周利均

（中國電子科技網(wǎng)絡信息安全有限公司，四川 成都 610041）

0 引 言

習近平總書記在“4.19”講話中明確指出，“要樹立正確的網(wǎng)絡安全觀，加快構(gòu)建關(guān)鍵信息基礎(chǔ)設施安全保障體系”“我們必須深入研究，采取有效措施，切實做好國家關(guān)鍵信息基礎(chǔ)設施安全防護”。等級保護2.0也從保護對象、保護內(nèi)容、標準體系等方面進行了相應升級，契合我國網(wǎng)絡安全形勢的不斷發(fā)展[1]。

數(shù)字經(jīng)濟的飛速發(fā)展，大數(shù)據(jù)技術(shù)的深化應用，促使數(shù)字資產(chǎn)成為企業(yè)乃至國家新的增長引擎，也成為世界各國“兵家必爭之地”。網(wǎng)安安全保障將是數(shù)字經(jīng)濟的“基石”，“基石”搭建是否可靠對網(wǎng)絡安全整體運維服務提出了新的需求。

隨著人工智能、云計算、大數(shù)據(jù)以及邊緣計算等新技術(shù)的不斷發(fā)展和應用，網(wǎng)絡攻擊方式多樣，呈現(xiàn)智能化、自動化等特點，且攻擊目標已從純粹的個人“秀技術(shù)肌肉”轉(zhuǎn)變成謀取經(jīng)濟利益和政治利益。這對傳統(tǒng)“交付產(chǎn)品”模式提出了挑戰(zhàn)，對“購買安全目標”提出了新的需求。

隨著5G應用，萬物互聯(lián)成為現(xiàn)實，網(wǎng)絡入侵不僅影響數(shù)字世界，而且對萬物互聯(lián)的設備、媒體社交平臺等均有深入影響。企業(yè)信息化系統(tǒng)強關(guān)聯(lián)性、耦合性導致網(wǎng)絡入侵由點及面地快速擴散影響。因此，從單點防護擴展到點面結(jié)合以及全面防護十分緊迫。

以上從數(shù)字驅(qū)動重要性、技術(shù)發(fā)展多樣性、關(guān)聯(lián)影響廣泛性等方面進行分析，傳統(tǒng)以交付產(chǎn)品完成建設的線下模式已不足以支撐高速發(fā)展的信息化社會，適應新時期以交付能力和目標為主的整體運維服務模式成為趨勢，只有搭建全方位、多層次、全維度的網(wǎng)絡安全運維服務體系[2]，才能保護企業(yè)的網(wǎng)絡安全。

1 網(wǎng)絡安全運維服務存在的隱患

網(wǎng)絡安全運維服務及能力建設以系統(tǒng)全生命周期為主線，以業(yè)務安全需求為起點，前端根據(jù)企業(yè)安全需求開展安全規(guī)劃設計，同步根據(jù)規(guī)劃開展安全開發(fā)、建設、測試以及測評等。測評通過進入實際運維服務階段，進行安全事件監(jiān)測、安全事件處理、安全事件分析預測以及安全審計追蹤等，同時對企業(yè)安全技術(shù)人員開展安全技術(shù)認證培訓，提升其安全技能和安全意識。

上述網(wǎng)絡安全運維服務體系架構(gòu)中，運營維護階段會有大量需要人為處理的工作，且海量安全數(shù)據(jù)需要及時進行分析處理。如果純粹依靠技術(shù)人員進行人工分析、處理，會錯失最佳的防御時機，攻防博弈的天平會全面倒向入侵者一方，導致企業(yè)關(guān)鍵信息基礎(chǔ)設施遭受嚴重威脅[3]。

以下從3方面分析網(wǎng)絡安全運維服務面臨的一些挑戰(zhàn)。

（1）傳統(tǒng)網(wǎng)絡安全保護模式是購買網(wǎng)絡安全產(chǎn)品，安全廠商完成建設交付即可，主要使用單點的網(wǎng)絡安全設備在線下實現(xiàn)安全防護，安全策略配置、系統(tǒng)升級、故障排查等過多依賴安全廠商技術(shù)人員，用戶技術(shù)人員因設備自適應程度較低、過于機械，無法及時做出相應處置。在面對日趨復雜的安全環(huán)境，不僅是面對未知威脅，面對已知威脅也難以做到有效的及時防御[4]。

（2）企業(yè)有自己的主責主業(yè)，安全一般歸屬信息化部門，專業(yè)安全人才只占信息化維護人員的很小一部分，企業(yè)也難以投入進行全方位安全人才隊伍建設。因此，企業(yè)的安全技術(shù)人員數(shù)量和水平有限，只能解決一些具體到某點的安全問題，系統(tǒng)性的由點及面顯得力不從心，達不到全生命周期、全維度的運維管理。

（3）內(nèi)外部海量流量數(shù)據(jù)隱藏了大量有用的安全信息，人工數(shù)據(jù)分析顯然不現(xiàn)實，還未待完成數(shù)據(jù)特征提取，一波新的攻擊可能就來了。由此可見，攻防博弈爭分奪秒，缺乏對安全數(shù)據(jù)高效挖掘、分析、利用環(huán)節(jié)，不能敏銳抓住數(shù)據(jù)流量中的異常，從而不能有效預測、評估、預警和防御安全風險。

總結(jié)來看，一是技術(shù)人員的過渡依賴性問題；二是橫向和縱向運維的全覆蓋問題；三是處理動態(tài)變化的威脅時效性問題；四是對海量安全數(shù)據(jù)的分析利用問題。

人工智能彌補人的不足，以模仿人類思維開展自我優(yōu)化學習，相比人為操作，可以以秒為單位處理很多數(shù)據(jù)問題。本文研究人工智能賦能網(wǎng)絡安全運維服務，打開智慧運營新局面[5-6]。

2 人工智能賦能網(wǎng)絡安全運維服務

人工智能技術(shù)架構(gòu)如圖1所示，分為基礎(chǔ)、技術(shù)、應用3層。基礎(chǔ)層包含計算能力和數(shù)據(jù)資源，是整個人工智能的核心；技術(shù)層包含算法、模型、知識庫、特征庫等；應用層為人工智能結(jié)合網(wǎng)絡安全服務，不局限于某個具體應用場景，重點解決運維服務中人為因素等不足造成的問題。

一個大型集團包含很多下級單位，如何縱向延伸，以中心化運維為思路，以公有或私有云加載計算單元，充分實現(xiàn)全域運維[7]。

下面具體分析網(wǎng)絡安全運維服務事前檢測、事中運維、事后分析3個階段需要做的重點工作，并以此為重點，研究人工智能如何在這些工作中發(fā)揮作用，從而實現(xiàn)智慧化運營，如圖2所示。

圖1 人工智能架構(gòu)

圖2 網(wǎng)絡安全運維服務體系架構(gòu)

2.1 數(shù)據(jù)資產(chǎn)態(tài)勢感知

企業(yè)的數(shù)據(jù)資產(chǎn)是其核心資產(chǎn)，利用人工智能搭建企業(yè)安全數(shù)據(jù)的學習系統(tǒng)，自動采集企業(yè)各類設備、軟硬件系統(tǒng)、應用系統(tǒng)、業(yè)務系統(tǒng)以及管理系統(tǒng)等數(shù)據(jù)，以多種維度關(guān)聯(lián)數(shù)據(jù)，打造企業(yè)安全數(shù)據(jù)資產(chǎn)的態(tài)勢感知平臺，實時動態(tài)展現(xiàn)企業(yè)相關(guān)資產(chǎn)的使用情況，根據(jù)安全態(tài)勢對安全產(chǎn)品和安全流程進行動態(tài)部署，強化安全控制流程，提升網(wǎng)絡彈性，并對安全數(shù)據(jù)進行實時動態(tài)分析，對相關(guān)安全警報進行優(yōu)先級排序及建議處理，自動生成企業(yè)全維度安全報告，供安全負責領(lǐng)導參考決策。

2.2 軟件模塊自動化走查

隨著軟件工程化的發(fā)展和開源社區(qū)代碼的豐富，企業(yè)級模塊化開發(fā)提高效率的同時，也帶來了潛在風險。開源代碼存在邏輯性、完整性等問題，而非專業(yè)公司并沒有精力和能力去分析動輒幾萬行甚至幾十萬行的代碼。利用人工智能技術(shù)可幫助識別和分析代碼中的錯誤，降低未被發(fā)現(xiàn)的漏洞，以提高現(xiàn)有軟硬件的防御水平。

2.3 應對APT高級持續(xù)威脅

企業(yè)面對嚴重的威脅就是有組織、有目的、經(jīng)過精心策劃實施的APT攻擊。針對已知漏洞，已有防火墻、IDS等成熟產(chǎn)品應對；針對未知漏洞威脅，顯然不能依靠人工進行數(shù)據(jù)分析。APT攻擊的復雜性結(jié)合攻擊者的隱蔽性，需要獲取海量的內(nèi)外部流量數(shù)據(jù)，并對數(shù)據(jù)進行挖掘和關(guān)聯(lián)分析，發(fā)現(xiàn)攻擊者線索并進行追蹤溯源。同時，網(wǎng)絡安全運維工程師可利用人工智能技術(shù)，利用逆向工程改進系統(tǒng)，防止再次發(fā)生類似事件。

2.4 系統(tǒng)動態(tài)加固

信息化程度越高的基礎(chǔ)設施，遭受攻擊的面更寬，面臨人員短缺、技術(shù)局限的窘境。利用人工智能的自動識別技術(shù)，檢測信息系統(tǒng)、軟件等運行過程中的漏洞、缺陷等，設計、生成、運行補丁程序，對漏洞進行實時修復，實現(xiàn)真正意義上的自動防御功能，實現(xiàn)系統(tǒng)動態(tài)加固。

2.5 異常動態(tài)檢測，快速響應攻擊

攻防博弈是一個動態(tài)過程，網(wǎng)絡攻擊方式日趨多樣化，安全運維團隊只有以不斷優(yōu)化調(diào)整相關(guān)技術(shù)來應對持續(xù)不斷的異常和威脅。但是，攻擊者猶如潛伏在黑暗中的劍客，不知他什么時間以什么“招式”攻擊，充滿了不確定性，而攻防雙方從時間上就已失衡。利用人工智能和機器學習，通過算法和歷史數(shù)據(jù)搭建合理化模型，以一種可靠的方法解析各類異常事件，通過不斷學習、訓練知道運維者最想要的信息是什么，就能在攻擊發(fā)生時及時提供相關(guān)重要情報來阻擊攻擊，并給運維工程師響應異常事件提供解決參考，大大縮短了攻擊的響應流程，將損失減少到最小。

2.6 自動化故障排查

以一個大型集團公司為例，總部各部門、各分子公司等下屬機構(gòu)每天會產(chǎn)生大量業(yè)務數(shù)據(jù)和安全數(shù)據(jù)，各類故障頻發(fā)。通用性故障若大量耗費維護人員進行分析處理，既不利于運維中心化，也沒有諸多的人力物力來支撐。此時，可將企業(yè)每天產(chǎn)生的各類型網(wǎng)絡安全方面的故障數(shù)據(jù)及解決措施數(shù)據(jù)進行分析存儲，建立故障事件特征庫，形成規(guī)則庫和知識庫，針對網(wǎng)絡告警數(shù)據(jù)自動選擇最優(yōu)解決方案，保障通信網(wǎng)絡和業(yè)務系統(tǒng)的正常運轉(zhuǎn)。利用人工智能技術(shù)進行邏輯推理，分析研判潛在安全威脅，從而提前預警。

2.7 安全整體態(tài)勢持續(xù)呈現(xiàn)及預測

企業(yè)的通信網(wǎng)絡、硬件、軟件、系統(tǒng)應用、業(yè)務應用以及安全應用等，產(chǎn)生大量數(shù)據(jù)結(jié)構(gòu)不一致且具備相關(guān)關(guān)聯(lián)性的安全數(shù)據(jù)。安全運維專家經(jīng)驗再豐富也不可能實現(xiàn)安全數(shù)據(jù)的持續(xù)分析呈現(xiàn)，以及發(fā)現(xiàn)安全數(shù)據(jù)之間的關(guān)系。利用人工智能算法對安全數(shù)據(jù)進行關(guān)聯(lián)分析，生成當前狀態(tài)的綜合評估和趨勢預判，可實現(xiàn)持續(xù)態(tài)勢監(jiān)控，并預測未知漏洞風險等。

3 結(jié) 語

本文從數(shù)據(jù)資產(chǎn)重要性、新技術(shù)多樣性、系統(tǒng)耦合脆弱性出發(fā)，分析網(wǎng)絡安全運維服務的重要性和必要性，站在社會工程學角度，分析了人在運維服務中的局限性，創(chuàng)新性地探索人工智能在運維服務中的應用，形成了智能高效的網(wǎng)絡安全運維新思路，改變攻防博弈中被動防御的不利局面，保護重要行業(yè)關(guān)鍵基礎(chǔ)設施安全。下一步工作將重點研究算法和搭建模型，分析解決具體的問題。