网络安全数字孪生研究

在新时代，网络空间已经成为人类不可或缺的“第二生存空间”，网络空间安全已成为人类普遍关注的世界性难题。当前，网络空间安全形势日益严峻，特别是随着数字化进程的不断深入，网络安全问题已经从网络空间向物理世界延伸，线上线下的安全边界日益模糊，网络安全防御的范围、边界、范畴持续拓展。基于经济社会数字化转型的迫切需求及其可能带来的网络安全风险和挑战，亟须从网络安全设计的本源出发，变革网络安全防御体系设计、产品研制、系统试验等研发模式，增强网络安全防御体系的高效性、适应性和主动性，对于提升网络空间安全具有非常重要的意义。数字孪生的概念设想起源于2003年，并于2010年被美国国家航空航天局（NationalAeronauticsandSpaceAdministration，NASA）正式提出。其后在2017年、2018年和2019年连续被国际知名调研机构Gartner列为十大技术趋势之一。2020年7月28日，Gartner携手树根互联发布了工业互联网行业白皮书《如何利用数字孪生帮助企业创造价值》。该白皮书预测，数字孪生将是未来企业转型与创造价值的重要驱动力，到2024年，超过25%的全新数字孪生将作为新IoT原生业务应用的绑定功能被采用。近年来，数字孪生已经在智慧城市、智能制造、智慧建筑、智慧医疗等诸多领域得到成功的实践应用。数字孪生网络的概念也被提出，被认为是未来网络规划、运行、管理和运营的新方向。数字孪生是以数字化方式创建物理实体的虚拟实体，借助历史数据、实时数据及算法模型等，模拟、验证、预测、控制物理实体全生命周期过程的技术手段。作为数字时代推进数字化转型的重要抓手，数字孪生能够建立物理世界的虚拟化数字镜像，是实现以数据为驱动创造新价值的重要途径。在网络安全体系设计及产品研发过程中，充分利用数字孪生虚实双向映射、实时交互、动态连接等特点，辅以数据全维采集、智能分析预测、模拟仿真推演等技术，构建基于数字孪生的产品研发与试验平台，能够大幅提升网络安全防御效能，促进网络安全产品研、建、用、维等全环节的使能闭环，从而有可能创造出“改变游戏规则”的颠覆性技术机遇。本文以新时代网络安全防御建设面临的主要挑战为切入点，提出网络安全数字孪生的概念，构建网络安全数字孪生体系架构，并结合数字时代网络化、数字化、智能化的发展趋势，提出推进网络安全数字孪生建设的主要思路，为提升网络安全防御的整体效能提供可行的解决途径。1新时代网络安全的挑战1.1网络空间“未知大于已知”维护网络安全，首先要知道风险在哪里，是什么样的风险，什么时候发生风险。作为典型的复杂人造空间，网络空间蕴含着无数无法探知的漏洞和风险，无法从根本上做到绝对安全。众多国家行为体、非国家行为体都可以利用这些未知漏洞信息发动网络零时差攻击，并利用跳板攻击、复合攻击、防溯源等智能攻击技术，提升网络攻击的隐蔽性和复杂性，导致未知威胁和蛰伏攻击的应对成为困扰网络空间安全防御的一大难题。在这种背景下，准确感知网络安全态势成为最基本的工作。我国网络安全等级保护2.0十分关注基于监测预警的主动防御，要求通过网络安全监测预警技术，收集态势信息，找出安全漏洞，及时准确预警，快速响应处置，化解网络漏洞引发的安全风险。然而，现有的网络安全监测预警系统主要是通过部署监测探针的方式，采集网络重点部位的离散态势数据。这种方式数据分析的来源和范围有限，无法真实还原网络的实际运行环境和安全状态，也无法做出精准的安全风险研判和趋势预测，导致网络空间的“未知”风险和隐患仍然普遍存在。1.2安全风险“防不胜防”面对层出不穷的网络安全风险，诸如防火墙、入侵检测、防病毒、信息加密等众多安全防护手段不断涌现。这些安全防护手段往往以分域隔离、边界固防为目标，以基于已知漏洞和风险规则的模式识别为主要运用模式，并由此形成了“护城河”式的边界网络安全防护模式。这种安全防护模式可以防范已知的安全威胁，对于业务单一、封闭隔离的信息系统具有一定的安全防护作用。随着数字化进程的不断加快，网络的应用模式发生了本质变化，传统网络安全方式已经力不从心，陷入了“防不胜防”的尴尬境地。一是疫情引发的远程办公、医疗等“无接触”模式加快推广，网络安全的防护边界和范围不再是固定的，而是动态弹性变化的；二是基础设施和应用程序逐步向云迁移，云计算、虚拟化、移动计算等新技术的应用迫使网络安全防护从边界设防向端到端定制设计发展，“一招制敌”的边界安全防护不再有效；三是数字化转型拉动以数据为生产要素的新型业务模式，数据全生命周期的安全防护成为新的研究课题，势必要求安全防护深入具体的数据流程和典型的业务过程。在上述背景下，动态防御、主动防御、欺骗防御、智能防御等新型网络安全防御机制不断产生，以获取更佳的安全防御能力。然而，由于网络攻防处于不对等的困境，从根本上解决网络安全问题并非易事，亟须寻找一种新的网络安全设计机制和方法，打通现有安全产品研发到安全产品运维的梗阻，能够通过与现实网络的实时交互和动态学习，以“道高一尺，魔高一丈”的迭代演进模式，摆脱网络安全风险“防不胜防”的现实困境。1.3网络安全“牵一发而动全身”网络安全是网络空间的伴生属性，与信息化是一体之两翼、驱动之双轮。这就决定了不能以孤立、封闭、静态的角度看待网络安全问题，而是要辩证地从体系、关联、动态、开放等多个角度把握网络安全的本质特征，才能在网络安全防御中取得实效。一是网络安全是体系性的，任何安全漏洞都可能引发“底漏效应”；二是网络安全是共同的，与通信网络、业务系统等信息化建设深度耦合，任何安全策略的调整都会对信息系统运行带来直接影响；三是网络安全是动态发展的，新的业务模式、攻击手段、信息技术都需要针对性的安全防护设计，一招鲜式的网络安全防护手段并不存在；四是网络安全是开放的，需要整合和利用漏洞库、情报库、知识库等各类社会资源，以合力的方式对抗日益国家化、智能化、隐蔽化的网络攻击。在这种意义上，网络安全防御设计需要坚持顶层设计，既要考虑现有问题，也要以发展的角度看待未来需求；既要考虑全局性目标，也要深入具体的业务特征进行针对性设计；既要考虑自身的安全运维管理，也要考虑与通信网络、业务系统的协同联动；既要考虑自身特色资源库的建设，也要考虑外部资源的引接与汇聚。正是因为这种“牵一发而动全身”的特性，网络安全防御需要一种覆盖设计、研发、试验、建设、使用等全生命周期的设计模式和进化环境，使得网络安全防御能够更加实战化、体系化、常态化。综上所述，面向新时代网络安全的发展需求，亟须发展新的网络安全设计理念，探求“改变游戏规则”的网络安全创新方法。在这种背景下，数字孪生技术凭借其虚实双向映射、全程实时交互、数据智能挖掘等特点，能够在网络安全防御中发挥更加重要的作用。2网络安全数字孪生结合数字孪生的定义以及网络安全领域的典型特点，对网络安全数字孪生做出如下定义：网络安全数字孪生是以数字化的形式，对物理世界中网络安全领域的各类要素进行多维度、跨时空、多粒度的精准映射，形成具备“感知—分析—决策”的数字化智能体，通过虚实映射、动态交互、智能学习，支撑网络安全设计、研发、试验、部署、使用、运维等全生命周期过程的能力优化和迭代演进。其中网络安全领域的各种要素包括网络安全产品、规则、策略、指令、资源、应用以及人的各种活动等。2.1体系架构从逻辑关系来说，网络安全数字孪生体系架构可以分为物理层、孪生层、应用层，具体如图1所示。图1网络安全数字孪生体系架构2.1.1物理层物理网络空间中的各种实体以及网络安全核心设备构成了网络安全数字孪生的物理层。物理网络实体具有不同的形态，如移动互联网、园区网、党政军专网等，分别具有不同的安全防护需求，对应需要部署针对性的安全防护设备。此外，物理层还包括各类内嵌式或外接式的网络安全数字孪生代理，支持数据采集、控制方案接收等功能。2.1.2孪生层孪生层是网络安全数字孪生的核心，包括数据单元、模型单元、控制单元。其中数据单元包括数据汇聚、数据引接、数据治理以及大数据平台等功能，支持物理网络空间网络安全及相关支撑数据的实时获取和长期存储，形成网络安全数字孪生的大数据“底座”。模型单元包括各类网络安全数字孪生模型，同时具备模型管理、模型编排、模型组合等功能，并支持各类模型的二次开发和第三方引接，提高模型的可扩展性。控制单元是网络安全数字孪生的“大脑”，包括数据融合分析、风险识别、故障研判、模式推演、方案生成等智能化处理能力，并支持可视化呈现、效能评估及运行控制等功能。控制单元形成的方案可直接发送到物理层的孪生代理，通过自动化执行，实现“采集—分析—决策—响应”的智能闭环。2.1.3应用层应用层是网络安全数字孪生的服务交互平台，提供设备级、系统级、体系级等不同类型的数字孪生应用。其中，设备级应用包括网络安全防护设备的总体方案设计与验证、关键技术体制设计与验证、核心功能设计与验证、典型应用模式设计与验证等。系统级应用包括网络安全防护系统架构设计、系统级关键技术及功能验证、系统联试联调、系统建设部署方案设计等。体系级应用主要面向网络安全防御体系的运用及能力提升，如防御战法推演、体系级对抗验证、体系能力演进提升等。通过内部交互接口，将应用需求发送到孪生的控制单元；处理执行后，将处理结果反馈到应用人机交互界面，最终由操作人员进行研判执行。2.2核心要素构建虚实双向映射、自演进、自生长的网络安全数字孪生体是网络安全数字孪生的基本目标。安全数据、安全模型和安全大脑是网络安全数字孪生体的核心要素，分别对应孪生层的数据单元、模型单元、控制单元。网络安全数字孪生的核心要素如图2所示。图2网络安全数字孪生的核心要素2.2.1安全数据安全数据是网络安全数字孪生体的基础。利用物理网络上的安全探针，实时获取物理网络上的网络业务流量、安全策略配置、安全设备状态、日志信息等数据，并以此作为数字孪生体运行的基础数据。同时，安全数据还包括从外部引接的各类情报、知识等。2.2.2安全模型安全模型是网络安全数字孪生体的骨架，包括元模型、数字孪生单元和数字孪生体。其中，元模型是创建模型最基础的元素，是对物理网络域安全各种要素进行抽象表征的基本规则。基于数字孪生元模型进行设计，能够形成物理网络空间安全各类要素的数字化映射模型，即数字孪生单元。根据实际的网络拓扑、运维管理及业务流量，动态组合和编排相应的数字孪生单元，可以形成高保真、可视化的数字化映射系统，即数字孪生体。数字孪生体支持与物理网络空间的动态连接和实时交互，可通过动态变化快速匹配物理网络空间的实际情况。2.2.3安全大脑安全大脑是网络安全数字孪生体的核心中枢，是数字孪生体具备自闭环、自演进、自适应等生命力特征的根本。安全大脑能够跨越时间和空间的限制，借助优化模型、先验知识、控制算法等，对数字孪生体进行全生命周期的分析、模拟、推演和控制，由此形成各种网络安全防御知识、策略等，并利用网络安全数字孪生体与物理网络的反向交互通道，以更高的效率、更低的成本助力网络安全防御的设计优化、防护加固和运维管控。2.3基本特征网络安全数字孪生以安全数据为驱动，以安全模型为载体，能够为网络安全提供全程伴生的智能控制“大脑”，为提升网络防御效能提供重要的技术支撑。网络安全数字孪生具有贯穿全程、虚实交互、智能共升等基本特征。（1）贯穿全程。网络安全数字孪生覆盖网络安全设计、研发、试验、部署、使用、运维等全生命周期，在不同的阶段能够提供不同的数字孪生应用服务。（2）虚实交互。网络安全数字域与物理网络域之间支持双向映射、动态交互和实时连接，获取的数据支持多样化、多粒度安全模型的构建与扩展，并通过模型组合与海量数据支撑，形成与物理网络空间高度一致的、模型定义的、数据驱动的网络安全“镜像”。（3）智能共升。网络安全数字孪生体能够跨越时间的维度获取全量数据，能够利用数字建模、模拟仿真、数据分析、人工智能等方式，从历史数据、实时状态中获取未来的安全趋势，从众多不确定性中找出风险关联，形成策略加固、资源调度、能力提升、运维保障等方面的决策知识和处置方案，提交物理网络域综合评判或直接采纳实施，从而在提升自身智慧水平的同时，增强网络空间的安全防护效能。2.4外部关系2.4.1与数字孪生网络的关系网络安全数字孪生是数字孪生网络的重要组成部分，数字孪生网络能够为网络安全数字孪生提供基础的网络和业务环境。网络安全数字孪生离不开数字孪生网络。2.4.2与网络安全监测预警的关系网络安全监测预警是网络安全防护的重要部分，也是网络安全数字孪生数字化建模的重要对象，可用于信息系统运行过程中安全态势掌控、安全风险预警、应急响应处置等。网络安全数字孪生覆盖网络安全设计、研制、试验、使用等全生命周期。一方面，在使用阶段，可以利用网络安全监测预警提供的采集数据、安全知识、监测策略等，作为网络安全数字孪生的数据来源和建模依据；另一方面通过仿真模拟、预先研判等方式，网络安全数字孪生能够为网络安全监测预警的系统设计、产品研制、运用策略及模式提供数字化验证环境。2.4.3与网络安全靶场的关系网络安全靶场是通过线下模拟、仿真、虚实结合等方式，构建逼真拟实的网络模拟环境，支撑网络安全技术验证、攻防对抗演练、风险评估分析、技能培训等。网络安全数字孪生可快速复现物理网络空间现场真实状态，能够解决网络安全靶场构建、推演、评估等过程的复杂性和不确定性，是推进网络安全靶场高水平建设的必由之路。现阶段网络安全靶场可作为独立平台采用数字孪生技术构建，未来随着网络安全数字孪生技术的逐步成熟，网络安全靶场的应用功能可全部整合到网络安全数字孪生，从而使得网络安全数字孪生成为与物理网络空间伴生发展的复合功能体。2.5应用价值网络安全数字孪生的应用，将为网络安全防御提供“改变游戏规则”的发展机遇，为解决当前网络安全“未知大于已知”“防不胜防”“牵一发而动全身”等问题提供新的解决思路。2.5.1网络安全产品研发的数字试验床当前，数字孪生在工业领域作为支持产品研发、设计、制造、营销和服务的支撑理论和技术，得到众多跨国企业的探索实践[8]。在网络安全领域，网络安全数字孪生能够以最小的代价和最低的成本形成产品数字化模型，集成现有安全防护设备，构建虚实协同的网络安全数字化试验环境，成为安全防护设备在需求分析、方案设计、样机研制、系统联试、产品交付等不同阶段的数字化试验平台。这种方式能够将传统安全产品作坊式无序研发模式转变为基于数据驱动的科学研发模式，有效支撑网络安全防护产品全生命周期的协同创新和迭代升级，彻底改变网络安全设计“围追堵截”“防不胜防”的被动局面。网络安全数字孪生支撑产品研发如图3所示。图3网络安全数字孪生支撑产品研发在设备需求分析与方案设计阶段，通过构建数字化模型，可以提前验证功能性能指标的合理性，支撑设备研制总要求的编制，形成更加合理可行的设备研制技术方案。在设备研制阶段，通过与试验样机及其网络运行环境的实时交互，可以充分验证关键技术体制的有效性，减少试错风险，为优化和完善技术路线选择提供科学依据。在系统联试阶段，通过数字孪生环境与物理环境的动态交互，可以充分试验和验证产品组织运用模式、管理保障模式、协同联动方式的合理性，支撑形成更为有效的产品建设部署方案。在产品交付阶段，能够模拟和评估产品在各种应用环境的防御模式及效能，推演产品建设部署后出现的各种异常结果，减轻或避免因策略配置、故障失效、资源调度等引发的防御效能下降问题。2.5.2网络安全决策推演的数字化沙盘军事沙盘能够形象展示作战地区的地形、敌我阵地组成、兵力部署和兵器配置等情况，可用于指挥员研究地形、敌情、作战方案，组织协同活动，实施战术演练，研究战例和总结作战经验等。数字孪生之所以引发业界的高度重视，一方面在于其能够利用虚实映射、实时交互、动态连接等特性，形成1∶1还原物理世界实时状态的虚拟“镜像”，如同沙盘还原作战地形和阵地一般；另一方面，可以通过数字建模、模拟仿真、数据分析、智能推理等技术，具备思考、预测与判断能力，进而通过可重复的、可试错式的方案推演，发现潜在的改进点与风险点，并最终形成解决物理世界问题的最优方案，如同在沙盘上演练作战方案。网络安全数字孪生能够跨越时间的限制，立体、多维地展示历史、当前、未来的网络安全态势。一方面，在该安全态势的基础上，网络安全数字孪生大脑能够对安全演变趋势、攻击影响范围、网络脆弱性等进行推理、研判及评估，从多个角度识别网络攻击特征，复盘网络攻击路径，溯源网络攻击源头，对于扭转网络空间“未知大于已知”的困境提供有效的途径。另一方面，网络安全数字孪生还提供了一种推演安全防御战法的“沙盘”。在该数字化“沙盘”上，可以按需设置安全策略、部署安全机制、分配安全资源，而不影响实际网络的运行，通过多粒度、多维度的试验和评估，形成效能最优、影响面最小的网络安全防御及运维管理方案，并将该方案直接推送至物理网络空间执行，从而有效解决网络安全在使用过程中“牵一发而动全身”的现实难题。3主要推进思路网络安全数字孪生通过建立网络安全产品研发的数字试验床，在产品部署和应用后，形成网络安全决策控制和运维管理的数字化沙盘，实现基于数据驱动的网络安全防御能力的内在迭代演进，并为人工智能等新型信息技术在网络安全领域的广泛应用创造良好的数据环境，促进网络安全产品在研、建、用、维等环节上的“无缝隙”融合。在当前全面推进企业数字化转型的大潮中，网络安全企业要充分利用数据这一新型生产要素，采用数字孪生技术打通产品在全生命周期的内部壁垒，创造出更多的数据价值。3.1将数字孪生纳入网络安全企业数据化转型发展战略当前，数字化转型已成为信息时代的大势所趋，通过数字化、信息化、智能化建设能够推进企业全流程、全链路的重塑再造，化解网络安全企业发展过程中的不确定性，进一步提升企业可持续发展能力。开展数字化转型，首要任务就是制定数字化转型战略，进行数字化转型顶层设计，将数据驱动的理念、方法和机制根植于网络安全发展的全局。作为推动数字化转型的重要抓手，数字孪生技术将会成为网络安全企业实现转型与创造价值的关键驱动力，有效发挥其在模型设计、数据采集、分析预测、模拟仿真等方面的积极作用，有力推进网络安全产品在研发机制、业务场景、价值模式、创新方式等方面的数字化转型。3.2强化网络安全数字化建模，构筑数字孪生发展牢固根基数字化建模是网络安全数字孪生的基础。通过对网络安全建设全生命周期过程中网络安全产品、运维管理活动和网络信息依存环境的数字化表达，能够形成模块级、设备级、系统级、体系级等不同类型的数字化模型或数字样机。这些数字化模型或数字样机通过动态组合和编排，将构建出与物理网络空间直接映射的网络安全数字孪生体，为开展体系优化设计、功能性能指标验证、技术方案合理性评估、组织运用模式研究、产品版本迭代提升等活动创造良好条件。为此，在网络安全产品设计过程中，需要将数字样机设计作为产品研制的重要环节，积极打造可扩展、可定制的数字样机基础平台，并有效衔接数字化论证、数字化研制、数字化试验等过程，为网络安全数字孪生提供基础的模型支撑。3.3加快开展核心技术壁垒突破，推进数字孪生尽快落地网络安全数字孪生涉及仿真建模、大数据分析、人工智能、虚拟现实、人机协同、自主操控等众多核心技术，而且实现具备贯穿全程、交互、智能共升特征的网络安全数字孪生体所需的技术难