1.1　邊緣計算概念

邊緣計算參考架構(gòu)對邊緣計算標準化的定義為在靠近物或數(shù)據(jù)源頭的網(wǎng)絡(luò)邊緣側(cè)，融合網(wǎng)絡(luò)、計算、存儲、應(yīng)用核心能力的開放平臺，就近提供邊緣智能服務(wù)，滿足行業(yè)數(shù)字化在敏捷聯(lián)接、實時業(yè)務(wù)、數(shù)據(jù)優(yōu)化、應(yīng)用智能、安全與隱私保護等方面的關(guān)鍵需求。

邊緣計算相比較傳統(tǒng)云計算強化了物理世界與數(shù)字世界的融合，通過數(shù)字孿生建立物理世界與數(shù)字世界的實時映像，在資源組織管理、任務(wù)協(xié)調(diào)執(zhí)行以及用戶應(yīng)用交互方面都增加了地理空間維度。

物理位置要素已經(jīng)成為各個應(yīng)用層面的重要的參考特性，其中邊緣計算的內(nèi)涵有聯(lián)接性、數(shù)據(jù)第一入口、低延時、分布性、自組織、可定義、可調(diào)度及標準開放。

1.1.1　聯(lián)接性

聯(lián)接性是邊緣計算網(wǎng)絡(luò)的基礎(chǔ)，由于聯(lián)接的物理對象及其應(yīng)用場景的多樣性，需要邊緣計算具備豐富的聯(lián)接適配和網(wǎng)元管理功能，其中包括各種網(wǎng)絡(luò)接口、網(wǎng)絡(luò)協(xié)議、網(wǎng)絡(luò)拓撲、網(wǎng)絡(luò)部署與配置以及網(wǎng)絡(luò)管理與維護。聯(lián)接性在實現(xiàn)時應(yīng)當充分借鑒吸收網(wǎng)絡(luò)領(lǐng)域先進的研究成果，如TSN、SDN、NFV、5G、NAAS、WLAN和NB-IoT等。

1.1.2　數(shù)據(jù)第一入口

邊緣計算作為物理空間世界到數(shù)字空間世界的第一入口，擁有大量、實時、完整的數(shù)據(jù)，創(chuàng)新應(yīng)用可基于數(shù)據(jù)全周期進行管理與價值再造，從而實現(xiàn)更好的支撐預(yù)測性維護和資產(chǎn)效率管理等。同時，邊緣計算也面臨數(shù)據(jù)實時性、確定性和多樣性等諸多挑戰(zhàn)。

1.1.3　低延時

邊緣計算是就近提供計算、存儲和網(wǎng)絡(luò)覆蓋能力，數(shù)據(jù)的產(chǎn)生、處理、傳輸和應(yīng)用都發(fā)生在距離數(shù)據(jù)源很近的范圍，因此接收并響應(yīng)邊緣終端請求的時延極低。

1.1.4　分布性

邊緣計算天然具備分布式特征，因此邊緣計算能夠支持分布式計算、存儲以及資源的統(tǒng)一管理與動態(tài)協(xié)調(diào)，同時具備能力對分布式智能和分布式安全等應(yīng)用提供支撐。

1.1.5　自組織

當網(wǎng)絡(luò)出現(xiàn)異常問題甚至網(wǎng)絡(luò)中斷時，邊緣計算的節(jié)點可以實現(xiàn)本地自治和自恢復(fù)。

1.1.6　可定義

邊緣服務(wù)及領(lǐng)域業(yè)務(wù)邏輯不是恒久不變的，而是可以由用戶根據(jù)環(huán)境和需求的變化進行修改、更新和定制。

1.1.7　可調(diào)度

領(lǐng)域業(yè)務(wù)任務(wù)可以由云計算中心根據(jù)分布式資源的部署和狀態(tài)情況進行動態(tài)分發(fā)，任務(wù)具體在哪個邊緣節(jié)點執(zhí)行可以由云計算中心和邊緣控制器分配協(xié)調(diào)。

1.1.8　標準開放

邊緣計算平臺提供標準且開放的環(huán)境，使邊緣計算具備與其他系統(tǒng)互聯(lián)、互通及互操作的能力。

1.2　安全發(fā)展現(xiàn)狀

邊緣計算技術(shù)及行業(yè)應(yīng)用發(fā)展處于起步萌芽期，當前主要在商用及民用領(lǐng)域做試點應(yīng)用，如安防攝像視頻、AR/VR、移動終端、無人車、無人機、無人艇及智能機器人等。

隨著國內(nèi)邊緣計算產(chǎn)業(yè)聯(lián)盟ECC的成立，相繼發(fā)布了邊緣計算參考架構(gòu)1.0、2.0和3.0，涉及應(yīng)用域、數(shù)據(jù)域、網(wǎng)絡(luò)域和設(shè)備域4個功能域，已經(jīng)囊括了層次劃分及功能、技術(shù)實現(xiàn)及交互、應(yīng)用架構(gòu)模式及部署等邊緣計算的方方面面。

但是，邊緣計算當前的主要安全防護能力基本是傳統(tǒng)安全防護設(shè)備、軟件和安全手段的堆砌，主要防御的核心思想依然是圍繞網(wǎng)絡(luò)邊界進行疊加式或串行式防護。

但是，防護體系不規(guī)范、防護能力和安全措施不統(tǒng)一，很多安全措施及安全手段不能靈活組合協(xié)同對安全威脅進行針對性防御，使得其不能有效對邊緣計算系統(tǒng)實施全方位和立體化的體系安全防護，又或者以性能換安全，嚴重降低了邊緣計算系統(tǒng)的應(yīng)用特性，使其計算體系結(jié)構(gòu)的應(yīng)用優(yōu)勢不在，更有甚之可能導(dǎo)致整個信息系統(tǒng)的功能和性能指標不能達到建立系統(tǒng)的初心，無法支撐客戶業(yè)務(wù)的正常開展。

因此，需要結(jié)合邊緣計算自身的技術(shù)、結(jié)構(gòu)特點以及其與云計算中心協(xié)同作業(yè)的未來應(yīng)用模式，設(shè)計安全防護體系及安全機制，確保系統(tǒng)在發(fā)揮邊緣計算靈活、快響應(yīng)、敏捷聯(lián)接、低延時、自組織以及可定義等優(yōu)勢的同時，保障底層支撐的基礎(chǔ)設(shè)施、核心流轉(zhuǎn)數(shù)據(jù)及應(yīng)用系統(tǒng)服務(wù)的安全及可信。

2.1　安全脆弱性分析

邊緣計算的安全防護區(qū)域為跨越云計算中心和邊緣計算之間的縱深網(wǎng)絡(luò)空間，其中含有物理層、網(wǎng)絡(luò)層、數(shù)據(jù)層、應(yīng)用層、邊緣服務(wù)器、終端設(shè)備及虛擬化資源。根據(jù)邊緣網(wǎng)絡(luò)的接入技術(shù)及應(yīng)用形態(tài)的不同，分為傳統(tǒng)邊緣計算和移動邊緣計算。

由于邊緣計算網(wǎng)絡(luò)是基于P2P的分布式網(wǎng)絡(luò)資源組網(wǎng)整合，需要針對應(yīng)用層業(yè)務(wù)實施端到端的立體化安全防護，從而確保整個邊緣計算網(wǎng)絡(luò)空間的真正安全，徹底解決分布式網(wǎng)絡(luò)、異構(gòu)計算以及新型存儲技術(shù)引出的不同形式的邊緣計算風(fēng)險和威脅。

網(wǎng)絡(luò)邊緣側(cè)由于更貼近物聯(lián)網(wǎng)連接的邊緣端設(shè)備，身份認證、訪問權(quán)限控制、安全風(fēng)險與威脅防護的區(qū)域廣度和技術(shù)難度大幅提升。其中，邊緣側(cè)安全主要包括各種設(shè)備軟硬件安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全和應(yīng)用安全，傳統(tǒng)的認證授權(quán)、邊界安全防護在邊緣計算環(huán)境下難于奏效。

此外，關(guān)鍵數(shù)據(jù)的完整性和機密性在物理空間和網(wǎng)絡(luò)空間均呈分布式的計算條件也是安全防護的難點。經(jīng)系統(tǒng)分析，邊緣計算具體安全風(fēng)險因素有終端多且異構(gòu)、數(shù)據(jù)量大且格式繁多、網(wǎng)絡(luò)不穩(wěn)定、存儲異構(gòu)以及云、邊端防護等。

(1）終端多且異構(gòu)。邊緣網(wǎng)絡(luò)的接入端點多，且分布在各地理空間，導(dǎo)致邊緣終端防護措施及防護能力不規(guī)范和不成體系，易被利用端點擴散的攻擊媒介攻破入網(wǎng)。

(2）數(shù)據(jù)量大且格式繁多。根據(jù)邊緣側(cè)接入數(shù)據(jù)的特點，惡意攻擊方可以進行針對性的數(shù)據(jù)損毀、數(shù)據(jù)干擾或者數(shù)據(jù)竊取。

(3）網(wǎng)絡(luò)不穩(wěn)定。網(wǎng)絡(luò)聯(lián)接質(zhì)量差，由于邊緣節(jié)點資源有限，有些安全防護措施達不到安全能力需求，網(wǎng)絡(luò)防御很難局部組合協(xié)同防御外部網(wǎng)絡(luò)威脅及APT攻擊。

(4）存儲異構(gòu)。由于邊緣計算系統(tǒng)數(shù)據(jù)量遠遠超越傳統(tǒng)云計算中心系統(tǒng)的數(shù)據(jù)量，在邊緣側(cè)和中心側(cè)均有存儲媒介，根據(jù)數(shù)據(jù)特征屬性和重要性的不同，存儲介質(zhì)和存儲技術(shù)也各有千秋，相應(yīng)的安全等級差異大。

(5）云、邊端防護。邊緣計算系統(tǒng)防護范圍廣，各防護區(qū)域及對象的安全防御能力存在巨大差異。大量的邊緣終端由于計算、存儲及網(wǎng)絡(luò)資源有限，難于配備有效的安全防護措施，如防病毒軟件、漏洞掃描軟件、軟硬件加固、可信及主機監(jiān)控和審計系統(tǒng)。對于邊緣計算支撐的端到端的業(yè)務(wù)應(yīng)用，計算鏈上協(xié)同作業(yè)的任何節(jié)點失防，將導(dǎo)致業(yè)務(wù)不能正常開展，甚至破壞整個系統(tǒng)的正常運轉(zhuǎn)。

2.2　面臨的安全威脅

根據(jù)邊緣計算產(chǎn)業(yè)聯(lián)盟（Edge Computing Consortium，ECC）與工業(yè)互聯(lián)網(wǎng)產(chǎn)業(yè)聯(lián)盟（Alliance of IndustrialInternet，AII）聯(lián)合發(fā)布的邊緣計算參考架構(gòu)模型，邊緣計算架構(gòu)在縱向上主要劃分為應(yīng)用域、數(shù)據(jù)域、網(wǎng)絡(luò)域和設(shè)備域。對于邊緣計算系統(tǒng)的整體安全威脅，主要來源于這幾個域的風(fēng)險和其疊加因素。每個區(qū)域的威脅和風(fēng)險都有其自身特征，任何一個層面的安全防御被突破都會導(dǎo)致邊緣計算系統(tǒng)不可預(yù)估的損失。按照防護對象的類型，將威脅劃分為節(jié)點威脅、網(wǎng)絡(luò)威脅、數(shù)據(jù)威脅、應(yīng)用威脅、安全管理威脅及身份認證威脅。

2.2.1　節(jié)點威脅

它主要有邊緣終端、邊緣服務(wù)器、邊緣網(wǎng)關(guān)和云計算中心服務(wù)器節(jié)點的終端安全風(fēng)險。不同節(jié)點終端應(yīng)用特點和安全防護等級存在差異，需要結(jié)合木桶效應(yīng)設(shè)計實現(xiàn)安全防御。

2.2.2　網(wǎng)絡(luò)威脅

相對于云計算中心模式，邊緣計算的網(wǎng)絡(luò)接入點分布廣、體系異構(gòu)且安全防護脆弱，因此網(wǎng)絡(luò)層的入侵威脅急劇增加，一旦被入侵和劫持，可能導(dǎo)致一點安全失控癱瘓整個邊緣網(wǎng)絡(luò)。

2.2.3　數(shù)據(jù)威脅

數(shù)據(jù)對于系統(tǒng)的重要程度不言而喻。數(shù)據(jù)產(chǎn)生、傳輸、存儲、分析計算、共享以及開發(fā)過程中都有數(shù)據(jù)泄漏風(fēng)險，對于有保密要求的網(wǎng)絡(luò)系統(tǒng)，數(shù)據(jù)安全防御至關(guān)重要。

2.2.4　應(yīng)用威脅

人機交互和設(shè)備之間的交互通信都是建立在IP網(wǎng)絡(luò)之上，一旦網(wǎng)絡(luò)被劫持或被入侵，通過應(yīng)用之間的交互信息便可竊取系統(tǒng)重要的信息和權(quán)限，導(dǎo)致不可預(yù)知的損失。

2.2.5　安全管理威脅

安全管理制度、人員操作管理以及協(xié)同作業(yè)管理存在安全威脅和風(fēng)險，需要結(jié)合具體的應(yīng)用場景制定管理制度、規(guī)范以及監(jiān)管和追責(zé)措施。

2.2.6　身份認證威脅

邊緣計算系統(tǒng)規(guī)模巨大，邊緣網(wǎng)絡(luò)接入及交互裝備和系統(tǒng)繁多，需要通過身份認證構(gòu)建可信邊緣網(wǎng)絡(luò)，否則易被偽裝者以合法身份入侵，竊取重要信息或破壞整個邊緣網(wǎng)絡(luò)。

3.1　安全防護體系

傳統(tǒng)云計算中心體系架構(gòu)分為IAAS、PAAS和SAAS，與之對應(yīng)邊緣計算體系架構(gòu)為ECIAAS、ECPAAS和ECSAAS。邊緣計算安全體系架構(gòu)的設(shè)計需要圍繞邊緣計算應(yīng)用體系架構(gòu)的技術(shù)劃分層次，構(gòu)建立體化、全流程、全周期、可信及智能化的邊緣防護體系。

邊緣計算在實際應(yīng)用場景中呈現(xiàn)類人腦的工作機制，云計算中心負責(zé)全局資源管理、任務(wù)協(xié)調(diào)以及安全統(tǒng)籌控制，霧計算作為中樞神經(jīng)充當區(qū)域計算、存儲和作業(yè)協(xié)調(diào)中心，負責(zé)局部的任務(wù)協(xié)調(diào)、資源配置以及安全管控，邊緣終端與實際用戶以及其他網(wǎng)元進行交互，負責(zé)任務(wù)執(zhí)行和信息采集及上報，依據(jù)任務(wù)特點聚合三方協(xié)同配合完成作業(yè)，而安全威脅則貫穿于整個作業(yè)處理的全流程節(jié)點及網(wǎng)絡(luò)，根據(jù)其所在的領(lǐng)域、網(wǎng)絡(luò)空間及物理空間的特點，設(shè)計部署安全裝備，并配置個性化的安全規(guī)則，設(shè)計實現(xiàn)對防御全域的縱深定制化的安全預(yù)案，囊括物理安全、資源安全、節(jié)點安全、網(wǎng)絡(luò)安全、數(shù)據(jù)安全、應(yīng)用安全、態(tài)勢感知、安全管理編排、身份認證、權(quán)限管理、安全運維以及應(yīng)急響應(yīng)等。

通過引入人工智能相關(guān)技術(shù)，構(gòu)建基于物理空間和網(wǎng)絡(luò)空間特征的安全防御模型及風(fēng)險應(yīng)對行為執(zhí)行策略，實時探測防御范圍內(nèi)的安全風(fēng)險和安全情報，并評估獲取的漏洞和風(fēng)險，以達到提前或?qū)崟r應(yīng)對威脅處置和安全干預(yù)的目標。

安全防護也可借用邊緣計算和霧計算的高帶寬、低延遲以及位置感知特性，通過云計算中心實現(xiàn)全域安全資源的配置和區(qū)域防御流程的編排，利用策略控制器實現(xiàn)就近防御策略的任務(wù)執(zhí)行，從而達到局部區(qū)域協(xié)同防御安全風(fēng)險和APT攻擊，保證邊緣計算的安全、可靠以及靈活個性的架構(gòu)優(yōu)勢和能力。

邊緣計算系統(tǒng)安全防御體系的設(shè)計與實現(xiàn)，覆蓋邊緣計算應(yīng)用體系的各個層級。不同層級之間有不同的屬性和安全要求，是安全體系方案差異化設(shè)計的重要參考和依據(jù)。

為了實現(xiàn)邊緣計算安全防護體系架構(gòu)的規(guī)范和統(tǒng)一，總體上要求統(tǒng)一的態(tài)勢感知與安全情報共享、統(tǒng)一的安全管理與流程編排、統(tǒng)一的身份認證與權(quán)限管理、統(tǒng)一的安全運維與應(yīng)急響應(yīng)、統(tǒng)一的密碼支撐體系和機制、統(tǒng)一的資源管理和配置以及統(tǒng)一的數(shù)據(jù)安全管理，最大限度地保障整個邊緣計算網(wǎng)絡(luò)系統(tǒng)的安全與可靠。

(1）應(yīng)用安全。應(yīng)用安全主要包含白名單、惡意攻擊防范、WAF、安全檢測和響應(yīng)、應(yīng)用安全審計、軟件加固和補丁、安全配置管理、沙箱及訪問行為監(jiān)管等。其中，白名單是邊緣計算安全架構(gòu)的重要功能，由于終端的海量異構(gòu)接入，業(yè)務(wù)種類繁多，傳統(tǒng)的IT安全授權(quán)模式不再適用，往往需要采用最小授權(quán)的安全模型管理應(yīng)用及訪問權(quán)限。

(2）數(shù)據(jù)安全。數(shù)據(jù)安全包含數(shù)據(jù)隔離和銷毀、數(shù)據(jù)防篡改、數(shù)據(jù)加密、數(shù)據(jù)脫敏、數(shù)據(jù)訪問控制、數(shù)據(jù)防泄漏和數(shù)據(jù)隱私保護等。其中，數(shù)據(jù)加密包括數(shù)據(jù)在傳輸過程的加密和存儲過程的加密；邊緣計算的數(shù)據(jù)防泄漏與傳統(tǒng)的數(shù)據(jù)防泄漏有所不同，邊緣計算的設(shè)備往往是分布式部署，需要考慮這些設(shè)備被盜后數(shù)據(jù)被獲取也不會泄露任何信息。

(3）網(wǎng)絡(luò)安全。網(wǎng)絡(luò)安全包含網(wǎng)絡(luò)安全隔離、重用已有協(xié)議安全、IPSec、防火墻、入侵檢測和防護、DDoS防護、VPN/TLS、隱蔽通信和加密通信等。其中，DDoS防護在物聯(lián)網(wǎng)和邊緣計算中至關(guān)重要，越來越多的物聯(lián)網(wǎng)攻擊是DDoS攻擊，即攻擊者通過控制安全性較弱的物聯(lián)網(wǎng)設(shè)備來集中攻擊特定目標。

(4）節(jié)點安全。節(jié)點安全需要提供基礎(chǔ)的ECN安全、安全與可靠遠程升級、輕量級可信計算、軟硬件加固、安全配置、防病毒、漏洞掃描和主機監(jiān)控與審計等功能。其中，安全與可靠的遠程升級能夠及時完成漏洞和補丁的修復(fù)，避免升級后系統(tǒng)失效；輕量級可信計算用于計算CPU和存儲資源受限的簡單物聯(lián)網(wǎng)設(shè)備，解決最基本的可信問題。

(5）資源安全。資源安全需要提供物理資源（云主機、云終端）和虛擬資源（虛擬機隔離、網(wǎng)絡(luò)、存儲、數(shù)據(jù)以及操作系統(tǒng)）的安全、資源訪問控制以及數(shù)據(jù)庫防護。其中，物理資源和虛擬資源協(xié)同安全防護是常見的邊緣資源安全防御形式。

(6）物理安全。物理安全需要提供物理訪問控制、智慧門禁和機房、防盜防破壞、防水防潮、溫度濕度控制、防雷防火防靜電、配電供應(yīng)、電磁防護和紅黑電源隔離等功能。其中，物理安全防御需要結(jié)合具體的領(lǐng)域和安全級別要求實施安全管控。

(7）安全態(tài)勢感知和安全流程編排。網(wǎng)絡(luò)邊緣側(cè)接入的終端類型廣泛、數(shù)量巨大以及承載的業(yè)務(wù)繁雜，被動的安全防御往往不能起到良好的效果。因此，需要采用更加積極主動的安全防御手段，包括基于大數(shù)據(jù)的態(tài)勢感知和高級威脅檢測、綜合安全監(jiān)管和風(fēng)險評估、安全合規(guī)審計和威脅溯源、漏洞統(tǒng)計和殺毒庫升級以及統(tǒng)一的全網(wǎng)安全決策指揮，從而更加快速響應(yīng)安全風(fēng)險和強化安全防護，結(jié)合完善的安全情報共享和防御流程編排，最大限度地保障邊緣計算系統(tǒng)的安全、可用及可信。

(8）認證權(quán)限管理和運維應(yīng)急響應(yīng)。身份認證和權(quán)限管理功能遍布邊緣計算所有的功能層級，由于在網(wǎng)絡(luò)邊緣側(cè)是海量設(shè)備的接入，傳統(tǒng)的集中式安全認證面臨巨大的性能壓力。特別在設(shè)備集中上線時，認證系統(tǒng)往往不堪重負，需要采取根據(jù)需求行為的最小授權(quán)模型，實施去中心化、分布式的認證方式。統(tǒng)一運維及應(yīng)急響應(yīng)需要實現(xiàn)監(jiān)管、自動化及可配置。

(9）密碼和可信管理。作為整個邊緣計算系統(tǒng)的安全基礎(chǔ)設(shè)施，需要強化對密碼相關(guān)裝備及管理系統(tǒng)的安全防護，通過量子密碼、安全多方計算及零知識證明應(yīng)對新技術(shù)變革及量子技術(shù)引入的安全風(fēng)險。邊緣計算系統(tǒng)的PKI公鑰基礎(chǔ)設(shè)施采用區(qū)塊鏈技術(shù)實現(xiàn)證書、密鑰全周期及密碼機負載均衡的管理，借助于區(qū)塊鏈的分布式共識記賬技術(shù)、隱蔽通信及審計保障可信邊緣網(wǎng)絡(luò)的安全，降低單點故障類安全風(fēng)險。

3.2　邊緣計算體系防護機制

邊緣計算在網(wǎng)絡(luò)空間按照傳統(tǒng)的安全防護體系設(shè)計，主要分為安全基礎(chǔ)設(shè)施、四個安全功能域和四個全域統(tǒng)一安全支撐。其中，安全基礎(chǔ)設(shè)施支撐主要是密碼及可信基礎(chǔ)設(shè)施的全網(wǎng)統(tǒng)一共建共享；應(yīng)用域用來支撐攻擊防范和威脅保護；數(shù)據(jù)域用來保證數(shù)據(jù)在接入控制、傳輸、分析、存儲和共享的全周期安全流轉(zhuǎn)，其中具體包括內(nèi)存加密、系統(tǒng)加密、硬盤加密、加密傳輸和脫敏共享等；網(wǎng)絡(luò)域用來保障網(wǎng)絡(luò)傳輸?shù)臋C密性、完整性、可用性和可認證性等；設(shè)備域用來保護硬件服務(wù)器、終端及各類組件的物理安全、電磁安全、節(jié)點安全及資源安全等；統(tǒng)一認證和授權(quán)用于確保接入邊緣網(wǎng)絡(luò)的網(wǎng)元均是可信的，且按照統(tǒng)一權(quán)限模型授權(quán)及操作；統(tǒng)一運維及響應(yīng)用于保障邊緣系統(tǒng)安全資源統(tǒng)一管理、任務(wù)協(xié)商及安全應(yīng)急處置；統(tǒng)一態(tài)勢感知用來保障邊緣計算系統(tǒng)全域安全態(tài)勢監(jiān)管、審計、分析、評估、統(tǒng)計、預(yù)警、溯源、決策及共享；統(tǒng)一安全流程編排主要是獲取安全情報、情報分享安全規(guī)則設(shè)置、安全場景編排、協(xié)同防護流程編排、資源池化配置及安全服務(wù)全周期管理；對于邊緣計算支撐的基礎(chǔ)設(shè)施及應(yīng)用系統(tǒng)的安全防護，要以體系化的綜合思維分析和設(shè)計安全措施及安全產(chǎn)品，在確保邊緣計算的網(wǎng)速、延遲、感知、成本、數(shù)據(jù)安全和靈活定制的優(yōu)勢基礎(chǔ)上，協(xié)同聯(lián)動安全加固其所在的范圍和覆蓋的對象，強化安全防護等級，實現(xiàn)全域資源統(tǒng)一管理和分配、接入身份統(tǒng)一認證和最小授權(quán)、網(wǎng)絡(luò)隔離和保密統(tǒng)一安全管控、云計算中心和邊緣終端的虛擬化防護、安全體系密碼和可信統(tǒng)一支撐、安全態(tài)勢和情報統(tǒng)一處理和共享、數(shù)據(jù)安全統(tǒng)一管理和共享等。

邊緣計算體系化全域協(xié)同安全防護機制，在融合邊緣計算的網(wǎng)絡(luò)空間和物理空間特性及安全資源映射的基礎(chǔ)上，各安全防護措施均應(yīng)增加地理空間位置維度信息。

邊緣計算網(wǎng)的安全體系設(shè)計需要結(jié)合網(wǎng)絡(luò)空間的安全資源池化、能力服務(wù)化、流程可編排化、基礎(chǔ)支撐統(tǒng)一化及物理空間安全資源有限、異構(gòu)及攻防交互深度相關(guān)性等特點，綜合通用的網(wǎng)絡(luò)空間安全防御，從邊緣終端防護到邊緣計算服務(wù)器防護，從節(jié)點入網(wǎng)驗證到網(wǎng)絡(luò)層流量及協(xié)議防護，從應(yīng)用層攻擊檢測、監(jiān)管及審計到數(shù)據(jù)的全周期安全防護。

其中，數(shù)據(jù)作為邊緣計算網(wǎng)的核心，其安全防護實現(xiàn)基于數(shù)據(jù)分級分類的接入、分析、傳輸、存儲、共享以及銷毀等閉環(huán)安全管控，而邊緣防護具體實現(xiàn)時需要結(jié)合威脅診斷、防護能力等級及安全資源的物理空間特性，打造四維空間防護加網(wǎng)絡(luò)虛擬空間防護的立體化安全體系，采取安全云中心、安全霧計算網(wǎng)關(guān)及邊緣計算服務(wù)器和邊緣終端三層級安全防御決策執(zhí)行結(jié)構(gòu)，根據(jù)就近原則進行針對性的安全防御流程編排及風(fēng)險應(yīng)對，從而充分利用邊緣計算網(wǎng)的優(yōu)勢賦能邊緣安全防護，實現(xiàn)邊緣計算網(wǎng)的安全資源合理化的使用、釋放及回收。

其中，依據(jù)地理空間位置進行網(wǎng)絡(luò)空間安全資源管理的功能包括安全資源的管理和配置、防護流程的編排、安全防護的協(xié)同組合、運維及應(yīng)急處置、身份的認證及最小授權(quán)、數(shù)據(jù)安全共享及交換和安全情報共享及態(tài)勢感知。

3.3　邊緣計算可信防護機制

在邊緣計算全域協(xié)同安全防護網(wǎng)基礎(chǔ)上，通過區(qū)塊鏈的特性構(gòu)建邊緣安全可信網(wǎng)，其中包括區(qū)域可信、全域可信以及可信共享。應(yīng)用區(qū)塊鏈的共識記賬技術(shù)達成系統(tǒng)安全防護的魯棒特性，防止傳統(tǒng)安全防護技術(shù)單點故障或者DDoS攻擊導(dǎo)致的安全防護能力破壞；利用私有區(qū)塊鏈打造邊緣計算區(qū)域安全可信網(wǎng)，借助多因素身份認證技術(shù)或零知識證明技術(shù)，確保接入邊緣網(wǎng)絡(luò)的異構(gòu)邊緣終端（手機、平板、傳感器、智能終端、計算機、公交車、汽車、無人車、無人機及無人艇等）是可信的，達到對邊緣端點聯(lián)接入網(wǎng)的事前安全管控；利用邊緣網(wǎng)關(guān)和聯(lián)盟鏈打通云邊端的全域可信協(xié)同網(wǎng)絡(luò)，實現(xiàn)邊緣網(wǎng)絡(luò)的可信安全資源在整個邊緣網(wǎng)絡(luò)域內(nèi)自由組合和編排，應(yīng)用區(qū)塊鏈的不可篡改特性實現(xiàn)事中監(jiān)管和事后威脅可追溯，從而保障數(shù)據(jù)的真實性和完整性，利用區(qū)塊鏈網(wǎng)絡(luò)的P2P傳輸機制和點對點加密通信機制，實現(xiàn)邊緣計算網(wǎng)絡(luò)中端到端的隱蔽通信及重要數(shù)據(jù)的安全保密；利用公有區(qū)塊鏈實現(xiàn)邊緣計算網(wǎng)與互聯(lián)網(wǎng)之間的跨域應(yīng)用可信通信及數(shù)據(jù)安全共享，通過區(qū)塊鏈的智能合約及智能算法的融合，實現(xiàn)可以依據(jù)安全威脅場景進行自主智能化安全防護及風(fēng)險應(yīng)對。

3.4　邊緣計算智能化防護機制

利用邊緣智能和中心智能協(xié)同構(gòu)建智能化的邊緣防護體系，智能中心即安全大腦負責(zé)邊緣網(wǎng)絡(luò)全域信息的管控統(tǒng)計分析、分類管理及智能防御能力強化，利用邊緣側(cè)上報的威脅和風(fēng)險數(shù)據(jù)建立和訓(xùn)練安全模型，自上向下分發(fā)已經(jīng)訓(xùn)練成熟的安全模型到邊緣網(wǎng)關(guān)即安全中樞神經(jīng)，安全中樞神經(jīng)結(jié)合其負責(zé)區(qū)域的安全態(tài)勢及資源狀態(tài)適配調(diào)整安全模型，并且將適配調(diào)整后的安全模型下發(fā)邊緣節(jié)點即安全器官，邊緣服務(wù)器根據(jù)傳感器等端設(shè)備收集的終端數(shù)據(jù)和本地安全模型，利用智能算法評估執(zhí)行安全防護手段，根據(jù)不同終端體系結(jié)構(gòu)、計算、存儲、網(wǎng)絡(luò)資源特點以及外部威脅特征，動態(tài)增強本地安全防護模型，從而使得邊緣端點安全防護能力因變而強。

利用邊緣計算分布式的特點構(gòu)建局部及全局區(qū)域的協(xié)同防御智能體系，由點及面不斷加強風(fēng)險安全防護的綜合實力，實現(xiàn)安全防御戰(zhàn)力全面進化升級。