美国《国家网络安全综合计划(CNCI)》综述

０
ＣＮＣＩ出台与部分解密的背景情况
～一 ～一“ 一一一一一一 一一一一一一
瞻卯妯胡藿｝一卟洲瓠捆轮懈
赫
瓣肌旺 面球要 的汜负
豢～
２００８年１月８日，美国总统布什签署发布了第５４号国家安全总统令，第２３号国土安全总统令，即ＣＮＣＩ。出台该计划是布什 总统认为美国网络安全需要一个国家层面的综合计划并且要付诸实施。该计划旨在保护美国的网络安全，防止美国遭受各种恶 意或敌对的电子攻击．并能对敌方展开在线攻击。由于是密令，一直对外保密。２０１０年３月２ Ｅｌ，应美国国内多方呼吁，美国总统 奥巴马高调宣布解密其部分内容，主要目的是提高透明度以争取民心。
●一
万方数据
共同的技术、工具和程序；以及通过共享的分析和协作技术，加强共享态势感知。”
作者简介：张文贵（１９５３－），男，副研究员，主要研究方向：国外信息安全研究；彭博（１９８３一），翻译，硕士，主要研究方向：国外信息安全研究；
潘卓（１９８６－），翻译，本科。主要研究方向：国外信息安全研究。
６９
广
２０１０．０９＼
根据这一计划，通过协凋和综合来自六个中心的信息，提供 横跨六个中心的态势感知与分析，并报告美ｆ目网络和系统状态， 以促进合作与协调。国ｔ安全部内的同家网络安全中心（ＮＣＳＣ） 在保护美国政府网络和系统上将起到关键的作用。
为那些专注于通过渗透供应链来危害美国的人们提供了更多 获得未经授权的访Ｍ数据，篡改数据和阻断通信的机会。对 这些来自于国内和全球化供应链的风险必须通过一个战略的 和全面的方法，对产品、系统和服务进行全生命Ｊ嗣期的管理。，” 要做好这种风险管理，就需要：更深刻的认识威胁、漏洞和相 关采购决定所产牛的后果；开发和利用从技术和操作环节上减 少产品生命周期（从设汁到退役）中风险的Ｔ具和资源；开发制 订新的采购政策和做法，以应对复杂的全球ｒ订场；与相关业界 合作，制订一套适用于供应链的风险管理标准和最佳操作规程。 该计划将促进联邦政府的技能、政策和程序，为各部门和机构 提供管理及减少供应链风险的更好办法，从而减少联邦政府部 门和机构所面临的系统及网络风险。
４．１从在战略角度思考。尽快研究制定我国网络安全战 略及综合计划
国家信息安令的发展战略和综合计划的缺失，是造成我 们面对国际信息安全领域不断出现的重大变化和调整。总是 处于被动庇对或跟随行动而非主动掌控、主导局面的原因，同 时也是造成ｎ前我国对信息安全的认识、管理和行动主要集 中在国家层面，缺乏伞民理解与配合的重要原因之・；而与战 略相配套的国家信息安伞综合行动计划的缺失则是造成我国 信息安全规划难以落地，缺乏短、中、长期不同阶段行动目标， 各部门之间缺乏整体配合的原因，导致信息安全举措零打碎 敲的多，重复交叉的多，整合力量、发挥整体优势的少ｊ这也 是美国２００３年网络空间安全战略出台之后难以取得实效的根 本原Ｗ，也正是为此，美国２００８年发布了ＣＮＣＩ并将其作为 落实国家战略的全面的综合计划。 闲此，应将制定中国的网络安全发展战略及行动计划作 为当务之急，应当紧密结合当的形势和任务以及未来发展方 向，做ｆｆ｛正确的战略判断和战略预见，根据我国力实际和需要， 确定困家的整体战略【＝ｊ标和优先秩序．描述国家网络空间安 全的基本定义，明确国家应对安全威胁的能力构建、资源整 合与业务协同的基本要求，明确界定政府与相火机构应承担和 履行的职责和使命。针对当前信息安全责任和权力不匹配，各 部门抢权却不担责的现状，应该在“谁主管谁负责、谁运行谁
１
ＣＮＣｌ重点内容解读
１．１强力推行“可信互联网连接”计划，合并和缩减外部接入点数量 ＣＮＣＩ第一条明确要求：“各机构，无论是作为可信互联网连接（ＴＩＣ）访问服务供应商，或作为通过联邦总务局管理的
Ｎｅｔｗｏｒｘ合同的商业性托管可信ｌＰ服务（ＭＴＩＰＳ）供应商，一律参与ＴＩＣ计划。” ＴＩＣ是２００７年１１月３０日举行的美国政府大会上提Ｈ｛的，旨在构建政府各大小部门和机构的互联网门户网站，给出了网络安 全外线防御的蓝图。其核心内容为：１）合并成一个数量较小的（目标是５０个）、优化的标准外部接入点（包括使用“互联网门 户网站”的嗣际互联网接口）；２）计算机应急响应小组（ＵＳ—ＣＥＲＴ）利用爱因斯坦技术和支持流程优化的标准门户网站实施监测、 事件通知、支持和响应；３）继续推行代理商和服务提供商网络与安全工作，包括纵深防御、事件响应和直接的业务支持；４）确 保各方之间签订基于性能的安全和服务等级协议。
强网络安全分析、态势感知和安全响应能力。在危害发生前，它将能够对网络威胁自动检测并正确响应，最终形成一个支持动态 保护的入侵防御系统（ＩＰＳ）。”
１．３搭建各网络运行中心信息共享体系。提高整体态势感知能力
ＣＮＣＩ第五条明确阐述：“在负责执行美国网络活动的六个中心范围内，启用并支持共享的态势感知和协作，这一活动关注的 主要方面是使美国各地的网络活动内容衔接：基础能力和投资，如基础设施的升级，增加带宽，综合业务能力；加强合作，包括
、＿－——＿——＿－－———１＿。＿＿＿＿＿＿＿。＿＿。＿’－＿＿。＿‘——＿＿－＿－——＿＿＿＿＿＿＿＿－＿。。—・’—－＿＿＊————————一‘——。。。。。。。。’。—‘—。。。。。。‘‘———’１‘＋——’—’’。。。’。。。。。‘。—’。。。。。。‘——’”‘————１’。。‘。。。。——————————————————————————————
１．８明确赋予计算机应急响应小组肩负的使命
ＣＮＣＩ第二条阐述：“美国计算机应急响应小组要大幅度 地提高态势感知意识。从而更有效地挖掘相关安全信息，更 快捷的与整个政府的网络防御人员、民营机构的安全专业人 员和社会公众共享ｆ荒鼠。” ２
ＴＩＣ实施步骤与ＣＮＣＩ面临的挑战
ＴＩＣ是ＣＮＣｌ最重要的内容之・，主要目的是减少、合并
和限制行政部门民事机构互联网的外部接人点。该计划共分 为五个步骤： 步骤１：对现有外部连接箍点和造册。通过该基础性步 骤，对联邦行政部门民事机构管理的外部连接进行全面清点 和特症描述；步骤２：对结构性规划、政策、治理、执法和 执行结果现状进行评估。各机构应当参照其食业架构，确定 其一揽子既充分又恰当的计划。此外，各机构还应当进一步 确定在何种程度Ｊ：这些计划才能与ＴＩＣ相符。找出差距（如 果有的话），并用这些差距指导开发制定其行动与里程碑计划。 各机构还应根据需要来确定和更新资金规划文件、治理活动、
１．５采取类似上世纪五十年代提高科学和数学教育领域 的举动，扩大网络安全知识和技能方面的教育
ＣＮＣＩ第八条阐述：“虽然在保护美国政府网络李问安全的 新技术上花费了数十亿美元，但成功与否的火键闪素在于具备
过硬知识，技能和能够实现这些技术的人。然而，恰恰是在联
邦政府或者私营部门内我们缺少贯彻落实ＣＮＣＩ的网络安全号 家，而且也没有建立起一个建全的、完善的联邦｝四络安伞职业 圈（领域）。现有的网络安全人员培训发展汁划虽然不错，但 它存在一定的局限性，重点不够突出，且缺少万众一心和同心 协力。为了有效地保证我们持续的技术优势和末来的网络安全， 我们必须建立起技术精湛和精通蚓络技术的人才队伍以及未 来员工的有效渠道。为了应对这一挑战。需要制定一项类似于 上世纪五十年代努力提升科学和数学教育的罔家战略。” 为了做好网络安伞教育，美倒网络安全专家建议： １）战略暨同际研究中心委员会建议通过为网络专家提高奖 学会以及发展职业道路的方法增加熟练工人的数量；２）联邦 政府需要宣传和提高网络安全问题严重性的认识，增加有丰富 的网络安全技能的专业人才数量；３）白宫政策审查把教育和 队伍发展作为国家网络安伞战略的重要组成部分，它建议：（１） 发起一个全国性的公众意识和教育运动，以促进网络安全；（２） 扩大教育方案和研发，确保国家在信息经济时代的持续竞争能 力；（３）制定一项战略，以扩大和培训的劳动力，包括吸引和保 留联邦政府内的网络安全专业知识。
１．６开发制订一种全球供应链风险管理多管齐下的方法
ＣＮＣｌ第十一条要求：“商业信息和通信技术市场的全球化
万方数据
∥面，
其企业架构范同内的分分支架构以及其他需要的领域；步骤 ３：定义目标细目和构建计划。机构必须确定未来ｎ标的数量、 结构、内部应用程序的连接以及相父的细节．。已明确的所有 差距应通过ＩＦ常的更新和配置管理流程米解决；步骤４：确 定ＴＩＣ行动与罩程碑计划。该计划必须显示每个“现况”细日 内容的具体罩程碑及行动，显示从目前到未来门标的过渡情况 以及基本依赖关系，如在步骤２评估所确定的那屿；步骤５： 完成并提交行动与罩程碑计划模板。各机构要按照上报要求， 在２００８年１月８日，完成其行动与里程碑计划模板。 ２０１０年３月５日，即美国宣布ＣＮＣＩ部分内容解密后的第 三天，美国政府问责办公室发布了题为《ＣＮＣＩ虽取得进展， 但在界定和协调方面仍面Ｉ临着ｉ抒多挑战》的报告，认为ＣＮＣＩ 要想达到目标，仍面临以下挑战：１）确定角色和职责。联邦 机构对于网络安全具有重叠性和不协调的责任。目前还不清 楚整体协调的责任所在；２）建立有效措施。ＣＮＣＩ在实现其 目标问题上尚未制定有效性措施。虽然联邦机构已经开始为 信息安全制定有效措施，但这些措施还未被应用于该计划；３） 需要增加透明度。ＣＮＣＩ部分内容已经公开，但相关信息的分 类原因还不清楚，这就妨碍了与私营部门实体的合作和对公 众的问责；４）就教育丁作的范同达成一致。利益相关者就是 否把实行广泛教育和关注公众意识列入该计划的一部分，或 者仪仅关注联邦网络的工作人员尚未达成一致。 在这些挑战得到充分解决之前，ＣＮＣＩ始终存在风险，即： 将不能完全实现其减少漏洞、防止入侵和预测联邦行政部门 信息系统未来威胁的目标。 据之・，从一定意义上讲，它也是奥巴马政府的网络空间安全 战略和政策的基石。 ＣＮＣＩ对规划和构建我同的网络空间安全大政方针具有现 实参考和借鉴作用。我们不仅应对其高度重视，更重要的是 要至ｌ：而下地共同认真思考如何学习和借鉴ＣＮＣＩ，及早搭建 起适合我国国情的、能大大增强我围网络安全综合防御能力 的机制和体系。
１．２在整个联邦企业部署爱因斯坦２和爱因斯坦３
ＣＮＣＩ第二条和第三条明确阐述：“使用被动感应技术的入侵检测系统（ＩＤＳ），是美国政府网络安全防范的重要组成部分，它 可以识别未授权用户对网络的访问。作为爱因斯坦２行动的一部分，国土安全部正在部署基于签名的传感器，此系统能够检测