工業網路靶場技術解析①序言

• 2019 年 10 月 4 日
• 筆記

一、簡介

最近發生的委內瑞拉電力系統癱瘓事件表明，這是一種國家間新型戰爭，企圖通過網路攻擊行動瓦解國家運行基礎，癱瘓民生設施，徹底瓦解民心，從而「手不血刃」達到目的。如果的確是網路攻擊造成了這種新型的大規模入侵，顯然是達到了預期的效果。這對包括中國在內的世界各國也是嚴重的警示，應該以生死存亡的緊迫感，著手應對工業控制系統和關鍵資訊基礎設施被入侵的全面準備。

我們應該如何進行準備？解決方案之一是建設工業網路靶場，工業網路靶場是一個模擬的攻防演練、產品測試、教育培訓、應急演練和風險評估的虛擬訓練場。工業網路靶場的第一目標是複製關鍵資訊基礎設施和工業控制系統生產環境，基於該複製環境，受訓人員可針對網路攻擊滲透手段、網路作戰戰術、防護加固策略等進行反覆演練。其次可基於複製環境進行風險評估、產品測試、教育培訓、應急演練等業務應用。於此同時靶場還會將演練評估過程中的數據進行匯總統計分析，輸出能力評判及效能評估結果。

在網路靶場中，將資訊系統環境進行複製是網路靶場的主要核心能力。而工業網路靶場則側重於表現複製工業控制系統和關鍵資訊基礎設施環境的能力，並集成支援複製資訊系統環境的能力。網路靶場源於美國，根據2008年5月1日美國國防高級研究計劃局（DARPA）發布的「國家網路靶場（NationalCyber Range）」的招標文件，正式在市面上出現網路靶場的相關概念及作用定義。「國家網路靶場」項目源於2008年1月8日由美國總統布希簽署的「國家網路安全綜合計劃」，這是一項多年計劃，將由多個部門參加並分步驟實施，其最終目的是保護美國的網路安全，防止美國遭受敵對電子攻擊，並能對敵方展開在線攻擊。在美國，有人將該計劃稱為可與「曼哈頓工程」相媲美的國家安全項目。「國家網路靶場」建設是該項目的重要組成部分。「國家網路靶場」項目是自20世紀50年代實施「人造地球衛星計劃」以來，美國會向DARPA直接下達的唯一項目。該靶場的建設目標是，模擬真實的網路攻防作戰虛擬環境，針對敵對電子攻擊和網路攻擊等電子作戰手段進行試驗，以實現網路戰能力的重大變革，打贏網路戰爭。2012年，「國家網路靶場」由美國國防高級研究計劃局（DARPA）轉交給國防部長/測試資源管理中心辦公室，用於國防部、海陸空三軍和其他機構進行網路武器試驗及攻防能力演習支撐。儘管「國家網路靶場」在建設與運行中尚存在一些關鍵技術難點，但無疑會對美軍網路戰攻防試驗能力帶來革命性的飛躍。至今，網路靶場已成為各國進行網路空間安全研究、學習、測試、驗證、演練等必不可少的網路空間安全核心基礎設施，世界各國均高度重視網路靶場建設，將其作為網路安全技術能力支撐的重要手段。

美國作為網路空間攻防技術研究領先的國家，除了建設網路靶場等技術保障手段外，還積極組織網路攻防演習。在網路安全領域，針對網路攻防的演習是「是模擬戰時行動的，涉及計劃、準備和執行的軍事行為，主要目的是為了培訓和評估網路戰的能力」。美國幾乎所有的軍事單位每年都至少要參加一次以團隊為基礎的演習，以確保單位成員能夠執行他們所指定的任務清單（METL）。這些演習包括：大規模的「網路風暴」、「網路奪旗」、「網路衛士」、「網路防禦」、「網路閃電」、「施里弗」和參加的北約「鎖定之盾」等，小規模的「防禦堡壘」、「虛擬旗」、「網路拂曉」和「網路閃電戰」等，這些演習的目標一是實踐美國的協調機制，並評估美國國家網路事件響應計劃和效果，二是鍛煉網路攻防隊伍，檢驗攻擊與防禦能力。在這些演習中，大大小小的演習背後均由各自規模不同的網路靶場平台進行支撐，如網路奪旗1-13（Cyber Flag 1-13）就是由伊利諾伊州斯科特空軍基地的空軍模擬器（SIMTEX）來支撐其進行訓練演習，在其他更大型的演習中，空軍模擬器（SIMTEX）也和「國家網路靶場（National Cyber Range）」及其他靶場平台進行整合聯動為演習提供支撐手段。

在過去的三年中，我們密切關注中國外網路靶場的建設及實踐情況，以及基於網路靶場開展的網路攻防演習進展。我們注意到，在網路靶場建設和網路攻防演習中，最主要的核心要素就是保持和真實環境一致的體驗，不僅僅是演習的複製環境需無限接近於真實環境，演習使用的攻防工具、操作模式以及通訊、協作等均需和真實環境一致。和真實環境一致的體驗保證了網路攻防演習的價值，並能夠直接作用於真實環境之上。這直接指導了我們的工業網路靶場規劃和建設，在充分考慮無限逼真的環境體驗下進行成本/效益的平衡。

此外，我們還組織人員參與網路攻防競賽，也和政府部門合作共同組織舉辦網路攻防競賽。以此積累網路攻防實踐經驗，包括如何基於工業網路靶場進行網路攻防競賽和演練的寶貴經驗，這些都很好的幫助我們來規劃和建設工業網路靶場平台。

二、網路靶場的定義及作用剖析

根據美國國家標準與技術研究院（NIST）的定義，網路靶場被表示為與組織的本地網路、系統、工具和應用程式相關的互動式和模擬表示。網路靶場為用戶提供安全合法的環境，該環境可基於用戶需求自己設計並由網路靶場生成，在該環境中，可用來提高網路、資訊系統、工控系統及相關聯子系統間的穩定性、安全性和性能。網路靶場既可以單獨使用，也可以與其他網路靶場聯合使用。網路靶場依賴於硬體和軟體或是兩者的組合併支援某些網路服務。

對於網路靶場的定義，我們認為將從兩個方面來理解，一是「網路」，二是「靶場」。網路靶場是個舶來品，英文名字是「Cyber Range」。追本溯源，我們應理解在英文中「Cyber Range」的含義，從而明晰網路靶場的定義。

「Cyber」一詞源自古希臘語，含義為「控制」「掌舵」，在近代最初的運用是諾伯特·維納的《控制論》，在當時，「Cyber」表現與自動化、交互過程、人工智慧、機器人學等範疇相連。近年來「Cyber」一直是各種新媒介研究中的概念，而且許多和Internet、電腦、安全相關的概念都喜歡加上「Cyber」，比如CyberSecurity，Cyber War，Cyber Game等。由於「Cyber」在英文環境中一樣是模糊不清、充滿歧義的，將「Cyber」翻譯為中文時，許多人將其翻譯為「網路空間」「網路」「控制」或者直接使用音譯「賽博」「賽博空間」。根據維基百科及百度百科等釋義及李耐和《賽博空間與賽博對抗》，「其基本含義是指由電腦和現代通訊技術所創造的、與真實的現實空間不同的網際空間或虛擬空間.網際空間或虛擬空間是由影像、聲音、文字、符碼等所構成的一個巨大的『人造世界』,它由遍布全世界的電腦和通訊網路所創造與支撐。」從這個層面上來說，賽博及賽博空間是最接近「Cyber」在網路靶場中所表達的含義。

「靶場」一詞意味著其屬於進攻性目標練習的環境，就像士兵練習射擊的射擊場一樣具有提供訓練靶標，測量訓練精度及進度，並對訓練結果進行定量和定性的分析和評估。由於「靶場」在軍事領域及其他領域的諸多應用，提及靶場我們大概就能「識字明意」。

通過網路靶場，可實時評估表現網路安全攻防進程及態勢，為訓練提供實時回饋以增加訓練價值。網路靶場包含某些團隊，每個團隊在網路靶場中都具有自己的影響力。到目前為止，網路靶場已經發展到了多大七種不同的團隊角色。它們分別是：

綜合調查全球網路靶場的發展趨勢及實踐運用來看，目前的網路靶場主要作用包括：

• 服務于軍事，國防和情報事務

軍事組織和政府機構希望網路戰士具備應對網路戰及網路恐怖主義的技能。因此，各國的軍事和國防部門建設和部署了大規模的網路靶場，如美國國防高級研究計劃局（DARPA）的國家網路靶場（NCR）。除了通用性的大型網路靶場外，美國陸軍、美國海軍、美國空軍及美國網軍均建設部署有自己的特色網路靶場。根據我們的調查，目前世界上有一百多個國家的軍事和國防部門已經或正在進行服務于軍事、國防及情報事務的網路靶場平台建設。

• 服務於網路攻防實踐、競賽及教育培訓事務

資訊安全人才除了要掌握大量理論知識外，更注重的是實踐動手能力。此外，很多資訊安全方面的實踐具有強大的破壞性，網路靶場可提供安全隔離的模擬模擬環境用於資訊安全的網路攻防實踐測試、競賽和教育培訓工作。

• 服務於企業和商業事務

目前在企業等商業化組織裡面，網路靶場主要用於構建網路安全培訓和模擬中心，提供網路安全的模擬和演練解決方案，以加強企業人員技能及安全防護措施的有效性。此外，還針對網路靶場提供測試評估、沙盒分析、DevOps、安全事件響應等服務。其中，以色列的Cyberbit主要為客戶提供網路靶場的網路安全模擬與培訓解決方案，IBM X-Force Command Center為業務事件處理程式和操作連續性提供事件響應解決方案，美國密歇根網路靶場為網路安全在執法領域的應用開發和測試解決方案等。目前市面上的商業網路靶場產品日益增多，均面向各種應用實踐與各行各業，幫助解決所面臨的網路安全問題。

三、工業網路靶場

基於網路靶場的作用及價值，我們在工業領域開展針對網路靶場的實踐落地應用探索。工業網路靶場定位為涵蓋能源、電力、通訊、交通等領域，滿足關鍵資訊基礎設施安全體系建設需求、工業網路攻防能力驗證需求、工業產品檢測評估需求。靶場通過虛擬化技術及模擬技術重現真實工業網路節點及鏈路，依賴虛擬環境可以完成網路空間及工業網路體系規劃論證、能力測試評估、產品研發試驗、產品安全性試、人才教育培養等任務。

工業網路靶場頂層設計維度架構：

後續我將就上述頂層設計架構模型對工業網路靶場技術進行解析，歡迎關注！