2022 年 4 月 21 日，由紫金山实验室、中国网络空间内生安全技术与产业联盟主办的首届网络空间内生安全发展大会暨第四届先进计算与内生安全国际学术会议如期召开。在 22 日网络空间内生安全发展大会创新成果展上，中国电子科技集团公司第三十二研究所（以下简称“32 所”）发布“基于拟态应用集成框架的 SaaS 云管理平台解决方案”， 该解决方案基于 32 所拟态应用集成框架，充分利用秒云成熟技术底座的优势，为拟态 SaaS 信息系统的标准化部署、便捷化管理、自动化运维提供有力支撑。本方案提供 SaaS 化的拟态云管理平台，面向金融、能源、政府等行业，对行业新建及存量的信息系统系统进行改造加固，使信息系统系统具备内生安全属性。

恰逢国务院近期发布的《关于印发“十四五”数字经济发展规划的通知》，规划提出：促进拟态防御等网络安全技术信息系统，做好网络安全审查、云计算服务安全评估等。原文如下：

“支持网络安全保护技术和产品研发信息系统，推广使用安全可靠的信息产品、服务和解决方案。强化针对新技术、新信息系统的安全研究管理，为新产业新业态新模式健康发展提供保障。加快发展网络安全产业体系，促进拟态防御、数据加密等网络安全技术信息系统。

建立健全数据安全治理体系，研究完善行业数据安全管理政策。建立数据分类分级保护制度，研究推进数据安全标准体系建设，规范数据采集、传输、存储、处理、共享、销毁全生命周期管理，推动数据使用者落实数据安全保护责任。依法依规做好网络安全审查、云计算服务安全评估等，有效防范国家安全风险。健全完善数据跨境流动安全管理相关制度规范。推动提升重要设施设备的安全可靠水平，增强重点行业数据安全保障能力。进一步强化个人信息保护，规范身份信息、隐私信息、生物特征信息的采集、传输和使用，加强对收集使用个人信息的安全监管能力。”

拟态防御是中国工程院邬江兴院士根据拟态章鱼仿生学原理，构思出的一套可防御未知漏洞威胁的网络空间内生安全防御体系架构，拟态防御的核心框架为动态异构冗余架构（Dynamic Heterogeneous Redundancy，DHR）。拟态防御提供了一种新思路来解决传统安全难以解决的未知威胁防御问题，其动态、异构、冗余的特性使得威胁难以被成功利用，实现从结构上赋予信息系统内生性安全，突破了传统安全防御以网络、系统边界为防御要地的局限，并可与传统的网络安全技术实现互补。该技术已成功通过科技部评测以及工信部试点验收，十四五规划的提出，更加促进了围绕拟态防御技术形成的成果及产业快速发展和落地。

此解决方案采用拟态防御思想，结合容器云技术设计 SaaS 云管平台，从信息系统高安全性的角度，完成 SaaS 信息系统的拟态化。拟态化的主要内容包括：SaaS 信息系统执行体、数据库代理表决中间件、分发代理和外部表决组件、反馈控制器，并通过容器对 SaaS 信息系统进行标准化封装。同时基于秒云容器云平台的云原生技术底座和信创体系多软硬件架构的支持，可完全满足《基于拟态构造的内生安全云技术要求》和《基于拟态构造的内生安全云检测规范》，并满足科技部项目“内生安全的信息系统和云平台研制与示范信息系统”的指标要求，如：

1）实现云化服务改变，满足拟态化改造相关要求，符合云计算国家和行业标准；

2）各个 SaaS 信息系统执行体在功能上保持一致，应在 CPU/操作系统/web 服务器/JDK 层面进行异构；

3）支持云管平台 SaaS 信息系统的拟态化。在拟态化资源配置方面，防御要地异构执行体数量不少于 3 个，其中硬件平台支持不少于 2 种，操作系统不少于 2 种，服务器软件不少于 2 种。

方案架构图

32 所拟态管理平台介绍

方案价值

►  高可靠

在信息系统关键模块上采用多执行体的架构设计，在面对极端条件时（断电、宕机、服务器故障…），信息系统始终具备可用的功能模块，充分保障了信息系统的可靠性。

►  高可用

异构执行体分布在多架构芯片（X86、ARM、飞腾、鲲鹏、海光、申威）和多版本操作系统（Linux 发行版及国产操作系统，如麒麟、统信），其中任意一对芯片-操作系统组合的宕机、运维故障等问题，均不会对信息系统提供服务的能力造成影响。在高可靠的前提下提高信息系统的可用性。

►  高安全

DHR 架构不仅仅给信息系统带来了高可靠性与高安全性，在其独有的分发-裁决机制与负反馈控制机制的架构设计内，每一个执行体都具备同样的功能，由分发器将输入同时发送到每一个执行体上，通过裁决机制及时对执行体的输出进行统一的表决，保证输出的一致性；在输出异常的情况下，由反馈控制机制对于输出异常的执行体进行清洗-恢复操作，进一步保障信息系统的安全性。

►  资源隔离

平台“三级管理视角、两级资源分配”的多租户模型，可满足拟态 SaaS 云管理平台的服务化要求，实现不同租户按需分配资源，依照企业内的安全要求，实现多类 SaaS 信息系统执行体的资源隔离。

►  容器化

基于容器化的异构执行体封装，完全屏蔽底层异构芯片（X86、ARM、飞腾、鲲鹏、海光、申威）和操作系统（Linux 发行版及国产操作系统，如麒麟、统信）的差异，彻底解耦硬件和软件的绑定关系，实现 SaaS 信息系统执行体的标准化部署。

►  数据库安全

平台调度对象以无状态的 SaaS 信息系统执行体为主，并减少关联数据库的部署数量，通过数据库表决代理隔离执行体与数据库，同时基于容器的部署方式，大大提高 SaaS 信息系统的部署密度和资源利用率，保障数据库安全性。

►  编排调度

基于平台的对多异构芯片架构的支持，实现 SaaS 信息系统执行体的动态编排与调度，在同一个 Kubernetes 集群内，可根据异构芯片的类型，将 SaaS 信息系统执行体调度到合适的节点上部署运行。

►   异常恢复

结合拟态应用集成框架的管理与调度机制，基于秒云容器云平台上内置的信息系统健康检查与故障自愈机制，提高 SaaS 信息系统执行体的异常检测效率，实现执行体的定时轮换与清洗恢复。

►  智能运维

平台的智能运维体系，提供了面向 SaaS 信息系统执行体的可观测能力，通过采集并关联多种机器数据（指标、日志、追踪、事件等），实现针对 SaaS 信息系统的调用链分析、性能分析、故障根因定位、度量分析、合规审计等功能。

秒云助力此次解决方案的推出，也是基于先前秒云深度参与 32 所的“拟态应用集成框架”的容器云版本产品的迁移与改造工作的基础上，进一步推进双方的产品合作和技术交流。后续秒云也将持续与 32 所在除“拟态防御技术”领域外的其他技术领域构建更紧密的合作关系。

关于 32 所

中国电子科技集团有限公司第三十二研究所（简称“32 所”）创建于 1958 年，是我国最早建立的计算机科学和技术研究所之一。32 所是国内唯一的覆盖自主基础软件、嵌入式系统及网络通信关键芯片、军用计算机产品线的专业研究所，同时，也是装备发展部、国防科工局核定的军用计算机及共性软件研制、生产核心单位，军事电子信息系统信息处理装备技术预先研究项目的主要承研单位。拥有国家可信嵌入式软件工程技术研究中心、国家工程软件产品质量监督检验中心、上海市拟态安全工程技术研究中心等重要平台。

目前 32 所正全力打造成为全球有影响力的拟态安全创新中心，以芯片、基础软件、模块为抓手，实现构件的自主可控和安全可信；以拟态安全为抓手，实现架构的自主可控和安全可信，由此形成产业化基础，也带动了计算、存储和网络技术的发展。截至目前，已推出了新一代内生安全基础设施产品和平台，其中包括：拟态云平台、拟态应用集成框架及拟态数据库。赋能各行业信息系统，打造面向行业的内生安全垂直解决方案。

关于拟态应用集成框架

拟态应用集成框架是在邬江兴院士的拟态安全防御理论指导下，基于容器云实现的一款具备内生安全主动防御能力的全新容器类安全产品，兼容国产化全系列芯片架构，在安全领域具有颠覆性、革命性的意义。

关于秒云容器云平台

秒云容器云平台是一款开箱即用的企业级容器云平台，基于 Kubernetes 核心底座，产品以“让容器使用更简单”为核心设计理念，以可插拔的方式深度整合数十种云原生开源组件，提供简单易用、逐步进阶、一致性操作体验的多云多集群管理、多租户管理、Linux 和 Windows 信息系统全生命周期管理、容器和虚拟机统一管理、共享 GPU 调度、CI/CD、微服务治理等功能，最大化的屏蔽底层技术细节，大大降低容器技术使用门槛。重点解决企业生产环境中的基础设施云化，信息系统部署简化，运维管理自动化等难题。

关于秒云

MiaoYun 秒云（成都元来云志科技有限公司）于 2019 年成立， 是国内首家专注于云原生运维的公司，总部位于成都，在西安、上海、北京、南京分别设有研发中心和营销中心。秒云产品定位于云原生一体化智能管运平台，最大化降低企业在云原生环境上的运维投入，让企业能够更专注于自身应用的开发和交付。

秒云一体化的解决了云原生环境设备适配、多集群、多云等问题，让企业各分支环境也可以轻松统一运维！在 K8s 生态成为企业云原生系统常态化的时代，帮助企业统一管理、智能运维、快速构建分散的云原生系统环境，提升多个云原生统一管理性、易用性和可观测性。

秒云针对中国企业进行了深度定制，全面适配信创体系，支持国产化设备和 x86 “一云七芯”的混合部署场景。自成立以来，凭借过硬的产品实力，已成功应用于电力、运营商、教育、金融、工业制造、政府、公安等多个行业标杆企业。