Ⅰ 什么是DHs服务
应该称为DNS服务。
DNS是计算机域名系统(Domain Name System 或Domain Name Service) 的缩写，它是由域名解析器和域名服务器组成的。域名服务器是指保存有该网络中所有主机的域名和对应IP地址，并具有将域名转换为IP地址功能的服务器。其中域名必须对应一个IP地址，一个域名可以有多个IP地址，而IP地址不一定有域名。域名系统采用类似目录树的等级结构。域名服务器为客户机/服务器模式中的服务器方，它主要有两种形式：主服务器和转发服务器。将域名映射为IP地址的过程就称为“域名解析”。
安装服务器：
默认情况下Windows Server 2003系统中没有安装DNS服务器，DNS服务器所做的第一件工作就是安装DNS服务器。
依次单击“开始/管理工具/配置您的服务器向导”，在打开的向导页中依次单击“下一步”按钮。配置向导自动检测所有网络连接的设置情况，若没有发现问题则进入“服务器角色”向导页。
小提示：如果是第一次使用配置向导，则还会出现一个“配置选项”向导页，点选“自定义配置”单选框即可。
在“服务器角色”列表中单击“DNS服务器”选项，并单击“下一步”按钮。打开“选择总结”向导页，如果列表中出现“安装DNS服务器”和“运行配置 DNS 服务器向导来配置DNS”，则直接单击“下一步”按钮。否则单击“上一步”按钮重新配置。
向导开始安装DNS服务器，并且可能会提示插入Windows Server 2003的安装光盘或指定安装源文件。
小提示：如果该服务器当前配置为自动获取IP地址，则“Windows 组件向导”的“正在配置组件”页面就会出现，提示用户使用静态IP地址配置DNS服务器。
创建区域：
DNS服务器安装完成以后会自动打开“配置DNS服务器向导”对话框。用户可以在该向导的指引下创建区域。
在“配置DNS服务器向导”的欢迎页面中单击“下一步”按钮，打开“选择配置操作”向导页。在默认情况下适合小型网络使用的“创建正向查找区域”单选框处于选中状态。保持默认选项并单击“下一步”按钮（如图3）。
打开“主服务器位置”向导页，如果所部署的DNS服务器是网络中的第一台DNS服务器，则应该保持“这台服务器维护该区域”单选框的选中状态，将该DNS服务器作为主DNS服务器使用，并单击“下一步”按钮。
打开“区域名称”向导页，在“区域名称”编辑框中键入一个能反映公司信息的区域名称（如“yesky .com”），单击“下一步”按钮。
在打开的“区域文件”向导页中已经根据区域名称默认填入了一个文件名。该文件是一个ASCⅡ文本文件，里面保存着该区域的信息，默认情况下保存在“windowssystem32dns”文件夹中。保持默认值不变，单击“下一步”按钮。
在打开的“动态更新”向导页中指定该DNS区域能够接受的注册信息更新类型。允许动态更新可以让系统自动地在DNS中注册有关信息，在实际应用中比较有用，因此点选“允许非安全和安全动态更新”单选框，单击“下一步”按钮。
打开“转发器”向导页，保持“是，应当将查询转送到有下列IP地址的DNS服务器上”单选框的选中状态。在IP地址编辑框中键入ISP（或上级DNS服务器）提供的DNS服务器IP地址，单击“下一步”按钮。
小提示：通过配置“转发器”可以使内部用户在访问Internet上的站点时使用当地的ISP提供的DNS服务器进行域名解析。
依次单击“完成/完成”按钮结束“yesky .com”区域的创建过程和DNS服务器的安装配置过程。
Ⅱ ST05-007, Mar. 30, 2005 什么意思急急急急急
意思应该是2005年3月30日US-CERT的发布的.ST05-007是问题的编号
有这个网页http://www.us-cert.gov/cas/tips/ST05-007.html
正好是ST05-007.应该是网络安全问题的编号.
Cyber Security Tip: Risks of File-Sharing Technology(网络安全提示:文件分享技术的风险).
US-CERT(美国计算机紧急应变小组)
计算机安全应急响应组（Computer Emergency Response Team）是专门处理计算机网络安全问题的组织。
在1988年莫里斯蠕虫横扫互联网之后，在美国联邦政府资助下，卡内基梅隆成立了第一个CERT组织。网站地址：http://www.cert.org.cn
一些CERT组织：
中国
● 国家计算机网络应急技术处理协调中心（简称：国家互联网应急中心，CNCERT/CC） http://www.cert.org.cn
美国
● CERT Coordination Center, 卡内基梅隆大学 http://www.cert.org
● US-CERT, 美国国土安全部 http://www.us-cert.gov/
Ⅲ 从认知技能到自动网络安全响应
摘要： 组织应该面对网络安全攻击，这可以强烈影响他们的操作流程，业务形象，和关键信息的安全。建立安全机制有助于减少可能被攻击者利用的弱点;然而，它们并不总是足够的，而且一次攻击可能会成功。因此，组织需要建立计划或过程来处理这些安全事件，甚至构建称为CSIRTs的事件响应团队。由于不同形式的攻击和海量数据的增长，处理网络安全事件需要适应新的安全管理策略。从这个意义上说，将大数据、人工智能和数据分析应用于网络安全，被定义为认知安全，提出了一种可行的替代方案，但有必要考虑，如果没有对网络安全专家进行充分培训，或者如果使用了他们的技术和非技术技能，技术解决方案就会缺乏有效性。在人类技能和技术解决方案之间建立密切的相互关系可以帮助设计一个充分和有效的检测和自动化过程，从而改进安全事件的处理。本研究分析了认知安全技术解决方案与网络安全专家技能之间的相互关系。提出了一个通过建立态势感知来进行决策的自动化事件响应框架。
一、引言
由于技术在不同领域的扩展，如金融服务、医疗服务、公共服务以及水、电、电信等关键基础设施，计算机安全已成为社会的一个基本要素。根据麻省理工学院(MIT)的说法，安全团队将面临的风险主要是针对物联网(IoT)设备、区块链和关键基础设施[1]的攻击;例如，麻省理工学院提到，攻击者在2019年主要使用人工智能和量子技术进行攻击。这种情况涉及有准备充分的组织和有能力面对这些新挑战的安全专业人员;在国际层面上，一些组织已经定义了通过称为计算机事件响应小组(CSIRTs)[2]的专家和研究人员团队快速响应安全风险的策略。CSIRT由来自网络安全、法律、心理学和数据分析师等领域的专家组成。CSIRT根据预先设定的程序和政策，对网络安全事件做出快速有效的反应，并降低网络攻击的风险。
CSIRTs中的安全分析人员需要处理大量的数据，以便i)确定触发可能的攻击警报的模式或异常，ii)更快速和有效地执行检测过程。CSIRTs的成员正在寻求基于技术解决方案的新策略，如大数据、机器学习和数据科学[3]。为了加快数据分析方法[4]的研究进程，美国国家标准与技术研究院(NIST)等国际组织启动了数据科学研究计划(DSRP)。在网络安全领域，认知科学在信息安全过程中的应用推动了认知安全[5]的概念;这允许进行预测性和说明性分析，从而提供安全攻击的可能影响的视图。CSIRTs成功的另一个关键因素是团队协作能力和对不同环境的适应能力。在21世纪的[7]时代，安全专业人员需要团队合作、批判性思维和沟通等技能。2015年9月,一个之间的协作计算机协会(ACM), IEEE计算机协会(IEEE CS),信息系统协会特殊利益集团对信息安全和隐私(AIS SIGSEC),以及国际信息处理联合会技术委员会信息安全教育(11.8联合会WG)提出了一个网络安全教育课程指南提到非技术技能计价的软技能,对于安全专业人员来说至关重要，并专注于:团队合作、沟通、情景感知的生成，以及使用不同组织文化[8]的操作。
在组织中产生网络安全态势感知的能力允许确定积极的策略来面对正在进行的和即将到来的攻击或威胁。情境意识产生于三个认知过程:认知、理解和投射。认知过程是人类行为固有的，它会受到不同因素的影响，例如:压力、疲劳、分心、物理或环境条件。分析任务的绩效以及这些因素的影响是一些研究者感兴趣的。例如，Robert Karasek提出了需求控制模型[9]，该模型研究了计算机人员在不同工作领域的认知、情感和身体需求，计算机人员的心理需求水平较高。在此背景下，发展认知策略在信息加工的各个层面都是必要的;此外，还需要分析执行功能如何通过:抑止控制、工作记忆处理[10]优化来整合各级信息处理，从而帮助网络安全专业人员高效工作和充足的响应时间。
在这项研究中，我们提出了一个模型来整合网络安全领域的认知技能、团队合作和数据分析，如图1所示。认知安全可以利用安全分析人员的认知能力的特点，将这种知识和智能转移到计算机系统中;通过这样做，他们可以向安全团队执行一个即时响应动作或通知，以做出针对安全攻击的决策，如图1所示。
研究的其余部分组织如下。第二节介绍了有关自动网络安全响应的相关工作。第三节介绍了心理学在网络安全中的重要性的背景。第四部分提出了一个基于认知过程的自动化网络安全框架的建议。最后，第六部分总结了本文的研究结论，并提出了今后的工作方向。
二、相关工作
根据麻省理工学院评论[11]的分析，在2018年，城市将安装多层传感器来监测空气质量、垃圾水平或交通量;这一预测，加上Gartnert对2020年的预测，[12]将有204亿台联网设备。在新的安全场景中，组织必须面对网络或计算平台的规模和复杂性的急剧变化，这些网络或计算平台是组织支持服务提供和设备连接的基础。在这种新的背景下，传统的安全解决方案的行动能力和人类对安全事件的检测和响应能力受到了限制。为组织和研究人员评估的网络安全的替代方案是使用认知模型作为一种提议，以增强计算环境的安全性和扩大人类的分析能力。
在[13]中，作者提出了一个基于机器学习的检测与基于时间逻辑的分析的组合，允许区分异常和启用动态网络响应。在[14]中，包括对个人设备的认知安全的使用，以允许设备识别所有者和自主安全，以便设备采取自己的安全决策。基于函数和依赖关系[15]的知识，可以实现诊断的自动化。在“数字服务生态系统中的自主计算方法调查”[16]中，提出了应用自主计算概念的25种不同的数字生态系统，在[13]中，提出了认知安全方法如何能够建立“良好异常”来建立正常的操作参数，以及任何变化如何生成网络设备的自动自动重新配置来控制数据流。
三、认知技能和网络安全
a 态势感知
态势感知被定义为，从心理学领域，作为一种能力，产生对他的生活的理解，基于他的经验[17]。这一概念已适用于计算机系统领域;例如，Lewis将计算系统的自我意识定义为基于内部和外部事件[18]获取自身知识的能力。在[19]中，自我意识被定义为为计算机系统生成关于自身和环境的知识，并根据这些知识决定将要执行的行动的能力。
1)网络安全态势感知(CSA):态势感知(SA)的概念描述了组织当前的威胁和攻击情况，可能的攻击的影响，以及攻击者的识别和用户行为[20]。分析人员必须了解安全情况并确定影响的可能性。为了生成态势感知，我们可以使用OODA循环。Breton提出的认知OODA循环是基于感知、理解和投射[21]的认知过程。表一展示了认知阶段、认知过程和根据Brenton的提案产生的产品之间的关系。
2)网络认知态势感知(CCSA):
为了建立组织的网络安全态势意识，我们可以依靠面向决策过程的认知方面的支持。适应了网络空间的感知、理解和投射的认知过程，我们将拥有如表二所示的关系。
b .非技术技能
美国国土安全部(DHS)和国家网络安全联盟(NCSA)等组织都开展了国家网络安全意识月活动，在2018年庆祝了第15届[22]，以促进社区了解数字环境中的风险和威胁的相关方面。在这些领域中，安全专业人员必须具有非技术技能，以便能够以清晰和一致的方式向一组没有技术背景的人员传播知识。针对组织内的网络安全，防御策略基于风险管理，如图2所示分为四个级别的网络安全风险管理生命周期。
在网络安全风险管理生命周期内，至少需要以下人员:
•团队领导/协调员;
•负责系统和信息安全;
•沟通团队或公关;
•分类器或分类;
•事件管理团队-二级;
•法律团队。
这强调了在一个由不同学科的专业人员共同协作的环境中发展协作技能的必要性，因此团队合作对于网络安全专家来说是一项非常重要的技能。Newstrom提到，21世纪的组织或公司更加灵活，能够迅速适应变化，横向关系更加有效;因此，今天的组织更加重视灵活的结构和横向沟通。任务和角色以更开放的方式定义，环境更加动态，团队的创建允许实现所描述的方面。莫林认为，复杂性和多学科工作是21世纪的一部分，未来的教育必须以人类状况和人类之间的多样化关系为中心。Morin在《21世纪教育》中提到的另一个重要方面是让学生准备好面对日常生活中不同事件所产生的不确定性。
关于Morin提到的关于关注学生人性方面的第一个方面，开始强调以加强技能为重点的培训可能是很重要的。芒福德将技能分为四类[25]:
1)认知能力;
2)人际交往能力;
3)业务技能;
4)战略技能。
一般来说，在网络安全领域的大学主要关注提高认知、商业和战略技能，但不太关注非技术技能。根据Mumford提出的分类，团队合作、协作、沟通和网络被包括在人际交往技能的类别中。未来的网络安全专业人士正在大学学习;因此，工程教育需要鼓励非技术技能的发展。Kyllonen提出了21世纪需要的技能，其中以下提到[7]:
•批判性思维;
•口头和书面沟通;
•劳动伦理;
•团队合作;
•合作;
•专业;
•故障排除。
良好的网络安全工作人员框架[26]为安全专业人员建立了一套知识、技能和能力与非技术方面相关，如:
•有能力参与计划小组，协调小组和任务小组的工作;
•能够运用合作技巧和策略;
•应用批判性阅读/思考技能的能力;
•与他人有效合作的能力。
关于Morin在计算机科学领域提出的第二个方面，即不确定性，一些作者如[27]和[28]提到，软件开发过程中的不确定性可能与人的参与、并发性和问题领域的不确定性有关。在软件环境中，产品的开发和用户最初提出的需求的变化之间可能会出现不确定性。在网络安全领域，不确定性可能与其他方面有关，如时间、类型和网络攻击的目标。
团队合作也会产生不确定性;在[29]中，作者提到，不确定性可以在人的功能和环境工作中产生，取决于诸如先见者、利他主义智力、收获和意外收获等变量。在[30]中，作者认为，不确定性取决于团队的结构和成员之间的相互作用。
如图3所示，在21世纪的教育背景下，对计算机科学工程专业的学生进行网络安全领域的教育，主要有四个方面是必须要做的。
四、基于认知技能的网络安全自动反应
我们对事件反应自动化的建议是基于建立态势意识的重要性，在理解组织安全的积极和消极方面的基础上做出正确的决策。我们的提议利用了协作的方法来产生自我意识和决策，是基于安全分析师的认知过程的重要性，以能够确定一个安全事件在多个事件之间，它必须被识别出一个异常行为，可以警告攻击。我们的建议中考虑的一个方面是为了加强认知过程。在2017年RSA会议上，IBM[31]展示了安全分析师在调查事件时必须执行的认知任务，在表III中，我们提出了网络安全认知任务和认知过程之间的联系。
对于自动响应安全事件的过程，我们提出了如图4所示的分层架构。我们的建议强调分析层，在分析层中对不同来源(如传感器、日志或安全博客)获得的数据进行理解。此外，在这一层中，安全分析人员的经验和有效的沟通是最基本的，因为它将预测充分评估事件，并将其归类为事件，并建立最适当的决策，以减少攻击的影响。具体地说，在这一层中，我们提出了两个允许建立情境意识的子组件:i)自动学习的子组件和ii)团队合作。这两个子组件共享一种直接交流的方式，目的是生成标签，用于培训基于分析人员通过互动和交换思想生成的知识的监督学习算法。另一方面，无监督学习算法可以检测不容易检测到的模式或异常，并提醒安全分析人员确定它们是否与共同的安全攻击相对应。
设计了一个基于数据管理流程的框架，以确保不同层次数据的完整性和质量;然后,它包括:
•收集;
•准备;
•分析;
•可视化;
•访问。
在下面的图4中，我们将详细描述组成我们所提议的框架的层。
a)网络收集层:涵盖将用于创建网络安全态势感知的信息来源。在资料来源中，可以考虑下列情况:
•网络模拟平台;
•传感器;
•入侵检测系统;
•脆弱性分析;
•安全门户、博客或订阅源;
•netflow;
•服务器和网络设备日志。
b)基础设施层:基础设施层包含以下组件:
•数据收集服务器，在这些服务器中，将对不同来源的信息进行数据摄取处理。至少考虑三个服务器来实现负载平衡和高可用性。
•索引服务器，在这些服务器中执行数据索引的过程，并在此基础上定义属性，在此基础上对数据进行调试和处理，生成可视化层的信息。至少考虑两台服务器用于负载平衡和高可用性进程。
•队列管理服务器,该服务器建立流程管理大数据解决方案的处理资源在多个请求信息同时执行报告服务器和数据可视化,这个服务器处理数据可视化工具,允许与分析师能够执行的交互信息的查询。
•入侵检测服务器，在此服务器中定义了检测与安全攻击相关的模式的规则，服务器可以访问安全传感器。
•警报管理服务器，在此服务器中，警报管理被定义为在检测到异常模式时通知分析师，在此服务器中包含了一个事件管理系统，允许在检测到安全事件前对升级进行流控制。
c)索引层:用于定义搜索字典。
d)态势感知层:这一层是我们的核心建议。在这一层的目标是建立一个基线安全状态的一个组织,为此我们考虑两个部分,第一个组成的机器学习算法,允许识别模式或异常基于预处理来自不同数据源的数据服务器日志,第二部分称为团队合作产生自我意识的建立基于CSIRT安全分析人士的合作。基于团队产生的知识，你可以训练学习算法来提高它们的准确性。
e)分类层:它定义了针对安全分析师、CsIRT或事件管理过程中的其他参与者生成的警报。根据良好做法，明智的做法是定义警报级别的分类。
f)自动响应层:它定义了可以自动的响应动作，因为这对于建立安全事件管理计划是必要的。
五、讨论
在心理学研究中，工作绩效是一个寻求提高工作绩效的话题，考虑到个人和环境变量。我们在这项研究中分析的变量是在网络安全领域执行事件管理的专业人员的认知技能。我们认为，与执行功能相关的认知过程越高，安全分析人员所解决的任务的性能就越好，这是由于对减少攻击影响的快速响应要求越高。出于这个原因，加强认知灵活性是至关重要的，以便i)扩大事件数据的分析，ii)能够可视化更多的可能性，以面对网络攻击，ii)发展抑制控制，以提高其决策的精确度和有效性。另一方面，工作记忆对于经验的储存和随后对这些信息的使用起着至关重要的作用，所以这种认知过程也有助于对组织所面临的风险和威胁的情况形成意识。另一个关键变量与事件管理专业人员工作中的压力管理有关，以制定策略，使他们能够抵消劳动力需求。
在基于态势感知的网络安全管理模型中，分析执行功能是否集成感知、理解和投射过程，以提高任务绩效，可以增强决策过程。非技术技能在许多方面起着至关重要的作用，因为如果没有足够的沟通和建立共享知识的能力，网络安全团队将无法达到应对安全攻击所需的效率。例如，在面对出现的事件或问题时，处理复杂性不应该由安全分析人员进行简单的推理，而是要能够生成表示复杂性的心理模型，并作为一个团队进行工作。这种理解可能很复杂，因此，管理共享的心理地图等建议可能具有重要意义。另一个事实是多学科工作，来自不同领域的专家必须一起参与，但是由于对这对搭档的知识有限、不同的技术词汇和异质的工作方法，存在交互问题。最后，处理活动或与其他团队成员交互的结果的不确定性。
提出的大数据模型涵盖了网络安全状态(网络安全态势感知)知识生成必须考虑的不同组成部分。仅仅实现一个大数据架构是不足以解决处理海量数据处理的问题的，我们应该致力于寻找可靠的信息源，建立数据质量控制流程，生成安全承诺指标，并定义更新数据时间。
为了从安全分析师可以处理的信息中建立态势感知，我们提出了一个由4个模块组成的框架，如图5所示:来源、认知过程、协作安全任务和软技能。团队合作支持四个模块。在[23]中，作者提到团队的目标是鼓励成员分析他们一起工作的方式，识别他们的弱点，并开发新的协作形式。要做到这一点，学习过程必须把重点放在任务上。按照装备建设[23]的Newstrom模型，我们在网络安全领域提出以下建议:
•经过培训的专家识别问题;
•数据收集;
•反馈行动计划的制定;
•生成态势感知;
•解决方案经验;
•持续改进。
六、结论和未来工作
技术和社会的变化产生了动态和复杂的环境，产生了大量的数据。这一事实给安全分析人员带来了新的挑战，他们必须处理数据以确定允许识别威胁或安全攻击的模式或异常情况。认知安全的使用提供了在短时间内处理大量不同格式数据的能力，从而提高了安全操作的有效性。在网络安全领域，大数据主要用于监控行动和异常检测，这些行动集中在反应性安全策略上，但其他安全活动可以通过大数据分析增强，用于主动战略，如威胁搜索或网络欺骗。
事件管理的网络安全任务包括识别有关事件的数据，以确定攻击场景的振幅。从有关威胁和攻击的数据中发展经验，可以建立对网络安全状况的意识。建立网络安全态势意识需要认知和情感技能，其中认知过程的能力至关重要;感知和注意是允许安全分析人员从外部环境收集信息的第一个过滤器。与工作记忆、认知灵活性和抑制性控制相关的高级认知过程参与决策和事件管理任务中外部化的行为。
通过以下两种技能，可以实现安全分析师认知过程的持续改进:
1)过程控制。过程控制是团队成员的一项重要技能，因为它帮助成员有建设性地感知、理解和反应。
2)反馈让你有数据支撑你的决定，根据他们对团队其他成员的看法自我修正。
关于大数据和机器学习在安全领域的应用，在商业和学术领域有不同的建议;然而，它们并没有得到广泛实施。我们认为，今后一项可能的工作是分析造成这种情况的原因，一般来说，可能是预算、人员经验、技术支持不足。此外，通过焦点小组进行的综述可能是补充本研究的重要贡献。
Ⅳ 关于<局域网管理与维护>的几个未解试题!内行的朋友进!
这么多的问题。不过大部分总是我还是知道的。只有尽力而为喽。该怎么做，你自己惦量着办吧。
1、所谓网络上的标识，就是自己计算机的名称。也就是FQDN，即完整的计算机名称。此名称即可以是DNS名称，也可以为WINS名。两者最大的区别是DNS名称是域结构的网络所采用的，例如server.abc.com
2、可以分为成员服务器、独立服务器、域控制器
3、没看明白，实在抱歉。这题实在不会。
4、dcpromo
5、TCP/IP
6、不知是不是又向的可信任关系，如果是D答案肯定是对的。但如果是单向的，那就选B。建议选D
7、这是测试本地环回线路的，其实就是测试你的TCP/IP协议是否可用。
8、DHCP，、即动态地址分配协议，实现的功能是他可以自动分配IP地址，网关，DNS，及掩码。这是很简单的，只要把DHCP服务器架设好，客户端只需在网络配置中设置自动获取IP地址及DNS地址即可。
9、如果没猜错话，是停止DHCP服务
10、不懂。应该是B类IP地址。默认掩码应为255。255。0。0
11、microsoft.com表示域控制器设置的后缀名。
12、选C
13、这个不好说，A应该是对的吧。个人意见
至于下面的名词解释。自己去查查资料吧。我也推荐你几本书好好看看。我已经通过了CEAC网络工程师的认证，我全是自学的。就是因为有了戴有炜的三本书。去当当网看看吧。
判断题
21、错
22、对
23、不对。最终用户的权限是由NTFS权限和共享权限来决定的，两者取其最严格的权限。
24、对
25、错
26、对。
27、对
28、错
29、错。应该是DNS吧，不是DHS。
30、对。必须让别人知道你的域控制器安装在哪一台计算机上，所以就要安装DNS服务喽。
这真的是考试试卷呀，有许多师我都觉得好熟悉呀。不好意思，由于时间关系，有些题不想答。建议自已去买我推荐的三本书，实在是太棒了。吐血推荐呀。
Ⅳ 电脑上不了网,QQ之类的也用不了,电脑显示已连接,但急救箱显示DHS服务异常,请问有什么解决办法
说明你的网络设置没弄好，就算是已连接，如果没设置好IP和DNS就是没有internet入网的。
XP系统，点击网上邻居的属性，右键点本地连接的属性，常规选项下选择TCP/IP协议，点手动设置DNS就可以了。
WIN7在控制面板里面去设置吧。
也有可能你家用路由器，路由器没设置好。
Ⅵ 美国网络安全相关部门的整理
国土安全部 (DHS = Department of Homeland Security)有一项重要使命：保护国家免受面临的诸多威胁。这需要超过 240,000 名员工致力于从航空和边境安全到应急响应，从网络安全分析师到化学设施检查员的各种工作。DHS的职责范围很广，DHS的目标很明确——保护美国的安全。
网络安全和基础设施安全局( CISA=Cybersecurity and Infrastructure Security Agency) 领导国家努力了解、管理和降低我们的网络和物理基础设施的风险。CISA将行业和政府中的利益相关者相互联系起来，并与资源、分析和工具联系起来，以帮助他们建立自己的网络、通信和物理安全性和弹性，进而帮助确保为美国人民提供安全和有弹性的基础设施。
美国国家标准与技术研究院 (NIST=National Institute Standards and Technology) 成立于 1901 年，现在是美国商务部的一部分。NIST 制定网络安全标准、指南、最佳实践和其他资源，以满足美国行业、联邦机构和更广泛公众的需求。我们的活动范围从产生组织可以立即付诸实践的特定信息到预测技术进步和未来挑战的长期研究。
一些 NIST 网络安全任务由联邦法规、行政命令和政策定义。例如，管理和预算办公室 (OMB) 要求所有联邦机构实施 NIST 的网络安全标准和针对非国家安全系统的指南。我们的网络安全活动也受到美国行业和广大公众需求的推动。NIST积极与利益相关者合作，确定优先事项，并确保我们的资源解决他们面临的关键问题。
NIST 还增进了对隐私风险的理解并改进了管理，其中一些与网络安全直接相关。
NIST 贡献并计划更多关注的优先领域包括密码学、教育和劳动力、新兴技术、风险管理、身份和访问管理、测量、隐私、可信赖网络和可信赖平台。
外交安全局(DSS=Diplomatic Security Service)是美国国务院的联邦执法和安全局。外交安全局的任务是确保外交安全并保护美国旅行证件的完整性，在美国联邦执法机构中拥有最大的全球影响力，在美国 29 个城市和全球 270 多个地点设有办事处，并在全球 270 多个地点保护国务院的信息和信息技术 (IT) 资产。这包括保护由网络和移动设备组成的全球网络基础设施。
自 1986 年成立以来，DSS 不断扩展其网络安全能力，并于 2017 年 5 月成立了网络和技术安全局。该局使用先进的技术和运营安全专业知识来更好地识别和应对网络风险和威胁，包括来自黑客、流氓运营商、民族国家和内部威胁的安全挑战。
DSS 网络安全核心职责包括：
国家安全局/中央安全局 (NSA/CSS) 在密码学领域领导美国政府，包括信号情报 (SIGINT) 洞察和网络安全产品和服务，并使计算机网络运营能够为国家和我们的盟友获得决定性优势。在整个站点中，NSA/CSS 将统称为 NSA。
中央安全局 为军事密码学界提供及时准确的密码学支持、知识和帮助，同时促进国家安全局与武装部队密码学部门之间的伙伴关系。
cisa.gov
nist.gov/cybersecurity
state.gov/cybersecurity
dhs.gov
Ⅶ 关于电信网络关键信息基础设施保护的思考
文 华为技术有限公司中国区网络安全与用户隐私保护部 冯运波 李加赞 姚庆天
根据我国《网络安全法》及《关键信息基础设施安全保护条例》，关键信息基础设施是指“公共通信和信息服务、能源、交通、水利、金融、公共服务、电子政务等重要行业和领域，以及其他一旦遭到破坏、丧失功能或者数据泄露，可能严重危害国家安全、国计民生、公共利益的网络设施和信息系统”。其中，电信网络自身是关键信息基础设施，同时又为其他行业的关键信息基础设施提供网络通信和信息服务，在国家经济、科教、文化以及 社会 管理等方面起到基础性的支撑作用。电信网络是关键信息基础设施的基础设施，做好电信网络关键信息基础设施的安全保护尤为重要。
一、电信网络关键信息基础设施的范围
依据《关键信息基础设施安全保护条例》第 9条，应由通信行业主管部门结合本行业、本领域实际，制定电信行业关键信息基础设施的认定规则。
不同于其他行业的关键信息基础设施，承载话音、数据、消息的电信网络（以 CT 系统为主）与绝大多数其他行业的关键信息基础设施（以 IT 系统为主）不同，电信网络要复杂得多。电信网络会涉及移动接入网络（2G/3G/4G/5G）、固定接入网、传送网、IP 网、移动核心网、IP 多媒体子系统核心网、网管支撑网、业务支撑网等多个通信网络，任何一个网络被攻击，都会对承载在电信网上的话音或数据业务造成影响。
在电信行业关键信息基础设施认定方面，美国的《国家关键功能集》可以借鉴。2019 年 4 月，美国国土安全部下属的国家网络安全和基础设施安全局（CISA）国家风险管理中心发布了《国家关键功能集》，将影响国家关键功能划分为供应、分配、管理和连接四个领域。按此分类方式，电信网络属于连接类。
除了上述电信网络和服务外，支撑网络运营的大量 IT 支撑系统，如业务支撑系统（BSS）、网管支撑系统（OSS），也非常重要，应考虑纳入关键信息基础设施范围。例如，网管系统由于管理着电信网络的网元设备，一旦被入侵，通过网管系统可以控制核心网络，造成网络瘫痪；业务支撑系统（计费）支撑了电信网络运营，保存了用户数据，一旦被入侵，可能造成用户敏感信息泄露。
二、电信网络关键信息基础设施的保护目标和方法
电信网络是数字化浪潮的关键基础设施，扮演非常重要的角色，关系国计民生。各国政府高度重视关键基础设施安全保护，纷纷明确关键信息基础设施的保护目标。
2007 年，美国国土安全部（DHS）发布《国土安全国家战略》，首次指出面对不确定性的挑战，需要保证国家基础设施的韧性。2013 年 2 月，奥巴马签发了《改进关键基础设施网络安全行政指令》，其首要策略是改善关键基础设施的安全和韧性，并要求美国国家标准与技术研究院（NIST）制定网络安全框架。NIST 于 2018 年 4 月发布的《改进关键基础设施网络安全框架》（CSF）提出，关键基础设施保护要围绕识别、防护、检测、响应、恢复环节，建立网络安全框架，管理网络安全风险。NIST CSF围绕关键基础设施的网络韧性要求，定义了 IPDRR能力框架模型，并引用了 SP800-53 和 ISO27001 等标准。IPDRR能力框架模型包括风险识别（Identify）、安全防御（Protect）、安全检测（Detect）、安全响应（Response）和安全恢复（Recovery）五大能力，是这五个能力的首字母。2018 年 5 月，DHS 发布《网络安全战略》，将“通过加强政府网络和关键基础设施的安全性和韧性，提高国家网络安全风险管理水平”作为核心目标。
2009 年 3 月，欧盟委员会通过法案，要求保护欧洲网络安全和韧性；2016 年 6 月，欧盟议会发布“欧盟网络和信息系统安全指令”（NISDIRECTIVE），牵引欧盟各国关键基础设施国家战略设计和立法；欧盟成员国以 NIS DIRECTIVE为基础，参考欧盟网络安全局（ENISA）的建议开发国家网络安全战略。2016 年，ENISA 承接 NISDIRECTIVE，面向数字服务提供商（DSP）发布安全技术指南，定义 27 个安全技术目标（SO），该SO 系列条款和 ISO 27001/NIST CSF之间互相匹配，关键基础设施的网络韧性成为重要要求。
借鉴国际实践，我国电信网络关键信息基础设施安全保护的核心目标应该是：保证网络的可用性，确保网络不瘫痪，在受到网络攻击时，能发现和阻断攻击、快速恢复网络服务，实现网络高韧性；同时提升电信网络安全风险管理水平，确保网络数据和用户数据安全。
我国《关键信息基础设施安全保护条例》第五条和第六条规定：国家对关键信息基础设施实行重点保护，在网络安全等级保护的基础上，采取技术保护措施和其他必要措施，应对网络安全事件，保障关键信息基础设施安全稳定运行，维护数据的完整性、保密性和可用性。我国《国家网络空间安全战略》也提出，要着眼识别、防护、检测、预警、响应、处置等环节，建立实施关键信息基础设施保护制度。
参考 IPDRR 能力框架模型，建立电信网络的资产风险识别（I）、安全防护（P）、安全检测（D）、安全事件响应和处置（R）和在受攻击后的恢复（R）能力，应成为实施电信网络关键信息基础设施安全保护的方法论。参考 NIST 发布的 CSF，开展电信网络安全保护，可按照七个步骤开展。一是确定优先级和范围，确定电信网络单元的保护目标和优先级。二是定位，明确需要纳入关基保护的相关系统和资产，识别这些系统和资产面临的威胁及存在的漏洞、风险。三是根据安全现状，创建当前的安全轮廓。四是评估风险，依据整体风险管理流程或之前的风险管理活动进行风险评估。评估时，需要分析运营环境，判断是否有网络安全事件发生，并评估事件对组织的影响。五是为未来期望的安全结果创建目标安全轮廓。六是确定当期风险管理结果与期望目标之间的差距，通过分析这些差距，对其进行优先级排序，然后制定一份优先级执行行动计划以消除这些差距。七是执行行动计划，决定应该执行哪些行动以消除差距。
三、电信网络关键信息基础设施的安全风险评估
做好电信网络的安全保护，首先要全面识别电信网络所包含的资产及其面临的安全风险，根据风险制定相应的风险消减方案和保护方案。
1. 对不同的电信网络应分别进行安全风险评估
不同电信网络的结构、功能、采用的技术差异很大，面临的安全风险也不一样。例如，光传送网与 5G 核心网（5G Core）所面临的安全风险有显着差异。光传送网设备是数据链路层设备，转发用户面数据流量，设备分散部署，从用户面很难攻击到传送网设备，面临的安全风险主要来自管理面；而5G 核心网是 5G 网络的神经中枢，在云化基础设施上集中部署，由于 5G 网络能力开放，不仅有来自管理面的风险，也有来自互联网的风险，一旦被渗透攻击，影响面极大。再如，5G 无线接入网（5GRAN）和 5G Core 所面临的安全风险也存在显着差异。5G RAN 面临的风险主要来自物理接口攻击、无线空口干扰、伪基站及管理面，从现网运维实践来看，RAN 被渗透的攻击的案例极其罕见，风险相对较小。5G Core 的云化、IT 化、服务化（SBA）架构，传统的 IT 系统的风险也引入到电信网络；网络能力开放、用户端口功能（UPF）下沉到边缘等，导致接口增多，暴露面扩大，因此，5G Core 所面临的安全风险客观上高于 5G RAN。在电信网络的范围确定后，运营商应按照不同的网络单元，全面做好每个网络单元的安全风险评估。
2. 做好电信网络三个平面的安全风险评估
电信网络分为三个平面：控制面、管理面和用户面，对电信网络的安全风险评估，应从三个平面分别入手，分析可能存在的安全风险。
控制面网元之间的通信依赖信令协议，信令协议也存在安全风险。以七号信令（SS7）为例，全球移动通信系统协会（GSMA）在 2015 年公布了存在 SS7 信令存在漏洞，可能导致任意用户非法位置查询、短信窃取、通话窃听；如果信令网关解析信令有问题，外部攻击者可以直接中断关键核心网元。例如，5G 的 UPF 下沉到边缘园区后，由于 UPF 所处的物理环境不可控，若 UPF 被渗透，则存在通过UPF 的 N4 口攻击核心网的风险。
电信网络的管理面风险在三个平面中的风险是最高的。例如，欧盟将 5G 管理面管理和编排（MANO）风险列为最高等级。全球电信网络安全事件显示，电信网络被攻击的实际案例主要是通过攻击管理面实现的。虽然运营商在管理面部署了统一安全管理平台解决方案（4A）、堡垒机、安全运营系统（SOC）、多因素认证等安全防护措施，但是，在通信网安全防护检查中，经常会发现管理面安全域划分不合理、管控策略不严，安全防护措施不到位、远程接入 VPN 设备及 4A 系统存在漏洞等现象，导致管理面的系统容易被渗透。
电信网络的用户面传输用户通信数据，电信网元一般只转发用户面通信内容，不解析、不存储用户数据，在做好终端和互联网接口防护的情况下，安全风险相对可控。用户面主要存在的安全风险包括：用户面信息若未加密，在网络传输过程中可能被窃听；海量用户终端接入可能导致用户面流量分布式拒绝服务攻击（DDoS）；用户面传输的内容可能存在恶意信息，例如恶意软件、电信诈骗信息等；电信网络设备用户面接口可能遭受来自互联网的攻击等。
3. 做好内外部接口的安全风险评估
在开展电信网络安全风险评估时，应从端到端的视角分析网络存在的外部接口和网元之间内部接口的风险，尤其是重点做好外部接口风险评估。以 5G 核心网为例，5G 核心网存在如下外部接口：与 UE 之间的 N1 接口，与基站之间的 N2 接口、与UPF 之间的 N4 接口、与互联网之间的 N6 接口等，还有漫游接口、能力开放接口、管理面接口等。每个接口连接不同的安全域，存在不同风险。根据3GPP 协议标准定义，在 5G 非独立组网（NSA）中，当用户漫游到其他网络时，该用户的鉴权、认证、位置登记，需要在漫游网络与归属网络之间传递。漫游边界接口用于运营商之间互联互通，需要经过公网传输。因此，这些漫游接口均为可访问的公网接口，而这些接口所使用的协议没有定义认证、加密、完整性保护机制。
4. 做好虚拟化/容器环境的安全风险评估
移动核心网已经云化，云化架构相比传统架构，引入了通用硬件，将网络功能运行在虚拟环境/容器环境中，为运营商带来低成本的网络和业务的快速部署。虚拟化使近端物理接触的攻击变得更加困难，并简化了攻击下的灾难隔离和灾难恢复。网络功能虚拟化（NFV）环境面临传统网络未遇到过的新的安全威胁，包括物理资源共享打破物理边界、虚拟化层大量采用开源和第三方软件引入大量开源漏洞和风险、分层多厂商集成导致安全定责与安全策略协同更加困难、传统安全静态配置策略无自动调整能力导致无法应对迁移扩容等场景。云化环境中网元可能面临的典型安全风险包括：通过虚拟网络窃听或篡改应用层通信内容，攻击虚拟存储，非法访问应用层的用户数据，篡改镜像，虚拟机（VM）之间攻击、通过网络功能虚拟化基础设施（NFVI）非法攻击 VM，导致业务不可用等。
5. 做好暴露面资产的安全风险评估
电信网络规模大，涉及的网元多，但是，哪些是互联网暴露面资产，应首先做好梳理。例如，5G网络中，5G 基站（gNB）、UPF、安全电子支付协议（SEPP）、应用功能（AF）、网络开放功能（NEF）等网元存在与非可信域设备之间的接口，应被视为暴露面资产。暴露面设备容易成为入侵网络的突破口，因此，需重点做好暴露面资产的风险评估和安全加固。
四、对运营商加强电信网络关键信息基础设施安全保护的建议
参考国际上通行的 IPDRR 方法，运营商应根据场景化安全风险，按照事前、事中、事后三个阶段，构建电信网络安全防护能力，实现网络高韧性、数据高安全性。
1. 构建电信网络资产、风险识别能力
建设电信网络资产风险管理系统，统一识别和管理电信网络所有的硬件、平台软件、虚拟 VNF网元、安全关键设备及软件版本，定期开展资产和风险扫描，实现资产和风险可视化。安全关键功能设备是实施网络监管和控制的关键网元，例如，MANO、虚拟化编排器、运维管理接入堡垒机、位于安全域边界的防火墙、活动目录（AD）域控服务器、运维 VPN 接入网关、审计和监控系统等。安全关键功能设备一旦被非法入侵，对电信网络的影响极大，因此，应做好对安全关键功能设备资产的识别和并加强技术管控。
2. 建立网络纵深安全防护体系
一是通过划分网络安全域，实现电信网络分层分域的纵深安全防护。可以将电信网络用户面、控制面的系统划分为非信任区、半信任区、信任区三大类安全区域；管理面的网络管理安全域（NMS），其安全信任等级是整个网络中最高的。互联网第三方应用属于非信任区；对外暴露的网元（如 5G 的 NEF、UPF）等放在半信任区，核心网控制类网元如接入和移动管理功能（AMF）等和存放用户认证鉴权网络数据的网元如归属签约用户服务器（HSS）、统一数据管理（UDM）等放在信任区进行保护，并对用户认证鉴权网络数据进行加密等特别的防护。二是加强电信网络对外边界安全防护，包括互联网边界、承载网边界，基于对边界的安全风险分析，构建不同的防护方案，部署防火墙、入侵防御系统（IPS）、抗DDoS 攻击、信令防护、全流量监测（NTA）等安全防护设备。三是采用防火墙、虚拟防火墙、IPS、虚拟数据中心（VDC）/虚拟私有网络（VPC）隔离，例如通过防火墙（Firewall）可限制大部分非法的网络访问，IPS 可以基于流量分析发现网络攻击行为并进行阻断，VDC 可以实现云内物理资源级别的隔离，VPC 可以实现虚拟化层级别的隔离。四是在同一个安全域内，采用虚拟局域网（VLAN）、微分段、VPC 隔离，实现网元访问权限最小化控制，防止同一安全域内的横向移动攻击。五是基于网元间通信矩阵白名单，在电信网络安全域边界、安全域内实现精细化的异常流量监控、访问控制等。
3. 构建全面威胁监测能力
在电信网络外部边界、安全域边界、安全域内部署网络层威胁感知能力，通过部署深度报文检测（DPI）类设备，基于网络流量分析发现网络攻击行为。基于设备商的网元内生安全检测能力，构建操作系统（OS）入侵、虚拟化逃逸、网元业务面异常检测、网元运维面异常检测等安全风险检测能力。基于流量监测、网元内生安全组件监测、采集电信网元日志分析等多种方式，构建全面威胁安全态势感知平台，及时发现各类安全威胁、安全事件和异常行为。
4. 加强电信网络管理面安全风险管控
管理面的风险最高，应重点防护。针对电信网络管理面的风险，应做好管理面网络隔离、运维终端的安全管控、管理员登录设备的多因素认证和权限控制、运维操作的安全审计等，防止越权访问，防止从管理面入侵电信网络，保护用户数据安全。
5. 构建智能化、自动化的安全事件响应和恢复能力
在网络级纵深安全防护体系基础上，建立安全运营管控平台，对边界防护、域间防护、访问控制列表（ACL）、微分段、VPC 等安全访问控制策略实施统一编排，基于流量、网元日志及网元内生组件上报的安全事件开展大数据分析，及时发现入侵行为，并能对攻击行为自动化响应。
（本文刊登于《中国信息安全》杂志2021年第11期）