改变游戏规则推动网络安全“弯道超车”

作者 吉永宏 国家网络空间安全发展创新中心专家

“互联网核心技术是我们最大的“命门”，核心技术受制于人是我们最大的隐患。”——摘自习近平总书记《在网络安全和信息化工作座谈会上的讲话》 2016年4月19日

当前，网络信息技术是全球研发投入最集中、创新最活跃、应用最广泛、辐射带动作用最大的技术创新领域，已经成为全球技术创新的竞争高地。但如果在核心关键技术领域受制于人，就犹如在别人的墙基上盖房子，再大再漂亮也可能经不起风雨，甚至会不堪一击！

市场换不来核心技术，有钱也买不来核心技术。有关部门统计，仅2015年的抽样监测，我国就有1978万余台主机被10.5万余个木马和僵尸网络控制端控制。作为遭受网络攻击最严重的国家之一，我国面临的网络安全形势十分严峻。据中国工程院院士邬江兴介绍，由于现有的网络防御体制采用的是“后天获得性免疫”机制，先“亡了羊”，才能通过打补丁、封门堵漏来“补牢”，对于不能感知和认知的网络攻击几乎不设防，而拟态防御理论与方法能够改变网络安全这一“游戏规则”，有效应对这些问题。

安全困局 亟待开展战略突破

一只变幻翻滚的章鱼，游动在第三届世界互联网大会国际会展中心展台的大屏幕上，吸引了很多参会代表和观众驻足，其中有一位满头银发的老者，久久不肯离去。

这位老者，就是被誉为“中国程控交换机之父”的中国工程院院士邬江兴。在这届大会上，邬江兴提出的拟态防御理论及核心方法，首次面向世界同行展示。而这项网络安全创新理论，最初的灵感，就来源于自然界的伪装大师——章鱼。

拟态，是指一种生物模拟另一种生物或环境的现象。2008年，一段章鱼扭曲肢体、变化莫测的视频，让邬江兴受到启发：在虚拟的网络空间，可不可以也采取“拟态”的隐身手法，构建起一个外界无法掌握规律、无法破解结构的安全防御体系，进而有效避免恶意攻击呢？

我国互联网行业蓬勃发展的同时，也饱受源于后门、漏洞和病毒的攻击之苦。现有的防护手段，只能是发现一个封堵一个，“亡了羊”才能去“补牢”。必须先付出代价不说，其防护成本巨大，还易攻难守。在互联网自由开放，软硬件全球采购的情况下，这样的固守防御让中国科学家苦不堪言。

邬江兴说，网络安全问题已经是国家安全中一个亟待解决的战略问题。

联合攻关 集聚力量自主创新

早在2008年前后，邬江兴联合了国内多家科研单位，从理论前沿出手，开始了艰难的探索，提出了“拟态计算”的概念。这一创新理论得到了科技部、上海市科学技术委员会的大力支持，被纳入到国家“863项目”进行重点科研攻关。

跟当年中国第一部程控交换机问世一样，2013年9月，我国科学家研制的世界首台拟态计算机原理样机的问世也引起业内轰动，入选由两院院士评选出的“2013年度中国十大科技进展”。测试表明，拟态计算机“依靠动态变结构、软硬件结合实现基于效能的计算”，能效比一般高性能计算机可提升十几倍到上百倍，实现了高效能的设计目标。

通俗地讲，拟态计算机可以智能地识别计算难度，然后根据难度来决定动用多少资源。

也是在2013年，邬江兴又提出了“拟态防御”理论，联手解放军信息工程大学、复旦大学、浙江大学、上海交通大学、中国科学院信息工程研究所等十余家院校、科研院所，以及中兴通讯、烽火通信等国内信息技术企业，开始了挑战“易攻难守”网络安全态势的征程。

邬江兴奔走于北京、上海、郑州，整合国内一流资源，一支由院士领衔，以中青年信息专家为主体，以信息技术企业为支撑的专业团队开始了两年多的艰苦攻关。

2016年的春节前夕，春寒料峭。“Web服务器拟态防御原理验证系统”和“路由器拟态防御原理验证系统”在上海研制成功，中国拟态防御技术迈出了实质性一步。

多轮众测 全面检验成果效能

这一次测试，邬江兴在上海摆下擂台，邀请国内顶尖的计算机专家和网络高手，来攻破他用拟态技术构建的网络防御体系。两套验证系统没有安装任何防火墙和任何杀毒软件，也没有采取任何加密认证措施。

2016年1月开始，科技部委托上海市科委组织了国内9家权威评测机构，组成众测团队开展原理验证测试。期间有来自国内网络通信和安全领域的21名院士和110多名专家参与了不同阶段的测评工作。专家们采用黑盒测试、白盒测试、渗透测试、对比测试等传统手段和人为预置后门、注入病毒木马等非常规手段，试图冲破拟态防御系统侵入所防护的网络空间。

在长达6个月的多轮众测中，没有一次攻击成功得手。

测评专家委员会发布的《拟态防御原理验证系统测评意见》认为：拟态防御机制能够独立且有效地应对或抵御基于漏洞、后门等已知风险或不确定威胁。受测系统达到拟态防御理论预期，并使利用“有毒带菌”构件实现可管可控的信息系统成为可能，对基于“后门工程和隐匿漏洞”的“卖方市场”攻势战略具有颠覆性意义。