网络安全主动防御技术:策略、方法和挑战 扈红超, 隋嘉祺, 张帅, 仝玉 引用本文 扈红超, 隋嘉祺, 张帅, 仝玉. 网络安全主动防御技术:策略、方法和挑战[J]. 计算机科学, 2024, 51(11A): 231100132-13. HU Hongchao, SUI Jiaqi, ZHANG Shuai, TONG Yu. Proactive Defense Technology in 通信作者:隋嘉祺(bearsui５＠１６３．com) 网络安全主动防御技术:策略、方法和挑战 扈红超 隋嘉祺 张 帅 仝 玉 信息工程大学信息技术研究所 郑州４５０００１ (hhc＠ndsc．com．cn) 摘 要 随着人工智能、云计算、大数据和物联网等新兴技术的迅速发展,网络安全形势变得日益严峻.然而,传统防御手段 (如病毒查杀、漏洞扫描、入侵检测、身份认证、访问控制等)已无法有效抵御日益多样化的网络攻击,网络空间的防御与攻击之 目前很少有相关文献系统地归纳３种主流主动防御技术,也没有对３ 种技术进行横向对比和优劣分析.为了弥补这一空缺,对３种主动防御技术的研究成果进行了全面而系统的调查.首先,分别 介绍了３种主动防御技术的概念、策略和方法,并根据研究内容的不同,对已有的研究成果进行分类.然后,对３种主动防御技 术进行横向对比,分析它们之间的异同和优劣,并探讨如何将它们相互结合和补充,以增强主动防御技术的防护性能.最后,对

n 该标准以访问控制为核心构建基本保护环境和相关安全服务。 1. 设计技术要求核心思 想 01 要 。 信息系统安全影响国家安 全 重 02 安全漏洞和安全威胁永远存在。 03 攻防失衡，攻击占有巨大优势。 04 主动防御、守住底线。 1. 设计技术要求核心思 想 1. 设计技术要求核心思想 u 《设计技术要求》重在设计 PPDR 模型中的防护机制； 控制规则 ↓ t 访问控制 度量 验证 可信认证 1.1 防护思想 • 可信认证为基础 、 访问控制为核心 可信认证：保障信息系统主体、客体可信 访问控制：保障主体对客体合理操作权限 主体 客体 通过构建集中管控、最小权限管理与三权分立的管理平台，为管 理员创建了一个工作平台，使其可以借助于本平台对系统进行更 好的管理，从而弥补了我国现在重机制、轻管理的不足，保证信 好的管理，从而弥补了我国现在重机制、轻管理的不足，保证信 息系统安全可管。 以访问控制技术为核心，实现主体对客体的受控访问，保证所 有的访问行为均在可控范围之内进行，在防范内部攻击的同 时 有效防止了从外部发起的攻击行为。对用户访问权限的控 制可 以确保系统中的用户不会出现越权操作，永远都按系统 设计的 方式进行资源访问，保证了系统的信息安全可控。 以可信计算技术为基础，构建一个可信的业务系统执行环境， 即用

56 家企业提供的 191 款产品，涉及统一威胁管理产品 （UTM）、病毒防治产品、安全操作系统、公钥基础设施、网络安全态势感知产品、信息系统安 全管理平台、网络型流量控制产品、负载均衡产品、抗拒绝服务攻击产品、终端接入控制产品、 USB 移动存储介质管理系统、文件加密产品、数据泄露防护产品、安全配置检查产品、运维安 全管理产品、日志分析产品、身份鉴别产品、终端安全监测产品、电子文档安全管理产品等 .........................................................................................209 网络型流量控制产品 深信服科技股份有限公司.................................................................................... ..........................................................................................270 终端接入控制产品 北京猎鹰安全科技有限公司...................................................................................

2.1.1 公开政务数据源选择.................................................................25 2.1.2 非公开政务数据获取策略..........................................................26 2.2 数据清洗与标注.......................... 31 2.2.2 数据标注方案设计.....................................................................33 2.2.3 数据质量控制机制.....................................................................35 2.3 数据增强与平衡............. .........................................39 2.3.2 数据集平衡策略.........................................................................41 3. 模型微调策略设计......................................................

CPU 内核数≥14 个 内存容量≥256GB ４ 可编程逻辑控制器 (PLC 设备 ) 控制器指令执行时间≤0.08 微秒 二、网络安全专用产品 序号 产品类别 产品描述 １ 数据备份与恢复产品 能够对信息系统数据进行备份和恢复 , 且对备份与恢复过程进行管理的 产品。 ２ 防火墙 对经过的数据流进行解析 , 并实现访问控制及安全防护功能的产品。 ３ 入侵检测系统 (IDS) 以网络上的数据包作为数据源 (IPS) 以网桥或网关形式部署在网络通路上 , 通过分析网络流量发现具有入侵 特征的网络行为 , 在其传入被保护网络前进行拦截的产品。 ５ 网络和终端隔离产品 在不同的网络终端和网络安全域之间建立安全控制点 , 实现在不同的网 络终端和网络安全域之间提供访问可控服务的产品。 ６ 反垃圾邮件产品 能够对垃圾邮件进行识别和处理的软件或软硬件组合 , 包括但不限于反 垃圾邮件网关、反垃圾邮件系统、安装于邮件服务器的反垃圾邮件软 一套完整的系统安全 策略的数据库系统 , 目的是在数据库层面保障数据安全。 10 网站数据恢复产品 提供对网站数据的监测、防篡改 , 并实现数据备份和恢复等安全功能的 产品。 11 虚拟专用网产品 在互联网链路等公共通信基础网络上建立专用安全传输通道的产品。 12 防病毒网关 部署于网络和网络之间 , 通过分析网络层和应用层的通信 , 根据预先定 义的过滤规则和防护策略实现对网络内病毒防护的产品。

.......................95 6.1.2 场景化微调（如信贷审批、投资建议）.....................................97 6.2 性能优化策略........................................................................................101 6.2.1 模型压缩与量化 8.1.1 加密传输与存储..........................................................................132 8.1.2 访问控制与权限管理..................................................................134 8.2 合规性保障.............. .....................................................................................197 12.1 灰度发布策略......................................................................................200 12.1.1 分阶段上线

········16 3.3 设计策略············································································17 3.3.1 安全管理中心的建设策略··············································18 3.3.2 安全技术体系的建设策略·················· ····························19 3.3.3 安全服务体系的建设策略··············································19 3.4 方案设计············································································20 3.4.1 安全管理中心的设 安全整改， 提高信息系统的信息安全防护能力，降低系统被各种攻击的风险。 3 智安网络等级保护安全防御体系方案 1.2 等保标准的演进 信息等级保护制度是国家信息安全保障工作的基本制度、基本策略和基本方法， 是促进信息化健康发展，维护国家安全、社会秩序和公共利益的根本保障。国务院 法规和中央文件明确规定，要实行信息安全等级保护，重点保护基础信息网络和关 系国家安全、经济命脉、社会稳定

数据库审计 IaaS 边界 安全 虚拟化安全 安全加固 虚拟资源隑离 入侵防御 漏洞扫描 基线核查 安全域隔离 边界安全防护 安全域划分 访问控制 访问控制 入侵防御 负载均衡 网络威胁检测 流量清洗 安全审计 安全接入 访问控制 流量监控 云安全服务平台 通信 安全 通信线路冗余 网关设备冗余 通信传输加密 完整性校验 带外管理通道 API 接口 SDN 网络 编排 编排 DaaS 安全 PaaS 安全 东西向安全 安 全 南北向安全 SaaS 安全 Web 安全防护 漏洞管理 安全传输 数据脱敂 容器安全 访问控制 访问控制 输入数据验证 API 接口安全 虚拟机微隑离 VPC 隑离 数据加密 剩余信息保护 于数据库安全 计算服务安全 安全审计 业 务 & 租 户 安 全 安全策略 编排 门户服务 集中管控 职责划分 于操作监控 综合审计 管理安全 集中管控 态势感知 管理网络隑离 等保 2.0 云安全体系 集约共享 开放接口 等保 2.0 通用方案设计思路 分级分域——划分丌同级别安全域 通信网络——网络架构及通信传输 区域边界——访问控制及检测防护 计算环境——入侵防范及数据安全 管理中心——集中管控及安全审计

.......................................................................................33 6.3 数据访问控制................................................................................................... 身份认证与访问控制管理系统(PKI/PMI 系统) 作为 XX 信息化中重要的安全 基 础设施之一，解决了信息网警员用户管理、身份认证、应用授权和责任认定等方面长 期存 在的不安全、不统一、不便管理等问题， 突破了“信息孤岛”的壁垒， 实现了跨地区、 跨部门 的信息共享，促进了 XX 信息资源的高效应用，在保障 XX 信息化安全方面发挥了重 要作用。 按照《全国 XX 身份认证与访问控制管理系统国产密码算法替换建设任务书》(公科信 因此需要能够对终 端行 为进行持续监控，一旦发现终端异常，需要能够及时告警和处置。 终端入网注册一方面是为了便于对终端进行实名化管理， 另一方面， 也为终端资产信息 的收集和管理以及终端安全策略的执行提供了基础，通过加载设备证书的方式，进一步提 升 终端设备的可信能力。 终端入网流程如下： 1.终端向终端管理平台上报终端使用者信息和终端资产信息，由终端管理平台确认终 端 的合法性，

4.1 数据加密与传输安全...........................................................................44 4.2 访问控制与权限管理...........................................................................46 4.3 隐私保护技术与合规性. 人工与运营成本..................................................................................76 8.4 预算控制与优化..................................................................................78 9. 风险管理... .....................................................................................111 12.1 市场推广策略..................................................................................113 12.2 销售渠道建设.