(1. 電信科學技術研究院，北京 100191；2.中國信息通信研究院云計算與大數據研究所，北京 100191)
0 引言
隨著全球數字化經濟的蓬勃發展，越來越多的國家不斷加快算力基礎設施建設的步伐，眾多產業需要算力進行賦能增效，算力正逐漸成為數字經濟發展的核心生產力，并代表著一個國家的科技水平。與此同時，為了助力數字經濟的高質量發展，傳統云服務加速朝著算力服務升級，從應用場景、供給內容以及交付手段等多個方面進行全面升級。目前，算力服務已滲透數字政府、智能制造、航空航天、金融科技以及智慧醫療等眾多行業，并在其中發揮著重要的作用。《“十四五”數字經濟發展規劃》明確指出，要加速建設數字經濟安全體系，完善網絡安全功能以及保障數據安全。算力服務作為數字經濟發展的重要基石，掌握眾多發展中的資源和數據，此時具有針對性的安全研究顯得尤為重要。
1 背景與安全形勢分析
近年來，國家接連發布眾多法律法規，以保障互聯網行業的安全。其中，《中華人民共和國網絡安全法》作為我國核心網絡安全法律法規，主旨在于完善我國網絡安全戰略，加強網絡空間安全建設；《中華人民共和國數據安全法》指出要加強對數據的監管力度，并創建數據分類分級保護制度，并明確數據安全相關法律責任；《中華人民共和國個人信息保護法》規范了個人信息處理活動，明確了敏感個人信息的認定和保護規則；《關鍵信息基礎設施安全保護條例》要求構建新型關鍵信息基礎設施網絡安全工作體系。由此可見，我國的網絡安全政策體系正在不斷健全，相關制度也在日益完善。
算力服務作為數字時代新型服務方式，發展過程應當積極響應國家安全建設的號召，遵循相關安全規定，加速構建一套完善的服務安全體系。
“東數西算”工程的正式啟動，進一步推動了我國算力基礎建設的發展，也預示著算力服務的發展即將迎來高潮。而算力服務旨在將安全普惠的算力帶給各行各業，其發展離不開算與網的深度融合，因此算力網絡的建設便成了關鍵一環。
當前，算力網絡架構主要包括基礎設施、編排管理以及運營服務三大模塊，支持依據任務需求實現云、網、邊、端算力資源的靈活分配和調度，但隨著算網融合工作的持續推進，當中存在的一些安全風險也逐漸凸顯，主要體現在以下幾個方面。
圖1 算力網絡安全體系架構
(1)攻擊暴露面增加：算力網絡具有算力泛在、靈活接入等特點，頻繁的資源鏈接將會導致資源的攻擊暴露面增加。與此同時，網絡攻擊手段也在不斷迭代升級，這些都使得資源受到攻擊的概率大幅提升。
(2)數據隱私泄露：算力時代，數據作為商品傳輸，算力網絡中流通著海量數據，其中涉及醫療、金融、政務以及個人信息等眾多機密隱私數據，若在傳輸過程中遭受篡改或泄露將造成難以估量的嚴重后果。
(3)存證溯源困難：算力服務是端到端服務，用戶群體龐大，分布式資源節點數量較多，數據信息管理起來較為繁雜，這導致存證溯源的復雜度提升，出現安全問題時難以快速定位安全威脅源。
(4)管控復雜度提升：相較于傳統網絡架構，算網新型架構新增網元如算網感知單元和算網控制單元等，這些網元的引入將導致算網全網安全的管理復雜度提升，安全風險也隨之增加。
為解決上述所面臨的安全挑戰，需要不斷增強算網安全能力，構建一套完善的算力網絡內生安全體系。目前，市場中普遍認可的算力網絡架構由基礎設施、編排管理以及運營服務組成[1]，本文將從這三個部分出發，依次闡述對應層級的內容和相應的安全建設策略，之后針對貫穿各個部分的數據安全建設進一步解釋說明(見圖1)。
2.1 基礎設施
2.1.1 基本內容
算網基礎設施為算網融合提供計算、網絡以及存儲等資源的物理承載，并實現了基本的網絡傳輸、異構計算以及數據分析能力，是算網融合的關鍵底座。
計算基礎設施和網絡基礎設施是算網基礎設施的主要組成部分，前者是算力承載體，包含云計算數據中心、人工智能計算中心以及高性能計算中心等可用計算資源。后者負責聯通網絡，繼而進行數據和計算任務的傳輸調度，主要包括全IP網和全光網[2]。
2.1.2 安全建設
基礎設施安全分為計算資源安全和網絡資源安全兩部分。
(1)計算資源安全從硬件架構入手，強化硬件設備自身安全。虛擬化技術打破了物理硬件設備操作系統的壁壘，提高了硬件資源利用率，但同時也給系統安全帶來眾多挑戰，因此需要加強對虛擬化和操作系統的安全防護，減少惡意程序的攻擊。云原生是以容器、微服務以及DevOps等技術為基礎構建的產品體系，是算力服務重要的基礎組成。云原生安全則是充分利用平臺原生安全資源，圍繞云原生應用的生命周期進行構建的防護體系，具體可通過在云原生開發初期加強安全投資，保障供應鏈安全和鏡像安全，在容器編排管理過程中從操作系統內核到運行時操作實施全方面防護，并對業務應用進行持續的監控、分析和響應。
(2)網絡資源安全建設涉及內容較多，主要包括SRv6安全、訪問控制以及入侵防范等。SRv6結合IPv6和源路由技術，可提供端到端的服務連接，并實現網絡可編程[3]，但同時也存在被竊聽或報文在傳輸過程中被篡改等問題，常見的防護手段有配置訪問控制列表(Access Control List，ACL)規則或使用哈希運算消息認證碼(Hash-based Message Authentication Code，HMAC)校驗安全方案。身份認證和訪問控制是安全工作的首道防線，對于接入算力網絡的終端設備和用戶均需進行身份認證，零信任是解決該需求的最佳途徑，其核心理念是不信任任何人或事物，每次訪問都需進行身份認證授權，并遵循“最小權限原則”，其訪問權限由訪問主體身份和請求資源的可觀測狀態上下文的動態策略決定[4]。
2.2 編排管理
2.2.1 基本內容
編排管理是算力網絡的核心中樞，下接復雜的算網環境，上承多樣的算力需求，主要包含算網感知、協同編排以及靈活調度等關鍵功能，構建一體化編排的算網大腦。
目前，AI和大數據等新興技術正與算網大腦深度融合，并加速探索算網自智、數字孿生以及意圖網絡等發展新方向，不斷提升自動化和智能化能力，為靈活多變的業務需求尋求更多可能性。
2.2.2 安全建設
編排管理的安全建設可從安全感知、安全編排、安全調度以及安全管控四個方面考慮。
(1)安全感知：算網感知過程中需對算網身份進行統一標識，這樣一旦出現異常，可在第一時間溯源并進行攔截制止。與此同時，算網大腦也應當實現對資源安全的持續監控，對異常行為如資源惡意消耗或網絡拓撲泄露等要及時預警，并通過各種智能化、自動化手段進行修復。
(2)安全編排：相較于傳統網絡編排，算力網絡中編排管理涉及的數據量大且結構復雜，包括用戶信息、任務數據、算力資源分布信息等關鍵數據，需時刻對其進行監控和防護，保障數據的安全。另外，針對編排管理時的行為也要進行嚴格監控和授權，防止非法用戶越權調度算力網絡資源[5]。
(3)安全調度：算力網絡的核心功能是算力調度，為實現安全調度，可通過制定相關標準規范，對用戶信息、算力任務以及算力資源進行安全等級劃分，根據任務需求將任務調度到具有相應安全等級的資源節點處。在具體調度過程中，需要根據實際情況對用戶信息和任務數據進行加密傳輸，采用動態監測和節點驗證等手段保障安全。
(4)安全管控：安全管控負責對業務行為的安全監測，滿足算力服務的可管理安全需求，對算力網絡全局中出現的算力濫用、異常沖突、安全攻擊以及隱私泄露等安全問題及時處理解決。為加強算力網絡的安全防御能力，安全管控需要從被動防御轉變為自主檢測和主動防御。
2.3 運營服務
2.3.1 基本內容
算力網絡的運營服務直接面向用戶和應用，旨在以服務的形式將資源供用戶使用，其內容包含算力交易、算力封裝、算力市場以及可視化平臺等。
2.3.2 安全建設
運營服務的安全建設可分為安全交易、安全審計、安全應用以及安全監控四大模塊。
(1)安全交易：算力交易平臺可分為中心式交易平臺和分布式交易平臺，前者依托第三方中心交易平臺，所有信息展示和交易流程都交于平臺處理，此時安全策略由平臺制定；后者以區塊鏈技術為主，在鏈節點上進行信息展示和交易流程，且所有鏈節點同步節點信息，此時需要多方協作，實現分布式算力安全統一運營[6]。
(2)安全審計：安全審計主要是對算力交易流程進行識別、記錄、歸檔整理以及分析，對于重要記錄需進行備份，確保出現問題時有據可查。
(3)安全應用：算力網絡服務的場景多樣，其中包括自動駕駛、遠程醫療以及數字化政府等安全需求較高的應用場景，為避免出現此類場景出現安全問題，可將安全能力進行原子化處理，針對不同場景配置相應安全措施，實現精細化安全防范，以滿足不同應用的安全需求。
(4)安全監控：安全監控是對算力交易進行實時監控，覆蓋從用戶開通算力資源到資源釋放整個流程，對安全故障及時預警，保障交易中數據和信息的安全。
2.4 數據安全
數據安全貫穿算力網絡安全體系，是算力網絡對外服務和運營的基礎，相關安全防護措施可從數據全生命周期展開，其中涉及數據加密、數據脫敏、數據備份、隱私計算、安全存儲以及數據溯源等眾多技術環節。
在數據生成采集階段，可利用數據標記技術實現對數據出網和數據流轉等行為進行管控，出現安全威脅時可及時溯源定位；在數據傳輸階段，需根據實際業務需求部署相應安全策略如加密傳輸和數據脫敏等；在數據存儲階段，應當實現分類分級并遵循相關規范的安全存儲；在數據計算階段，基于隱私計算技術，保障數據的可用不可見，實現數據價值的轉化和釋放；在數據銷毀階段，依據規范合理清除數據。
3 發展方向和建議
3.1 促進算力網絡與SASE技術融合
2019年8月，Gartner首次提出了安全訪問服務邊緣(Secure Access Service Edge，SASE)的概念，并將其定義為一種基于實體的身份、實時上下文、企業安全/合規策略以及在整個會話中持續評估風險/信任的服務。
SASE是將網絡與安全功能融于一體的服務模型[7]，通過身份進行驅動，支持邊緣側接入，基于云原生架構提供全面、敏捷、彈性且能實現統一交付的網絡安全服務。SASE框架中包含SD-WAN(Software Defined Wide Area Network)、ZTNA(Zero-Trust Network Access)、FWaaS(Firewall as a Service)以及云訪問安全代理(Cloud Access Security Broker，CASB)等眾多網絡安全技術，具備身份驅動、統一管控、分布式連接以及邊緣接入等特點，其核心理念零信任與算力網絡的安全建設目標十分契合。目前，針對SASE與算力網絡的融合，已開展了相關標準的制定工作，如《安全訪問服務邊緣(SASE)的功能編排管理系統框架》。此外，部分學者通過分析安全表達與路由、算力節點可信管理、安全資源自動編排調度等算力網絡安全應用需求，提出了一種基于SASE的安全任務智能協同編排調度方案，實現了算力任務與安全資源的協同編排調度[8]。
由此可見，SASE技術為算力網絡的安全建設帶來了新的可能性。未來，算力網絡可以繼續深入與SASE框架的融合，為用戶提供優質的安全服務。
3.2 提升安全自智能力
如今算力服務快速發展，具體應用的場景越來越多，但潛在的安全問題也隨之增加，傳統的靜態式被動防御能力已然不能滿足多樣的安全需求。此時，算力網絡可結合智能化和自動化相關技術發展，構建“自主監測、智能感知、主動防御”為一體的自適應和自學習內生安全體系。
智能化的安全管理可以協助算網大腦精準分析龐大且分散的信息數據，并對算網全網資源利用情況進行實時動態監控和態勢感知，針對算力交易流程中出現的安全威脅可以快速感知并進行抵御，在持續學習安全故障形成模式后可實現提前預測威脅的能力，大大提高了系統架構的安全系數。
智能化和自動化技術給算網安全建設帶來了便利，如何更好地在算力網絡中引進相關技術是下一步研究的重點，爭取盡早迎來算網自智的時代。
3.3 完善安全標準規范
成熟完備的標準規范是算網架構長治久安的基礎，為了推動算網融合穩步發展，需盡快加速相關標準的制定，形成算力網絡架構中自下而上的全流程安全規范體系。
算網安全規范的編寫內容應包括安全策略、安全準則、管理規定、工作準則和執行指引等一系列內容,以實現由宏觀策略到中觀管控、再到微觀執行的一致性[9]。目前，已有部分安全標準正在制定過程中，其中包括算力基礎設施安全和算力交易安全等。但值得思考的是，市場上部分關鍵的算力標準還尚未統一，其中主要包括底層算力資源度量的標準化統一和上層應用對底層算力資源需求的標準化統一[10]。這對安全體系的建設或多或少也存在著一定的影響，應當加快推進相關標準的研究進度。
4 結束語
數字時代快速發展，算力服務即將迎來高潮，此時具有針對性的安全研究和建設工作刻不容緩。本文首先分析了算力網絡的發展背景和當中凸顯的安全問題如暴露面增加、數據隱私危機以及溯源復雜等，然后針對算力網絡架構中的三大模塊進行了介紹，并給出了相應的安全建設方案，再對貫穿始終的數據安全建設加以闡述，旨在協助構建完備的算力網絡內生安全體系。最后，從技術融合、自智發展以及標準制定的三個角度提出對算力網絡安全未來建設方向的建議。
