实战 | 探索网络虚拟世界的“藏宝图”——网络空间地图技术与市场分析

欢迎金融科技工作者积极投稿！

投稿邮箱：[e-mail]

                                           ——金融电子化

文 / 盛邦安全CEO    权小文

随着全球信息化的发展，网络已经覆盖人类生产和生活的诸多领域。特别是近年来，5G网络、大数据、人工智能（AI）、物联网等新兴信息技术迅速普及和推广，进一步推动物理空间的信息化和网络化。网络空间（Cyberspace）逐渐成为物理空间的全息映射，成为继“陆海空天”后的第五大疆域。2016年12月发布的《国家网络空间安全战略》指出，网络空间由互联网、通信网、计算机系统、自动化控制系统、数字设备及其承载的应用、服务和数据等组成。网络空间所承载的分布广阔、数量庞大的信息资产，蕴藏着无数“瑰宝”，正不断激发人类的探索欲望。

没有网络安全就没有国家安全。国家领导人在“4.19讲话”中强调，“感知网络安全态势是最基本最基础的工作。要全面加强网络安全检查，摸清家底，认清风险，找出漏洞，通报结果，督促整改”。由于网络空间包含的信息量巨大，结构复杂，探索网络空间迫切需要一个与百度地图、高德地图类似的工具，将网络世界中的“一草一木”有效标识出来。基于网络空间地图提供的方向标，人们便可按图索骥，快速寻觅到“宝藏”。

网络空间地图的概念和特点

网络空间地图是一种基于系列测绘技术, 反映网络空间中各种信息实体的地理位置、逻辑关系、通联结构及变化状态的可视化地图。狭义的网络空间地图主要基于IP地址或物理节点展示网络对象与地理坐标的对应关系，强调其物理空间的归属性；而广义上的网络空间地图则更加立体，具有多层次、多维度特点，可以将传输网、IP网、设备组成、系统服务、业务通联、安全动态乃至社交热点等跨越物理域、逻辑域、认知域的信息进行有机组织、分层叠加投射至地图之上。

那么，对于用户来说，什么是网络空间地图应该具备的优秀特质呢？类似物理空间地图效果，网络空间地图也应具备准确、高清的特点，能够准确标识出信息资产的地理属性、网络属性、应用属性乃至社会属性，拥有良好的人机接口，面向不同用户呈现信息资产的多维画像。此外，由于网络空间瞬息万变，信息资产极易受到外部条件的触发而发生改变。静态信息无法反映出信息资产的多变状态，有时甚至会造成对信息资产客观情况的扭曲，所以优秀的网络空间地图还应具备物理空间地图所不具备的时效性和动态性，及时、客观地反映出信息资产的最新特征。

网络空间地图依托的实现技术

人们主要通过网络空间测绘手段来得到网络空间地图。网络空间测绘的概念最初源自物理空间的地理测绘学，专门指对地理环境中实体对象的空间结构特征进行概括和抽象，并对其空间位置进行测量和绘制。网络空间测绘是地理测绘在网络空间的拓展，主要指的是对网络空间中各种信息资产的地理位置信息和网络信息进行主动或被动方式的探测、采集与分析，并以此来建立设备的相互关系索引，描绘网络逻辑连接关系，从而帮助用户掌握网络空间中各种信息资产的实时动态。网络空间测绘使用到的技术通常包括网络探测扫描技术、协议分析技术、IP定位技术、拓扑测量技术、大数据分析与存储技术、网络可视化技术和漏洞扫描验证技术等。

1.网络测量和协议分析技术

网络空间有约40亿IPv4地址空间和几乎无限多的IPv6地址空间，这些地址分布于全球各地，是网络通联和信息服务的基础，与IPv4/IPv6地址相对应的是域名地址，全球已注册域名超过3亿，并以每年超1千万的数量增长。如此庞大的IP地址空间和域名空间是网络空间组成节点的“门牌号”，需要大量探针基于这些“门牌号”去访问、识别和记录海量节点的信息要素。网络探测和协议分析是探针的关键技术，其工作过程通常分为三个阶段：一是利用已知地址集或通过地址推测算法，基于TCP/IP协议快速探测目标IP和端口服务的存活性；二是基于协议特征或应用服务特征（指纹库），与目标端口服务进行尝试交互，识别服务类型和基本属性（例如，设备型号、操作系统类型、应用软件版本等）；三是基于协议深度交互，获取目标深层信息（例如，组件结构、漏洞信息、归属信息等）。因此，网络探测和协议分析是获取网络空间信息资产的主要手段，其能力直接影响网络空间地图的全面性和准确性。

2.漏洞扫描和验证技术

漏洞扫描和验证是基于漏洞特征或机理，主动开展信息采集和协议交互的漏洞识别技术，是发现威胁进而及时处置威胁的重要技术。对于新爆发的漏洞，传统漏洞扫描主要在更新规则策略后对指定资产开展一次全新的漏洞检查，这对于局域网或小范围的网络较为有效，但对国家范围或互联网范围的节点进行漏洞排查则过于缓慢。网络空间地图对漏洞的检查充分利用了大数据能力，通过提前获取系统特征，在新漏洞爆发时先对历史数据进行快速比对，然后利用大量分布式节点对筛选出的可疑目标进行快速漏洞验证，可以确保在1-Day内大范围摸清漏洞的分布与影响。

3.拓扑测量技术

网络拓扑即网络互联结构，如同地球上四通八达的交通图，需全面监测和有效掌握。全球互联网由一个个自治系统（Autonomous System，简称AS）连接而成，每个自治系统在全球有一个唯一编号（ASN），对应某个管理机构控制下的路由器和网络群组，即分支众多的路由节点和数量庞大的IP地址。这些AS自治域、路由节点、IP地址组成了全球互联Internet网络拓扑。全球目前共分配17.6万多个AS自治系统号，遍布240个国家和地区。其中，中国所分配的AS自治系统号码数超过2800个。网络空间拓扑测量主要基于Ping、Traceroute、SNMP、ARP、DNS和NETCONF等探测技术，以及公开信息采集和开源情报辅助等手段，对全球及指定国家、区域、网段进行拓扑探测和绘制，构建包括AS级、POP级、路由器级、IP接口级的网络拓扑，支撑实现对网络拓扑的分层、分区域显示。拓扑测量需要一定规模的分布式节点群对全球互联网开展持续监测，其中算法复杂，数据存储与运算量大，还有不少技术需不断深化。

4.IP定位技术

世界各国的IP地址空间由全球互联网名称与数字地址分配机构(ICANN)进行分配，目前IPv4空间已于2011年分配完毕，而IPv6地址空间足够各国长期使用。受制于路由器部署位置、路由表的信息量和更新频率，绝大多数情况下，各国的IP地址分配会与地理区域相关。因此，采集IP地址与地理位置对应关系后，可基于IP地址查询其所对应位置，或基于地理区域查询包含的IP地址集合。IP定位库将网络空间地址与地理空间地址建立了关联，对统计、监管甚至网络犯罪侦查等应用领域非常重要，也是网络空间地图所依赖的重要资源库。国内外有专门的厂商基于路由探测、情报分析等手段采集IP定位信息，并以数据服务方式提供用户使用。出于隐私考虑，这些IP定位信息精度相对较粗，很难达到街道级别，但可以适应大部分应用情况，例如，网络客户地理位置统计、城市内IP资产统计等。更高精度的IP定位，需要基于主被动采集、WiFi热点采集、GPS关联、多点定位等多手段融合获得精准数据，应在法律允许范围内开展相关业务。

5.知识图谱分析

多源网络空间资产数据的语义模型构建、语义数据采集和存储，在此基础上建立网络空间核心资产的知识图谱，形成基于知识图谱的网络空间资产指纹库；同时构建异构多源的网络空间资产数据上下文的标准化描述、语义建模及上下文语义查询和推理引擎，实现基于上下文语义的精确资产数据源搜索，定位和网络资产数据源的动态绑定机制。核心在于对多模、多源异构数据和多维复杂关系的高效处理与可视化展示，将测绘数据和社会数据进行深度挖掘，通过数据融合分析，用数学模型直接表示的关联属性，融合成一张以关系为纽带的数据网络。通过对关系的挖掘与分析，能够找到隐藏在行为之下的关联，并进行直观的展示。

6.大数据存储与分析技术

网络空间由海量节点组成，其信息量和处理模式是典型的大数据特点，网络空间地图对网络与节点的深层挖掘、关联分析、漏洞发现等都需要大数据加持。在存储方面，由于每日需存储数千万条探测数据，同时开展内容检索、深度挖掘与综合分析等复杂任务，这对数据的存储和管理构成较大挑战，为满足大容量、准实时、高吞吐等性能要求，需要在分布式存储、分布式检索等方面持续优化。在大数据分析方面，为了找寻数据间的关联，需要对不同类型的数据内容进行检索、深度挖掘和综合分析。建模是大数据分析技术的核心工作，主要是选择和应用各种数学模型，同时对模型参数和输入变量进行校准调优，在生成最终的数据集后，用构建好的模型进行聚类分析。在对数据作进一步归类和统计的基础上，最终建立资源画像和资源间的关联关系，形成指纹信息库、地理信息库、威胁情报库和漏洞库等知识库。

7.网络可视化技术

网络可视化技术可基于网络探测和大数据分析的结果，综合运用信息处理与图形图像展示手段，将网络空间中抽象化的信息资产和逻辑关系映射为网络空间的全息地图，在归类、统计、分层等基础上通过丰富的图形化手段直观展示网络空间的物理链路、逻辑拓扑、资产画像、流量内容、安全态势等多维度信息，为摸清资产分布、掌握漏洞信息、感知趋势变化、支撑指挥决策等提供重要手段。

网络空间地图的应用场景

网络空间地图的使用比较广泛，大可以覆盖整个互联网，作为网络空间的“地形图”，服务于国家安全和相关监管部门，为互联网资产监测提供支撑；小可以深入企业内网，充当“建筑结构图”，以SaaS方式服务于广大有资产管理需求的企业组织，为IT资产的有效管理提供支持。具体来说，网络空间地图的应用场景包括以下多方面：

1.网络空间洞察分析

网络跨越国界联接世界各地，信息光速可达，网络攻击转瞬完成。而要在网络空间形成一招制胜的攻击能力或构筑坚如铜墙铁壁的防御能力，则需要有全局的洞察能力和深层信息的刺探能力。网络空间地图是国家之间、组织之间开展网络攻防的态势底图。网络中的信息中枢、关键设施、防御要隘、可用资源等都可通过网络空间地图系统深度感知和有效标识，为沙盘推演、态势掌控、指挥调度提供重要支撑。

2.互联网安全监管中的“挂图作战”

“挂图作战”是通过直观的图表形式来将计划的实施方案、工作流程和执行进度等内容呈现出来，用于指导计划具体实施过程的工作方式，是一种类似作战的快速响应行动方式。由于其具备直观性和客观性，方便任务进展跟踪，一些重大项目（例如，灾害防治、环保监测等）纷纷借鉴了这种工作方式，在趋势研判和指挥调度中成效显著。近年来，随着信息化、网络化全面推广，网络监管和安全保障越来越重要，各地相关部门纷纷开始筹建用于互联网安全监管的“挂图作战”指挥平台。网络空间地图对全局资产的信息采集及对网络安全态势的展现效果与“挂图作战”思路不谋而合，这为其在互联网安全监管业务中的应用提供了广阔的舞台。通过网络空间地图，资产标识、漏洞分布、安全影响一目了然，一旦爆发安全漏洞或攻击，需要能够及时收到预警，看到相关目标和坐标，并据此迅速开展应急响应办法。

3.关键信息基础设施保护与IT资产管理

IT资产是指计算设备、信息系统、网络、软件、虚拟计算平台以及相关硬件等。IT资产管理的核心是要跟踪、审计和监控IT资产全生命周期状态。不同于静态的物理资产，信息资产在整个生命周期中的状态通常在不断变化，仅依靠人工统计，显然跟不上信息资产的变化速度。对于IT资产规模庞大且部署分散的组织，IT资产管理难度很大，特别是对国家关键基础设施的监管更是一个很大的工程挑战。优化利用和分配现有IT资产，方可最大限度地保护信息技术上的投资，而这种决策离不开高价值的战略情报。基于网络空间地图勾勒出的信息资产“全息”样貌，决策者就可以从全局视角把握资产属性、运行状态和发展趋势，减少资产管理决策活动的不确定性。同时，网络空间地图还可以与相关安全系统做深度整合，在典型的IT资产生命周期中，充分发挥其对动态信息资产的跟踪效能，及时捕捉信息资产在全生命周期任一阶段出现的异常情况，辅助开展IT资产的脆弱性管理和风险控制，并最终实现IT资产的安全运营。

4.物联网资产监控管理

物联网技术爆发已让万物互联成为现实。智能摄像头、车联网、充电桩、智能电表/水表开始遍布世界的各个角落。物联网资产监控管理首先要解决的是安全问题。物联网的部署特点和低功耗要求，使其安全较为薄弱，例如，连接内网的室外摄像头、地处偏僻位置的ATM机、客源稀少的自动贩卖机等，都可能成为黑客入侵整个系统的着力点，增大了信息被窃取的机会，甚至有业务瘫痪的风险。为此，运营者需要通过网络空间地图探测并持续更新所有物联网资产的准确清单，在此基础上，识别和解决与资产的安全漏洞。此外，网络空间地图展现的物联网资产全网分布情况，也能给制定市场竞争策略提供高价值的战略情报，从而有重点地选择市场投放区域。

5.数字孪生及智慧城市感知与运营

作为一种实现信息化与城镇化深度融合的城市信息化高级形态，智慧城市基于城市的精细化和动态管理，极大提升了城市运营效率，改善了市民生活质量。智慧城市是由数据驱动的，其建设与运营依托通信网、IPv6网、物联网、云计算、大数据等新一代IT技术实现的泛在互联和全面感知。网络空间地图可以成为智慧城市感知和运营的基础，其作用主要体现如下：第一，保证信息资产的能见度。智慧城市中不断增加的托管资产和物联网设备是管理难题，网络空间地图可以帮助识别环境中的所有资产，深入感知信息资产所处的IT环境状况，了解它们当前所处的生命周期阶段以及如何影响业务，管控风险，提升安全。第二，有助于制定资产管理计划。网络空间地图可以提高智慧城市的运营效率，便于跟踪和展示IT资产，并为漏洞发现、威胁感知、事件响应、故障排除等问题提供解决方案支撑，管理者可以基于网络空间地图获取相关状态信息来推进资产管理计划。第三，有助于保证合规性。网络空间地图可以监视网络中的硬件和软件组件，检查是否安装了未经授权的软件或硬件，帮助管理者为审核做好准备，从而有效降低法律风险。第四，有助于控制IT成本。网络空间地图提供的资产数据有助于资产利用率分析和预算规划，帮助智慧城市最大限度地提高现有资产利用率，优化资产使用并控制IT资产采购支出。

网络空间地图是构建数字世界的必备的基础技术能力，随着其被广泛应用到多种领域，未来将继续探索更多的可能性。

往期精选：

（点击查看精彩内容）

《金融电子化》新媒体部：主任 / 邝源  编辑 / 傅甜甜 潘婧