信息安全与通信保密2010.49本期特稿 F e a t u r e s联想网御缔造信息安全第一品牌美“国家网络安全综合计划”揭开神秘面纱中国信息安全认证中心 陈晓桦 左晓栋引 言2008年1月， 时任美国总统布什发布了一项重大信息安全政策， 称为第54号国家安全总统令(NSPD54)，同时也是第23号国土安全总统令(HSPD23)， 其核心是国家网络安全综合计划(CNCI，Comprehensive National Cybersecurity Initiative)。CNCI是美国政府对重大信息安全行动做出的总体部署， 被美国一些媒体称为信息安全的 “曼哈顿计划” 。 这个计划早在2007年便已提出，通过NSPD54/HSPD23上升为强制性的政府命令。CNCI十分敏感， 被以国家安全的原因列为高度机密， 其预算对外界也讳莫如深， 但美国国内很多分析家认为，CNCI在若干年内的预算可能达到400亿美元。 而据媒体报道， 布什在2009财年情报预算中的最大单笔预算请求便是为支持CNCI；在2010财年，仅国土安全部(DHS)的CNCI项目预算便有3.34亿美元；最近的2011财年预算报道则透露出， 美国政府在下一财年为CNCI提出的预算请求为36亿美元。CNCI甫一出台便引起了广泛关注， 但各界均对这一计划的对外保密持批评态度。 舆论普遍认为， 信息安全行动需要政府和私营部门的密切合作， 需要所有人的共同努力， 且政府的信息安全行动往往涉及到监控及与之有关的公民隐私保护等问题， 因而将这一计划保密的做法十分不妥。2008年6月， 参议院国土安全和政府事务委员会致函国土安全部， 要求了解CNCI的细节信息以及国土安全部在CNCI中的角色。国土安全部虽然被迫对一些敏感问题作了回复， 但这份回复在对外公开时仍然以黑墨覆盖了多处敏感内容。 国土安全部负责网络安全和电信的助理部长格雷戈里 加西亚也曾感慨，CNCI中保密的内容过多， 这对官员发言和表态很不方便， 使其不得不在提高公众认知度和避免因泄露过多信息而获罪之间小心翼翼地踱步。 美国政府在国会和公众的压力下， 于2008年下半年还是公开了CNCI的12项重大活动的基本信息：(1) 通过可信因特网连接， 把联邦的企业级规模的网络作为一个单一的网络组织进行管理 ；(2) 部署一个由遍布整个联邦的感应器组成的入侵检测系统；(3) 寻求在整个联邦范围内部署入侵防御系统；(4) 对研发工作进行协调并重新定向；(5) 把当前各网络行动中心相互连接， 加强态势感知 ；(6) 制定和实施覆盖整个政府部门的网络情报对抗计划 ；(7) 增强涉密网络的安全；(8) 扩大网络安全教育；(9) 定义和制定能 “超越未来” 的持久的技术、 战略与规划；(10) 定义和发展持久的遏制战略与项目；(11) 建立全方位的方法来实施全球供应链风险管理 ；(12) 明确联邦角色， 将网络安全延伸到关键基础设施领域。2010年3月2日， 奥巴马的特别助理和网络安全协调官霍华德 施密特在RSA会议上宣布， 为了体现奥巴马做出的“实现前所未有的政府开放性” 的承诺， 政府的信息安全工作将尽可能透明， 为此政府解密了CNCI的摘要部分， 以期提高大众的集体知识， 并使全社会各方之间的合作关系更加稳固。 与此同时， 美国政府审计办公室(GAO， 由原审计总署更名而来)也于3月初发布了对CNCI执行情况的审计报告， 这为我们了解CNCI提供了更多的信息。以下部分摘录了CNCI摘要的解密内容， 并对有关情况进行了分析。 最后， 通过政府审计办公室发布的审计报告， 进一步提炼了对我们有价值的信息。CNCI摘要的解密内容(1) 通过可信因特网连接， 把联邦的企业级规模的网络作为一个单一的网络组织进行管理1可信网络连接活动由管理和预算办公室(OMB)及国土安全部领导， 涉及到对联邦政府的外部访问点(包括连接因特网的访问点)进行整合。 整合后将实施一套统一的安全解决方案，包括 ：减少外部访问点、 建立基线安全功能， 以及对各机构符合这些安全功能的情况进行验证。 在可信因特网连接(TIC)活动中， 各机构或作为TIC访问提供商(只有数量有限的机构可以有这种能力)，或通过总务管理局的NETWORX合同制度与商业化管理的可信IP服务(MTIPS)提供商签订合同。(2) 部署一个由遍布整个联邦的感应器组成的入侵检测系统入侵检测系统使用的是被动的感应器， 当非授权用户试图访问联邦网络时可以做出识别， 这构成了美国政府网络防御体系极为重要的部分。 国土安全部正在部署一批基于特征的感应器， 能够对进入联邦系统的因特网流量进行检查，1 这里的“企业级”网络与“企业”无关，是从规模上对网络做出的一种描述， 由地理上分散的多个局域网络通过专用线路或公用数据网络互联而成，处于同一组织的管辖之下。www.cismag.com.cn10F e a t u r e s本期特稿本栏目由联想网御科技( 北京) 有限公司协办以发现非授权的访问和恶意的内容， 这是爱因斯坦2(EINSTEIN 2)活动的一个组成部分。爱因斯坦2使用了基于特征的入侵检测技术， 可以通过分析网络的流量信息来查找可能的恶意活动， 这是通过对进出美国政府网络的流量自动进行全封包检查来实现的。 与技术上的投入相关的是人力的相应投入， 要实现国土安全部已然增多的网络安全使命，就离不开这些人力。 当联邦网络流量中出现恶意或可能有害的活动时，爱因斯坦2能够向US- CERT提供实时报警，并对导出数据提供关联和可视化能力。在爱因斯坦2的帮助下，US- CERT的分析人员大大提高了对网络环境的理解，增强了查找联邦网络安全缺陷和漏洞的能力。由此，US-CERT拥有了更强的态势感知能力， 可以更有效地形成安全相关信息并在美国政府的网络防护者以及私营部门安全专家、 美国公众间更及时地共享。 国土安全部隐私办公室已对爱因斯坦2项目实施了隐私影响评估， 并发布了报告。(3) 寻求在整个联邦范围内部署入侵防御系统本项活动代表了联邦行政机关内各民事部门安全防护的下一步发展方向。这称为爱因斯坦3(EINSTEIN 3)，其将采用商业技术和专门为政府开发的技术来对进出行政机关网络的流量实施实时的全封包检查， 并实现基于威胁的决策。 爱因斯坦3的目标是发现恶意的网络流量并对其进行特征化表示， 以增强网络安全分析、 态势感知和安全响应能力。 它能在网络威胁造成损害之前对其自动检测并正确响应， 因为入侵防御系统支持动态防御。 在防范、 检测和减少联邦行政部门网络和系统中的漏洞方面， 爱因斯坦3将向国土安全部的US- CERT提供协助。爱因斯坦3还为国土安全部提供了对检测到的网络入侵企图进行自动报警的能力， 这加强了US-CERT与联邦各部门之间的信息共享。 如国土安全部认为有必要，可以将不含通信内容的报警信息传送给国家安全局(NSA)， 国家安全局随后可履行法律授权的职能， 从而对国土安全部的工作提供支持。 这一活动需要大量和长期的投入来增强国家情报能力， 使其能够发现有关外国网络威胁的重要信息并实时将发现到的情况通知爱因斯坦3。 国土安全部将能够对国家安全局通过外国情报工作以及国防部在信息保障使命中发现的威胁特征进行采用， 并输入到爱因斯坦3系统中， 以支持国土安全部的联邦系统安全使命。 对网络入侵信息的共享将遵循法律的要求， 并接受对国土安全、 情报和国防相关活动的监督， 以保护美国公民的隐私和权利。国土安全部目前正实施一项演习， 该演习基于国家安全局开发的技术， 旨在试验这项活动对爱因斯坦3提出的能力要求， 并实现对民事行政部门系统中网络入侵行为信息的管理和保护工作的制度化。 为了在爱因斯坦3的设计和运行部署中建立合适和必要的隐私保护机制， 政府的公民自由和隐私官员正在与国土安全部和US- CERT密切合作。(4) 对研发工作进行协调并重新定向没有一个单独的个人或者组织能够了解政府资助的所有网络相关研发工作。 本项活动旨在为协调美国政府资助或实施的网络研发工作而制定战略和组织架构， 无论是涉密还是非涉密研发， 并在必要时对这些研发工作重新定向。 当我们在确定战略投资时， 这一活动对于减少联邦资助的网络安全研究项目中存在的重复性、 查找研究空白、 安排研发工作的优先级以及确保纳税人的钱花得物有所值都至关重要。(5) 把当前各网络行动中心相互连接， 加强态势感知要确保在政府信息安全办公室和战略行动中心之间共享有关联邦系统中恶意行为的数据， 这一需求日趋加大， 以便更好地理解政府系统面临的全部威胁， 最大化地发挥每一个组织的专门能力来打造尽可能完善的国家整体网络防线， 同时还要遵循个人隐私和其他信息保护的要求。 为了实现和支持对态势感知的共享， 本项活动向承载美国网络活动的6个网络行动中心提供了必要的关键手段。 这项工作关注的主要方面是， 要能够使美国网络活动的各个单元在履行工作使命时做到互为关联， 必不可少的内容有：基础功能与投资， 例如基础设施的改造、 带宽的增加以及行动能力的整合 ； 提高协同能力， 包括一致的技术、 工具和流程； 通过共有的分析和协同技术来加强态势感知的共享。本项活动中， 国土安全部的国家网络安全中心(NCSC)将在保护美国政府网络与系统安全中扮演重要角色， 它能协调和整合来自6个行动中心的信息， 作出跨域的态势感知， 分析和报告美国网络与系统的状态， 以及推动跨部门的协同与协调。(6) 制定和实施覆盖整个政府部门的网络情报对抗计划为了协调联邦所有部门间的有关工作， 一个覆盖整个政府的网络情报对抗计划是必要的，以检测、 遏制、 消除那些由国外发起的、 针对美国及其私营部门信息系统的网络情报威胁。 为此， 这个计划要确立和扩展网络情报对抗教育和意识项目， 建立人才队伍， 以便将情报对抗融入所有的网络行动和分析之中， 提高雇员对网络情报对抗威胁的认识， 提高政府各部门间情报对抗的协同。网络情报对抗计划 与 2007年美国国家情报对抗战略 保持一致， 并支持CNCI中其余的活动。(7) 增强涉密网络的安全涉密网络中存储着联邦政府最敏感的信息， 支持至关重要的战争、 外交、 反恐、 执法、 情报和国土安全行动。 对涉密网络的成功渗透或破坏将对国家安全造成极端严重的危害。需要恪尽职守， 确保涉密网络及网络中数据的完整性。(8) 扩大网络安全教育为了保护美国政府网络空间的安全， 已经有数十亿的资信息安全与通信保密2010.411本期特稿 F e a t u r e s联想网御缔造信息安全第一品牌金投入到了新技术之中。 与此同时， 需要有掌握正确知识、 技巧和能力的人来实现这些技术， 他们将决定网络安全的成功与否。 然而， 目前在联邦政府或私营部门内都没有足够的网络安全专家来实施CNCI， 也没有充分建立起联邦网络安全职业域。 现有的各个网络安全培训和人才发展项目尽管不错，但在侧重点方面还有不足， 且缺少一致性。 为了有力地确保持久的技术优势以及未来的网络安全， 必须建立起一支技术熟练、 熟谙网络安全知识的人才队伍， 以及有效的后续雇员输送管道。 为了应对这一挑战， 需要制定一个国家战略， 就像上世纪50年代的科学和数学教育改革一样。(9) 定义和制定能 “超越未来” 的持久的技术、 战略与规划CNCI的一个目标是发展相关技术， 使之能够提高当前不计其数的系统的安全性， 并且能在未来5到10年内得到部署。 本项活动力图制定有关的战略和规划， 在政府的研发组合中加大那些具有高风险/高回报性质的关键网络安全问题解决方案的比重。 联邦政府已经着手为研究界列举重大挑战，以期帮助解决这些需要创造性思维的困难问题。 政府正在识别并与私营部门交流共有的需求， 这些需求将驱动双方在关键研究领域的共同投资。(10) 定义和发展持久的遏制战略与项目在一个依赖于有保障地利用网络空间的世界中， 国家的高层决策者必须仔细考虑美国的长期战略选择。 目前， 美国政府已经采取了传统的办法来解决网络安全问题这