搜索

[10563] 2016-10-02_走近科学：“爱因斯坦”（EINSTEIN）计划综述

文档创建者：s7ckTeam
浏览次数：20
最后更新：2025-01-18
2016-10-02_走近科学：“爱因斯坦”（EINSTEIN）计划综述 走 近 科 学 ： “ 爱 因 斯 坦 ” （ E I N S T E I N ） 计 划 综 述 A r k T e a m / H P   F r e e B u f   2 0 1 6 - 1 0 - 0 2 “   爱 因 斯 坦 爱 因 斯 坦 ” 计 划 是 美 国 联 邦 政 府 主 导 的 一 个 网 络 安 全 自 动 监 测 项 目 ， 由 国 土 安 全 部 （ 计 划 是 美 国 联 邦 政 府 主 导 的 一 个 网 络 安 全 自 动 监 测 项 目 ， 由 国 土 安 全 部 （ D H S ） 下 属 的 美 国 计 算 机 应 急 响 应 小 ） 下 属 的 美 国 计 算 机 应 急 响 应 小 组 （ 组 （ U S - C E R T ） 开 发 ， 用 于 监 测 针 对 政 府 网 络 的 入 侵 行 为 ， 保 护 政 府 网 络 系 统 安 全 。 ） 开 发 ， 用 于 监 测 针 对 政 府 网 络 的 入 侵 行 为 ， 保 护 政 府 网 络 系 统 安 全 。 从 2 0 0 9 年 开 始 ， 美 国 政 府 启 动 了 全 面 国 家 网 络 空 间 安 全 计 划 （ C N C I ） ， 爱 因 斯 坦 计 划 并 入 C N C I ， 并 改 名 为 N C P S （ N a t i o n a l C y b e r s e c u r i t y   P r o t e c t i o n   S y s t e m ， 国 家 网 络 空 间 安 全 保 护 系 统 ） ， 但 是 依 然 称 为 爱 因 斯 坦 计 划 。 目 前 ， N C P S 已 经 在 美 国 政 府 机 构 中 除 国 防 部 及 其 相 关 部 门 之 外 的 其 余 2 3 个 机 构 中 部 署 运 行 。 一 、 项 目 概 要 一 、 项 目 概 要 爱 因 斯 坦 计 划 分 为 三 个 阶 段 ， 如 表 1 所 示 。 该 计 划 具 有 四 种 能 力 ， 包 括 ： 入 侵 检 测 、 入 侵 防 御 、 数 据 分 析 和 信 息 共 享 。
表 格   1   “ 爱 因 斯 坦 ” 项 目         E I N S T E I N 1 始 于 2 0 0 3 年 ， 本 质 上 是 入 侵 监 测 系 统 ， 主 要 任 务 是 监 听 、 分 析 、 共 享 安 全 信 息 ， 特 点 是 信 息 采 集 。 2 0 0 8 年 起 实 施 E I N S T E I N 2 ， 2 0 0 9 年 部 署 ， 该 系 统 在 原 来 对 异 常 行 为 分 析 的 基 础 上 ， 增 加 了 对 恶 意 行 为 的 分 析 能 力 ， 本 质 上 依 然 是 入 侵 检 测 系 统 ， 特 点 是 被 动 响 应 。 2 0 1 0 年 ， D H S 开 始 计 划 设 计 与 部 署 入 侵 防 御 系 统 （ 即 E I N S T E I N 3 ） 来 识 别 和 阻 止 网 络 攻 击 ， 原 计 划 在 2 0 1 8 年 覆 盖 所 有 联 邦 行 政 机 构 。 在 2 0 1 2 年 D H S 转 变 为 使 用 一 种 新 的 方 法 ， 在 这 种 方 法 中 互 联 网 服 务 提 供 商 （ I S P s ） 使 用 商 业 技 术 为 联 邦 政 府 机 构 提 供 入 侵 防 御 安 全 服 务 ， 这 被 称 为 E I N S T E I N         3   A c c e l e r a t e d   ( E 3 A ) ， E 3 A 是 入 侵 防 御 系 统 。 E I N S T E I N 2 计 划 配 合 美 国 政 府 的 T I C （ 可 信 I n t e r n e t 接 入 ， 旨 在 减 少 和 收 拢 联 邦 政 府 机 构 分 散 的 互 联 网 出 口 ） 计 划 一 起 实 施 ， 2 0 0 8 年 ， 美 国 把 政 府 网 络 接 入 口 数 量 从 8 0 0 0 多 个 减 少 到 约 2 7 0 0 个 ， 计 划 最 终 减 少 到 1 0 0 个 以 内 ， 由 多 个 政 府 部 门 共 享 。 二 、 项 目 介 绍 二 、 项 目 介 绍 爱 因 斯 坦 1 的 技 术 本 质 是 基 于 流 量 的 分 析 技 术 （ D F I 深 度 流 检 测 ） 来 进 行 异 常 行 为 的 检 测 与 总 体 趋 势 分 析 ， 具 体 的 说 就 是 基 于 * F l o w 数 据 的 D F I 技 术 。 这 里 的 * F l o w 最 典 型 的 一 种 就 是 N e t F l o w ， 此 外 还 有 s F l o w ， j F l o w ， I P F I X 等 等 。 U S - C E R T 通 过 采 集 各 个 联 邦 政 府 机 构 的 这 些 F l o w 信 息 ， 进 行 分 析 ， 获 悉 网 络 态 势 。
        爱 因 斯 坦 1 通 过 采 集 F l o w 信 息 ， 获 得 的 数 据 包 括 以 下 几 个 部 分 ： 1 ）   A S N 自 治 域 号 ； 2 ）   I C M P 类 型 / 代 号 ； 3 ）   流 字 节 长 度 ； 4 ）   T C P / I P 协 议 类 型 ； 5 ）   传 感 器 编 号 ： 整 个 系 统 将 在 参 与 的 联 邦 政 府 机 构 的 网 络 中 部 署 F l o w 采 集 传 感 器 ； 6 ）   传 感 器 状 态 ； 7 ）   源 I P 地 址 （ I P v 4 ） ； 8 ）   目 的 I P 地 址 （ I P v 4 ） ； 9 ）   源 端 口 ； 1 0 ）   目 的 端 口 ； 1 1 ）   T C P 标 志 位 信 息 ； 1 2 ）   时 间 戳 ； 1 3 ）   持 续 时 间 爱 因 斯 坦 2 计 划 是 爱 因 斯 坦 1 计 划 的 增 强 。 主 要 以 商 业 的 I D S 技 术 为 基 础 进 行 了 定 制 开 发 ， 而 特 征 库 即 有 商 业 的 ， 也 有 U S - C E R T 自 己 的 。 爱 因 斯 坦 2 计 划 中 的 特 征 库 是 U S - C E R T 精 选 的 ， 做 到 尽 可 能 的 少 。 爱 因 斯 坦 2 计 划 的 技 术 本 质 是 I D S 技 术 ， 它 对 T C P / I P 通 讯 的 数 据 包 进 行 D P I （ 深 度 包 检 测 ） ， 来 发 现 恶 意 行 为 （ 攻 击 和 入 侵 ） 。 爱 因 斯 坦 2 通 过 D P I ， 获 得 的 数 据 包 包 括 以 下 几 个 部 分 ： 1 ）   源 I P ： s I P ； 2 ）   目 的 I P ： d I P ； 3 ）   源 端 口 ： s P o r t ； 4 ）   目 的 端 口 ： d P o r t ； 5 ）   协 议 类 型 ： p r o t o c o l ， 例 如 T C P 、 I C M P 、 U D P 等 ；
6 ）   包 数 量 ： p a c k e t s ， 通 过 传 感 器 计 算 出 来 的 一 次 连 接 的 包 数 量 ； 7 ）   字 节 数 ： b y t e s ； 8 ）   连 接 开 始 时 间 ： s T i m e ； 9 ）   连 接 持 续 时 间 ： d u r ； 1 0 ）   连 接 结 束 时 间 ： e T i m e ； 1 1 ）   传 感 器 编 号 ； 1 2 ）   数 据 流 方 向 ： t y p e ， 等 。 爱 因 斯 坦 2 计 划 的 传 感 器 放 置 于 联 邦 机 构 的 互 联 网 出 口 处 （ I A P ， I n t e r n e t A c c e s s   P o i n t ） ， 并 且 最 终 就 是 T I C 计 划 中 的 那 些 统 一 互 联 网 出 口 。 爱 因 斯 坦 3 计 划 （ D H S 称 其 为 下 一 代 爱 因 斯 坦 计 划 ） ， 目 前 披 露 的 信 息 甚 少 。 作 为 实 施 爱 因 斯 坦 3 计 划 的 一 个 重 要 步 骤 ， D H S 启 动 了 一 个 第 三 阶 段 演 练 的 项 目 ， 其 中 就 有 爱 因 斯 坦 3 的 部 分 技 术 可 行 性 分 析 与 验 证 的 工 作 。 根 据 第 三 阶 段 演 练 项 目 ， 可 以 得 知 ， 爱 因 斯 坦 3 计 划 的 主 要 技 术 支 撑 是 I P S 。 而 该 入 侵 防 御 技 术 是 由 N S A （ 国 家 安 全 局 ） 主 导 开 发 出 来 的 ， 代 号 为 T u t e l a g e （ 已 经 用 于 保 护 军 方 网 络 ） ， 主 要 就 是 他 们 做 出 来 的 一 套 识 别 特 定 攻 击 的 特 征 库 （ S i g n a t u r e ） 。 第 三 阶 段 演 练 项 目 旨 在 验 证 有 关 技 术 ， 确 定 用 于 爱 因 斯 坦 3 的 技 术 方 案 。 整 个 演 练 分 为 四 个 阶 段 实 施 。 根 据 全 面 国 家 网 络 空 间 安 全 计 划 （ C N C I ） 中 的 T I C ， 提 出 了 T I C A P （ 可 信 I n t e r n e t 连 接 访 问 提 供 商 ） 的 概 念 ， 即 将 为 联 邦 政 府 提 供 网 络 接 入 的 I S P 也 纳 入 其 中 ， 例 如 A T & T 公 司 。 在 第 三 阶 段 演 练 项 目 中 ， A T & T 预 计 将 参 与 其 中 。 其 中 有 一 个 演 练 的 内 容 就 是 由 T I C A P 将 政 府 网 络 的 流 量 有 选 择 性 的 镜 像 并 重 定 向 出 来 ， 供 U S - C E R T 对 这 些 流 量 进 行 入 侵 检 测 与 防 御 分 析 的 实 验 。 根 据 3 号 计 划 ， D H S 希 望 最 终 能 够 将 T I C 与 爱 因 斯 坦 融 合 起 来 ， 成 为 联 邦 政 府 网 络 基 础 设 施 的 基 本 保 障 。 另 外 ， 从 爱 因 斯 坦 3 计 划 开 始 ， N S A （ 国 家 安 全 局 ） 和 D o D （ 国 防 部 ） 都 明 确 加 入 其 中 。 在 爱 因 斯 坦 3 计 划 中 ， 将 综 合 运 用 商 业 技 术 和 N S A 的 技 术 对 政 府 机 构 的 互 联 网 出 口 的 进 出 双 向 的 流 量 进 行 实 时 的 全 包 检 测 （ F u l l P a c k e t   I n s p e c t i o n ， F P I ） ， 以 及 基 于 威 胁 的 决 策 分 析 。 特 别 的 ， 借 助 在 电 信 运 营 商 处 部 署 传 感 器 ， 能 够 在 攻 击 进 入 政 府 网 络 之 前 就 进 行 分 析 和 阻 断 。
爱 因 斯 坦 3 计 划 的 总 体 目 标 是 识 别 并 标 记 恶 意 网 络 传 输 （ 尤 其 是 恶 意 邮 件 ） ， 以 增 强 网 络 空 间 的 安 全 分 析 、 态 势 感 知 和 安 全 响 应 能 力 。 系 统 将 能 够 自 动 地 检 测 网 络 威 胁 并 在 危 害 发 生 之 前 作 出 适 当 的 响 应 ， 也 就 是 具 备 I P S 的 动 态 防 御 能 力 。 爱 因 斯 坦 3 计 划 还 增 加 了 一 个 联 动 单 位 — N S A 。 U S - C E R T 在 获 得 D H S 的 许 可 后 ， 会 将 必 要 的 告 警 信 息 送 给 N S A 进 行 进 一 步 分 析 。 爱 因 斯 坦 3 计 划 主 要 解 决 的 问 题 是 网 络 空 间 威 胁 ， 包 括 钓 鱼 、 I P 欺 骗 、 僵 尸 网 络 、 D D o S 、 中 间 人 攻 击 以 及 恶 意 代 码 插 入 攻 击 等 。 由 于 入 侵 防 御 能 力 是 部 署 在 签 约 的 I S P 那 里 ， 因 此 ， 在 那 些 I S P 里 面 部 署 了 一 个 称 作 “ N e s t ” 的 保 密 设 施 。 “ N e s t ” 负 责 将 政 府 机 构 上 网 的 流 量 牵 引 到 其 中 ， 进 行 检 测 和 阻 断 ， 然 后 再 将 清 洗 后 的 流 量 送 回 互 联 网 。 三 、 最 新 动 态 三 、 最 新 动 态 到 目 前 为 止 ， N C P S 项 目 已 经 在 . g o v 政 府 网 络 出 口 部 署 了 2 2 9 台 入 侵 检 测 传 感 器 ， 一 共 部 署 了 超 过 9 0 0 0 条 入 侵 检 测 特 征 ， 其 中 大 约 2 3 0 0 条 处 于 全 天 候 激 活 状 态 。     2 0 1 6 年 1 月 ， 美 国 审 计 署 （ G A O ， G e n e r a l A c c o u n t i n g   O f f i c e ） 提 交 的 一 份 报 告 《 D H S   N e e d s   t o E n h a n c e   C a p a b i l i t i e s ,   I m p r o v e   P l a n n i n g ,   a n d
S u p p o r t   G r e a t e r   A d o p t i o n   o f   I t s N a t i o n a l   C y b e r s e c u r i t y   P r o t e c t i o n   S y s t e m 》 称 该 系 统 仅 “ 部 分 达 标 ” ， 提 出 了 严 厉 的 批 评 。 从 入 侵 检 测 能 力 看 N C P S （ 即 “ 爱 因 斯 坦 ” 计 划 ） 仅 支 持 基 于 签 名 的 检 测 方 法 ， 尚 不 支 持 基 于 异 常 和 状 态 的 检 测 方 法 ， 而 且 数 据 类 型 目 前 也 有 限 ， 无 法 检 测 加 密 网 络 流 量 、 邮 件 、 文 件 传 输 中 的 攻 击 。 从 入 侵 防 御 能 力 看 N C P S 部 署 的 入 侵 防 御 能 力 具 备 近 实 时 的 的 入 侵 阻 断 功 能 ， 但 无 法 仅 针 对 某 些 协 议 流 量 进 行 细 粒 度 阻 断 ， 同 时 ， 有 些 流 量 （ 例 如 W E B 内 容 ） 尚 无 法 进 行 检 测 和 阻 断 。 从 信 息 共 享 能 力 看 N C P S 的 信 息 共 享 能 力 还 处 于 手 工 和 无 序 的 状 态 。 四 、 观 点 四 、 观 点 美 国 “ 爱 因 斯 坦 ” 计 划 迄 今 已 经 历 时 1 3 年 ， 尽 管 存 在 非 议 ， 然 后 美 国 政 府 仍 然 支 持 该 计 划 ， 这 表 现 在 2 0 1 6 年 2 月 美 国 总 统 奥 巴 马 发 布 的 《 网 络 安 全 国 家 行 动 计 划 》 ， “ 计 划 ” 中 指 出 将 要 拓 展 “ 爱 因 斯 坦 ” 项 目 。 五 、 参 考 文 章 五 、 参 考 文 章 1   E I N S T E I N . 2   E I N S T E I N   3   A c c e l e r a t e d . 3   N a t i o n a l   C y b e r s e c u r i t y   P r o t e c t i o n   S y s t e m ( N C P S ) . 4   A T & T   f i n a l l y   j o i n s   D H S   E i n s t e i n c y b e r s e c u r i t y   p r o g r a m . 5   D H S   N e e d s   t o   E n h a n c e   C a p a b i l i t i e s , I m p r o v e   P l a n n i n g ,   a n d   S u p p o r t   G r e a t e r   A d o p t i o n   o f   I t s   N a t i o n a l   C y b e r s e c u r i t y P r o t e c t i o n   S y s t e m . 6   F A C T   S H E E T :   C y b e r s e c u r i t y   N a t i o n a l   A c t i o n P l a n . 7 重 新 审 视 美 国 爱 因 斯 坦 计 划 ( 2 0 1 6 ) . 8 美 国 爱 因 斯 坦 计 划 技 术 分 析 . 9 从 爱 因 斯 坦 2 到 爱 因 斯 坦 3 . 1 0   美 国 联 邦 政 府 如 何 保 护 互 联 网 ？ *   本 文 原 创 作 者 ： A r k T e a m / H P ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理