搜索

[15907] 2020-09-29_美国爱因斯坦计划跟踪与解读（2020）

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-09-29_美国爱因斯坦计划跟踪与解读（2020） 美 国 爱 因 斯 坦 计 划 跟 踪 与 解 读 （ 2 0 2 0 ） a l e x 0 o   F r e e B u f   2 0 2 0 - 0 9 - 2 9 本 文 在 2 0 1 9 年 版 本 的 基 础 上 进 行 了 较 大 幅 度 修 订 ， 重 点 是 全 面 更 新 了 爱 因 斯 坦 计 划 的 相 关 数 据 和 2 0 2 0 年 以 来 的 最 新 进 展 （ 包 括 第 2 、 3 、 4 、 6 章 ） 。 此 外 ， 第 7 章 增 加 了 对 运 营 模 式 的 分 析 。 一 、 项 目 概 述 一 、 项 目 概 述 爱 因 斯 坦 计 划 ， 其 正 式 名 称 为 “ 国 家 网 络 空 间 安 全 保 护 系 统 ” （ N a t i o n a l   C y b e r s e c u r i t y   P r o t e c t i o n   S y s t e m ， 简 称 N C P S ） ， 是 美 国 “ 全 面 国 家 网 络 空 间 安 全 行 动 计 划 ” （ C o m p r e h e n s i v e   N a t i o n a l C y b e r s e c u r i t y   I n i t i a t i v e ， 简 称 C N C I ） 的 关 键 组 成 部 分 。 N C P S 以 D F I 、 D P I 和 D C I 技 术 为 抓 手 ， 以 大 数 据 技 术 为 依 托 ， 以 威 胁 情 报 为 核 心 ， 实 现 对 美 国 联 邦 政 府 互 联 网 出 口 网 络 威 胁 的 持 续 监 测 、 预 警 与 响 应 ， 以 提 升 联 邦 政 府 网 络 的 态 势 感 知 能 力 和 可 生 存 性 。 N C P S 由 美 国 国 土 安 全 部 （ D H S ） 负 责 设 计 、 运 行 和 协 调 ， 大 体 上 分 为 三 个 阶 段 。 借 助 N C P S ， 美 国 联 邦 政 府 为 其 互 联 网 侧 态 势 感 知 构 建 起 了 四 大 能 力 ： 入 侵 检 测 、 入 侵 防 御 、 安 全 分 析 和 信 息 共 享 。 1 . 1         入 侵 检 测 入 侵 检 测 N C P S 的 入 侵 检 测 能 力 包 括 爱 因 斯 坦 1 （ 简 称 E 1 ） 探 针 中 基 于 F l o w 的 检 测 能 力 、 爱 因 斯 坦 2 （ 简 称 E 2 ） 和 爱 因 斯 坦 3 A （ 简 称 E 3 A ） 探 针 中 基 于 特 征 的 检 测 能 力 ， 以 及 2 0 1 5 年 启 动 的 在 E 1 、 E 2 和 E 3 A 中 基 于 机 器 学 习 的 行 为 检 测 能 力 （ 代 号 L R A ） 。 N C P S 的 检 测 能 力 不 追 求 检 测 所 有 攻 击 和 入 侵 ， 而 重 点 关 注 A P T 类 高 级 威 胁 ， 因 而 其 检 测 特 征 库 并 不 大 ， 但 很 有 针 对 性 ， 并 由 美 国 国 防 部 / 国 安 局 （ D O D / N S A ） 提 供 部 分 特 征 信 息 。 1 . 2         入 侵 防 御 入 侵 防 御 N C P S 的 入 侵 防 御 能 力 是 从 爱 因 斯 坦 3 A （ 简 称 E 3 A ） 阶 段 开 始 的 。 N C P S 的 入 侵 防 御 也 不 是 一 般 意 义 上 的 入 侵 防 御 系 统 （ I P S ） ， 其 功 能 设 计 更 加 聚 焦 ， 更 有 针 对 性 ， 并 且 是 由 N S A 协 助 （ 主 导 ） 设 计 的 ， 主 要 包 括 4 种 能 力 ： 恶 意 流 量 阻 断 ： 自 动 地 对 进 出 联 邦 政 府 机 构 的 恶 意 流 量 进 行 阻 断 。 这 是 依 靠 I S P 来 实 现 的 。 I S P 部 署 了 入 侵 防 御 和 基 于 威 胁 的 决 策 判 定 机 制 ， 并 使 用 D H S 开 发 的 恶 意 网 络 行 为 指 标 （ I n d i c a t o r ） 来 进 行 恶 意 行 为 识 别 。 D N S 阻 断 ： 也 就 是 D N S   S i n k h o l e 技 术 ， 用 于 阻 止 已 经 被 植 入 政 府 网 络 的 恶 意 代 码 与 外 部 的 恶 意 域 名 之 间 的 通 讯 。 电 子 邮 件 过 滤 ： 对 所 有 发 给 政 府 网 络 用 户 的 邮 件 进 行 扫 描 ， 识 别 含 有 恶 意 代 码 的 附 件 、 恶 意 U R L 等 ， 并 将 其 过 滤 掉 。 W e b 内 容 过 滤 （ W C F ） ： 这 是 2 0 1 6 年 加 入 到 E 3 A 入 侵 防 御 中 的 能 力 ， 可 以 阻 断 可 疑 的 w e b 网 站 访 问 、 阻 止 w e b 网 站 中 恶 意 代 码 的 执 行 ， 阻 断 w e b 钓 鱼 。 值 得 一 提 的 是 ， N S A 在 协 助 D H S 设 计 E 3 A 入 侵 防 御 系 统 的 时 候 ， 将 他 们 的 T u t e l a g e 项 目 移 植 了 过 去 ， 超 越 了 一 般 意 义 上 主 动 防 御 的 层 次 ， 具 有 很 强 的 对 抗 性 。 1 . 3         安 全 分 析 安 全 分 析 如 果 说 入 侵 检 测 和 入 侵 防 御 构 成 了 N C P S 的 前 端 系 统 ， 那 么 N C P S 的 后 端 核 心 就 是 构 建 在 大 数 据 之 上 的 安 全 分 析 能 力 ， 而 这 个 分 析 结 果 的 输 出 就 是 网 络 安 全 威 胁 态 势 。 N C P S 的 分 析 能 力 主 要 包 括 ： 安 全 信 息 与 事 件 管 理 （ S I E M ） 、 数 字 媒 体 分 析 环 境 （ D i g i t a l   M e d i a   A n a l y s i s   E n v i r o n m e n t ） 、 高 级 恶 意 代 码 分 析 中 心 （ A M A C ） 、 各 种 分 析 工 具 可 视 化 工 具 ， 等 等 。 1 . 4         信 息 共 享 信 息 共 享 用 时 髦 的 话 来 说 ， 信 息 共 享 就 是 情 报 共 享 ， 这 是 N C P S 的 核 心 能 力 。 借 助 该 能 力 ， D H S 构 建 起 一 个 信 息 共 享 与 协 作 环 境 （ I S C E ） ， 使 得 其 下 属 国 家 网 络 空 间 安 全 和 通 信 集 成 中 心 （ N a t i o n a l C y b e r s e c u r i t y   a n d   C o m m u n i c a t i o n s   I n t e g r a t i o n   C e n t e r ， 简 称 N C C I C ） 的 安 全 分 析 师 能 够 按 照 不 同 的 密 级 与 他 们 的 合 作 伙 伴 快 速 交 换 网 络 威 胁 和 网 络 事 件 信 息 ， 通 过 合 作 与 协 同 以 降 低 事 件 响 应 时 间 ， 通 过 自 动 化 信 息 分 享 与 披 露 以 提 升 工 作 效 率 。 N C P S 的 信 息 共 享 能 力 主 要 包 括 ： 自 动 指 标 共 享 （ A I S ） 、 指 标 管 理 平 台 （ I M P ） 、 统 一 工 作 流 、 跨 域 解 决 方 案 （ C D S ） ， 等 等 。 二 、 项 目 走 势 二 、 项 目 走 势 如 下 所 示 ， 是 笔 者 自 己 根 据 D H S 历 年 的 预 算 报 告 自 行 编 制 的 2 0 0 8 财 年 到 2 0 2 1 财 年 N C P S 预 算 走 势 图 ， 采 用 的 数 据 可 能 与 实 际 有 差 异 ， 均 为 概 数 。
透 过 上 图 ， 可 以 发 现 美 国 政 府 对 爱 因 斯 坦 项 目 的 投 入 总 体 上 呈 现 逐 年 上 升 的 态 势 ， 只 是 在 最 近 4 年 有 所 下 降 ， 但 仍 维 持 在 高 位 。 进 一 步 观 察 ， 笔 者 还 隐 约 感 觉 到 项 目 投 资 可 能 有 大 小 年 之 分 。 此 外 ， 不 少 人 以 为 美 国 政 府 因 为 其 效 果 不 佳 （ G A O 评 价 ） 而 将 其 打 入 冷 宫 ， 事 实 证 明 并 非 如 此 。 根 据 D H S 官 方 的 数 据 ， 截 至 2 0 1 8 年 财 年 （ 含 ） ， N C P S 的 资 金 投 入 累 计 已 经 达 到 了 3 2 . 1 9 亿 美 元 。 同 期 的 N C P S 全 职 工 作 人 员 预 算 编 制 数 量 走 势 如 下 图 所 示 ： 可 以 发 现 ， N C P S 的 专 职 管 理 人 员 的 数 量 也 是 稳 步 增 长 。 三 、 最 新 进 展 三 、 最 新 进 展 根 据 2 0 2 0 年 5 月 底 O M B 发 布 的 提 交 给 国 会 的 2 0 1 9 财 年 的 F I S M A 报 告 ， 当 前 爱 因 斯 坦 项 目 总 体 上 处 于 E 3 A 阶 段 。 截 至 2 0 1 9 年 9 月 3 0 日 ， 在 1 0 4 个 联 邦 民 事 机 构 中 ， 有 7 6 个 （ 2 0 1 8 财 年 是 7 0 个 ） 已 经 完 全 实 现 了 三 阶 段 N C P S 能 力 ， 包 括 列 入 C F O 法 案 的 所 有 2 3 个 机 构 。 如 上 图 所 示 ， 仍 有 2 8 个 机 构 尚 未 实 现 E 1 和 E 2 ， 还 有 4 个 机 构 在 实 施 E 3 A 的 过 程 中 遇 到 阻 碍 。 四 、 四 、 2 0 2 1 财 年 项 目 预 算 与 计 划 分 析 财 年 项 目 预 算 与 计 划 分 析 下 面 是 D H S 在 2 0 2 1 财 年 预 算 中 提 供 的 针 对 N C P S 投 资 的 表 格 。 据 此 我 们 可 以 发 现 ， 在 2 0 1 8 财 年 （ 含 ） 之 前 的 总 投 资 达 到 了 3 2 . 1 9 亿 美 元 ， 2 0 1 9 财 年 的 投 资 是 3 . 9 2 亿 美 元 ， 2 0 2 0 财 年 的 投 资 是 4 . 6 6 亿 美 元 ， 而 2 0 2 1 财 年 的 投 资 预 算 是 财 年 的 投 资 预 算 是 3 . 7 亿 美 元 亿 美 元 ， 最 近 三 年 投 资 额 都 保 持 在 高 位 。
N C P S 项 目 的 预 算 总 体 上 包 括 两 部 分 ： 运 行 维 护 （ O & S ） 、 采 购 建 设 与 提 升 （ P C & I ） 。 从 上 表 可 以 发 现 ， 运 维 投 资 都 要 远 高 于 采 购 建 设 投 资 ， 两 部 分 的 比 例 在 2 0 1 9 年 是 3 : 1 ， 2 0 2 0 财 年 降 到 了 2 : 1 ， 2 0 2 1 财 年 回 到 了 3 : 1 。 此 外 ， 如 果 翻 看 2 0 2 0 财 年 发 布 的 预 算 ， 可 以 看 到 当 时 计 划 2 0 2 0 财 年 的 N C P S 预 算 比 例 也 是 3 : 1 ， 只 是 后 来 采 购 建 设 实 际 花 费 多 出 了 6 0 0 0 万 美 元 。 在 2 0 1 7 财 年 （ 含 ） 以 前 ， N C P S 的 预 算 则 主 要 是 采 购 建 设 与 提 升 ， 运 维 部 分 的 预 算 比 例 较 低 ， 2 0 1 7 财 年 （ 含 ） 之 前 的 运 维 总 预 算 还 不 及 2 0 1 8 ~ 2 0 2 0 三 年 的 运 维 预 算 之 和 多 。 这 也 说 明 ， 近 些 年 开 始 ， N C P S 项 目 主 要 是 运 维 ， 采 购 实 施 和 升 级 工 作 逐 步 减 少 。 4 . 1         运 维 预 算 分 析 运 维 预 算 分 析 以 下 针 对 2 0 2 1 财 年 的 运 维 （ O p e r a t i o n s   a n d   S u p p o r t ） 预 算 进 行 分 析 。 在 2 . 7 9 亿 运 维 预 算 中 ， 有 2 . 4 7 亿 是 非 支 付 性 成 本 （ N o n   P a y   B u d g e t ， 都 计 入 “ 咨 询 与 协 助 服 务 ” 科 目 ） ； 人 员 成 本 （ 支 付 性 成 本 ） 是 3 2 0 0 万 美 元 ， 共 计 1 5 1 人 ， 人 均 成 本 较 2 0 2 0 财 年 有 所 提 升 ， 达 到 2 1 万 美 元 每 人 年 。 此 外 ， 根 据 笔 者 的 估 计 ， 非 支 付 性 成 本 应 该 包 括 了 D O D 对 N C P S 的 各 种 帮 助 ， 以 及 大 量 的 运 维 外 包 服 务 。 很 显 然 ， 全 国 性 的 这 么 一 个 大 系 统 ， 仅 靠 预 算 编 制 内 的 1 5 1 人 是 不 可 能 运 维 的 起 来 的 。 4 . 2         采 购 实 施 与 提 升 预 算 分 析 采 购 实 施 与 提 升 预 算 分 析 进 一 步 分 析 2 0 2 1 财 年 采 购 建 设 和 提 升 （ P r o c u r e m e n t ,   C o n s t r u c t i o n   a n d   I m p r o v e m e n t s ） 的 预 算 （ 0 . 9 1 亿 美 元 ） 的 构 成 ， 如 下 表 ， 包 括 6 个 部 分 ： 开 发 与 工 程 、 入 侵 检 测 、 入 侵 防 御 、 分 析 、 信 息 共 享 、 联 邦 D N S 解 析 。 这 里 ， 入 侵 检 测 和 入 侵 防 御 就 是 爱 因 斯 坦 的 前 端 ， 相 当 于 探 针 和 传 感 器 ； 分 析 就 是 爱 因 斯 坦 的 后 端 ， 相 当 于 一 个 基 于 大 数 据 分 析 技 术 的 S O C 平 台 ； 而 信 息 共 享 就 是 爱 因 斯 坦 的 威 胁 情 报 平 台 （ T I P ） ； 开 发 与 工 程 包 括 需 求 收 集 、 工 程 方 案 、 能 力 测 试 、 绩 效 评 估 等 。 联 邦 D N S 解 析 服 务 是 2 0 2 0 财 年 的 一 项 附 加 工 作 ， 旨 在 为 联 邦 国 内 机 构 提 供 统 一 的 D N S 解 析 服 务 ， 以 阻 断 借 助 D N S 的 威 胁 ， 在 2 0 2 0 财 年 规 划 的 是 4 4 0 万 美 元 ， 结 果 做 成 了 6 0 0 0 万 美 元 的 大 项 目 ， 导 致 N C P S 全 年 的 建 设 采 购 实 际 花 费 多 出 了 6 0 0 0 万 美 元 ！ 下 图 是 2 0 2 0 财 年 的 N C P S 采 购 建 设 预 算 表 ： 进 一 步 对 比 2 0 2 0 财 年 的 开 销 和 2 0 2 1 年 的 预 算 ， 还 可 以 发 现 ， 除 掉 D N S 解 析 服 务 的 那 6 0 0 0 万 美 元 ， 信 息 共 享 和 入 侵 防 御 的 投 入 都 有 较 明 显 地 减 少 。 此 外 ， 虽 然 D N S 解 析 投 资 都 在 2 0 2 0 财 年 完 成 了 ， 2 0 2 1 财 年 还 要 继 续 深 化 D N S 防 御 的 服 务 能 力 ， 包 括 通 过 动 态 规 则 ， 以 及 来 自 政 府 的 和 商 业 的 威 胁 情 报 来 阻 断 D N S 威 胁 。 4 . 3         主 要 合 同 分 析 主 要 合 同 分 析 如 下 所 示 ： 上 表 显 示 了 近 几 年 来 N C P S 主 要 的 采 购 合 同 ， 可 以 看 到 最 大 的 供 应 商 （ 集 成 商 ） 是 雷 神 公 司 ， 其 三 个 合 同 的 总 值 达 到 了 5 年 9 . 7 6 亿 美 元 ， 其 中 2 0 1 9 年 最 新 签 署 了 一 份 高 达 3 . 5 2 亿 美 元 的 合 同 。 并 且 ， 美 国 政 府 的 合 同 通 常 都 不 是 一 年 一 签 的 ， 而 是 一 签 都 是 3 年 、 5 年 的 长 期 合 同 ， 更 符 合 建 设 （ 含 开 发 ） 工 作 的 实 际 ， 但 也 对 项 目 管 理 提 出 了 更 高 要 求 。 当 然 ， 这 种 方 式 也 需 要 政 府 的 预 算 管 理 机 制 提 供 相 应 的 支 撑 。 4 . 4         项 目 计 划 项 目 计 划 2 0 2 1 财 年 N C P S 的 主 要 计 划 和 里 程 碑 事 件 包 括 ： 入 侵 检 测 与 防 御 入 侵 检 测 与 防 御 继 续 扩 大 从 部 委 的 云 服 务 提 供 商 处 抓 取 安 全 事 件 信 息 与 网 络 遥 测 数 据 的 工 作 ； 提 高 商 业 云 能 力 支 撑 N C P S 入 侵 检 测 与 防 御 能 力 的 利 用 率 ， 以 提 升 C I S A 为 满 足 任 务 所 需 的 基 础 设 施 、 工 具 和 能 力 的 可 伸 缩 性 、 可 用 性 和 可 靠 性 【 笔 者 注 ： N C P S 正 在 积 极 拥 抱 云 】 ； 其 中 包 括 降 低 D H S 数 据 中 心 的 基 础 设 施 投 资 成 本 完 成 将 现 有 I P S S （ 入 侵 防 御 安 全 服 务 ） 迁 移 到 2 0 2 0 财 年 授 予 的 总 务 局 （ G S A ） E I S 合 同 的 工 作 ； 分 析 分 析 继 续 增 强 重 构 的 A M A C （ 高 级 恶 意 代 码 分 析 中 心 ） ， 提 升 C I S A 分 析 师 的 多 方 面 能 力 ， 包 括 接 收 信 息 、 执 行 分 析 、 共 享 信 息 的 能 力 ， 以 及 对 在 事 件 响 应 时 获 得 的 恶 意 代 码 样 本 和 从 公 私 合 作 伙 伴 处 获 得 的 恶 意 代 码 样 本 进 行 逆 向 的 能 力 。 数 据 科 学 家 将 继 续 与 C I S A 网 络 分 析 师 合 作 ， 不 断 开 发 和 优 化 分 析 能 力 ， 提 高 基 于 行 为 特 征 的 恶 意 流 量 检 测 模 型 的 能 力 ， 提 升 基 于 置 信 度 评 分 的 潜 在 入 侵 告 警 能 力 ； 增 强 分 析 框 架 的 能 力 ， 使 得 C I S A 分 析 师 能 够 实 现 跨 N C P S 数 据 集 的 信 息 查 询 和 分 析 ； 继 续 增 强 分 析 工 具 和 过 程 以 进 一 步 提 升 网 络 威 胁 分 析 的 自 动 化 水 平 ； 提 高 商 业 云 能 力 支 撑 N C P S 分 析 能 力 的 利 用 率 ， 以 提 升 C I S A 为 满 足 任 务 所 需 的 基 础 设 施 、 工 具 和 能 力 的 可 伸 缩 性 、 可 用 性 和 可 靠 性 ； 信 息 共 享 信 息 共 享 继 续 增 强 统 一 工 作 流 （ U n i f i e d   W o r k f l o w ） 能 力 ， 为 C S D （ 网 络 安 全 部 ） 【 笔 者 注 ：
网 络 安 全 部 是 C I S A 下 面 主 管 网 络 安 全 ， 使 用 N C P S 系 统 的 部 门 】 下 各 个 独 立 的 业 务 和 任 务 支 撑 应 用 提 供 一 个 单 一 的 工 作 流 自 动 化 平 台 ， 并 将 他 们 统 一 到 一 个 统 一 视 图 中 去 ， 从 而 提 升 C S D 跟 踪 、 协 调 和 报 告 安 全 事 件 的 能 力 ； 提 高 商 业 云 能 力 支 撑 N C P S 信 息 共 享 能 力 的 利 用 率 ， 以 提 升 C I S A 为 满 足 任 务 所 需 的 基 础 设 施 、 工 具 和 能 力 的 可 伸 缩 性 、 可 用 性 和 可 靠 性 ； 扩 展 C D S （ 跨 域 解 决 方 案 ） 的 采 用 ， 以 支 撑 从 低 安 全 级 别 网 络 向 高 安 全 级 别 网 络 传 输 数 据 。 五 、 重 点 技 术 介 绍 五 、 重 点 技 术 介 绍 5 . 1         L R A L R A 的 全 名 是 “ 逻 辑 响 应 孔 径 ” （ L o g i c a l   R e s p o n s e   A p e r t u r e ） ， 是 D H S 开 展 的 一 项 旨 在 提 升 安 全 分 析 与 响 应 自 动 化 的 项 目 的 内 部 代 号 。 L R A 能 够 借 助 智 能 化 的 安 全 分 析 技 术 ， 在 没 有 签 名 和 特 征 的 情 况 下 识 别 攻 击 。 下 图 展 示 了 L R A 的 基 本 工 作 流 程 。 在 联 邦 部 委 机 构 （ D / A ） 和 互 联 网 （ I n t e r n e t ） 之 间 有 一 套 部 署 在 互 联 网 服 务 提 供 商 （ I S P ） 处 的 “ N E S T ” 设 施 。 N E S T 会 利 用 T A P 将 进 出 联 邦 机 构 的 的 互 联 网 流 量 按 需 送 给 L R A 。 L R A 的 流 量 引 擎 利 用 Z e e k 做 协 议 解 析 ， 并 将 解 析 后 的 流 量 日 志 （ 流 量 元 数 据 ） 连 同 原 始 的 p c a p 包 存 储 到 大 数 据 存 储 系 统 中 （ 默 认 存 储 9 0 天 ） 。 存 储 的 数 据 内 容 包 括 ： D N S 查 询 的 域 名 和 响 应 的 I P 地 址 、 域 名 - I P 地 址 对 的 T T L 、 电 子 邮 件 附 件 中 的 可 执 行 文 件 、 h t t p 请 求 的 u s e r   a g e n t 信 息 ， 等 等 。 基 于 机 器 学 习 和 统 计 分 析 算 法 的 分 析 引 擎 、 恶 意 代 码 检 测 装 置 ， 及 其 它 自 动 化 工 具 会 从 大 数 据 存 储 中 读 取 这 些 数 据 ， 并 结 合 通 过 其 它 方 式 获 得 的 各 种 情 境 数 据 （ 譬 如 域 名 和 可 执 行 文 件 的 黑 白 名 单 ， G e o I P 等 ） 进 行 复 合 安 全 分 析 ， 生 成 恶 意 流 量 的 潜 在 指 标 ， 并 存 入 潜 在 指 标 库 中 。 分 析 师 通 过 交 互 性 U I 检 查 潜 在 指 标 库 中 的 指 标 ， 对 其 进 行 研 判 和 标 注 ， 一 方 面 获 得 有 效 的 指 标 ， 另 一 方 面 为 机 器 学 习 算 法 提 供 改 进 。 5 . 2         T u t e l a g e T u t e l a g e （ 现 已 改 名 ， 具 体 不 详 ） 作 为 N S A 号 称 2 1 世 纪 执 行 信 号 情 报 （ S I G I N T ） 任 务 的 核 心 系 统 的 T u r b u l e n c e 项 目 中 的 一 个 子 系 统 ， 承 担 主 动 防 御 的 任 务 。 作 为 N C P S 的 重 要 咨 询 方 和 协 作 方 ， N S A 将 T u t e l a g e 移 植 给 了 E 3 A 。 作 为 N C P S 中 涉 密 的 部 分 ， 我 们 无 从 知 晓 E 3 A 的 入 侵 防 御 系 统 设 计 有 何 玄 机 。 幸 运 的 是 ， 斯 诺 登 泄 密 事 件 给 了 我 们 一 窥 T u t e l a g e 的 机 会 ， 我 们 可 以 自 行 脑 补 E 3 A 可 能 的 设 计 。 如 下 图 所 示 ， 展 示 了 T u t e l a g e 项 目 在 检 测 到 恶 意 流 量 和 攻 击 后 可 以 采 取 的 遏 制 / 反 制 措 施 ， 十 分 丰 富 。 可 以 肯 定 的 是 ， E 3 A 的 入 侵 防 御 系 统 绝 非 我 们 一 般 意 义 上 的 I P S 。 5 . 3         W C F W C F 的 全 名 是 W E B 内 容 过 滤 （ W E B   C o n t e n t   F i l t e r i n g ） , 是 2 0 1 6 年 前 后 追 加 到 E 3 A 中 的 一 个 新 防 御 能 力 （ 最 初 的 E 3 A 入 侵 防 御 能 力 包 括 D N S   s i n k h o l i n g 和 e m a i l 过 滤 ） ， 重 点 阻 断 可 疑 的 w e b 网 站 访 问 、 阻 止 w e b 网 站 中 恶 意 代 码 的 执 行 ， 阻 断 w e b 钓 鱼 。 W C F 具 有 四 个 功 能 ： w e b 流 量 检 测 与 阻 断 、 S S L 解 密 、 恶 意 代 码 检 测 、 高 级 分 析 。 1 .   W C F 会 对 可 疑 的 w e b 流 量 按 照 U R L / U R I 进 行 分 类 ， 允 许 系 统 管 理 员 允 许 或 者 拒 绝 某 类 w e b 访 问 。 W C F 会 根 据 高 可 信 网 络 威 胁 指 标 和 商 业 的 签 名 指 标 来 进 行 研 判 并 决 定 是 告 警 还 是 阻 断 ， 抑 或 其 它 遏 制 操 作 。 W C F 的 技 术 原 理 就 是 一 个 W E B 代 理 ， 由 它 来 进 行 检 测 ， 并 执 行 重 定 向 、 阻 断 或 者 告 警 操 作 。 2 .   W C F 支 持 对 S S L   w e b 流 量 解 密 ， 分 析 解 密 后 的 流 量 数 据 。 3 .   W C F 内 置 恶 意 代 码 检 测 功 能 ， 使 用 政 府 提 供 的 网 络 威 胁 指 标 来 检 测 恶 意 活 动 。 4 .   W C F 包 括 高 级 分 析 功 能 。 这 里 的 高 级 分 析 是 指 基 于 行 为 的 异 常 分 析 ， 也 即 L R A 。 5 . 4         A I S 说 到 N C P S 项 目 ， 而 不 提 及 威 胁 情 报 ， 那 么 一 定 是 对 N C P S 不 甚 了 解 ， 或 者 仅 仅 停 留 在 爱 因 斯 坦 计 划 早 期 的 认 知 水 平 上 。 必 须 强 调 ， 威 胁 情 报 ， 或 者 说 信 息 共 享 是 N C P S 的 核 心 能 力 之 一 ， 所 有 检
测 、 分 析 的 能 力 最 后 都 是 为 了 能 够 在 D H S 和 其 伙 伴 间 实 现 高 效 的 情 报 共 享 和 协 同 联 动 。 美 国 政 府 实 施 N C P S 的 一 个 终 极 目 标 就 是 自 动 化 地 检 测 威 胁 、 共 享 情 报 和 处 置 攻 击 。 这 跟 我 们 近 些 年 谈 及 从 美 国 传 过 来 的 T I P 、 S O A R 等 理 念 是 一 致 的 。 A I S 全 名 是 自 动 指 标 共 享 （ A u t o m a t e d   I n d i c a t o r   S h a r i n g ） ， 其 目 标 就 是 在 网 络 防 御 行 动 中 以 机 器 速 度 （ M a c h i n e - p e e d ） 快 速 广 泛 地 共 享 机 读 （ M a c h i n e - r e a d a b l e ） 网 络 威 胁 指 标 和 防 御 措 施 。 A I S 要 能 够 自 动 处 理 海 量 高 速 的 共 享 指 标 ， 而 这 是 人 工 操 作 无 法 达 成 的 。 下 图 展 示 了 A I S 的 工 作 原 理 。 首 先 ， 各 个 A I S 的 参 与 机 构 （ 上 图 右 侧 灰 色 部 分 ， 包 括 各 级 地 方 政 府 、 私 营 伙 伴 、 联 邦 机 构 、 I S A C 和 I S A O ） 通 过 T A X I I 协 议 将 S T I X 格 式 的 威 胁 情 报 信 息 送 给 D H S 的 T A X I I 服 务 器 （ 上 图 中 间 黄 色 部 分 ） 。 接 着 ， 所 有 提 交 的 情 报 信 息 都 会 经 过 一 个 自 动 化 的 “ 数 据 增 强 过 程 ” ， 进 行 信 息 修 订 、 匿 名 化 处 理 、 隐 私 评 估 、 数 据 增 强 。 此 外 ， D H S 也 会 接 收 商 业 的 情 报 信 息 源 信 息 （ 上 图 上 方 绿 色 部 分 ） ， 并 统 一 进 行 数 据 增 强 。 然 后 ， D H S 的 分 析 师 会 对 增 强 后 的 数 据 进 行 核 验 【 笔 者 注 ： 人 工 操 作 还 是 不 可 缺 少 ， 不 可 能 完 全 自 动 化 】 ， 并 最 终 进 行 发 布 。 发 布 的 途 径 包 括 放 到 T A X I I 服 务 器 上 供 各 参 与 方 获 取 ， 或 者 可 以 供 其 它 第 三 方 订 阅 （ 上 图 上 方 蓝 灰 色 部 分 ） 。 截 至 2 0 1 8 年 底 ， 已 经 有 3 3 个 联 邦 机 构 ， 2 1 5 家 非 联 邦 政 府 实 体 （ 其 中 包 括 1 8 家 可 以 对 共 享 信 息 进 行 再 分 发 的 I S A C 、 I S A O 和 1 1 家 商 业 服 务 提 供 商 ） 参 与 其 中 。 六 、 关 键 考 核 指 标 六 、 关 键 考 核 指 标 根 据 D H S 发 布 的 《 2 0 1 9 ~ 2 0 2 1 财 年 年 度 绩 效 报 告 》 ， 在 2 0 1 9 ~ 2 0 2 1 财 年 设 定 了 几 个 跟 爱 因 斯 坦 相 关 的 K P I 。 1 ） 从 最 早 检 测 到 潜 在 的 恶 意 活 动 就 将 其 通 知 给 相 应 机 构 的 平 均 时 长 从 最 早 检 测 到 潜 在 的 恶 意 活 动 就 将 其 通 知 给 相 应 机 构 的 平 均 时 长 。 这 个 指 标 可 以 简 单 地 理 解 为 N C P S 发 现 攻 击 后 通 知 到 受 害 部 委 的 平 均 时 长 ， 如 下 图 所 示 ： 不 幸 的 是 ， 由 于 难 以 获 得 这 个 数 据 ， 该 指 标 从 2 0 2 0 财 年 开 始 被 废 弃 。 根 据 D H S 的 计 划 ， 该 指 标 将 为 替 换 为 ： 在 指 定 时 间 范 围 内 向 受 影 响 的 部 委 发 出 潜 在 恶 意 网 络 行 为 的 通 知 的 比 重 在 指 定 时 间 范 围 内 向 受 影 响 的 部 委 发 出 潜 在 恶 意 网 络 行 为 的 通 知 的 比 重 。 2 0 2 1 财 年 和 2 0 2 2 财 年 的 达 标 比 重 是 7 5 % ， 即 要 求 有 7 5 % 的 部 委 能 够 在 期 望 时 间 内 收 到 遭 受 攻 击 的 通 知 。 至 于 这 个 期 望 值 ， 2 0 2 0 财 年 是 1 8 小 时 ， 2 0 2 1 财 年 则 是 1 2 小 时 。 这 个 指 标 跟 之 前 指 标 目 的 是 相 同 的 ， 但 可 操 作 性 提 升 了 。 2 ） 爱 因 斯 坦 检 测 与 防 御 系 统 检 测 到 的 或 者 阻 断 的 可 以 溯 源 到 国 家 级 别 的 安 全 事 件 比 重 ， 爱 因 斯 坦 检 测 与 防 御 系 统 检 测 到 的 或 者 阻 断 的 可 以 溯 源 到 国 家 级 别 的 安 全 事 件 比 重 ， 如 下 图 所 示 ： 从 2 0 1 9 财 年 来 看 ， 该 指 标 并 未 达 标 ， 预 期 是 2 1 % ， 实 际 是 1 7 % 。 D H S 表 示 ， 对 爱 因 斯 坦 而 言 ， 检 测 比 溯 源 更 重 要 ， 投 入 了 更 多 精 力 在 检 测 上 ， 因 而 指 标 未 能 达 标 。 此 外 ， 由 于 该 指 标 对 于 控 制 来 自 国 家 行 为 体 的 威 胁 作 用 有 限 ， 从 2 0 2 0 财 年 开 始 被 废 弃 ， 不 再 考 核 。 D H S 表 示 会 内 部 继 续 跟 踪 这 个 指 标 ， 但 会 淡 化 威 胁 来 源 ， 而 更 注 重 及 时 性 和 准 确 性 。 七 、 总 结 和 启 示 七 、 总 结 和 启 示 通 过 以 上 分 析 ， 笔 者 谈 一 谈 个 人 的 几 点 体 会 作 为 本 文 总 结 。 1 .   N C P S 项 目 从 一 开 始 就 是 站 在 国 家 战 略 高 度 来 推 进 的 ， 采 用 法 规 先 行 （ 法 案 、 总 统 行 政 令 、 N I S T 标 准 等 ） 、 制 度 开 道 、 统 一 建 设 、 持 续 投 入 的 方 式 ， 从 一 个 U S - C E R T 下 面 的 初 级 态 势 感 知 项 目 ， 在 C N C I 计 划 的 推 动 下 ， 逐 步 成 为 了 一 个 规 模 庞 大 的 国 家 战 略 级 项 目 。 2 .   从 项 目 定 位 上 ， N C P S 区 别 于 各 个 联 邦 机 构 自 己 的 安 全 防 护 。 二 者 不 是 替 代 关 系 ， 而 是 叠 加 关 系 。 并 且 N C P S 更 加 注 重 针 对 高 级 威 胁 的 监 测 与 响 应 ， 更 加 重 视 跨 部 门 / 厂 商 的 协 调 联 动 、 信 息 共 享 、 群 防 群 治 。 3 .   从 建 设 过 程 来 看 ， N C P S 明 显 以 合 规 为 出 发 点 进 行 建 设 ， 但 强 调 以 实 战 对 抗 为 最 终 目 标 。 4 .   N C P S 项 目 的 投 入 时 间 很 长 ， 尤 其 是 2 0 0 9 年 C N C I 计 划 出 台 之 后 ， 资 金 和 人 员 投 入 逐 年 稳 步 提 升 ， 并 维 持 在 较 高 的 水 平 线 上 。 可 见 国 家 级 态 势 感 知 系 统 的 建 设 需 要 长 期 持 续 的 投 入 。
5 .   从 资 金 分 布 上 看 ， D H S 越 来 越 重 视 N C P S 的 运 行 维 护 ， 技 术 和 产 品 采 购 的 比 重 越 来 越 低 。 要 想 实 现 N C P S 常 态 化 的 运 营 ， 就 必 须 有 持 续 的 、 大 量 的 运 营 投 入 ， 并 且 需 要 大 量 的 安 全 分 析 师 。 6 .   从 运 营 方 式 上 看 ， N C P S 被 尽 可 能 地 封 装 为 一 系 列 托 管 服 务 和 安 全 服 务 的 形 式 ， 以 服 务 的 方 法 提 供 给 各 个 联 邦 机 构 。 7 .   尽 管 经 过 了 十 几 年 的 持 续 建 设 ， 但 N C P S 仍 然 存 在 不 少 问 题 ， 拖 延 严 重 ， 正 如 G A O 的 报 告 所 言 ， 成 效 低 于 预 期 。 但 尽 管 如 此 ， 美 国 政 府 并 没 有 停 止 这 个 项 目 ， 而 是 持 续 加 大 投 入 。 因 为 这 个 方 向 是 正 确 的 ， 技 术 路 线 是 正 确 的 。 8 .   从 技 术 上 看 ， 过 去 人 们 大 都 认 为 N C P S 主 要 是 规 模 效 应 ， 技 术 含 量 并 不 高 ， 譬 如 基 本 都 是 基 于 特 征 和 签 名 的 检 测 。 事 实 上 ， N C P S 还 是 比 较 注 重 新 技 术 运 用 的 。 我 们 现 在 经 常 听 到 的 所 谓 高 级 威 胁 检 测 、 机 器 学 习 、 行 为 画 像 和 异 常 行 为 行 为 、 编 排 自 动 化 响 应 、 威 胁 情 报 等 ， 在 N C P S 中 都 有 体 现 ， 并 且 都 会 经 历 一 个 先 试 点 再 铺 开 的 过 程 。 9 .   在 技 术 层 面 ， N C P S 正 在 积 极 上 云 ， 充 分 利 用 云 来 降 低 整 体 投 入 的 成 本 ， 提 升 服 务 能 力 ， 改 进 服 务 方 式 。 最 起 码 ， 在 数 据 中 心 的 基 础 设 施 建 设 方 面 ， 云 在 可 伸 缩 性 、 可 用 性 和 可 靠 性 方 面 表 现 更 佳 。 1 0 .   我 们 常 把 爱 因 斯 坦 计 划 指 代 美 国 政 府 的 网 络 安 全 态 势 感 知 项 目 ， 其 实 这 是 不 完 整 的 。 美 国 联 邦 政 府 的 网 络 安 全 态 势 感 知 是 由 一 系 列 国 家 级 大 项 目 共 同 支 撑 起 来 的 ， 至 少 包 括 T I C （ 可 信 互 联 网 接 入 ） 、 N C P S （ 爱 因 斯 坦 计 划 ） 、 C D M （ 持 续 诊 断 与 缓 解 ） 计 划 ， 以 及 共 享 态 势 感 知 。 八 、 系 列 文 章 参 考 八 、 系 列 文 章 参 考 以 下 是 笔 者 以 前 撰 写 的 N C P S 相 关 的 文 章 ， 供 大 家 参 考 ， 可 以 自 行 网 络 搜 索 。 1 .   美 国 爱 因 斯 坦 计 划 技 术 分 析 ， 2 0 1 1 2 .   从 爱 因 斯 坦 2 到 爱 因 斯 坦 3 ， 2 0 1 4 3 .   重 新 审 视 美 国 爱 因 斯 坦 计 划 ( 2 0 1 6 ) 4 .   美 国 爱 因 斯 坦 计 划 最 新 动 态 2 0 1 5 0 8 5 .   爱 因 斯 坦 计 划 最 新 进 展 （ 2 0 1 7 0 5 ） 6 .   爱 因 斯 坦 计 划 最 新 进 展 （ 2 0 1 7 1 0 ） 7 .   美 国 政 府 持 续 深 入 开 展 爱 因 斯 坦 项 目 以 提 升 网 络 威 胁 感 知 能 力 （ 2 0 1 9 ） 参 考 来 源 ： 参 考 来 源 ： h t t p s : / / w w w . s e c - u n . o r g / % e 7 % b e % 8 e % e 5 % 9 b % b d % e 7 % 8 8 % b 1 % e 5 % 9 b % a 0 % e 6 % 9 6 % a f % e 5 % 9 d % a 6 % e 8 % a e % a 1 % e 5 % 8 8 % 9 2 % e 8 % b 7 % 9 f % e 8 % b 8 % a a % e 4 % b 8 % 8 e % e 8 % a 7 % a 3 % e 8 % a f % b b % e f % b c % 8 8 2 0 2 0 % e f % b c % 8 9 / 精 彩 推 荐 精 彩 推 荐
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理