定义网络空间安全

方滨兴

中国互联网安全大会名誉主席

中国工程院院士

一、引言

随着计算机技术持续深入渗透到经济、文化、科研、教育和社会生活等各个领域，网络逐渐进入到人们的日常生活和社会管理体系，极大地改变了人类生存和社会生产组织模式。

当前，全球网民覆盖率已达50%，截至2017年6月，中国网民规模达到7.51亿，占全球网民总数的五分之一，中国的互联网普及率为54.3%，超过全球平均水平。互联网的快速普及带来了巨大的资源膨胀。仅中国，云计算市场总额就以40%的年复合率增长，到2020年，中国云计算市场总额将会达到200亿美元。这对传统网络架构和应用模式的安全保障体系建设提出更高要求。

随着网络技术的快速发展和网络覆盖率的快速提高，软件漏洞、黑客入侵、病毒木马、恶意攻击等问题频频爆出，这些问题对全球经济发展和各国社会稳定带来了极大冲击。

网络空间安全建设刻不容缓，本文从传统信息系统入手，分析了网络空间特征及其安全框架，旨在对网络空间安全体系建设以及关键技术研究提供一定参考。

二、网络空间安全定义

（一）网络空间

何为网络空间？基于不同应用需求及研究领域，网络空间被赋予不同的内涵和外延。抽象地看，网络空间运行体系的组成要素可被分为4种类型：载体、资源、主体和操作。其中，网络空间载体是网络空间的软硬件设施，是提供信息通信系统层面的集合；网络空间资源是在网络空间中流转的数据内容，包括人类用户及机器用户能够理解、识别和处理的信号状态；网络空间主体是互联网用户，包括传统互联网中的人类用户以及未来物联网中的机器和设备用户；网络空间的操作是对网络资源的创造、存储、改变、使用、传输、展示等活动。

综合以上要素，网络空间可被定义为“构建在信息通信技术基础设施之上的人造空间，用以支撑人们在该空间中开展各类与信息通信技术相关的活动”。其中，信息通信技术基础设施包括互联网、各种通信系统与电信网、各种传播系统与广电网、各种计算机系统、各类关键工业设施中的嵌入式处理器和控制器。信息通信技术活动包括人们对信息的创造、保存、改变、传输、使用、展示等操作过程，及其所带来的对政治、经济、文化、社会等方面的影响。其中，“载体”和“信息”在技术层面反映出“Cyber”的属性，而“用户”和“操作”在社会层面反映出“Space”属性，从而形成网络空间（Cyberspace）。

（二）网络空间安全

广义地讲，传统的信息系统安全意味着是通过一组准确“控制”所获得的特定能力。该“控制”可以是策略、惯例规程、组织结构和软件功能。这些控制的确是为了确保机构的特定安全目标得以满足。该特定目标表现在对信息系统、信息自身及信息利用中的机密性、可鉴别性、可控性、可用性4个核心安全属性的保护上，该目标即确保信息与信息系统不被非授权所掌握、信息与操作是可鉴别的、信息与系统是可控的并能随时为授权者提供信息及系统服务，该目标具体反映在信息系统的4个层面——物理安全、运行安全、数据安全、内容安全，也就是信息流转的各个协议层环节。

网络空间设备互联互通旨在交换、传输、存储和处理各类信息数据，是信息系统的超集。因此，除了共性的信息保密、网络基础设施等安全建设外，各种部署模式中都有特定的网络空间安全需求，如移动互联网安全、电信网安全、可信计算安全、云计算安全、大数据安全、物联网安全、广电网安全等。网络空间安全还囊括在不同应用场景中衍生的特定安全保障，如在线社交网络安全、工业控制安全、支付安全等，以及作为全球性泛在系统涉及的互联网治理问题，包括信息对抗、舆论安全和网络攻防体系建设等。

因此，基于传统信息系统的经典安全架构以及网络应用的多样性模式，从网络空间载体、资源、主体和操作出发，网络空间安全包括网络空间中电磁设备、信息通信系统、运行数据、系统应用中所存在的所有安全问题。网络空间安全既包括防止、保护包括互联网、各种电信网与通信系统、各种传播系统与广电网、各种计算机系统、各类关键工业设施中的嵌入式处理器和控制器等在内的信息通信技术系统及其所承载的数据免受攻击，也包括防止、应对运用或滥用这些信息通信技术系统而波及经济安全、文化安全、社会安全等情况的发生。针对上述风险，集合法律、管理、技术、自律、教育等方面的综合手段应采用以确保信息通信技术系统及其所承载数据的机密性、可鉴别性（包括完整性、真实性、不可抵赖性）、可用性、可控性得到保障。

三、网络空间安全态势

近年来，全球网络安全形势越来越严峻，针对网络空间4要素（载体、资源、主体和操作）的各类安全事件频发，主要有以下几方面。

（1）基础设施频受攻击。网络空间基础设施遭受误操作配置或恶意攻击都可能致使局部甚至大面积网络不可用。在2009年，美国相关部门的报告称，2005年有4095起针对美国政府和私营部门的网络攻击，但2008年这一数字已增长至7.2万起，这些攻击在近几年更是成倍增加，使关键基础设施和敏感信息保护面临严峻威胁。2016年年底，北美发生针对域名服务商DYN的DDoS攻击，造成Airbnb、Amazon、BBC、CNN等大量知名网站短时间内无法被访问。

（2）用户隐私保护亟待加强。网络空间存储、传输大量用户身份信息以及敏感数据，极易造成信息的泄露和滥用。据统计，2010年美国有810万人遭受身份盗用或网络欺诈，造成的损失达370亿美元。2011年12月21日，中国某社区的600万用户数据被泄露；次日，某游戏网站被传泄露了800万用户数据；25日，某社区的4000万用户数据包被暴露传播。大量知名网站相继被卷入用户数据泄露风波，其中不乏主流大型互联网公司。据统计，2016年我国网络空间通过不同渠道被泄露的个人信息达65亿条次，即平均每个人的个人信息至少被泄露了5次。

（3）网络数据易遭窃取及篡改。用户的通话数据、信息记录、邮件信息都可被监听和收集，且每个网络用户都不会幸免。

（4）应用可信亟待加强。网络应用是用户进入网络空间的入口，但当前层出不穷的网络应用安全保障体系参差不齐，有些应用漏洞极易遭受恶意入侵及伪造攻击。以网络钓鱼为例，据Trusteer报告称，美国金融机构每周会遭受16次网络钓鱼攻击，由此带来的损失达每年240万～940万美元。中国反钓鱼网站联盟的报告也显示，2016年钓鱼总量高达10万例，且其不断向移动互联网等新型网络环境蔓延，造成巨大损失。

网络空间安全形势逐渐严峻，引发了全球重视。早在2014年，时任美国总统奥巴马就宣布启动美国《网络安全框架》，部署强化美国网络安全。截至大会开幕，美国共颁布了网络安全相关文件40多件。欧盟也通过了“数据保护改革法案”。我国自2017年6月1日起施行《中华人民共和国网络安全法》，该安全法框架性地构建了许多法律制度和要求，重点包括网络信息内容管理制度、网络安全等级保护制度、关键信息基础设施安全保护制度、网络安全审查制度、个人信息和重要数据保护制度、数据出境安全评估制度、网络关键设备和网络安全专用产品安全管理制度、网络安全事件应对制度等。

总体来看，当前已有约38%的国家发布了国家安全战略，43%的国家构建了执法和司法系统的能力构建计划，网络空间安全已经成为一个国家安全稳定的重要部分。正所谓“没有网络安全就没有国家安全”，网络安全是一个关系国家安全和主权、社会稳定、民族文化继承和发扬的重要问题之一。其重要性正随着全球信息化步伐的加快而变得越来越显著。

四、网络空间安全框架及关键领域

基于网络空间安全内涵的网络空间安全框架如图1所示。

（1）设备层安全主要包括网络空间中信息系统设备所需要获得的物理安全、环境安全、设备安全等与物理设备相关的安全保障。

（2）系统层安全主要包括网络空间中信息系统自身所需要获得的网络安全、计算机安全、软件安全、操作系统安全、数据库安全等与系统运行相关的安全保障。

（3）数据层安全主要包括网络空间中在数据处理的同时所涉及的数据安全、身份安全、隐私保护等与信息自身相关的安全保障。

（4）应用层安全主要包括在信息应用过程中所涉及的内容安全、支付安全、控制安全、物联网安全等与信息系统应用相关联的安全保障。

网络空间的核心要素是数据与信息（即资源）。网络空间的四要素通过各类型的数据直接或间接发挥作用，因此，网络空间的四要素与网络空间安全体系的关系是网状映射。如资源的安全可能涉及设备层面的配置信息管理、系统层面的运行参数管理、数据层面的数据完整性验证以及应用层面的签名加密。操作安全也涉及各个层面的安全问题，包括对硬件设备的安全运行操作、对网络设施系统的安全配置管理、对数据资源的安全存储处理及对应用系统的安全开发维护。主体安全同样也涉及各个层面的安全问题，包括对硬件设备的使用权利、对信息系统的操作权利、对数据的共享权利、对应用的操控权利。

从网络空间的各应用领域及相关的各要素角度来考虑问题，安全领域就更加广泛，如在云计算环境中存在可控、安全、可信及可靠保障等问题；在社交网络中存在的舆论安全、隐私保护以及平台安全保障等问题。

以基础资源安全为例，传统互联网首先是服务于应用，在设计之初，设计者就以“好人假定”的模式将重点都放在应用之上，并假定人们都会遵守规则，没有人会试图破坏互联网，因此，传统互联网对安全可信的需求较弱，基础资源管理以及对应的基础协议也较少采用安全防护体系，使其成为当前网络安全的软肋。目前，互联网社群正在积极推进各协议安全机制的扩展及部署推广，从命名、寻址、路由3个层面可见一斑。

DNS是全球互联网的重要基础设施，用于实现域名到主机IP地址的映射解析。作为用户连接各种互联网应用的必经环节，对DNS的劫持相当于对互联网运行规则的改变。但是，DNS在被创建之初，这类潜在的安全问题并未被考虑，如数据来源验证、数据完整性验证以及数据隐私保护。为此，互联网工程任务组（Internet Engineering Task Force，IETF）先后启动了DNS安全扩展协议（DNS Security Extensions，DNSSEC）、DNS隐私保护协议（DNS PRIVate Exchange，DPRIVE）等扩展协议来弥补传统DNS的安全缺陷。

当前互联网所广泛使用的IPv4地址体系，由于缺失安全保障机制，使寻址过程面临严峻的安全风险，因此，在下一代IP地址——IPv6设计之初，设计者就为其嵌入了IP安全（Internet Protocol Security，IPsec）体系，旨在为IPv6环境下的网络层数据传输提供访问控制、数据源的身份验证、数据完整性检查、机密性保证及抗重播攻击等安全防护，以解决网络层端到端数据传输的安全问题。

BGP是互联网中唯一的域间路由协议，对全球互联网的互联互通起到至关重要的作用。然而，BGP协议本身存在诸多安全问题，其中最为严重的便是路由劫持攻击，其可能会导致互联网中流量的重定向，甚至会导致整个互联网的瘫痪。面对近年来不断发生的路由劫持攻击及由其导致的网络故障，IETF启动了互联网码号资源公钥基础设施（Resource Public Key Infrastructure，RPKI）和边界网关协议安全扩展（BGP security，BGPsec）的相关协议的制订。该协议体系通过构建一个公钥证书体系来完成对互联网码号资源（包括IP地址前缀和自治域号码）的所有权和使用权的验证，路由器以此检验BGP报文的真实性，从而实现BGP路由源认证和路径验证功能，以此来防范路由劫持风险。

由此可见，网络空间基础资源的安全保障体系建设已经成为网络空间安全防护的基石，以保障互联网基础架构的安全稳定。

五、结束语

网络空间是所有电磁设施与信息系统的集合，是人类生存的泛在信息环境。用户在其中通过各类载体实现信息处理、交互、存储、传递和展示，构造出各种新型的社会形态。而网络空间对人类社会的影响又使其安全属性成为所有属性的核心。

为此，如何保障我国及全球网络空间安全成为进一步广泛普及互联网应用的一个首要前提。需要从法律保障、行政监管、行业自律、技术支撑、舆论监督、人才培养、普适教育等维度多管齐下保障网络空间安全，使我国的网络空间健康有序发展，我国才能从网络大国向网络强国迈进。

参考文献

[1] 中国互联网络信息中心. 中国互联网络发展状况统计报告[EB/OL]，2017-08-04/2017-10-13.

[2] Bain Brief. Finding the Silver Lining in China's Cloud Market[EB/OL]，2015-07-08/2017-10-02.

[3] 张茜，延志伟，李洪涛，等. 网络钓鱼欺诈检测技术研究[J]. 网络与信息安全学报，2017(7):7-24.

[4] 李欲晓, 谢永江.世界各国网络安全战略分析与启示[J].网络与信息安全学报，2016(1):1-5.

[5] E. E. Santos, et al., Modeling insider threat types in cyber organizations, IEEE International Symposium on Technologies for Homeland Security (HST), Waltham, MA, 2017.

[6] G. Hustoon, J. Dama. DNS Privacy[J] The Internet Protocol Journal,2017,(1):20-30.

[7] R. Arends, R. Austein, M. Larson, D. Massey, and S. Rose, DNS Security Introduction and Requirements, IETF RFC 4033, March 2005.

[8] S. Bortzmeyer, DNS Privacy Considerations, IETF RFC 7626, August 2015.

[9] S. Kent, and K. Seo, Security Architecture for the Internet Protocol,IETF RFC 4301, December 2005.

[10] M. Lepinski, and S. Kent, An Infrastructure to Support Secure Internet Routing, IETF RFC 6480, February 2012.

[11] M. Lepinski, and K. Sriram, BGPsec Protocol Specification, draftietf-sidr-bgpsec-protocol-23, April 2017.