美国爱因斯坦计划跟踪与解读（2023版）

【引言】本文在2022年版本的基础上进行了较大修订，全面更新了爱因斯坦计划的相关数据，反映了2022年以来的最新进展，尤其是替代NCPS的CADS计划，主要涉及第2、3、4、5章。

1     项目概述

爱因斯坦计划，其正式名称为“国家网络空间安全保护系统”（National Cybersecurity Protection System，简称NCPS），是美国“全面国家网络空间安全行动计划”（Comprehensive National Cybersecurity Initiative，简称CNCI）的关键组成部分。NCPS以DFI、DPI和DCI技术为抓手，以大数据技术为依托，以威胁情报为核心，实现对美国联邦政府民事机构互联网出口网络威胁的持续监测、预警、响应与信息共享，以提升联邦政府网络的态势感知能力和可生存性。

NCPS由美国国土安全部（DHS）下属的网络安全与基础设施安全局（CISA）负责设计、运行和协调，大体上分为三个阶段。

借助NCPS，美国联邦政府为其互联网侧态势感知构建起了四大能力：入侵检测、入侵防御、安全分析和信息共享。

1.1   入侵检测

NCPS的入侵检测能力包括爱因斯坦1（简称E1）探针中基于Flow的检测能力、爱因斯坦2（简称E2）和爱因斯坦3A（简称E3A）探针中基于特征的检测能力，以及2015年启动的在E1、E2和E3A中基于机器学习的行为检测能力（代号LRA）。

NCPS的检测能力不追求检测所有攻击和入侵，而重点关注APT类高级威胁，因而其检测特征库并不大，但很有针对性，并由美国国防部/国安局（DOD/NSA）提供部分特征信息。

1.2   入侵防御

NCPS的入侵防御能力是从爱因斯坦3A（简称E3A）阶段开始的。

NCPS的入侵防御也不是一般意义上的入侵防御系统（IPS），其功能设计更加聚焦，更有针对性，并且是由NSA协助（主导）设计的，主要包括4种能力：

• 恶意流量阻断：自动地对进出联邦政府机构的恶意流量进行阻断。这是依靠ISP来实现的。ISP部署了入侵防御和基于威胁的决策判定机制，并使用DHS开发的恶意网络行为指标（Indicator）来进行恶意行为识别。

• DNS阻断：也就是DNS Sinkhole技术，用于阻止已经被植入政府网络的恶意代码与外部的恶意域名之间的通讯。

• 电子邮件过滤：对所有发给政府网络用户的邮件进行扫描，识别含有恶意代码的附件、恶意URL等，并将其过滤掉。

• Web内容过滤（WCF）：这是2016年加入到E3A入侵防御中的能力，可以阻断可疑的web网站访问、阻止web网站中恶意代码的执行，阻断web钓鱼。

值得一提的是，NSA在协助DHS设计E3A入侵防御系统的时候，将他们的Tutelage项目移植了过去，超越了一般意义上主动防御的层次，具有很强的对抗性。

1.3   安全分析

如果说入侵检测和入侵防御构成了NCPS的前端系统，那么NCPS的后端核心就是构建在大数据之上的安全分析能力，而这个分析结果的输出就是网络安全威胁态势。NCPS的分析能力主要包括：安全信息与事件管理（SIEM）、数字媒体分析环境（Digital Media Analysis Environment）、高级恶意代码分析中心（AMAC）、各种分析工具可视化工具，等等。

1.4   信息共享

信息共享就是情报共享，这是NCPS的核心能力。借助该能力，DHS构建起一个信息共享与协作环境（ISCE），使得其下属CISA中心的安全分析师能够24*7*365按照不同的密级与他们的合作伙伴快速交换网络威胁和网络事件信息，通过合作与协同以降低事件响应时间，通过自动化信息分享与披露以提升工作效率。

NCPS的信息共享能力主要包括：自动指标共享（AIS）、指标管理平台（IMP）、统一工作流、跨域解决方案（CDS），等等。

在2020年6月份，CISA将下面的国家网络安全与通讯集成中心（NCCIC）、国家基础设施协调中心 (NICC) 和国家通信协调中心 (NCC) 合并，成立了新一个新部门——CISA中心（ CISA Central）。CISA中心是一个综合的、针对全风险的、跨职能的中心，打破了传统的烟囱，将CISA之下网络安全与基础设施运行及信息共享相关的各种人员、流程和技术整合为一支团队，实现对网络安全活动更有效的理解、分享和协调，统一对外提供信息共享和态势感知的一站式服务。同时，参照联邦应急管理局（FEMA）的办公地点设置和管辖范围，相应成立了10个CISA分区（CISA Regions）。

2     从NCPS到CADS

随着攻击面日益扩大，攻击手法日趋复杂，现有的NCPS系统功能已经落后，架构也再难以扩展以满足新的需求。NCPS存在两个关键的缺陷：（一）前端难以检测未知威胁；（二）后端难以处理为实现全面可见性而引入的天量多源数据。尤其是Solarwinds攻击事件对美国联邦政府造成了较大的影响，而NCPS并未在开始阶段及时发现攻击。为此，NCPS近些年来一直受到质疑。因此，CISA在2024财年的预算申请中首次正式提出了NCPS的替代计划——网络分析与数据系统（Cyber Analytics and Data System，简称CADS）。而根据美国政府问责局（GAO）对国土安全部（DHS）的年度评估报告，早在2021年7月CADS计划便已形成，但直到2023年初提交FY2024预算时才公开。

CADS可以看作是对前述NCPS缺陷二的直接回应，并能够间接提升缺陷一的未知威胁检测能力。

CADS是一个系统之系统（system of system，是一个系统工程领域的术语），它提供了一个强大且可伸缩的分析环境，能够集成数据集并提供工具和功能。CADS工具和能力将促进数据的摄取和集成，并通过对数据分析（过程）的编排和自动化，以支持快速识别、检测、缓解和阻断恶意网络活动。

笔者认为，总的来说，CADS基于数据驱动安全的思想，采用云计算架构，应用DevSecOps的运营模式，通过统一数据平台实现对包括NCPS入侵检测和防御信息、CDM EDR信息、情报、情境数据在内的CISA内外部多源天量数据的摄取、集成、建模和治理，掌握更全面的态势信息；通过对各种工具集的智能编排与自动化，实现便捷灵活的安全分析、情报融合与共享；通过编排和自动化实现对攻击和恶意行为的阻断与缓解；通过基于DevSecOps的CI/CD管道，以及策略即代码的方式，使得开发团队能够快速集成并上线新的功能和安全内容。

CADS将过去的数据烟囱集成到新的核心基础设施、分析工具和工程知识库上，为CISA的网络安全运行人员、分析师和决策者，以及地方政府机构、关键基础设施运营者，甚至私营公司和公众提供统一的数据管理和分析工具。

同时，CADS被CISA看作是其实现日光浴委员会（Cyberspace Solarium Commission 1.0，简称CSC1.0）提出的旨在构建新一代联联邦网络空间势感知能力的联合协作环境（Joint Collaborative Environment，简称JCE）的关键项目。CSC1.0在2020年的报告中将JCE列为一项关键建议，旨在构建一个核心技术生态，使得CISA和它的伙伴们能够集成、分析、协作和从处理网络空间安全信息，以开展网络防御行动。JCE将通过集成内部和外部信息源（包括 CADS、威胁情报平台源和各种来源输入）来支持实时数据和信息共享以及运营协作。

根据CISA的计划，CADS首先将替代现有NCPS的后端能力（安全分析和信息共享能力），并构建支撑新一代分析与共享能的力基于云和大数据的核心基础平台，以及基于这个平台的分析环境（Analytic Environment，简称AE）。同时，将原先NCPS后端中的分析工具逐步迁移到新的CADS AE中。接下来，对遗留NCPS的E1和E2探针进行现代化升级，并将E3A设备逐步转变成商业货架产品和商业化的安全服务（譬如保护性DNS服务、保护性电子邮件服务等）。最终，CISA计划退役NCPS，全面转向CADS。为了表述方便，本文将CADS视为“新爱因斯坦计划”。

对CADS的更详细分析，可以参见《美国升级爱因斯坦系统，切换国家网络防御系统后端大脑》。

3     项目经费和人员分析

3.1 当前经费分析

如下所示，是笔者自己根据DHS历年的预算报告自行编制的2008财年到2024财年NCPS与CADS预算走势图，采用的数据可能与实际有差异，均为概数。其中，2023财年的NCPS预算申请为0.67亿美元（大幅缩水是因为要转向CADS），CADS预算申请则达到4.25亿美元，两项合计4.92亿美元，创下单年申请预算新高。

注意：为了统计方便，2023财年的数据包括遗留NCPS和新的CADS数据之和，代表了美国联邦政府互联网侧态势感知的投入情况。

透过上图，可以发现近年来美国政府对爱因斯坦计划（含“新爱因斯坦计划”）的投入又在不断加大。

3.2 未来经费预测

2009年的时候，CISA首次预估了NCPS全生命周期的总投资额在19.51亿美元，到2018年10年，重新预估总投资额可能到59.08亿美元，而到了2022年1月的时候，估测总投资额将达到53.3亿美元。

随着NCPS逐步退出历史舞台，CADS逐步取而代之，GAO估计，未来4年的NCPS支出将大幅下降。

 

3.3 人员编制分析

笔者自己统计的2008财年到2024财年的NCPS人员编制（Position）数量走势如下图所示：

可以发现，NCPS的人员编制数量总体上也是稳步增长。从2024财年开始，人员投入将逐步从NCPS转移到CADS上去，同时总量则还有增加。

值得一提的是，CISA在2024财年的预算申请书中，将遗留NCPS和CADS的运行与支撑预算统一放到了JCE之下。

4     项目进展分析

4.1项目过程回顾

以下内容来源于GAO的审计报告。

1）2009年2月，DHS首次订立了NCPS的采购项目基线（APB）。

2）2016年1月，GAO的一份审计报告把NCPS推到了风口浪尖。这份报告直指NCPS进度严重偏离预期，且收效不佳。报告认为NCPS检测能力存在缺陷，检测种类缺失，未知威胁检测能力太弱，在各大联邦政府机构的部署范围和程度层次不齐，用户反馈普遍不高，等等，并提出了9点建议。

3）2017年3月，GAO在给美国众议院国安委的书面证词中，再次指出了NCPS和CDM项目存在的诸多问题。这也促使CISA开始全面重新审视NCPS项目。

4）2017年10月，DHS的测评办启动了对NCPS的Block2.2的评估。到2018年1月，测评办负责人表示，Block2.2根本达不到评估的启动要求，在满足客户需求方面存在风险，并要求重新评审运营需求文档和概念运行图（CONOPS）。2018年2月，Block2.2通过了ADE2C评审（表示可以进入试运行环节，但还不能正式投产）。到2019年12月，有条件通过了架构评审，并要求对NCPS项目进行重组。评审中发现的主要技术问题包括：与政府网络架构贴合度不够，没有跟上网络安全风险的变化，不能识别加密网络流量，等。接下来，NCPS项目办确定了Block2.2的能力差距，调整了项目的能力组成。直到现在，Block2.2仍未能提测。

5）2018年1月，DHS的测评办完成了对Block3.0（E3A）的评估，并给出了达标的结论。基于该测试，2018年2月，DHS正式通过ADE3里程碑（DHS将采购类项目分为需求、论证、采购试运行、投产运行四个阶段，ADE3相当于完成了采购试运行环节的验收，可以正式投产了）。尽管如此，测评办认为E3A缺乏威胁信息共享能力。2018年12月，测评办对E3A进行了补测。目前，由于整体计划调整，针对E3A的新的测评都暂停了。

6）2020年1月，NCPS被正式认定为项目延期，主要是Block2.2延期。

7）2021年4月，DHS完成了对NCPS的计划重组，去掉了Block2.2的ADE3（采购试运行验收）评审环节，将其打包到后续计划中。由此，NCPS被移出延期项目清单，恢复正常。

8）2021年4月，DHS宣布NCPS实现了全面运行（FOC），并同意继续部署Block2.2。

9）根据计划，将在2023财年第三季度（即2023年4~6月间）对CADS进行ADE初始评审。目前，实际情况尚未可知。

4.2项目最新进展

根据2023年OMB发布的提交给国会的2022财年的FISMA报告，截至2022年9月30日（即2022财年底），有85个机构已经实现了E1和E2，有85个机构实现了E3A的电子邮件过滤，有79个机构实现了E3A的DNS安全，除E3A DNS外，比上一财年均有所提升，没有实施NCPS的机构都有所减少。下图展示了2022财年和2021财年的部署情况及对比。

需要特别指出的是，从2022财年开始，CISA开始了将E3A DNS服务切换为商业化的保护性DNS（PDNS）服务的工作，并计划在2024财年底退役E3A DNS。从下图可以看到减少的使用E3A DNS的10个机构转而使用PDNS服务去了。而根据CISA的计划，未来除了要将E3A DNS全部切换为PDNS，还要将E3A Email也切换为商业服务。

为了配合从NCPS到CADS的转换，NCPS 在 2022 财年的工作重点是扩展分析环境 （AE） 基础设施以支持额外的数据集、制定数据集成路线图、启动将本地功能迁移到云 AE，以及在云 AE 中实施额外的分析工具。CISA在实现这些过渡性目标方面取得了相当大的进展。截至 2022 财年第四季度，74% 的工具已迁移，并且已经制定了数据摄取/集成路线图。此外，随着联邦政府从基于边界的防御转向采用零信任架构，来自 EDR 等功能的数据将被摄取到 CADS AE 中，以允许联邦政府网络防御者自动执行某些保护，并在恶意活动横向移动到敏感的联邦系统之前快速检测和阻止它。这种转变缘于认识到连接到联邦系统的每台设备都是网络威胁的潜在攻击向量的一部分。

5     2024财年项目预算分析

5.1 整体预算分析

下图是CISA在2024财年预算中提供的针对NCPS投资的表格，2024财年的NCPS预算约合0.67亿美元。因为2024财年开始从NCPS迁移到CADS，因此2024财年的NCPS预算大幅减少，主要就是3000万美元的遗留NCPS中的入侵检测能力（E1和E2）升级，以及3700万美元的遗留NCPS运行维护费用。

如上图所示，截至2021财年，美国爱因斯坦计划累计已经投入42.8亿美元，加上2022财年的4.09亿美元和2023财年的4.11亿美元，到2023财年共计已经投入了51亿美元。目前，NCPS已经进入了末期，主要是现有系统的运营，以及必要的入侵检测能力升级。

下图是CISA在2024财年预算中提供的针对CADS投资的表格，2024财年的CADS的预算约合4.25亿美元。

如果将遗留NCPS预算和CADS预算加起来，则2024财年用于联邦政府互联网侧的态势感知预算依然高达4.92亿美元，创下单年申请预算新高。其中，运行支撑总预算为2.95亿美元，较2023财年有所下降，而采购实施与提升总预算则为1.97亿美元，较2023财年的9100万美元大幅提升，并基本都是CADS的支出，这说明CADS刚刚启动，正处于建设期。

5.2   运行支撑预算分析

CISA在2024财年的预算申请书中将遗留NCPS与CADS合在JCE中统一列支运行支撑预算。

首先，运行支撑人员的薪酬包继续上涨，2024财年的人员薪酬预算高达4407.2万美元，人均25.3万美元，高于去年的24.3万美元。

其次，在2.95亿运行支撑（Operations and Support）预算中，有2.51亿是非支付性成本（Non Pay Budget，绝大部分计入“咨询与协助服务”科目），笔者估计包含了大量外包费用和咨询费用，以及运行支撑的相关环境、工具和开发费用。

下表列举了非支付性成本的支出项：

以上支出分为遗留NCPS和新的CADS两部分，具体说明如下：

项目	项目含义	2024财年支出说明
NCPS部分
入侵检测	支持获取对联邦民事行政部门机构（FCEB） 云安全遥测数据的访问权限，以提高保护云中 FCEB 数据所需的可见性	现有的 NCPS E1 和 E2 能力将继续为 CISA 网络运营提供有用的能力，并将继续运行和维护，同时 CISA 探索发展联邦网络发送能力的选项，以适应可信互联网连接3.0（ TIC 3.0） 架构的采用，并扩大使用云技术
入侵防御	NCPS 入侵防御功能包括 E3A，它通过提供主动网络防御能力以及防止和限制恶意活动侵入联邦网络和系统的能力，进一步推进对 FCEB 部门和机构的保护。该系统由向联邦政府提供互联网访问的互联网服务提供商部署为托管服务，利用涉密和非涉密指标来主动阻止已知的恶意流量	在 2023 财年，资金将支持运营和维持成本，以维持联邦网络保护性服务（FNPS） 提供商提供的 DNS Sinkholing 和电子邮件过滤功能。 E3A 将过渡到商业、非机密服务，例如 CISA 的保护性 DNS (pDNS) 服务。在整个2024财年，遗留的 NCPS 计划将继续运行并维护现有的入侵防御功能
核心基础设施	包括后端数据存储和处理环境，称为使命运行环境（MOE），包括网络设备、存储设备、数据库服务、应用程序托管服务、网络电路（线路）和安全控制	从2024财年开始，NCPS的核心基础设施能力将切换到CADS中继续运行和维护
分析	使用本地和云基础设施以及相关工具套件提供可扩展的环境，使 CISA 分析师能够关联和可视化数据集并快速得出结论，以应对高级威胁和漏洞	从2024财年开始，NCPS的后端分析能力将切换到CADS中继续运行和维护
信息共享	NCPS 信息共享工作是一组灵活的功能，允许在 CISA 网络安全分析师及其网络安全合作伙伴之间快速交换网络威胁和网络事件信息	从2024财年开始，NCPS的后端信息共享能力将切换到CADS中继续运行和维护
开发和工程	为 NCPS 计划提供对需求收集、工程解决方案、功能测试、安全测试、安全认证和配置管理提供必不可少的工程支持，并支撑技术更新工作和其他必要的环境变化，以维持基础设施和部署工具的可靠性、可访问性和可维护性指标	相关工作和预算全部转入CADS的计划办公室
CADS部分
网络使命IT基础设施	CADS将作为网络数据摄取、管理、分析和信息共享平台的使命系统。它将在适当的情况下利用通用的 DHS 和 CISA IT 基础设施核心服务，并开发和提供使命系统基础设施服务，包括基础设施即服务 （IaaS）、平台即服务 （PaaS） 和软件即服务 （SaaS），以满足 CSD 网络任务需求。	资金包括硬件和软件维护成本以及设备的标准技术更新；包括分析师用来访问数据、分析和信息共享的桌面设备。资金还包含与网络通信基础设施相关的年度电路（线路）成本和云业务交换  （CBX） 的扩展成本，CBX 是一种支持直接连接到云和互联网服务提供商环境的能力，可提高从 FCEB 机构获取安全遥测数据的效率，以及用于交付能力的云基础设施和  DevSecOps 管道的管理。资金还用于支持扩大网络使命基础设施的容量，以支持额外的数据集，改善分析师对数据和工具的访问，并交付持续实施/持续交付 （CI/CD） 管道，使开发团队能够快速集成新功能以支持不断变化的需求
网络行动工具	CADS 将为 CISA 网络运营人员提供分析和信息共享工具，以便他们能够跟上数据量的步伐，以识别趋势、关键漏洞等。这些工具还将提供数据和分析编排，以改进自动分析和信息传播、数据可视化以及恶意软件取证和分析能力	将继续运营和维护的工具包括：安全和事件管理（SIEM）、数据包捕获、恶意软件下一代环境、云分析环境、部署在国土安全信息网络  （HSIN） 上的 CISA 网络门户，以及维护用于支持 AIS、指标管理、跨域解决方案和统一工作流程的基础设施和工具。 这笔资金还将使战术支持小队（TST）和数据科学家能够为  CISA 威胁搜寻分析师提供现场支持。数据科学家支持高级分析的持续开发和优化，以实现对多个数据集的快速分析。对数据科学家和TST的需求有所增加，因为这些团队一直在支持 CISA 对最近网络事件的响应。资金支持扩展现有能力，并支持联合协作环境（JCE）的一些要求，以提供数据集成和数据分析，以及支持态势感知、决策和行动的工具，适用于识别、检测、缓解和预防恶意网络活动。这笔资金还将支持实施 CISA 统一工单系统所需的许可证和开发劳动力，以改善事件响应，并支持 2022 年关键基础设施网络事件报告法案  （CIRCIA） 的要求导致事件报告的预期增长。统一工单系统将是一个位于中心位置的工单系统，用于事件报告，并将取代多个不同的工单系统
网络使命工程	包括提供架构和工程框架的工程资源，使得CISA的网络探针、遥测数据、基础设施、分析和信息共享工具能够集成到一起，进一步促成CSD达成网络使命	包括各种标准、最佳实践和知识库
计划管理办公室		项目管理办公室支持与管理 CADS 计划相关的管理成本，包括需求收集、客户拓展和沟通、工程流程支持、功能测试、安全测试、安全认证和 CADS 计划的配置管理支持。

5.3   采购实施与提升预算分析

进一步分析2024财年采购建设和提升（Procurement, Construction and Improvements）的预算（1.97亿美元）的构成，比上一财年增加一倍多，包括遗留NCPS和新的CADS两大部分。

下表是遗留NCPS的采购建设与提升预算明细：

这里，入侵检测就是爱因斯坦的前端，相当于探针、传感器；分析就是爱因斯坦的后端，相当于一个态势感知平台、安全运营平台；而信息共享（代号Albert）就是爱因斯坦的威胁情报平台（TIP）；开发与工程包括需求收集、工程方案、能力测试、绩效评估等。2024财年，除了入侵检测能力继续升级，其他能力的采购实施与提供资金都转入CADS中了。

此外，借助《美国救援计划法案》，CISA在2023财年对爱因斯坦计划进行扩展，让NCPS能够采集和分析新的数据集（譬如EDR、保护性DNS），并将其命名为使命系统工程环境（MSEE）。如今，这项工作成果正好为CADS所用。

2024财年投资在入侵检测上的3000万美元主要支持探索和初步推出功能，以取代当前的爱因斯坦技术堆栈。这将涉及市场调查，重新调整计划和资源，探索特定技术，探索传感器在本地网络中潜在的放置位置，将现有机构级数据与通过现有传感器功能获取的数据相结合，以及购买、安装和集成初始技术、数据路径和分析的工程。

下表列出了CADS的采购建设与提升预算明细：

包括三个领域：网络使命IT基础设施、网络行动工具和网络使命工程。它们在2024财年各自的预期目标如下表所示。

领域	里程碑事件
网络使命IT基础设施	•       该计划将与 CISA CIO 密切合作，将电子邮件和办公生产力应用程序实施并迁移到 CISA 的 M365 实例。 •       继续扩展 DevSecOps 管道，以支持 CADS 功能的快速开发、测试和实施。 •       增加云和通信基础设施的容量，以增加整个计划工具和功能套件的容量。
网络行动工具	•       数据摄取与处理：继续将其他数据集与云分析环境集成，包括事件数据、主机级别可见性数据以及PDNS数据。提高 CISA 利益相关者社区的知名度将为 CISA 提供更丰富的数据集，以展开分析，并做出数据驱动的决策。 •       数据管理与治理：对数据管理功能进行增强，以应对数据量的增长，并解决与数据虚拟化和治理相关的多重挑战。这些增强将提高 CISA 网络分析师跨多个数据集和数据存储查询和分析数据的能力。 •       分析工具和应用：实施额外的分析工具，进一步实现网络威胁分析、搜寻和响应活动的自动化。具有自动分析、机器学习和人工智能功能的高级工具将使分析师能够跟上收到的数据量，并利用分析结果快速识别趋势并为决策提供信息。 •       分析工具和应用：在云分析环境中开发新的分析工具，以支持对聚合多个 CSD服务 的额外数据集进行分析。 •       工作流程管理：在统一工作流功能中继续实施和落地工作流程。统一工作流功能提供了一个单一平台，用于跨独立的 CSD 业务和使命支撑应用程序自动执行管理和运营工作流，以提高 CSD 运营的效率和有效性。
网络使命工程	•       工程和架构致力于支持未来 CSD 服务的集成，包括保护性电子邮件服务、额外的端点检测数据集和联邦网络可见性数据。

5.4   主要合同分析

下图展示了2024财年预算报告中列举的NCPS及CADS相关的合同信息：

可以发现，目前NCPS及CADS最大的供应商（集成商）还是雷神公司，其三个合同的总值达到了2年5亿美元。并且，美国政府的合同通常都不是一年一签的，而是一签都是3年、5年的长期合同，更符合建设（含开发）工作的实际，但也对项目管理提出了更高要求。当然，这种方式也需要政府的预算管理机制提供相应的支撑。

6     总结和启示

通过以上分析，结合其它材料，笔者谈一谈个人的几点体会作为本文总结。

• 1）  NCPS项目从一开始就是站在国家战略高度来推进的，采用法规先行（法案、总统行政令、NIST标准等）、制度开道、统一建设、持续投入的方式，从一个US-CERT下面的初级态势感知项目，在CNCI计划的推动下，逐步成为了一个规模庞大的国家战略级项目。

• 2）  从项目定位上，NCPS区别于各个联邦民事机构自己的安全防护。二者不是替代关系，而是叠加关系。并且NCPS更加注重针对高级威胁的监测与响应，更加重视跨部门/厂商的协调联动、信息共享、集体防御。

• 3）  NCPS项目的投入时间很长，尤其是2009年CNCI计划出台之后，资金和人员投入逐年稳步提升，并维持在较高的水平线上。可见国家级态势感知系统的建设需要长期持续的投入。

• 4）  从资金分布上看，DHS越来越重视NCPS的运行维护，技术和产品采购的比重越来越低。要想实现NCPS常态化的运营，就必须有持续的、大量的运营投入，并且需要大量的安全分析师。

• 5）  从运营方式上看，NCPS被尽可能地封装为一系列托管服务和安全服务的形式，以服务的方法提供给各个联邦机构，并且正在切换为单一的、统一的服务提供商。

• 6）  CISA自己说过，“有效的网络安全需要强大的度量机制”。正如“没有度量就没有管理”，必须对NCPS的效果进行持续度量，才能持续改进。但如何度量始终是一个问题，至今CISA也没有给出一套稳定的度量指标。

• 7）  经过十几年的持续建设，NCPS虽然取得了不少成绩，但NCPS仍然存在不少问题，已经难以适应威胁和技术的最新发展。因此，CISA提出了NCPS的升级替代版本——CADS，通过采用当前最先进的数据驱动安全的思想，大数据架构、云计算架构，应用数据管理与治理、编排自动化、人工智能等技术，构建新一代联邦互联网侧态势感知体系，强调更全面多源的数据采集与分析，更多源的安全情报整合，以及跨CISA、政府部门、私营企业的安全协同联动。同时，原有NCPS的能力（尤其是分析工具）也不是全部丢弃，而是有选择地逐步融合转换到CADS中去。从NCPS到CADS，让我们看到了美国联邦互联网侧态势感知建设的创新与变革、继承与发展。

• 8）  在技术层面，NCPS正在积极上云，充分利用云来降低整体投入的成本，提升服务能力，改进服务方式。最起码，在数据中心的基础设施建设方面，云在可伸缩性、可用性和可靠性方面表现更佳。

• 9）  我们常把爱因斯坦计划指代美国政府的网络安全态势感知项目，其实这是不完整的。美国联邦政府的网络安全态势感知是由一系列国家级大项目共同支撑起来的，至少包括用于收敛互联网暴露面的TIC（可信互联网接入）、互联网侧态势感知系统NCPS及升级版CADS、联邦各机构内部态势感知系统CDM（持续诊断与缓解），以及共享态势感知。

附录1：重点技术介绍

1.1 LRA

LRA的全名是“逻辑响应孔径”（Logical Response Aperture），是DHS开展的一项旨在提升安全分析与响应自动化的项目的内部代号。LRA能够借助智能化的安全分析技术，在没有签名和特征的情况下识别攻击。

下图展示了LRA的基本工作流程。

在联邦部委机构（D/A）和互联网（Internet）之间有一套部署在互联网服务提供商（ISP）处的“NEST”设施。NEST会利用TAP将进出联邦机构的的互联网流量按需送给LRA。LRA的流量引擎利用Zeek做协议解析，并将解析后的流量日志（流量元数据）连同原始的pcap包存储到大数据存储系统中（默认存储90天）。存储的数据内容包括：DNS查询的域名和响应的IP地址、域名-IP地址对的TTL、电子邮件附件中的可执行文件、http请求的user agent信息，等等。基于机器学习和统计分析算法的分析引擎、恶意代码检测装置，及其它自动化工具会从大数据存储中读取这些数据，并结合通过其它方式获得的各种情境数据（譬如域名和可执行文件的黑白名单，GeoIP等）进行复合安全分析，生成恶意流量的潜在指标，并存入潜在指标库中。分析师通过交互性UI检查潜在指标库中的指标，对其进行研判和标注，一方面获得有效的指标，另一方面为机器学习算法提供改进。

1.2 Tutelage

Tutelage（现已改名，具体不详）作为NSA号称21世纪执行信号情报（SIGINT）任务的核心系统的Turbulence项目中的一个子系统，承担主动防御的任务。作为NCPS的重要咨询方和协作方，NSA将Tutelage移植给了E3A。作为NCPS中涉密的部分，我们无从知晓E3A的入侵防御系统设计有何玄机。

幸运的是，斯诺登泄密事件给了我们一窥Tutelage的机会，我们可以自行脑补E3A可能的设计。如下图所示，展示了Tutelage项目在检测到恶意流量和攻击后可以采取的遏制/反制措施，十分丰富。

可以肯定的是，E3A的入侵防御系统绝非我们一般意义上的IPS。

1.3   WCF

WCF的全名是WEB内容过滤（WEB Content Filtering）,是2016年前后追加到E3A中的一个新防御能力（最初的E3A入侵防御能力包括DNS sinkholing和email过滤），重点阻断可疑的web网站访问、阻止web网站中恶意代码的执行，阻断web钓鱼。

WCF具有四个功能：web流量检测与阻断、SSL解密、恶意代码检测、高级分析。

• WCF会对可疑的web流量按照URL/URI进行分类，允许系统管理员允许或者拒绝某类web访问。WCF会根据高可信网络威胁指标和商业的签名指标来进行研判并决定是告警还是阻断，抑或其它遏制操作。WCF的技术原理就是一个WEB代理，由它来进行检测，并执行重定向、阻断或者告警操作。

• WCF支持对SSLweb流量解密，分析解密后的流量数据。

• WCF内置恶意代码检测功能，使用政府提供的网络威胁指标来检测恶意活动。

• WCF包括高级分析功能。这里的高级分析是指基于行为的异常分析，也即LRA。

1.4   AIS

说到NCPS项目，而不提及威胁情报，那么一定是对NCPS不甚了解，或者仅仅停留在爱因斯坦计划早期的认知水平上。必须强调，威胁情报，或者说信息共享是NCPS的核心能力之一，所有检测、分析的能力最后都是为了能够在DHS和其伙伴间实现高效的情报共享和协同联动。美国政府实施NCPS的一个终极目标就是自动化地检测威胁、共享情报和处置攻击。这跟我们近些年谈及从美国传过来的TIP、SOAR等理念是一致的。

AIS全名是自动指标共享（AutomatedIndicator Sharing），其目标就是在网络防御行动中以机器速度（Machine-peed）快速广泛地共享机读（Machine-readable）网络威胁指标和防御措施。AIS要能够自动处理海量高速的共享指标，而这是人工操作无法达成的。

下图展示了AIS的工作原理。

首先，各个AIS的参与机构（上图右侧灰色部分，包括各级地方政府、私营伙伴、联邦机构、ISAC和ISAO）通过TAXII协议将STIX格式的威胁情报信息送给DHS的TAXII服务器（上图中间黄色部分）。接着，所有提交的情报信息都会经过一个自动化的“数据增强过程”，进行信息修订、匿名化处理、隐私评估、数据增强。此外，DHS也会接收商业的情报信息源信息（上图上方绿色部分），并统一进行数据增强。然后，DHS的分析师会对增强后的数据进行核验【笔者注：人工操作还是不可缺少，不可能完全自动化】，并最终进行发布。发布的途径包括放到TAXII服务器上供各参与方获取，或者可以供其它第三方订阅（上图上方蓝灰色部分）。

截至2018年底，已经有33个联邦机构，215家非联邦政府实体（其中包括18家可以对共享信息进行再分发的ISAC、ISAO和11家商业服务提供商）参与其中。

附录2： 系列文章参考

• 美国国家网络空间安全保护系统“爱因斯坦计划”技术综述

• 美国政府持续深入开展爱因斯坦项目以提升网络威胁感知能力（2019）

• 美国爱因斯坦计划跟踪与解读（2020）

• 美国爱因斯坦计划跟踪与解读（2021）

• 美国爱因斯坦计划跟踪与解读（2022V2）

• 美国升级爱因斯坦系统，切换国家网络防御系统后端大脑

以下是笔者以前撰写的NCPS相关的文章，供大家参考，可以自行网络搜索。

• 美国爱因斯坦计划技术分析，2011

• 从爱因斯坦2到爱因斯坦3，2014

• 重新审视美国爱因斯坦计划(2016)

• 美国爱因斯坦计划最新动态201508

• 爱因斯坦计划最新进展（201705）

• 爱因斯坦计划最新进展（201710）

原文始发于微信公众号（专注安管平台）：美国爱因斯坦计划跟踪与解读（2023版）