0 引　言

近年来，以美国为代表的军事强国不断提出新的作战思路和作战理念，通过网络空间对抗等非接触式攻击，主动抑制或破坏作战装备，在对手尚未察觉时削弱甚至软摧毁对手的战略作战能力，实现在不直接爆发军事冲突模式下的直接制胜。大规模高强度网络攻击逐渐成为各军事强国主要作战样式，网络空间正在演变为现代战争战略威慑和争夺的新领域^[1]。

水下系统覆盖范围广，隐蔽性强，是确保我国大国地位和国防安全的重要战略基石。随着网络化和智能化程度越来越高，水下系统高度依靠软件和IT密集型技术来实现其预期性能，并通过网络能力整合实现系统集成优化，在面对日益复杂的网络威胁时，单个系统运行产生的任何漏洞都可能对与其连接的其他系统构成威胁，针对水下系统的网络攻击都有可能产生严重的后果，导致系统局部无法工作，甚至整体瘫痪 ^[2]。

1 国内外相关领域研究现状 1.1 国外相关领域研究现状

近年来，美国对以飞机、舰艇、战车等为代表的武器系统网络安全问题重视程度持续增加。2016年，美《国防授权法侵权案》首次要求国防部评估武器系统网络脆弱性。2017年3月，美国防部公布的报告指出，美军多数武器系统没有采取任何网络安全防护措施，如受到网络攻击可能导致系统瘫痪^[3]。2018年10月，美国政府问责局发布“武器系统网络安全报告（GAO-19-128）”，指出从2012年到2017年，几乎所有正在开发的武器系统都存在任务关键的网络漏洞，甚至简单地扫描就会导致系统的部分功能失效^[4]。2019年，美国防部作战测试和评估办公室报告称，在没有足够网络安全的情况下部署系统，国防部关键任务仍然面临来自对手网络行动的高中断风险^[5]。2020年，美《国防授权法案》进一步要求军队完成各主要武器系统的网络漏洞评估，并总结网络脆弱性评估的经验教训 ^[6]。2020年，加拿大海军协会一份海军事务计划简报指出加拿大皇家海军将网络安全纳入舰船系统设计^[7]。2021年，美国政府问责局发布“武器系统网络安全报告（GAO-21-179）”，指出美国防部已采取行动，加强高科技武器系统网络安全防护，包括增加专业知识获取、加强网络测试等^[5]。

1.2 国内相关领域研究现状

我国装备领域网络安全防护整体水平较美国还有较大差距^[8]，并且舰艇系统的研制更注重作战效能提升，未将网络安全作为关键指标给予关注。

吕云飞等^[9]通过分析舰船系统安全现状，提出了一种动静结合的综合网络安全防护框架。殷虎等^[10]在研究潜艇信息安全需求基础上，对潜艇信息系统安全防护框架进行了探讨，综合静态安全和运行安全，提出一种潜艇信息系统安全纵深防御体系。黄双等^[11]从问题、需求、属性等方面系统地分析了舰船电子信息系统的安全问题，提出了基于等级保护的舰船电子信息系统安全保障技术。周纯杰等^{[12 − 15]}对舰艇系统信息安全脆弱性评估进行深入研究，提出了一种舰艇系统信息安全脆弱性的评估方法，设计了舰船系统信息安全脆弱性评估系统，基于评估指标体系开展了舰船系统信息安全脆弱性评估。陈才军等 ^[16]分析美海军信息网络安全体系建设模式，勾画了海军信息网络安全体系建设发展方向。

2 系统组成与网络架构 2.1 系统组成与功能定位

水下系统主要由通信系统、作战系统、平台动力系统等三大部分组成，如图1所示。

1）通信系统

通信系统包含内通和外通，内通实现船上人员之间的对讲、会议、广播等，同时完成内部信息通过无线信道向外传输的功能；外通具备对数据链、短波、微波、卫通等无线通信系统的管理控制能力，接收外部信息传送到内部，实现指挥、控制、情报以及生活管理信息的传递^[17]。

2）作战系统

作战系统是完成对敌作战功能的各要素的综合体，主要完成警戒、跟踪、目标识别、数据处理、威胁估计及武器控制等任务^[18]，包括传感器系统、公共计算环境、指挥控制系统和武器系统。

传感器系统主要包括雷达、光电、声呐等探测感知端；公共计算环境主要包括显控系统、计算服务系统和一体化网络；指挥控制系统主要包括情报处理、指挥控制、武器控制等；武器系统主要包括各类武器执行端。

3）平台动力系统

平台动力系统是主要提供艇体运行相关电力、动力、导航等功能^[19]，主要包括电力系统、动力系统、舰桥系统等。

电力系统主要包括发电/输电、储能系统、变配电系统等；动力系统主要包括传动设备、电力推进、自动控制等；舰桥系统主要包括电子海图、综合导航雷达、位置识别和监视控制等。

2.2 网络架构与技术特征

水下系统网络以服务作战为核心，实现舰艇内部各类设备灵活就近接入、统一网络承载、业务分类保障和跨域受控互通，形成遍布全艇的公共信息传输平台，供作战、通信、平台动力等系统按需使用。

1）网络拓扑

采用“核心层+接入层”两级扁平化拓扑结构，形成核心交换设备/接入交换设备/级联链路/上网通道等多重冗余备份，终端设备按照物理分布、就近接入原则就近连接至核心交换设备、接入交换设备，如图2所示。

2）业务承载

水下系统网络承载业务主要分为数据、视频和话音业务等3类。其中，数据业务重点关注网络传输时延（端到端小于1 ms）、故障自愈（小于50 ms）、业务隔离等指标；视频业务对数据带宽要求较高，单路1920×1080像素高清压缩视频通常需要5 Mb/s以上的带宽；语音业务对传输延迟要求较高，对于好的话音质量,单向端到端延迟应不大于150 ms。

3）服务质量

综合运用流量分类、流量监控、流量整形、拥塞控制、拥塞避免等QoS策略，实现端到端业务服务保障，满足不同业务类型对带宽、时延、抖动、丢包等服务质量要求。

4）组播交互

大量采用组播协议交互，要求支持二层组播、三层组播路由、DDS数据分发服务等，对组播支持能力提出很高的要求。

5）网络管理

通过网络管理实现对网络的运行状态、资源情况、网络配置等全面管理，具体包括运行监视、资源管理、配置管理和流量管理等。

3 网络安全防护薄弱环节

水下系统多数情况下与外界保持物理隔离状态，但是，物理隔离并不能实现对所有网络攻击的有效防御，任何有信息交换的环节都可能是网络安全防护的薄弱环节。

3.1 安全漏洞

攻击者通过水下系统中的存在安全漏洞可以获取访问权或以其他方式影响系统的可用性、完整性和保密性^[5]。

1）广播风暴

水下系统采用一体化网络实现指挥、控制、情报等多种类型业务信息共网传输，当某个系统出现异常时（如双冗余协议偶然失效），可能会产生广播风暴，导致整网瘫痪，严重干扰系统的正常运行^[11]。

2）漏洞隐患

水下系统包含大量通用终端和嵌入式终端，通过标准TCP/IP协议实现信息交互，这些协议的漏洞隐通常是互联网公开可查的；终端设备安装的操作系统、系统软件、中间件等多依赖于商用货架技术，可能存在附带的漏洞隐患，如过时的操作系统，未及时更新的系统软件，缺失的病毒防护软件等^[20]。

3）互通隐患

水下系统包含大量的信息系统和控制系统，它们之间通过网络互联互通。如果控制系统中某个节点遭受网络攻击，其影响可能迅速扩散到整个信息系统，并且信息系统的安全问题也有可能通过网络传递到控制系统，给水下系统整体安全造成严重威胁 ^[10]。

3.2 系统设计

水下系统设计人员通常具有丰富的船舶领域知识，缺乏网络安全领域的知识储备，在设计水下系统时，可能只关注系统的功能安全而忽视了网络安全，以及对如何开发更安全的水下系统的缺乏足够理解，这就导致水下系统中可能存在较为严重网络安全隐患^[12]。

随着水下系统的核心功能和性能从以硬件为中心转向以软件为中心，对软件的网络安全威胁可能会影响水下系统。出于保密需要，水下系统的研发设计和使用只能被少数相关人员掌握，在系统开发过程中可能没有系统地进行软件安全测试，有可能将漏洞、后门或者错误代码等驻留在系统中。

3.3 供应链风险

水下系统的研发、制造、组装、试验、维护等环节都可能引入安全风险，有意或无意引入安全漏洞，或将恶意软件带入。如研制生产单位或人员遭遇攻击者的蓄谋潜伏，在接入水下系统网络后，有可能将后门程序、恶意代码等注入；备件更换、配置更新、软件升级等维护保障过程中，系统与外部设备进行交互，可能会将恶意软件带入到水下系统，进而可能对系统造成破坏。

4 潜在网络攻击与安全威胁 4.1 潜在安全威胁

水下系统面临着一系列不断发展的威胁，包括犯罪分子、黑客、敌对国家和恐怖分子等，威胁的范围从相对不熟练的“脚本小子”，到资源充足、技能高超的高级威胁者。由于水下系统功能的特殊性以及在国防安全中的重要地位，针对水下系统网络安全威胁的动机更多地与军事行动有关^[4]，主要威胁动机包括如下方面：

1）获取信息以实现对水下系统信息基础设施的访问；

2）获取有关水下系统军事行动的敏感信息；

3）降低水下系统的可用性/完整性；

4）改变/降低水下系统信息的准确性；

5）通过虚假信息削弱水下系统人员的能力。

4.2 潜在网络攻击

1）端口扫描

为了便于网络管理，网络设备端口 23（Telnet）、端口 69（TFTP）和端口161（SNMP）等通常处于开放状态。通过端口扫描，攻击者可以获知系统开启了Telnet、TFTP、SNMP等服务，进而可以利用这些服务的已知漏洞发动攻击，对系统进行破坏。

2）欺骗攻击

攻击者可能仿冒合法终端设备的信息来误导水下系统的操作，通过伪造IP等手段注入虚假信号干扰水下系统正常运行，或者窃取系统敏感信息。

3）未授权访问

水下系统依赖商用技术或开源软件，如果在软件安装时未更改默认密码，这使得网络攻击者可以在互联网上查找密码并获得该软件的管理员权限；此外水下系统内部多采用明文通信，未进行加密，这使得普通用户可以读取管理员的用户名和密码，并可能使用这些凭据来获得系统访问权限。

4）越权入侵

攻击者渗透到水下系统中之初，通常借助临时账户或低权限账户，绕过系统认证机制窃取提升权限。一旦网络攻击者获得了水下系统的访问权限，就可能在整个系统中移动，不断升级他们的权限，直到他们完全或部分控制了整个水下系统。

5）信息窃听/篡改

网络中使用的UDP、TCP等通用协议，可能允许攻击者使用数据包嗅探工具在网络中进行窃听，并嗅探敏感信息，攻击者还可能在其中插入非预期的数据，或者劫持整个管理会话。

6）恶意软件

攻击者损害或破坏节点设备的正常使用，如内部人员有意或无意中将受恶意软件感染的USB驱动器插入系统的USB端口时，可能导致恶意软件进入系统执行破坏任务。

7）拒绝服务

攻击者对系统资源进行消耗性攻击，从而导致目标系统停止提供服务，如攻击者通过技术手段使网络流量超载，使电子海图显示系统离线，可能致使水下系统无法安全航行。

8）重放攻击

攻击者不断地重复传输一个有效的数据，达到欺骗系统的目的，如通过执行欺骗命令来延迟视频监控传输时间，并一遍又一遍地重新发送，导致水下系统监控信息显示异常。

对水下系统可能面临的潜在攻击进行总结梳理，详见表1。

5 网络安全防护技术挑战

水下系统一个功能复杂的移动装备平台，涉及平台动力、作战指挥、武器控制等多个关键环节，在系统组成、运行流程、功能实现上与其他信息系统有明显的差异，传统IT系统的网络安全方法并不适用于水下系统。

对水下系统开展网络安全研究，必须考虑平台与外部环境的相互作用、系统之间相互连接的方式以及操作模式等独特性，主要技术挑战体现在以下方面：

1）安全架构

水下系统在水下航行过程中不能接受来自岸上的维护^[9]，安全策略实施需要具有自动优化闭环能力；水下系统空间高度紧凑，设备高度集成、网络扁平一体，既要解决类别众多的信息系统的数据流畅通，又要考虑空间狭小与信息系统繁多的突出矛盾^[21]，难以通过单独部署防火墙等传统安全手段进行隔离防护，需要设计与其特性相匹配的网络安全架构。

2）可用性优先

水下系统是典型的信息物理系统，所有功能单元都集成到统一的信息环境下，更加强调运作过程及相关设备的控制、监测与管理^[10]。由于功能定位和系统结构的特殊性，决定了其更为关注可用性^[14]，确保系统业务网络访问的连续性和可靠性；其次是完整性，防止系统信息和服务被恶意篡改；最后是保密性，通过访问控制措施防止未授权访问。

3）资源配置固化

IT系统可以通过各类软硬件工具叠加以完成对系统的安全防护^[12]，但水下系统资源配置相对固化、受限，如控制系统多为专用定制系统，其系统资源（CPU、内存等）都是有限的，部署安全策略占用过多的系统资源，可能导致系统功能安全受到影响，破坏其预期设计的军事功能，需要考虑安全防护手段的轻量化。

4）可靠性实时性

水下系统特别强调网络可靠性，通过设备/链路/上网通道等多重冗余设计以确保网络故障情况下的任务继续运行，单点故障要求50 ms内实现故障自愈。此外，水下系统对实时性要求高，通常要求毫秒级的响应，需在网络性能损失较小的前提下实施安全策略，确保系统访问性能稳定。

5）安全策略重构

水下系统具有靠岸停泊、水面航行、水下航行、水下悬停、应急上浮、紧急避险等多种状态^[22]。靠岸停泊状态进行维护保障，需要与外部网络或设备进行交互，存在较大恶意软件入侵风险，宜采取强安全管控策略；水面航行、水下航行等状态下，一般通过无线手段对外通信，存在遭受无线通信攻击安全风险，宜采取适度安全管控策略；紧急避险、应急上浮等紧急状态下，需要优先保障核心业务通畅，宜采取应急管控策略，实现在不同状态下安全策略的弹性自适、按需重构。

6 结　语

水下系统作为我国海上战略威慑力量的重要组成部分，其面临网络安全威胁形势日趋严峻。结合水下系统的系统组成、网络架构和技术特征，梳理水下系统安全防护的薄弱环节，分析水下系统面临的潜在网络攻击与安全威胁，明确主要威胁来源和潜在网络攻击方式，提出水下系统网络安全防护技术挑战，从需求层面牵引和指导水下系统网络安全防护关键技术攻关，对提升水下系统网络安全防护能力具有重要意义。