浅谈美国国家网络靶场NCR (National Cyber Range)

引言

网络空间的出现不仅是一场科学技术的变革，更是人类生活方式的变革，极大地拓展了人类活动的物理空间，尽管仅仅经过50年左右的发展，网络空间已经成为承载政治、军事、经济、文化的全新空间，并成为继“陆、海、空、天”后第五大国家安全空间，世界各国均对网络空间安全给予高度重视，致力于发展网络安全技术，提高网络空间的防御能力。

图1 网络空间的攻击防御示意图

网络空间的设备、链路、规模、结构、应用、用户特征等诸多不确定因素以及信息爆炸式的增长，使得针对网络空间活动的研究、测试、演练等往往存在着分析验证难、演习推演难、培训学习难等一系列问题，以上问题不断爆发意味着构建网络空间安全体系时，需要对现有的验证评估方法进行重大的革新。为此，世界各国和地区在发展其网络空间安全能力时，均将支撑网络空间活动研究的测试环境建设与测试方法研究放在重要的位置。

在此背景下，“网络靶场”应运而生。美国作为全球信息化程度最高的国家，在2008年率先开展国家网络靶场(NCR, National Cyber Range)建设，作为国家网络安全综合计划的重要组成部分，NCR被称为新世纪的网络“曼哈顿工程”，旨在保证美国的网络霸权，确保美国在当今正在发生或未来即将发生的网络战中处于绝对主动地位。

图2 DAPRA对NCR的介绍

NCR的建设背景

2008年由DAPRA（美国国防部高级研究计划局）牵头主导，60多家企业、研究机构参与建设的“国家网络靶场”，作为网络攻击与防御的有效性评估、网络武器有效性评估、网络战士训练、网络演习任务开展、网络战术/技术/过程（TTP）的开发等提供靶场化解决方案的基础设施，计划用6~7年时间，分为初步概念设计、交付靶场原型、交付基础设施、运行四个阶段进行实施。2012年10月起，美国国防部（DOD）实验资源管理中心（TRMC）正式从DARPA接管NCR，标志着NCR从实验室演示阶段正式进入部署应用阶段。

TRMC负责将美国国防部测试、培训和试验的使用能力“操作化”，NCR目前由洛克希德马丁公司管理，负责为试验鉴定部门（DoT&E）提供网络试验鉴定基础设施 ^[1] ，目标是为美国国防部、陆海空三军和其他政府机构服务，提供虚拟环境来模拟真实的网络攻防作战，针对敌对电子攻击和网络攻击等电子作战的手段进行试验，以实现网络空间作战能力的重大变革，打赢未来网络空间战争。

图3 NCR在美国国防部试验资源管理中心所处的位置

NCR的关键能力与核心组成

NCR使用多个独立安全级别的体系结构支持不同分类级别的多个并发测试，能够快速模拟复杂的具有作战代表性的网络环境，自动化高效率地支持更加频繁和精确的网络活动，并能够清理与恢复系统到已知的干净状态，通过支持不同类型的活动（开发、作战试验鉴定、信息保障、合规性、恶意软件分析等）满足不同用户群对NCR的需求（测试、培训、研究等）。

NCR主要由基础设施、封装架构与操作流程、集成网络活动 工具 集以及一流的网络测试团队组成。

图4 NCR的核心组成

NCR的基础设施支持现场及远程访问，提供无线测试环境。NCR提供一系列自动化测试工具集，提供端到端支持，包括支持活动规划的工具集，支持资源需求定义与管理的工具集，支持环境的自动化构建/验证及清理以及活动执行的工具集。

图5  NCR提供的工具集

NCR能够支持自动化测试，测试步骤主要包括：

1）定义测试，即利用工具定义测试的各个方面；

2）分配资源，即确定需要资源池中的哪些资源并进行分配；

3）配置硬件，即利用工具实现硬件的自动化配置；

4）配置软件，即正确配置执行测试活动所需的软件；

5）执行测试，即活动团队利用程序执行工具联合活动定义系统执行测试并采集分析数据；

6）清理资源，即释放资源并重新放回资源池。

图6  NCR的自动化网络测试过程

NCR最有价值的资源是一支多元化、经验丰富的世界级网络安全工作人员，由专业的团队提供服务，包括但不限于端到端的测试支持、测试床设计支持、网络与测试技术、威胁向量研发、自定义流量生成、自定义传感器与可视化支持、自定义数据分析、自定义硬件/软件/有线与无线资产的集成以及远程蓝方与红方支持。

NCR的应用和在美国国防部试验鉴定过程中的重要作用

首先我们通过几个例子简要说明NCR支持哪些应用。

1）产品、技术的测试评估。NCR提供网络环境来测试新技术、产品是否满足实际作战环境的需求，是否能够减少网络安全威胁，发挥多大的作用，帮助了解还有多少剩余风险；

图7 应用NCR进行产品、技术的测试评估

2）帮助系统架构设计并在系统应用前及早洞察系统性能。系统设计者希望能够尽早了解该架构是否支持预期的用户负载以及大规模环境下可能发生的潜在问题（通常这些问题只在测试过程中很晚才被发现），通过NCR提供的服务能够最大限度减少开发测试（DT）晚期或作战测试（OT）早期的意外性能故障，减少重复工作，并评估系统是否能在实际环境中按预期运行。

图 8  应用NCR帮助系统架构设计与测试

3）开发过程中的系统测试。许多情况下，所开发的系统往往需要依赖于外部服务并与外部系统相连，当系统连接到整个体系时，对网络攻击和故障有多大的容忍弹性？当外部系统发生故障时，所开发的系统是否能够稳定运行？采用NCR进行测试，能够增强系统对网络攻击和失效的抵御能力，减少重复工作，并评估系统是否按照预期运行，了解系统和环境间的依赖性对系统满足任务需求的影响。

4）提供真实安全的网络安全训练环境。在真实网络环境中开展网络武器试验以及网络战术/技术/过程（TTP）测试等是极其危险的。NCR能够提供安全真实的训练操作环境，重复性评估多个TTP的相对有效性，并能够按需、低成本的改变环境以迅速响应真实环境的变化。

综合以上分析可以看出，NCR支持多种类型的网络活动，包括研发测试、产品评估、系统与目标仿真、任务演习、架构分析、开发试验鉴定、作战试验鉴定、恶意软件分析、取证分析等。同时NCR能够与美国国防部其他靶场基础设施联动，支持这些网络空间活动对靶场的需求 ^[2] 。

近年来美国国防部持续推进“向左移”战略，目标是在采办项目的早期即引入网络安全测试鉴定，以避免在开发生命周期结束时进行高成本集成 ^[3] 。在最新的美国国防部网络安全试验鉴定指南中 ^[4] ，采办项目全过程的网络安全测试主要有6步，如图9所示：

一是分析理解网络安全需求，目的是检查系统的网络安全和恢复能力要求，以制定进行网络安全试验鉴定的初步方法和计划。

二是描述网络攻击的外层途径，了解系统接口和系统运行的依赖环境。外部链接、应用程序、数据依赖性、可移动媒体的使用都可以引入额外的利用途径，这一步骤的目的是确定敌方可能利用的系统漏洞和攻击途径，并制定计划来评估对任务的影响。

三是协同漏洞识别，目的是验证网络安全和弹性，识别漏洞和所需的解决措施，并通知系统设计者、开发人员和工程师对网络生存能力和弹性进行改进，以降低风险。

四是对抗性网络安全的开发试验鉴定，在这一阶段，一个对抗团队基于任务驱动在网络对抗环境中使用真实的威胁利用技术来识别剩余风险，测试系统的网络安全和恢复能力。

五是协同脆弱性和渗透性评估，本阶段的目的是全面描述系统在作战环境下的网络安全和弹性状态，并提供系统侦察以支持对抗性评估。

六是对抗性评估，这一步骤评估经过训练和装备的系统单元关键任务在面临网络威胁活动时遭受的影响以及系统防御能力的有效性。

步骤一、二实际上是网络安全试验鉴定的分析与规划步骤，定义了试验鉴定的“谁、什么、在哪、何时、为什么和如何”，包括测试的范围、所需的测试工具和基础设施，以及典型敌对势力（OPFOR，opposing force）所需的必要技能。

试验鉴定的实际执行则发生在第三到第六步，第三、四步包括系统网络安全的开发试验鉴定（DT&E）。网络安全测试人员根据第一和第二步的分析结果，制定测试目标、计划测试活动，并为第三、四步规划网络安全测试基础设施。第五和第六阶段包括系统的网络安全作战试验鉴定（OT&E）活动，网络安全作战测试人员提供解决作战网络安全问题所需信息、识别任务环境中的漏洞并描述发现的漏洞对作战的影响。

图9 采办项目周期中的网络安全试验鉴定步骤

作为美国国防部关键基础设施，NCR在以上采办项目的网络安全测试评估过程中都要提供靶场服务，如图10所示，包括支持网络安全架构的评估，进行网络安全验证和确认，联合蓝方进行任务线程测试，在真实的威胁环境与红方进行任务线程测试，提供大规模的模拟环境来训练网络任务部队，评估网络防御和攻击的作用 ^{[2] [4]} 。

图10 NCR在采办项目网络安全试验鉴定中的应用

通过图11能够更直观看出，自进入运营以来，NCR在国防部网络安全相关活动中的应用领域与应用频率呈现逐渐上升趋势，尤其是自2013年以来使用量和应用数量激增。在2011财年NCR最初开放时，它仅用于网络空间能力的开发试验鉴定一次，在2013财年也只有8次应用，而在2016财年，NCR在各种项目中应用了58次，且应用领域包括网络空间开发试验鉴定、网络空间作战试验鉴定、训练演习等各个方面 ^[5] 。

图11  2011财年~2016财年NCR的应用统计

总结

与传统的模拟建模以及原型系统部署相比，网络靶场具有高真实性，可灵活扩展和重现代价低等一系列优势。尤其是随着美国“向左移”战略的推进以及2018年美国防部组织机构调整等一系列举措均表明美国国防部对试验鉴定的高度重视 ^[6] ，因此NCR在美国国防部网络安全实践的各个层面进行了持续的应用。除NCR外，由美国防部管理的网络靶场还包括C4 Assessment Division (C4AD) 、DoD Cybersecurity Range、Joint IO Range (JIOR)等 ^[7] ，这些靶场作为关键基础设施，为保障美国的网络空间霸权地位发挥了至关重要的作用。

图12 网络靶场与数学分析、模拟建模及原型系统的对比

美国建设NCR对于国家级网络靶场建设具有代表性、引领性意义，英国、德国、俄罗斯、日本、韩国等，纷纷制订网络空间安全战略，加强建设网络战力量，先后启动国家网络靶场建设作为支撑网络空间安全技术演示验证、网络武器装备研制试验、攻防对抗训练演练和网络风险评估分析的重要基础设施。

希望本文对美国国家网络靶场NCR的简要介绍，能够有助于读者对网络靶场的认识和理解。我国的网络靶场建设正处于起步阶段，未来随着技术水平、规划能力的逐渐提升，网络靶场也必将成为我国网络空间安全活动不可或缺的基础设施和资源。

参考文献：

[1]Ferguson B, Tall A, Olsen D. National Cyber Range Overview[C]. Military Communications Conference, 2014.

[2]美国国家网络空间靶场（NCR）建设概况，

http://www.360doc.com/content/18/0409/20/37805727_744263421.shtml.

[3]“向左移”——美军改进武器装备研制试验与评价的重要策略, http://www.sohu.com/a/114231078_465915.

[4]Cyber Security Test and Evaluation Guidebook 2.0, Department of Defense, April 2018, http://www.doc88.com/p-7738434440310.html.

[5]Urias V E, Stout W M S, Van Leeuwen B, et al. Cyber Range Infrastructure Limitations and Needs of Tomorrow: A Position Paper[C]. 2018 International Carnahan Conference on Security Technology (ICCST). IEEE, 2018: 1-5.

[6]2018年美军试验鉴定动向分析,

http://www.360doc.com/content/19/0202/17/47051715_812738456.shtmll

[7]Cyber Security Test and Evaluation Guidebook, Department of Defense1.0, July 2015. https://www.docin.com/p-2099239998.html.

作者：郝志宇 李伦

声明：本文来自中国保密协会科学技术分会，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如需转载，请联系原作者获取授权。