(1. 電信科學技術研究院，北京 100191；2.中國信息通信研究院云計算與大數(shù)據(jù)研究所，北京 100191)
0 引言
隨著全球數(shù)字化經濟的蓬勃發(fā)展，越來越多的國家不斷加快算力基礎設施建設的步伐，眾多產業(yè)需要算力進行賦能增效，算力正逐漸成為數(shù)字經濟發(fā)展的核心生產力，并代表著一個國家的科技水平。與此同時，為了助力數(shù)字經濟的高質量發(fā)展，傳統(tǒng)云服務加速朝著算力服務升級，從應用場景、供給內容以及交付手段等多個方面進行全面升級。目前，算力服務已滲透數(shù)字政府、智能制造、航空航天、金融科技以及智慧醫(yī)療等眾多行業(yè)，并在其中發(fā)揮著重要的作用�！丁笆奈濉睌�(shù)字經濟發(fā)展規(guī)劃》明確指出，要加速建設數(shù)字經濟安全體系，完善網絡安全功能以及保障數(shù)據(jù)安全。算力服務作為數(shù)字經濟發(fā)展的重要基石，掌握眾多發(fā)展中的資源和數(shù)據(jù)，此時具有針對性的安全研究顯得尤為重要。
1 背景與安全形勢分析
近年來，國家接連發(fā)布眾多法律法規(guī)，以保障互聯(lián)網行業(yè)的安全。其中，《中華人民共和國網絡安全法》作為我國核心網絡安全法律法規(guī)，主旨在于完善我國網絡安全戰(zhàn)略，加強網絡空間安全建設；《中華人民共和國數(shù)據(jù)安全法》指出要加強對數(shù)據(jù)的監(jiān)管力度，并創(chuàng)建數(shù)據(jù)分類分級保護制度，并明確數(shù)據(jù)安全相關法律責任；《中華人民共和國個人信息保護法》規(guī)范了個人信息處理活動，明確了敏感個人信息的認定和保護規(guī)則；《關鍵信息基礎設施安全保護條例》要求構建新型關鍵信息基礎設施網絡安全工作體系。由此可見，我國的網絡安全政策體系正在不斷健全，相關制度也在日益完善。
算力服務作為數(shù)字時代新型服務方式，發(fā)展過程應當積極響應國家安全建設的號召，遵循相關安全規(guī)定，加速構建一套完善的服務安全體系。
“東數(shù)西算”工程的正式啟動，進一步推動了我國算力基礎建設的發(fā)展，也預示著算力服務的發(fā)展即將迎來高潮。而算力服務旨在將安全普惠的算力帶給各行各業(yè)，其發(fā)展離不開算與網的深度融合，因此算力網絡的建設便成了關鍵一環(huán)。
當前，算力網絡架構主要包括基礎設施、編排管理以及運營服務三大模塊，支持依據(jù)任務需求實現(xiàn)云、網、邊、端算力資源的靈活分配和調度，但隨著算網融合工作的持續(xù)推進，當中存在的一些安全風險也逐漸凸顯，主要體現(xiàn)在以下幾個方面。
圖1 算力網絡安全體系架構
(1)攻擊暴露面增加：算力網絡具有算力泛在、靈活接入等特點，頻繁的資源鏈接將會導致資源的攻擊暴露面增加。與此同時，網絡攻擊手段也在不斷迭代升級，這些都使得資源受到攻擊的概率大幅提升。
(2)數(shù)據(jù)隱私泄露：算力時代，數(shù)據(jù)作為商品傳輸，算力網絡中流通著海量數(shù)據(jù)，其中涉及醫(yī)療、金融、政務以及個人信息等眾多機密隱私數(shù)據(jù)，若在傳輸過程中遭受篡改或泄露將造成難以估量的嚴重后果。
(3)存證溯源困難：算力服務是端到端服務，用戶群體龐大，分布式資源節(jié)點數(shù)量較多，數(shù)據(jù)信息管理起來較為繁雜，這導致存證溯源的復雜度提升，出現(xiàn)安全問題時難以快速定位安全威脅源。
(4)管控復雜度提升：相較于傳統(tǒng)網絡架構，算網新型架構新增網元如算網感知單元和算網控制單元等，這些網元的引入將導致算網全網安全的管理復雜度提升，安全風險也隨之增加。
為解決上述所面臨的安全挑戰(zhàn)，需要不斷增強算網安全能力，構建一套完善的算力網絡內生安全體系。目前，市場中普遍認可的算力網絡架構由基礎設施、編排管理以及運營服務組成[1]，本文將從這三個部分出發(fā)，依次闡述對應層級的內容和相應的安全建設策略，之后針對貫穿各個部分的數(shù)據(jù)安全建設進一步解釋說明(見圖1)。
2.1 基礎設施
2.1.1 基本內容
算網基礎設施為算網融合提供計算、網絡以及存儲等資源的物理承載，并實現(xiàn)了基本的網絡傳輸、異構計算以及數(shù)據(jù)分析能力，是算網融合的關鍵底座。
計算基礎設施和網絡基礎設施是算網基礎設施的主要組成部分，前者是算力承載體，包含云計算數(shù)據(jù)中心、人工智能計算中心以及高性能計算中心等可用計算資源。后者負責聯(lián)通網絡，繼而進行數(shù)據(jù)和計算任務的傳輸調度，主要包括全IP網和全光網[2]。
2.1.2 安全建設
基礎設施安全分為計算資源安全和網絡資源安全兩部分。
(1)計算資源安全從硬件架構入手，強化硬件設備自身安全。虛擬化技術打破了物理硬件設備操作系統(tǒng)的壁壘，提高了硬件資源利用率，但同時也給系統(tǒng)安全帶來眾多挑戰(zhàn)，因此需要加強對虛擬化和操作系統(tǒng)的安全防護，減少惡意程序的攻擊。云原生是以容器、微服務以及DevOps等技術為基礎構建的產品體系，是算力服務重要的基礎組成。云原生安全則是充分利用平臺原生安全資源，圍繞云原生應用的生命周期進行構建的防護體系，具體可通過在云原生開發(fā)初期加強安全投資，保障供應鏈安全和鏡像安全，在容器編排管理過程中從操作系統(tǒng)內核到運行時操作實施全方面防護，并對業(yè)務應用進行持續(xù)的監(jiān)控、分析和響應。
(2)網絡資源安全建設涉及內容較多，主要包括SRv6安全、訪問控制以及入侵防范等。SRv6結合IPv6和源路由技術，可提供端到端的服務連接，并實現(xiàn)網絡可編程[3]，但同時也存在被竊聽或報文在傳輸過程中被篡改等問題，常見的防護手段有配置訪問控制列表(Access Control List，ACL)規(guī)則或使用哈希運算消息認證碼(Hash-based Message Authentication Code，HMAC)校驗安全方案。身份認證和訪問控制是安全工作的首道防線，對于接入算力網絡的終端設備和用戶均需進行身份認證，零信任是解決該需求的最佳途徑，其核心理念是不信任任何人或事物，每次訪問都需進行身份認證授權，并遵循“最小權限原則”，其訪問權限由訪問主體身份和請求資源的可觀測狀態(tài)上下文的動態(tài)策略決定[4]。
2.2 編排管理
2.2.1 基本內容
編排管理是算力網絡的核心中樞，下接復雜的算網環(huán)境，上承多樣的算力需求，主要包含算網感知、協(xié)同編排以及靈活調度等關鍵功能，構建一體化編排的算網大腦。
目前，AI和大數(shù)據(jù)等新興技術正與算網大腦深度融合，并加速探索算網自智、數(shù)字孿生以及意圖網絡等發(fā)展新方向，不斷提升自動化和智能化能力，為靈活多變的業(yè)務需求尋求更多可能性。
2.2.2 安全建設
編排管理的安全建設可從安全感知、安全編排、安全調度以及安全管控四個方面考慮。
(1)安全感知：算網感知過程中需對算網身份進行統(tǒng)一標識，這樣一旦出現(xiàn)異常，可在第一時間溯源并進行攔截制止。與此同時，算網大腦也應當實現(xiàn)對資源安全的持續(xù)監(jiān)控，對異常行為如資源惡意消耗或網絡拓撲泄露等要及時預警，并通過各種智能化、自動化手段進行修復。
(2)安全編排：相較于傳統(tǒng)網絡編排，算力網絡中編排管理涉及的數(shù)據(jù)量大且結構復雜，包括用戶信息、任務數(shù)據(jù)、算力資源分布信息等關鍵數(shù)據(jù)，需時刻對其進行監(jiān)控和防護，保障數(shù)據(jù)的安全。另外，針對編排管理時的行為也要進行嚴格監(jiān)控和授權，防止非法用戶越權調度算力網絡資源[5]。
(3)安全調度：算力網絡的核心功能是算力調度，為實現(xiàn)安全調度，可通過制定相關標準規(guī)范，對用戶信息、算力任務以及算力資源進行安全等級劃分，根據(jù)任務需求將任務調度到具有相應安全等級的資源節(jié)點處。在具體調度過程中，需要根據(jù)實際情況對用戶信息和任務數(shù)據(jù)進行加密傳輸，采用動態(tài)監(jiān)測和節(jié)點驗證等手段保障安全。
(4)安全管控：安全管控負責對業(yè)務行為的安全監(jiān)測，滿足算力服務的可管理安全需求，對算力網絡全局中出現(xiàn)的算力濫用、異常沖突、安全攻擊以及隱私泄露等安全問題及時處理解決。為加強算力網絡的安全防御能力，安全管控需要從被動防御轉變?yōu)樽灾鳈z測和主動防御。
2.3 運營服務
2.3.1 基本內容
算力網絡的運營服務直接面向用戶和應用，旨在以服務的形式將資源供用戶使用，其內容包含算力交易、算力封裝、算力市場以及可視化平臺等。
2.3.2 安全建設
運營服務的安全建設可分為安全交易、安全審計、安全應用以及安全監(jiān)控四大模塊。
(1)安全交易：算力交易平臺可分為中心式交易平臺和分布式交易平臺，前者依托第三方中心交易平臺，所有信息展示和交易流程都交于平臺處理，此時安全策略由平臺制定；后者以區(qū)塊鏈技術為主，在鏈節(jié)點上進行信息展示和交易流程，且所有鏈節(jié)點同步節(jié)點信息，此時需要多方協(xié)作，實現(xiàn)分布式算力安全統(tǒng)一運營[6]。
(2)安全審計：安全審計主要是對算力交易流程進行識別、記錄、歸檔整理以及分析，對于重要記錄需進行備份，確保出現(xiàn)問題時有據(jù)可查。
(3)安全應用：算力網絡服務的場景多樣，其中包括自動駕駛、遠程醫(yī)療以及數(shù)字化政府等安全需求較高的應用場景，為避免出現(xiàn)此類場景出現(xiàn)安全問題，可將安全能力進行原子化處理，針對不同場景配置相應安全措施，實現(xiàn)精細化安全防范，以滿足不同應用的安全需求。
(4)安全監(jiān)控：安全監(jiān)控是對算力交易進行實時監(jiān)控，覆蓋從用戶開通算力資源到資源釋放整個流程，對安全故障及時預警，保障交易中數(shù)據(jù)和信息的安全。
2.4 數(shù)據(jù)安全
數(shù)據(jù)安全貫穿算力網絡安全體系，是算力網絡對外服務和運營的基礎，相關安全防護措施可從數(shù)據(jù)全生命周期展開，其中涉及數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)備份、隱私計算、安全存儲以及數(shù)據(jù)溯源等眾多技術環(huán)節(jié)。
在數(shù)據(jù)生成采集階段，可利用數(shù)據(jù)標記技術實現(xiàn)對數(shù)據(jù)出網和數(shù)據(jù)流轉等行為進行管控，出現(xiàn)安全威脅時可及時溯源定位；在數(shù)據(jù)傳輸階段，需根據(jù)實際業(yè)務需求部署相應安全策略如加密傳輸和數(shù)據(jù)脫敏等；在數(shù)據(jù)存儲階段，應當實現(xiàn)分類分級并遵循相關規(guī)范的安全存儲；在數(shù)據(jù)計算階段，基于隱私計算技術，保障數(shù)據(jù)的可用不可見，實現(xiàn)數(shù)據(jù)價值的轉化和釋放；在數(shù)據(jù)銷毀階段，依據(jù)規(guī)范合理清除數(shù)據(jù)。
3 發(fā)展方向和建議
3.1 促進算力網絡與SASE技術融合
2019年8月，Gartner首次提出了安全訪問服務邊緣(Secure Access Service Edge，SASE)的概念，并將其定義為一種基于實體的身份、實時上下文、企業(yè)安全/合規(guī)策略以及在整個會話中持續(xù)評估風險/信任的服務。
SASE是將網絡與安全功能融于一體的服務模型[7]，通過身份進行驅動，支持邊緣側接入，基于云原生架構提供全面、敏捷、彈性且能實現(xiàn)統(tǒng)一交付的網絡安全服務。SASE框架中包含SD-WAN(Software Defined Wide Area Network)、ZTNA(Zero-Trust Network Access)、FWaaS(Firewall as a Service)以及云訪問安全代理(Cloud Access Security Broker，CASB)等眾多網絡安全技術，具備身份驅動、統(tǒng)一管控、分布式連接以及邊緣接入等特點，其核心理念零信任與算力網絡的安全建設目標十分契合。目前，針對SASE與算力網絡的融合，已開展了相關標準的制定工作，如《安全訪問服務邊緣(SASE)的功能編排管理系統(tǒng)框架》。此外，部分學者通過分析安全表達與路由、算力節(jié)點可信管理、安全資源自動編排調度等算力網絡安全應用需求，提出了一種基于SASE的安全任務智能協(xié)同編排調度方案，實現(xiàn)了算力任務與安全資源的協(xié)同編排調度[8]。
由此可見，SASE技術為算力網絡的安全建設帶來了新的可能性。未來，算力網絡可以繼續(xù)深入與SASE框架的融合，為用戶提供優(yōu)質的安全服務。
3.2 提升安全自智能力
如今算力服務快速發(fā)展，具體應用的場景越來越多，但潛在的安全問題也隨之增加，傳統(tǒng)的靜態(tài)式被動防御能力已然不能滿足多樣的安全需求。此時，算力網絡可結合智能化和自動化相關技術發(fā)展，構建“自主監(jiān)測、智能感知、主動防御”為一體的自適應和自學習內生安全體系。
智能化的安全管理可以協(xié)助算網大腦精準分析龐大且分散的信息數(shù)據(jù)，并對算網全網資源利用情況進行實時動態(tài)監(jiān)控和態(tài)勢感知，針對算力交易流程中出現(xiàn)的安全威脅可以快速感知并進行抵御，在持續(xù)學習安全故障形成模式后可實現(xiàn)提前預測威脅的能力，大大提高了系統(tǒng)架構的安全系數(shù)。
智能化和自動化技術給算網安全建設帶來了便利，如何更好地在算力網絡中引進相關技術是下一步研究的重點，爭取盡早迎來算網自智的時代。
3.3 完善安全標準規(guī)范
成熟完備的標準規(guī)范是算網架構長治久安的基礎，為了推動算網融合穩(wěn)步發(fā)展，需盡快加速相關標準的制定，形成算力網絡架構中自下而上的全流程安全規(guī)范體系。
算網安全規(guī)范的編寫內容應包括安全策略、安全準則、管理規(guī)定、工作準則和執(zhí)行指引等一系列內容,以實現(xiàn)由宏觀策略到中觀管控、再到微觀執(zhí)行的一致性[9]。目前，已有部分安全標準正在制定過程中，其中包括算力基礎設施安全和算力交易安全等。但值得思考的是，市場上部分關鍵的算力標準還尚未統(tǒng)一，其中主要包括底層算力資源度量的標準化統(tǒng)一和上層應用對底層算力資源需求的標準化統(tǒng)一[10]。這對安全體系的建設或多或少也存在著一定的影響，應當加快推進相關標準的研究進度。
4 結束語
數(shù)字時代快速發(fā)展，算力服務即將迎來高潮，此時具有針對性的安全研究和建設工作刻不容緩。本文首先分析了算力網絡的發(fā)展背景和當中凸顯的安全問題如暴露面增加、數(shù)據(jù)隱私危機以及溯源復雜等，然后針對算力網絡架構中的三大模塊進行了介紹，并給出了相應的安全建設方案，再對貫穿始終的數(shù)據(jù)安全建設加以闡述，旨在協(xié)助構建完備的算力網絡內生安全體系。最后，從技術融合、自智發(fā)展以及標準制定的三個角度提出對算力網絡安全未來建設方向的建議。
