路構建、蠕蟲病毒傳播、駭客組織活動等戰略風險的推理分析，需不斷修正以提升精確度。

（3）中長期預警是預防式、預見型的預警樣式，針對的是未發生但潛在重大影響或長期趨勢的戰略風險。它以人員參與的深度研判為主，包括識別系統、體系性的後門、風險和缺陷，同時需儘早佈局封堵，防止未來被對手利用。

直前預警的響應手段包括關閉系統、終止服務、封堵埠、更新規則、修改配置、安裝補丁、啟動蜜罐、隔離網路以及增添安全裝置等，強調響應的快速、精準和有效。近期預警的響應手段包括安全機制調整、大範圍安全策略更新、惡意程式碼溯源反制以及安全運維組織建設等；中長期預警的響應手段則需要調動更廣泛的安全力量和資源推動實施，包括轉移安全戰略、釋出規章制度、推動技術研發以及促進產業發展等。如何響應不同層級的戰略風險取決於先前制訂的安全目標和防禦策略。依據希望達成的安全能力水平，對風險進行篩選、評估和優先順序劃分，以目標為導向，以資料為驅動，以情報為線索，以資產為中心，在實踐和執行中不斷改進。

3、基於知識服務的風險管理系統

知識是人們在改造客觀世界的實踐中積累起來的認識和經驗，是一切智慧行為的基礎。網路空間由海量實體及其間的關係構成。不同的實體功能差異巨大，實體間聯絡的方式也千變萬化。因此，建立網路空間安全領域知識概念、術語、能力及事件描述，構建安全知識元資料的定義、分類、描述語言及規範，研究表徵網路空間安全風險、脆弱性、安全防護能力等的指標體系及計算模型，能夠提高安全知識管理、知識查詢以及知識共享方面的效率，進而為安全事件的快速分析與定位提供高效的資料支撐能力。

網路空間戰略風險管理中知識的服務化體現在兩個層面。一方面，從原始資料到安全資訊再到安全戰略風險預警，知識的表達、聯絡、共享和推理作用對於有效預警的形成至關重要。需要透過一致的、無歧義的知識表示和組織方式提升資料的質量和指向性，並在研判和印證過程中藉助安全專家的知識和歷史經驗進行輔助判定，以提升準確率。

另一方面，系統內的風險知識能夠以服務化的方式對外提供。這種高質量、內容一致、實時性強的知識可以以使用者選擇的方式按需呼叫，或是無縫整合至使用者的系統流程中。多個戰略風險評估系統節點間可以加強資訊共享和系統聯動，形成全方位、大縱深、多層次的網路空間的持續、全面戰略風險觀測與預警能力。

基於知識服務的風險管理體系結構如圖1所示。

圖1 基於知識服務的風險評估體系

基於知識服務的風險評估體系給出了與戰略風險相關的安全資訊採集、融合、分析、檢測、管理、運維等相關技術的層次化支撐依賴關係。網路空間戰略風險評估由位於網路空間各個位置、以不同方式運作、完成不同任務的元件、模組、代理等構成。這些元件承擔資訊採集、傳播、路由、計算、儲存或分析等功能。在一致的協同互動協議的聯絡下，各元件自身的任務和活動能夠從整體上得到有效排程、協調和併發控制，且對外展現出安全資訊採集、儲存、管理、維護、加工和利用一體化，體現模組間的無縫整合，從而在戰略風險預警的有效支撐下，推動資訊保安體系主動防禦、快速反應、妥善處理以及聯動服務等進階能力的形成。

資料平臺及處理模組對多個不同來源的資料進行整編、對映和均一化處理，可支援多個來源和多種格式資料，並將其轉化為統一戰略風險知識框架表達。資料的具體組織形式為網狀關聯資料、規則資料、模型資料等，為戰略風險預警體系提供知識檢索、知識推理計算、知識儲存及管理能力。資料平臺及處理模組在執行中，按照戰略風險資料處理的應用類別不同，將計算任務分為離線計算類、機器學習類、實時計算與推理類，同時利用多種分散式計算引擎，結合知識模型對資料的約束和合並規則，對各類結構化及非結構化的資訊資源進行相應處理，將分析處理後的中間結果資料提供給知識服務或業務系統中進行復用。

資料服務子系統以使用者的業務目標和習慣為驅動，在風險資料的時效週期內實現情報按需、順暢、安全共享。知識服務提供的情報內容、型別、及時性、資料來源、可信度、適用範圍、服務方式、增值業務、使用難易度、價格、服務質量以及響應速度等能夠進行相應調整，從而幫助需求方制訂安全戰略、更新安全策略、調整安全規則或配置安全資源等。

網路空間安全戰略風險服務方式包括主動情報分發方法和被動情報分發方法兩類。

（1）主動情報分發方法。基於安全戰略風險內容與使用者需求屬性的關係，向用戶分發相關資料。在產生新資訊後，情報生產者根據安全威脅資訊的匹配度，將風險資料推送到相應的使用者。主動分發方式能夠確保時效性，使得最緊急、最關鍵的情報能在第一時間到達接收者，以指導響應工作的進行。

（2）被動情報分發方法。它是需求驅動的情報分發方法。戰略風險情報提供者將可供選擇的情報種類以服務方式在門戶公開發布，使用者根據自己的需求查詢相應的內容，隨後用系統提供的指定介面進行訪問。

以知識化本體結構表達的戰略風險情報採用易於被計算機分析和處理的知識表達及資訊組織模式，有利於使用者在接收後使用面向本體結構的查詢語言如SPARQL等，完成在傳統關係型資料組織方式中難以實現的複雜推理，迅速獲取在當前場景中最適合自己使用的知識，完成後續響應動作。

4、結語

基於知識服務的網路空間安全戰略風險管理將知識工程、戰略風險研究與網路空間安全具體技術結合，能夠為解決網路空間風險控制和防禦實踐中新湧現的難點性問題提供有力支撐，是IT資訊科技過渡到DT資料科學的典型應用領域。在戰略風險資訊的獲取和共享，以及更高層次的分析、展現和決策輔助中，情報生態環境的建立和維繫十分重要。在支撐平臺及服務建設的基礎上，應完善圍繞平臺應用的戰略情報業務流程，常態化保障原始資料的來源、質量和實時性，提升知識利用的層次和效率，實現網路空間安全戰略資訊優勢的建立和保持。

作者簡介

陳劍鋒，博士，研究員，主要研究方向為網路安全、大資料、人工智慧；

楊例鋼，碩士，工程師，主要研究方向為網路安全、入侵檢測；

陳天瑩，博士，高階工程師，主要研究方向為大資料、網路安全。

基金專案：四川省科技廳重大專項（No.2017GZDZX0002）；四川省傑出青年基金（No.2019JDJQ0058）；四川省青年科技創新研究團隊（No.2020JDTD0034）

選自《通訊技術》2020年第12期（為便於排版，已省去原文參考文獻）