作者 |
尚文利，赵剑明，刘贤达，尹隆，曾鹏
中国科学院沈阳自动化研究所
中国科学院网络化控制系统重点实验室
本文介绍了云计算、雾计算和边缘计算的定义，分析了OFC安全参考架构、IIC安全参考架构，以及ECC参考架构，最后，分析了边缘计算的信息安全需求，指出了边缘计算信息安全的关键技术创新点。
云计算、雾计算和边缘计算
美国国家标准与技术研究院（NIST）给出了云计算的定义为“云计算是一种按使用量付费的模式，这种模式提供可用的、便捷的、按需的网络访问，进入可配置的计算资源共享池（资源包括网络、服务器、存储、应用软件、服务），这些资源能够被快速提供，只需投入很少的管理工作，或与服务供应商进行很少的交互。”
OFC给出雾计算的定义为：“雾计算是一种靠近云物连接用户侧的，具有分布式计算、存储、控制和网络功能的水平系统级架构。”
IIC给出的边缘计算的定义为：“边缘计算是在靠近物或数据源头的网络边缘侧，融合网络、计算、存储、应用核心能力的开放平台，就近提供边缘智能服务，满足行业数字化在敏捷联接、实时业务、数据优化、应用智能、安全与隐私保护等方面的关键需求。”
云计算是通过使计算分布在大量的分布式计算机上，而非本地计算机或远程服务器中，企业私有云一般拥有数百上千台服务器。边缘计算则是将智能、处理能力和通信能力都放在了边缘网关或者应用设备中，处理数据是在节点或者工业物联网网关进行的。业界观点认为雾计算是一种过渡形式，随着物联网的快速发展，将形成边缘计算与云计算的扁平化网络通信模式。
OFC安全参考架构
2017年2月9日，美国加州弗里蒙特，OpenFog Consortium宣布发布OpenFog参考架构（RA），如图1所示，旨在支持物联网（IoT）、5G和人工智能（AI）应用的数据密集型需求的通用技术框架。OFC参考架构贯穿节点、网络、数据、应用等，强调End-to-End security的实现。
（1）节点安全。包括物理安全机制、可信机制和虚拟化技术等，其中物理安全机制是针对物理特征（外壳、封装或螺丝）的检测、响应；可信机制包括可信根、可信启动过程、身份证明、认证过程等；虚拟化技术是在有能力或重要的主节点实现任务的虚拟化，可隔离病毒发生。
（2）网络安全。包括通信安全机制，访问控制、入侵检测、异常行为分析等防护技术，以及协议安全。其中通信安全机制涉及到机密性、完整性、认证性、不可抵赖性，并且在设计时能耗、复杂性安全性要求不同，以及节点到云、节点到节点、节点到设备之间的安全通信路径。
（3）数据安全。包括使用数据安全、存储数据安全、迁移数据安全，其中使用数据安全技术涉及访问权限、内存保护、机密性使用、调试接口访问限制等技术，存储数据安全涉及全磁盘加密、文件系统或数据库加密、访问权限等技术，迁移数据安全涉及VPN或SSL方式、连接加密、文件/数据加密等技术。
（4）安全管理。包括密钥管理、密码套件管理、身份管理、安全策略管理等。
IIC安全参考架构
美国GE提出并主导的工业互联网联盟（IIC，Industrial Internet Consortium）。2016年09月，发布了《工业物联网安全框架》，如图2所示，旨在解决工业物联网（IIoT）及全球工业操作运行系统相关安全问题，从多个角度解决安全、可靠性和隐私问题。
三个层次视角解析安全架构，包括安全模型与策略、数据防护和安全点，其中技术层包括端点以及端点到云防护、通信与连接防护、安全监控与分析、安全配置与管理四个方面，技术层应考虑或支持数据安全，而安全模型和策略则作为整体统一的框架存在，进行统一调度。
图2 IIC安全参考架构
安全模型与策略层包括安全目标、安全风险分析，以及整个框架内各个部分涉及的安全模型和策略。数据防护层包括数据防护的模型和策略，端点、通信、配置、监控数据的防护等内容，涉及存储数据、使用数据、迁移数据等数据形式。技术层则包括以下几个方面的内容：
（1）端点防护。端点防护强调可用性>机密性>完整性，包括端点防护模型与策略层、端点数据防护层、端点技术层。技术层包括端点物理安全，端点可信根，端点身份认证，端点访问控制，端点监控、分析、配置管理，端点完整性保护等。
（2） 通信与连接防护。通信与连接防护包括通信与连接防护模型与策略层、通信与连接数据防护层、通信与连接防护技术层。技术层包括连接的物理安全，通信的端点双向访问控制、身份识别，信息流防护机制、网络配置与管理、网络监控与分析、通道加密技术等。
（3） 安全监控与分析。安全监控与分析包括安全监控与分析模型和策略层、安全监控与分析数据防护层、安全监控与分析技术层。技术层包括端点和通信监控、安全日志监控、信息流的连接关系监控、行为分析、基于规则的分析、阻止/允许、恢复、审计分析等。
（4） 安全配置与管理。安全配置与管理包括安全配置与管理模型和策略层、安全配置与管理数据防护层、安全配置与管理技术层。技术层包括安全模型动态变更、安全管理策略实施、安全管理策略、端点认证管理、端点配置管理、通信配置管理等。
边缘计算信息安全技术
1、边缘计算参考架构
2016年11月30日，边缘计算产业联盟发表《边缘计算产业联盟白皮书》，重点阐述边缘计算产业趋势与关键挑战，介绍边缘计算定义与内涵，展示边缘计算产业联盟顶层设计与运作模式，制定边缘计算参考架构与技术框架，为联盟后续的发展提供方向指引。
《白皮书》提出了边缘计算参考架构1.0，如图3所示，该架构基于分层设计，包含应用域、数据域、网络域、设备域四个功能域。在应用域，将基于设备、网络、数据功能域提供开放接口，实现边缘行业应用，支撑边缘业务运营。在数据域，提供数据优化服务，包括数据的提取、聚合、互操作、语义化以及分析与呈现的全生命周期服务，并保障数据的安全与隐私性。在网络域，将为系统互联、数据聚合与承载提供联接服务。在设备域，将通过贴近或嵌入传感、仪表、机器人和机床等设备的现场节点，支撑现场设备实现实时的智能互联及智能应用。
图3 边缘计算参考架构
2、边缘计算信息安全需求
本文从设备安全、网络安全、数据安全和应用安全等几个角度来分析边缘计算的信息安全需求。设备安全面临的主要问题包括设备身份认证、启动与运行时的可信、生命周期的安全管理、端点安全审计、防DoS能力、漏洞扫描及挖掘等；网络安全面临的主要问题包括网络边缘深度防御、异常流量过滤、入侵检测、网络通信的机密性、协议安全性等；数据安全面临的主要问题包括数据的完整性；传输数据的签名、加密；使用数据的隐私安全、密钥管理等；应用安全面临的主要问题包括整个边缘计算系统的安全状态监测、安全态势感知等。
3、边缘计算信息安全创新点
本文针对上述边缘计算的信息安全需求分析，提出了针对信息安全需求的技术发展趋势，从设备安全、网络安全和应用安全三个方面给出了技术展望。
设备安全应涉及到可信计算、访问控制技术。可信计算技术将为边缘计算网络中的端点及数据传输提供安全处理能力，实现安全与控制独立运行，保证端点设备启动与运行过程中是可信的，设备使用及传输的数据是安全的、完整的、私密的。另外，可以通过硬件级可信认证技术，解决端点设备、感知测量节点的安全问题。同时，需要针对通信网络层的攻击，研发下一代工业防火墙，能够集成多种安全功能于一体，实现安全功能软件化的自由配置，简化网络部署并能动态调节安全功能，为边缘计算提供边界防护。
网络安全应涉及到安全软件定义技术。在边缘计算网关中集成多种安全功能于一体，实现软件定义的安全功能自由配置，简化网络部署，对发现的攻击与入侵具有动态响应能力。如基于软件定义网络（Software Defined Network, SDN ）的安全功能协同与联动技术，即基于SDN的思想，建立网络的自身安全能力，控制层面将安全功能以软件的形式实现，软件层面赋予边缘计算网关安全防护能力，更益于安全的联动响应。
应用安全应涉及到安全态势感知、联动响应技术。以终端、数据、网络安全日志及其他系统日志为基础，通过大数据分析技术，研发警报关联引擎、数据异常流量模块、动态行为分析模块等安全功能模块，发现APT攻击并进行动态处理，恢复现场。如基于大数据分析的安全态势感知技术，即以大数据分析技术为基础，通过数据异常分析、动态行为分析、警报关联引擎等功能，对多种安全要素进行多角度、多粒度的威胁发现与感知。
结语
未来超过50%的数据需要在边缘侧分析、处理和储存，边缘计算应用广阔。本文介绍了云计算、雾计算、边缘计算的定义，阐述了开放雾联盟、工业互联网联盟的信息安全参考架构，分析了边缘计算的信息安全需求，提出了针对边缘计算信息安全需求的技术发展趋势。本文仅从几个视角分析了边缘计算信息安全技术的发展趋势，随着边缘计算技术的日趋成熟，将会出现更为具体的信息安全需求，如轻量级实时加密认证技术等，需要进一步深入研究和探讨。
声明：本文来自工业安全产业联盟，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
