首先,介紹各權威機構對邊緣計算概念的定義,梳理邊緣計算主要的內涵特征;其次,根據現今云計算產業和信息技術的發展趨勢,結合邊緣計算在各行業的典型應用場景,分析總結邊緣計算在實際應用中的安全威脅和風險因素;再次,調查研究邊緣計算各團體及標準化組織應對邊緣安全威脅的方法和保障體系,提煉邊緣計算安全防護體系結構及機制原理;最后,通過引入融合區塊鏈和人工智能技術,在邊緣計算安全防護體系的基礎上強化邊緣防護的應變能力和可信能力,進而實現邊緣計算在支撐我國軍事應用時的端到端的安全保障。
隨著云計算不竭創新、技術成熟度漸進強化以及云計算在商業、政治、基礎設施、科研以及軍事等領域大規模的部署應用,各行各業與云計算的融合樣式亟速翻新,應用模式百花齊放式演變。
近幾年大數據和物聯網的快速發展,使得數據量呈現幾何式上升,數據格式的多樣化和處理的高要求(快速感知、低延時及快速響應)在很多領域已經遠遠超出了云計算中心的處理能力范圍,邊緣計算隨之成為云計算未來演化的方向和發展趨勢。
5G網絡技術的漸進成熟、移動網絡應用新模式及業態的蓬勃發展、國家工業4.0的持續推進、物聯網的廣泛應用部署以及軍隊作戰新模式的創新,使得邊緣計算的供給和需求兩端發力推動邊緣計算的基礎設施、應用技術及應用場景越來越夯實和呈現多元化發展。
在探索邊緣計算與軍隊作戰云融合時,根據場景的時間敏感性特點,設計云計算中心和邊緣計算混合部署架構模式支撐軍隊數字化作戰,如邊緣計算支撐作戰指揮車協同,利用邊緣計算的近距離本地處理優勢和低延時特性提升作戰車的實時響應能力,以便在作戰中可以領先對手做出部署,達到先發制人的效果。
邊緣計算可以有力支撐單兵情報終端協同,在戰場網絡不穩定的情況下,利用邊緣計算的敏捷聯接和實時特性,可以及時獲取戰場態勢和實時戰場情報,以使部隊在制定戰略戰術時將風險預防融入策略中,戰時能提前預警,實現戰場域局部戰術指揮和作戰執行。
在邊緣計算應用場景逐漸豐富的同時,邊緣系統的安全風險也加大了不穩定性和不可預知性,如邊緣終端節點威脅、網絡傳輸威脅、數據泄漏威脅、應用威脅、安全管理威脅及身份識別威脅。
本文針對邊緣計算的典型應用場景,綜合提出端到端的安全防護體系及其安全運行機制,保證邊緣計算的安全、可靠以及靈活個性化的架構和能力優勢,以實現邊緣計算對國家未來軍事應用的機動性、戰場網絡的敏捷聯接性及安全防御的不確定性應對,從而提供制勝保障支撐。
1 邊緣計算安全現狀
1.1 邊緣計算概念
邊緣計算參考架構對邊緣計算標準化的定義為在靠近物或數據源頭的網絡邊緣側,融合網絡、計算、存儲、應用核心能力的開放平臺,就近提供邊緣智能服務,滿足行業數字化在敏捷聯接、實時業務、數據優化、應用智能、安全與隱私保護等方面的關鍵需求。
邊緣計算相比較傳統云計算強化了物理世界與數字世界的融合,通過數字孿生建立物理世界與數字世界的實時映像,在資源組織管理、任務協調執行以及用戶應用交互方面都增加了地理空間維度。
物理位置要素已經成為各個應用層面的重要的參考特性,其中邊緣計算的內涵有聯接性、數據第一入口、低延時、分布性、自組織、可定義、可調度及標準開放。
1.1.1 聯接性
聯接性是邊緣計算網絡的基礎,由于聯接的物理對象及其應用場景的多樣性,需要邊緣計算具備豐富的聯接適配和網元管理功能,其中包括各種網絡接口、網絡協議、網絡拓撲、網絡部署與配置以及網絡管理與維護。聯接性在實現時應當充分借鑒吸收網絡領域先進的研究成果,如TSN、SDN、NFV、5G、NAAS、WLAN和NB-IoT等。
1.1.2 數據第一入口
邊緣計算作為物理空間世界到數字空間世界的第一入口,擁有大量、實時、完整的數據,創新應用可基于數據全周期進行管理與價值再造,從而實現更好的支撐預測性維護和資產效率管理等。同時,邊緣計算也面臨數據實時性、確定性和多樣性等諸多挑戰。
1.1.3 低延時
邊緣計算是就近提供計算、存儲和網絡覆蓋能力,數據的產生、處理、傳輸和應用都發生在距離數據源很近的范圍,因此接收并響應邊緣終端請求的時延極低。
1.1.4 分布性
邊緣計算天然具備分布式特征,因此邊緣計算能夠支持分布式計算、存儲以及資源的統一管理與動態協調,同時具備能力對分布式智能和分布式安全等應用提供支撐。
1.1.5 自組織
當網絡出現異常問題甚至網絡中斷時,邊緣計算的節點可以實現本地自治和自恢復。
1.1.6 可定義
邊緣服務及領域業務邏輯不是恒久不變的,而是可以由用戶根據環境和需求的變化進行修改、更新和定制。
1.1.7 可調度
領域業務任務可以由云計算中心根據分布式資源的部署和狀態情況進行動態分發,任務具體在哪個邊緣節點執行可以由云計算中心和邊緣控制器分配協調。
1.1.8 標準開放
邊緣計算平臺提供標準且開放的環境,使邊緣計算具備與其他系統互聯、互通及互操作的能力。
1.2 安全發展現狀
邊緣計算技術及行業應用發展處于起步萌芽期,當前主要在商用及民用領域做試點應用,如安防攝像視頻、AR/VR、移動終端、無人車、無人機、無人艇及智能機器人等。
隨著國內邊緣計算產業聯盟ECC的成立,相繼發布了邊緣計算參考架構1.0、2.0和3.0,涉及應用域、數據域、網絡域和設備域4個功能域,已經囊括了層次劃分及功能、技術實現及交互、應用架構模式及部署等邊緣計算的方方面面。
但是,邊緣計算當前的主要安全防護能力基本是傳統安全防護設備、軟件和安全手段的堆砌,主要防御的核心思想依然是圍繞網絡邊界進行疊加式或串行式防護。
但是,防護體系不規范、防護能力和安全措施不統一,很多安全措施及安全手段不能靈活組合協同對安全威脅進行針對性防御,使得其不能有效對邊緣計算系統實施全方位和立體化的體系安全防護,又或者以性能換安全,嚴重降低了邊緣計算系統的應用特性,使其計算體系結構的應用優勢不在,更有甚之可能導致整個信息系統的功能和性能指標不能達到建立系統的初心,無法支撐客戶業務的正常開展。
因此,需要結合邊緣計算自身的技術、結構特點以及其與云計算中心協同作業的未來應用模式,設計安全防護體系及安全機制,確保系統在發揮邊緣計算靈活、快響應、敏捷聯接、低延時、自組織以及可定義等優勢的同時,保障底層支撐的基礎設施、核心流轉數據及應用系統服務的安全及可信。
2 邊緣計算安全威脅
2.1 安全脆弱性分析
邊緣計算的安全防護區域為跨越云計算中心和邊緣計算之間的縱深網絡空間,其中含有物理層、網絡層、數據層、應用層、邊緣服務器、終端設備及虛擬化資源。根據邊緣網絡的接入技術及應用形態的不同,分為傳統邊緣計算和移動邊緣計算。
由于邊緣計算網絡是基于P2P的分布式網絡資源組網整合,需要針對應用層業務實施端到端的立體化安全防護,從而確保整個邊緣計算網絡空間的真正安全,徹底解決分布式網絡、異構計算以及新型存儲技術引出的不同形式的邊緣計算風險和威脅。
網絡邊緣側由于更貼近物聯網連接的邊緣端設備,身份認證、訪問權限控制、安全風險與威脅防護的區域廣度和技術難度大幅提升。其中,邊緣側安全主要包括各種設備軟硬件安全、網絡安全、數據安全和應用安全,傳統的認證授權、邊界安全防護在邊緣計算環境下難于奏效。
此外,關鍵數據的完整性和機密性在物理空間和網絡空間均呈分布式的計算條件也是安全防護的難點。經系統分析,邊緣計算具體安全風險因素有終端多且異構、數據量大且格式繁多、網絡不穩定、存儲異構以及云、邊端防護等。
(1)終端多且異構。邊緣網絡的接入端點多,且分布在各地理空間,導致邊緣終端防護措施及防護能力不規范和不成體系,易被利用端點擴散的攻擊媒介攻破入網。
(2)數據量大且格式繁多。根據邊緣側接入數據的特點,惡意攻擊方可以進行針對性的數據損毀、數據干擾或者數據竊取。
(3)網絡不穩定。網絡聯接質量差,由于邊緣節點資源有限,有些安全防護措施達不到安全能力需求,網絡防御很難局部組合協同防御外部網絡威脅及APT攻擊。
(4)存儲異構。由于邊緣計算系統數據量遠遠超越傳統云計算中心系統的數據量,在邊緣側和中心側均有存儲媒介,根據數據特征屬性和重要性的不同,存儲介質和存儲技術也各有千秋,相應的安全等級差異大。
(5)云、邊端防護。邊緣計算系統防護范圍廣,各防護區域及對象的安全防御能力存在巨大差異。大量的邊緣終端由于計算、存儲及網絡資源有限,難于配備有效的安全防護措施,如防病毒軟件、漏洞掃描軟件、軟硬件加固、可信及主機監控和審計系統。對于邊緣計算支撐的端到端的業務應用,計算鏈上協同作業的任何節點失防,將導致業務不能正常開展,甚至破壞整個系統的正常運轉。
2.2 面臨的安全威脅
根據邊緣計算產業聯盟(Edge Computing Consortium,ECC)與工業互聯網產業聯盟(Alliance of IndustrialInternet,AII)聯合發布的邊緣計算參考架構模型,邊緣計算架構在縱向上主要劃分為應用域、數據域、網絡域和設備域。對于邊緣計算系統的整體安全威脅,主要來源于這幾個域的風險和其疊加因素。每個區域的威脅和風險都有其自身特征,任何一個層面的安全防御被突破都會導致邊緣計算系統不可預估的損失。按照防護對象的類型,將威脅劃分為節點威脅、網絡威脅、數據威脅、應用威脅、安全管理威脅及身份認證威脅。
2.2.1 節點威脅
它主要有邊緣終端、邊緣服務器、邊緣網關和云計算中心服務器節點的終端安全風險。不同節點終端應用特點和安全防護等級存在差異,需要結合木桶效應設計實現安全防御。
2.2.2 網絡威脅
相對于云計算中心模式,邊緣計算的網絡接入點分布廣、體系異構且安全防護脆弱,因此網絡層的入侵威脅急劇增加,一旦被入侵和劫持,可能導致一點安全失控癱瘓整個邊緣網絡。
2.2.3 數據威脅
數據對于系統的重要程度不言而喻。數據產生、傳輸、存儲、分析計算、共享以及開發過程中都有數據泄漏風險,對于有保密要求的網絡系統,數據安全防御至關重要。
2.2.4 應用威脅
人機交互和設備之間的交互通信都是建立在IP網絡之上,一旦網絡被劫持或被入侵,通過應用之間的交互信息便可竊取系統重要的信息和權限,導致不可預知的損失。
2.2.5 安全管理威脅
安全管理制度、人員操作管理以及協同作業管理存在安全威脅和風險,需要結合具體的應用場景制定管理制度、規范以及監管和追責措施。
2.2.6 身份認證威脅
邊緣計算系統規模巨大,邊緣網絡接入及交互裝備和系統繁多,需要通過身份認證構建可信邊緣網絡,否則易被偽裝者以合法身份入侵,竊取重要信息或破壞整個邊緣網絡。
3 邊緣計算安全機制
3.1 安全防護體系
傳統云計算中心體系架構分為IAAS、PAAS和SAAS,與之對應邊緣計算體系架構為ECIAAS、ECPAAS和ECSAAS。邊緣計算安全體系架構的設計需要圍繞邊緣計算應用體系架構的技術劃分層次,構建立體化、全流程、全周期、可信及智能化的邊緣防護體系。
邊緣計算在實際應用場景中呈現類人腦的工作機制,云計算中心負責全局資源管理、任務協調以及安全統籌控制,霧計算作為中樞神經充當區域計算、存儲和作業協調中心,負責局部的任務協調、資源配置以及安全管控,邊緣終端與實際用戶以及其他網元進行交互,負責任務執行和信息采集及上報,依據任務特點聚合三方協同配合完成作業,而安全威脅則貫穿于整個作業處理的全流程節點及網絡,根據其所在的領域、網絡空間及物理空間的特點,設計部署安全裝備,并配置個性化的安全規則,設計實現對防御全域的縱深定制化的安全預案,囊括物理安全、資源安全、節點安全、網絡安全、數據安全、應用安全、態勢感知、安全管理編排、身份認證、權限管理、安全運維以及應急響應等。
通過引入人工智能相關技術,構建基于物理空間和網絡空間特征的安全防御模型及風險應對行為執行策略,實時探測防御范圍內的安全風險和安全情報,并評估獲取的漏洞和風險,以達到提前或實時應對威脅處置和安全干預的目標。
安全防護也可借用邊緣計算和霧計算的高帶寬、低延遲以及位置感知特性,通過云計算中心實現全域安全資源的配置和區域防御流程的編排,利用策略控制器實現就近防御策略的任務執行,從而達到局部區域協同防御安全風險和APT攻擊,保證邊緣計算的安全、可靠以及靈活個性的架構優勢和能力。
邊緣計算系統安全防御體系的設計與實現,覆蓋邊緣計算應用體系的各個層級。不同層級之間有不同的屬性和安全要求,是安全體系方案差異化設計的重要參考和依據。
為了實現邊緣計算安全防護體系架構的規范和統一,總體上要求統一的態勢感知與安全情報共享、統一的安全管理與流程編排、統一的身份認證與權限管理、統一的安全運維與應急響應、統一的密碼支撐體系和機制、統一的資源管理和配置以及統一的數據安全管理,最大限度地保障整個邊緣計算網絡系統的安全與可靠。
(1)應用安全。應用安全主要包含白名單、惡意攻擊防范、WAF、安全檢測和響應、應用安全審計、軟件加固和補丁、安全配置管理、沙箱及訪問行為監管等。其中,白名單是邊緣計算安全架構的重要功能,由于終端的海量異構接入,業務種類繁多,傳統的IT安全授權模式不再適用,往往需要采用最小授權的安全模型管理應用及訪問權限。
(2)數據安全。數據安全包含數據隔離和銷毀、數據防篡改、數據加密、數據脫敏、數據訪問控制、數據防泄漏和數據隱私保護等。其中,數據加密包括數據在傳輸過程的加密和存儲過程的加密;邊緣計算的數據防泄漏與傳統的數據防泄漏有所不同,邊緣計算的設備往往是分布式部署,需要考慮這些設備被盜后數據被獲取也不會泄露任何信息。
(3)網絡安全。網絡安全包含網絡安全隔離、重用已有協議安全、IPSec、防火墻、入侵檢測和防護、DDoS防護、VPN/TLS、隱蔽通信和加密通信等。其中,DDoS防護在物聯網和邊緣計算中至關重要,越來越多的物聯網攻擊是DDoS攻擊,即攻擊者通過控制安全性較弱的物聯網設備來集中攻擊特定目標。
(4)節點安全。節點安全需要提供基礎的ECN安全、安全與可靠遠程升級、輕量級可信計算、軟硬件加固、安全配置、防病毒、漏洞掃描和主機監控與審計等功能。其中,安全與可靠的遠程升級能夠及時完成漏洞和補丁的修復,避免升級后系統失效;輕量級可信計算用于計算CPU和存儲資源受限的簡單物聯網設備,解決最基本的可信問題。
(5)資源安全。資源安全需要提供物理資源(云主機、云終端)和虛擬資源(虛擬機隔離、網絡、存儲、數據以及操作系統)的安全、資源訪問控制以及數據庫防護。其中,物理資源和虛擬資源協同安全防護是常見的邊緣資源安全防御形式。
(6)物理安全。物理安全需要提供物理訪問控制、智慧門禁和機房、防盜防破壞、防水防潮、溫度濕度控制、防雷防火防靜電、配電供應、電磁防護和紅黑電源隔離等功能。其中,物理安全防御需要結合具體的領域和安全級別要求實施安全管控。
(7)安全態勢感知和安全流程編排。網絡邊緣側接入的終端類型廣泛、數量巨大以及承載的業務繁雜,被動的安全防御往往不能起到良好的效果。因此,需要采用更加積極主動的安全防御手段,包括基于大數據的態勢感知和高級威脅檢測、綜合安全監管和風險評估、安全合規審計和威脅溯源、漏洞統計和殺毒庫升級以及統一的全網安全決策指揮,從而更加快速響應安全風險和強化安全防護,結合完善的安全情報共享和防御流程編排,最大限度地保障邊緣計算系統的安全、可用及可信。
(8)認證權限管理和運維應急響應。身份認證和權限管理功能遍布邊緣計算所有的功能層級,由于在網絡邊緣側是海量設備的接入,傳統的集中式安全認證面臨巨大的性能壓力。特別在設備集中上線時,認證系統往往不堪重負,需要采取根據需求行為的最小授權模型,實施去中心化、分布式的認證方式。統一運維及應急響應需要實現監管、自動化及可配置。
(9)密碼和可信管理。作為整個邊緣計算系統的安全基礎設施,需要強化對密碼相關裝備及管理系統的安全防護,通過量子密碼、安全多方計算及零知識證明應對新技術變革及量子技術引入的安全風險。邊緣計算系統的PKI公鑰基礎設施采用區塊鏈技術實現證書、密鑰全周期及密碼機負載均衡的管理,借助于區塊鏈的分布式共識記賬技術、隱蔽通信及審計保障可信邊緣網絡的安全,降低單點故障類安全風險。
3.2 邊緣計算體系防護機制
邊緣計算在網絡空間按照傳統的安全防護體系設計,主要分為安全基礎設施、四個安全功能域和四個全域統一安全支撐。其中,安全基礎設施支撐主要是密碼及可信基礎設施的全網統一共建共享;應用域用來支撐攻擊防范和威脅保護;數據域用來保證數據在接入控制、傳輸、分析、存儲和共享的全周期安全流轉,其中具體包括內存加密、系統加密、硬盤加密、加密傳輸和脫敏共享等;網絡域用來保障網絡傳輸的機密性、完整性、可用性和可認證性等;設備域用來保護硬件服務器、終端及各類組件的物理安全、電磁安全、節點安全及資源安全等;統一認證和授權用于確保接入邊緣網絡的網元均是可信的,且按照統一權限模型授權及操作;統一運維及響應用于保障邊緣系統安全資源統一管理、任務協商及安全應急處置;統一態勢感知用來保障邊緣計算系統全域安全態勢監管、審計、分析、評估、統計、預警、溯源、決策及共享;統一安全流程編排主要是獲取安全情報、情報分享安全規則設置、安全場景編排、協同防護流程編排、資源池化配置及安全服務全周期管理;對于邊緣計算支撐的基礎設施及應用系統的安全防護,要以體系化的綜合思維分析和設計安全措施及安全產品,在確保邊緣計算的網速、延遲、感知、成本、數據安全和靈活定制的優勢基礎上,協同聯動安全加固其所在的范圍和覆蓋的對象,強化安全防護等級,實現全域資源統一管理和分配、接入身份統一認證和最小授權、網絡隔離和保密統一安全管控、云計算中心和邊緣終端的虛擬化防護、安全體系密碼和可信統一支撐、安全態勢和情報統一處理和共享、數據安全統一管理和共享等。
邊緣計算體系化全域協同安全防護機制,在融合邊緣計算的網絡空間和物理空間特性及安全資源映射的基礎上,各安全防護措施均應增加地理空間位置維度信息。
邊緣計算網的安全體系設計需要結合網絡空間的安全資源池化、能力服務化、流程可編排化、基礎支撐統一化及物理空間安全資源有限、異構及攻防交互深度相關性等特點,綜合通用的網絡空間安全防御,從邊緣終端防護到邊緣計算服務器防護,從節點入網驗證到網絡層流量及協議防護,從應用層攻擊檢測、監管及審計到數據的全周期安全防護。
其中,數據作為邊緣計算網的核心,其安全防護實現基于數據分級分類的接入、分析、傳輸、存儲、共享以及銷毀等閉環安全管控,而邊緣防護具體實現時需要結合威脅診斷、防護能力等級及安全資源的物理空間特性,打造四維空間防護加網絡虛擬空間防護的立體化安全體系,采取安全云中心、安全霧計算網關及邊緣計算服務器和邊緣終端三層級安全防御決策執行結構,根據就近原則進行針對性的安全防御流程編排及風險應對,從而充分利用邊緣計算網的優勢賦能邊緣安全防護,實現邊緣計算網的安全資源合理化的使用、釋放及回收。
其中,依據地理空間位置進行網絡空間安全資源管理的功能包括安全資源的管理和配置、防護流程的編排、安全防護的協同組合、運維及應急處置、身份的認證及最小授權、數據安全共享及交換和安全情報共享及態勢感知。
3.3 邊緣計算可信防護機制
在邊緣計算全域協同安全防護網基礎上,通過區塊鏈的特性構建邊緣安全可信網,其中包括區域可信、全域可信以及可信共享。應用區塊鏈的共識記賬技術達成系統安全防護的魯棒特性,防止傳統安全防護技術單點故障或者DDoS攻擊導致的安全防護能力破壞;利用私有區塊鏈打造邊緣計算區域安全可信網,借助多因素身份認證技術或零知識證明技術,確保接入邊緣網絡的異構邊緣終端(手機、平板、傳感器、智能終端、計算機、公交車、汽車、無人車、無人機及無人艇等)是可信的,達到對邊緣端點聯接入網的事前安全管控;利用邊緣網關和聯盟鏈打通云邊端的全域可信協同網絡,實現邊緣網絡的可信安全資源在整個邊緣網絡域內自由組合和編排,應用區塊鏈的不可篡改特性實現事中監管和事后威脅可追溯,從而保障數據的真實性和完整性,利用區塊鏈網絡的P2P傳輸機制和點對點加密通信機制,實現邊緣計算網絡中端到端的隱蔽通信及重要數據的安全保密;利用公有區塊鏈實現邊緣計算網與互聯網之間的跨域應用可信通信及數據安全共享,通過區塊鏈的智能合約及智能算法的融合,實現可以依據安全威脅場景進行自主智能化安全防護及風險應對。
3.4 邊緣計算智能化防護機制
利用邊緣智能和中心智能協同構建智能化的邊緣防護體系,智能中心即安全大腦負責邊緣網絡全域信息的管控統計分析、分類管理及智能防御能力強化,利用邊緣側上報的威脅和風險數據建立和訓練安全模型,自上向下分發已經訓練成熟的安全模型到邊緣網關即安全中樞神經,安全中樞神經結合其負責區域的安全態勢及資源狀態適配調整安全模型,并且將適配調整后的安全模型下發邊緣節點即安全器官,邊緣服務器根據傳感器等端設備收集的終端數據和本地安全模型,利用智能算法評估執行安全防護手段,根據不同終端體系結構、計算、存儲、網絡資源特點以及外部威脅特征,動態增強本地安全防護模型,從而使得邊緣端點安全防護能力因變而強。
利用邊緣計算分布式的特點構建局部及全局區域的協同防御智能體系,由點及面不斷加強風險安全防護的綜合實力,實現安全防御戰力全面進化升級。
4 結 語
邊緣計算當前處于技術應用及產業發展的探索期,網絡設備廠商、網絡運營商、云計算廠商、云服務廠商、芯片廠商、服務器廠商以及物聯網廠商都在各自的專業領域布局邊緣計算搶占行業制高點,國際及國內標準化組織和聯盟也相繼推出邊緣云計算的標準化白皮書和參考架構,根據權威機構和產業的發展預測未來云計算會沿著中心式云計算、霧計算、邊緣計算及智能計算的方向發展。但是,邊緣計算的安全防護架構及防護體系的缺乏,導致邊緣計算應用及產業發展的風險和阻力加大,本文針對性地提出了邊緣計算的端到端的安全防護體系及安全防護機制,希望在邊緣計算支撐我軍未來軍事辦公、軍事訓練及戰時協同作業、快速響應和安全通信時提供穩定的安全保障。
來源:信息安全與通信保密雜志社