5G時代的網路安全風險趨勢與產業應對思考

本文轉自：光明網

作者：安天科技集團 肖新光 潘宣辰

計算的分散化是資訊科技的核心特徵，而將分散的計算連線則是網路的本質。

從上世紀六七十年代的大型機作為主導，到上世紀八十年代的個人計算革命，再到隨著網際網路的終端和智慧終端所興起的各種網路應用，以及今天大量的各種物聯網終端、工業物聯網終端和智慧感測器，我們正在看到一個計算無所不在、網路連結萬物的場景。

5G技術以更快速、更大規模、更大頻寬的連結能力，必然成為計算分散化的加速器。

與此同時，我們可以看到

網路安全威脅跟隨計算分散化而泛化擴散是一種必然。

上世紀70年代，面向大型機系統，就已經出現了比較原始的網路攻擊，包括越權訪問、原型蠕蟲和人為破壞等等。上世紀80年代的個人計算革命，也使安全對抗從操作對抗進入到程式碼對抗時代。IBM PC架構成為主流，感染式病毒成為最早氾濫起來的惡意程式碼型別，並伴隨磁碟資料交換而傳播，成為了安全威脅的主角，防毒軟體也對應產生。2000年前後，隨著全球資訊高速公路的建成和網際網路應用的快速發展，作業系統能夠承載更豐富多樣的應用程式，支援更多開放服務，大量計算終端不再是資料孤島，而成為連線在網路上、特別是連線在網際網路上的終端節點，針對PC節點的網路蠕蟲和木馬先後成為惡意程式碼的主流型別。而到2010年前後，智慧手機開始興起，惡意程式碼和各種威脅的重點目標逐漸從PC側轉移到移動側。同時，安全威脅逐漸蔓延到各種新興場景中。2015年，安天安全研究與應急處理中心（Antiy CERT）提出

安全威脅演進的一個重要趨勢是“泛化”，

並開始每年繪製當年的威脅泛化圖譜，揭示出在過去數年

威脅泛化的不斷加速的趨勢

。

網路安全威脅正在加速泛化

安全威脅以暴露面和脆弱性為攻擊入口。基於檢索國家資訊保安漏洞庫平臺，我們可以看到過去六年間通訊裝置的相關漏洞持續處在高位；移動網際網路相關的漏洞持續處在高位；而智慧裝置的漏洞呈現出持續快速增長的趨勢。特別值得我們警惕和關注的是，由於智慧裝置市場有大量小眾產品品類和品牌，競爭和發展呈現出“長尾”特點，目前並沒有成為安全研究和漏洞發現的主力領域，因此還有更多威脅潛伏在水面之下。尤其是一些嚴重的開源漏洞，繼承傳導到大量智慧裝置的系統中，但並不為使用者所知。儘管國內多家機構都在進行相關方面的研究，取得了一定成果，但目前還沒有形成覆蓋率足夠的成分關係關聯檢視和全面的跟進響應機制。

在這種發展趨勢下，如果沒有有效的應對方略，勢必會出現一個悲觀的未來：關鍵資訊基礎設施整體的智慧神經末梢整體性缺乏安全基因，形成大量新增的外圍裝置暴露面和可攻擊入口，進而導致能源電力體系更容易因網路攻擊而中斷，交通運輸等公共基礎設施遭遇網路攻擊干擾發生中斷癱瘓的風險機率大大提升，大量個人與家庭的智慧裝置可能隨時停擺，心臟起搏器乃至一些遠端醫療裝置遭遇攻擊後，人身安全也會遭遇重大威脅。

威脅可達之處就是防禦構建之處，而防禦構建的本質是安全與IT的耦合。

安天防禦能力框架中定義了網路安全五個基礎能力級別，即識別、防護、檢測、響應、塑造。這五個能力集合的或者源起自IT場景的變化，或者源起自新的安全威脅挑戰，它們與IT系統的耦合正規化也各不相同。

從上世紀八十年代，隨著計算機在更大範圍使用，特別是PC革命帶來的計算普及，政企側小型區域網絡也開始構建，安全運營與IT管理實現了流程耦合，達成了資訊資產初始的識別和故障運營能力。上世紀九十年代開始，伴隨著DOS系統不斷成熟的反病毒軟體廣泛安裝在被防護的主機之上，實現了防護能力與被保護目標的耦合，這是佔用被保護主機資源算力來達成安全的耦合方式，早期的病毒掃描+TSR（記憶體駐留）中斷監控，在後續以Windows為主的系統環境下，逐漸完善出病毒檢測查殺、實時行為防護、介質管控、主機流量監測和連線拒止等能力。2000年前後，安全威脅跟隨網路發展的快速流轉擴散，單純端點側的“個體安全能力+集中管理”的方式缺少足夠的防禦縱深，流量側的安全檢測能力與獨立的載體裝置相結合，採用直路或旁路接入與網路結構進行耦合的方式來構建網路側的統一入口檢測能力。2010年左右，使用者發現僅靠實時的檢測與防護依然不足以有效對抗更深度的安全威脅，特別是像APT攻擊這種長週期、高度定向性的安全威脅，需要構建非同步分析檢測-響應環，從而耦合出安全響應流程。從2020年開始，更多的安全管理者開始認識到，隨著大量的智慧終端裝置、感測器、網際網路裝置的接入；以及資料和業務和資產價值更多的向雲中分佈，使用者的原有的安全部署能力、響應干預能力都被嚴重削弱，更需要安全基因在源頭開始沉浸，實現與資訊產品深度耦合來支撐安全環境的塑造。

這種原生融合的安全能力，是構建5G時代新安全體系的基礎。同時我們也要看到，安全能力對算力和資源有較高需求。而所有

新的IT場景革命事實上都是從一個低算力起點重新開始。

無論是上世紀80年代初，中型機、大型機與剛剛出現的個人計算機，還是在本世紀初把PC機與剛剛登上歷史舞臺不久的智慧手機進行配置對比，都可以看到這種新場景的“算力降級”特點。而對於攻防對抗來說，防禦是一個體系，攻擊則從單點入口開始，因此在新的低算力場景，安全能力構建在資源上處於相對被動和侷促之中。因此，也需要關注安全算力和形態的演進趨勢。端點系統安全場景隨著大量智慧終端、甚至感測器的加入，

端點安全算力形態的重要趨勢是原生化

，即深度耦合到終端系統中；而傳統的網路流量監測裝置，隨著流量場景重心成為雲平臺場景，

流量監測算力形態演進趨勢則是雲化

，即成為雲端的安全資源池；從安全管控角度，從SIME、SOC到SOAR，在持續嘗試建構統一化平臺的努力中，很多使用者反而發現，隨著網路資產規模的日趨擴大，僅靠一個統一的管理中心，很難同時實現宏觀的管理運營全面覆蓋、又能敏捷達成微觀對抗的戰術指揮。

因此，安全管理的算力形態的演進趨勢是走向統一管理和自治可恢復彈性的結合

，當前一些使用者提出雙SIEM/SOC模式，把支撐威脅對抗的XDR平臺，從大型SOC或SIEM中獨立出來，都是這種趨勢的體現。因此如果把安全的算力需求分佈和IT的算力需求分佈疊加，就會發現安全算力和應用算力並不是均質分佈的，一方面

實時化檢測防禦算力跟隨IT算力同步分散化

，而非同步的檢測、分析算力，包括

管理算力資源則呈現全域性或區域性集中化部署特點

。

透過前面的總結，我們就可以看到在5G+IoT時代安全能力融合相對於傳統安全面臨著一系列困難。

●從場景一致性來看，傳統安全總體上存在著相對統一的幾種主流作業系統、硬體結構和指令體系，裝置基本上都按照統一的TCP/IP網路體系進行連線，因此雖然裝置品牌眾多，但安全防護產品可以實現相對的標準化和模組化。而物聯網和智慧終端裝置處於非常明顯的場景碎片化狀態，同時有大量小眾的私有協議，構建了一個高度差異化的長尾。

●從安全基因能力上來看，傳統IT體系經歷了相對比較高的規劃起點（如IBM-PC架構）的初始統一架構設計和近幾十年的演進，安全性已經是傳統IT系統的重要考量因素，作業系統、應用軟體等都已經形成了較為成體系的安全規格體系和統一的安全規範約束。而在整個的物聯網裝置體系下，目前還沒有整體統一的安全要求，現有的初步安全規範也很難覆蓋到大量碎片化的場景。

●從資源運用上來看，在傳統安全體系中已經形成了為安全執行供給相關算力的正規化基礎，安全資源執行能夠基本滿足算力要求。新興場景大量物聯網裝置的算力資源非常有限，無法支撐安全機制執行需求。

●從安全機制與場景的耦合方式上來看，類似安天等主流安全廠商，無論是和麒麟、統信等國產的作業系統，還是和微軟都有非常明確的合作協議，來確保安全機制能夠在底層驅動支撐下有效載入，來保證系統引導鏈安全，面向威脅實現以逸待勞的防護。而對於泛在物聯的時代，目前安全耦合尚處在原始和自發的階段。

●從部署能力上來看，傳統場景安全能力部署靈活，既可以出廠預裝，也可以由安全管理人員進行安裝部署。而在新興場景的智慧物聯網裝置中，幾乎沒有管理人員進行能力部署的入口和機會，或者部署後無法實現底層的防護能力，只能採用原生融合的預置方式。

因此，如果我們沒有對5G+IoT安全的有效的因應之道，有可能應用發展就是

一匹脫韁野馬，向安全性崩盤的懸崖飛奔而去

。

而安天在智慧手機時代所走過的安全線路，或許能為解決上面的問題提供一些啟示。安天在智慧手機場景實現了非常有效的能力落地，安天的AVL SDK反病毒引擎和AVL Inside安全核心已經累計為全球超過30億部手機為主的智慧終端提供安全防護，總體上覆蓋了2018年後出品的全部主流品牌國產手機，2019年後出品的幾乎全部的國產智慧POS機。安天以下一代威脅檢測引擎技術為核心能力，在智慧手機場景中使安全能力在底層與系統硬體晶片的能力相結合，而在頂層依託安全核心擴充套件相關的場景保護能力，包括病毒檢測與防護、網路攻擊防護、漏洞利用防護、Wi-Fi接入防護、支付安全防護、簡訊安全防護、彩信安全防護等等。同時我們透過系統安全層面防護能力的增強，進一步強化了手機的身份認證和相關的資料加密執行保護。

安天為智慧終端構建底層安全能力

這個過程，是伴隨著移動智慧產業演進成長的一個真實需求的跟進。從2010年到2015年左右的時間裡，在當時的情況下，手機行業面臨的是以安卓為主的基礎第三方作業系統的初步整合，對安全成熟度要求較低，手機廠商更多考慮的是按照配置更高、執行速度更快、拍照效果更好、螢幕更大且色彩更豔麗來打造有客戶吸引力的產品，對安全相對考慮較少。直到2014-2015年，多數手機廠商才開始考慮自建安全團隊，同時引入第三方安全供應商。而在2014-2015年，由於手機初始對於安全的忽視，就帶來了非常嚴重的問題。

我們以2014年“xx神器”手機病毒快速感染擴散速度為例，就可以看到當時手機安全防護較為糟糕的情況。這僅僅是一個學生編寫的技術水平並不高的病毒，其實就是利用了安卓系統手機存在安全策略缺陷，點選URL下載APK後會自動執行，之後病毒獲取通訊錄，並群發簡訊，形成信任鏈傳播。2014年前後，惡意程式碼對手機使用者已經成為了顯性可感的嚴重安全威脅。

2014年“xx神器病毒”的感染擴散監測情況

在這個背景下，能不能保證手機使用者的基本安全，保證手機不會輕易被病毒感染，就已經初步成為了手機廠商市場競爭力的一部分。在這種情況下，安天積極跟進了手機廠商的安全需求，提供防毒防護、應用管控等相關機制。2016-2018年，從市場競爭層面已經開始倒逼手機廠商提供全面的相關安全體驗，而在這個時候手機側又面臨著更進一步的一些安全的壓力和需求，那就是隨著手機裝置產業體系的規模成型，應用服務商、APP開發商呈井噴增長，安全威脅也開始複雜化和小眾化，手機成為黑灰產牟利的重災區。在這種情況下，各個手機廠商也都在強化以場景安全為核心的安全能力。在過去的幾年間，如果一個手機廠商不考慮安全的原生優勢和競爭力，已經到了難以獲得持續的創新和發展的地步，這個時候安全性已經成為了手機使用者的一個市場品牌和產品競爭力的核心要素。

安天跟隨了移動智慧產業持續演進和安全重心的遷移

網路安全在智慧終端時代已經出現了重大的變化。如果說在資訊化時代中，網路安全是資訊化的外掛部分，到了智慧終端產業中，它已經成為了一個內生部分。如果我們從產品生命週期來看待智慧終端，就可以看到安全在整個生命週期的過程中是以不同的模式進行耦合，而且具有非持續的特點。手機廠商是一個高度依賴供應鏈體系的產品場景，手機廠商必須構建高質量供給的供應鏈生態才能保證手機品質，選擇技術能力強、堅守安全廠商行為底線的第三方安全廠商也是供應鏈建設的關鍵環節。產品的初始規劃階段，更多是考慮產品對使用者可用、可見、可感的場景側、應用側價值特性，不會在最開始重點考慮安全價值，因此也需要由高水平的能長期穩定合作的第三方安全團隊參與進來，進行安全的思維和方法框架的柔性賦能；而在產品的生產體系中，則需要來自於相對可控的、確定性的能力供給，部分來自於自主研發，部分來自於第三方安全廠商的模組或中介軟體供給。智慧手機到達使用者手中後，作為一種開放式使用的裝置，有頻繁的使用者互動使用、有高頻的通訊連線需求、有大量的APP安裝應用，在這個過程中就進入到了與安全威脅開放對抗的階段。在未來的複雜局面下，安全生命週期不斷延展，供應鏈的可靠性和安全性，包括上游開發生產場景的安全已經成為了新的安全風險點，需要對所有供應商都提出網路安全的規範要求。而在客戶使用場景中，由於智慧手機已經成為日常生活的中樞節點、智慧家居的總控裝置、辦公網路的接入點和公務資訊的快捷處理節點，又使它在最終的執行中幾乎關乎所有人和所有機構的利益。

安全是數字產業持續發展的內生部分，且有非連續的特點

安天根據智慧手機產品生命週期的瀑布模型，在每一個階段提供不同的支援。在產品規劃體系中，我們持續協助手機廠商的專家完成安全規劃，幫助他們確定安全技術供應的分工和生態體系，協助手機廠商建立對上游供應商和APP開發者的安全規範。在生產過程中，我們依託TrustZone等內建安全晶片和移動作業系統的安全介面和特性來供應相關核心級能力模組，實現在生產製造過程中的直接ROM層面的融合。而進入到客戶安全運營過程中，我們協助手機廠商實現對手機使用者面對威脅態勢的檢測、及時發現響應安全威脅、升級檢測規則和能力模組。因此，我們所實現的並不單純只是把安全的引擎和防護核心內建到手機當中，而是依託“安天賽博超腦”威脅檢測運營體系和分析團隊，為檢測引擎和安全核心模組提供持續的規則、情報推送，安全策略模板調整和其他提升威脅對抗能力的運營支援。我們認為安天的這些工作經驗，為在5G+IoT時代做好安全能力的同步跟進提供了一種重要的路徑參考。

同時安天也在深入思考，隨著數字化轉型的加速，智慧產品在敏捷能力生成的導向下，在SecDevOps的文化與方法的變革下，必然打破經典的瀑布式的輸出鏈路，進一步地進入到一個基於數信融合、物信融合的彈性生成的體系中。而此時安全的耦合模式和賦能方式也需要因應而變。但最關鍵的是，在攻擊時空泛化的背景下，“關口前移”就是防禦能力的時空擴充套件。在5G+IoT時代，想構建一個安全的未來，就更要堅持網路安全的

關口前移

，將網路安全防禦的基礎能力和防禦

邊界延伸至每一個物聯網終端裝置

，並將其作為網路安全彈性防線的有機組成部分，而為了保障和支撐安全的關口前移，則要做到：

●算力前置：在智慧物聯網裝置的架構設計之初，應為安全功能預留算力成本。與此同時，也可以考慮使用安全的專用算力晶片彌補物聯網裝置本身通用算力不足的問題。

●基因沉浸：無論是物聯網和智慧感測器等裝置，包括物聯網基礎設施體系建設，無論是在電氣/電子層面、還是軟體層面，都需要在整個規劃、研發、運營階段內持續融入安全基因。

●原生融合：安全能力要與生產製造過程深入融合，形成出廠預置的安全能力和高水平的初始安全基線，而不單純依賴於二次部署。

而與此同時，主管部門和行業也必須為安全能力部署建立安全行為規範，避免假借安全之名，過量採集使用者隱私、精準使用者對位畫像、違規運營使用者資料等的違規行為。避免網際網路時代的亂流，在物聯網時代更加氾濫。

因此在未來，安天將繼續推動網路安全的“關口前移”，也將繼續堅定執行安全廠商的自我行為約束規範。當前安天的安全引擎或安全核心已經覆蓋近百家移動網際網路與智慧終端裝置，與重要移動應用開發廠商，11家網路安全的同行企業，7家主要的信創產品廠商，5家重要的雲廠商，形成了一套圍繞威脅檢測和場景防護能力展開的協作機制。我們將全面強化合作，建構一個良性的安全賦能生態。

人無遠慮、必有近憂。我們還需要思考未來更長遠的安全和挑戰。今天5G所連線的已經是一個龐大智慧的物聯網體系，並且還在迭代發展。在未來，我們可能會面臨兩種重大的風險：其一是隨著感測採集的無所不在，我們面臨的DeepFake風險已經遠不是影片、聲音的偽造，而是具有獨立人格或目標等效人格的“數字化構造體”；其二是未來時點，腦機介面等技術有可能取得重大突破。當物聯網變成了真實的“人聯網”、包括人與具有“人格”的數字構造體之間的聯網時，我們將面臨著更大的挑戰。在未來，終將有一天，隨著元宇宙、腦機介面等技術的發展與深化，以及深度行為畫像、DeepFake等對抗性技術的發展，網路安全威脅對人的認知和實體空間的的影響會從間接影響轉化為直接影響，網路風險將向認知風險快速轉化，包括直接轉化為對人身安全的直接威脅。而在這樣一種風險到來之前，我們更需未雨綢繆。

唯有堅持“關口前移，防患於未然”，才能為不確定的未來構建確定性的保障。