战术SOA服务安全要求

原创于 2025-10-20 09:31:37 发布 · 787 阅读

26 ·

CC 4.0 BY-SA版权

文章标签：

#战术SOA #服务安全 #资产保护 #操作需求 #技术需求

战术面向服务架构中的服务部署安全要求

摘要

面向服务的架构（SOA）已被认为是满足现代战争所提出需求的合适中介。早期的研究主要集中在战略领域，或此类系统对战术领域需求的适应。然而，这两个领域之间的基本约束存在显著差异，这对安全和服务质量均产生直接影响。本文探讨了战术面向服务架构的安全方面，重点关注服务在现代战场的约束和要求下运行时的具体特性。我们展示了 TACTICS项目中部分分析成果，这些成果已被用于提取操作和技术要求，以推动构建合适的战术服务基础设施。

1 引言

军事行动依赖于在战略领域和战术领域之间保持互操作性。战略领域通常为固定式或可部署的，具有过度配置的基础设施，用于支持指挥中心、空中作战指挥、情报指挥、任务控制中心以及医疗设施等要素。相比之下，战术领域基于具有自组织特性的移动基础设施，以支持在特定作战区域（AoO）内执行战术行动的部署单元之间的通信需求。需要由战术面向服务架构（SOA）提供服务的军事单位通常为旅级或更低级别，而战术行动通常在连、排或分队级别执行。

此类行动在作战区域环境、预期机动模式、部署资产、可用资源、所需服务、信息交换模型及任务子目标方面存在显著差异。然而，战术面向服务架构必须能够在这些差异中实现服务提供，依据既定的安全和服务质量要求，支持特定任务目标的实现。

战术网络与商用移动自组织网络（MANET）和网状网络具有一些相似之处。然而，由于其军事导向，它们在包括使用的技术在内的多种特性上存在差异，其需求集以及所施加的约束。在网络使能能力（Network Enabled Capability，NEC）和网络中心战（Network Centric Warfare，NCW）范式引入军事网络领域后，推动了面向服务的架构（SOA）在实现这些功能方面的应用。然而，大多数现有的SOA实现都是针对企业领域开发的，依赖于能够持续提供100兆比特/秒或更高带宽的基础设施。相比之下，战术网络的典型容量低于1兆比特/秒，且部署时间较短，通常在军事甚高频/特高频波段内运行。

除了使用易出错且受限的通信介质外，任务相关约束（例如执行无线电静默）以及终端相关约束（例如计算能力、缓冲区大小、电池）也可能阻碍通信。因此，消息和服务传输均无法得到保证。

因此，我们之前的研究 [1–9]在欧洲防务局（EDA）TACTICS项目中，重点研究了适用于在现代指挥与控制（C2）和指挥、控制、通信、计算机和情报（C4I）系统中部署此类机制的技术。TACTICS项目旨在通过整合信息源、效应器和服务，实现网络中心战（NCW）和网络中心能力（NEC）。在此范围内，总体目标是定义、开发并演示一种战术服务基础设施（TSI）架构，该架构需符合现代军事行动的实际约束和要求。所开发的TSI必须允许现有的战术无线电网络参与核心面向服务架构基础设施，并提供和使用一组所需的功能服务。

此外，TSI必须在战术领域内提供可靠且高效的信息传输，同时支持战术领域与战略领域之间的信息传输。

在战术面向服务架构环境中，区分信息资源与服务（作为处理信息的手段）对于实现安全要求至关重要。因此，本文聚焦于服务作为TSI的核心要素，展示了我们研究中的部分内容，旨在提取相应的操作和技术需求以指导其开发。所采用的方法论基于参与成员国（未公开）的当前和未来作战视角制定的战术场景，识别出资产、威胁和安全要求。这使得能够提取出对TSI架构开发具有更高安全影响的操作和技术需求。在此范围内，风险根据三个评估标准进行了评估：所涉信息资产的战略价值、底层信息管理服务的关键性以及相应保护目标的实现情况。本文其余部分结构如下：第2节介绍相关工作；第3和4节展示从上述场景分析中得出的资产以及直接或间接威胁。最后，第5和6节重点阐述了在战术面向服务架构内开发服务所确定的操作和技术需求。

2 相关工作

大量早期研究集中于与商业移动自组织网络相关的安全方面的调查[10–13]。然而，如前所述，由于当代战术自组织网络具有独特的操作和架构特性，因此呈现出明显不同的约束和要求。因此，必须针对战术行动所提出的要求，对其进行专门的研究。巴斯等人[14]提出了一种用于复杂以网络为中心的军事行动的定性风险分析方法。作者关注信息优势至关重要的操作，分析了基本的信息安全保障概念，并提出了纵深防御的风险管理方法。基德斯顿等人[15]就战术网络中的威胁缓解提供了一项通用研究。作者评估了商业和战术网络之间的重要差异，指出尽管两者存在相似之处，但安全分析和解决方案不能先验地在两者之间直接转移。此外，作者提出了一个跨层安全框架，以实现相应的安全要求。

雅各布斯 [16] 对战争人员信息网络所面临的对手类型及其带来的相应威胁进行了全面分析。作者将对手分为间谍、叛徒、智能代理、信息战士和敌对士兵，并从专业知识、访问权限、支持背景和风险承受能力方面对每个类别进行了分析。此外，还概述了加密方法，以缓解系统漏洞。伯班克等人 [17] 评估了移动自组织网络在实现以网络为中心的战争需求方面的应用。尽管该研究的主要重点不涉及安全方面，但作者详细阐述了战术网络的需求以及当前技术在实现这些需求方面的能力。

王等人 [18]评估了战术型MANETS面临的一些安全挑战和目标，建议采用分层安全架构以实现大规模战术自组织网络中的通信安全管理。此外，基德斯顿等人 [19]提出了一种跨层架构，用于根据对系统特定服务质量要求的分析来优化网络性能。如前所述，NEC与NCW的需求推动了在战术网络中采用面向服务的架构，以支持此类能力的实现 [20–28]。然而，该领域从安全角度尚未得到深入研究，或其运行假设与现代战场的实际约束条件不一致。将服务作为战术网络的核心要素，在作战环境和基础设施受限的背景下，带来了一组独特的安全要求，本文旨在识别并分析这些安全要求。

3 资产识别和分类

如前所述，本研究的目的是为服务部署定义具有安全相关影响的运行和技术要求。

AS-01, 人员:

根据生命保护要求，参与操作的人员是最具关键性的资产。这既适用于决策的指挥官，也主要适用于在作战区域内部署的网络用户。

AS-02，信息：

战术面向服务架构通过定义对象、活动和关系，利用跨层信息来建立环境上下文。在此背景下，信息资产已被分类为：

资产-02.1，系统特定 ：与TSI架构相关的信息，例如：
- 服务接口
- 服务功能
- 服务输入/ 输出格式
- 消息/数据包处理链
- 可用的加密算法
- 服务编排图
- 可用的覆盖架构
- 可用的路由协议
- 安全策略架构
- QoS策略架构
资产-02.2，任务特定/静态 ：在任务准备阶段确定并在任务执行阶段保持绝对或高概率不变的信息，例如：
- 部署人员（属性）
- 部署的功能服务
- 预期作战区域
- 部署的终端（属性）
- 预共享加密密钥
- 部署的人员与终端之间的社会/层级关系
- 目标/指导信息
- 优先级/聚合级别
AS-02.3，任务特定/动态 ：在任务执行阶段由服务、用户和基础设施生成的信息，或在任务准备期间初始化但具有动态性质的信息，例如：
- 蓝军/红军追踪
- 消息服务输入/ 输出
- 路由协议数据和统计信息（可用资源、链路度量）
- 终端/服务信任级别
- 终端资源度量
- 信息传播路径
- 服务注册表数据和统计

AS-3，软件：

战术面向服务架构中的软件指的是操作系统和已部署的TSI架构。军事系统通常使用商业操作系统，例如Linux、微软Windows或OS‐X。然而，某些专用域在专用于军用嵌入式系统的操作系统上开发。TSI架构指的是一组核心和功能服务，部署于战术节点之上，以提供所有必要的任务和系统特定功能（例如单元定位、医疗后送警报、日志记录、会话管理、访问控制、信息过滤/标记）。

AS-4, 硬件:

硬件资源指部署的终端。必须注意，在战术网络中部署了高度多样化的平台，包括地面、空中、海军、部署的无人系统和卫星通信。尽管这些平台在能力、限制、需求和移动性方面存在差异，但仍必须保证互操作性，以支持所需的功能。

AS-5, 网络:

网络资源是战术网络受限环境中的关键资产，因为它们通过信息分发、服务编排和资源分配过程直接影响上述要素。因此，网络资源不仅指可用带宽，还包括可能影响服务交付的其他多种因素，如计算能力、电池电量、数据包队列大小、内存大小和无线电范围。

示意图0

可以通过以下使用场景提取该模型在我们分析后续步骤中（结合已识别的威胁和要求）的应用示例：一个分队（AS‐01）的小组组长生成医疗后送警报消息（AS‐02），并使用MEDEVAC功能服务（AS‐03）。在此场景中，TSI必须根据技术规范进行开发，以确保不仅在直接作用路径上（例如对MEDEVAC请求的加密和完整性保护），而且在潜在的传递路径上也能满足安全要求，例如：
- 通过其他服务的传递性消费导致的信息泄露（例如：分布式服务注册表、 QoS处理器——通过消息优先级处理过程）。
- 传递性拒绝服务攻击，如果 MEDEVAC功能服务的消费依赖于其他资产（AS‐03、AS‐04、AS‐05）的消费。
- 通过消费AS‐04和AS‐05资产进行MEDEVAC警报的优先路由时造成的信息泄露。

4 战术面向服务架构的传递性威胁影响分析

如前所述，针对商业和战术网络的威胁已在现有文献中得到深入分析。然而，为了本研究的目的，识别传递关系至关重要，以便定义能够最小化与安全相关风险的技术需求。我们分析所依据的基础是欧盟网络和信息安全局（ENISA）的威胁分类法[29]。因此，通过筛选与战术环境中面向服务的架构（SOA）相关的威胁，并结合第3节中提出的模型识别受影响的资产，实现了对传递影响传播的映射。表1中展示了所识别的交互关系，其中包括潜在威胁源（PS）、直接影响（DI）、高传递影响（HTI）和低传递影响（LTI）。

可用于此分析的场景示例，可针对“存储信息丢失”威胁进行提取。威胁的内部来源在AS‐01（滥用）、AS‐03（软件故障）和AS‐04（设备故障）中被识别。直接影响位于丢失的信息本身，而高传递影响则追溯到使用该信息的资产（AS‐01和AS‐03）。然而，低传递影响可追溯至AS‐04和AS‐05，因为在已经受限的网络中，重新捕获（或请求重传）以及重新处理丢失的信息将需要消耗硬件和网络资源。

威胁	AS‐01	AS‐02	AS‐03	AS‐04	AS‐05	外部
Lack of resources	网络容量不足	PS/LTI HTI		PS/HTI LTI		PS/DI
	处理能力不足	电力系统/长时中断	HTI	PS/DI	电力系统/长时中断 LTI
	存储容量不足	PS/HTI DI		电力系统/长时间中断电力系统/长时中断 LTI		PS
Physical damage	由于设备破坏敌方活动	LTI	PS/HTI LTI		DI	HTI
	由于设备损毁事故或滥用	PS/LTI	HTI	LTI	DI	HTI
	设备丢失	PS/LTI	HTI	LTI	DI	LTI
Failures	设备故障 ‐ 性能下降（由于暴露于环境条件 , 危险材料 , and 运行条件)	LTI	HTI	HTI	PS/DI	LTI
	软件故障 ‐ 性能下降	HTI	LTI	PS/DI	LTI	LTI
	存储信息丢失	PS/HTI DI		电力系统/长时间中断 LTI	电力系统/长时中断	PS
	传输中信息的无意泄露的信息	HTI	DI	电力系统/长时中断	LTI	电力系统/长时中断
Unauthorized/ Malicious actions	服务滥用	PS/HTI HTI		PS/DI	LTI	LTI
	硬件资源滥用	PS/HTI LTI		PS/HTI DI		LTI
	信息滥用	PS/HTI DI		PS/HTI LTI		LTI
	网络资源滥用	PS/HTI LTI		PS/HTI LTI		DI
	故意披露信息	PS/HTI DI		PS/HTI LTI		LTI
	纳入不可靠信息	PS/DI	HTI	PS/DI	LTI	LTI
	纳入恶意软件（木马、蠕虫、病毒，机器人、漏洞、恶意软件）	PS/LTI	DI	PS/DI	HTI	HTI
	篡改硬件资源	PS/HTI LTI		PS/HTI DI		LTI
	篡改软件	PS/HTI HTI		PS/DI	LTI	LTI
	篡改网络配置	PS/HTI LTI		PS/HTI LTI		DI
	社会工程学	PS/DI	DI	HTI	LTI	LTI
	主动攻击（泛洪, 虫洞，黑洞，冲刷拜占庭，重放，窥探，伪造 ,拒绝服务 , 汇点，中间人)	LTI	HTI	HTI	LTI	DI
	被动攻击（流量分析，窃听，监控）	LTI	HTI	HTI	LTI	DI
## 5 已识别的作战需求
将服务设为核心网络元素而非无线电链路，带来了一套独特的要求和漏洞，这要求将额外的要素纳入当前正在开发的战术架构的安全范式中。在本节中，我们的目标是筛选并分析这些针对服务架构特有的要素，这些要素需要开发专门的控制措施或对现有措施进行适当的调整。在战术服务基础设施（TSI）中，已部署的服务成为网络实体。从这一意义上讲，可用的核心和功能服务不仅应被视为可由用户调用的网络资源，还应被视为能够自主消耗资源（如带宽和其他服务）的代理。

可用性 ：它不仅指信息，还包括处理这些信息的手段（即已部署的服务），这些手段必须在直接或间接需要时可用。信息的可用性通常从及时性的角度来理解，这并不一定意味着特定的处理速度，而是取决于截止时间的规定。如果不存在这样的截止时间，则信息必须按需可用，这可能被视为更严格的要求。对于代码和服务而言，可用性的目标是制定一种度量标准，用于识别处理信息和提供功能的能力。对于实际的战术系统而言，可用性与可靠性密切相关，通常以概率度量的形式表达。在可靠性理论中，可用性表示系统在任务期间被调用时（在未知的、被视为随机的时间点）处于指定可操作和可执行状态的程度。这一比例通常被描述为任务可执行率（0到1之间）。
机密性 ：服务不得向未授权实体（包括其他服务）披露可能允许推断其状态的信息。这并未明确建立主体或服务之间的机密性。根据所需粒度，最简单情况下（尽管是近似地）可通过访问控制机制实现此要求，但在其他情况下可能需要基于明确的信息流进行建模。我们还注意到，在非推断性下的信息流不仅限于信息的有意交换。例如，无线电频率的使用使得能够观察到服务以传递方式通信的事实，无论是否进行了加密或流量保密。类似地，如果名称服务或服务注册表本身未被保密，则其使用可能允许推断有关主体内部状态的信息。
控制：服务不得放弃对受保护功能的控制。这意味着必须防范篡改行为，或在传递性或委托服务调用中发生篡改的可能性。此类能力（包括服务替换）在战术面向服务架构中是基本必需的。然而，在此类调用链的每个步骤中，都必须保持并重新确认控制。在此背景下应用信任概念时，只有当执行操作的服务可信其会维护提供数据服务的利益时，方可对信息执行操作。经过处理。在一种更为通用但同样重要的方法中，服务必须能够在受信任的状态下启动处理。
完整性 ：战术服务基础设施（TSI）不得允许信息流在与其发起主体不同完整性级别的服务处被修改。这通常针对数据和服务在不同层级上实现。对于数据而言，检测是否发生了任何修改，以及可能识别出进行此类修改的源服务，是必要的组成部分。特别是对于服务，完整性可以在身份层面得到体现，但由于数据也可能在语法甚至语义层面上经历变换，因此需要明确理解除不可修改性之外的其他度量标准。此外，完整性可被视为一种公理，或通过显式建模为对某项服务的动态或静态信任。我们注意到，当存在发生修改的可能性时，完整性就可能受到质疑，而不仅仅是在实际证明已发生修改的情况下。此外，对信息的修改还必须涵盖信息的遗漏或抑制，而不仅仅是接收到或存储的信息副本与原始信息之间的差异。
授权 : 所有在受保护信息上或影响受保护信息的服务功能（直接、传递或委托服务调用）必须经过授权。这是实现可问责性和信息相关保护的间接前提条件。需要注意的是，信息流和修改可能源于本地状态变化或之前和后续的操作，因此需要明确将此类处理纳入需控制的操作集合中予以考虑。
真实性 : 真实性是一种可能涉及信息和服务的属性，不应与认证混淆，因为它指的是获得证明或相对度量，以验证某个数据项在处理后其来源或更广泛的来源的声明。真实性可以临时地被证明，但也可能需要在较长的时间段之后进行验证。在前一种情况下，真实性的证明或度量存在于服务之间交互的整个持续期间；而在后一种情况下，该证明或度量必须被存储或传输，并且其本身也需要受到保护。当需要在较长时间段内证明真实性时，通常必须明确包含时间或顺序的概念，因为数据项或处理数据的服务的完整性违规可能会使真实性失效，或引发数据非真实的主张。
认证：所有信息处理实体必须被唯一标识并进行认证。这主要是为了可问责性，但在处理级别上对信息的机密性和完整性保护机制中也隐含了此要求。
可追溯性与不可否认性 : 必须保留一个连续链条，以记录信息在所有服务之间的来源与传输，确保主体无法否认某个数据项已被生成、传输或修改。上述要求也可正面表述为：要求提供一种服务，能够证明数据的完整性和来源，并以高保证确保该声明的真实性，其中完整性与真实性必须能够在不依赖作为不可否认性证明主题的数据项所属主体合作的情况下得以维持。这一点在很大程度上由完整性与真实性保障机制支持，但要求为参与信息流的每个服务保留额外的信息。

6 已识别的技术需求

我们理论分析所呈现的结果，使得能够确定面向TAC‐TICS架构开发阶段的技术需求。针对前述威胁的高危技术需求包括：

根据标准格式（例如XSD、WADL、WSDL）进行服务定义，确保与部署在战略领域内的现有子系统以及联合作战的互操作性。
任何已实现的服务调用过程必须支持现有协议（例如SOAP、WSIF），确保与部署在战略领域内的现有子系统以及联合作战的互操作性。
必须支持跨多个域的端到端动态服务发现与交付。
必须支持边缘代理功能，以实现消息和服务的适当且安全转换。
支持多种消息交换模式（任播、广播、多播、单播），用于传播策略关键更新以及服务管理/调用。
必须提供分布式且采用尽力而为更新方式的服务注册表/存储库，以增强服务可用性。
- 在服务发现过程中，消费者必须能够根据定义的安全策略权限识别所有可达的服务/提供者。
支持动态且可预配置的发布/订阅交换模式。
支持存储转发功能。
支持带宽预留功能。
必须有条件地支持服务替换和委托，不仅在同一或相邻节点内，还包括盟军内部。
- 这同样适用于包括策略机制在内的安全服务。
服务发现机制的功能独立于其他核心服务，在TSI内仅受安全策略约束。
- 外部情况下，还必须考虑服务提供者的可用资源。
所需服务和策略可以在任务执行阶段在线添加或更新，前提是所需资源变得可用。
- 此操作也应可通过无人操作节点（例如UAV‐无人驾驶航空器）实现。
必须建立适当的机制，以实现对系统和任务特定消息（例如：安全策略更新、动态属性分发（信任级别）、任务警报）的消息优先级划分。同样，在拥塞环境中必须允许高关键性服务的优先暴露。
战术服务基础设施支持多种覆盖/底层路由协议，以便根据用户移动性和中断情况进行调整，并利用和/或维护多条路径。
在SOA堆栈中，安全管理和服务保护在多个层级和可变粒度上建立。
战术服务基础设施可在任务准备阶段根据节点能力与任务需求，将多种核心服务部署于战术节点之上。战术节点中部署的核心服务的最小集合及最轻量级版本必须支持服务发现、消息交换和安全功能，从而确保节点在孤岛或高度拥塞环境中的独立运行。
专用服务访问控制、完整性保护、机密性、来源保证以及信任管理机制作为独立网络实体，在安全策略中予以确立，如前所述。
根据服务性能指标和服务质量管理（服务质量管理），服务特性将根据网络和节点资源以及用户需求进行动态评估和调整。

7 结论

战术网络的限制对实现合适的基于SOA的解决方案施加了重大制约。在保持执行安全要求以保护部署资产的同时克服这些限制，是一项关键任务。本文中，我们提出了关于服务的安全部署的分析与结果，作为在战术面向服务架构中处理信息和提供功能的手段。通过分析在预设场景中已识别资产之间的交互，识别出了潜在的传递性风险传播路径。以服务作为此类系统的主要代理，已确立了面向构建安全战术服务基础设施的运行和技术要求。必须再次强调，从服务的角度来研究这一问题，必须作为对我们早期研究中所述的通用和以信息为中心的安全要求的补充。