网络空间（Cyber）态势感知体系发展

编者按：美国是Internet的缔造者，其理所当然的成为了这片广袤领域的“掘金者”；然而，当时光的指针推送大家来到「互联网时代」，由美国操纵的那个曾经“天真无邪”的Internet已经发展成为了摄人心魄的「魔戒」，它的主人（美国）的欲望也随之贪婪无度的增长，甚至希望能够占据Cyber空间中的一切！托「NSA前雇员.斯诺登」的贡献，我们才能够窥探到美国在Cyber领域控制欲望的无限生长。本文，从美国「网络空间Cyber态势感知体系」演进的角度，分析一二。

所以，在1998—2005年，美国全力应付这些由一群爱好者们（ScriptKid）驱动的，现在看来十分“幼稚”的攻击方法，主要的应对策略便是：

1. 依据PDD-63总统令，要求关键基础设施部署必要的信息安全设备；

2. 依据IATF，建立「信息安全保障框架」，主要包括部署纵深防御的硬件设备和建立一套完善的安全保障管理机制；

3. 依据FISMA法案，要求美国联邦政府网络严格实施上述两个方案。

本阶段小结：这一阶段，美国DOD还开发了信息安全领域比较重要的「彩虹系列文件」，其中的橘皮书就是现在被广泛应用的CC的前身（GB/T 18336），综合这些计划，美国的总体目标就是建立应对传统信息安全威胁的技术和管理能力，这些基本能力为日后的Cyber态势感知能力构建打下了深刻的基础。

1. TIC计划（Trusted Internet Connection）

本计划强力推进Federal网络集体接入，要求“各机构，无论是作为TIC访问服务供应商，或作为通过联邦总务局管理的Networx合同的商业性托管可信IP服务（MTIPS）供应商”，一律参与TIC计划。

2. 爱因斯坦I II III计划

本计划对通过TIC集中接入的网络做数据捕获和深入分析：

(1) I阶段，联合US-CERT，应用基于Flow(NetFlow)的DFI技术进行数据分析；

(2) II阶段，应用DPI技术进行恶意行为发现(本质来说是IDS)；

(3) III阶段，应用FPI技术，并扩展Sensor位置，前置到ISP的IDC中。

本阶段小结：这一阶段，美国已经开始逐步构建自己的态势感知体系，借助第一阶段所输出的安全保障能力（这里主要指代安全设备）和商业领域刚刚发展起来的SIM & SEM技术，将大量的日志、流量监控起来，形成基本的态势感知体系（由于这里的感知源都是被动获得，所以这里姑且称它为「态势感知体系1.0」）。

所以，2010年以来，为了应对局势变化，展现其大国威慑，接连推出了3个重量级的计划（本部分计划附件中进行了详细介绍）：

1. 依据SHINE计划，DHS会定期监测本土关键基础设施网络组件的安全状态；

2. 依据X计划，DAPRA会为网络战部队提供战场地图快速描绘能力，并辅助生成作战计划，从而推动网络作战效率和能力；

3. 依据TreasureMap计划，NSA会形成对全球的多维度信息主动探测能力，从而形成大规模情报生产能力。

PS：本文仅从国家政策角度描述了美国网络安全国家战略的变化，其实笔者认为，在这样漫长的发展历程中，美国的产业界也发挥了非常巨大的作用，后面有机会的话，会换个视角再分析下。

本文纯属作者个人臆想，如有不当，还望不吝指正，谢谢！

附件：“藏宝图计划”、“X计划”、“SHINE计划”介绍

1. NSA----藏宝图计划

1.1 负责单位：NSA（美国国家网络安全局）

1.2 可支撑任务：

（1） 网络态势感知（包括己方 & 敌方网络）

（2） 公共作战图像（COP）

（3） 网络侦察

（4） 效果评估

1.3 项目用户：“五眼”（美国、英国、加拿大、澳大利亚、新西兰）合作伙伴，JWICS（全球联合情报交流系统）的相关用户。

1.4 本项目主要关注点：对网际空间多层（地理层、物理层、逻辑层、社交层）

数据的捕获及快速分析，从而形成的大规模情报生产能力。

1.5 自我更新效率：每90天交付新功能 & 每天更新30G+数据

1.6 数据来源：

（1） BGP、AS信息（IP空间、AS从属关系、BGP路由条目）

（2） 路由信息（TraceRoutes方式进行探测，每天录入约1800w条信息）

（3） Whois信息（注册信息、DNS信息）

（4） 指纹信息（操作系统 & 软件特征，每天采集3-5kw ip信息）

2. DAPRA----X计划

2.1 负责单位：DAPRA & I2O（Information Innovation Office，信息创新办公室）

ps：I2O主要负责以国家安全视角，研究“足以改变游戏规则”的信息技术，从而为未来新型作战模式提供必要思路和相应工具。

2.2 项目名称：基础网络战（Foundatinal Cyberwarfare, Plax X）

2.3 申请时间：截止到2013.2.25

2.4 本项目主要关注点：对网络战场地图的快速描绘，并辅助生成并执行作战计划，并将作战结果反馈中枢指挥机关，从而推动网络作战效率和能力。

2.5 项目周期：X计划设计为4个1年的开发阶段，每个阶段包含4个开发螺旋（其中每个螺旋包含6周的开发 & 1周的审计）。

2.6 主要内容：

（1） 网络战场地图：包含两类信息（逻辑拓扑 & 元数据）

ps:此为基础数据层，是X计划的主要支撑；

 关键组件：网络战场地图生成引擎 & 端到端网络战场地图感知平台

（2） 操作单元：包含两个平台（终端节点—单兵作战版 & 支持平台—集团作战版）

ps:此为平台层，是X计划的应用入口；

 关键组件：网络作战计划（CFG）自动生成框架 &  CFG自动执行框架

（3） 能力集：包含三类能力（可达 & 功能 & 通信）

ps:此为应用层，是X计划的基础技术组件库；

    关键组件：RootKits、keyloggers、network scanner、DOS等。

3. DHS----SHINE计划

3.1 负责单位：DHS下属ICS-CERT（工业控制系统网络应急小组）

3.2 项目名称：SHINE（SHodan INtelligence Extraction）

3.3 参与人员：Bob Radvanovsky & Jake Brodsky

3.4 本项目主要关注点：网际空间中存在的美国本土关键基础设施行业相关设备，的网络可达及安全态势。

3.5 核心组件：网际空间搜索引擎（Shodan）

3.6 目前取得的成果：从最初的46w的初始IP库作为输入，进行ICS相关性过滤，最终过滤到7，200存活并存在弱点的设备。