国产欧美日韩精品a在线观看-国产欧美日韩精品一区二区三区-国产欧美日韩精品综合-国产欧美中文字幕-一区二区三区精品国产-一区二区三区精品国产欧美

1.1　邊緣計(jì)算概念

邊緣計(jì)算參考架構(gòu)對邊緣計(jì)算標(biāo)準(zhǔn)化的定義為在靠近物或數(shù)據(jù)源頭的網(wǎng)絡(luò)邊緣側(cè)，融合網(wǎng)絡(luò)、計(jì)算、存儲(chǔ)、應(yīng)用核心能力的開放平臺(tái)，就近提供邊緣智能服務(wù)，滿足行業(yè)數(shù)字化在敏捷聯(lián)接、實(shí)時(shí)業(yè)務(wù)、數(shù)據(jù)優(yōu)化、應(yīng)用智能、安全與隱私保護(hù)等方面的關(guān)鍵需求。

邊緣計(jì)算相比較傳統(tǒng)云計(jì)算強(qiáng)化了物理世界與數(shù)字世界的融合，通過數(shù)字孿生建立物理世界與數(shù)字世界的實(shí)時(shí)映像，在資源組織管理、任務(wù)協(xié)調(diào)執(zhí)行以及用戶應(yīng)用交互方面都增加了地理空間維度。

物理位置要素已經(jīng)成為各個(gè)應(yīng)用層面的重要的參考特性，其中邊緣計(jì)算的內(nèi)涵有聯(lián)接性、數(shù)據(jù)第一入口、低延時(shí)、分布性、自組織、可定義、可調(diào)度及標(biāo)準(zhǔn)開放。

1.1.1　聯(lián)接性

聯(lián)接性是邊緣計(jì)算網(wǎng)絡(luò)的基礎(chǔ)，由于聯(lián)接的物理對象及其應(yīng)用場景的多樣性，需要邊緣計(jì)算具備豐富的聯(lián)接適配和網(wǎng)元管理功能，其中包括各種網(wǎng)絡(luò)接口、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)拓?fù)洹⒕W(wǎng)絡(luò)部署與配置以及網(wǎng)絡(luò)管理與維護(hù)。聯(lián)接性在實(shí)現(xiàn)時(shí)應(yīng)當(dāng)充分借鑒吸收網(wǎng)絡(luò)領(lǐng)域先進(jìn)的研究成果，如TSN、SDN、NFV、5G、NAAS、WLAN和NB-IoT等。

1.1.2　數(shù)據(jù)第一入口

邊緣計(jì)算作為物理空間世界到數(shù)字空間世界的第一入口，擁有大量、實(shí)時(shí)、完整的數(shù)據(jù)，創(chuàng)新應(yīng)用可基于數(shù)據(jù)全周期進(jìn)行管理與價(jià)值再造，從而實(shí)現(xiàn)更好的支撐預(yù)測性維護(hù)和資產(chǎn)效率管理等。同時(shí)，邊緣計(jì)算也面臨數(shù)據(jù)實(shí)時(shí)性、確定性和多樣性等諸多挑戰(zhàn)。

1.1.3　低延時(shí)

邊緣計(jì)算是就近提供計(jì)算、存儲(chǔ)和網(wǎng)絡(luò)覆蓋能力，數(shù)據(jù)的產(chǎn)生、處理、傳輸和應(yīng)用都發(fā)生在距離數(shù)據(jù)源很近的范圍，因此接收并響應(yīng)邊緣終端請求的時(shí)延極低。

1.1.4　分布性

邊緣計(jì)算天然具備分布式特征，因此邊緣計(jì)算能夠支持分布式計(jì)算、存儲(chǔ)以及資源的統(tǒng)一管理與動(dòng)態(tài)協(xié)調(diào)，同時(shí)具備能力對分布式智能和分布式安全等應(yīng)用提供支撐。

1.1.5　自組織

當(dāng)網(wǎng)絡(luò)出現(xiàn)異常問題甚至網(wǎng)絡(luò)中斷時(shí)，邊緣計(jì)算的節(jié)點(diǎn)可以實(shí)現(xiàn)本地自治和自恢復(fù)。

1.1.6　可定義

邊緣服務(wù)及領(lǐng)域業(yè)務(wù)邏輯不是恒久不變的，而是可以由用戶根據(jù)環(huán)境和需求的變化進(jìn)行修改、更新和定制。

1.1.7　可調(diào)度

領(lǐng)域業(yè)務(wù)任務(wù)可以由云計(jì)算中心根據(jù)分布式資源的部署和狀態(tài)情況進(jìn)行動(dòng)態(tài)分發(fā)，任務(wù)具體在哪個(gè)邊緣節(jié)點(diǎn)執(zhí)行可以由云計(jì)算中心和邊緣控制器分配協(xié)調(diào)。

1.1.8　標(biāo)準(zhǔn)開放

邊緣計(jì)算平臺(tái)提供標(biāo)準(zhǔn)且開放的環(huán)境，使邊緣計(jì)算具備與其他系統(tǒng)互聯(lián)、互通及互操作的能力。

1.2　安全發(fā)展現(xiàn)狀

邊緣計(jì)算技術(shù)及行業(yè)應(yīng)用發(fā)展處于起步萌芽期，當(dāng)前主要在商用及民用領(lǐng)域做試點(diǎn)應(yīng)用，如安防攝像視頻、AR/VR、移動(dòng)終端、無人車、無人機(jī)、無人艇及智能機(jī)器人等。

隨著國內(nèi)邊緣計(jì)算產(chǎn)業(yè)聯(lián)盟ECC的成立，相繼發(fā)布了邊緣計(jì)算參考架構(gòu)1.0、2.0和3.0，涉及應(yīng)用域、數(shù)據(jù)域、網(wǎng)絡(luò)域和設(shè)備域4個(gè)功能域，已經(jīng)囊括了層次劃分及功能、技術(shù)實(shí)現(xiàn)及交互、應(yīng)用架構(gòu)模式及部署等邊緣計(jì)算的方方面面。

但是，邊緣計(jì)算當(dāng)前的主要安全防護(hù)能力基本是傳統(tǒng)安全防護(hù)設(shè)備、軟件和安全手段的堆砌，主要防御的核心思想依然是圍繞網(wǎng)絡(luò)邊界進(jìn)行疊加式或串行式防護(hù)。

但是，防護(hù)體系不規(guī)范、防護(hù)能力和安全措施不統(tǒng)一，很多安全措施及安全手段不能靈活組合協(xié)同對安全威脅進(jìn)行針對性防御，使得其不能有效對邊緣計(jì)算系統(tǒng)實(shí)施全方位和立體化的體系安全防護(hù)，又或者以性能換安全，嚴(yán)重降低了邊緣計(jì)算系統(tǒng)的應(yīng)用特性，使其計(jì)算體系結(jié)構(gòu)的應(yīng)用優(yōu)勢不在，更有甚之可能導(dǎo)致整個(gè)信息系統(tǒng)的功能和性能指標(biāo)不能達(dá)到建立系統(tǒng)的初心，無法支撐客戶業(yè)務(wù)的正常開展。

因此，需要結(jié)合邊緣計(jì)算自身的技術(shù)、結(jié)構(gòu)特點(diǎn)以及其與云計(jì)算中心協(xié)同作業(yè)的未來應(yīng)用模式，設(shè)計(jì)安全防護(hù)體系及安全機(jī)制，確保系統(tǒng)在發(fā)揮邊緣計(jì)算靈活、快響應(yīng)、敏捷聯(lián)接、低延時(shí)、自組織以及可定義等優(yōu)勢的同時(shí)，保障底層支撐的基礎(chǔ)設(shè)施、核心流轉(zhuǎn)數(shù)據(jù)及應(yīng)用系統(tǒng)服務(wù)的安全及可信。

2.1　安全脆弱性分析

邊緣計(jì)算的安全防護(hù)區(qū)域?yàn)榭缭皆朴?jì)算中心和邊緣計(jì)算之間的縱深網(wǎng)絡(luò)空間，其中含有物理層、網(wǎng)絡(luò)層、數(shù)據(jù)層、應(yīng)用層、邊緣服務(wù)器、終端設(shè)備及虛擬化資源。根據(jù)邊緣網(wǎng)絡(luò)的接入技術(shù)及應(yīng)用形態(tài)的不同，分為傳統(tǒng)邊緣計(jì)算和移動(dòng)邊緣計(jì)算。

由于邊緣計(jì)算網(wǎng)絡(luò)是基于P2P的分布式網(wǎng)絡(luò)資源組網(wǎng)整合，需要針對應(yīng)用層業(yè)務(wù)實(shí)施端到端的立體化安全防護(hù)，從而確保整個(gè)邊緣計(jì)算網(wǎng)絡(luò)空間的真正安全，徹底解決分布式網(wǎng)絡(luò)、異構(gòu)計(jì)算以及新型存儲(chǔ)技術(shù)引出的不同形式的邊緣計(jì)算風(fēng)險(xiǎn)和威脅。

網(wǎng)絡(luò)邊緣側(cè)由于更貼近物聯(lián)網(wǎng)連接的邊緣端設(shè)備，身份認(rèn)證、訪問權(quán)限控制、安全風(fēng)險(xiǎn)與威脅防護(hù)的區(qū)域廣度和技術(shù)難度大幅提升。其中，邊緣側(cè)安全主要包括各種設(shè)備軟硬件安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全和應(yīng)用安全，傳統(tǒng)的認(rèn)證授權(quán)、邊界安全防護(hù)在邊緣計(jì)算環(huán)境下難于奏效。

此外，關(guān)鍵數(shù)據(jù)的完整性和機(jī)密性在物理空間和網(wǎng)絡(luò)空間均呈分布式的計(jì)算條件也是安全防護(hù)的難點(diǎn)。經(jīng)系統(tǒng)分析，邊緣計(jì)算具體安全風(fēng)險(xiǎn)因素有終端多且異構(gòu)、數(shù)據(jù)量大且格式繁多、網(wǎng)絡(luò)不穩(wěn)定、存儲(chǔ)異構(gòu)以及云、邊端防護(hù)等。

(1）終端多且異構(gòu)。邊緣網(wǎng)絡(luò)的接入端點(diǎn)多，且分布在各地理空間，導(dǎo)致邊緣終端防護(hù)措施及防護(hù)能力不規(guī)范和不成體系，易被利用端點(diǎn)擴(kuò)散的攻擊媒介攻破入網(wǎng)。

(2）數(shù)據(jù)量大且格式繁多。根據(jù)邊緣側(cè)接入數(shù)據(jù)的特點(diǎn)，惡意攻擊方可以進(jìn)行針對性的數(shù)據(jù)損毀、數(shù)據(jù)干擾或者數(shù)據(jù)竊取。

(3）網(wǎng)絡(luò)不穩(wěn)定。網(wǎng)絡(luò)聯(lián)接質(zhì)量差，由于邊緣節(jié)點(diǎn)資源有限，有些安全防護(hù)措施達(dá)不到安全能力需求，網(wǎng)絡(luò)防御很難局部組合協(xié)同防御外部網(wǎng)絡(luò)威脅及APT攻擊。

(4）存儲(chǔ)異構(gòu)。由于邊緣計(jì)算系統(tǒng)數(shù)據(jù)量遠(yuǎn)遠(yuǎn)超越傳統(tǒng)云計(jì)算中心系統(tǒng)的數(shù)據(jù)量，在邊緣側(cè)和中心側(cè)均有存儲(chǔ)媒介，根據(jù)數(shù)據(jù)特征屬性和重要性的不同，存儲(chǔ)介質(zhì)和存儲(chǔ)技術(shù)也各有千秋，相應(yīng)的安全等級差異大。

(5）云、邊端防護(hù)。邊緣計(jì)算系統(tǒng)防護(hù)范圍廣，各防護(hù)區(qū)域及對象的安全防御能力存在巨大差異。大量的邊緣終端由于計(jì)算、存儲(chǔ)及網(wǎng)絡(luò)資源有限，難于配備有效的安全防護(hù)措施，如防病毒軟件、漏洞掃描軟件、軟硬件加固、可信及主機(jī)監(jiān)控和審計(jì)系統(tǒng)。對于邊緣計(jì)算支撐的端到端的業(yè)務(wù)應(yīng)用，計(jì)算鏈上協(xié)同作業(yè)的任何節(jié)點(diǎn)失防，將導(dǎo)致業(yè)務(wù)不能正常開展，甚至破壞整個(gè)系統(tǒng)的正常運(yùn)轉(zhuǎn)。

2.2　面臨的安全威脅

根據(jù)邊緣計(jì)算產(chǎn)業(yè)聯(lián)盟（Edge Computing Consortium，ECC）與工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟（Alliance of IndustrialInternet，AII）聯(lián)合發(fā)布的邊緣計(jì)算參考架構(gòu)模型，邊緣計(jì)算架構(gòu)在縱向上主要?jiǎng)澐譃閼?yīng)用域、數(shù)據(jù)域、網(wǎng)絡(luò)域和設(shè)備域。對于邊緣計(jì)算系統(tǒng)的整體安全威脅，主要來源于這幾個(gè)域的風(fēng)險(xiǎn)和其疊加因素。每個(gè)區(qū)域的威脅和風(fēng)險(xiǎn)都有其自身特征，任何一個(gè)層面的安全防御被突破都會(huì)導(dǎo)致邊緣計(jì)算系統(tǒng)不可預(yù)估的損失。按照防護(hù)對象的類型，將威脅劃分為節(jié)點(diǎn)威脅、網(wǎng)絡(luò)威脅、數(shù)據(jù)威脅、應(yīng)用威脅、安全管理威脅及身份認(rèn)證威脅。

2.2.1　節(jié)點(diǎn)威脅

它主要有邊緣終端、邊緣服務(wù)器、邊緣網(wǎng)關(guān)和云計(jì)算中心服務(wù)器節(jié)點(diǎn)的終端安全風(fēng)險(xiǎn)。不同節(jié)點(diǎn)終端應(yīng)用特點(diǎn)和安全防護(hù)等級存在差異，需要結(jié)合木桶效應(yīng)設(shè)計(jì)實(shí)現(xiàn)安全防御。

2.2.2　網(wǎng)絡(luò)威脅

相對于云計(jì)算中心模式，邊緣計(jì)算的網(wǎng)絡(luò)接入點(diǎn)分布廣、體系異構(gòu)且安全防護(hù)脆弱，因此網(wǎng)絡(luò)層的入侵威脅急劇增加，一旦被入侵和劫持，可能導(dǎo)致一點(diǎn)安全失控癱瘓整個(gè)邊緣網(wǎng)絡(luò)。

2.2.3　數(shù)據(jù)威脅

數(shù)據(jù)對于系統(tǒng)的重要程度不言而喻。數(shù)據(jù)產(chǎn)生、傳輸、存儲(chǔ)、分析計(jì)算、共享以及開發(fā)過程中都有數(shù)據(jù)泄漏風(fēng)險(xiǎn)，對于有保密要求的網(wǎng)絡(luò)系統(tǒng)，數(shù)據(jù)安全防御至關(guān)重要。

2.2.4　應(yīng)用威脅

人機(jī)交互和設(shè)備之間的交互通信都是建立在IP網(wǎng)絡(luò)之上，一旦網(wǎng)絡(luò)被劫持或被入侵，通過應(yīng)用之間的交互信息便可竊取系統(tǒng)重要的信息和權(quán)限，導(dǎo)致不可預(yù)知的損失。

2.2.5　安全管理威脅

安全管理制度、人員操作管理以及協(xié)同作業(yè)管理存在安全威脅和風(fēng)險(xiǎn)，需要結(jié)合具體的應(yīng)用場景制定管理制度、規(guī)范以及監(jiān)管和追責(zé)措施。

2.2.6　身份認(rèn)證威脅

邊緣計(jì)算系統(tǒng)規(guī)模巨大，邊緣網(wǎng)絡(luò)接入及交互裝備和系統(tǒng)繁多，需要通過身份認(rèn)證構(gòu)建可信邊緣網(wǎng)絡(luò)，否則易被偽裝者以合法身份入侵，竊取重要信息或破壞整個(gè)邊緣網(wǎng)絡(luò)。

3.1　安全防護(hù)體系

傳統(tǒng)云計(jì)算中心體系架構(gòu)分為IAAS、PAAS和SAAS，與之對應(yīng)邊緣計(jì)算體系架構(gòu)為ECIAAS、ECPAAS和ECSAAS。邊緣計(jì)算安全體系架構(gòu)的設(shè)計(jì)需要圍繞邊緣計(jì)算應(yīng)用體系架構(gòu)的技術(shù)劃分層次，構(gòu)建立體化、全流程、全周期、可信及智能化的邊緣防護(hù)體系。

邊緣計(jì)算在實(shí)際應(yīng)用場景中呈現(xiàn)類人腦的工作機(jī)制，云計(jì)算中心負(fù)責(zé)全局資源管理、任務(wù)協(xié)調(diào)以及安全統(tǒng)籌控制，霧計(jì)算作為中樞神經(jīng)充當(dāng)區(qū)域計(jì)算、存儲(chǔ)和作業(yè)協(xié)調(diào)中心，負(fù)責(zé)局部的任務(wù)協(xié)調(diào)、資源配置以及安全管控，邊緣終端與實(shí)際用戶以及其他網(wǎng)元進(jìn)行交互，負(fù)責(zé)任務(wù)執(zhí)行和信息采集及上報(bào)，依據(jù)任務(wù)特點(diǎn)聚合三方協(xié)同配合完成作業(yè)，而安全威脅則貫穿于整個(gè)作業(yè)處理的全流程節(jié)點(diǎn)及網(wǎng)絡(luò)，根據(jù)其所在的領(lǐng)域、網(wǎng)絡(luò)空間及物理空間的特點(diǎn)，設(shè)計(jì)部署安全裝備，并配置個(gè)性化的安全規(guī)則，設(shè)計(jì)實(shí)現(xiàn)對防御全域的縱深定制化的安全預(yù)案，囊括物理安全、資源安全、節(jié)點(diǎn)安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、應(yīng)用安全、態(tài)勢感知、安全管理編排、身份認(rèn)證、權(quán)限管理、安全運(yùn)維以及應(yīng)急響應(yīng)等。

通過引入人工智能相關(guān)技術(shù)，構(gòu)建基于物理空間和網(wǎng)絡(luò)空間特征的安全防御模型及風(fēng)險(xiǎn)應(yīng)對行為執(zhí)行策略，實(shí)時(shí)探測防御范圍內(nèi)的安全風(fēng)險(xiǎn)和安全情報(bào)，并評估獲取的漏洞和風(fēng)險(xiǎn)，以達(dá)到提前或?qū)崟r(shí)應(yīng)對威脅處置和安全干預(yù)的目標(biāo)。

安全防護(hù)也可借用邊緣計(jì)算和霧計(jì)算的高帶寬、低延遲以及位置感知特性，通過云計(jì)算中心實(shí)現(xiàn)全域安全資源的配置和區(qū)域防御流程的編排，利用策略控制器實(shí)現(xiàn)就近防御策略的任務(wù)執(zhí)行，從而達(dá)到局部區(qū)域協(xié)同防御安全風(fēng)險(xiǎn)和APT攻擊，保證邊緣計(jì)算的安全、可靠以及靈活個(gè)性的架構(gòu)優(yōu)勢和能力。

邊緣計(jì)算系統(tǒng)安全防御體系的設(shè)計(jì)與實(shí)現(xiàn)，覆蓋邊緣計(jì)算應(yīng)用體系的各個(gè)層級。不同層級之間有不同的屬性和安全要求，是安全體系方案差異化設(shè)計(jì)的重要參考和依據(jù)。

為了實(shí)現(xiàn)邊緣計(jì)算安全防護(hù)體系架構(gòu)的規(guī)范和統(tǒng)一，總體上要求統(tǒng)一的態(tài)勢感知與安全情報(bào)共享、統(tǒng)一的安全管理與流程編排、統(tǒng)一的身份認(rèn)證與權(quán)限管理、統(tǒng)一的安全運(yùn)維與應(yīng)急響應(yīng)、統(tǒng)一的密碼支撐體系和機(jī)制、統(tǒng)一的資源管理和配置以及統(tǒng)一的數(shù)據(jù)安全管理，最大限度地保障整個(gè)邊緣計(jì)算網(wǎng)絡(luò)系統(tǒng)的安全與可靠。

(1）應(yīng)用安全。應(yīng)用安全主要包含白名單、惡意攻擊防范、WAF、安全檢測和響應(yīng)、應(yīng)用安全審計(jì)、軟件加固和補(bǔ)丁、安全配置管理、沙箱及訪問行為監(jiān)管等。其中，白名單是邊緣計(jì)算安全架構(gòu)的重要功能，由于終端的海量異構(gòu)接入，業(yè)務(wù)種類繁多，傳統(tǒng)的IT安全授權(quán)模式不再適用，往往需要采用最小授權(quán)的安全模型管理應(yīng)用及訪問權(quán)限。

(2）數(shù)據(jù)安全。數(shù)據(jù)安全包含數(shù)據(jù)隔離和銷毀、數(shù)據(jù)防篡改、數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)訪問控制、數(shù)據(jù)防泄漏和數(shù)據(jù)隱私保護(hù)等。其中，數(shù)據(jù)加密包括數(shù)據(jù)在傳輸過程的加密和存儲(chǔ)過程的加密；邊緣計(jì)算的數(shù)據(jù)防泄漏與傳統(tǒng)的數(shù)據(jù)防泄漏有所不同，邊緣計(jì)算的設(shè)備往往是分布式部署，需要考慮這些設(shè)備被盜后數(shù)據(jù)被獲取也不會(huì)泄露任何信息。

(3）網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全包含網(wǎng)絡(luò)安全隔離、重用已有協(xié)議安全、IPSec、防火墻、入侵檢測和防護(hù)、DDoS防護(hù)、VPN/TLS、隱蔽通信和加密通信等。其中，DDoS防護(hù)在物聯(lián)網(wǎng)和邊緣計(jì)算中至關(guān)重要，越來越多的物聯(lián)網(wǎng)攻擊是DDoS攻擊，即攻擊者通過控制安全性較弱的物聯(lián)網(wǎng)設(shè)備來集中攻擊特定目標(biāo)。

(4）節(jié)點(diǎn)安全。節(jié)點(diǎn)安全需要提供基礎(chǔ)的ECN安全、安全與可靠遠(yuǎn)程升級、輕量級可信計(jì)算、軟硬件加固、安全配置、防病毒、漏洞掃描和主機(jī)監(jiān)控與審計(jì)等功能。其中，安全與可靠的遠(yuǎn)程升級能夠及時(shí)完成漏洞和補(bǔ)丁的修復(fù)，避免升級后系統(tǒng)失效；輕量級可信計(jì)算用于計(jì)算CPU和存儲(chǔ)資源受限的簡單物聯(lián)網(wǎng)設(shè)備，解決最基本的可信問題。

(5）資源安全。資源安全需要提供物理資源（云主機(jī)、云終端）和虛擬資源（虛擬機(jī)隔離、網(wǎng)絡(luò)、存儲(chǔ)、數(shù)據(jù)以及操作系統(tǒng)）的安全、資源訪問控制以及數(shù)據(jù)庫防護(hù)。其中，物理資源和虛擬資源協(xié)同安全防護(hù)是常見的邊緣資源安全防御形式。

(6）物理安全。物理安全需要提供物理訪問控制、智慧門禁和機(jī)房、防盜防破壞、防水防潮、溫度濕度控制、防雷防火防靜電、配電供應(yīng)、電磁防護(hù)和紅黑電源隔離等功能。其中，物理安全防御需要結(jié)合具體的領(lǐng)域和安全級別要求實(shí)施安全管控。

(7）安全態(tài)勢感知和安全流程編排。網(wǎng)絡(luò)邊緣側(cè)接入的終端類型廣泛、數(shù)量巨大以及承載的業(yè)務(wù)繁雜，被動(dòng)的安全防御往往不能起到良好的效果。因此，需要采用更加積極主動(dòng)的安全防御手段，包括基于大數(shù)據(jù)的態(tài)勢感知和高級威脅檢測、綜合安全監(jiān)管和風(fēng)險(xiǎn)評估、安全合規(guī)審計(jì)和威脅溯源、漏洞統(tǒng)計(jì)和殺毒庫升級以及統(tǒng)一的全網(wǎng)安全決策指揮，從而更加快速響應(yīng)安全風(fēng)險(xiǎn)和強(qiáng)化安全防護(hù)，結(jié)合完善的安全情報(bào)共享和防御流程編排，最大限度地保障邊緣計(jì)算系統(tǒng)的安全、可用及可信。

(8）認(rèn)證權(quán)限管理和運(yùn)維應(yīng)急響應(yīng)。身份認(rèn)證和權(quán)限管理功能遍布邊緣計(jì)算所有的功能層級，由于在網(wǎng)絡(luò)邊緣側(cè)是海量設(shè)備的接入，傳統(tǒng)的集中式安全認(rèn)證面臨巨大的性能壓力。特別在設(shè)備集中上線時(shí)，認(rèn)證系統(tǒng)往往不堪重負(fù)，需要采取根據(jù)需求行為的最小授權(quán)模型，實(shí)施去中心化、分布式的認(rèn)證方式。統(tǒng)一運(yùn)維及應(yīng)急響應(yīng)需要實(shí)現(xiàn)監(jiān)管、自動(dòng)化及可配置。

(9）密碼和可信管理。作為整個(gè)邊緣計(jì)算系統(tǒng)的安全基礎(chǔ)設(shè)施，需要強(qiáng)化對密碼相關(guān)裝備及管理系統(tǒng)的安全防護(hù)，通過量子密碼、安全多方計(jì)算及零知識(shí)證明應(yīng)對新技術(shù)變革及量子技術(shù)引入的安全風(fēng)險(xiǎn)。邊緣計(jì)算系統(tǒng)的PKI公鑰基礎(chǔ)設(shè)施采用區(qū)塊鏈技術(shù)實(shí)現(xiàn)證書、密鑰全周期及密碼機(jī)負(fù)載均衡的管理，借助于區(qū)塊鏈的分布式共識(shí)記賬技術(shù)、隱蔽通信及審計(jì)保障可信邊緣網(wǎng)絡(luò)的安全，降低單點(diǎn)故障類安全風(fēng)險(xiǎn)。

3.2　邊緣計(jì)算體系防護(hù)機(jī)制

邊緣計(jì)算在網(wǎng)絡(luò)空間按照傳統(tǒng)的安全防護(hù)體系設(shè)計(jì)，主要分為安全基礎(chǔ)設(shè)施、四個(gè)安全功能域和四個(gè)全域統(tǒng)一安全支撐。其中，安全基礎(chǔ)設(shè)施支撐主要是密碼及可信基礎(chǔ)設(shè)施的全網(wǎng)統(tǒng)一共建共享；應(yīng)用域用來支撐攻擊防范和威脅保護(hù)；數(shù)據(jù)域用來保證數(shù)據(jù)在接入控制、傳輸、分析、存儲(chǔ)和共享的全周期安全流轉(zhuǎn)，其中具體包括內(nèi)存加密、系統(tǒng)加密、硬盤加密、加密傳輸和脫敏共享等；網(wǎng)絡(luò)域用來保障網(wǎng)絡(luò)傳輸?shù)臋C(jī)密性、完整性、可用性和可認(rèn)證性等；設(shè)備域用來保護(hù)硬件服務(wù)器、終端及各類組件的物理安全、電磁安全、節(jié)點(diǎn)安全及資源安全等；統(tǒng)一認(rèn)證和授權(quán)用于確保接入邊緣網(wǎng)絡(luò)的網(wǎng)元均是可信的，且按照統(tǒng)一權(quán)限模型授權(quán)及操作；統(tǒng)一運(yùn)維及響應(yīng)用于保障邊緣系統(tǒng)安全資源統(tǒng)一管理、任務(wù)協(xié)商及安全應(yīng)急處置；統(tǒng)一態(tài)勢感知用來保障邊緣計(jì)算系統(tǒng)全域安全態(tài)勢監(jiān)管、審計(jì)、分析、評估、統(tǒng)計(jì)、預(yù)警、溯源、決策及共享；統(tǒng)一安全流程編排主要是獲取安全情報(bào)、情報(bào)分享安全規(guī)則設(shè)置、安全場景編排、協(xié)同防護(hù)流程編排、資源池化配置及安全服務(wù)全周期管理；對于邊緣計(jì)算支撐的基礎(chǔ)設(shè)施及應(yīng)用系統(tǒng)的安全防護(hù)，要以體系化的綜合思維分析和設(shè)計(jì)安全措施及安全產(chǎn)品，在確保邊緣計(jì)算的網(wǎng)速、延遲、感知、成本、數(shù)據(jù)安全和靈活定制的優(yōu)勢基礎(chǔ)上，協(xié)同聯(lián)動(dòng)安全加固其所在的范圍和覆蓋的對象，強(qiáng)化安全防護(hù)等級，實(shí)現(xiàn)全域資源統(tǒng)一管理和分配、接入身份統(tǒng)一認(rèn)證和最小授權(quán)、網(wǎng)絡(luò)隔離和保密統(tǒng)一安全管控、云計(jì)算中心和邊緣終端的虛擬化防護(hù)、安全體系密碼和可信統(tǒng)一支撐、安全態(tài)勢和情報(bào)統(tǒng)一處理和共享、數(shù)據(jù)安全統(tǒng)一管理和共享等。

邊緣計(jì)算體系化全域協(xié)同安全防護(hù)機(jī)制，在融合邊緣計(jì)算的網(wǎng)絡(luò)空間和物理空間特性及安全資源映射的基礎(chǔ)上，各安全防護(hù)措施均應(yīng)增加地理空間位置維度信息。

邊緣計(jì)算網(wǎng)的安全體系設(shè)計(jì)需要結(jié)合網(wǎng)絡(luò)空間的安全資源池化、能力服務(wù)化、流程可編排化、基礎(chǔ)支撐統(tǒng)一化及物理空間安全資源有限、異構(gòu)及攻防交互深度相關(guān)性等特點(diǎn)，綜合通用的網(wǎng)絡(luò)空間安全防御，從邊緣終端防護(hù)到邊緣計(jì)算服務(wù)器防護(hù)，從節(jié)點(diǎn)入網(wǎng)驗(yàn)證到網(wǎng)絡(luò)層流量及協(xié)議防護(hù)，從應(yīng)用層攻擊檢測、監(jiān)管及審計(jì)到數(shù)據(jù)的全周期安全防護(hù)。

其中，數(shù)據(jù)作為邊緣計(jì)算網(wǎng)的核心，其安全防護(hù)實(shí)現(xiàn)基于數(shù)據(jù)分級分類的接入、分析、傳輸、存儲(chǔ)、共享以及銷毀等閉環(huán)安全管控，而邊緣防護(hù)具體實(shí)現(xiàn)時(shí)需要結(jié)合威脅診斷、防護(hù)能力等級及安全資源的物理空間特性，打造四維空間防護(hù)加網(wǎng)絡(luò)虛擬空間防護(hù)的立體化安全體系，采取安全云中心、安全霧計(jì)算網(wǎng)關(guān)及邊緣計(jì)算服務(wù)器和邊緣終端三層級安全防御決策執(zhí)行結(jié)構(gòu)，根據(jù)就近原則進(jìn)行針對性的安全防御流程編排及風(fēng)險(xiǎn)應(yīng)對，從而充分利用邊緣計(jì)算網(wǎng)的優(yōu)勢賦能邊緣安全防護(hù)，實(shí)現(xiàn)邊緣計(jì)算網(wǎng)的安全資源合理化的使用、釋放及回收。

其中，依據(jù)地理空間位置進(jìn)行網(wǎng)絡(luò)空間安全資源管理的功能包括安全資源的管理和配置、防護(hù)流程的編排、安全防護(hù)的協(xié)同組合、運(yùn)維及應(yīng)急處置、身份的認(rèn)證及最小授權(quán)、數(shù)據(jù)安全共享及交換和安全情報(bào)共享及態(tài)勢感知。

3.3　邊緣計(jì)算可信防護(hù)機(jī)制

在邊緣計(jì)算全域協(xié)同安全防護(hù)網(wǎng)基礎(chǔ)上，通過區(qū)塊鏈的特性構(gòu)建邊緣安全可信網(wǎng)，其中包括區(qū)域可信、全域可信以及可信共享。應(yīng)用區(qū)塊鏈的共識(shí)記賬技術(shù)達(dá)成系統(tǒng)安全防護(hù)的魯棒特性，防止傳統(tǒng)安全防護(hù)技術(shù)單點(diǎn)故障或者DDoS攻擊導(dǎo)致的安全防護(hù)能力破壞；利用私有區(qū)塊鏈打造邊緣計(jì)算區(qū)域安全可信網(wǎng)，借助多因素身份認(rèn)證技術(shù)或零知識(shí)證明技術(shù)，確保接入邊緣網(wǎng)絡(luò)的異構(gòu)邊緣終端（手機(jī)、平板、傳感器、智能終端、計(jì)算機(jī)、公交車、汽車、無人車、無人機(jī)及無人艇等）是可信的，達(dá)到對邊緣端點(diǎn)聯(lián)接入網(wǎng)的事前安全管控；利用邊緣網(wǎng)關(guān)和聯(lián)盟鏈打通云邊端的全域可信協(xié)同網(wǎng)絡(luò)，實(shí)現(xiàn)邊緣網(wǎng)絡(luò)的可信安全資源在整個(gè)邊緣網(wǎng)絡(luò)域內(nèi)自由組合和編排，應(yīng)用區(qū)塊鏈的不可篡改特性實(shí)現(xiàn)事中監(jiān)管和事后威脅可追溯，從而保障數(shù)據(jù)的真實(shí)性和完整性，利用區(qū)塊鏈網(wǎng)絡(luò)的P2P傳輸機(jī)制和點(diǎn)對點(diǎn)加密通信機(jī)制，實(shí)現(xiàn)邊緣計(jì)算網(wǎng)絡(luò)中端到端的隱蔽通信及重要數(shù)據(jù)的安全保密；利用公有區(qū)塊鏈實(shí)現(xiàn)邊緣計(jì)算網(wǎng)與互聯(lián)網(wǎng)之間的跨域應(yīng)用可信通信及數(shù)據(jù)安全共享，通過區(qū)塊鏈的智能合約及智能算法的融合，實(shí)現(xiàn)可以依據(jù)安全威脅場景進(jìn)行自主智能化安全防護(hù)及風(fēng)險(xiǎn)應(yīng)對。

3.4　邊緣計(jì)算智能化防護(hù)機(jī)制

利用邊緣智能和中心智能協(xié)同構(gòu)建智能化的邊緣防護(hù)體系，智能中心即安全大腦負(fù)責(zé)邊緣網(wǎng)絡(luò)全域信息的管控統(tǒng)計(jì)分析、分類管理及智能防御能力強(qiáng)化，利用邊緣側(cè)上報(bào)的威脅和風(fēng)險(xiǎn)數(shù)據(jù)建立和訓(xùn)練安全模型，自上向下分發(fā)已經(jīng)訓(xùn)練成熟的安全模型到邊緣網(wǎng)關(guān)即安全中樞神經(jīng)，安全中樞神經(jīng)結(jié)合其負(fù)責(zé)區(qū)域的安全態(tài)勢及資源狀態(tài)適配調(diào)整安全模型，并且將適配調(diào)整后的安全模型下發(fā)邊緣節(jié)點(diǎn)即安全器官，邊緣服務(wù)器根據(jù)傳感器等端設(shè)備收集的終端數(shù)據(jù)和本地安全模型，利用智能算法評估執(zhí)行安全防護(hù)手段，根據(jù)不同終端體系結(jié)構(gòu)、計(jì)算、存儲(chǔ)、網(wǎng)絡(luò)資源特點(diǎn)以及外部威脅特征，動(dòng)態(tài)增強(qiáng)本地安全防護(hù)模型，從而使得邊緣端點(diǎn)安全防護(hù)能力因變而強(qiáng)。

利用邊緣計(jì)算分布式的特點(diǎn)構(gòu)建局部及全局區(qū)域的協(xié)同防御智能體系，由點(diǎn)及面不斷加強(qiáng)風(fēng)險(xiǎn)安全防護(hù)的綜合實(shí)力，實(shí)現(xiàn)安全防御戰(zhàn)力全面進(jìn)化升級。