邬江兴院士：网络空间拟态防御原理简介（上）

作者简介

邬江兴：现任国家数字交换系统工程技术研究中心（NDSC）主任、博导，通信与信息系统、计算机与网络技术专家，中国工程院院士。曾先后担任“九五”、“十五”国家863计划通信技术主题专家组副组长，“十一五”国家863计划信息领域专家组副组长、国家移动通信重大专项（第3专项）论证委员会主任、国家下一代广播电视网络（NGB）专家委员会主任兼总工程师、国家三网融合专家组副组长等职务。1997年至2009年担任亚太经合组织（APEC）工商咨询理事会（ABAC）负责技术事务的中国代表，现任亚太经合组织（APEC）工商咨询理事会（ABAC）副主席。2016年起任中国网信军民融合促进会（筹）理事长， “十三五”国家重大科技专项工程——天地一体化网络专家组副组长。

编者按：网络空间拟态防御是邬江兴院士研究团队首创的主动防御理论，可为应对网络空间中不同领域相关应用层次上基于未知漏洞、后门、病毒或木马等未知威胁，提供具有普适创新意义的防御理论和方法。拟态防御为实现网络安全再平衡战略提供了全球可以依赖的理论和技术基础，是中国的创造，也是网络世界的福音。本刊将连续两期刊登邬院士对于网络空间拟态防御原理的介绍，请持续关注。

中国工程院院士、解放军信息工程大学教授邬江兴在“互联网之光”博览会介绍拟态防御原理（图片来源：大河网）

信息时代给我们带来生活和工作乐趣的同时，网络安全问题像幽灵一般成为挥之不去的梦魇。网络空间“易攻难守”的不平衡或不对称现状，使得少数组织甚至个人就能挑战整个网络世界的安全秩序。

习近平总书记《在网络安全和信息化工作座谈会上的讲话》中指出，“从世界范围看，网络安全威胁和风险日益突出，特别是国家关键信息基础设施面临较大风险隐患，难以有效应对国家级、有组织的高强度网络攻击。这对世界各国都是一个难题，我们当然也不例外”。

网络空间拟态防御将改变网络安全游戏规则（图片来源：大河网）

在经济技术全球化浪潮的推动下，世界各国都面临全球化带来的许多新挑战。2011年12月，美国国家科学技术委员会在《可信网络空间：联邦网空安全研发战略规划》中也指出：在经济全球化、产业技术国际化大趋势下，“网络空间任何信息系统只要在设计链、生产链以及供应链等环节存在可信度或安全风险不受控的情形，就无法从根本上消除信息系统或网络基础设施的安全漏洞”。这句话揭示了：在目前全球化大背景下，信息系统的安全漏洞问题非常严重，网络空间的安全形势非常严峻。

现有的各种信息装置和服务系统，从芯片、板卡、软硬件部件、信息系统乃至平台和网络，甚至密码装置，可以确保安全可信吗？这个问题恐怕再高明的密码或安全专家也没有办法回答。我们称这种现象叫信息装置和服务设施的安全之殇。如何才能在全球化环境下基于可信性不能确保的软硬件供应链，构建自主可控、安全可信的信息系统或设施，这是科技界和工业界无法再回避的技术挑战，也是国家安全必须直面的战略性问题。

1

网络空间最严重的安全威胁

01网络空间最严重的安全威胁之一——安全漏洞

网络空间最严重的安全威胁之一是安全漏洞。漏洞通常是指，在硬件、软件或协议等的具体实现或系统安全策略上存在的缺陷，从而可以使攻击者能够在未经授权下访问或破坏信息系统。据来自中国国家信息安全漏洞库的资料，2015年检测到的浏览器漏洞数比2014年增长37%，操作系统漏洞数增长73%。而令人担忧的问题是，未能检出的漏洞有多少？更为糟糕的是，人类现有的科技能力尚无法从理论和实践上彻底避免漏洞问题。漏洞是人类设计缺陷造成的，而设计缺陷又跟人的认知水平有关。上个世纪60年代末，美国科学家们发明Internet，那个时候的基本技术诉求只是想把各个孤立的计算机或网络互连起来为大家共享使用，最后却发展成了今天的全球互联网。当初创造Internet的是一帮正人君子，绝没想到后来网上会出现那么多的小人。

02网络空间最严重的安全威胁之二——软硬件后门

网络空间最严重的安全威胁之二是软硬件后门。通常是指留在软硬件系统中的恶意代码，为特殊使用者通过特殊方式绕过安全控制环节而获得系统访问权的方法与途径。仅就2014年中国互联网网络安全报告的数据来看，2014年中国境内被篡改网站数量较2013年增长53.8%。2014年我国境内4万多个网站被植入后门，其中政府网站就达1500多个。与漏洞同样的问题是，查不出的后门有多少？更为严峻的是，在供应链全球化时代下，“你中有我，我中有你”是必然趋势。因而，在相当时期内，后门将是无法杜绝的。

拟态安全作用域

03“棱镜门”事件及相关事件的启迪

“棱镜门”事件披露了大量的关于硬件后门的黑幕信息，严重打击了国际社会全球化的信心，给贸易自由化带来了长期的负面影响。即使在网络安全与信息技术最发达的美国，2017年国防授权法案中也提出了“如何保证来自全球化市场、商用等级、非可信源构件的可信性问题”。其实这个问题2005年美国人就提出了相关的国家研究计划，可是到2016年，十二年过去了，这个问题依然没有得到有效的解决。今天，美国国会继续在国防授权法里面要求为此拨款研究。一个典型的例子是，据美国一家著名战略咨询公司的报告称，如果不利用全球化市场和技术资源，据估算，F22战斗机所有零部件完全靠美国自主设计和加工生产，到2015年，单机价格很可能超过30亿美元，即使是最富有的美国人在技术和经济上也都是无法承受的。

04网络空间最严重的安全威胁之三——网络空间中存在巨大的未知数

网络空间最严重的安全威胁之三是网络空间中存在巨大的未知数。我们已知的漏洞和后门就如同浩瀚宇宙中的一点点尘埃，绝大多数漏洞后门仍然是未知的，在数学上根本给不出任何有意义的数据。其中的一个重要原因就是，迄今为止，人类尚未形成穷尽复杂信息系统漏洞和彻查后门的理论与方法。在“设计缺陷与不可信开放式供应链”条件下，无论从技术或经济上都不可能彻底保证网络空间（包括核心信息装备或关键信息基础设施）构成环境内“无毒无菌”的安全性要求。

05基于未知漏洞后门等的未知攻击

从网络防御者角度来看，基于未知漏洞或利用未知后门实施的未知攻击属于“未知的未知”安全威胁，也即不确定性威胁，这是网络安全领域最令人惶恐不安的威胁。因为我们永远无法知道攻击者在什么时候、用什么手段、经过何种途径进入目标对象，正在干什么，已经干了什么，未来可能干什么等一系列问题，更不知道从何处下手才能实施有针对性的防御。这是最具挑战性的安全问题，也是最使人抓狂的安全威胁，没有之一。一个说不清道不白的问题是，这些信息设备和安全防护装备自身安全吗？以加密机为例，加密部件本身是不是存在一些病毒或者木马呢？这是任何厂家都没有办法回答的问题。目前所知许多被破译的密码，其中被暴力破解的微乎其微，大部分是通过加密机本身的缺陷将密码破解。在安全领域，大家以后可能会经常见到一个名词叫“未见异常”，这个词以前可是医学检查报告里常见的。医学上对“未见异常”的指向性是非常明确的，这句话应该这么理解，不是你没有病，而是说我的水平没有检察出你有什么病症。现在网络安全领域的检查也开始用这个词了，“未见异常”，必须正确认识，否则会大错特错的。

06风险与不确定性问题的经济学区别

美国经济学家佛兰克·奈特对风险和不确定威胁有段富有哲学和数学意味的描述，大概的意思说，已知的未知属于风险，风险可以用概率来表述，而未知的未知属于不确定威胁，不确定性则是不知道概率的情形。

2

传统防御体系的脆弱性

01网络空间传统（主被动）防御体系

网络空间现有的防御体系，是基于威胁特征感知的精确防御。建立在“已知风险”甚至可以是“已知的未知风险”前提条件下，必须获得攻击来源、攻击特征、攻击途径、攻击行为、攻击机制等先验知识才能实施有效防御。更为严峻的是，网络空间信息系统架构和防御体系本质上说都是静态、相似和确定的，体系架构透明脆弱、又缺乏多样性，缺陷持续暴露易于攻击，从而成为网络空间最大的安全黑洞。这种“亡羊补牢式”的防御体系属于后天获得性免疫，一般是将加密认证技术作为底线防御手段。

02应对不确定威胁的体系脆弱性

传统防御体系应对不确定危险方面的体系脆弱性，其实是一种基因缺陷。大量未知的软硬件漏洞，预设的软硬件后门，以及同一处理空间共享资源运行机制等，都使得整个系统处在可信性不能确保的生态环境中。即使是自主设计的CPU、操作系统、数据库等，也无法确保没有设计漏洞，更没有办法完全避免使用开源软硬件代码而引入的后门或陷门问题。因此，才有我们时常听到的“自主决不等于可控，可控更不等于可信”的说法。传统防御体系的“软肋”是不能感知和认知不确定性危险，而作为底线防御的加密或认证手段，并不能确保不被基于未知漏洞后门的未知攻击旁路或者短路。也就是说，基于可信性不能确保的软硬件构件，想要建立起自主可控、安全可信的防御体系，没有创新的理论和技术，此路能通的可能性渺茫。

03传统防御体系基因缺陷

传统防御体系的基因缺陷体现在，无论从理论和实践上，都无法确保网络空间生态环境无漏洞无后门。这种基于威胁感知和特征提取的主被动防御体制，在机理上只有点防御功能而没有面防御功能，以一个功能不完备的防御体系应对不确定性威胁注定无解。因为无法保证复杂信息系统或网络空间生态环境“无漏洞无后门”或者“无毒无菌”，现有的安全防护只能期待“后天获得性免疫”。通过不断地亡羊，不停地补牢，不断地挖掘漏洞和发现后门，不停地打补丁，杀毒灭马，封门堵漏等被动的跟随博弈方式来自我完善。所以说“易攻难守”不对称现状是被动防御体系基因缺陷所致，因此被动防御对于不确定威胁如同数学上求解缺维方程组，理论上无确定解。所以说，网络安全严重失衡现状是传统安全防御理论和技术体系基因缺陷所致，也并非言过其实。

3

脊椎动物免疫机制的启示

破解目前网络空间安全困局，也许能从生物学的脊椎动物免疫机制获得灵感。

01生物免疫与内生安全——非特异性免疫

生物免疫是一种内生安全，叫非特异性免疫，就是不需要任何特征的免疫。这种与生俱来的能力是生物在漫长进化过程中获得的一种遗传特性。它有三个特点，即：

（1）机体对于入侵抗原物质的清除没有特异选择性；

（2）不受入侵抗原物质的影响，也不会因为强弱和次数有所增减，这部分的抵抗力与每天跑步、游泳、打球等锻炼没有关系，这是遗传特性；

（3）当抗原物质入侵机体以后，首先发挥作用的是非特异性免疫，而后产生特异性免疫。只有通过非特异性免疫发现抗原物质入侵，才能启动面防御进而去激发点防御，而不是直接拿点防御代替面防御，这种面防御是非特异性，不需要知道抗原的具体特征。

02生物免疫与内生安全——特异性免疫

与非特异性免疫相对应的是特异性免疫，这是后天获得性免疫，他具备以下四个特点：

（1）通常只针对一种抗原，需经后天（病愈或无症状）感染或人工预防接种（疫苗等）获得抵抗感染的能力。

（2）机体的二次应答只对再次进入的抗原，对于初次侵入抗原无感，不是先天的，一定是通过“吃一堑长一智”的方式完成的。

（3）个体特征存在质和量的差异，也即免疫力有高低的区别。

（4）到现在为止没有证据表明特异性免疫获得的信息能够遗传。

03生物免疫与内生安全的关系

从生物免疫的机理可以看到，非特异性免疫对于侵入机体的抗原是一律通杀，属于面防御，只有出现漏网之鱼的时候才触发特异性免疫；特异性免疫是在机体出生后，在非特异性免疫的基础上，通过抗原的反复刺激后建立的个体保护功能，属于点防御。类似的，除加密技术外，现有网络空间的防御技术都属于点防御性质。

生物学的免疫能力，是内生安全机制的完美结合，先天的非特异性免疫负责面防御，后天的特异性免疫负责点防御，即：“点面结合、融合式防御，与生俱来”。但是生物学界也有一个不解之惑，即：非特异性免疫，究竟是用何种“敌我识别”机制做到既能“通杀任何已知或未知的入侵抗原”又不至于“误伤自己”；为什么特异性免疫获得的信息不反馈给非特异性免疫，以实现“不断增强的遗传特质”？

“互联网之光”拟态防御展台（图片来源：大河网）

04生物免疫与内生安全的几点启示

（1）网络空间因为缺乏基于“内生安全”的“面防御”功能，所以到处“跑冒滴漏”，防不胜防。

（2）如何才能在缺乏先验知识的条件下防御已知安全风险或未知安全威胁，即网络空间要具有非特异性免疫功能。

（3）网络空间如何才能实现基于内生安全的点面融合式防御。看来，生物界的自然防御机制远比人造的网络空间要完美的多。因此，网络空间防御之道需要从生物学获得解决问题的灵感。

4

一个重要公理的物理实现

01“相对正确”或“小概率事件”公理

这个公理的内涵是“人人都存在这样或那样的缺点，但极少出现独立完成同样任务时，多数人在同一个地方、同一时间、犯完全一样错误的情形”。这个公理成立的前提条件首先是给定功能或性能等价，即人人都具有独立完成这个任务的功能性能；其次人人都不完全相同，包括不同的优点和缺点。这个公理有三个核心要素，即：异构、冗余和多数性。

这个公理说明在缺乏对错标准的情况下，多数人的意见具有相对高的置信度。尽管，多数人意见也不总是正确的（因为真理也有时掌握在少数人手里）。但是，在缺乏对错标准的情况下，靠相对性作出判断是合适的。不过相对性也存在一个小概率事件――多数人也会同时在同一地方犯同样的错误。

02可靠性领域的应用

在可靠性设计领域就经常应用此公理的物理表达来解决不确定性故障的挑战。一个复杂系统的不确定性故障挑战是指，系统的构件物理性失效导致的随机故障、软硬构件设计缺陷导致的随机故障以及何时、何处发生何种形式的故障。挑战的场景就是如何提高不确定性失效条件下的系统可靠性。可以利用的条件是，系统各种零部件出现物理性随机失效是小概率事件；零部件设计缺陷导致的随机性故障也是小概率事件。用相对正确公理的物理表达来解决不确定性故障的问题，就是要将随机性的不确定性故障，通过这种表达机制转变成一个概率可控的事件。

03异构冗余表决构造

异构冗余表决机制可以看作是上述公理的物理表达。在这个机制下，同一个输入激励，被送到多个功能等价异构冗余执行体中处理，通过多模表决形成输出响应。由于功能等价异构冗余执行体的处理空间和实现算法不同，多数相同导致正确结果是大概率事件，多数相同导致错误结果是小概率事件。因此，无论是物理性随机失效还是设计缺陷导致的随机故障，经过异构冗余表决后，“相对正确”物理机制都可以把不确定故障转化为概率可控事件。