｜小贝案语｜
■ 网络空间安全领域经过几十年的发展，攻防实践在快速丰富，但理论基础明显停滞不前。在云和AI时代网络和系统的复杂性在指数爆炸，网络空间安全的实践和理论体系都需要从新视角进行探索和构建。
NbSP零越范式是基于蚂蚁集团和安全平行切面联盟多年实践总结出的重要原生安全范式，是其他网络安全基本属性（如机密性、完整性、可用性以及各种访问控制策略等等）的更基础更底层的一个安全范式，对构建网络安全防护体系具有重要意义。
本期我们特邀蚂蚁集团副总裁兼首席技术安全官、北京大学客座教授韦韬对网络空间的维度战争和NbSP零越范式进行深入解读。
网络空间安全理论与实战系列之
维度战争与NbSP零越范式
一、 网络空间的对抗是维度层面的对抗
E=mc^2，质能方程展现了物理世界的同一维度空间中只要能量足够大，没啥是不能被摧毁的。但在网络空间中有很大区别，网络空间是分层、分区的，有着庞杂的维度差异。在每一个维度内，网络攻击的每一环节也有着相对受限的作用范围，网络攻防不是无所不能的，而是有着自身的“物理”规律限制。
本文提出并讨论在网络空间对抗的一个核心基础安全范式：NbSP零越范式（Non-bypassable Security Paradigm），即一个完善的网络空间安全设计与实现，必须保证关键访问控制点不能被攻击方绕过。NbSP零越范式是网络安全保障的一个必要条件，是其他网络安全基本属性（如机密性、完整性、可用性以及各种访问控制策略等等）的更基础更底层的一个安全范式。对于当今的复杂系统、复杂网络而言，要保障NbSP范式不被破坏，本身已经成为一个重大挑战。NbSP必须作为安全防护体系的一个重要目标来进行规划、实现与保障。这对于指导网络安全架构设计和攻防实战都有重要的意义。
让我们从网络空间的多维地形开始谈起。
二、网络空间的多维地形
二战时德军突破比利时埃本·埃美尔要塞可以被视为一次战术和战略层面的跨维度突破。1940年5月，一支德军伞兵突击队乘坐滑翔机在比利时被认为“固若金汤”的埃本·埃美尔要塞顶部着陆，闪电般地摧毁了守军的抵抗。德军在比利时境内的其他空降行动也取得了成功，并迅速导致了比利时投降。更进一步，德军从比利时经阿登森林绕过了更加“坚不可摧”的马奇诺防线。此时法国腹地门户大开，德军轻而易举的攻进巴黎，导致了法国的迅速投降。在二战之前的战争中，防线通常都是二维的，即在地面上布置防御工事和兵力。然而，德军通过空降突袭的方式，成功地攻克了地面的埃本·埃美尔要塞，并导致了系列的战略级连锁反应，被视为从三维空间对二维防线突破的里程碑。
网络攻防也更像是这种维度层面的对抗。具体而言，网络攻防是在多维网络空间里，各个维度的信号流、数据流和执行流之间的对抗。它受限于分层分界的网络空间维度，攻击方努力找到超出防守范围的跨维突破点，而防守方则需要将被攻击维度收敛到可控可防的范围。
如《孙子兵法》所述“地者，远近、险易、广狭、死生也”，地形地势在战争中的关键性不言而喻。类比到网络空间，其分层分区的复杂架构同样构建了虚拟空间中多维度的“地形”。这种多维地形在网络攻防中显得尤为关键，往往决定着攻击的难易程度、防御的坚固与否，甚至是网络安全的生死存亡。因此，深入理解和精准把握网络空间的多维地形，对于提升网络攻防能力、确保网络安全具有不可或缺的重要意义。
2.1 网络空间的层次维度
这里说的网络空间层次维度，不仅是网络协议的分层，而主要是指网络空间中主客体相互作用之间的分层，即执行空间的分层。比如在代码执行空间，粗略可以分成固件层、CPU微码层、CPU指令层、虚拟化层、操作系统层、应用程序层、应用插件层等等；在GPT大模型执行空间，包括prompt指令层，对话服务层，工具执行层等等。
层与层之间应该是有明确的区隔的。上层的主客体相互作用应该停留在上层，不应该进入更底层。如果系统安全设计完善，上层再闹翻天，下层被影响的范围也是受控的。
但系统往往会留下一些特殊访问接口，让特殊上层主体操纵下层客体。这些接口的安全性如果设计上出现问题，也给了攻击者越狱的可能。有一部科幻电影《十三层楼》（也有译作《异次元骇客》），讲述的就是这么一个网络虚拟空间分层维度突破的故事。
2.2 网络空间维度内的分区边界
在同一个网络层次维度内,网络也是有边界的,形成一个个网络分区。相应的,这些分区边界也有类似的分层形式,比如有网线这种物理边界，也有应用网关这种软件边界，还有密钥这种密态数据空间管控边界等等。
网络空间分层分区之间应该实现良好的隔离，这样才可以有效管控其间的主客体交互。比如，大家最熟悉的就是网络攻防演习的时候拔网线了。网线断了，实时发起的网络攻击就很难直接发挥效用。
三、访问控制点—网络空间的关隘
所有的网络边界隔离的关键恰恰在于那些链接不同分区甚至不同分层的链接点。特别是区分不同安全区域的链接点，其上的控制机制决定了这些区域间访问的安全性，我们称之为访问控制点。
这里要注意访问控制点和访问控制的关系。传统单机时代，访问控制机制往往是由相对单一的访问控制点来承载实现的。但在现在的复杂系统应用、甚至云原生网络应用而言，访问控制机制往往依赖于一系列的访问控制点来实现。此时访问控制点本身的安全性就成为一个基本问题。同时，有一些边界链接点上没有承载访问控制策略，如果两侧的网络区域属于同一个安全域，那么这样的链接点不是访问控制点；而如果两侧属于有不同安全要求的安全域，那么这些“空白策略”链接点就成为一个“失效”访问控制点，可以成为一个网络攻击的踏脚石。
3.1 访问控制点的各种形态
所有的网络信号，都应该需要通过访问控制点才能够有效传达到另外的网络分区分层中，如前文提到的网关、密钥等等。有几类特殊的链接形式在本质上也是这个模式，比如：
* 无线信号传递也需要有相应的调制解调器件接收、发送、编解码、转发等等，包括但不限于电磁波、声波、激光等等。这些调制解调器件及其处理单元是一种物理信号到网络信号的链接点，如果其承载不同物理信号的隔离任务，那么就成为一种访问控制点；
* 被现代密码学安全加密的数据，要获取其原始的明文信息，或者要进行篡改，需要知道其加密密钥。此时，对该密钥的访问控制机制就成为在虚拟数字空间中对这段密文信息的访问控制点。
3.2 访问控制点不被绕过是关键基础问题
这些访问控制点如果被绕过，那么网络的分层分区就会失效。不幸的是，这种网络空间分界访问控制点被绕过、被滥用的情况随着网络复杂性快速攀升，已经成为常态。比如：
* 网络物理隔离虽然可以有效阻断实时发起的直接网络攻击，但可能因为U盘摆渡或者是私搭4G热点接入而被攻陷；
* 操作系统内核空间与应用空间通过syscall形成链接与隔离控制，但可能因为内核漏洞导致被突破攻陷；也可能因为应用与另外一个本该隔离的应用间的其他未被注意的信道相关联，导致内核的隔离管控被绕过；
* 密码学通过密钥来构建虚拟数字空间的隔离管控机制，但密钥泄露已经成为当今云安全最严重的安全风险之一；此外，不正确的密码学加密方式也可能导致数据的完整性、机密性、抗抵赖等属性在不需要获知密钥的情况下直接被破坏，从而绕过密钥这个访问控制点。详细内容可以参见中科大林璟锵教授相关的研究工作；
* 物理信号层面也有反直觉的访问控制问题。比如现在越来越多的智能语音功能，可以通过激光等非预定物理信号进行控制，从而绕过初始的语音控制功能假定。详细内容可以参见浙大徐文渊教授团队相关的研究工作。
可以见到，在现代复杂信息系统中，保障关键访问控制点不被绕过是各种安全防护机制的前提。只有确保访问控制点不被绕过，才能保障控制点上承载的访问控制策略被正确执行，才能进而保障各种基本安全属性。常说的信息安全三要素“完整性、机密性、可用性”也是建立在关键控制点不可绕过的基础上。
四、网络空间原生安全范式：NbSP零越范式
范式是对问题本源的认知，对领域实践的指导。基于上文的讨论，可以发现网络空间安全的一个基本问题，就是各个分层分区的访问控制点是否可以被绕过。即一个完善的网络空间安全设计与实现，必须保证关键访问控制点不能被攻击方绕过。我们认为这是网络空间安全的一个基本范式，称之为“零越范式，Non-bypassable Security Paradigm”，简称NbSP。
NbSP零越范式是网络安全保障的一个必要条件，而且是其他网络安全基本属性（如机密性、完整性、可用性等）的更基础更底层的一个安全范式。NbSP范式是决定网络空间分层分区设计与实现的一个本源范式，其范围也是跨维度的，对攻防两方面都有重要的指导意义。特别是对于当今的复杂系统、复杂网络而言，要保障NbSP范式不被破坏，本身已经成为一个重大挑战。NbSP范式必须作为安全防护体系的一个重要目标来进行规划、实现与保障。
4.1 基于NbSP零越范式的网络攻击视角分析
围绕着NbSP的建模预设、保障和打破，产生了各种不同的网络攻防模式。根据攻击破坏访问控制点NbSP范式的差异，我们可以把网络攻击分为如下几种类型：
* B3型攻击(Bypassable-3，完全绕过型)：预设的NbSP边界完全破坏。如内存安全漏洞被攻击，如4G热点联外网被渗透，如云服务AK密钥泄露。B3型攻击导致网络空间分层分区的隔离完全被跨越破坏，导致攻击者获得了另一个网络空间分层分区中完全的执行能力。大部分的B3型攻击可以绕过或者篡改系统预设的日志机制，从而在相应的审计和追溯机制下隐形；
* B2型攻击（部分绕过型）：预设的NbSP边界部分破坏。如FastJson/Log4j/Spring4Shell这些开放式动态反序列化（ODD）高危安全漏洞的相关攻击，攻击者并未获得完整的另一个网络空间分层分区内的任意指令执行能力，而只是部分执行能力，但这个能力依然是突破了预设执行边界的。另外，最近很热的大模型Prompt层面的注入攻击（我们可以统称为ChatInjection攻击）和更传统的SQLInjection一样，也都是典型的B2型攻击，绕过了的是大模型应用系统在用户输入和系统prompt指令间的边界，但没有绕过应用执行层边界。依赖于具体的攻击场景，B2型及以下的网络攻击有可能可以绕过不完善的系统日志机制，但一般无法绕过设计完善和部署严密的日志感知审计机制。注意，B2型攻击的组合使用可能产生B3型攻击；
* B1型攻击（滥用服务型）：预设的NbSP边界没有被破坏，但功能被滥用，如身份滥用或权限滥用类攻击（都属于第二类原生安全范式OVTP类别的漏洞）。这类攻击并没有破坏访问控制点直接进入另一个网络空间分层分区，只是利用正常的访问接口在该分层分区中展开攻击行为。大部分的B1型攻击不能绕过系统预设的日志机制，从而有可能通过完善的审计机制来追溯复原攻击过程。特别的，防守方可以通过建设完善的OVTP追溯机制加以感知、研判、管控和反制B1型攻击；
* B0型攻击（阻塞服务型）：阻塞型攻击，服务功能没有被滥用，但合法用户无法再正常使用，如DDoS攻击。这个对于重要业务，可以通过专网保障来隔离无法追踪来源的DDoS攻击。此时专网和公网间的隔离机制成为一个新的NbSP边界控制点。此外，对于CC这样的链接型拒绝服务攻击，由于存在针对CC攻击进行防护的防御节点，所以对应的也存在针对性的绕过攻击，这种攻击是一种B0/B2的混合攻击形态。
B3型攻击是危害最大的，因为这会摧毁网络空间的整个纵深防御体系，将设计上交叉互叠的多层防御塌缩成一个整体被绕过的“马奇诺防线”，这里的代表就是针对内存安全漏洞的利用攻击。B3型攻击是需要和值得整个行业在架构、语言层面做出重大变革来防御的。
相对而言，B2、B1型攻击在设计和部署完善的监控体系环境中较难隐形，也将在我们后文将要讨论的OVTP可溯范式中详细讨论；而B0型攻击是我们后文将要讨论的ARCP攻击回报范式的范畴，这些类型攻击的对抗上防守方虽然也面临很多挑战，但不是那么被动。
这里也可以看出网络攻防与传统战争的区别。在《战争论》中，克劳塞维茨指出“消灭敌人军队始终是一种比其他一切手段更为优越、更为有效的手段”。但在网络攻防中，这点还尚难以做到。对于攻击者的溯源打击一般是需要有着高超威胁情报技术的专业安全团队和有出色技术素养的执法机构紧密协作才能完成。当然，等智能车、机器人、智能工厂进一步普及以后，网络空间与物理空间的NbSP边界更加脆弱后，这也会成为网络战攻防双方必须要考虑的疆域。
4.2 基于NbSP零越范式的网络防护视角分析
明确NbSP作为基础的原生安全范式，并从NbSP视角对网络攻击进行分类分级以后，我们也可以更清晰的明确我们在网络安全防护方面的原则和策略，在目前总体上攻易守难的大势下为防守方觅得一线生机。
从NbSP视角出发，网络安全防护可以分为4个环节：边界收敛，感知覆盖，访问管控，持续验证。
（一）首先是边界收敛。网络安全防护的第一原则就是访问控制点的收敛。网络防守方将访问控制点收敛才能形成己方的地利优势，只有收敛才能有效防控。这个环节的核心就是要抵御B3型网络攻击，构建基本的可依赖的防御阵地。
这种收敛可能发生在一个程序的执行体内，也可能发生在一个复杂网络环境中。
对于大型复杂程序，要理清并收敛所有的关键访问控制点，并不是一件容易做到的事情。特别是对于使用非内存安全语言编写的程序，更是难上加难。而这个目标在当今系统安全界还没有引起足够重视。目前我们在使用形式化验证与内存安全编程语言在系统执行层面保障程序的访问控制点不可被绕过，这个是专门针对系统执行空间内访问控制点收敛的保障机制。如前文所述，内存安全这类B3型攻击是需要和值得整个行业在架构、语言层面做出重大变革来防御的。学界、产业界经过几十年的研究实践，通过各种努力试图通过外挂式防护来解决内存安全漏洞问题但收效甚微后，美国政府已经开始启动内存安全编程语言的推广工作，需要在编程语言这种根技术层面来解决内存安全漏洞导致的严峻安全问题。
同时现代大型网络系统的复杂度在迅速爆炸，访问控制点也分散在网络的各个区域边界和各个维度边界，如前文所提到的无线信号调制解调器、网关、系统syscall、访问密钥甚至大模型的prompt边界。这些维度上面的访问控制点都需要有效收敛。
网络系统的访问控制边界收敛往往需要前置的资产测绘工作，然后可以分为如下几种形式进行边界收敛：
* 集中式。如防火墙，WAF，堡垒机，大模型访问网关等，通过网络拓扑来收敛。集中式访问控制点的核心是确保在网络拓扑上这些集中式的关卡不可被绕过；
* 分布式。如SASE（安全访问服务边缘），以及基于安全平行切面的微网关等，需要通过相关系统的分布式管控来收敛。分布式访问控制点的收敛难度要显著高于集中式，但更加适合现代云环境下大规模分布式的环境，并且能够进行更细粒度的感知和管控。对于数据要素的跨域流通，需要通过密钥进行密态计算的分布式管控，也只能采用这种方式。
* 凭据和密钥。凭据和密钥是数据空间中的访问控制点，但凭据和密钥的泄露及滥用已经成为云服务行业的重灾区。
（二）其次是感知覆盖。在通过边界收敛缓解访问控制点被绕过的最大隐患后，网络安全防护者的首要任务是能够感知到各种潜在攻击的发生。因为B2和B1型的网络攻击往往都是无法躲避设计完善和部署严密的感知审计体系的。平常场景下只要攻击者被感知审计发现，他所能造成的危害就基本可控。
同时，因为网络安全防护不只是网络安全部门的事情，还需要研发、测试、运维等各种技术团队的参与。一般而言，感知是比较容易来实现和部署的。特别是借助安全平行切面等通用基础设施来实现时，不需要其他技术团队修改代码逻辑即可实现按需感知按需观测。而对应的，访问管控则涉及到业务的干预与改造，实际推行部署的挑战非常大，可以放到第三步去做。
（三）然后是访问管控，特别是对于头部风险的相关网络访问进行有效管控，特别是按照后文中提到的OVTP范式来实现完善的全链路安全访问控制机制。
一般而言，访问管控涉及到业务代码的改造，所以这方面安全工作推进一般比较麻烦，涉及多个团队之间的协同。这个工作可以根据实际的安全风险态势来分阶段分步骤的推进。在实践上 ，我们一般先部署感知体系，然后根据实际感知数据，优先针对实际头部风险推动访问管控体系的实现、改造和部署。
访问管控在网络攻击的剧烈高发期格外重要，因为在这种场景下网络防护团队很可能没有足够长的检测响应时间。攻击者可能通过密集的网络攻击来淹没防守方。这时候在业务上需要做取舍。对于缺乏安全管控能力的业务，该下线的需要及时下线。防止攻击者从这些脆弱的业务入侵，破坏整个业务网络。
（四）最后是需要在运维层面进行持续验证。
NbSP零越范式涉及到庞大而复杂的现代网络服务系统。要保障这里的访问控制点不被绕过，不只是设计和实现时一次的工作，而是要在部署运维长期过程中持续保障满足NbSP范式的要求。所以在运维层面的持续验证就格外重要，这在今天的业界已经有很多最佳实践，这里就不展开赘述了。
五、总结
网络空间是一个多层次、多维度的复杂环境，其内部结构既分区又分层，具有显著的维度差异。在这样的环境下，网络攻击的各个环节都有其特定的作用范围，并不是无所不能的，而是受到网络空间自身“物理”规律的限制。
本文深入探讨了网络安全领域的一个核心基础安全范式——NbSP零越范式（Non-bypassable Security Paradigm）。这一范式不仅是网络安全保障的必要条件，更是其他网络安全基本属性（如机密性、完整性、可用性等）的基石。由于现代系统的复杂性爆炸，NbSP必须作为安全防护体系的一个重要目标来进行规划、实现与保障。
在NbSP范式的框架下，我们将网络攻击划分为四种类型：B3型（完全绕过型）、B2型（部分绕过型）、B1型（滥用服务型）以及B0型（阻塞服务型）。在这四种攻击类型中，B3型攻击因其能完全绕过安全防护措施，具有特殊的危害性和破坏性，需要我们给予特别的关注和防范。
同时，我们还详细阐述了围绕NbSP范式展开的网络安全防护的四个关键环节：边界收敛（涵盖程序执行体、网络系统和密钥等等）、感知覆盖（全面感知安全事件）、访问管控（重点管控头部风险）以及持续验证（不断检验安全策略的有效性）。这四个环节相辅相成，共同构建了一个全面、立体的、便于实践推进的网络安全防护体系基础。
NbSP范式的提出加深了我们对网络安全问题本源的认知，为我们在网络安全领域的实践提供了有力的理论支持和指导。我们相信，通过不断的研究和实践，NbSP范式将在网络安全领域发挥越来越重要的作用。
韦韬博士，现任蚂蚁集团副总裁兼首席技术安全官，浙江蚂蚁密算科技有限公司董事长，兼任北京大学客座教授。
韦韬博士毕业于北京大学王选计算机研究所，师从王选院士，二十多年来一直致力于让各种复杂系统变得更加安全可靠，长期负责大型互联网公司的安全工作。作为蚂蚁集团安全隐私技术的总负责人，他提出了安全平行切面防御体系与可信密态计算技术体系，并入选2022年IDC“中国CSO名人堂”。
｜小贝结语｜
■ 作为“网络空间安全系列”专题的第一篇，本文深入探讨了网络安全的一个核心基础范式--NbSP零越范式，后续在此专栏我们将会陆续更新该系列，敬请期待。
致谢：本文是基于蚂蚁集团基础安全体系和安全平行切面联盟同学们的探索和实践总结而成，同时感谢安全领域很多老师和专家的批评和建议，特别感谢陆宝华，林璟锵，梁振凯，王铁磊，顾为群等老师和同学对本文提出的宝贵意见和建议。
声明：本文来自小贝说安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
