安全平行切面白皮书 蚂蚁科技集团股份有限公司 信息产业信息安全测评中心 2021年12月 顾问委员会主任 李京春  中国网络安全审查技术与认证中心首席专家  顾问委员会副主任 严寒冰  中国互联网协会网络与信息安全工作委员会秘书长  陈世翔  中国网络安全审查技术与认证中心网络安全审查二部主任  陈  鑫  国家市场监督管理总局信息中心网络安全处处长   任  奎  浙江大学网络空间安全学院院长、计算机科学与技术学院副院长  顾问专家 严  妍  中国网络安全审查技术与认证中心产品认证部副主任  李秋香  公安部第一研究所信息安全等级保护测评中心副主任  高  强  国家计算机网络应急技术处理协调中心网络安全三处副处长  于  盟  国家工业信息安全发展研究中心检查评估所副所长  梁振凯  新加坡国立大学计算学院副教授 杨  珉  复旦大学计算机科学技术学院副院长、教授     苏璞睿  中国科学院软件研究所可信计算与信息保障实验室常务副主任、       研究员、博导  武成岗  中国科学院计算技术研究所研究员级高级工程师、博导  韩心慧  北京大学王选计算机研究所高级工程师  张  超  清华大学网络科学与网络空间研究院副教授  编制组 蚂蚁科技集团股份有限公司：韦  韬、李婷婷、刘晓舟、顾为群、郑  旻、 李  强、孙少磊、靳宇星、边立忠、余  瞰、龙  啸、崔帅华、张恒茂、 方  超、贾依真     信息产业信息安全测评中心：霍珊珊、刘  健、金  达、刘润一、张  岩 中国科学院信息工程研究所：梁瑞刚、刘玉岭 鸣谢 杨  宁（鸟哥） 、 林  鑫、 林子敏、 李  铮、 陈  恺、 马传雷、 秦承刚、 谈鉴锋、 徐子腾、赵  勇、董晓康、王少宇、鲍姝睿、华  巍、陈松年、许蓓蓓1 前  言 随着云计算、大数据、工业互联网、人工智能等新兴技术的快速更新，中国 数字经济蓬勃发展， 在国民经济各行业得到广泛应用。数字经济的外延不断拓展， 由狭义的数字产业化转向广义的产业数字化，由传统的基础电信、软件服务、互 联网等信息产业延伸至工业、农业、服务业等其他非信息行业，成为国民经济重 要组成部分。随着数字经济的不断发展，资产价值愈加重要，面临的网络安全、 数据安全、隐私保护等威胁和挑战与日剧增，病毒攻击、数据泄露等网络和数据 安全事件频发，严重影响国家安全、社会秩序、公众利益。 2021年国家相继颁布和实施了 《数据安全法》 、 《关键信息基础设施保护条例》 和《个人信息保护法》 ，与之前的《网络安全法》 、 《密码法》等法律法规，逐步 建立了我国较为全面的网络安全保护和数据安全保护的法律体系，对网络安全、 数据安全、个人信息保护提出了明确要求。 《网络数据安全管理条例（征求意见 稿） 》 、 《数据出境安全评估办法（征求意见稿） 》等部门规则制度进一步细化了相 关要求，表明已经进入一个数据安全有法可依、有法必依的新发展阶段。  数据只有流动才有价值，如何平衡数据开发利用和数据安全保护，实现业务 发展和安全齐头并进，是必须解决的重大课题。当前企业架构和业务逻辑呈爆炸 性复杂态势，为数字化建设的安全提出了更高的挑战。针对当前数字化建设的安 全需求，零信任安全网络架构、内生安全框架和内置式主动防御体系等新型安全 体系和理念相继产生，原生安全理念已经成为业界共识。但当前原生安全强耦合 式内嵌安全的实现方式，带来了绑腿走路的困境：安全团队与业务团队强耦合， 存在投入人员成本高、应急响应时效不足、协调难度大等困难。原生安全的“最 后一公里”如何落地，如何实现安全和业务逻辑平行发展，又相互协同，实现低 侵入式的安全建设，成为原生安全体系发展的痛点和难点。2 前  言 安全平行切面白皮书针对复杂性数字化业务的安全需求，本白皮书在分析数字化对安全新要求、 安全体系面临的挑战和困境的基础上，提出了新一代安全体系—安全平行切面， 并介绍了安全平行切面在应急攻防、安全治理与布防、数据安全治理等场景的实 践案例。安全平行切面通过嵌入在端—管—云内部的各层次切点，使得安全管控 与业务逻辑解耦，并通过标准化的接口为安全业务提供内视和干预能力，以既融 合又解耦的方式实现安全防护，为“原生安全”落地提供了解决路径。目  录 1. 概 述 01 1.1 国家数字化发展战略对安全的新要求 01 1.2 国内外相关安全体系 02       1.2.1 零信任安全网络架构  02       1.2.2 内生安全框架  03       1.2.3 内置式主动防御体系  04 1.3 安全体系面临的挑战和困境 05       1.3.1 合规挑战  05       1.3.2 安全风险挑战  06       1.3.3 技术挑战  06 1.4 新一代安全体系——安全平行切面 07 2. 构建安全平行切面防御体系 11 2.1 安全平行切面架构与实现 11       2.1.1 总体架构  11       2.1.2 建设要则  13       2.1.3 移动应用端 APP安全平行切面  16       2.1.4 服务端应用安全平行切面  18       2.1.5 操作系统安全平行切面  20 2.2 安全平行切面的技术保障 25       2.2.1 性能保障  25       2.2.2 稳定性保障  26       2.2.3 安全保障  273. 安全平行切面实践案例 29 3.1 应急攻防实践 29       3.1.1 漏洞“止血”  2 9       3.1.2 主动蜜罐  32       3.1.3 安全组件大规模快速升级  33       3.1.4 操作系统内核漏洞应急防护  34       3.1.5 挖掘-1day漏洞  36 3.2 安全治理与布防实践 38       3.2.1 身份认证和鉴权能力快速接入  38       3.2.2  DevSecOps  实践  39       3.2.3 移动应用隐私风险发现和管控  41 3.3 数据安全治理实践 44 4. 总结与展望 51 参考文献 5201 1. 概  述 1.1 国家数字化发展战略对安全的新要求 随着云计算、大数据、物联网、工业互联网、区块链、人工智能等新兴技术 的快速发展，中国数字经济蓬勃发展，数字经济成为经济发展中创新最活跃、增 长最快、影响最广泛的领域。我国数字经济在产业规模、科技水平、平台影响力、 独角兽企业数量等方面居于世界前列，经济增长引擎作用持续增强。根据  2021  年 4 月 25 日第四届数字中国建设峰会上发布的《数字中国建设发展报告（2020  年） 》 ，我国数字经济总量跃居世界第二，成为驱动经济高质量发展的核心关键   力量。 数字技术是典型的通用技术，可以在国民经济各行业广泛应用。随着数字基 础设施不断完善，云计算、物联网、人工智能等新一代数字技术不断成熟，数字 技术加速与国民经济各行业深度融合，产业赋能作用进一步增强，数据成为重要 生产要素，深刻影响和改变企业的组织结构、生产方式、商业模式等，加快各行 业质量变革、效率变革、动力变革进程。 《中华人民共和国国民经济和社会发展 第十四个五年规划和2035年远景目标纲要》明确提出“加快数字化发展，建设 数字中国” ，加快建设数字经济、数字社会、数字政府，以数字化转型整体驱动 生产方式、生活方式和治理方式变革。未来，我国数字经济的规模和范围将得到 极大扩展，成为经济发展的新动能。 中国数字经济蓬勃发展的同时，网络安全、数据安全、隐私保护等威胁和挑 战日益严峻，从信息产业领域逐渐扩大到各行各业，包括电信、电力、金融、医 疗等，影响国家安全、社会秩序、公众利益。网络安全和信息化是事关国家安全021. 概 述 安全平行切面白皮书 和国家发展、事关广大人民群众工作生活的重大战略问题。习近平总书记强调： “没有网络安全就没有国家安全,没有信息化就没有现代化。 ”习近平总书记还深 刻阐述了网络安全和信息化发展的辩证关系，指出“网络安全和信息化是一体之 两翼、驱动之双轮，必须统一谋划、统一部署、统一推进、统一实施。 ” 国家高度重视网络安全和数据安全的顶层设计，相继颁布的《网络安全法》 、 《密码法》 、 《数据安全法》 、 《关键信息基础设施保护条例》和《个人信息保护法》 等法律法规，逐步建立了较为全面的网络安全保护和数据安全保护的法律体系， 重点加强金融、能源、电力、通信、交通等领域关键信息基础设施安全保护，建 立网络安全审查制度，强化重要数据、敏感数据和个人信息的保护要求。 在大力发展数字经济，加速数字化转型的同时，必须面对网络安全和数据安 全威胁日益严峻的态势，着力解决网络安全和数据安全领域的突出问题，符合国 家相关法律要求合规经营，这些新兴挑战也推动行业研究新一代安全体系，实现 安全和业务高效协同发展。 本章在1.2节简要回顾近年来出现的新兴网络安全体系，在1.3节阐述当前 安全体系面临的挑战和困境，并在 1.4 节介绍安全平行切面体系。 1.2 国内外相关安全体系 1.2.1  零信任安全网络架构 2010年，Forrester  Research 首席分析师  John Kindervag 首次提出了 零信任（ Zero Trust，ZT）理念，对访问控制在范式上实现颠覆，指引安全体 系架构从 “网络中心化 ”转向“身份中心化” 。零信任的基本原则是 “从不信任， 始终验证” ，即企业内外部的任何人、事、物