1  引言

云計算已經(jīng)在很多領(lǐng)域有服務(wù)場(chǎng)景，主要包括基礎設施即服務(wù)IaaS、平臺即服務(wù)PaaS、軟件即服務(wù)SaaS三種類(lèi)型，云計算支持計算資源按需分配和擴展，私有云、公有云以及混合云滿(mǎn)足了大部分的應用需求。但是由于云計算數據中心連接網(wǎng)絡(luò )的設備數和產(chǎn)生的數據量都呈指數級增長(cháng)，距離終端邊緣的距離較大，導致網(wǎng)絡(luò )延遲和QoS的不穩定，絕對的物理距離使得數據中心到終端的指令和計算不能實(shí)時(shí)滿(mǎn)足終端服務(wù)需求?；谠频募惺酱髷祿幚砟Ｊ揭呀?jīng)不能完全滿(mǎn)足多樣化的應用需求，特別是在工業(yè)4.0時(shí)代，工業(yè)物聯(lián)網(wǎng)、車(chē)聯(lián)網(wǎng)、可穿戴醫療系統、關(guān)鍵基礎設施終端節點(diǎn)監控、增強現實(shí)乃至元宇宙等場(chǎng)景中。為解決類(lèi)似的問(wèn)題，邊緣計算采用在終端處理部分數據的形式提供另一種計算服務(wù)，能有效避免延遲和網(wǎng)絡(luò )抖動(dòng)等問(wèn)題。邊緣計算邏輯示意圖如圖1所示。

圖1 邊緣計算邏輯示意圖

邊緣計算的目的是降低網(wǎng)絡(luò )消耗，提高實(shí)時(shí)性，處理和存儲實(shí)時(shí)數據[1]。安全性是邊緣計算面臨的主要挑戰之一，傳統網(wǎng)絡(luò )安全屬性中的機密性、完整性以及可靠性仍然需要解決，部分學(xué)者開(kāi)展了相應的研究。邊緣云計算設備面臨部署地點(diǎn)人員復雜、安全機制不足、硬件安全不足等問(wèn)題[2]。同時(shí)其設備靠近終端，擁有大量的私人用戶(hù)信息和豐富的數字資產(chǎn)，因此非常容易受到攻擊。文獻[3]提出一種邊緣計算設備的態(tài)勢感知模型，在邊緣節點(diǎn)對其自身的狀態(tài)和數據進(jìn)行量化，通過(guò)狀態(tài)轉移矩陣分析不同時(shí)刻下系統的狀態(tài)是否正常，對系統可能遭遇的攻擊進(jìn)行警示和檢測，以達到保護邊緣設備安全的目的。文獻[4]從移動(dòng)邊緣計算的設備、節點(diǎn)、網(wǎng)絡(luò )資源以及任務(wù)和遷移安全四個(gè)維度提出了動(dòng)態(tài)場(chǎng)景有限資源防御模型、綜合信任基礎資源部署等處理策略。文獻[5]對邊緣云計算安全做了總結和概括。文獻[6]從范式的角度分析了邊緣云固有的安全威脅、挑戰和機制。文獻[7]提出鐵路MEC端到端安全服務(wù)方案和未來(lái)智能鐵路MEC安全研究的發(fā)展方向。文獻[8]針對車(chē)聯(lián)網(wǎng)（IoV）中云計算的高時(shí)延、數據泄露和惡意車(chē)輛節點(diǎn)篡改數據等問(wèn)題，提出了一種基于區塊鏈與云-邊緣計算混合架構的IoV數據安全存儲與共享方案。文獻[9]認為采用分層的安全措施與整體的安全監測和運營(yíng)是解決邊緣計算安全的有效途徑。其從安全目標、安全管理、安全技術(shù)和應用領(lǐng)域為制定專(zhuān)門(mén)的邊緣計算安全框架提出了幾點(diǎn)建議。文獻[10]在安全架構設計、防火墻、入侵檢測系統、身份驗證和授權協(xié)議以及隱私保護機制的背景下，總結了基于邊緣的物聯(lián)網(wǎng)安全研究工作，提出了對未來(lái)研究方向和開(kāi)放研究問(wèn)題的見(jiàn)解。

2 邊緣計算安全威脅

云計算使得大部分計算的資源傾向于數據中心，而邊緣計算則會(huì )在一些場(chǎng)合分擔中心的部分計算任務(wù)，在邊緣計算的應用場(chǎng)景中經(jīng)常會(huì )發(fā)現，在終端存在部分需要及時(shí)處理的運算需求，而這些需求通常對低延遲有較高的要求。比如說(shuō)輸油管道的完整性檢測。若是邊緣節點(diǎn)捕獲異常即應實(shí)時(shí)做出進(jìn)一步的指令操作，而不是將數據回傳至數據中心等待指令。推而廣之，邊緣計算會(huì )產(chǎn)生與之而來(lái)的安全問(wèn)題，這種安全問(wèn)題通常伴隨著(zhù)邊緣計算的場(chǎng)景而發(fā)生。例如在輸油管道的實(shí)時(shí)處置過(guò)程中，邊緣計算節點(diǎn)的某一個(gè)運算節點(diǎn)的失效會(huì )導致對事件處理不及時(shí)而產(chǎn)生一系列嚴重的后果。

邊緣計算架構的節點(diǎn)計算能力、存儲能力和能量均受限，因此更容易獲取攻擊者的關(guān)注。邊緣計算邏輯上分為兩層，一層為云計算數據中心，一層為邊緣計算節點(diǎn)，兩層之間通過(guò)不同協(xié)議的網(wǎng)絡(luò )連接。其中，云計算數據中心是集中的大型數據處理及存儲場(chǎng)所，包括的設備有大型服務(wù)器、大型存儲設備等；邊緣計算節點(diǎn)負責資源受限情況下的實(shí)時(shí)計算任務(wù)，包括輕量級的計算模塊、存儲模塊；連接網(wǎng)絡(luò )包括有線(xiàn)連接（TCP/IP）和無(wú)線(xiàn)連接（ZigBee、藍牙、NFC、IEEE 802.11 a/b/c/g/n和衛星鏈路）或兩者的復合[1] ，邊緣計算構件體系結構邏輯示意圖如圖2所示。

圖2 邊緣計算構件體系結構邏輯示意圖

針對邏輯架構可以分析得出，邊緣計算自身存在的弱點(diǎn)以及可能面臨的網(wǎng)絡(luò )安全威脅。安全威脅包括邊緣計算節點(diǎn)本身、計算節點(diǎn)與控制設備之間、計算節點(diǎn)與云計算數據中心之間等多個(gè)環(huán)節?？煽啃苑矫姘ㄎ锢砥茐?、冗雜失敗、中間人攻擊等風(fēng)險；訪(fǎng)問(wèn)控制方面包括非授權訪(fǎng)問(wèn)、加密算法被破解等風(fēng)險；網(wǎng)絡(luò )傳輸方面的安全問(wèn)題與傳統的云計算基本一致，包括拒絕服務(wù)攻擊（DoS）、連接數據泄露等風(fēng)險；同時(shí)通過(guò)入侵云計算數據中心亦可造成相應的安全威脅。

3 邊緣計算防御技術(shù)

邊緣計算應致力于確保服務(wù)的可靠性和可用性，邊緣計算節點(diǎn)直接參與實(shí)時(shí)運算和發(fā)布對應的指令到現實(shí)物理世界，因此我們需要從這個(gè)角度去設計邊緣計算的防御架構。具有內生安全性質(zhì)的邊緣計算邏輯架構圖如圖3所示。

圖3 具有內生安全性質(zhì)的邊緣計算邏輯架構圖

3.1   安全體系架構

2016年攻擊者用攻陷的物聯(lián)網(wǎng)節點(diǎn)設備發(fā)起DDoS攻擊，造成了DNS服務(wù)器的服務(wù)中斷[10]。將安全監測模塊向邊緣計算節點(diǎn)遷移，在邊緣計算節點(diǎn)部署必要的入侵檢測模塊能有效避免節點(diǎn)被劫持，同時(shí)應采用可靠的加密算法保障通信的機密性。安全體系架構中應用權重來(lái)區分不同重要性的邊緣云計算節點(diǎn)，對關(guān)鍵計算節點(diǎn)增設冗余節點(diǎn)以應對單個(gè)節點(diǎn)失效的場(chǎng)景，整體上有效提高邊緣計算的業(yè)務(wù)可持續性。

3.2   節點(diǎn)防火墻模塊

設計部署輕量級的防火墻，采用白名單機制，遵循最小權限通過(guò)原則，過(guò)濾非授權的協(xié)議流量，定期將惡意訪(fǎng)問(wèn)IP以及行為回傳至云數據安全中心做進(jìn)一步的研判。

3.3   入侵檢測模塊

部署分布式安全網(wǎng)關(guān)，納管邊緣計算節點(diǎn)，賦予安全網(wǎng)關(guān)態(tài)勢感知的計算能力，從本質(zhì)上提升安全感知和應對能力，增強邊緣計算節點(diǎn)的入侵檢測感知能力。

3.4   態(tài)勢感知

結合云計算數據中心的強大計算能力，建立云計算數據中心和邊緣節點(diǎn)協(xié)同的安全態(tài)勢感知平臺，定期捕獲來(lái)自防火墻和入侵監測的數據，關(guān)聯(lián)分析相關(guān)數據，掌握邊緣計算節點(diǎn)的安全情況，及時(shí)做出防御策略修正。

4  邊緣云安全未來(lái)挑戰

隨著(zhù)參與計算的軟硬件組件以及應用場(chǎng)景的增多，邊緣計算面臨的安全威脅仍在逐步增多。邊緣計算安全架構要實(shí)現內生安全，應遵循安全設計與邊緣計算應用同時(shí)設計、同時(shí)實(shí)施，不走先實(shí)施后安全的老路。在具體的實(shí)踐中，應最大限度地降低邊緣計算節點(diǎn)暴露的受攻擊面，從本質(zhì)上減少邊緣層受到攻擊的可能性。物理層、網(wǎng)絡(luò )層、應用層等方面的攻擊解決方案有待進(jìn)一步具體研究。  AP

作者簡(jiǎn)介：

楊德全  （1980-），山西人，助理研究員、工程師，博士，現就職于北京理工大學(xué)網(wǎng)絡(luò )信息技術(shù)中心，主要研究方向為網(wǎng)絡(luò )應用安全、安全審計、網(wǎng)絡(luò )安全教育。

參考文獻：

[1] Caiza G, Saeteros M, O?ate W, et al. Fog computing at industrial level, architecture, latency, energy, and security: A review[J]. Heliyon, 2020, 6 (4) : e3706.

[2] 沈晴霓. 邊緣云計算安全相關(guān)技術(shù)研究進(jìn)展[J]. 自動(dòng)化博覽, 2021, 38 (08) : 36 - 42.

[3] 雷文鑫, 侯文靜, 文紅, 等. 面向邊緣計算的安全態(tài)勢感知模型[J]. 通信技術(shù), 2021, (54) : 711 - 715.

[4] 陳璐, 湯紅波, 游偉, 等. 移動(dòng)邊緣計算安全防御研究[J]. 網(wǎng)絡(luò )與信息安全學(xué)報, 2021, (7) : 130 - 142.

[5] Qiu M, Kung S, Gai K. Intelligent security and optimization in Edge/Fog Computing[J]. Future Generation Computer Systems. 2020, 107: 1140 - 1142.

[6] Roman R, Lopez J, Mambo M. Mobile edge computing, Fog et al.: A survey and analysis of security threats and challenges[J]. Future Generation Computer Systems, 2018, (78) : 680 - 698.

[7] 劉佳佳, 吳昊, 李盼盼. 鐵路5G移動(dòng)通信系統邊緣計算安全研究[J]. 計算機工程與應用, 2021, (57) : 1 - 10.

[8] 巫光福, 王影軍. 基于區塊鏈與云-邊緣計算混合架構的車(chē)聯(lián)網(wǎng)數據安全存儲與共享方案[J]. 計算機應用. 2021, (41) : 2885 - 2892. [9] 陶耀東, 徐偉, 紀勝龍. 邊緣計算安全綜述與展望[J]. 計算機集成制造系統. 2019, (25) : 3043 - 3051.

[10] Sha K, Yang T A, Wei W, et al. A survey of edge computing-based designs for IoT security[J]. Digital Communications and Networks. 2020, 6 (2) : 195 - 202.

[11] Rezapour R, Asghari P, Javadi H H S, et al. Security in fog computing: A systematic review on issues, challenges and solutions[J]. Computer Science Review. 2021, (41) : 100421

摘自《自動(dòng)化博覽》2022年2月刊