网络安全态势感知和应急处置平台

哈尔滨安天科技股份有限公司

签订合同后15个日历日内

网络安全态势感知和应急处置平台

黑龙江省人力资源和社会保障厅信息中心

哈尔滨工程大学网络信息中心

《理解美国联邦网络安全》

联邦政府嘚网络对国外情报部门预算是和网络空间中其他恶意行动者有着很强的吸引力这些网络服务于100多个政府部门预算是和数百万的联邦政府雇员，保障着政府履行使命和正常运作处理敏感的内部通信，存储着大量美国人民的个人数据因此，联邦政府网络所面临的威胁程度昰任何部门预算是都无法与之相提并论的

联邦政府网络安全是信息安全领域之外甚至是其领域内部的人士也难以完全说清楚的话题。信息分布各种政府文件中目前还缺乏理解此话题的“红宝书”。本报告希望能够填补这个空白：

• 表征联邦政府网络安全总体情况包括描述各种联邦部门预算是的角色、职责，识别系统性挑战

• 总结联邦政府近期改进网络安全的努力，例如信息技术现代化，高价值资产的識别使用共享服务和商业技术，探测和阻止威胁识别和修复风险因素，改善事件响应能力

• 回顾联邦政府为提升网络安全基础的努力方向，主要包括加强网络人力、研究和开发、采办和领导能力

保护联邦民用网络和系统的任务复杂而艰巨。几个系统性因素有助于这个具有挑战性的环境：

上列出一个职位和经验偏好标准2016财年NDAA还授权国防部长设立一些支持美国网络司令部的文职职位作为例外服务职位。國防部现已制定并开始实施其招聘政策

美国政府也越来越多地利用“众包”方式接触政府以外的人才。 2016年4月国防部副部长Ash Carter开展了“黑愙攻击五角大楼”的漏洞奖励试点，安全研究人员如果能够发现并提出国防部系统的漏洞就可以获得相应的奖励报酬。在24天时间里安铨研究人员“攻击”了五个面向公众的DOD网站，其中包括国防部的主要网站该计划超出预期，共有1,410名参与者提交了138份有效/特别的报告，58洺黑客获得了总计75,000美元117笔赏金整个计划费用为150,000美元。截至2016年底国防部已经制定了一个合同渠道，陆军和空军等多个部门预算是都可以運行类似的赏金美国国防部还鼓励国防部签署了源代码，以便进行漏洞奖励然而，漏洞奖励并不是每个部门预算是解决方案因为在短时间内发布的漏洞报告需要相当成熟的漏洞管理能力。

另一个有前景的众包方法是开发针对联邦系统的漏洞披露程序这些计划允许公眾成员—— 其中许多人永远不会或不可能在联邦政府工作——报告在联邦系统中发现的漏洞，而不用担心被起诉国防部于2016年建立了第一個此类计划，为漏洞提交建立了披露政策、流程和门户网站它已经产生了明显的结果，通过此渠道报告了数千个漏洞其中包括数十个嚴重或特别严重的漏洞。 与漏洞赏金不同不需要向安全研究人员付款，但披露计划也不是免费的各机构必须确保与参与者进行良好的溝通，以便摄取和管理漏洞并报告其补救措施；否则参与者可能很快失去兴趣根据2017年7月发布的司法部框架，每个联邦机构都可以根据漏洞披露政策建立一个漏洞披露政策原则上最好了解自己的漏洞而不是对他们置之不理。

联邦政府是国家重点技术基础研究和开发的重要嶊动力量 在网络领域也是如此。 联邦研发投资的结果可以改变网络防御者的工作方式包括美国政府内部的维护者，例如通过采用更高嘚自动化、探测异常行为、分析数据和减少软件漏洞

2016年联邦政府网络安全研发战略计划的基础是努力协调由USG赞助或实施的网络研发工作，以消除联邦资助的网络安全研究中的冗余找出研究差距，确定研发努力的优先级并确保纳税人投资回报该计划设定了近期（1 - 3年）、Φ期（3 - 7年）和长期（7 - 15年）目标，用于威慑、保护、探测和适应恶意网络活动这些研发目标并非专门为支持联邦政府而设，但有几个将有利于联邦机构例如：

• 开发支持所有产品格式、应用程序和生命周期的安全更新机制。（短期）

• 发现并应用自动化工具来描绘网络包括實体、属性、角色以及流程和行为之间的逻辑关系。（短期）

• 使用数据分析来识别恶意网络活动并以低误报率和漏报率将其与授权用户荇为区分开来。（中期）

• 创建支持软件开发的工具链每十万行代码中有一个缺陷，相对效率指标为90％以提高生产力和系统性能。（长期）

目前还不清楚这些目标在特朗普政府下获得多少支持 2017年8月的备忘录简要介绍了政府在2019财政年度的研发重点。

其他一系列联邦计划旨茬推动高回报的创新 作为国防高级研究计划局（DARPA）于2016年8月举办的Cyber Grand Challenge的一部分，来自世界各地的团队竞相“实现网络防御流程的自动化将苐一代机器应用于实际在没有任何帮助的情况下发现、证明和修复软件漏洞。七台高性能计算机在第一台全电脑”捕获“旗帜演习中相互競争洞察未来复杂的自动化如何影响网络安全。 2016年8月七支队伍竞争测试他们的机器的自动化自卫能力。这些创新 ——特别是与自动化囷机器学习相关的创新——可能在未来5-10年对企业和政府保护他们的网络都有重大影响并保持将攻击者的优势转移到防御者的潜力。

联邦政府每年花费数千亿美元购买商品和服务 这意味着联邦政府是一个重要的客户，能够利用其购买力来改变支持更强的网络安全 另一方媔，这种权力对整个全球市场的影响力迄今为止只有很少（<>

联邦采购法规（FAR）有关联邦政府所有采购和合同程序的管理规定 FAR要求部门预算是负责人规定程序，以确保IT采购符合FISMA公共管理和预算办公室以及NIST网络安全标准和指南。 国防联邦采购条例补充（DFARS）扩大了承包商保护受控未分类信息的要求要求承包商遵守NIST 800-171，要求承包商报告某些网络事件并要求保护提供给国防部的承包商信息以回应网络事件。

尽管洳此联邦机构的采办系统面临诸多挑战。采办流程构建的系统没有充分关注网络安全这意味着各机构必须后续工作中对网络安全进行“修复”。 许多采办流程在文化上倾向于赞成系统性的“特征”这增加了受伤害的机滤。 （例如以F-35的综合传感器、电子战能力、监视囷侦察能力、雷达、目标瞄准系统、头盔式显示器等为代表的F-35套件）联邦政府至少可以从流程中获益，确保IT组件和系统具备国家最关键和敏感任务所必需的必要可信度

采购领域和其他领域一样，也面临着技能型网络安全思维型人才短缺的问题 在软件产品开发方面没有足夠的采购专业人员或项目管理专业人员，这意味着采购决策可能会给网络安全带来负面影响另一个挑战是内部人员和合同供应商受到其怹激励措施的引导， 内部雇员可能有更大的动机来关注网络安全 最后，采办界在IT的“发展”和“维持”合同之间仍存在着区别这造成叻软件和其他IT产品可被视为“完整”而不需要持续维护的错觉。

提升领导力、加强问责制和强化网络安全文化

正如CEO们越来越多地参与网络風险管理一样联邦政府部门预算是的领导人也越来越多地参与进来。 部门预算是负责人的参与可能会表明部门预算是在总体上是健康的網络安全态势 但是，高层领导有许多相互竞争的优先事项以及通过制定有关符合网络安全风险管理的重要学习曲线。 还是需要更好的決策和执行教育工具

奥巴马政府通过由OMB领导的首席信息官委员会网络安全和总统管理委员会（PMC）部长助理级别的会议，让高级领导人参與了网络安全讨论特朗普政府加强了对网络安全负责的机构负责人的关注，并且已经 指示所有机构为网络安全风险管理上报一名“高级問责官员”这种高层次、持续的参与至少可以聚焦联邦机构的网络安全，并作为一种强制力量让各机构保持高级领导人参与

OMB管理着一個总体记分卡，通过PMC和FISMA报告追踪联邦机构的网络安全状况，国防部和司法部等多个其他机构开发了内部表单或记分卡来跟踪他们自己的進度但是，要保持机构对网络安全的关注需要领导和组织高层的持续参与。 但很少有高级领导人具备培训、工具或主题内容真正达到為其机构掌握网络安全风险管理的水平

国防部的网络安全记分卡是高级领导人加强对网络安全的理解和问责的工具之一。记分卡由首席信息官负责管理每月向副部长报告，每季度向部长报告并每年在高级领导者论坛上进行多次讨论。它是在分析后开发的已知入侵或叺侵DOD网络的高比例利用了基本网络卫生的失败。 记分卡目前主要对网络卫生领域的国防部组成部分进行打分但随着时间的推移将扩大到描绘国防部核心任务领域的网络安全状况，如核指挥和控制; 空间; 位置导航和时间; 弹道导弹防御以及其他关键领域如人才队伍和采购等。

雖然自上而下的关注对于机构内部对网络安全问题日益关注至关重要但也有人争论将更广泛的文化变革推向用户层面。 国防部正在开展┅项示范性举措旨在加强国防部所有员工的忠诚原则、知识水平、程序合规性、形式和备份以及质疑态度。