作者 虎符智库专家 奇安信高级研究员 郑新华

5月17日，RSAC峰会如约在线上举行，今年大会的主题是“弹性（RESILIENCE）”。RSA公司的CEO Rohit Ghai先生在会议开始时做了一热情洋溢的主旨演讲《弹性的历程》。报告指出，目前，全球的网络正在遭受前所未有的网络攻击，但是，我们在整体上还是经受了住了这种挑战；网络安全正在变成一个以弹性为基础的行业，是一个适应、创新和发展的行业；Rohit Ghai先生呼吁网络安全行业进一步交流并探索网络弹性的经验与知识，共同保护网络网络关键设施和我们的网络家园。在5月17日当天，还举行了6个跟弹性有关的报告和研讨，涉及战略、技术、产品和应用等各个方面。

图1 2021年RSAC峰会主题页面

安全进入弹性时代

RSA公司Ghai先生在报告中指出，当前网络的规模和复杂性急剧扩大；网络安全防护方要处理跨不同云提供商的多个互连技术栈，面对一片混沌（Chaos）的状态。网络防护方要正视这种现实，但要努力突破混沌、提高系统的可见性。“一旦有了可见性，就可以使用威胁情报来了解最可能的对手以及他们使用的方法。”

Ghai先生强调了零信任对于实现弹性网络的重要性。零信任既是一种理念，也是一种体系结构。利用微分段来划分网络，并提供应用层威胁防护，以及使用基于风险的连续多因子身份验证作为关键组件。“最重要的是将信任限制在绝对需要的范围内，决不要基于不可靠的因素提高信任。”   

 弹性还与风险管理紧密相关。风险分析是开展弹性网络建设的第一步，通过基于风险确定优先级并保护最重要的事物。“我们必须保护代表最大风险的网段，而不是我们看到最多漏洞的地方。”Ghai认为NIST网络安全框架在基于风险的网络安全方法方面做得非常出色，每个组织都需要部署集成的风险管理解决方案，并实施量化的网络安全风险管理。

这一点与美国国土安全部部长Mayorkas不谋而合。Mayorkas在4月的报告中指出，我们遭受网络攻击的情况无法避免，我们要“专注于基于风险的方法”，确定优先级的风险并据此分配有限的资源。对于企业而言，解决此问题的最佳方法之一是朝着零信任理念迈进。Mayorkas认为“零信任”不是产品、服务或供应商，而是一个目标，组织应该将网络安全防护解决方案不断逼近零信任的目标。

什么是网络弹性

（Resilience或Resiliency，也可译为“韧性”）的概念起源于力学和社会生态等领域，后来被引入工程领域。近年来，美国军方要求在预算有限和作战条件不确定的条件下，其武器装备应具备保证功能持续稳定的能力、抗干扰能力、受损后能得到有效恢复的能力以及快速适应不断变化的条件的能力，从而对武器装备提出了弹性的要求。此后，弹性得到美国军方乃至美国联邦政府的高度重视。

由于网络安全风险的多样性、复杂性和不可预见性，保证网络空间绝对的安全是不现实的。因此，网络安全的工作重点逐渐从阻止网络事故的发生转向缓解事故带来的危害，网络弹性的概念就应运而生。网络弹性是从攻防对抗的角度来考虑系统的特性，认为网络攻击（尤其是APT攻击）是防不住的；在这种情况下，保护系统的重点应从抵御攻击转变为保障业务连续性。

美国已经发布了多个跟网络弹性有关的规划和正式报告。2018年，美国防部在《国防部网络战略2018》中提出“提升美国关键基础设施弹性”的战略途径；此后不久，白宫发布了美国的《国家网络战略》，提出了“管理网络安全风险，提升国家信息和信息系统的安全与弹性”的目标。随着美国政府的推动，网络弹性在国际学术界和工程界得到了广泛的重视。      

2019年11月27日，美国国家标准与技术研究院（NIST）正式发布SP 800-160（卷2）《开发网络弹性系统——一种系统安全工程方法》。它是NIST采用系统工程方法构建网络安全能力的一个重要里程碑，标志着网络弹性第一个权威技术文件正式出台。

NIST将网络弹性定义为：预防、抵御、恢复和适应施加于含有网络资源的系统的不利条件、压力、攻击或损害的能力。该报告提出了一个完整的网络弹性结构，包括目的、目标、技术、实现途径、设计准则等。这个结构指导系统工程师从风险管理策略出发，根据威胁或攻击的影响来制定网络弹性解决方案（见图2）。

图2 NIST提出的完整的网络弹性结构

网络弹性的目的是使系统具有预防、抵御网络攻击的能力，以及在遭受网络攻击后能够恢复和适应的能力。NIST对以上四个目的进行细化，提出了阻止或避免、准备、持续、限制、重构、理解、转移、重新架构等8个具体目标，用于说明系统应该实现的功能。

其他机构也对网络弹性提出了类似的定义和技术体系。例如，IDC采用NIST的网络安全框架来表示网络弹性，并列举了实现这个框架的关键技术。在《网络弹性重要性与实现之路》一文中，普华永道网络安全与隐私业务负责人克里斯·莫里斯分享了实现网络弹性的五个步骤：了解资产、了解供应链、保持良好安全习惯、制定恢复计划、开展网络攻击演习。

综合来看，NIST SP 800-160（卷2）所提出的框架是最全面完整的。

弹性与安全的未来

从目前情况来看，RASC专家报告的内容并没有突破NIST SP 800-160（卷2）《开发网络弹性系统——一种系统安全工程方法》所描绘的技术框架。但是，我们可以看出，国际同行正在将网络弹性当做未来网络建设和网络安全产业发展的战略方向，美国国土安全部部长Mayorkas说“我们必须确保我们的工作不仅限于当今的危机……通过向前看了解冰河期的发展方向。”

网络弹性与任务保证、网络安全防护、业务连续性、备份恢复等相关，它不仅仅关注应对外部的网络攻击，也关注网络自身的健壮性与可靠性；它并不局限于防御或消除网络攻击，也考虑到与网络攻击共存，在遭受网络攻击时保持网络的可用性以及网络恢复的能力。这就要求系统建设者摒弃不可渗透的旧防御观念，而是要假定遭受攻击将不可避免，必须采取措施进行阻止、响应并从攻击中恢复，从而保障业务的连续性，并避免遭受重大数据泄露等损失。

网络弹性与从信息系统全局出发、构筑内生安全能力建设不谋而合：两者都是从大系统出发，基于攻防视角，综合考虑了信息化业务系统的防护功能与网络安全产品的防御能力，使二者协同工作并贯穿系统全生命周期，形成内生安全能力，逐步逐层化解网络攻击威胁，保障业务系统的持续运行和关键功能的实现。