1網絡設備安全態勢分析

近年來，網絡及技術的演進持續影響網絡設備，使設備呈現虛擬化、軟件化、類型多樣化、功能融合化等趨勢。同時，各國接連發布網絡安全相關法律法規及新的監管政策，加強對網絡及網絡設備的安全管理力度，對網絡設備安全的發展趨勢形成較大影響。

1.1新技術以及新應用不斷影響設備形態和功能

5G、AI、SDN等技術催生新的設備類型和功能。隨著5G技術的發展和成熟，會產生大量5G基站、5G終端、5G核心網設備等新型設備；隨著人工智能（AI）技術的廣泛應用，已經產生了大量的智能音箱、智能家庭網關等智能設備；隨著軟件定義網絡（SDN）相關技術的發展出現了白盒交換機、網絡控制器等新型設備；網絡功能虛擬化（NFV）技術則催生了大量軟件形態的網絡設備，包括虛擬路由器、虛擬防火墻等。物聯網、工業互聯網、車聯網等新網絡形態和應用場景提出新的設備功能需求。物聯網、智慧城市等應用場景提出了NB-IoT、智慧路燈、智慧井蓋等新的功能需求；工業互聯網的蓬勃發展使工控交換機、工控防火墻等設備出現在工業控制系統網絡中；車聯網應用場景下，出現了車載以太網設備、V2X路側設備以及各種傳感器等新形態的網絡產品；智能家居應用場景下，智能路由器、融合網關設備、智能插座、智能電視逐步走入千家萬戶。

1.2網絡安全監管新趨勢對設備安全形成較大影響

《中華人民共和國網絡安全法》（以下簡稱《網絡安全法》）已經于2017年6月1日起實施，與設備安全相關的配套制度也在不斷完善，如網絡關鍵設備與網絡安全產品安全認證與安全檢測制度。目前已經明確了設備和產品目錄以及實施安全認證和安全檢測的機構，相關國家標準尚待制定和完善。關于《網絡安全法》中提出的網絡安全審查，主管部門發布了《網絡產品和服務安全審查辦法（試行）》。關于數據出境安全方面，發布《個人信息和重要數據出境安全評估辦法（征求意見稿）》。此外，《中華人民共和國密碼法》《個人信息保護法》等網絡安全相關法律已經提上了立法研究日程。

歐盟、美國等聚焦個人信息保護，對涉及個人信息的網絡設備及其提供方提出新的監管要求。歐盟《通用數據保護條例》（GDPR）于2018年5月生效，并強制執行。GDPR被稱為“史上最嚴”的數據保護法律法規，企業如違反GDPR條例的相關要求，處罰措施非常嚴厲，輕者，處以1000萬歐元或者上一年度全球營業收入的2%，兩者取其高；重者處以2000萬歐元或者企業上一年度全球營業收入的4%，兩者取其高。美國（加州）2018年6月通過并簽署了《2018加州消費者隱私法案》，法案定于2020年1月1日生效，被稱為“全美最嚴”網絡隱私保護法。該法案要求掌握超過5萬人信息的公司必須允許用戶查閱自己被收集的數據、要求刪除數據以及選擇不將數據出售給第三方。

2網絡設備安全威脅分析

2.1網絡攻擊趨于技術底層化和規模化

從網絡攻擊的發展趨勢來看，網絡攻擊范圍和目標不斷擴大，采用的技術手段不斷升級，產生的后果從破壞網絡設施到影響國家政權。網絡安全攻擊最早針對個體的服務器或局域網，現在已有大量全球化規模的DDoS攻擊網絡，攻擊目標也遍布世界各國。從攻擊事件的性質上看，網絡攻擊已經從單純的破壞進化到獲取經濟利益、國家情報甚至顛覆政權，Facebook公司泄露個人信息，這些包含個人信息的數據被分析利用導致影響美國大選就是一個典型的案例。

分析近年來的重大網絡安全事件，均顯示網絡設備在網絡安全攻防體系中的戰略地位十分重要。2013年，斯諾登披露的“棱鏡

計劃”表明核心路由器等網絡設備是實施網絡監聽的重要攻擊目標。2015年9月國外安全公司FireEye發現針對路由器的植入式后門，涉及Cisco1841l/Cisco2811/Cisco3825路由器及其他常見型號。這個后門被命名為SYNKnock，可能是因為后門的網絡控制功能（CnC）會通過一個特殊的TCPSYN包來觸發。在烏克蘭、菲律賓、墨西哥和印度這4個國家中至少有14個類似的植入后門在傳播。2016年，美國和德國接連發生大規模斷網事件，安全研究人員發現是由Mirai僵尸網絡通過物聯網（IoT）設備如網絡攝像頭、路由器、DVR、恒溫器等展開一系列攻擊導致的。

2017年至2018年，Intel公司接連被披露部分CPU產品存在安全漏洞，攻擊者可利用漏洞實施攻擊，獲取核心內存里存儲的敏感內容，比如訪問到設備的內存數據，包括用戶賬號密碼、應用程序文件、文件緩存等。由此可見，網絡攻擊不再聚焦在應用層，類似CPU等更加底層的組件也成為網絡攻擊者的目標。

2.2網絡設備安全問題持續增長

中國信息通信研究院泰爾實驗室NDVD統計數據顯示，網絡設備漏洞數量近年來增長迅速。究其原因，一方面是從2009年開始，移動互聯網迅猛發展，網民數量也激增，幾乎每個家庭都接入寬帶互聯網，家用路由器等網絡設備數量飛速增長；另一方面是網絡設備與通用IT設備存在顯著差異，網絡設備的使用周期長，自身安全防護能力弱，軟件更新頻次低，漏洞等遺留問題多，且安全問題易被忽略等，導致攻擊者對網絡設備攻擊的技術難點降低、收益增高，由此對其關注度逐步提升。

2.3設備安全標準滯后于技術和市場

網絡設備安全標準與新技術發展和市場需求存在明顯滯后，路由器、交換機、服務器等網絡關鍵設備現行部分安全標準已經超過10年未更新，難以及時覆蓋新的設備類型以及新的安全技術和安全功能特性，與網絡攻防技術的飛速發展相比，標準更新滯后，原有標準對設備安全要求偏低，導致設備整體安全水平不高。

近年來，針對物聯網設備安全的攻擊頻發，包括前文提到的美國和德國接連發生的大規模斷網事件，均與網關路由設備、攝像機等物聯網設備相關，但目前尚無相關安全標準。

3網絡設備安全發展面臨的機會分析

3.1網絡安全產業迎來大力發展契機

習近平總書記在2018年4月講話中提出，“積極發展網絡安全產業，做到關口前移，防患于未然”。網絡安全產業發展被提升到新的高度，中央和地方持續加大對網絡安全產業的支持力度。

工信部等四部門于2018年聯合印發了《關于加快安全產業發展的指導意見》，意見提出，2020年，安全產業體系基本建立，產業銷售收入超過萬億元。到2025年，安全產業成為國民經濟新的增長點，部分領域產品技術達到國際領先水平；國家安全產業示范園區和國際知名品牌建設成果顯著，初步形成若干世界級先進安全裝備制造集群；安全與應急技術裝備在重點行業領域得到規模化應用，社會本質安全水平顯著提高。我國重點城市加快產業布局，推動網絡安全產業集群化。工信部、北京市決定共同打造國家網絡安全產業園區；武漢市致力于打造網絡安全領域的中國硅谷，正式啟動國家網絡安全人才與創新基地建設；四川省發布《信息安全產業發展工作推進方案》，推動實施“成都國家信息安全產業基地”的建設。

3.2法律法規及配套制度向縱深推進

落實《網絡安全法》要求，將設備安全監管配套制度向縱深推進，對關系關鍵信息基礎設施安全的少數關鍵、基礎共性的設備進行重點監管，對全面促進網絡設備安全發展，提升設備安全水平具有積極作用。

針對網絡關鍵設備安全檢測事項，2017年6月，四部委發布《關于發布網絡關鍵設備和網絡安全專用產品目錄（第一批）》公告，明確路由器、交換機、服務器和PLC設備列入第一批網絡關鍵設備目錄。2018年6月，四部委發布《關于發布承擔網絡關鍵設備和網絡安全專用產品安全認證和安全檢測任務機構名錄（第一批）的公告》，明確了中國信息安全認證中心、中國泰爾實驗室等承擔安全認證和安全檢測任務的機構名錄。

相關主管部門發布規定，落實網絡產品與服務安全審查、關鍵信息基礎設施保護、個人信息和重要數據出境、等級保護等方面的要求。主要管理文件包括《網絡產品和服務安全審查辦法（試行）》《關鍵信息基礎設施保護條例（征求意見稿）》《個人信息和重要數據出境安全評估辦法（征求意見稿）》《網絡安全等級保護條例（征求意見稿）》等。

3.3團體標準凸顯優勢

國家標準和行業標準在保障網絡安全方面發揮了重要作用。在當前網絡安全攻防技術發展迅速，團體標準在適應新技術新產品、匹配市場需求方面凸顯優勢，對提升網絡和設備安全水平可形成對國家標準和行業標準的有效補充。

相關法律法規文件明確了團體標準的重要性地位。《中華人民共和國標準化法》提出，國家鼓勵社會團體協調相關市場主體共同制定滿足市場和創新需要的團體標準，國家鼓勵社會團體、企業制定高于推薦性標準相關技術要求的團體標準。國務院《深化標準化工作改革方案》提出，要發展壯大團體標準，鼓勵社會團體發揮對市場需求反應快速的優勢，制定一批滿足市場和創新需要的團體標準，優化標準供給結構，促進新技術、新產業、新業態加快成長。鼓勵在產業政策制定以及行政管理、政府采購、認證認可、檢驗檢測等工作中使用團體標準。質檢總局、國標委《關于培育和發展團體標準的指導意見》指出，促進標準實施，探索在產業政策制定以及行政管理、政府采購、認證認可、檢驗檢測等工作中引用團體標準的機制，鼓勵使用具有自主創新技術、具備競爭優勢的團體標準。

從制定周期、標準要求、側重范圍等方面分析，團體標準更適應“短平快”的市場需求。

4展望

在當前形勢下，為提升我國網絡設備安全水平，建議：一是加強主管機構、設備制造商、產業鏈相關方、使用方、測評機構、研究機構、高校等多方協作，共同提升設備整體安全水平；二是加強國家標準與團體標準的聯動，充分結合二者的優勢，更好地為提升設備安全服務；三是加強核心技術研發，廣泛參與到網絡設備的全球產業鏈中，從單一的核心部件使用方逐步過渡到具備核心部件供應能力。

 

（原載于《保密科學技術》雜志2018年9月刊）