支撐邊緣計算環(huán)境下安全防護能力的需求特征

（文章來源：IT168）

邊緣計算作為一種新的技術(shù)理念重新定義了企業(yè)信息系統(tǒng)中云、管、端的關(guān)系，邊緣計算不是單一的部件，也不是單一的層次，而是涉及到EC－IaaS、EC－PaaS、EC－SaaS的端到端開放平臺。邊緣計算網(wǎng)絡(luò)架構(gòu)的變遷必然也對安全提出了與時俱進的需求，為了支撐邊緣計算環(huán)境下的安全防護能力，邊緣安全需要滿足需求特征。

海量特征包括海量的邊緣節(jié)點設(shè)備、海量的連接、海量的數(shù)據(jù)，圍繞海量特征，邊緣安全需要考慮特性與能力構(gòu)建。高吞吐：由于邊緣網(wǎng)絡(luò)中連接的設(shè)備數(shù)量大、物理連接條件和連接方式多樣，有些具有移動性，接入和交互頻繁，要求相關(guān)的安全服務(wù)突破接入延遲和交互次數(shù)限制，即邊緣節(jié)點的安全接入服務(wù)應(yīng)具有高吞吐量?？刹捎玫慕鉀Q方案包括支持輕量級加密的安全接入?yún)f(xié)議，支持無縫切換接入的動態(tài)高效認證方案。

可擴展：隨著邊緣網(wǎng)絡(luò)中接入設(shè)備數(shù)量劇增，設(shè)備上運行著多樣的應(yīng)用程序并生成大量的數(shù)據(jù)，要求相關(guān)安全服務(wù)能夠突破可支持的最大接入規(guī)模限制，即邊緣節(jié)點的資源管理服務(wù)應(yīng)具有可擴展性?？刹捎玫慕鉀Q方案包括物理資源虛擬化、跨平臺資源整合、支持不同用戶請求的資源之間安全協(xié)作和互操作等。

自動化：由于邊緣網(wǎng)絡(luò)中海量的設(shè)備上運行著多樣化的系統(tǒng)軟件與應(yīng)用程序，安全需求也多樣化，要求相關(guān)安全服務(wù)能夠突破管理人員限制，即邊緣側(cè)的設(shè)備安全管理應(yīng)具有自動化?？刹捎玫慕鉀Q方案包括邊緣節(jié)點對連接的設(shè)備實現(xiàn)自動化的安全配置、自動化的遠程軟件升級和更新、自動化的入侵檢測等。

智能化：由于邊緣網(wǎng)絡(luò)中接入設(shè)備數(shù)量大，生成和存儲大量的數(shù)據(jù)，可以彌補云中心大數(shù)據(jù)分析時延性高、周期性長、網(wǎng)絡(luò)耗能嚴重等缺陷，要求相關(guān)安全服務(wù)能夠突破數(shù)據(jù)處理能力限制，即邊緣節(jié)點的安全服務(wù)應(yīng)智能化?？刹捎玫慕鉀Q方案包括云邊協(xié)同的安全存儲／ 安全多方計算、差分隱私保護等。

透明：由于邊緣設(shè)備的硬件能力和軟件類型呈多樣化，安全需求也呈多樣化，要求相關(guān)安全服務(wù)能夠突破對復(fù)雜設(shè)備類型管理能力的限制，即邊緣節(jié)點對不同設(shè)備安全機制的配置應(yīng)具有透明性?？刹捎玫慕鉀Q方案包括邊緣節(jié)點可對不同設(shè)備安全威脅實現(xiàn)自動識別、安全機制的自動部署、安全策略的自動更新等。

異構(gòu)特征包括計算的異構(gòu)性、平臺的異構(gòu)性、網(wǎng)絡(luò)的異構(gòu)性以及數(shù)據(jù)的異構(gòu)性，圍繞異構(gòu)特征，邊緣安全需要考慮相關(guān)特性與能力構(gòu)建。無縫對接：邊緣網(wǎng)絡(luò)中存在大量異構(gòu)的網(wǎng)絡(luò)連接和平臺，邊緣應(yīng)用中也存在大量的異構(gòu)數(shù)據(jù)，要求相關(guān)安全服務(wù)能夠突破無縫對接限制，提供統(tǒng)一的安全接口，包括網(wǎng)絡(luò)接入、資源調(diào)用和數(shù)據(jù)訪問接口?？刹捎玫慕鉀Q方案：基于軟件定義思想實現(xiàn)硬件資源的虛擬化和管理功能的可編程，即將硬件資源抽象為虛擬資源，提供標準化接口對虛擬資源進行統(tǒng)一安全管理和調(diào)度，實施統(tǒng)一的接入認證和API 訪問控制。

互操作：邊緣設(shè)備具有多樣性和異構(gòu)性，在無線信號、傳感器、計算能耗、存儲等方面具有不同的能力，通常會產(chǎn)生不可忽略的開銷，并產(chǎn)生實現(xiàn)／ 操作復(fù)雜性。要求相關(guān)安全服務(wù)能夠突破互操作性限制，提供設(shè)備的注冊和標識，可采用的解決方案包括設(shè)備的統(tǒng)一安全標識，資源的發(fā)現(xiàn)、注冊和安全管理等。

透明：由于邊緣設(shè)備的硬件能力和軟件類型呈多樣化，安全需求也呈多樣化，要求相關(guān)安全服務(wù)能夠突破對復(fù)雜設(shè)備類型管理能力的限制，即邊緣節(jié)點對不同設(shè)備安全機制的配置應(yīng)具有透明性?？刹捎玫慕鉀Q方案包括邊緣節(jié)點可對不同設(shè)備安全威脅實現(xiàn)自動識別、安全機制的自動部署、安全策略的自動更新等。

資源約束特征包括計算資源約束、存儲資源約束以及網(wǎng)絡(luò)資源約束，從而帶來安全功能和性能上的約束。圍繞資源約束特征，邊緣安全需要考慮下述特性與能力構(gòu)建。

輕量化：由于邊緣節(jié)點通常采用低端設(shè)備，存在計算、存儲和網(wǎng)絡(luò)資源受限、不支持額外的硬件安全特性（如TPM、HSM、SGX enclave、硬件虛擬化等）限制，現(xiàn)有云安全防護技術(shù)并不能完全適用，需要提供輕量級的認證協(xié)議、系統(tǒng)安全加固、數(shù)據(jù)加密和隱私保護、以及硬件安全特性軟件模擬方法等技術(shù)。

云邊協(xié)同：由于邊緣節(jié)點的計算和存儲資源受限，存在可管理的邊緣設(shè)備規(guī)模和數(shù)據(jù)規(guī)模限制，且許多終端設(shè)備具有移動性（如車聯(lián)網(wǎng)等），脫離云中心將無法為這些設(shè)備提供全方位的安全防護，需要提供云邊協(xié)同的身份認證、數(shù)據(jù)備份和恢復(fù)、聯(lián)合機器學(xué)習(xí)隱私保護、入侵檢測等技術(shù)。

邊緣計算更靠近用戶側(cè)，天然具備分布式特征。圍繞分布式特征，邊緣安全需要考慮下述特性與能力構(gòu)建。自治：與傳統(tǒng)云中心化管理不同，邊緣計算具有多中心、分布式特點，因而在脫離云中心的離線情況下，可以損失部分安全能力，進行安全自治，或者說具有本地存活的能力。需要提供設(shè)備的安全識別、設(shè)備資源的安全調(diào)度與隔離、本地敏感數(shù)據(jù)的隱私保護、本地數(shù)據(jù)的安全存儲等功能。

邊邊協(xié)同：由于邊緣計算的分布式特性，加上現(xiàn)場設(shè)備的移動性（經(jīng)過多個邊緣計算節(jié)點，甚至跨域／多邊緣中心）、以及現(xiàn)場環(huán)境／ 事件的變化，使得服務(wù)的需求（如智能交通）也發(fā)生變化，因此在安全方面也需要提供邊邊協(xié)同的安全策略管理。

可信硬件支持：邊緣節(jié)點連接的設(shè)備（如移動終端、IoT 設(shè)備）主要是無線連接和具有移動性，會出現(xiàn)頻繁的、跨邊緣節(jié)點的接入或退出情況，導(dǎo)致不斷變化的拓撲和通信條件，松耦合和不穩(wěn)定的架構(gòu)，易受賬號劫持、不安全系統(tǒng)與組件等威脅，需要提供輕量級可信硬件支持的強身份認證、完整性驗證與恢復(fù)等。

自適應(yīng)：邊緣節(jié)點動態(tài)地?zé)o線連接大量、不同類型的設(shè)備，每個設(shè)備上嵌入或安裝了不同的系統(tǒng)、組件和應(yīng)用程序，它們具有不同的生命周期和服務(wù)質(zhì)量（QoS）要求，使得對邊緣節(jié)點資源的需求和安全的需求也發(fā)生動態(tài)變化。需要提供靈活的安全資源調(diào)度、多策略的訪問控制、多條件加密的身份認證方案等。
? ? ?（責(zé)任編輯：fqj）