网络原生智能架构重构安全网络一体化白皮书

网络原生智能架构重构安全网络一体化白皮书总结

一、背景与挑战

1.1 研究背景

• 人工智能（AI）技术在全球范围内得到广泛应用，涵盖语音识别、计算机视觉、知识图谱等多个领域。
• 全球正步入数字化、网络化、智能化发展阶段，新型基础设施建设（新基建）重塑经济社会根基。
• 网络安全是活跃度排名前3的行业之一，AI技术对网络安全领域产生重要影响。
• 网络空间安全威胁全面泛化，人工智能赋能网络攻击的威胁和影响日益显著。

1.2 网络原生智能现状及挑战

• 传统网络架构在面对复杂应用场景和多样化用户需求时显现局限性。
• 网络原生智能（NNI）概念提出，将智能转变为可按需生成、精准交付的网络原生能力。
• 5G网络中AI技术开始应用于部分网络功能，但整体架构仍依赖传统网络功能分离（NFV）和软件定义网络（SDN）技术。
• 6G网络将更深入地融合AI技术，构建“AI原生”的网络智能系统。
• 网络原生智能面临AI/ML模型在网络中的应用挑战，如模型依赖性和跨域协作问题。

二、网络原生智能理念

2.1 网络原生智能的定义

• 网络原生智能是以图建模为核心，通过智能编排引擎调度原生于网络设备中部署的AI能力，并利用实时反馈进行持续优化的自动化协同框架。
• 该架构在安全网络一体化的基础上，可在网络自身之中、之上原生地生长出AI能力。

2.2 网络原生智能的核心特征

• 泛在的分布式智能：AI工作负载根据成本效益分析被部署在网络中最合理的位置，实现低延迟应用和高效资源利用。
• 持续学习与实时自适应：架构内建的闭环反馈机制使系统能够实时学习和适应网络环境变化，实现“自我进化”。
• 动态任务图调度：将复杂的安全任务细分并分配到不同的任务图中进行处理，优化计算资源利用效率，提高系统吞吐能力和响应速度。
• 多阶段并行流水线：将网络流量分为感知、理解、决策和响应四个阶段，实现高效网络安全防护。

2.3 网络原生智能的安全基础

• 智能驱动安全：网络自主感知安全威胁、深入分析潜在风险并迅速作出决策，实现从被动防御向主动预测与防护的转变。
• 网络安全一体化：打破安全产品和网络各自为政的“烟囱式”架构，实现安全能力的内聚与联动，形成自适应的安全防御能力。

2.4 网络原生智能的概念对比

• Network for AI vs AI for Network：前者强调网络架构的优化以支持AI应用，后者聚焦于利用AI技术提升网络本身的性能和管理效率。
• 网络原生智能 vs AI for Network：前者强调AI算法直接嵌入网络架构中成为其内在组成部分，后者则聚焦于利用AI技术提升网络的管理效率、性能和自动化水平。
• 网络原生智能 vs 智能原生网络：前者致力于提升网络自身的智能化水平，后者是专为满足大规模AI工作负载通信需求而设计的网络架构。

三、安全网络一体化机制

3.1 路由与策略协同

• 传统路由安全面临的挑战：路由功能与安全策略分离导致安全策略部署滞后、策略冲突与配置错误等问题。
• 安全网络一体化平台下的路由与策略协同：通过平台对全网设备、策略和流量进行统一的分析、调度与编排，实现安全分析模块的决策结果转化为网络路由系统可执行的流量调度与路径调整动作的自动化机制。

3.2 安全能力按需投送

• 传统安全能力部署的痛点：部署僵化与资源利用率低、流量路径迂回与性能瓶颈、防御能力响应迟缓。
• 安全能力按需投送理念：依据策略，在数据流经网络设备时，对这些默认处于静默状态的安全功能进行动态“激活”和应用。
• 技术实现：建立统一制定和下发策略的管控平台，设备具备精准识别相应数据流的能力，通过动态调用实现按需投送。
• 按需投送的优势与价值：提升网络性能与资源效率、提供敏捷的能力部署方式、增强业务响应与部署灵活性、扩大安全覆盖的广度和策略的一致性。

四、图驱动智能编排的框架设计

4.1 感知、理解、决策、响应的核心能力

• 感知阶段：从所有相关的网络基础设施中全面、持续地采集各类数据，并进行标准化的处理与治理。
• 理解阶段：将来自感知阶段的海量、零散的数据，转化为结构化的、具有深度洞察的知识，通过构建统一图建模完成。
• 决策阶段：依据理解阶段提供的深度洞察，制定最优的应对策略，并将其转化为可执行的任务。
• 响应阶段：将决策阶段生成的策略转化为实际行动，依托网络设备的策略执行能力，实现对威胁的快速阻断、流量的动态调控及安全状态的持续优化。

4.2 全网流量的实时感知与处理

• 全域流量感知的核心维度：流量基础特征感知、路由与安全状态关联感知、应用层协议特征感知、安全设备日志联动感知。
• 实时处理的关键技术机制：分布式数据采集架构、高性能的智能分析与深度处理平台、与响应阶段的实时联动反馈。

4.3 拓扑、流量与安全状态的统一图建模

• 多源数据融合图结构：将网络拓扑、流量特征与安全状态抽象为图的节点和边，形成统一、关联的数学模型。
• 图模型的动态构建过程：包括节点标准化、节点实例化、边标准化、边实例化四个阶段，将原始数据实时地注入、实例化并关联到图模型中。

4.4 可编排智能引擎

• 智能编排框架组成：GraphConfig、Graph、Scheduler、Node/Calculator、Task。
• 核心功能：弹性资源管理、异构集群支持、动态编排逻辑。

4.5 插件化机制

• ONNX与模型模块化：ONNX作为AI领域的开放标准，其模块化设计体现在模型封装和扩展机制上。
• 自定义扩展与编排模块化：通过自定义算子和ONNX函数，实现原子功能模块化和更高层次的逻辑组合与抽象。

五、框架落地与场景实践

5.1 全网DDoS攻击检测与缓解方案

• 案例背景：DDoS攻击规模和复杂性持续提升，传统防御方案存在检测视角局限、检测逻辑滞后、响应机制割裂、适应能力匮乏等问题。
• 解决方案：基于网络原生智能框架，实现全网流量的精准检测、攻击行为的智能决策与阻断等自动化缓解手段，形成从“秒级检测”到“秒级响应”的全流程自动化闭环。

5.2 路由安全一体化解决方案

• 案例背景：域间路由系统安全是网络空间安全的重要基石，传统应对方案面临响应机制滞后、系统能力割裂、控制平面状态的可见性缺失等挑战。
• 解决方案：基于“安全网络一体化”理念，构建以“安全网络一体化平台”为核心的闭环路由安全解决方案，实现从“发现”到“处置”的全流程自动化。

六、架构生态与未来展望

6.1 模块化开放的架构、生态与接口

• ONNX的开放架构：以计算图为核心，构建一个松耦合、可扩展的系统框架，支持动态形状和量化。
• ONNX的生态体系：涵盖LLM、边缘AI和多模态应用的全面链条，获得广泛兼容和积极贡献。
• ONNX的接口机制：标准化模块间交互，确保互操作性和扩展性。

6.2 迈向全面零信任及下一代SASE与SD-WAN

• 下一代SD-WAN：具备预测和自愈能力的智能网络平台，实现从被动响应到主动保障的预测能力，从简单故障切换到业务自愈的升华，从执行静态规则到理解业务意图的转变。
• 全面零信任的下一代SASE：将零信任原则转变为一个动态的、能够自主执行并持续进化的安全能力，实现安全层面的自愈，将管理员的角色从“规则配置者”转变为“业务意图声明者”。

6.3 构建可验证的安全智能体系

• 可验证的安全智能体系：融合网络原生智能架构，通过分层架构实现自动化威胁检测与响应，并具备可追溯、可解释、可审计、可靠性质。
• 与传统安全体系相比：动态调整能力的提升和全流程可验证性的强化。

七、结语

• 网络原生智能发展需由动态威胁防御需求与智能技术演进双向驱动。
• 紫金山实验室联合产业伙伴在业界首次实现基于图驱动引擎的意图化安全编排框架。
• 期待通过本白皮书的探索，凝聚更多行业力量，共建具备自适应防护、可验证决策与全域协同能力的下一代智能安全网络基础设施。