卫星互联网产业趋势及投资机会分析卫星互联网产业趋势及投资机会分析证券研究报告证券研究报告 行业深度行业深度分析师：任宏道分析师：任宏道SAC编号：S02研究助理：汪正鑫研究助理：.

0人已浏览 2023-12-05 72页 5星级

证券研究报告2023年11月28日行业：通信增持 （维持）上下游深度融合，运营商助推新发展光纤光缆行业深度报告分析师：刘京昭 SAC编号：S08705230400052主要观点u 行业发展趋势明确，两.

0人已浏览 2023-12-05 25页 5星级

趋势一 家宽业务发展驱动全光覆盖加速，千兆成为主流，开始迈向万兆 趋势二 新业务和高体验，驱动家庭全光组网进入高速发展期趋势三 园区走向全光，构筑“零等待、零卡顿、零故障”的万兆 高品质基座 趋势四 行业通信网向着数字化，更可靠连接方向升级和发展 1.1 变化：家庭从娱乐中心成为多元化中心，终端和应用快速增长，体验向超高清和互动发展1.2 演进：光纤覆盖成本快速下降，政策鼓励等驱动千兆宽带成为主流，Cable演进受限开始转光1.3 演进：面向F5G-A万兆时代，产业积极探索万兆应用场景，2024将为50G PON商用元年1.4 行动建议：持续加速光纤建设，部署10G PON Ready网络，积极试点万兆业务010202032.1 挑战：家庭网络体验不佳与智慧家庭新诉求的矛盾日益加剧2.2 实践：家庭组网成运营商主流业务，其中FTTR进入高速发展期2.3 演进：基于FTTR家庭全光底座，进一步孵化智慧家庭增值业务2.4 演进：面临新业务和高体验诉求，运营商加速推进家宽品质运营落地2.5 行动建议：持续完善FTTR标准和能力，广泛部署并持续做厚价值04050505063.1 园区业务云化、业务发展，FTTO P2MP架构、绿色环保、续可再生、带宽无限制，契合园区发展3.2 FTTO全光方案多种硬隔离方案，支撑园区办公、安防等多业务一网承载，节省70% 综合布线3.3 园区WLAN进入Wi-Fi 7时代，FTTO支持从GPON/XGSPON到50PON平滑升级，成最优承载方案3.4 行动建议：持续完善FTTO标准和能力，加深产业共识070708084.1 能源交通等行业向着智能化、绿色低碳、联网联控方向升级4.2 多网合一，满足生产网络硬隔离、大带宽、广连接、低时延需求4.3 SDH网络升级换代时机已到，最新fgOTN标准是最佳演进方案4.4 行动建议：助力企业数字化升级，打造高品质多网合一的行业通信网09091010趋势五 网络DCI互联，东西向流量快速增长，运力品质升级，高波特率技术规模应用 5.1 变化1：全球数据中心规模快速增长，推动DC互联需求加速增长5.2 变化2：高波特率技术成熟，400G/800G超长距传输能力已得到验证5.3 变化3：算力/DC使用体验升级，推动网络运力品质升级、运维升级5.4 行动建议11111212趋势六 流量和体验驱动城域全光承载和调度，光网络加速下沉 6.1 云化新业务需要差异化的网络体验；FMC加速和万兆家宽驱动流量爆炸式增长6.2 光网络下沉成趋势，增强网络灵活调度和自动化能力6.3 行动建议：建设广覆盖的城域光网络，使能极致业务体验，助力全业务发展131414趋势一 家宽业务发展驱动全光覆盖加速，千兆成为主流迈向智能世界 全光网络20231家庭成为多元化中心数字终端和APP快速增长应用向超高清和互动发展开始迈向万兆家庭成为多元化中心随着网络普及和数字化业务的发展，家庭成为在线办公，在线教育、直播娱乐与购物的多元化应用中心，这三种应用在宽带用户的渗透率分别达到了47%，40%和71%，代表着从原来以娱乐应用为主向全方面覆盖人们日常工作、学习和生活丰富场景演进。终端和APP快速增长从使用方式来看，智能化的终端和APP应用也在快速增加，据统计中国拥有6个以上终端的家庭占比为68.4%。而平均每个手机安装的APP到达了74个，包括文件，照片、影像等家庭数字资产年增幅则超过了30%，说明了在人们对网络发展的要求持续增长。应用向超高清和互动发展与此同时，人们使用应用的方式也在向超高清8K，互动以及3D发展。电视台和OTT已经推出了8K频道和内容专区，而在OTT平台上的主播超过了千万，游戏的8K的内容也在23年上线。多种的3D展现方式高速发展，3D PAD已经商用，而XR眼镜出货超过千万。而融合8K，3D的交互成为未来可以预见的发展方向。1.1 变化：家庭从娱乐中心成为多元化中心，终端和应用快速增长，体验向超高清和互动发展迈向智能世界 全光网络202321.2 演进：光纤覆盖成本快速下降，政策鼓励等驱动千兆宽带成为主流，Cable演进受限 光纤覆盖成本快速下降千兆宽带成为主流Cable演进受限开始转光光纤覆盖成本快速下降据统计，全球主要国家的光纤覆盖（HP）建设成本随着网络规模化建设以及新的方案的成熟促进了HP建设成本的大幅下降，相对于早期平均每线下降60%。同时光纤日益成为全球经济和社会发展数字化基础设施，因此各国政府纷纷出台政策鼓励基于光纤的千兆网络发展。千兆宽带成为主流在光纤覆盖的基础上，运营商为用户提供的接入带宽高速增长，预计全球平均接入带宽将从2021年的160M增加到2027年的857M。当前已经发布千兆套餐的运营商为461家，当前千兆用户数已达1亿8千万，而在2027年则接近5亿。Cable演进受限开始转光相对光纤的优良上行能力，Cable上行仅能提供平均11Mbps的带宽，并且时延高达100ms，不能适应当前高质量交互应用的网络要求，再加上光纤本身具有的寿命长和易演进的特性，促使Cable运营商开始规模化的向光纤建设转移。据分析，2022年Cable用户数是最高峰，从2023年开始下降，未来5年平均每年下降幅度3.3%。1.3 演进面向F5G-A万兆时代，产业积极探索万兆应用场景，2024将为50G PON商用元年产业积极探索万兆应用场景运营商万兆套餐开始发布，启动迈向万兆产业积极探索万兆应用场景在F5G-A的演进路线图上，万兆是下一个阶段发展的典型特征，产业围绕着智慧园区，数字生产，美好生活和城市治理四大领域已经启动万兆应用场景积极研究，包括宽带产业联盟和三大运营商以及领先的省市运营商纷纷发布业务场景研究白皮书，探索下一代万兆网络的典型应用和价值。2027年的857M。当前已经发布千兆套餐的运营商为461家，当前千兆用户数已达1亿8千万，而在2027年则接近5亿。运营商万兆套餐开始发布，启动迈向万兆在实践上，典型代表区域和运营商已经启动迈向万兆的步伐，例如海外沙特发布了10Gbps Society的目标，而国内的北京发布了“光网之都，万兆之城”行动计划，杭州则瞄准了建设“双万兆之城”。在全球范围内，有55家运营商发布了万兆套餐，而华为和超过30家的领先运营商完成了50G PON的技术和业务验证。2024年将成为50G PON的商用元年。开始转光1.4 行动建议：持续加速光纤建设，部署10G PON Ready网络，积极试点万兆业务“为了快速满足用户对高品质光纤接入的需求，实现千兆业务普及和体验提升，并瞄准未来的持续发展，持续释光纤建设的价值。建议从下面3方面促进和深化光纤网络建设和发展”。持续加快光纤建设：政策鼓励基础设施建设，运营商引入灵活建网方式和深度覆盖为鼓励光纤建设，建议监管机构鼓励开放光纤所需的管道，杆站等资源，同时考虑对光纤建设的税收优惠等激励措施。而运营商需引入灵活站点选择实现厚覆盖，短联接的建网以及数字化ODN能力，降低整体TCO，促进高速发展。部署10G PONReady网络：网络规划和部署时引入10G PON，为千兆业务打下基础运营商在光纤建设伊始就要考虑10G PON的引入，为后续快速发放和升级千兆业务做好准备。10G PON Ready的网络意味着一次建设，就可以兼容GPON/10G PON，从而节省后续运营商网络演进的投资。积极试点万兆业务：为持续业务领先和释放光纤价值，积极试点万兆业务万兆时代的到来已经是确定性的方向，建议监管机构为推动万兆时代制订新的政策指引，运营商和产业伙伴积极实践和创新基于万兆的的新技术，新架构，新业务，而加速向万兆的迈进。迈向智能世界 全光网络20233趋势二 新业务和高体验，驱动家庭全光组网进入高速发展期2.1 挑战：家庭网络体验不佳与智慧家庭新诉求的矛盾日益加剧迈向智能世界 全光网络20234智慧家庭新业务带来SLA 10倍提升60%宽带投诉和家庭Wi-Fi品质相关76%家庭签约带宽 体验带宽家庭从娱乐中心向多业务中心演进随着家庭数字化和智能化快速发展，家庭逐渐由娱乐中心转变为集远程办公、在线教育、直播娱乐等一体的多元化生活生产中心，对家庭网络的SLA要求显著提升，终端连接数10倍增长，上下行3001000M带宽，小于20ms稳定时等。家庭Wi-Fi体验成为用户投诉焦点随着智能化新业务的蓬勃发展，家宽用对家庭网络体验要求越高。参考部分用户投诉问题分析，Wi-Fi相关投诉占宽带投诉比例高达60% ，这一方面增加运营商Opex，另一方面也带来离网率增加，成为家宽持续发展的关键瓶颈。签约带宽体验带宽矛盾日益加剧“千兆入户易，百兆入房难”，有数据表明76%的家庭签约带宽体验带宽，室内Wi-Fi联接甚至只有几十兆。主要愿因是老旧网线、老旧光猫、2.4GHz单频路由器、多厂家多规格设备拼凑型组网等导致。迈向智能世界 全光网络202352.2 实践：家庭组网成运营商主流业务，其中FTTR进入高速发展期全球84%运营商发展家庭组网业务FTTR可能是家庭组网终极形态FTTR进入高速发展期(23年超千万套)2.3 演进：基于FTTR家庭全光底座，进一步孵化智慧家庭增值业务智慧家庭跨越裂谷，5年CAGR 20% 运营商打造智家业务第二增长曲线运营商从一根纤-一张网-一个家从一根纤到一张网，家庭组网成为运营商新主流业务随着光纤FTTH的普及，全球84%运营商已发展家庭组网业务。截止22年底中国移动智能组网渗透率已达39%。通过家庭组网可提升运营商ARPU值，并且和用户签署长期套餐（23年），降低离网率。FTTR是全屋千兆体验可保障的唯一方案随着数字家庭业务逐渐丰富，用户对Wi-Fi覆盖需求日益提高，相对于Wi-Fi Mesh、电力线和网线组网等组网方案，FTTR能带来全屋无死角稳定千兆 覆盖及无缝漫游等体验，为数字家庭应用打造高品质的全光底座。FTTR成产业共识，进入高速发展期随着千兆普及，FTTR 10GPON构筑真千兆体验成为产业共识。全球100 运营商已发布FTTR商用套餐（中国86省运营商，海外20 运营商），全球已发展千万家庭，HB联通等领先运营商日发展2000 用户。智慧家庭跨越裂谷，5年CAGR 20% 参考Gartner发展曲线，智慧家庭跨越裂谷走向成熟。据OMDIA 22年咨询报告，未来5年全球智慧家庭数预计超2亿户，带来超2000亿$空间。同时智慧家庭从早期智能单品向全屋智能发展演进。运营商将智慧家庭定位为第二增长趋势领先运营商LGU 、DT、中国3大运营商等积极通过智慧家庭实现新增长。其中中国移动HDICT 1 6战略，创新移动看家、智能家居、健康养老、爱家教育等增值业务，22年智家业务实现40% 的收入增长 运营商从一根纤-一张网-一个家运营商基于FTTR全光底座发展数字家庭增值业务，首先构筑C-WAN架构的室内一张网，再推进FTTR从联接走向联接 全屋智能业务 云宽带业务 计算感知等融合服务能力，发挥云网融合能力，提供智能化新业务2.4 面临新业务和高体验诉求，运营商加速推进家宽品质运营落地随着超高清、强交互、沉浸式家宽业务的快速发展，用户日益重视家宽业务体验，也愿意为优质体验付费。运营商积极响应用户高品质业务诉求，积极探索、推进家宽品质运营落地，实现家宽业务的高质量发展。主要包含3个方面：迈向智能世界 全光网络20236体验数字化度量体验分级经营大模型助力体验保障闭环2.5 行动建议：持续完善FTTR标准和能力，广泛部署并持续做厚价值 体验数字化度量从网络质量评估向用户体验评估演进，实现对用户家宽业务体验准确度量。中国移动已率先启动试点，家宽体验评估从无序走向标准化。体验分级经营运营商基于FTTR给家庭提供看家、存储、视频、健康等智慧家庭业务，推出护苗宽带、电竞宽带、教育宽带、跨海加速等异化保障增值服务。体验主动保障大数据智能分析、大模型发展应用，为闭环体验保障提供了关键技术支撑。中国三大T运营商及部分海外先进运营商发布大模型及应用探索。从带宽经营走向体验经营，不断提升家庭宽带用户的数字家庭体验，保障用户真正享受到千兆网络的高速和便捷，将会是电信运营企业和相关产业链的工作重点，建议从下面3方面持续深化FTTR建设：标准先行：制定并持续完善FTTR标准生态为提升FTTR在住宅和楼宇部署效率，建议政府、通管局、住房与建设管理单位等联合制定光纤到房的相关布线、施工和验收等标准。同时协同ITU/CCSA/ETSI等多组织推动FTTR标准制定，包括业务体验评价度量标准和C-WAN一张网架构标准等。广泛部署：多维度构建能力实现广泛部署运营商从商业套餐设计、施工和验收标准和能力建设及政策支持等多维度推进FTTR广泛部署。同时从规建验维营全流程持续打造FTTR精品产品和服务，基于FTTR发布星级套餐，给用户提供真千兆的品质体验，不断满足人民对美好生活的诉求。持续发展：基于FTTR全光底座孵化智慧家庭增值业务差异化承载孵化场景宽带新业务，引入星闪、开源鸿蒙等新能力，构筑全屋智能的全光底座和业务生态，持续做强家宽品质和做厚用户价值，为万千家庭提供全屋覆盖的高品质体验，构建智慧社区和智慧家庭的连接、控制、计算和存储中心。趋势三 园区走向全光，构筑“零等待、零卡顿、零故障”迈向智能世界 全光网络20237的万兆 高品质基座 政企业务云化加速，预计25年80% 企业，85% 业务完成云化，业务和应用服务器集中部署在数据中心或公/私有云，园区网络的流量模型从原来的以东西向流量为主（水平方面的流量）演变为以南北向流量为主（垂直方向的流量）。园区业务变化驱动网络带宽持续升级，每5-8年带宽需求5倍增长，传统方案每次带宽升级均需重新铺设铜线。传统园区网络多层以太网交换架构成为瓶颈，需要一个适应网络南北流量为主、架构简单、支持业务带宽快速增长的网络方案，FTTO P2MP架构、绿色环保、续可再生、带宽无限制，契合园区发展。3.1 园区业务云化、业务发展，FTTO P2MP架构、绿色环保、续可再生、带宽无限制，契合园区发展园区业务云化，流量由东西向南北向园区业务发展驱动网络每5-8年带宽5倍增长3.2 FTTO全光方案多种硬隔离方案，支撑园区办公、安防等多业务一网承载，节省70% 综合布线迈向智能世界 全光网络20238 园区存在办公、安防、生产、IoT等多种业务，传统专网专用建网模式，虽能实现各业务间隔离，保障业务安全，但综合成本高，占用大量机房空间，产生大量综合布线，投资大、维护难度大。客户从降低维护成本、提高运维效率考虑，有明确“多网合一、综合承载”诉求，但需要确保合一后，各业务隔离与安全。FTTO支持D-NET专网隔离、OSU over PON专线隔离、50GPON 3模波长隔离等多种硬隔离方案，实现办公、安防、物联、生产等多业务一网、一设备承载，节省70%综合布线，可在教育，医疗，零售，大企业等行业场景，广泛部署和应用。D-NET专网隔离&OSU over PON专线隔离50GPON 3模波长隔离 Wi-Fi 7已经从标准定义进入商业阶段，高通，博通，MTK，英特尔等厂家从2022年开始发布了Wi-Fi 7芯片，超50个国家将6GHz频谱给Wi-Fi，驱使园区160Mhz连续组网成为可能，单终端峰值可达到5Gpbs 。WiFi升级带动有线（WiFi AP回传）网络升级，2.5GE将成为Wi-Fi 7 AP最低要求，园区有线MutliGE（2.5GE/5GE/10GE）端口发货占比将持续升高。FTTO支持从GPON/XGSPON到50PON平滑升级，满足园区WiFi高突发、高密接入带宽诉求，成为WiFi7 AP回传最优承载方案。3.3 园区WLAN进入Wi-Fi 7时代，FTTO支持从GPON/XGSPON到50PON平滑升级，成最优承载方案全球已有超过50个国家发布6 GHz频谱园区有线MutliGE端口发货占比升高3.4 行动建议持续完善FTTO标准和能力，加深产业共识“FTTO全光网具有全光联接、超高带宽、极致体验的特性，从产业趋势来看，不仅可以作为一个相较传统以太网更好的替换方案，更能作为某些关键改变的起始点，甚至成为一些领域竞争力的来源。”拓宽F5G行业应用加深产业共识拉通产业上下游，协同设计院、集成商、典型客户伙伴等核心参与者，共同完善行业方案，推动工程技术标准和规范，推广行业示范应用，并共同培育产业人才，促进产业深度协同和繁荣，消除产业瓶颈，促进全光产业长期健康发展。使用FTTO全光方案替代传统以太方案建网积极引入FTTO、50GPON、网络切片等技术，满足园区网络流量南北化、业务带宽快速增长、多网合一等诉求，并很好发挥其简架构、易演进、简运维、高可靠的技术优势，简化园区建维、降低TCO与碳排放、提升IT效率。趋势四 行业通信网向着数字化，更可靠连接方向升级和发展迈向智能世界 全光网络202394.1 能源交通等行业向着智能化、绿色低碳、联网联控方向升级新型电力系统五大变化城轨业务云化 智慧化转型路网感知 车路协同 电力国家双碳战略，更多的小惯量清洁能源并网，2030年新能源将占比达到48%。城轨城轨发展步入新时代，业务上云以及智慧化转型是未来趋。势，2025年85%业务上云。高速基础设施数字化升级加速，2025年实现路网感知、联网联控；2027年智慧路 智能车实现车路协同，支持L2 级自动驾驶能力。4.2 多网合一，满足生产网络硬隔离、大带宽、广连接、低时延需求 电力1、电力数字化升级III/IV区业务下沉到配网，产生多网合一硬隔离统一承载诉求；2、小惯量清洁能源并网及千万量级的充电桩，对于网络的精准控制提出更高的诉求，从原来的秒级提升到ms级。城轨视频云化及集中判图的应用诉求，南北向流量迅速增长，带宽增长10倍，同时要求可保障的带宽，更低的时延以加快对图像的判定速度。公路1、车路协同路侧态势感知，V2X和智能驾驶，单站50倍流量膨胀，需要高速、实时、稳定、可靠的业务控制网 2、现代化综合交通运输体系建设，视频云联将部署更多的摄像头，考核摄像头在线率99%。迈向智能世界 全光网络2023104.3 SDH网络升级换代时机已到，最新fgOTN标准是最佳演进方案4.4 行动建议：助力企业数字化升级，打造高品质多网合一的行业通信网行业SDH生产网经过20 年的使用，从标准演进、产业链健康度、新技术更迭等各方面已跟不上步伐，特别面向日新月异的行业数字化新应用以及各类终端、AV/VR智能辅助，10G的带宽上限已成为行业进一步发展的重要瓶颈。最新的fgOTN技术吸纳了SDH小颗粒优势以及OTN超100G的大带宽优点，已成为接盘SDH的最佳技术路线。fgOTN已形成通信行业共识，23年底将在ITU-T/IEEE/CCSA全面正式发布。多网合一，集约高效，安全可靠OSU具备OTN大带宽和SDH小颗粒的优势行业数字化升级，对网络要求更高面向Sub1G，fgOTN在国际标准已达成共识 建设多网合一高品质网络行业生产网对于时延与可靠性的要求不断提升，行业办公网对网络带宽的升级诉求愈来愈强烈，新类型的业务与应用持续衍生，建设多网合一的高品质通信底座，为行业数字化升级提供基础。升级带宽与根技术OSU技术与产业链成熟，相关标准全面发布。SDH网络改造与升级演进时机已到，采用最新的传输/接入技术进行网络升级，提升带宽与各项网络KQI。端到端可视可管网络数字孪生成为业界共识，行业网络需求从传输逐步向下延展和延伸，同时接入终端的数量迅猛增长，网络管理的难度和复杂度也在同步提升。建设从传输到接入端到端可视可管的网络，为通信专业提供一张图和统一管理和运维的能力。迈向智能世界 全光网络202311趋势五 网络DCI互联，东西向流量快速增长，运力品质升级，高波特率技术规模应用5.1 变化1：全球数据中心规模快速增长，推动DC互联需求加速增长DCI市场规模快速增长，未来5年全球整体CAGR 7.1%ICP/CNP巨头布局AI全栈，催生智算新模式更需要长距光传输CSP运营商布局算力网络，DC为中心的高速干线光网是基础底座 数据中心蓬勃发展，促进DCI需求增长DCI投资规模快速增长，以ICP/CNP和CSP为主ICP（Internet content providers，典型是AAG）和CNP（Carrier-neutral providers，典型是Equinix、Digital Realty）占比50%，CSP（Communications service providers，即通信运营商）占比36%。OTT巨头布局AI全栈，生成式AI产业将在25年内快速成熟随着生成式AI的快速成熟，从文本发展到视频和机器感知，未来几年所产生的数据量增长10倍，将释放海量带宽需求；大模型驱动算力汇聚到云，催生智算云服务新模式，包括算力产生和算力传递，算力服务提供点趋向于集中，算力的训练需要不断的有新数据的不断交互才能够更加智能及判断更实时，大量数据跨越几百甚至几千公里，在DC和DC之间及DC和企业用户之间高效传递。运营商加快算力中心布局，以网强算战略带动DCI需求的快速增长中国运营商落地东数西算建设高速DCI国干，海外大T建设 泛区域干线，提升单纤容量。5.2 变化2：高波特率技术成熟，400G/800G超长距传输能力已得到验证迈向智能世界 全光网络202312高波特率（130GB ）技术进入规模商用400G QPSK 测试性能超5000公里，满足干线部署基于如下三个方面的技术发展，400G光模块组网能力已达到和100G/200G相当，覆盖长距及超长干线传输场景：（1）高速光器件成熟：130GB 高速光电器件已于2023年成熟，包括：调制器、ADC、DAC、ICR，使得400G可实现QPSK高性能编码；（2）合封工艺突破带宽限制：采用光电合封，将oDSP、调制器、driver、接收机等共基板合封，消除了关键阻抗不连续点问题，大幅降低反射提升带宽。（3）高性能光算法补偿系统损伤，逼近香农极限：光电器件指标离散性和端到端损伤是影响性能的主要原因，DSP算法通过星座整形调制、器件损伤标定、非线性抑制技术来补偿器件一致性指标缺陷、串扰、非线性等问题。5.3 变化3：算力/DC使用体验升级，推动网络运力品质升级、运维升级以DC为中心建网，驱动运力品质升级光网自动化、智能化加速运维升级5.4 行动建议 以DC为中心建网，驱动运力品质升级DC的蓬勃发展正加速企业数字化转型过程，金融、智能交通、智能制造、医疗健康等行业要求海量数据在云端和边缘端之间能够通过高可靠、低时延网络实现快速交换的工作协同。运力网络作为用户端和算力中心的连接纽带，正加速向确定性、高品质升级。泛在，低时延、高可靠、一体化调度即取即用的运力网络，助力释放算力服务潜力，给用户带来极致体验。光网自动化、智能化加速运维升级光网规模在持续增长，传统的光网运维，以人为中心，无法满足运营商OPEX降低、业务品质运营诉求。随着融合感知、数据分析以及智能技术的发展，光网运力保障会逐步迈向高阶自动化阶段，为千行百业提供差异化、确定性运力保障，助力运营商降本增效、提质增收。匹配云网战略，建设全光运力网，单波速率和光纤频谱同步升级，践行光摩尔定律(单纤容量翻倍，干线从 16T 升级到 32T，城域从 32T 升级到 64T/96T)：电层部署400G/800G，优化单BIT成本（1）干线超长距：200G QPSK-400G QPSK（2）城域中短距：400G 16QAM -800G 16QAM /1.2T 64QAM。光层升级C120 L120，释放光纤频谱（1）波长频谱升级：C120-C120 L120（2）光层调度升级：FOADM/ROADM-C L一体化OXC。全光传送网络L4，品质运力运营（1）运维升级：离线业务规划、人工故障定位-规划配置软调自动化、自动故障定位。（2）业务品质升级：带宽保障-差异化SLA敏捷调度，可用率保障，时延保障。趋势六 流量和体验驱动城域全光承载和调度，光网络加速下沉6.1 云化新业务需要差异化的网络体验；FMC加速和万兆家宽驱动流量爆炸式增长迈向智能世界 全光网络202313 云化新业务要求差异化SLA网络体验随着数字化和智能化快速发展，以裸眼3D，云NAS，VR云游戏，云办公等为代表的极速云交互类业务快速发展，要求网络带宽和时延10倍提升，保障用户体验。如：互动云游戏业务带宽需求超过1G，时延要求20ms。云NAS业务，带宽要求则高达2G。FMC趋势加速，光纤成为网络瓶颈过去4年，29%的全球移动运营商发展固定网络业务，转型为综合运营商，发布全业务套餐提升竞争优势。运营商普遍光纤覆盖不足，53%的运营商需要租用更多的光纤，需要最大化光纤效率，降低光纤租赁成本。网络流量年均增长30%随着5G，千兆家宽和企业业务发展，带来网络流量年均增长率超30%，需要持续降低网络单比特成本，提升网络资源利用效率，匹配业务发展需求。新业务带来SLA 10倍提升网络流量年均30%增长29%移动运营商发布全业务套餐迈向智能世界 全光网络2023146.2 光网络下沉成趋势，增强网络灵活调度和自动化能力6.3 行动建议：建设广覆盖的城域光网络，使能极致业务体验，助力全业务发展 运营商加快城域光网络建设过去5年，全球运营商光传送网络部署到城域汇聚站点的比例从20%提升到85%，城域CO站点的比例提升为41%，sub-CO提升为3%，我们分析发现主要是因为每下沉一个网层，站点规模十倍增加，到CO站点则是百倍增加。未来将进一步延伸，一张全光综合承载网，支持全业务发展战略。匹配城域网络的灵活光交换技术光交换相比电交换具备低时延，绿色节能，大容量等优势，当前主要在骨干网络应用，匹配城域发展的小型化灵活光交换技术已成熟，可以匹配城域网络多场景，低时延和绿色发展的需求。网络端到端自动化随着城域网络规模建设，网络节点数不断增长，传统手工运维无法支持网络发展需求，需要在规、建、维、优各个业务阶段提供网络自动化支持，提升网络运维效率，降低网络OPEX。建设全业务承载的城域光网络新类型的业务与应用持续发展，建设全业务承载的城域光网络，提供更大的带宽，更低时延，更高的可用率，支撑运营商全业务发展战略，满足未来10年业务需求和高品质体验。全光灵活调度绿色节能光交换OXC技术向边缘延伸，一跳直达网络核心，构建光波长调度的“数字化立交”，实现不同光信号的任意方向调度，满足业务绿色节能，超低时延，云网协调。网络自动化简化运维网络数字孪生成为业界共识，网络节点数量迅猛增长，网络管理的难度和复杂度也在同步提升。传送网络逐步走向自动化、自智化，通过推进光层数字化和引入AI技术，增强网络自运维、自优化的能力，降低运维人员的技能要求，实现傻瓜式运维。运营商选择光网络下沉匹配城域的灵活光交换技术网络端到端自动化迈向智能世界 移动网络2023免责声明本文档可能含有预测信息，包括但不限于有关未来的财务、运营、产品系列、新技术等信息。由于实践中存在很多不确定因素，可能导致实际结果与预测信息有视大的差别，因此，本文档信息仅供参考，不构成任何要约或承诺，华为不对您在本文档基础上做出的任何行为承担责任。华为可能不经通知修改上述信息，恕不另行通知。版权所有 华为技术有限公司 2023，保服一切权利。非经华为技术有限公司书面问意，任何单位和个人不得擅自摘抄、复制本手册内容的部分或全部，并不得以任何形式传播。商标声明 是华为技术有限公司商标或者注册商标。在本手册中以及本手册描述的产品中，出现的其它商标、产品名称，服务名称以及公司名称，由其各自的所有人拥有。

0人已浏览 2023-11-01 18页 5星级

通感一体：场景需求与标准化2目录需求与驱动力12场景与工作模式标准化进程与构思33未来网络发展趋势 智慧泛在智慧泛在 算力泛在算力泛在 感知泛在感知泛在 信息泛在信息泛在数字世界数字世界物理世界物理世界未来网络将是通信、感知、计算、AI、安全、大数据一体融合的新一代移动信息网络通感算融合技术赋能网络从无线传输向网络感知扩展，具有无时无刻、无处不在地感知与认知物理世界的基础能力，助力“万物互联“走向虚拟与现实结合的“数字孪生”世界数字孪生，智慧泛在4未来网络发展趋势平台化服务网络应用场景逻辑功能层管理编排通感互联智慧工业超能交通全息交互精准医疗智能交互元宇宙通信能力感知能力计算能力AI 能力数据能力多维网络能力控制面用户面数据面计算面安全面数字孪生安全能力网络无所不达算力无所不及智能无所不在Sub-6G毫米波可见光Sub-6G端算力物理基础设施层全光底座算网底座智算中心边算力边算力边算力太赫兹星地融合Sub-6GSub-6G通信感知一体化未来网络具有网络无所不达、算力无所不及、智能无所不在特征（XaaS）5应用场景复用规模部署的通信网络，低成本构建全覆盖、全天候、高性能通感算智融合网络广泛应用于无人机、车联网、智慧工厂等场景，推动垂直应用升级热点覆盖城区宏网覆盖智慧工厂智慧交通郊区宏网覆盖无人机探测26GHz26GHz2.6GHz/2.6GHz/4.9GHz4.9GHz*中国移动现已部署190万个5G基站，全域覆盖能力强高精度定位环境重构监测与识别入侵检测无人机3D导航、超速检测等工厂智能、呼吸监测、动作识别等数字孪生、3D电子地图等黑飞无人机监测、电子围栏等6工作模式3GPP定义6种感知模式，其中运营商最关注的是模式1（基站自发自收，简称A发A收）和模式5（基站协同感知简称A发B收）。两种模式由基站独立完成，不依赖协议和终端，具备提前产业化基础和信息隐私性保障关键问题独立感知协作感知挑战自干扰同源自干扰无独立感知要求较强的自干扰删除能力。同步问题无站间同步误差网络协作感知收发节点分离，存在同步误差。p两种模式主要区别独立感知协作感知（节点（节点A A发，经发，经探探测目标反射，节点测目标反射，节点A A收）收）（节点（节点A A发，经发，经探探测目标反射，其他节点测目标反射，其他节点协作接协作接收）收）7通感一体技术标准化进程与构思多阶段、多层面推进多阶段、多层面推进通感一体化技术标准化通感一体化技术标准化2022202320242025Stage 1Stage 2Stage 32026通感融合空口技术、通感融合组网技术研究网络架构研究SA2 R19核心网侧网络架构SI或SI WIRAN R20空口技术、本地化网络架构SI WI2027RAN全会高优先级场景需求SI RAN1 R19信道建模SISA1 R19场景需求SI场景与需求研究通感信道测量与建模研究 场景需求场景需求网络架构网络架构信道建模信道建模空口技术空口技术从场景需求、网络架构、信道建模、空口技术等方面多阶段、多层面推进通感一体化技术标准化8感知能力评价指标感知评价指标感知性能影响因素距离分辨率带宽距离精度带宽、回波信号SINR、感知算法等速度分辨率时域感知时长速度精度时域感知时长、回波信号SINR、感知算法等角度分辨率天线口径、频段角度精度天线口径、频段、回波信号SINR、感知算法等定位精度距离精度、角度精度、定位算法等成像精度频段、带宽等虚警率回波信号SINR、虚警漏警门限等漏检率回波信号SINR、虚警漏警门限等时延计算能力、数据融合处理层级等数据刷新率感知数据获取能力、计算能力、信息传输能力等.根据特点场景，制定合理的可满足业务需求并且技术可实现的感知能力KPI*结合3GPP TR 22.837 Feasibility Study on Integrated Sensing and Communication(Release 19)指标能力要求9感知能力评价指标n 理论上，入侵检测类业务需求可基于中低频部署即可实现n 轨迹跟踪类业务需求基于毫米波部署基本可满足n 成像类业务需求则需要基于太赫兹部署实现感知评价指标感知能力2.6GHz,B=100MHz,Pt=52dBm26GHz，B=400MHz,Pt=36dBm200GHz，B=30GHz通道数 64/阵子数192通道数 4/阵子数512通道数 4/阵子数1024距离分辨率1.5m0.38m0.005m距离精度0.30m0.07 0.001速度分辨率5.8m/s T=10ms0.58m/s T=10ms0.075m/s T=10ms速度精度1.14m/s 0.11m/s 0.015角度分辨率8天线：12.716天线：6.332天线：3.2角度精度0.790.390.19*结合3GPP TR 22.837 Feasibility Study on Integrated Sensing and Communication(Release 19)指标能力要求10通感融合网络架构标准侧网络架构仍在讨论中，目前存在紧耦合及松耦合两种方案，其中松耦合架构不依赖标准，利于较快实现紧耦合方式（感知与核心网耦合架构）松耦合方式（感知本地化）感知功能与现有5GC架构深度融合，尽可能依托现有5GC功能、接口和协议实现感知使能和对外开放，支持面向区域、目标感知，也可支持基站感知、终端感知、端站协作感知 与现有5GC相对独立，感知网元无需与5GC交互或只执行较少交互，不依赖标准，利于较快实现11通感融合网络架构建议综合式架构，部署轻量化、低时延网络架构，满足低时延感知业务需求，满足不同场景多样化感知需求感知架构优缺点本地分布式架构感知网元逻辑上属于基站内部的一个功能 不需要引入新的开放接口，架构简单，传输节点少，易部署 单站感知适配性高本地集中式架构感知网元逻辑上属于接入网，但是属于独立于基站之外的一个单独节点或实体 单站感知和多站感知都可适配综合式架构一部分感知网元属于接入网，另一部分感知网元属于核心网 根据不同的感知应用场景进行不同的感知信令配置及感知数据收集，最大限度地扩展了通信感知一体化的应用范畴本地化、轻量化管理的网络架构，降低感知时延，满足低时延感知业务需求12通感融合信道模型1 J.Zhang,J.Wang,Y.Zhang,Y.Liu,Z.Chai,G.Liu,and T.Jiang,“Integrated Sensing and Communication Channel:Measurements,Characteristics and Modeling,”IEEE communications magazines,Minor,2023.n 频段：通感融合信道建模应充分考虑不同频段特性（频率依赖性）n 场景：丰富考虑通感融合信道场景，例如室内、室外、LoS、NLoS等n 信道建模方法：应用分段/不分段建模、统计性/确定性建模方法 发布全频带信道测量平台 大尺度信道建模增强：LOS概率增强、路径损耗建模增强、引入RCS模型等 小尺度信道建模增强：分段信道建模方法 不分段信道建模方法 空间一致性建模 移动性建模13通感融合空口与组网技术D DD DD DD DU UsensingsensingD DU UD DU UU UsensingsensingD DU UD DU UU Usensingsensing 感知参考信号设计及发送方式 感知资源、通信资源调度及冲突避免 组网感知信息传输及交互流程 组网干扰协调 融合定位方法.通感融合空口与组网技术仍在讨论中，从感知信号设计、资源调度、信息交互流程等方面设计满足多样化感知需求 通信、感知资源通过TDM/FDM/SDM等方式融合感知参考信号设计及发送方式时间频率通信感知感知资源、通信资源调度及冲突避免14总结p 场景需求与感知能力结合场景特点与需求，制定合理的可满足业务需求并且技术可实现的感知能力KPIp 通感网络架构、信道模型及空口技术标准化需针对场景制定结合场景时延、性能等需求，确定网络架构模式、空口技术等标准化内容p 空地协同对垂直覆盖和精度提出更高要求通信主要服务地面用户，目前通信网络低空覆盖能力和感知精度受限，需考虑新站型新规划可以考虑专网的方式实现空地协同场景下的无人机覆盖，但成本较高

0人已浏览 2023-11-01 14页 5星级

互联 网现状第 9 卷，第 1 期攻击快车道深入了解恶意 DNS 流量攻击快车道：第 9 卷，第 1 期 SOTI1目录域名服务器攻击流量快车道Akamai DNS 流量分析术语 威胁当头：企业内无处不在的恶意流量家庭用户面临攻击威胁网络钓鱼现状概述结论和建议：主动出击，应对现代攻击方法致谢名单2462533353637攻击快车道：第 9 卷，第 1 期 SOTI1攻击快车道：第 9 卷，第 1 期 SOTI2域名服务器攻击流量快车道 域名服务器(DNS)自问世之初就一直是互联网基础架构的重要组成部分。无论在家中还是公司，我们的大多数网上活动都要借助 DNS 的力量，这样我们才能够正确导航到万维网上的目的地。当然，攻击者往往也会选择利用这一基础架构来实施攻击，比如让攻击威胁访问命令和控制(C2)服务器来等候指令，或者让远程代码执行连接某个域名，以将恶意文件下载到设备中。由于 DNS 无处不在，它已成为攻击基础架构的重要组成部分。作为一家安全公司，Akamai 具有独特的优势，我们可以观察并且保护企业和家庭用户，帮助他们抵御恶意 DNS 流量，避免由此造成系统入侵和信息被盗。在本报告中，我们将分析以全球家庭用户和企业为攻击目标的恶意流量。通过全面分析恶意 DNS 流量（包括其与攻击者团体或工具的关联），企业就能获得重要信息，了解自身面对的最为普遍的威胁。因此，这些信息可以帮助安全从业者评估其防御态势，还可以执行缺口分析，从而满足用于抵御这些威胁的技术和方法的需要。如果不这样做，攻击就有可能得逞，进而造成机密数据丢失、财务损失，或是因为不合规而遭受处罚。到 2025 年，网络犯罪造成的损失预计会激增到每年 10.5 万亿美元，企业必须做好防范攻击的准备。在分析针对企业和家庭用户的恶意 DNS 流量时，我们观察到了数次攻击爆发和攻击活动，例如基于 Android 的恶意软件 FluBot 在世界各个国家或地区之间传播，以及各类以企业为目标的网络犯罪团伙的猖獗活动。或许最好的例子莫过于与初始访问代理(IAB)相关的 C2 流量泛滥，这些流量旨在入侵企业网络，让攻击者将获得的访问权限卖给其他方（例如勒索软件即服务(RaaS)团伙）来谋利。我们在 DNS 这条信息快车道上观察到了这些活动，并特此分享给大家，希望能给读者带来些许收获。攻击快车道：第 9 卷，第 1 期 SOTI3根据我们的数据，在任意给定季度，都有 10%到 16%的企业的网络中出现过 C2 流量。C2 流量的出现表明网络有可能正在遭遇攻击，或者发生了 入侵，而威胁可能包括信息窃取僵尸网络、IAB 等众多形式。26%的受影响设备曾连接过已知的 IAB C2 域，包括与 Emotet 和 Qakbot 相关的 IAB C2 域。IAB 的主要任务就是执行初始入侵，并将访问凭据销售给勒索软件团伙和其他网络犯罪团伙，因此会给企业造成重大风险。网络连接存储(NAS)设备正中攻击者的下怀，因为这些设备不太可能安装修补程序，而且存有大量高价值的数据。我们的数据表明，攻击者在通过 QSnatch 滥用这些设备，企业网络中有 36%的受影响设备在访问与此类威胁有关的 C2 域。30%的受影响企业属于制造业；这一数字是排名第二位的垂直领域的两倍，突显出网络攻击对现实世界产生的影响，例如供应链问题和对日常生活造成的破坏等等。网络与信息安全指令 2(NIS2)等法规有助于遏制针对基础行业或制造业等重要行业的攻击。针对家庭网络发起的攻击不仅会尝试滥用计算机等传统设备，还企图滥用手机和物联网(IoT)。大量的攻击流量可能与移动端恶意软件和 IoT 僵尸网络相关。通过 DNS 数据分析，我们发现 FluBot 恶意软件在欧洲、中东和非洲(EMEA)、拉丁美洲(LATAM)以及亚太地区和日本(APJ)迅速爆发。促使感染量增加的部分因素可能是这种恶意软件采用了社会工程策略，并使用了多种欧盟(EU)语言。概要攻击快车道：第 9 卷，第 1 期 SOTI3攻击快车道：第 9 卷，第 1 期 SOTI4Akamai DNS 流量分析术语Akamai Edge DNS 和 DNS 基础架构每天会观察多达 7 万亿个 DNS 请求。为保护 Akamai 用户和企业，Akamai 会观察请求是否指向会传输恶意软件的域或可能窃取信息的网站，并阻止相应请求。通过检查这些恶意 DNS 事务，我们可以将这些域分为三类恶意软件、钓鱼网站和 C2，并开展深入研究，确定当今企业和家庭用户面临的重大威胁。根据对恶意 DNS 流量的谨慎数据抽样，我们可以就最为普遍的威胁得出重要结论。我们的措施为两类群体提供保护：其中一个群体是企业，Akamai 为企业网络提供保护；另一个群体是在个人网络上访问互联网的家庭用户，他们面临着多种威胁，比如旨在接管其设备以达到恶意目的（如通过加密货币挖矿来谋利）的僵尸网络。4攻击快车道：第 9 卷，第 1 期 SOTI攻击快车道：第 9 卷，第 1 期 SOTI5首先，我们给出钓鱼网站、恶意软件和 C2 这些术语的定义，并说明本报告中如何使用这些术语。钓鱼网站是指与网络钓鱼工具包关联的域名，它们会效仿和“克隆”零售企业、银行、高科技公司和其他公司网站的外观与体验，诱骗用户泄露凭据和个人身份信息(PII)等重要数据。Akamai 通过 DNS 观察这些流量，保护企业和家庭用户免遭身份被盗、信息丢失的烦恼。恶意软件是指传输或植入恶意文件的恶意域（可能是多个域）。此类别还包括：托管恶意 JavaScript 的网站，已被入侵并且投放垃圾广告的网站，或者将用户重定向到含有此类广告的网页的网站。许多现代攻击都需要从外部来源将恶意文件下载到设备上，以此作为初始攻击载荷；或者下载恶意内容，以支持持续攻击的下一阶段。观测和阻止此类流量有助于保护企业，避免初始感染或持续攻击。在我们的 DNS 流量分析中，C2 是指用来与受感染的设备通信的域，它会发送命令，随后控制设备。在初始入侵后，攻击者在受感染的系统与攻击者控制的服务器之间建立 C2 通信，以发送额外的命令，比如下载和传播其他恶意软件、数据泄露、关闭和重启系统等，从而给系统或网络安全造成进一步破坏。C2 流量预示着有持续攻击，但这些攻击仍有可能被抵御，因此检测 C2 流量至关重要。此外，阻止与 C2 服务器相关的域可以防止建立 C2 通信，进而阻止恶意软件下载更多指令或命令，减少攻击者在您的网络中实施恶意活动的机会。5 5SOTI攻击快车道：第 9 卷，第 1 期 SOTI6威胁当头：企业内无处不在的恶意流量根据 Akamai 的 DNS 流量分析，我们可以看到，2022 年第四季度，13%的设备至少有一次尝试连接与恶意软件有关的域（图 1）。此外，6%的设备与涉及到网络钓鱼的域进行了通信。对于本报告中重点关注的 C2 领域，我们观察到其全年呈增长趋势，第四季度有极小幅度的下降。请注意，图 1 仅涉及到尝试与恶意域通信的单个设备。有必要指出，尝试连接恶意软件目的地（攻击者可能借此下载恶意软件）的设备，与尝试连接 C2 域的设备（通常在持续攻击中用于促进攻击者与恶意软件之间的通信，还可用于下载额外的恶意软件以推进攻击周期）之间存在差异。这种差异可代表以下三者间的不同之处：网络渗透尝试(可能在初次尝试将恶意软件下载到设备时即被阻止)、成功渗透(根据我们的数据，这表示可能未经过 DNS)或正在进行的攻击(可能联机 C2 域以执行攻击)。受影响设备的百分比2022 年 1 月 1 日 2022 年 12 月 31 日图 1：我们观察到，受保护的设备尝试连接恶意目的地的行为呈上升趋势9.30%4.60%0.70.30%6.20%0.80.60%6.30%0.98.14%6.02%0.94%5%0%第 2 季度第 1 季度第 3 季度第 4 季度恶意软件C2网络钓鱼图 1：我们观察到，受保护的设备尝试连接恶意目的地的行为呈上升趋势受影响设备的百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI7本报告主要关注 C2 流量，将此视为攻击者已成功侵入设备的一个潜在指标。为便于了解这种攻击的普遍性，我们需要通过另一种不同的视角来观察数据。我们不考虑个别设备，而是将数据按企业汇总起来，检查持续攻击（通过 C2 流量的存在确定）在数据集中出现的频率。根据我们的 DNS 数据，在任意给定季度，都有 10%的企业至少观察到一次 C2 流量 从其网络中发出的情况（图 2）。这可能表明恶意软件尝试与运营者沟通，是潜在的入侵迹象。我们的解决方案阻止了这些 C2 流量到达目的地，但攻击一旦得逞，就可能会导致数据泄露、勒索软件攻击及其他威胁。截至 2022 年上半年，共检测到 23 亿个恶意软件变种，平均每天 1,501 个。我们的研究强调了利用 DNS 防止恶意软件在网络中取得进展或造成危害的有效性。图 2：通过分析恶意 C2 流量，我们得出了全年至少有一台设备尝试连接 C2 域的企业百分比受 C2 影响的公司百分比2022 年 1 月 1 日 2022 年 12 月 31 日5%0%第 1 季度第 2 季度第 4 季度第 3 季度图 2：通过分析恶意 C2 流量，我们得出了全年至少有一台设备 尝试连接 C2 域的企业百分比受 C2 影响的公司的百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日根据我们的 DNS 数据，在任意给定季度，都有 10%的企业 至少观察到一次 C2 流量从其网络中发出的情况。攻击快车道：第 9 卷，第 1 期 SOTI8初始访问代理对企业构成了普遍的威胁多阶段攻击已成为现代攻击领域中的一种主力方法（图 3）。攻击者发现，如果能协同工作（或彼此雇用）或在一次攻击中结合使用各种工具，就能提高攻击的成功率。对于这些攻击的成败，C2 发挥着至关重要的作用。它们不仅可用于通信，也让攻击者能方便地下载攻击载荷，以及用于推进攻击下一阶段的恶意软件。过去几年中观察到的 Emotet/TrickBot/Ryuk 勒索软件攻击链就是最好的例证。Emotet 首先渗透到受害者的网络中，在获得初始访问权限后，它会联系一个域，下载 TrickBot 的攻击载荷，以获取个人数据和凭据等。如果根据攻击者的标准，受害者属于高价值目标，恶意软件会联系其 C2 服务器并下载最终的攻击载荷：Ryuk 勒索软件。在评估本报告的信息时，请务必考虑这种事件链。C2 通信可能发生在攻击的不同阶段。我们近期对现代勒索软件团伙（如 Conti 团伙）的攻击手法开展了分析，结果表明，精明的攻击者往往会安排操作人员进行“手动操作”(hands on keyboard)，以便快速、有效地推进攻击。观察和阻止 C2 流量的能力对于阻止持续攻击非常重要。图 3：C2 在攻击各阶段的作用在多阶段攻击中，攻击者使用一系列工具（包括合法和恶意工具）来推动攻击。C2 域在攻击的不同阶段发挥着关键作用，用于发送命令、下载攻击载荷，并指挥对受害者网络进行的攻击。从攻击者的域下载用于第二阶段的攻击负载初始访问权限武器化的文档或后漏洞利用攻击载荷将下载下一阶段的恶意软件建立持久性恶意软件可在目标设备上保持休眠状态，等待被攻击者激活C2入侵之后，攻击者亲自动手，主动从 C2 域向其恶意软件发送命令 横向移动在攻击者获得网络中其他设备的升级访问权限后，他们可能会利用一个域，将恶意软件下载到网络中的其他设备上回调 C2 域以检查新命令与攻击者控制的域进行 C2 通信将攻击载荷下载到其他设备DNS 多阶段攻击的作用攻击者DNS攻击快车道：第 9 卷，第 1 期 SOTI9我们观察到的 C2 域可以分为两大类：一类归属于特定威胁系列或攻击者团伙的域，另一类无此归属。在本节中，我们将深入研究与威胁类型相关的 C2 域，帮助读者根据各攻击者团伙的能力和所用方法来评估风险水平。请注意，部分此类恶意软件系列可能适合多种应用场景，具体取决于攻击者在攻击中使用它们的手法。图 4 将攻击者团伙划分成 IAB、僵尸网络和 RaaS 几个分组。我们的数据表明，IAB 是企业网络面临的一项重大威胁，以数据泄露为目标的僵尸网络同样如此。图 4：攻击目标为企业的僵尸网络比例最高，其次是 IAB 和信息窃取工具受每种威胁类别影响的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%僵尸网络初始访问代理(IAB)信息窃取程序勒索软件其他远程访问木马(RAT)图 4：攻击目标为企业的僵尸网络比例最高，其次是 IAB 和信息窃取工具按威胁类别分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日初始访问代理IAB 的关注重点是为其他网络犯罪分子（包括勒索软件分组）提供初始入口点，让后者能在企业网络中获得立足点。持久性、入侵后远程执行攻击载荷（勒索软件采用的就是这种方法）以及数据泄露。僵尸网络攻击者可以利用僵尸网络达到各种目的，比如加密、DDoS 攻击、数据泄露、恶意软件部署和横向移动等。“勒索软件即服务”分组该分组的团伙允许其他攻击者（甚至是不具备专业技术知识的攻击者）成为其合作者，并有偿使用他们的勒索软件。信息窃取工具信息窃取工具收集各种类型的数据，如用户名、密码、系统信息、银行凭据、Cookie 等。攻击快车道：第 9 卷，第 1 期 SOTI1010%0 0%QSnatchEmotetRamnitREvilQakbotVirutPykspaCobalt StrikeAgent TeslaLockBit图 5：QSnatch、Emotet 和 Ramnit 是企业网络流量中出现频率较高的 C2 系列按 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日我们还观察到，攻击者将勒索软件、远程访问工具(RAT)和信息窃取工具纳入攻击组合，让它们各自在不同的阶段发挥关键作用。新手级攻击者和经验丰富的网络犯罪分子如今都能通过地下交易平台获得现成的工具，因此他们能够成功完成初始入侵，藏匿在网络中并推进攻击，这让企业比以往更容易受到网络犯罪的侵扰。在梳理这些分组时，我们还会分析其运作的交叉点，以及给企业造成的潜在影响和冲击。“初始访问代理”分组“初始访问代理”(IAB)这一特定类型的网络犯罪分子主要关注打通初始入口点，让其他网络犯罪 分子和攻击者能借此在企业网络中获得立足点。多个网络犯罪分组都采用类似的入侵方法，比如 利用 RDP 和 VPN 相关漏洞、使用暴力破解攻击、收集凭据转储，以及发送带有恶意软件的钓鱼 邮件，但 IAB 擅长获得这些受感染系统的访问权限，随后将访问权限出售给其他分组的攻击者，而不会自行实施整个攻击。根据报道，LockBit、DarkSide、Conti 和 BlackByte 等威胁背后的勒索软件团伙均在其行动中利用了 IAB。2023 年的一份研究报告指出，初始访问权限的平均售价约为 2,800 美元。攻击快车道：第 9 卷，第 1 期 SOTI11根据我们的 DNS 数据（图 5），26%的受感染设备连接过与 IAB 有关联的域，如Qakbot（4%的受感染设备）和 Emotet（22%的受感染设备）。在 RaaS 商业模式和网络犯罪领域，IAB 都有着举足轻重的作用。勒索软件攻击者和网络犯罪分子需要远程访问权限和凭据，不仅需要借此渗透到受害者网络中，还需要以此实现横向移动、建立持久性、获得访问权限并执行其他活动。攻击者利用 IAB 来完成侦查、潜在目标扫描和初始感染等耗时的任务。在地下交易平台中唾手可得的访问权限消除了这个步骤，降低了攻击者发动攻击所需的专业技能，也缩短了发动攻击所需的时间。这种局面造成企业面临大量潜在的针对性攻击，以及由此而来的勒索软件、机密和敏感信息被盗、间谍活动和数据泄露威胁。在我们的数据中，Emotet 是极具代表性的 IAB 之一。Emotet 给企业造成了重大风险，该团伙与多个勒索软件攻击者有关联，包括去年解散前给全球各行各业造成恶劣影响的 Conti 团伙。多年来，Emotet 添加了更多模块，如分布式拒绝服务(DDoS)和电子邮件盗窃功能，其预期受害目标群也不断扩大。Emotet 最初是一个具有大量功能的银行木马/僵尸网络，如今已转变为恶意软件即服务(MaaS)威胁，传播 IcedID 银行木马、TrickBot 和 UmbreCrypt 勒索软件等威胁。根据观察，TrickBot 团伙还利用 Emotet 来分发一些勒索软件，包括 Ryuk、ProLock 和 Conti 等。关于 Emotet 所用技术的更详尽的观察，可参阅有关此主题的 MITRE ATT&CK 框架。11攻击快车道：第 9 卷，第 1 期 SOTIEmotet 给企业造成了重大风险，该团伙与多个勒索软件攻击者有关联，包括去年解散前给全球各行各业造成恶劣影响的 Conti 团伙。攻击快车道：第 9 卷，第 1 期 SOTI12在我们的数据中，第二突出的 IAB 是 Qakbot。我们已经确知该团伙与 Black Basta 勒索软件团伙有合作关系，后者据称已影响全球各地至少 50 家企业。Qakbot 团伙因信息窃取能力和提供第二阶段恶意软件（用于进一步破坏系统安全性）而闻名。根据研究，Qakbot 利用了 Cobalt Strike，这本是一种供红队使用的合法渗透测试工具，攻击者滥用这种工具，在入侵后开展一系列恶意活动，并在受害者环境中留下后门。这是近年来 IAB 日益频繁使用的一种技术。您可以访问 MITRE ATT&CK 框架，获得有关 Qakbot 在攻击期间利用的技术的额外情报。“僵尸网络”分组在我们的分析中，僵尸网络是规模最大的威胁类型分组，占所分析 C2 流量的 44%。这个分组中涵盖多种多样的攻击者，也应该注意，并非所有僵尸网络都一般无二。有害性较低的变种可能会植入加密货币挖矿程序，或利用受害者的机器发动 DDoS 攻击。虽然这些做法本身就会给受害者造成损失，但我们在企业中发现的僵尸网络可用于数据泄露和多阶段攻击，因此可能造成更重大的风险。僵尸网络可以在网络中横向扩展，并可用于部署勒索软件（TrickBot 采用的就是这种做法），也可专门用于窃取信息和收集凭据。我们发现，企业环境中出现的大型僵尸网络 QSnatch 采用了后一种做法，造成网络连接设备中的数据泄露。根据我们的数据，36%的受感染设备受到了 QSnatch 的影响。这种恶意软件专门针对 QNAP企业用于备份或文件存储的一种 NAS 设备。虽然感染方法还不明确，但研究人员推测，QSnatch 可能的感染途径是利用固件漏洞，或者对具有默认用户名/密码的设备进行暴力破解攻击。强烈建议使用 QNAP 的公司及时更新其固件（一旦感染，QSnatch 将阻止安装修补程序并禁用安全产品），并立即改掉默认密码。攻击者利用 QSnatch 实现凭据抓取、密码记录、远程访问和数据泄露等目的。存储设备可能会成为攻击者的目标，因为它们含有大量高价值信息，而且入侵这些设备还能使企业在遭遇勒索软件攻击时无备份可用。这份 CISA 警报强调了战术和应对措施的细节。攻击快车道：第 9 卷，第 1 期 SOTI13“勒索软件即服务”分组根据我们的 DNS 流量分析结果，在连接过 C2 系列的受感染设备中，有 9%访问过与 RaaS 团伙相关的域。此类网络犯罪团伙允许其他攻击者（甚至是不具备专业技术知识的攻击者）成为其合作者，并有偿使用他们的勒索软件。一旦被勒索软件侵袭，企业要承受的后果不只有公司机密数据丢失。他们还有可能需要承担补救和恢复成本、法律费用、罚款、造成生产力损失的停机时间以及品牌和名誉损失。Cybersecurity Ventures 认为，到 2031 年，每年因勒索软件攻击而造成的损失将达到大约 2,650 亿美元。Akamai 发布的全球勒索软件报告也强调了勒索软件的破坏性影响，除了供应链中断等经济损失之外，在某些情况下，勒索软件还可能会危及生命。REvil 是一个颇为“高产”的 RaaS 团伙，他们因在一次供应链攻击中攻击一家 IT 管理供应商而恶名昭著，那次攻击总计影响了 1,500 多家托管服务提供商。团伙的数名成员被俄罗斯政府逮捕后，其行动就此停止。但在团伙解散几个月后，安全研究人员观察到，REvil 的泄漏站点再度活跃，发布了最新受害者的信息，美国的一些大学赫然在列。研究人员推测，实施这一攻击活动的犯罪分子可能并非同一个 REvil 团伙，并警告说，不要让打着 REvil 团伙名号的民族国家网络犯罪分子借此隐藏踪迹。在战术方面，REvil 的指明做法就是根据目标受害者定制攻击流，这体现出该团伙对其目标的了解程度。如需进一步了解与 REvil 有关的战术、技术和过程，请阅读 MITRE 的帖子。在检查 DNS 流量时，我们发现的另一个 RaaS 团伙是 LockBit。在 Conti 团伙“销声匿迹”后，LockBit 团伙一跃成为最活跃的 RaaS 提供者之一。根据这份报告，在此之前（即 2019 年 11 月到 2022 年 3 月），该团伙的 RaaS 的受害企业数量仅次于 Conti 团伙。存储设备可能会成为攻击者的目标，因为它们含有大量高价值信息，而且入侵这些设备还能使企业在遭遇勒索软件攻击时无备份可用。攻击快车道：第 9 卷，第 1 期 SOTI14LockBit 团伙为拥有比其他 RaaS 团伙更快的加密机制而洋洋自得，并声称其 LockBit 2.0 已经 影响了 12,000 多家公司。2022 年 6 月，该团伙发布了 LockBit 3.0，增加了一些功能，还添加了一个漏洞赏金计划。据报道，他们还利用 Log4j 漏洞获得对目标的初始访问权限，这也突显出及时安装修补程序的重要意义。如果企业未能及时修补此类安全漏洞，被 LockBit 感染的风险就会更高。LockBit 还在不断重塑自身，近期增加了三重勒索战术，如果受害者拒绝支付赎金，他们会加密文件，将其发布到泄密网站上，并发动 DDoS 攻击。攻击工具本节中提及的工具在攻击中可能发挥特定作用，包括入侵系统、获取信息或升级特权等。根据我们的观察，各类攻击者团伙使用的攻击武器库通常都要依靠通信来发挥作用，比如信息窃取工具和 RAT 都是如此。通过了解这些工具以及攻击者团伙使用的战术，安全从业者可以了解攻击的发动方式，从而相应地做出防范规划。信息窃取工具信息窃取工具迄今仍是攻击中频繁使用的一种 MaaS 工具，用于获取各种类型的数据，如用户名、密码、系统信息、银行凭据和 Cookie 等。即便不具备技术知识和/技能的攻击者也能以相对低廉的价格轻松获得信息窃取工具，并发动自己的攻击。在 C2 恶意软件系列的列表中，我们观察到 16%的设备访问过已知的 C2 归属，并尝试连接信息窃取工具。Ramnit（13%的受感染设备）绝不是又一个平平无奇的信息窃取工具。其优势在于高度模块化，这让攻击者能够利用各种功能，比如窃取其他敏感数据和下载/部署其他恶意软件，以达到其最终目标或推进攻击。2021 年，Ramnit 被视为顶级银行木马，近期的新闻报道提到了另一种恶意软件与 Ramnit 使用类似的代码。攻击快车道：第 9 卷，第 1 期 SOTI15网络中发现信息窃取工具预示着用户的凭据可能面临风险。攻击者可能会将收集到的被盗信息拿到地下交易平台上出售，供其他攻击者用于获得初始访问权限。勒索软件团伙可以通过网络钓鱼或僵尸网络部署信息窃取工具，从而获得有效凭据，在提供 MaaS 的地下论坛中将访问权限使用权出租给信息窃取者，或通过 IAB 购买网络访问权限。在某些情况下，信息窃取者有可能成为 IAB，并将收集到的高价值凭据（如 VPN 或 RDP 访问权限）出售给出价最高的人或其他攻击者，供其发起更为复杂的攻击。远程访问工具一些攻击者团伙在行动中滥用了 Cobalt Strike。攻击者通过多种方式利用这种强大的 RAT，包括侦查、特权升级、通过网络横向移动、建立持久性、入侵后远程执行攻击载荷（勒索软件采用的就是这种方法）以及数据泄露。虽然该工具主要用于入侵后的横向移动和渗透，但由于它带有鱼叉式钓鱼模块，它也能用作获取初始访问权限的攻击媒介。已知使用该工具的团伙包括 Conti、Qakbot、TrickBot 和 Emotet 等。为了帮助检测环境中的 Cobalt Strike，Google 创建了这组 YARA 规则，可确定恶意使用该工具的情形。我们的数据还显示了 Agent Tesla C2 流量的存在。这种 RAT 在地下市场中兜售，由于价格低廉、使用简单，对于网络犯罪分子颇具吸引力。攻击者可以利用此工具从各种浏览器中获取凭据、捕捉按键操作、抓取屏幕截图，并记录按键。其著名的战术之一是表单抓取，这让攻击者能够收集 PII 和其他敏感信息。此类被盗信息可用于身份盗窃或欺诈。PCrisk 发布了有关 Agent Tesla 技术的更多细节，以及它对用户的影响。攻击快车道：第 9 卷，第 1 期 SOTI16活动形势表明，全年有零星的恶意软件活动在一年期间，我们观察到 C2 恶意软件的活动有所波动（图 6）。典型案例：可以看到，Emotet 在 2021 年 11 月死灰复燃，随后在 2022 年 1 月和 2 月期间特别活跃。这种活动 量的激增表明攻击活动的强度极大，该威胁在偃旗息鼓数月之后，借此重新树立自己的 地位。在复出后的几个月里，Emotet 加强了攻击战术，包括规避 Microsoft 禁用 Visual Basic for Applications 宏的举措。一些报告指出，2022 年 7 月至 11 月期间，Emotet 活动量再度大幅下降；我们的数据观测结果表明，7 月的 C2 流量下滑，通过连接 Emotet 域的受感染设备占比降低也能看出这一点。这可能表明该团伙在全年保持活跃，也可能表明已安装的恶意软件仍在与过时的基础架构通信。2023 年的观察结果能帮我们确定 Emotet 团伙是否确实已经蛰伏。图 6：月度趋势图显示，在 2022 年全年，QSnatch 持续活跃按排名靠前的 C2 威胁分列的每月设备百分比2022 年 1 月 2022 年 12 月10%0 0P%4 月3 月1 月2 月5 月6 月7 月8 月9 月10 月11 月12 月EmotetQakbotQSnatchRamnitREvil图 6：月度趋势图显示，在 2022 年全年，QSnatch 持续活跃按排名靠前的 C2 威胁分列的每月设备百分比 2022 年 1 月至 2022 年 12 月可以看到，Emotet 在 2021 年 11 月死灰复燃，随后在 2022 年 1 月和 2 月左右特别活跃。这种活动量的激增表明攻击活动的 强度极大，该威胁在偃旗息鼓数月之后，借此重新树立自己的 地位。攻击快车道：第 9 卷，第 1 期 SOTI17QSnatch 全年始终保持活跃，6 月左右，其活动量达到顶峰，表明这种威胁的普遍程度。由于以下几个原因，NAS 服务器仍是攻击者的可行目标：第一，其中包含敏感数据；第二，为 NAS 服务器执行修补的几率较低；第三，这些设备在企业网络中可能更易访问，可能成为横向移动的中枢。虽然在过去几年间，情况有所变化，比如新增了内置安全解决方案，但网络犯罪分子可禁用其安装的安全产品和/或阻止设备安装新修复程序，以此规避这些举措。因此，这些设备仍然容易受到该恶意软件新变种的影响。我们还看到，从 8 月到 12 月，Ramnit 在企业网络中的数量不断增加。这十分令人担忧，因为这种恶意软件可能会窃取一系列敏感信息，攻击者后续可能会将这些信息卖给其他威胁者，用于发起未来攻击。QSnatch 和 Emotet：所有地区的共同威胁 为了确定各地区普遍存在的威胁，我们研究了各地区连接 C2 域的设备的百分比（图 7）。各百分比数据均表示在各地区受影响设备中的占比，各地区的受影响设备也各有不同。但有趣的是，在所有地区，我们都观察到类似的攻击趋势，仅有极少数的例外。因此，我们建议各地区遵循“结论和建议”部分中的建议，或是上文讲解恶意软件分组的各节给出的建议。图 7：观察各地区受影响的设备数量，北美以 41%位列第一，其次是欧洲、中东和非洲地区(37%)和亚太地区及日本(18%)按地区分列的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%欧洲、中东和非洲北美亚太地区及日本拉丁美洲图 7：观察各地区受影响的设备数量，北美以 41%位列第一，其次是欧洲、中东和非洲地区(37%)和亚太地区及日本(18%)按地区分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI1818北美 全球大多数企业都遭遇过这两个大型威胁：QSnatch 和 Emotet。北美地区约 29%的受影响设备受到 Emotet 的影响，33%受到 QSnatch 的影响（图 8）。根据 Dark Reading 的报告，Shodan 搜索显示，有 30 万台 QNAP 设备连接到互联网，这让此类设备成为颇具吸引力的目标。此外，QNAP 这样的 NAS 设备可能会用作备份，以及媒体或文件服务器。北美地区其他值得关注的威胁包括 Ramnit、Qakbot 和 REvil。考虑到 Emotet 这样的 IAB 为其他感染（包括但不限于勒索软件）铺平道路的方式，这非常耐人寻味。图 8：在北美企业中，大多数受影响设备都至少访问过一次与 QSnatch、Emotet 和 Ramnit 有关的域北美地区按排名靠前的 C2 威胁分列的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%QSnatchEmotetRamnitQakbotREvilVirutPykspaCobalt StrikeFobberHancitor图 8：在北美企业中，大多数受影响设备都至少访问过一次与 QSnatch、Emotet 和 Ramnit 有关的域北美地区按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI18攻击快车道：第 9 卷，第 1 期 SOTI1919欧洲、中东和非洲 欧洲、中东和非洲地区受影响设备的比例也非常高，仅次于北美。我们在该地区观察到的大型威胁（图 9）包括 QSnatch(28%)和 Ramnit(21%)。Ramnit 在该地区的增加并不让人意外，因为其运营者过去曾将意大利、英国和法国的银行/金融机构作为目标。在 Ramnit 的一次迭代中，其配置将欧盟国家作为主要目标。事实上，如果比较全球受 Ramnit 影响的设备数量，欧洲、中东和非洲地区的受感染设备在 Ramnit 感染的所有设备中占比最高。除此之外，感染 Emotet 的设备在该地区也很高，达到 19%。图 9：可以看到，欧洲、中东和非洲地区连接到 Ramnit C2 的数量超过其他地区，这显著增加了该地区企业的风险欧洲、中东和非洲地区按排名靠前的 C2 威胁分列的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%QSnatchRamnitEmotetREvilPykspaVirutNJRatAgent TeslaRedLine StealerCobalt Strike图 9：可以看到，欧洲、中东和非洲地区连接到 Ramnit C2 的数量超过其他地区，这显著增加了该地区企业的风险欧洲、中东和非洲地区按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI19攻击快车道：第 9 卷，第 1 期 SOTI2020亚太地区及日本 QSnatch 的感染对亚太地区及日本产生了重大影响（图 10）。如果比较各地区背后的数字时，就感染 QSnatch 的设备而言，亚太地区及日本排名第二，仅次于北美地区。另一方面，亚太地区及日本还应警惕勒索软件 REvil 和 LockBit，它们均为该地区受影响设备中的五大威胁之列。虽然 REvil 团伙成员在去年被捕，但在几个月后，我们又在现实环境中观察到这种恶意软件的活动。这或许是能获得代码的团伙原成员尝试重新启用 REvil。看到 LockBit 和 REvil 这类勒索软件威胁（主要攻击动机是经济因素）并不让人意外。随着 RaaS 运营者继续利用像 Emotet 这样的 IAB，勒索软件仍将给各行各业、各个地区的企业构成重大安全挑战。图 10：Akamai 在该地区观察到大量的 QSnatch 感染事件 亚太地区及日本按排名靠前的 C2 威胁分列的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日20%0%QSnatchEmotetREvilLockBitVirutRamnitPykspaRedLine StealerConfickerQakbot图 10：Akamai 在该地区观察到大量的 QSnatch 感染事件亚太地区及日本按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI20攻击快车道：第 9 卷，第 1 期 SOTI2121拉美 再看一下拉美地区的趋势。这个地区受影响的设备数量最少，但这并不一定表示其成为目标的几率较低或受影响较小。该地区也受到了 QSnatch 和 Emotet 的影响（图 11），这与全球趋势一致。单独查看这个地区，可以看到 Agent Tesla、Virut 和 Ramnit 都非常活跃。地区细分非常有意义，这样我们不仅能看到各地区的相似之处，还能了解每个地区的独特威胁。QSnatch 一直是领先的威胁系列，但紧随其后的四大威胁（Emotet、REvil、Ramnit 和 Agent Tesla）在不同地区各有不同。在您确定漏洞管理和渗透测试团队的工作重点时，需要根据地区性的威胁情况作出调整。图 11：拉美地区的威胁环境与全球趋势呼应拉美地区按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%QSnatchEmotetRamnitVirutAgent TeslaHancitorQakbotREvil图 11：拉美地区的威胁环境与全球趋势呼应拉美地区按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI21攻击快车道：第 9 卷，第 1 期 SOTI22行业和垂直领域趋势：制造业受到初始访问代理、僵尸网络的严重冲击通过分析行业趋势，我们可以看到每个垂直领域的风险水平，并将其与其他行业进行对比。我们并未研究受影响设备的数量，而是按客户汇总设备，得出各垂直领域受影响的公司数量（图 12）。根据我们的 DNS 数据，我们发现，在所分析的存在 C2 流量的企业中，有超过 30%的比例属于制造业。此外，商业服务(15%)、高科技(14%)和商业(12%)等垂直领域的公司也受到了影响。我们的 DNS 数据中排名前两位的垂直领域（制造业和商业服务）也呼应了受 Conti 勒索软件攻击的主要行业，具体请参见我们的全球勒索软件报告。在该报告中，我们深入研究了 Conti 勒索软件的受害者，并按垂直领域、收入和地区进行了分析，说明了 这一种类繁多的威胁的攻击趋势。图 12：制造业、商业服务和高科技是受 C2 感染影响最大的行业 按垂直领域分列的受影响公司的百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%制造商业服务高科技商务非营利性组织/教育其他数字媒体金融服务制药/医疗保健视频媒体公共部门图 12：制造业、商业服务和高科技是受 C2 感染影响最大的行业按垂直领域分列的受影响公司的百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日根据我们的 DNS 数据，我们发现，在所分析的存在 C2 流量的企业中，有超过 30%的比例属于制造业。此外，商业服务(15%)、高科技(14%)和商业(12%)等垂直领域的公司也受到了类似的影响。攻击快车道：第 9 卷，第 1 期 SOTI23我们看到，制造业受各种 C2 攻击的严重侵扰，这让人倍感担忧，因为制造业属于重要行业，如果攻击者得逞，其后果可能会波及现实世界，例如供应链中断。数据无法体现制造业受影响如此之深的具体原因，但更深入地探究这个行业中的威胁类型或许可以让我们一探究竟。我们看到，一些国家/地区正通过法规加强制造业等关键行业的安全性。面向整个欧盟的 NIS2 立法加强了网络安全标准和安全要求，如风险分析和信息系统安全政策、供应链安全，以及重要实体（如能源、运输、银行、医疗等）的事件处理。它还扩大了受影响的垂直领域的范围。图 13：在制造业中发现的排名靠前的 C2 威胁系列是 QSnatch、Emotet 和 Ramnit 制造业按排名靠前的 C2 威胁分列的设备百分比2022 年 1 月 1 日 2022 年 12 月 31 日10%0 0%QSnatchEmotetRamnitQakbotREvilPykspaVirutNJRatRedLine StealerLockBit图 13：在制造业中发现的排名靠前的 C2 威胁系列是 QSnatch、Emotet 和 Ramnit制造业按排名靠前的 C2 威胁分列的设备百分比 2022 年 1 月 1 日至 2022 年 12 月 31 日攻击快车道：第 9 卷，第 1 期 SOTI24对制造业的深入研究表明，在该垂直领域的企业访问的 C2 相关域中，排名靠前的包括 QSnatch、IAB 和 Ramnit 域（图 13）。其网络中出现 IAB 可能表明攻击者在收集有关其潜在目标的情报，一旦获得所入侵设备的访问权限，攻击者即可将这些数据出售给其他网络犯罪分子，比如 RaaS 团伙。此外，在威胁该行业的 C2 恶意软件列表中，我们还能看到信息窃取工具的身影。需要警惕的一项威胁是 RedLine Stealer，它能收集浏览器 信息，如凭据和信用卡详细信息，而且目前以 MaaS 的形式出售，每月订阅费用为 100-150 美元。根据 Group-IB 的研究，在 2021 年下半年至 2022 年上半年期间，这种信息窃取工具估计获取了 35,585,412 份日志，其中可能包含单点登录帐户。此外，仅在 2022 年第三季度，与这种信息窃取工具有关的 C2 域名就激增 409%。跟踪行业趋势总是让人兴趣盎然。在一个垂直领域发生的情况往往只是垫脚石，网络犯罪分子的目标是整个行业中的所有垂直领域。有时，我们会看到攻击者侧重于一个行业内的某项突出技术。其他时候，他们会去寻找更有可能付钱的受害者，或者有可能支付最多赎金的受害者。我们也观察到，他们会对历来不注重网络安全投资的行业下手。这里的启示是，如果您看到隔壁冒烟，最好也检查一下自己家的消防系统。SOTI24攻击快车道：第 9 卷，第 1 期 SOTI25家庭用户面临攻击威胁攻击者将目标投向企业的原因不言自明，成功入侵企业网络可给他们带来更高的回报。他们使用广泛的工具和战术渗透到企业周边，维系持久性，并在某些情况下泄露机密信息。因此我们会在企业网络中看到了上一节所讨论的信息窃取工具和 IAB 等威胁。但在家庭网络中则是另外一番景象，所利用的威胁和目的都有所不同。家庭用户的安全防护措施通常没有企业环境完善，但这个群体能给攻击者带来的经济回报也不如企业。攻击者甚至这一点，并设法通过简化感染家庭设备的能力变现。例如，他们发起大规模的活动，通过“广撒网”的战术入侵尽可能多的设备，而对于企业的攻击则具有高度的针对性。在这些家庭设备成为大规模僵尸网络的一部分后，攻击者即可调动这些僵尸设备，在用户不知情的情况下开展不计其数的网络犯罪活动，如发送垃圾邮件，以及对企业发动 DDoS 攻击。僵尸网络要想取得成功，网络犯罪分子要想出租其僵尸网络，前提就是感染尽可能多的设备。在影响家庭用户时，攻击者还可通过另一种方式获得经济利益，即利用受感染设备的计算资源进行加密货币挖矿。家庭网络显示出大量来自僵尸网络的流量在将关注重点转移到家庭用户时，我们将分析一组匿名样本，其中包含过去六个月间数亿项识别为恶意的查询，从而审视家庭网络的恶意 DNS 流量，指明用户应该关注的威胁。您可以一目了然地看出，最大的威胁与僵尸网络有关，这可以解释攻击者如何利用 IoT 设备达到不同的目的，后续几节将讨论这个主题。在这些设备成为大规模僵尸网络的一部分后，攻击者即可调动这些僵尸设备，在用户不知情的情况下开展不计其数的网络犯罪活动，如发送垃圾邮件，以及对企业发动 DDoS 攻击。攻击快车道：第 9 卷，第 1 期 SOTI26Pykspa：通过社交媒体传播根据我们的数据结论，在全球识别出的恶意 DNS 查询中，Pykspa 的数量多达 3.67 亿项（图 14）。这种威胁的传播方式是通过 Skype 向受影响用户的联系人发送恶意链接。在某些情况下，用户在浏览器标签页中打开 Twitter 网站时，它还会创建一个带有恶意软件下载链接的推文。此外，它使用域生成算法(DGA)建立 C2 通信。先前的 V2 版使用其 DGA 的 一个子集来规避检测，并在网络内藏匿更长时间。其后门功能允许攻击者连接到远程系统并执行任意命令，如下载文件、终止进程，并通过各种方式（如映射驱动器、网络共享）进行传播等。Pykspa 还会查询 Skype 配置，收集受影响用户的个人信息。它还会阻止用户访问某些网站，特别是包含某些与反恶意软件解决方案有关的字符串的网站。有趣的是，这一恶意软件会检查受影响用户的 Skype 语言界面，如果是其监测的众多语言之一（包括英语、德语、法语、西班牙语和意大利语），它会相应地调整垃圾邮件。图 14：在家庭网络的 DNS 流量中观测到的僵尸网络中，排名前三位的分别是 Pykspa、FluBot 恶意软件和 Mirai对每种排名靠前的 C2 威胁的查询计数2022 年 7 月 2023 年 1 月2.16 亿3.67 亿1.56 亿8000 万5600 万2700 万2400 万2200 万1700 万1600 万FluBot 恶意软件PykspaMiraiNecursMonerodownloaderTempedreveFodchaConficker BConfickerVirut0 亿1 亿2 亿3 亿4 亿图 14：在家庭网络的 DNS 流量中观测到的僵尸网络中，排名前三位的分别是 Pykspa、FluBot 恶意软件和 Mirai按排名靠前的 C2 威胁分列的查询次数 2022 年 7 月至 2023 年 1 月攻击快车道：第 9 卷，第 1 期 SOTI27FluBot：Android 恶意软件僵尸网络FluBot 恶意软件是继 Pykspa 之后的又一个热门 C2 恶意软件系列。它主要通过短信感染 Android 手机，诱使用户点击恶意链接，随后下载恶意软件。作为其传播策略的一部分，FluBot 恶意软件会将受影响用户的联系人名单上传到 C2 服务器，并且向受害者的联系人发送同样的社会工程诱饵。对于用户来说，设备上存在 FluBot 会给他们的银行和财务信息造成危险，因为这种恶意软件能在用户访问合法银行应用程序时显示一个伪造的页面叠加层。因此，用户凭据可能会被用于身份盗窃或欺诈交易。这种恶意软件使用各种社会工程诱饵。例如，它可能会建议用户点击某个链接来检查包裹配送状态；还可能告诉用户有语音留言，并欺骗用户下载伪造的语音邮件应用程序。它也可能伪称有安全更新，催促用户点击链接。一旦用户点击该链接，它就会指示他们下载一个应用程序。这个应用程序会要求联系人名单和拨打电话等授权。导致该威胁更加危险的是，它还要求获得无障碍服务权限，这让攻击者能够控制屏幕点按操作，有可能会因此而安装更多应用程序。建议用户将其设备重置为出厂设置，以删除此恶意软件。Mirai：利用物联网的力量造成大规模破坏在我们的研究中，识别出的 Mirai DNS 查询量达到 1.56 亿次，仅次于 FluBot 恶意软件。Mirai 以攻击开放 telnet 端口的 IoT 设备而闻名，曾对最大的 DNS 供应商之一发起 DDoS 攻击，并因此恶名昭著。这种具备自我传播能力的蠕虫病毒会寻找使用默认用户名和密码组合的易入侵设备。其聚集的僵尸设备数量一度超过 10 万台，攻击者利用这些设备对高知名度的目标发起了 DDoS 攻击。在其早期的一次攻击中，Mirai 利用 14.5 万台设备攻击了一家科技公司。这个例子表明，不安全的设备可能成为网络攻击的武器，给企业造成大规模破坏。2016 年，Mirai 背后的团伙公开了源代码，或许是为了防止执法部门顺藤摸瓜找到原作者，避免牢狱之灾。此后，其他团伙开始使用 Mirai 的代码，对其进行修改和增强，并添加了更多功能，例如感染系统的功能。其代码公开的影响之一是催生了新变种，如 Okiru、Satori、Masuta 和 PureMasuta，其目的同样是发起 DDoS 攻击。重启受感染的设备确实有所帮助，但该恶意软件会不断扫描设备，因此除非用户更改密码，否则很有可能再次感染。攻击快车道：第 9 卷，第 1 期 SOTI28Necurs：恶意软件经销商和访问权限卖家Necurs 僵尸网络最初发现于 2012 年，在过去六个月中，识别出的相关查询量达到 8,000 万。它能传输其他恶意软件的攻击载荷，如 Dridex、TrickBot 和 Locky 等，因此给家庭用户和企业造成了严重风险。有必要指出，该僵尸网络还通过僵尸网络出租服务向其他团伙出售受感染计算机的访问权限。类似于大多数僵尸网络，它使用 DGA 为其 C2 服务器动态生成多个域，保证在域名被封锁的情况下继续工作。除了用于分发勒索软件和银行木马外，Necurs 还被广泛用于分发多种垃圾邮件攻击，如俄罗斯约会诈骗、医药诈骗等。在一次调查中，Microsoft 监测了该僵尸网络的活动，发现它在短短 58 天内发出了大约 380 万封垃圾邮件。2020 年，执法部门和安全界携手合作，端掉了 Necurs 僵尸网络。Monerodownloader：挖矿僵尸网络攻击者通过许多方式谋利，其中之一就是利用被入侵的设备进行加密货币挖矿。我们观察到许多专为门罗币挖矿打造的僵尸网络，其原因之一就是门罗币在网络犯罪分子中越来越受欢迎。门罗币的区块链风险敞口不是太高，而且有着匿名机制；因此无法追溯到他们个人。虽然我们目前对于 Monerodownloader 知之甚少，不过它所执行的一些战术包括收集信息，并连接到 C2 服务器以获得实际攻击载荷。不及时修补会让系统对门罗币加密货币挖矿程序等威胁大开门户。其他类似的门罗币挖矿程序利用漏洞，冒充成免费软件引诱用户下载，还能够通过网络横向移动、感染其他设备，以获得尽可能多的收入。虽然横向移动这种说法本身更适合企业，不太适合家庭用户，但我们可以借此了解加密货币挖矿程序如何尽可能提高感染率。SOTI28攻击快车道：第 9 卷，第 1 期 SOTI29各地区的头号威胁：在家庭网络中，僵尸网络依然排名第一我们来仔细看一下地区数据，根据家庭网络的 DNS 流量解析各地区盛行的僵尸网络有 哪些，并探究可能促成这类趋势的一些可能因素。北美 在北美地区，家庭网络中与 Mirai 僵尸网络有关的查询超过 1.44 亿次（图 15）。该僵尸网络的目标是仍在使用默认用户名和密码的易入侵 IoT 设备。来自该地区的查询数量较大，或许是因为 IoT 设备在该地区家庭中的普及率或使用率较高。据报道，在 2022 年，美国家庭的联网设备平均拥有量是 22 台，比上一年的 25 台略有下降。IoT 连接量在北美预计还会增加（到 2025 年达到 54 亿），未来很有可能出现更多类似于 Mirai 或近似变种的威胁，滥用不安全的 IoT 设备。图 15：Mirai 依然在北美兴风作浪，原因或许是不安全的 IoT 设备北美地区按排名靠前的 C2 威胁分列的查询次数2022 年 7 月 2023 年 1 月1.4448 亿2,353 万676 万562 万495 万444 万438 万412 万397 万390 万MiraiFodchaTempedrevePykspaConficker BNecursBedepMoobotSuppobox_v2Conficker0 万5000 万1 亿1.5 亿图 15：Mirai 依然在北美兴风作浪，原因或许是不安全的 IoT 设备北美地区按排名靠前的 C2 威胁分列的查询次数 2022 年 7 月至 2023 年 1 月攻击快车道：第 9 卷，第 1 期 SOTI30这种威胁会给家庭用户造成的影响是，网络犯罪分子可以利用其设备实施犯罪，而他们本人毫不知情。但 DDoS 攻击乃至 Mirai 等僵尸网络发起的恶意垃圾邮件也会给企业带来困扰。比较理想的做法是遵循最佳实践，改掉设备的默认用户名和密码，避免其受到 Mirai 和其他类似攻击。欧洲、中东和非洲 用“野火”来形容 FluBot 恶意软件在欧洲、中东和非洲地区的肆虐也只能说是轻描淡写。在该地区观察到了令人惊叹的庞大 DNS 查询量（约 1.93 亿）。通过审查 DNS 流量，我们确定了这些感染确实发生在欧洲、中东和非洲地区（图 16）。一个促成因素是其采用了短信网络钓鱼的战术，在这种形式的网络钓鱼中，攻击者向受害者的联系人名单发送短信。此外，它还会哄骗用户下载一个与包裹物流或语音邮件有关的应用程序，但这个应用程序实际上是恶意软件。除此之外，FluBot 还要求获得额外的权限，并在用户不知情的情况下秘密记录下用户的银行/财务凭据。根据报告，其针对的用户位于西班牙、德国、芬兰和英国等国家和地区。短信还使用其他多种欧盟语言，如德语和匈牙利语，这或许是这种恶意软件在欧洲激增的众多因素之一。图 16：我们观察到，FluBot 恶意软件在欧洲、中东和非洲地区出现爆发，原因或许是其传播策略，及其社会工程诱饵中使用了数种欧洲语言欧洲、中东和非洲地区按排名靠前的 C2 威胁分列的查询次数2022 年 7 月 2023 年 1 月410 万290 万210 万180 万150 万130 万60 万50 万30 万0 万100 万200 万300 万400 万500 万1.925 亿FluBot 恶意软件MonerodownloaderPykspaNecursPushdoVirutQSnatch_v2Suppobox_v2MiraiFobber图 16：我们观察到，FluBot 恶意软件在欧洲、中东和非洲地区出现爆发，原因或许是其传播策略，及其社会工程诱饵中使用了数种欧洲语言 欧洲、中东和非洲地区按排名靠前的 C2 威胁分列的查询次数 2022 年 7 月至 2023 年 1 月攻击快车道：第 9 卷，第 1 期 SOTI31拉美 不同于北美地区以及欧洲、中东和非洲地区，拉美地区的僵尸网络分布更加多样化（图 17）。Monerodownloader 是一种加密的僵尸网络，识别出的查询量达到 4,200 万次，并因此在活跃的僵尸网络分组中位居榜首，其次是 Necurs（3,400 万）和 Tempedreve（2,000 万）。在高通胀和高汇款额的推动下，该地区的加密货币采用率很高，正因如此，像 Monerodownloader 这样的僵尸网络才能位列榜首。在用户不知情的情况下，网络犯罪分子可能将用户设备的资源用于加密货币挖矿，从中谋利。另外值得注意的是，在 DNS 流量的观察结果中，FluBot 是一个极其重要的威胁，也就是说，除了我们观察到大量相关流量的 EMEA 地区之外，这种僵尸网络的活动也很猖獗。图 17：Monerodownloader 加密货币挖矿僵尸网络成为拉美地区的头号威胁，原因或许是该地区对加密货币的使用率较高拉美地区按排名靠前的 C2 威胁分列的查询次数2022 年 7 月 2023 年 1 月4,243 万3,383 万2,021 万1,913 万793 万600 万422 万417 万315 万272 万1000 万0 万2000 万3000 万4000 万5000 万MonerodownloaderNecursTempedreveFluBot 恶意软件VirutSuppobox_v2SuppoboxConficker BConfickerPykspa图 17：Monerodownloader 加密货币挖矿僵尸网络成为拉美地区的头号威胁，原因或许是该地区对加密货币的使用率较高拉美地区按排名靠前的 C2 威胁分列的查询次数 2022 年 7 月至 2023 年 1 月攻击快车道：第 9 卷，第 1 期 SOTI32亚太地区及日本 在亚太地区及日本，我们观察到超过 3.5 亿次与 Pykspa 有关的查询（图 18）。在 2019 年的一篇博文中，我们指出 Pykspa 使用了一种选择性的 DGA 机制，可以达到长时间藏匿的效果。那份报告中强调的领域主要集中在东亚。我们还观察到与 Necurs 等僵尸网络有关的查询，这是一项表明系统被其他恶意软件感染的有力指标。图 18：亚太地区及日本的主要威胁包括 Pykspa 和 Necurs亚太地区及日本按排名靠前的 C2 威胁分列的查询次数2022 年 7 月 2023 年 1 月1000 万1000 万2000 万3000 万4000 万NecursPykspaConficker BMiraiMonerodownloaderConfickerPykspa_v2VirutFluBot 恶意软件GameOver3,960 万3.541 亿1,250 万1,110 万1,050 万970 万570 万470 万390 万290 万图 18：亚太地区及日本的主要威胁包括 Pykspa 和 Necurs亚太地区及日本按排名靠前的 C2 威胁分列的查询次数 2022 年 7 月至 2023 年 1 月攻击快车道：第 9 卷，第 1 期 SOTI32攻击快车道：第 9 卷，第 1 期 SOTI33网络钓鱼现状概述在 DNS 流量分析的最后一部分，我们研究了网络钓鱼工具包及其在网络钓鱼活动成功中的关键作用。攻击者使用的战术不断演变，而且网上可获得的个人信息越来越多，因此网络钓鱼仍然与我们息息相关，甚至比以往更相关。如今的攻击者使用社会工程来更好地伪装其网络钓鱼，使其看起来更加合法，证据也表明，这些攻击的成功率仍然很高。Akamai 对假日钓鱼诈骗的研究表明，攻击者正在利用新的技术和战术逃脱检测。新战术包括在诈骗中使用虚假的用户荐言，还有新发现的使用 HTML 锚定的技术，确保只有有效用户才能登陆诈骗网站。新冠疫情促使远程办公普及，这加大了检测和预防网络钓鱼攻击的难度，因此个人和企业更有必要保持警惕，并采取措施来保护自己。此外，社交媒体兴起，接入互联网的设备不断增加，这都给攻击者创造了更多机会。网络钓鱼活动影响金融服务业调查哪些品牌正在被网络钓鱼骗局滥用和模仿时，我们可以使用大量方法收集数据。我们收集了攻击活动总数量与受害者数量。方便评估给定攻击活动的成功率，了解每个行业中成为攻击目标的比例。图 19：大多数网络钓鱼活动将金融服务行业作为目标网络钓鱼攻击受害者与攻击活动活动受害者针对金融行业的网络钓鱼攻击针对高科技行业的网络钓鱼攻击针对媒体行业的网络钓鱼攻击针对电商行业的网络钓鱼针对其他行业的网络钓鱼0%Ph.4.3%.1%4.5#.1%7.0.8%5.1%4.1%6.6u0%图 19：大多数网络钓鱼活动将金融服务行业作为目标（2022 年第四季度）网络钓鱼攻击受害者与攻击活动攻击快车道：第 9 卷，第 1 期 SOTI34我们的研究发现，金融和高科技品牌在攻击活动数量和受害者数量上都排名靠前（图 19）。我们看到，针对金融服务客户的攻击占发起的攻击活动总数的 40.3%，相应的受害者数量占受害者总数的 68.4%。这表明针对金融服务的攻击在 2022 年第四季度影响巨大。在我们的金融服务业相关报告兵临城下：针对金融服务领域的攻击分析中，我们强调了网络钓鱼攻击是如何谋取财务收益为动机，将金融服务业及其客户作为主要攻击对象。这类攻击的潜在影响包括品牌及其名誉蒙损，以及客户信任丧失。网络钓鱼还可能导致企业需要耗费大量资源来修复问题。2022 年第四季度，有 23%的网络钓鱼活动针对电商领域。我们看到的攻击活动数量多余实际受害者数量，但同样应该引起注意，这表明该行业成为攻击者的目标，用户必须保持警惕，避免网络犯罪分子窃取其个人信息或银行信息。网络钓鱼工具包：助纣为虐网络钓鱼工具包的存在使得网络钓鱼规模庞大、日益严重。网络钓鱼工具包支持部署和维护钓鱼网站，甚至支持非技术型诈骗者加入网络钓鱼攻击者行列，实施网络钓鱼骗局。图 20：网络钓鱼工具包（按 2022 年第四季度重复使用的天数列出）钓鱼网站套件重复使用的天数0 0T 天以上42 天以上35 天以上26 天以上20 天以上12 天以上8 天以上6 天以上4 天以上2 天以上图 20：网络钓鱼工具包（按 2022 年第四季度重复使用的天数列出）钓鱼网站套件重复使用的天数攻击快车道：第 9 卷，第 1 期 SOTI35根据我们跟踪现实环境中使用的 300 多种不同网络钓鱼工具包（用于发动新的攻击活动）的研究，可以看出 2022 年第四季度，2.04%的受跟踪工具包至少有 54 天（同一天内多次使用时，仅按一天统计）得到了重复使用（图 20）。此外，55.5%的工具包被重复使用了至少四天，以发起新的攻击活动，所有受跟踪的工具包在 2022 年第四季度均被重复使用了不少于两天（同一天内多次使用时，仅按一天统计）。结论和建议：主动出击，应对现代攻击 我们已经介绍了威胁分组和攻击者采用的方法，下面谈谈如何利用所有这些信息。首先是如何管理 DNS，具体方法可以是在内部管理，也可以是外包给第三方。对于规模较大或较为复杂的企业，请一家专门管理 DNS 的提供商代劳是比较合理的方案。无论如何，务必要监测 DNS 的性能和保护情况。接下来，您应该考虑需要的各种控制措施。DDoS 防护、恶意软件攻击、抓取、横向移动和渗透都是抵御工作中需要关注的重要领域。在这段数据之旅的每一步中，寻找您可以阻止的安全漏洞这其实是一种通常称为“网络击杀链”的网络安全模型。考虑制定行动手册，以应对本报告中介绍的攻击技术。与您的渗透测试团队或红团核对，确定他们是否（在实验室环境中）使用与 Qakbot 和 Emotet 等 IAB、QSnatch 等爬虫程序、LockBit 等勒索软件相同的工具和技术，并且使用 Cobalt Strike 等工具。务必确保您的安全控制措施能够有效地就这些类型的攻击发出提醒，有效地加以阻止，还要确保您的团队接受应对这些攻击的培训。如果在您的网络中检测到 Cobalt Strike，比较谨慎的做法是立即创建事件报告并开展调查。虽然有可能是您的红队在使用该工具（即便如此，也应调查和报告），但只要存在这种流量，就应该提起警惕，因为这可能表明其他 RaaS 攻击团伙或攻击者入侵，也表明您仍有抵御的机会。考虑您的安全运营中心的运营方式，确定如何跟踪可能表明 IAB 相关威胁在您网络中侦查的进程（如 BITS、Wget 或 cURL）。关键的环节是弄清有哪些下载的运行，并及时阻止正在进行的下载。然后，调查触发 IAB 的原因是 LNK 文件、宏还是 VScript？随后探究入侵的源头。敬请访问我们的安全研究中心，随时了解我们的最新研究资讯。攻击快车道：第 9 卷，第 1 期 SOTI36方法 命令和控制攻击流量 本报告中的数据由我们的 Secure Internet Access(SIA)产品生成，描述了命令和控制(C2)攻击流量。SIA 是一种云端安全 Web 网关，旨在帮助用户安全、轻松地将其设备连接到互联网。本报告中使用了两组不同的数据，分别反映了来自拥有大量用户的企业及具有个人家庭用户的互联网提供商的安全警报数据。此数据的衡量依据是受影响的设备数量和查询数量。受影响的设备定义为：至少连接过已知、确定的 C2 域一次的设备。类似地，C2 查询的定义是：连接过已知、确定的 C2 域的查询。我们的安全团队在内部使用这些数据来研究攻击、识别恶意行为，从而向用户发布相关通知，并为 Akamai 安全解决方案提供额外的情报。攻击快车道：第 9 卷，第 1 期 SOTI37Akamai 支持并保护网络生活。全球各大优秀公司纷纷选择 Akamai 来打造并提供安全的数字化体验，为数十亿人每天的生活、工作和娱乐提供助力。Akamai Connected Cloud 是一种大规模分布式边缘和云平台，可使应用程序和体验更靠近用户，帮助用户远离威胁。如需详细了解 Akamai 的云计算、安全和内容交付解决方案，请访问 和 年 3 月|37致谢名单编辑与创作Or KatzEliad Kimhy Badette Tribbey审稿和主题撰稿Tanya Belousov Stiv Kupchik Shiran Guez Grace Wang Ophir Harpaz Steve Winterfeld数据分析Ronan BallantineGal Kochner Chelsea Tuttle营销与发布Georgina Morales HampeShivangi Sahu更多互联网现状/安全性回顾往期报告，并关注 Akamai 备受好评的互联网现状/安全性后续报告。 Akamai 威胁研究关注最新的威胁情报分析、安全报告和网络安全研究的动态。 转载来源，并且保留 Akamai 徽标。 Akamai 解决方案如需详细了解 Akamai 为应对针对企业的威胁提供的解决方案，请访问我们的 Secure Internet Access Enterprise 页面。面向消费者和中小企业市场的服务提供商可访问面向 ISP 的 Secure Internet Access 服务。扫码关注获取最新CDN前沿资讯

0人已浏览 2023-10-19 38页 5星级

中国信息通信研究院互联网治理研究中心 2023年8月 互联网域名产业报告互联网域名产业报告 (2022023 3 年年)版权声明版权声明 本报告本报告版权属于版权属于中国信息通信研究院中国信息通信研究院，并受法律保护，并受法律保护。转载、摘编或利用其它方式使用转载、摘编或利用其它方式使用本报告文字或者观点的，应本报告文字或者观点的，应注明注明“来源：来源：中国信息通信研究院”中国信息通信研究院”。违反上述声明者，本。违反上述声明者，本院院将追究其相关法律责任。将追究其相关法律责任。前前 言言 域名是互联网的关键基础资源，是数字时代的重要网络入口和人机交互标识。域名系统（DNS）是互联网的关键基础设施和“中枢神经系统”，攸关互联网安全稳定运行，也是支撑各国经济社会运行和推动数字经济发展的重要基础。域名解析是用户访问互联网过程中的关键组成环节，域名解析服务的高效性、准确性和安全性等因素直接影响互联网的安全稳定和用户访问体验。2022 年以来，互联网名称与数字地址分配机构（ICANN）继续积极应对国际局势演变、宏观经济走弱、新冠疫情反复、互联网碎片化、新兴标识符技术替代等多重挑战，推动优化政策制定机制、提升组织运作效率，下一轮新通用顶级域（gTLD）开放实施准备工作已全面部署推进，域名注册数据保护相关政策进程取得积极进展，DNS 滥用治理措施有望通过 ICANN 合约修订得到更好落实。截至 2022 年底，全球和我国域名注册市场规模分别约为 3.63 亿个和 3440 万个，国内市场延续波动走势，市场集中度略有下降。国际国内域名解析服务呈现解析节点部署全球化特征，市场集中度受行业主体收并购影响有所增大，DNS 隐私和加密认证技术得到更多部署应用。我国是全球第二大域名注册市场，数字经济蓬勃发展、中文域名应用环境改善等，都将为我国域名产业创新发展带来积极动力；同时，优化营商环境举措陆续落地实施，政府统筹、企业自治、行业自律、社会监督的多元共治机制不断完善，域名产业发展环境进一步优化。作为国家信息通信技术（ICT）领域研究机构和 ICANN 中国社群 交流合作平台运营单位，中国信息通信研究院在互联网域名产业发展和管理方面开展了大量的研究工作，也得到相关政府部门、行业企业、协会组织、高校和研究机构及专家学者等的支持和帮助，继中国域名产业发展报告（2015 年）互联网域名发展与管理报告（2016 年）之后，每年发布 互联网域名产业报告，旨在与业界分享研究成果，助力中国社群更好了解国际国内域名领域政策和发展动向，不断推动我国互联网域名产业健康有序发展，促进中国社群深度参与国际治理体系、开展国际规则制定、贡献中国智慧和力量。目目 录录 一、全球域名管理体系及注册服务特点.1（一）全球域名管理体系总体平稳运行，ICANN 治理改进和政策革新持续推进.1（二）全球域名注册市场规模总体平稳增长，市场集中度小幅下降.12 二、我国域名注册服务特点及中文域名发展.20（一）我国域名注册市场规模呈现波动走势，外部发展环境有所改善.20（二）我国域名注册及服务机构地理分布较为集中，市场规模集中度略有下降.22（三）中文域名普遍适用问题受到关注，行业各方共同推动中文域名发展.25 三、国际域名设施建设及应用服务情况.29（一）根镜像服务器全球部署持续推进，ICANN 继续推动根系统战略实施.29（二）新 gTLD 运营/托管服务市场集中度有所增加，网站权威解析服务 TOP机构优势明显.32（三）DNS 隐私和加密认证技术持续发展，QNAME 最小化技术助力提高解析性能.35 四、国内域名设施建设及应用服务情况.38（一）我国根镜像服务器布局持续优化，根解析性能有效提升.38（二）我国“.CN”和新 gTLD 解析性能较好，权威解析服务节点走向海外.39 五、未来发展与展望.41（一）把握发展机遇，拓展产业创新发展空间.41（二）落实主体责任，构筑安全可信网络环境.42（三）应用工业场景，发展标识解析“新基建”.43 图图 目目 录录 图 1 全球域名注册量及其增长情况.12 图 2 全球 gTLD 域名服务机构数量 TOP10 国家/地区分布.14 图 3 全球域名注册量 TOP10 国家和地区排名.15 图 4 全球 ccTLD、gTLD 和新 gTLD 域名注册量 TOP10 国家和地区排名.15 图 5 全球域名注册量 TOP10 顶级域市场份额.17 图 6 全球域名注册量 TOP20 gTLD 和新 gTLD 市场份额.17 图 7 全球 gTLD 和新 gTLD TOP20 域名注册管理机构（主体）市场份额.18 图 8 全球 gTLD 和新 gTLD TOP20 域名注册服务机构市场份额.19 图 9 我国域名注册量及其增长情况.21 图 10 我国已获许可的域名服务机构数量省份分布（截至 2022 年 12 月）.23 图 11 我国域名注册量地理分布.23 图 12 我国域名注册量 TOP20 顶级域市场份额.24 图 13 我国已获许可的域名注册管理机构市场份额.24 图 14 我国 gTLD 和新 gTLD TOP20 域名注册服务机构市场份额.25 图 15 2016-2023 年根服务器（含镜像）数量发展状况.30 图 16 各大洲根服务器（含镜像）数量及其增长率.31 图 17 2021 和 2022 年各机构运营/托管的新 gTLD 数量变化情况.33 图 18 2021 和 2022 年各机构运营/托管的新 gTLD 域名注册量变化情况.34 图 19 全球 TOP10 权威解析服务机构解析域名数量.35 图 20 我国访问根服务器（含镜像）的性能.38 图 21 我国访问主要顶级域名服务器的平均解析性能.39 图 22 我国 TOP5 权威解析服务机构解析域名数量.40 表表 目目 录录 表 1 全球根服务器（含镜像）部署情况（截至 2022 年 12 月）.29 互联网域名产业报告（2023 年）1 一、全球域名管理体系及注册服务特点（一）全球域名管理体系总体平稳运行，（一）全球域名管理体系总体平稳运行，ICANN 治理改治理改进和政策革新持续推进进和政策革新持续推进 互联网名称与数字地址分配机构（ICANN）是 1998 年 9 月注册成立于美国加利福尼亚州的非营利性机构，由私营部门主导、多利益相关方共同参与，以“董事会社群机构”的架构运作，遵循“同一个世界、同一个互联网”原则，负责对全球互联网唯一标识符系统（特别是域名系统（DNS）进行总体协调、确保其安全稳定运行，并履行互联网号码分配管理（IANA）职能1。ICANN 治理体系内各社群组织、机制和进程总体有序运作，共同推动 ICANN 治理改进和政策革新。1.ICANN 积极应对多重挑战，维护治理体系稳健运作 当前，ICANN 治理体系运作正面临来自国际局势演变、互联网碎片化及新兴技术发展等多重因素的影响和挑战。一方面，俄乌冲突爆发初期，关于“是否以及如何对俄实施互联网制裁”的热烈争论，再次将国际社会的目光引向域名、IP 地址等互联网关键资源分配管理及相关基础设施安全可靠运行方面，有关ICANN司法管辖权、ICANN及其多利益相关方治理机制合法性和有效性等争议问题凸显，进一步考验 ICANN 治理的中立性、独立性和非政治性；随着冲突长期化发展，各方关注重点已普遍转向数字连接与赋能、数字信任与安全、互 1 IANA 职能主要涉及域名系统根区管理、互联网号码（IP 地址和自治域（AS）号码）分配、互联网协议参数维护等，是全球互联网运行的关键基础功能。互联网域名产业报告（2023 年）2 联网碎片化、人工智能治理等注重数字世界未来发展的更广泛议题。信息社会世界峰会成果落实二十年（WSIS 20）审查、全球数字契约（GDC）制定等联合国框架下的工作进程，将成为各国各方呼吁维护互联网的统一、互联、安全和可信，重申支持互联网治理多利益相关方方法的重要平台。另一方面，以欧盟为代表的主要国家和地区继续基于数字主权原则，加快推进本地网络空间立法定规工作进程。欧盟数字服务法（DSA）欧盟高水平网络安全措施指令（NIS2 指令）等政策文件陆续生效，欧盟工艺/工业产品及农产品地理标志名称保护监管政策正在修订，欧洲 DNS 递归解析服务基础设施（DNS4EU）部署计划已经启动，其中对域名服务机构提出了落实网络安全保障措施、防范打击 DNS 滥用行为、确保域名注册数据准确性并提供对此类数据的高效合法访问等要求，对 ICANN 国际政策工作形成倒逼之势。此外，区块链、新兴标识符技术的发展推动了替代性标识体系的兴起，可能对互联网的统一开放和安全稳定带来影响。随着 Web3 去中心化网络概念热潮的降温，替代性标识系统及服务正趋于理性、协调、可持续发展。部分平台与国际主流浏览器厂商合作开发适用的平台程序，提出设置标识注册日升期、保留高流量网站“域名”等商标权利保护政策，并推动其替代性标识与传统 DNS 域名相映射，显著提升了服务便利性和可靠性；Web3“域名”联盟的成立，旨在倡导推广区块链标识权利保护及跨平台名称冲突（Name Collision）治理规则，规范相关系统运作和服务提供，以促进替代性标识生态体系协调互联网域名产业报告（2023 年）3 发展；VeriSign、UK Creative Ideas2等机构还提出制定传统 DNS 与区块链标识体系间的标准化集成方法，统一跨平台标识所有权及过期失效政策，以促进不同标识体系间的相互兼容和共存发展。互联网工程任务组（IETF）拟将“.ALT”纳入 IANA 特殊用途域名列表，以用于完全不采用 DNS 解析机制的替代性标识空间，为新兴标识符技术及其市场发展提供支持。为了有效履行职责，维护 ICANN 治理体系稳健、可持续发展，ICANN 基于五年战略规划，优化调整运营和财务规划3，明确了全球域名管理体系的重点发展方向。主要包括：一是改进根服务器系统多方治理机制，增强根区管理系统功能，运营根区分发服务“超本地（HyperLocal）”方案4，监测分析 DNS 滥用行为及新兴技术影响问题，改善 DNS 生态系统安全性和可信度；二是实施加强问责制跨社群工作组第二阶段（WS2）工作建议，规划开展全面审查（Holistic Review）试点，改进共识决策和协作流程，提升 ICANN 多利益相关方参与和治理机制的问责透明及有效性、多样性、包容性；三是推动下一轮新 gTLD 开放相关实施准备工作，强化宣传推广和能力建设以支持相关方提升多语种域名（IDN）普遍适用性（UA）5；四是促进政府和政府间国际组织（IGO）对 ICANN 的了解和参与，维护 ICANN与全球互联网生态系统中各相关方之间的合作关系，跟踪应对国际和 2 即“.ART”顶级域域名注册管理机构。3 即 ICANN 董事会于 2023 年 4 月审议通过、7 月生效的 ICANN2024-2028 财年运营和财务规划及 2024财年运营规划和ICANN 2024 财年预算。4 主要基于 RFC8806（RFC7706 的更新版）提出的由本地 DNS 服务器获取和使用根区（数据）副本、实现根解析本地化的技术方案。详见 https:/www.rfc-editor.org/rfc/rfc8806.html 5 普遍适用性（Universal Acceptance，简称 UA，或译为普遍接受性），是指域名和电子邮件地址能在所有启用互联网连接的应用、设备和系统中正确、一致地获得接受、验证、存储、处理和显示。互联网域名产业报告（2023 年）4 各国立法监管工作对 ICANN 履行使命的影响和冲突问题；五是实施工作优先级规划方案以优化资源配置，利用首轮新 gTLD 申请拍卖收益开展拨款计划，加强域名市场数据分析与资金预测，确保 ICANN财务长期可持续性等。考虑到后疫情时代全球经济衰退的可能和通货膨胀影响，ICANN 2024 财年运营支出预算为 1.45 亿美元（较 2023财年实际运营成本估算值下降 2%），2024 至 2028 财年预算合计 7.41亿美元。2.下一轮新 gTLD 开放政策进程取得重要进展，相关实施准备工作全面推进 作为促进域名市场竞争和多语言互联网发展的重要举措，推动实现新 gTLD 进一步开放成为当前最受关注的 ICANN 国际政策议题。经实施设计评估（即 ODP 评估）6，社群所提大部分政策建议（共 94项）于 2023 年 3 月获得董事会批准，ICANN 机构随即组建跨社群参与的实施审查小组（IRT）7推动相关政策实施，制定新版新 gTLD申请人指南（AGB），为申请人（即域名注册管理机构）提供有关下一轮新 gTLD 开放的具体申请规则、申请和评估/审批流程、资格要求及评估标准等政策指导；其余 38 项“待定”政策建议将由董事会与相关社群组织沟通解决。对于另设专门进程同步推进的相关政策议题，6 考虑到政策议题的复杂性，ICANN 机构根据董事会决议要求，就社群政策建议开展 ODP 评估，以预先分析政策实施中可能存在的问题并提出调整方案，确保相关政策符合 ICANN 社群和机构的最佳利益，为董事会最终决策提供参考。评估范围主要包括下一轮及后续轮次新 gTLD 开放涉及的机制程序、本地化支持、系统工具、预期成本、资源需求、潜在风险、时间表、与其他工作进程的依赖性关系、对全球公共利益的影响、所适用的 ICANN 合约合规要求等。评估报告于 2022 年 12 月完成并提交 ICANN 董事会。7 新组建的 IRT 采用“开放参与 代表”的成员构成方式，由 ICANN 各社群组织代表和其他自愿参与者平等参与，共同协助 ICANN 机构更好理解和实施已获批准的政策建议。互联网域名产业报告（2023 年）5 如封闭型 gTLD 申请规则8、IDN 变体字管理政策、申请人支持计划成功因素等，相关工作成果如获董事会批准也将纳入新版 AGB。预计 AGB 将于 2025 年 5 月定稿、经董事会批准后于 12 月发布，下一轮新 gTLD 申请程序拟于 2026 年 4 月开启，但不排除有部分待定政策工作拖延而对整体开放进程造成影响。经 ODP 评估形成的新 gTLD 后续开放政策实施设计方案9，将为各方预判下一轮及后续轮次新 gTLD 开放具体规则和流程提供重要参考。主要包括：总体实施方面，将继续按轮次推进新 gTLD 开放进程，每轮开放前组建跨社群参与的常设可预测性实施审查小组（SPIRT），分析新一轮开放中可能面临的系统性问题并提出适用的解决机制等。申请提交方面，不限制每轮可提交的新 gTLD 申请总数或特定机构申请数量，不允许在顶级域中使用表情符号；要求申请人申明其运营新 gTLD 的善意意图、安全政策目标及预期实现机制，并在自愿性承诺（RVC）中明确预期申请用途、确保持续执行；维持成本回收机制和申请费基本构成，为有明显经济需要且符合资格条件的申请人提供费用减免和无偿申请服务支持等。申请评估方面，根据每份申请的具体特征开展评估处理，优先处理 IDN 及其变体顶级域申请（须归属同一主体），评估名称冲突风险级别，增加涉及高度敏感性/受监管行业类型及地名类型申请的评估 8 封闭型 gTLD 是具有通用属性名称的顶级域，并且其下域名仅由域名注册管理机构或其关联机构独家注册使用。相关政策进展预计不会影响下一轮新 gTLD 开放总体进程。9 ODP 评估期间发布的实施设计方案已更新至第 7 版，见 https:/www.icann.org/en/system/files/files/draft-assumptions-subsequent-procedures-odp-08nov22-en.pdf。此外，ODP 评估报告中进一步探讨了相关议题的政策实施问题。互联网域名产业报告（2023 年）6 程序；在每轮开放申请前为有意愿的申请人提供相同审批标准的技术/运营能力评估测试（RSP 预审批）；对于所有申请中采用完全相同技术设施的，仅需执行一次技术和运营评估等。异议和争用方面，沿用首轮申请评议机制和正式异议相关程序，持续为政府部门提供政府咨询委员会（GAC）早期预警和共识建议等机制以反映其关切；要求评议/异议者披露其与申请机构之间的关系，并明确反对理由；促进各方就关切问题进行直接沟通，沿用问题澄清流程并允许申请人变更申请材料或提出 RVC 以回应相关异议，公共利益承诺争议解决流程（PICDRP）及相关程序适用范围将进一步涵盖 RVC；允许品牌顶级域因争用而变更所申请的字符串，允许争用双方通过企业合并或合资等方式变更申请主体及相关材料；建立透明流程，确保争议解决专家组成员、独立异议者和申请评估者不存在利益冲突等。签约和授权方面，对于已完成各项申请评估流程的顶级域，其申请人将与 ICANN 机构签署统一的基本 域名注册管理机构协议（RA）及所附的规范（Specification）文本，并相应接受 ICANN 合规管理；申请人可在 RA 生效之前的任何时间自愿撤回申请；为了确保 DNS安全性和稳定性，IANA/公共技术标识符机构（PTI）将以根区顶级域总量每月增加不超过 5%的速度进行顶级域授权入根等。3.域名注册数据保护合规政策工作进入尾声，非公开注册数据访问政策有待测试验证 欧盟通用数据保护条例（GDPR）实施带来的隐私保护措施外互联网域名产业报告（2023 年）7 溢作用，使 ICANN 治理体系下全球域名服务链条多个环节的数据处理政策出现重大调整10。为了确保全球 DNS 运作符合欧盟及其他隐私保护法律规定，并充分满足各国家/地区网络安全和执法部门、知识产权保护机构、消费者权益保护机构等第三方及时、有效、准确获取完整域名注册数据的需求，ICANN 体系内设立多个跨社群工作机制分阶段推进相关领域的政策工作。其中，关于域名注册数据保护合规政策工作，gTLD 域名注册数据共识政策草案11已于2022 年8 月发布，正结合公众意见进行修订，将纳入 RA/域名注册服务机构委任协议（RAA）（以下统称为“合约”）及数据保护协议予以执行，以替代 ICANN 现行临时规范；受此影响的十余项 ICANN 现行政策和程序也同步进行了修订更新。关于非公开域名注册数据访问政策工作，经 ODP 评估及社群评议，为了进一步验证社群政策建议中关于建立统一系统门户（即 SSAD12）提供非公开 gTLD 域名注册数据的可行性，ICANN 正在开发简化的注册数据申请服务（RDRS）系统，拟通过至多两年的运营测试，收集并分析系统使用状况统计数据用于 SSAD 成本/收益测算，为董事会政策审议提供决策参考。预计 RDRS 系统将于 2023 年 9 月推出、11月正式接受申请提交，有待用户（即数据申请者）和域名注册服务机构（即数据提供者）的足量参与。关于域名注册数据准确性评估工作，10 ICANN 机构和域名服务机构 2018 年 5 月以来实行的 gTLD 域名注册数据临时合规政策见：https:/www.icann.org/resources/pages/gtld-registration-data-specs-en/#temp-spec，其 中 文 翻 译 版 本 见https:/www.icann.org/en/system/files/files/gtld-registration-data-temp-spec-17may18-zh.pdf，涉及域名注册、域名转移、后台托管、数据托管、数据报送、域名注册数据公共查询服务（Whois 服务）等环节。11 政策草案明确了在遵守欧盟 GDPR 并考虑其他相关隐私和数据保护立法政策的前提下，域名注册管理机构和域名注册服务机构在数据收集、转移和发布等环节处理 gTLD 域名注册数据的相关要求。12 该系统全称为：非公开 gTLD 域名注册数据标准化访问/披露系统（SSAD）。互联网域名产业报告（2023 年）8 域名注册数据准确性范围界定小组已完成中期报告，对注册数据准确性相关合约义务及现行执行措施进行梳理和汇总，并探讨了准确性衡量方法。后续工作任务还包括开展合约义务有效性评估、现有准确性措施改进需求评估等，但需要首先解决 ICANN 机构获取完整注册数据以全面监测其准确性状况的合法性问题，有待 ICANN 进一步开展数据保护影响评估、征询欧洲数据保护委员会（EDPB）指导意见，并与域名注册管理机构/域名注册服务机构（以下可统称为“域名服务机构”）完成数据保护协议磋商等。此外，采用注册数据访问协议（RDAP）提供域名注册数据公共查询服务（Whois/RDDS 服务）的技术要求13已被纳入新版合约，其中设置了 18 个月的过渡期逐步取代以 Whois 技术协议提供该服务的传统模式。4.各方积极推动改善 DNS 滥用治理，ICANN 合约修订强化域名服务机构执行效力 DNS 滥用（或域名滥用）是当前 DNS 安全可信发展面临的最主要威胁之一，新冠疫情和俄乌冲突进一步加剧了相关域名不良信息、网络欺诈、恶意软件、僵尸网络、分布式拒绝服务（DDoS）攻击等滥用问题，引发国际社会广泛关注和重视。特别是随着新 gTLD 后续开放进程的日趋临近，DNS 滥用问题亟需在下一轮开放前得到有效缓解。全球各方已普遍将 DNS 滥用定义和范围这一长期争议性问题暂 13 相较于 Whois 协议，2019 年开始实施的 RDAP 具有支持标准化身份验证、规范化查询/回应信息、IDN注册数据、差异化访问机制以及可扩展性等优势。本次相关技术要求将被正式纳入 RA/RAA，接受 ICANN机构的合规监管。互联网域名产业报告（2023 年）9 时搁置，而采取更加务实的思路和做法，通过明确不同主体角色定位、保障合约治理措施执行、改善滥用监测和通报机制、促进多方协作和信息共享等，推动各方充分发挥能力和优势，共同提升 DNS 滥用治理成效。关于改进 ICANN 合约治理措施。RA/RAA 合约条款为 gTLD 域名服务机构开展滥用治理工作提供了基本遵循和制度保障。为了解决现行合约义务不够明确、执行效力不足的问题，由域名注册管理机构/域名注册服务机构社群组织（RySG/RrSG）发起修订的合约草案主要作出以下调整：一是依据 ICANN 职权范围，将合约中适用的“DNS 滥用”范畴明确界定为恶意软件、僵尸网络、网络钓鱼、网址嫁接和垃圾邮件14五种技术滥用形式；二是将域名注册管理机构定期对其顶级域开展的安全威胁技术分析义务限定在这一 DNS 滥用范畴；三是要求当掌握切实证据时，域名注册服务机构须迅速采取合理必要的适当行动，阻止所管理的域名相关 DNS 滥用行为；域名注册管理机构须迅速将其顶级域相关 DNS 滥用证据转交相应域名注册服务机构予以处置，或视情直接采取合理必要的适当行动；四是强调所采取的处置行动将取决于“DNS 滥用造成危害的严重程度”与采取行动“可能导致的相关附带损害”之间的平衡15，也会影响“迅速”行动的时限，因此合约中并未规定统一的处置时限；五是优化 DNS 滥用和非法活 14 仅当其作为实施前面四类 DNS 技术滥用行为的传输媒介时，才属于合约适用的 DNS 滥用范畴（即不涉及内容滥用行为）。15 当不适合采取关停域名的处置措施时（例如针对被盗用域名、在三级域上发生滥用行为等），由于域名注册服务机构在域名注册服务链条中最接近客户（域名注册人），其也更便于联系客户或其网站托管服务商等解决域名使用带来的滥用问题。RrSG 近期推出滥用联系方式识别工具（ACID，）可用于查询域名对应的网站托管服务商或电子邮件服务商联系信息。互联网域名产业报告（2023 年）10 动举报机制，增加了网络表单提交方式并要求向举报者提供查收确认信息等。而关于及时接收非法活动投诉举报、开展调查处理并公布执行情况、在域名注册协议中明确禁止注册人滥用行为等现行规定未受影响。新版合约预计于 2023 年 9 月定稿并在第四季度接受各域名服务机构投票。关于优化滥用行为监测和通报机制。依托域名滥用活动报告系统（DAAR）和域名安全威胁收集和报告（DNSTICR）系统，ICANN 持续对全球范围内16的 DNS 技术滥用活动和涉及新冠疫情、俄乌冲突相关关键词的域名恶意活动进行监测分析，并将有关情况及时通报相应域名注册服务机构进行处置。2023 年 5 月通过 DAAR 识别出的涉及技术滥用的 gTLD 域名数量约为 58 万个（同比下降约 2%），占gTLD 域名注册总量的 0.3%。ICANN 董事会于 2023 年 4 月批准修订的 RA 条款进一步实现对 DAAR 监测内容的扩展，通过授权将域名注册管理机构批量提供的现有注册数据用于研究目的，为开展域名注册服务机构层面的 DNS 滥用态势研究提供数据支持。考虑到不同监测渠道的滥用事件数据存在很大差异性，社群层面建议加强互联网生态系统内不同主体间的交流与合作，促进可信监测数据互通共享，建立和推广可信通知者17机制，更好运营和使用 DNS 滥用研究所推出的 NetBeacon 滥用事件集中报告系统，并积极将人工智能算法应用于对恶意注册域名及滥用行为的有效识别和预测，从而更加全面准确地 16 DAAR 的监测范围包括全部 gTLD 以及自愿参与该系统的国家和地区代码顶级域（ccTLD）下的 DNS 技术滥用活动。这些 ccTLD 目前共有 22 个，包括“.FR（法国）”“.CA（加拿大）”“.AU（澳大利亚）”“.IN（印度）”“.TW（中华台北）”等。17 当前全球范围内对“可信通知者”尚无普遍认可的定义，其职能是凭借公认的专业知识、准确性声誉等，监测并通报 DNS 滥用行为，以供相应的域名服务机构采取处置行动。互联网域名产业报告（2023 年）11 反映 DNS 滥用特点、态势和影响，进一步提升 DNS 滥用监测、预防和通报能力。此外，ICANN 内通过执行相关审查机制18建议、DNS 安全促进倡议技术研究组（DSFI-TSG）建议，开展恶意注册域名推断分析（INFERMAL）研究19等，结合其他相关工作机制，从滥用类型和工作范围界定，相关数据收集、分析与披露，投诉举报信息接收、处置及合规管理等方面，不断完善 DNS 滥用治理相关措施，并考虑在合约修订后推进针对恶意软件、网络钓鱼等 DNS 滥用专门问题的政策制定工作。互联网和司法管辖权政策网络组织（I&JPN）、DNS 滥用研究所、欧盟委员会、欧洲国家顶级域名注册管理机构理事会（CENTR）、德国互联网行业协会 eco 等机构还重点从各类 DNS 相关滥用行为的作用机理和影响范围、关键环节和涉及主体、举报机制和系统平台、处置路径及其优缺点等实操层面开展分析，面向 DNS滥用治理链条中不同主体推荐实施有针对性的最佳实践方案。各方对于 DNS 滥用问题的关注和积极应对有利于全球范围内滥用治理政策和协调机制的建立和实施，助力营造安全、可信、清朗的网络空间。18 包括竞争、消费者信任和消费者选择（CCT）审查组、第二届 DNS 安全性、稳定性和弹性（SSR2）审查组、第二届注册目录服务（RDS）/Whois 审查组等。19 为了对恶意注册域名行为进行准确识别和及时有效防范，ICANN 机构于 2023 年 4 月宣布启动恶意注册域名推断分析项目。该项目旨在系统分析网络攻击者为实施恶意行为而主动注册域名的相关偏好（例如是否倾向于提供较低域名注册价格、接受特定付款方式、无需提供某些注册信息的域名注册服务机构，或者提供免费 API 进行批量注册的域名注册服务机构等），以此确定应对此类 DNS 滥用问题的可行措施，有助于提升域名行业自我监管水平并降低相关监管成本。互联网域名产业报告（2023 年）12（二）全球域名注册市场规模总体平稳增长，市场集中（二）全球域名注册市场规模总体平稳增长，市场集中度小幅下降度小幅下降 1.全球域名注册市场总体平稳增长，市场整合继续推进 截至 2022 年 12 月，全球域名注册市场规模约为 3.63 亿个，与2021 年同期相比（同比）增长 1.9%，略低于 2021 年 2.8%的增长率，近五年复合增长率为 2%。其中，国家和地区代码顶级域（ccTLD）域名注册市场规模约为 1.35 亿个，同比增长 2%，占全球域名注册市场规模的 37.3%（较上年略有增长）；gTLD 域名注册市场规模为 2.28 亿个，同比增长 1.8%，占全球域名注册市场规模的 62.7%。随着疫情的常态化，新 gTLD 域名注册市场规模进一步回升，截至 2022 年 12 月达到 3192.8 万个，同比增长 11.5%，新 gTLD 域名注册市场占全球域名注册市场和 gTLD 域名注册市场规模的比例分别为 8.8%和 14%。来源：ICANN、VeriSign20、CNNIC，中国信息通信研究院整理 图1 全球域名注册量及其增长情况 20 ICANN、VeriSign 数据通常有 3-4 个月滞后，后同。互联网域名产业报告（2023 年）13 域名服务机构之间关于组织架构、服务业务及顶级域运营权等的交易活动继续开展。例如，Donuts 在完成对 Afilias 及其下顶级域的收购后，已将域名注册管理机构和后台托管服务机构品牌统一更名为“Identity Digital”；由 W 和 Endurance Web Presence 合并而成的 Newfold Digital 完成了对 MarkMonitor 的收购，成为仅次于GoDaddy 的第二大 gTLD 域名注册服务机构；Tucows 已完成对其收购的UNR域名注册管理机构后台托管服务业务的整合等。根据IANA数据，截至2023年6月，gTLD域名注册管理机构运营权转让（Transfer）累计达到 381 次（其中新 gTLD 为 378 次），2022 年以来共计 43 次（均为新 gTLD），其中 60%以上向 Registry Services（即 GoDaddy Registry）、XYZ、PIR 等头部企业转移。此外，已退出/撤销（Revocation）的 gTLD 数量为 102 个（均为新 gTLD），其中 2022 年以来共计 19个。2.域名服务机构地理分布较为集中，新兴经济体对全球市场发展持续发挥重要驱动作用 从域名服务机构地理分布来看，gTLD 域名注册管理机构和域名注册服务机构已遍及北美、欧洲、亚太、南美和非洲的 80 余个国家和地区，美国机构数量持续占据绝对优势。截至 2022 年 12 月，gTLD域名注册管理机构数量排名前五位的国家/地区依次是美国、日本、德国、法国和英国，机构数量合计占获得 ICANN 批准的 gTLD 域名注册管理机构总数（511 个）的 57.5%，其中来自美国的域名注册管理机构数量占 1/3，中国内地和中国香港分别排名第七位和第八位；gTLD 域互联网域名产业报告（2023 年）14 名注册服务机构数量排名前五位的国家/地区依次是美国、新加坡、中国（内地）、印度和中国香港，机构数量合计占获得ICANN认证的gTLD域名注册服务机构总数（2655 个）的 88.5%，其中来自美国的域名注册服务机构数量占比为 75.1%。来源：ICANN、IANA，中国信息通信研究院整理 图2 全球gTLD域名服务机构数量TOP10国家/地区分布 从域名注册市场地理分布来看，由于域名服务与互联网的发展程度具有天然的相关性，互联网发达的国家/地区域名服务发展程度较高，服务规模也较大。截至 2022 年 12 月，全球域名注册主要集中在美国、中国、德国、加拿大和英国五个国家/地区，合计市场份额 66.5%；全球 ccTLD、gTLD 和新 gTLD 域名注册量排名前五位的国家/地区在相应市场中合计占比分别为 45%、81.8%和 78.1%，同比均有小幅下降。中国是全球第二大域名注册市场，也是最大的 ccTLD 域名注册市场、第二大 gTLD 和新 gTLD 域名注册市场，市场规模分别占相应全球市场的 9.5%、15%、6.2%和 12.6%；印度在全球域名注册市场、gTLD 和新 gTLD 域名注册市场分别排名第八位、第七位和第六位，俄罗斯在全球域名注册市场、ccTLD 和新 gTLD 域名注册市场分别排互联网域名产业报告（2023 年）15 名第十位、第五位和第八位，巴西在全球 ccTLD 域名注册市场排名第六位，新加坡在全球 gTLD 域名注册市场排名第八位，中国香港在全球 gTLD 和新 gTLD 域名注册市场分别排名第九位和第七位，新兴经济体在促进全球域名市场发展上持续发挥重要作用。来源：ICANN、VeriSign、CNNIC、JPRS、auDA、AFNIC、GoDaddy、NIC.br、SIDN Labs、Registro.it 等，中国信息通信研究院整理 图3 全球域名注册量TOP10国家和地区排名 来源：ICANN、VeriSign、CNNIC、JPRS、auDA、AFNIC、GoDaddy、NIC.br、SIDN Labs、Registro.it等，中国信息通信研究院整理 图4 全球ccTLD、gTLD和新gTLD域名注册量TOP10国家和地区排名 互联网域名产业报告（2023 年）16 3.全球 TOP 顶级域榜单保持稳定，顶级域及域名服务机构市场集中度小幅下降 从顶级域市场格局来看，截至 2022 年 12 月，全球域名注册量排名前十位的顶级域包括三大传统 gTLD“.COM”“.NET”和“.ORG”，六大 ccTLD“.CN（中国）”“.DE（德国）”“.UK（英国）”“.NL（荷兰）”“.RU（俄罗斯）”和“.BR（巴西）”，以及新 gTLD“.XYZ”。排名前五和前十位的顶级域域名注册量合计分别占全球域名注册市场的 62.5%和 71.5%，同比均下降 1 个百分点；其中“.COM”域名注册量为 1.64 亿个，同比增长 0.6%但连续两个季度略有下降，以 45.3%份额（同比下降 0.6 个百分点）维持领先市场地位。排名前五和前十位的 ccTLD 域名注册量合计分别占全球 ccTLD 域名注册市场的 44.8%和 60.1%，同比分别下降 0.9 个和 0.2 个百分点。排名前五和前十位的 gTLD 域名注册量合计分别占全球 gTLD 域名注册市场的 86.8%和90.6%，同比分别下降 1.1 个和 0.7 个百分点；其中“.COM”在 gTLD域名注册市场中的份额下降 0.9 个百分点至 72.2%。新 gTLD 市场发展相对均衡，排名前五和前十位的新 gTLD 域名注册量合计分别占全球新 gTLD 域名注册市场的 37.1%和 50.9%，同比分别增长 0.4 个百分点和下降 1.1 个百分点。互联网域名产业报告（2023 年）17 来源：ICANN、VeriSign、CNNIC、JPRS、auDA、AFNIC、GoDaddy、NIC.br、SIDN Labs、Registro.it 等，中国信息通信研究院整理 图5 全球域名注册量TOP10顶级域市场份额 来源：ICANN，中国信息通信研究院整理 图6 全球域名注册量TOP20 gTLD和新gTLD市场份额 从域名注册管理机构市场格局来看，截至 2022 年 12 月，gTLD域名注册量排名前五和前十位的域名注册管理机构（主体21）市场规模合计分别占全球 gTLD 域名注册市场的 92.6%和 97.2%，同比分别 21 由同一家机构控股的，在统计时视为同一主体。互联网域名产业报告（2023 年）18 增长 1.4 个百分点和下降 0.1 个百分点；其中运营“.COM”“.NET”“.NAME”等顶级域的 VeriSign 公司市场份额同比下降 1.1 个百分点至 78.2%。新 gTLD 域名注册量排名前五和前十位的域名注册管理机构（主体）市场规模合计分别占全球新 gTLD 域名注册市场的 66.5%和 86.5%，同比分别下降 3.3 个和 1.4 个百分点。从域名注册服务机构市场格局来看，其市场发展相对均衡，其中 gTLD 域名注册量排名前五和前十位的域名注册服务机构市场规模合计分别占全球 gTLD域名注册市场的 46.1%和 56.7%，同比分别下降 0.6 个和 1.4 个百分点；新 gTLD 域名注册量排名前五和前十位的域名注册服务机构市场规模合计分别占全球新 gTLD 域名注册市场的 41.1%和 55.8%，同比分别下降 5.5 个和 3.5 个百分点。来源：ICANN、Ntldstats，中国信息通信研究院整理 图7 全球gTLD和新gTLD TOP20 域名注册管理机构（主体）市场份额 互联网域名产业报告（2023 年）19 来源：ICANN，中国信息通信研究院整理 图8 全球gTLD和新gTLD TOP20 域名注册服务机构市场份额 互联网域名产业报告（2023 年）20 二、我国域名注册服务特点及中文域名发展（一）我国域名注册市场规模延续波动走势，外部发展（一）我国域名注册市场规模延续波动走势，外部发展环境有所改善环境有所改善 受到疫情反复、宏观经济走弱及市场周期性波动等因素影响，我国域名注册市场规模在 2022 年延续波动走势。截至 2022 年 12 月，我国域名注册总量22约为 3440 万个，同比下降约 6%，但较上一季度增长超过 8%。其中，我国家代码顶级域“.CN”域名注册量为 2010.2万个，同比下降 1.5%但较上一季度有显著增长，一定程度上源于其品牌保护业务的贡献；“.中国”域名注册量为 18.6 万个，二者合计约占我国域名注册市场的 59%；“.COM”域名注册量约为 901.9 万个，分别约占我国域名注册市场和gTLD域名注册市场的26.2%和65.9%，传统 gTLD 域名注册量合计近 1000 万个；我国新 gTLD 域名注册规模在 2021 年第一季度受疫情冲击出现大幅下降后，总体稳定发展并呈现窄幅周期性波动，截至 2022 年 12 月约为 377 万个，分别约占我国域名注册市场和 gTLD 域名注册市场的 11%和 27.5%。22 自 2022 年第一季度起，我国域名注册市场及其细分市场规模统计口径调整，结合采用中国互联网络信息中心（CNNIC）公布的数据，以及工业和信息化部 ICP/IP 地址/域名信息备案管理系统中，境内已获许可域名注册服务机构管理的域名注册数据（后同）。调整后，我国域名注册数据较此前的增长情况仅供参考。互联网域名产业报告（2023 年）21 来源：CNNIC、ICP/IP 地址/域名信息备案管理系统，中国信息通信研究院整理 图9 我国域名注册量及其增长情况 我国域名行业发展所倚赖的宏观经济等外部环境正有所改善。随着我国全面恢复经济社会常态化运行，国家、行业和地区关于优化企业营商环境、激发市场主体活力、拉动经济稳定增长的政策措施陆续出台并落地实施，我国经济恢复发展势头良好，数字经济蓬勃发展。截至 2022 年底，全国登记在册市场主体 1.69 亿户，同比增长 10%，2023 年 1 月已达到 1.7 亿户；全年新登记市场主体 2907.6 万户，同比增长 0.7%。2023 年上半年我国国内生产总值（GDP）达到 59.3 万亿元，按不变价格计算同比增长 5.5%，全年有望实现 5%左右的预期目标，高于全球大多数国家。2022 年我国数字经济规模23首次突破50 万亿元，达到 50.2 万亿元，同比名义增长 10.3%，占 GDP 比重提升至 41.5%；数字产业规模稳步增长，数字技术和实体经济融合日益深化，新业态新模式不断涌现，数字企业加快推进技术、产品与服务创新能力提升，不断培育发展新动能。23 根据国家互联网信息办公室发布的数字中国发展报告（2022 年）。互联网域名产业报告（2023 年）22 域名作为互联网的关键基础资源和数字时代的重要网络入口，是企业实现线上线下融合联动，展现品牌形象、推广产品和服务、拓展国内国际业务、扩大品牌影响力的重要方式，用户相关使用习惯需要进一步培育。随着我国经济形势和数字经济发展持续向好，同时中文域名应用状况日益改善，预计长期来看，我国域名市场规模将有所回升，业务和服务模式创新有望出现。（二）我国域名注册及服务机构地理分布较为集中，市（二）我国域名注册及服务机构地理分布较为集中，市场规模集中度略有下降场规模集中度略有下降 从地理分布来看，截至 2022 年 12 月，我国已获许可的域名注册管理机构注册地主要集中在北京、广东和上海三地，机构数量合计占全国总数的 88.2%；域名注册服务机构注册地排名前五位的依次是北京、浙江、广东、福建和上海，机构数量合计占全国总数的 66.3$。我国域名注册也主要集中在东部沿海和中西部地区经济较为发达的省份，其中域名注册量排名前五位的依次是北京、广东、福建、贵州和山东，合计约占我国域名注册总量的 59.4%。来源：https:/，中国信息通信研究院整理 24 截至 2022 年 12 月，境内已获许可的域名注册管理机构和域名注册服务机构分别为 34 家和 172 家。互联网域名产业报告（2023 年）23 图10 我国已获许可的域名服务机构数量省份分布（截至2022年12月）来源：CNNIC，中国信息通信研究院整理 图11 我国域名注册量地理分布 从顶级域市场格局来看，截至 2022 年 12 月，我国域名注册量排名前十位的顶级域包括国家代码顶级域“.CN”和“.中国”，传统 gTLD“.COM”和“.NET”，“.TOP”“.XYZ”等五个新 gTLD 以及“.CC”，合计域名注册量约占我国域名注册市场的 95%份额，其中排名前两位的“.CN”和“.COM”合计占比为 84.7%，较上年略有下降。域名注册量排名前五和前十位的新gTLD分别约占我国新gTLD域名注册市场的 62.1%和 74.2%。来源：CNNIC，ICP/IP 地址/域名信息备案管理系统，中国信息通信研究院整理 互联网域名产业报告（2023 年）24 图12 我国域名注册量TOP20顶级域市场份额 从域名注册管理机构市场格局来看，截至 2022 年 12 月，与顶级域市场格局相对应，我国已获许可的域名注册管理机构中，运营“.CN”“.中国”“.公司”和“.网络”的中国互联网络信息中心（CNNIC）以及运营“.COM”“.NET”“等的威瑞信（VeriSign）公司分列前两位，合计市场份额为 88.4%，较上年略有下降；域名注册量排名前五和前十位的域名注册管理机构市场规模合计分别占我国域名注册市场的94.3%和 97.9%。其中，江苏邦宁在全球 gTLD 和新 gTLD 域名注册管理机构（主体）TOP20 榜单分别排名第八位和第五位。来源：CNNIC、ICP/IP 地址/域名信息备案管理系统，中国信息通信研究院整理 图13 我国已获许可的域名注册管理机构市场份额 从域名注册服务机构市场格局来看，gTLD 域名注册量排名前五和前十位的域名注册服务机构市场规模合计分别占我国 gTLD 域名注册市场的 80.6%和 92%，新 gTLD 域名注册量排名前五和前十位的互联网域名产业报告（2023 年）25 域名注册服务机构市场规模合计分别占我国新 gTLD 域名注册市场的 88.5%和 94.5%，市场集中度均较上年有小幅下降。其中，阿里云在全球 gTLD 域名注册服务机构 TOP20 榜单排名第五位，阿里云、西维数码和帝思普在全球新 gTLD 域名注册服务机构 TOP20 榜单分别排名第三、第七和第二十位。来源：ICP/IP 地址/域名信息备案管理系统，中国信息通信研究院整理 图14 我国gTLD和新gTLD TOP20域名注册服务机构市场份额（三）中文域名普遍适用问题受到关注，行业各方共同（三）中文域名普遍适用问题受到关注，行业各方共同推动中文域名发展推动中文域名发展 中文域名作为潜在使用群体最大的 IDN，对于促进中文地区互联网普遍服务和创新发展、提升网络包容性和多样性、弘扬中华文化和建立文化自信等具有重要战略意义。在政府和业界的共同努力下，我国在中文域名（含中文电子邮件，后同）技术标准、产业应用等方面已经取得较大成绩，赢得广泛的国互联网域名产业报告（2023 年）26 际认可，被誉为“将多语言互联网变为现实的领导者”。截至 2023 年6 月，全球已入根的中文顶级域共有 56 个，占已入根 IDN 顶级域总数（152 个）的 36.8%，其中 32 个获得许可在我国境内提供服务；全球中文顶级域域名注册量超过 50 万个，在各类 IDN 中保持领先，但也因疫情影响在 2021 年出现较大降幅，2022 年以来规模总体平稳。用户认知度和普遍适用性（UA）（特别是互联网应用支持性）不足仍是阻碍中文域名进一步发展应用的关键因素。为此，国家“十四五”信息通信行业发展规划 中明确提出“完善中文域名应用环境，进一步推动中文域名推广应用”的工作目标，从顶层设计、政策引导、行业治理等方面，为中文域名健康可持续发展营造良好的政策和市场环境。同时，在工业和信息化部指导下，中国互联网协会 2022 年以来继续号召和组织全行业力量，开展多场面向企业和高校等单位的交流研讨和教育宣传活动，指导召开第五、第六届中文域名创新应用论坛，应 ICANN“UA 日”倡议举办首届“中文域名日”活动，依托中文域名推进工作组微信公众号介绍国际国内 IDN/多语种电子邮件（EAI）和 UA 相关知识及工作进展，推动相关行业主体和互联网用户了解、接受和使用中文域名；联合业界共同发起中文域名应用环境建设倡议书，呼吁研发符合中文域名相关技术标准的网络产品与信息服务，在浏览器、即时通信、搜索引擎、输入法、邮件系统以及相关移动应用等应用场景中全面支持对中文域名的应用和解析、同等对待中文域名和英文域名等；持续与 ICANN、联合国互联网治理论坛（IGF）等国际机构/机制开展交流与合作，鼓励国内社群积极参与互联网域名产业报告（2023 年）27 相关技术标准和政策规范研制工作进程；针对国内主流互联网应用服务开展中文域名支持度研究测试，撰写并发布浏览器中文域名 UA测试报告中文域名应用测试报告。中文域名社群还联合搭建了“中文域名 UA 测试系统”（试用版，“中文域名测试.网址”），以方便各方查看不同互联网应用服务对中文域名的支持度情况，为进一步推进UA 工作指明方向。在国际层面，支持和推动包括中文域名在内的 IDN/EAI 和 UA 工作，已成为 ICANN 当前促进互联网普及应用和实现数字包容性的重要手段。2022 年以来上述工作主要围绕 IDN 相关政策制定、IDN/EAI和 UA 支持度测试分析、UA 宣传推广和技术培训等方面展开。其中，ICANN 机构更新并发布IDN 实施指南（4.1 版），有助于域名注册管理机构更好应对 IDN 二级域注册中潜在的域名抢注和消费者混淆等安全问题；发布域名注册管理机构和域名注册服务机构系统的UA 路线图，其中提出域名注册管理机构、域名注册服务机构及后台托管服务机构系统（包括应用程序等）开展 UA 就绪度测试的相关技术方案；ICANN 社群层面继续推动 IDN gTLD 及其二级域变体字管理、IDN ccTLD 退出、变体字管理和混淆相似性等管理政策制定。ICANN 普遍适用性指导小组（UASG）持续开展全球主流互联网应用服务和技术平台的 UA 就绪度测试及 IDN/EAI 支持度测试，举办宣传培训活动促进相关方对 IDN/EAI 和 UA 工作的理解认识及技术能力，推动互联网企业和软件厂商进行相关技术部署和升级改造，并依托“UA 大使计划”加强面向各本地社群的互动宣传，我国北龙中网互联网域名产业报告（2023 年）28 总经理刘志江、环球商域业务发展总裁吴养怡、论客科技副总裁吴秀诚担任中国 UA 大使，在中文域名应用推广方面作出了积极贡献，并将中国经验向全球分享；UASG 还与 ICANN 联合发起“UA 日”倡议，获得业界积极响应，48 个国家/地区于 2023 年 3 月 28 日前后举办了 56 场宣传推广和技术培训活动，进一步助力 IDN/EAI 和 UA 工作；2023 年，清华大学网络科学与网络空间研究院段海新教授成功当选为 UASG 副主席，将为 UASG 组织运作及国内中文域名应用推广提供进一步支持。互联网域名产业报告（2023 年）29 三、国际域名设施建设及应用服务情况（一）根镜像服务器全球部署持续推进，（一）根镜像服务器全球部署持续推进，ICANN 继续推继续推动根系统战略实施动根系统战略实施 根镜像服务器25扩展仍是全球根解析性能提升的主流方式。2022年，根服务器运行机构继续以设置镜像服务器的方式丰富全球根服务器系统分布式架构，截至 2022 年 12 月，全球根服务器（含镜像）数量达到 1604 个，覆盖 160 余个国家和地区，为全球用户提供就近的根解析服务能力；全球根镜像服务器数量同比增长 8.6%，其中 F 根（f.root-）镜像服务器数量增长超过 100 个。截至 2023 年 6月，全球根服务器（含镜像）数量进一步增至 1719 个，其中 E 根（e.root-）、F 根镜像服务器数量分别较 2022 年 12 月增长47 个和 46 个。表 1 全球根服务器（含镜像）部署情况（截至 2022 年 12 月）根服务器名称根服务器名称 运行机构运行机构 运行机构运行机构所在国所在国 根服务器根服务器（含镜像）（含镜像）数量数量 年度年度新增新增 A 根(a.root-)VeriSign,Inc.美国 58 5 B 根(b.root-)University of Southern California(ISI)美国 6 0 C 根(c.root-)Cogent Communications 美国 12 0 D 根(d.root-)University of Maryland 美国 191 14 E 根(e.root-)NASA(Ames Research Center)美国 308 0 F 根(f.root-)Internet Systems Consortium,Inc.美国 459 101 25 各根服务器及其镜像服务器也被统称为根服务器节点（Root Server Instance），基于 DNS 根区数据库统一提供的根区数据，采用任播（Anycast）技术提供相同的根解析服务。互联网域名产业报告（2023 年）30 G 根(g.root-)US Department of Defense(NIC)美国 6 0 H 根(h.root-)US Army(Research Lab)美国 12 4 I 根(i.root-)Netnod 瑞典 75 0 J 根(j.root-)VeriSign,Inc.美国 163-22 K 根(k.root-)RIPE NCC 荷兰 107 24 L 根(l.root-)ICANN 美国 192-4 M 根(m.root-)WIDE Project 日本 15 4 合计：合计：1604 126 来源：IANA、https:/root-servers.org、中国信息通信研究院整理 来源：https:/root-servers.org、中国信息通信研究院整理 图15 2016-2023年根服务器（含镜像）数量发展状况 从地理分布来看，截至 2022 年 12 月，各大洲的根服务器（含镜像）数量呈增长趋势，其中亚洲、欧洲和北美地区总量较为接近，均超过 400 个；亚洲地区总量及年度增长量、增长率均居全球首位，同比增长 17.5%（47 个）达到 436 个。互联网域名产业报告（2023 年）31 来源：https:/root-servers.org、中国信息通信研究院整理 图16 各大洲根服务器（含镜像）数量及其增长率 ICANN 作为同时承担 DNS 根区管理、根服务器系统协调及 L 根（l.root-，ICANN 称之为“IMRS”）运行管理职能的机构，近年来持续通过基础设施部署和治理机制改进，提升根服务器系统安全与服务性能，相关工作被纳入 ICANN 五年战略、运营和财务规划重点推进。主要包括：一是与 ISP、云服务提供商等机构合作，在不同位置、规模和类型的自治系统中实现 IMRS 镜像服务器的分布式部署，并推动在全球主要互联点部署 IMRS 集群（Cluster），为网络需求较高的地区提供额外系统负载能力，当前 ICANN 已在美国（2）、捷克（1）、新加坡（1）和肯尼亚（1）部署 5 个 IMRS 集群。二是开展不同 DNS 解析器访问 IMRS（含镜像）的性能测试26，还将进一步开发数据存储库，公布各根服务器（含镜像）可用性、本地 DNS 查询时延、路径信息等测试结果27，为识别欠服务地区及其潜在用户规模、优化部署新的根镜像服务器提供信息，助力改善全球范围的根解析服 26 见 OCTO-036 文件，https:/www.icann.org/en/system/files/files/octo-036-07jun23-en.pdf 27 根据根服务器系统咨询委员会（RSSAC）根服务器系统本地视角的测量要求（RSSAC057 文件）。互联网域名产业报告（2023 年）32 务性能。三是鼓励扩展根区数据分发渠道，例如在递归解析服务器中配置根功能、实现根区分发服务的超本地方案等，以提升根服务器（含镜像）可用性和韧性；拟于 2024 财年基于测试目的运营根区分发服务原型系统等。四是依托根服务器系统治理工作组（GWG）及根服务器系统咨询委员会（RSSAC），推动改进根服务器系统治理机制28，并明确根服务器及其系统运行的最低性能要求29，拟通过建立并运营多方治理机制/机构、开展根服务器系统运行监测和违规处置、明确根服务器运行机构的进入/退出规则、资助根服务器运行管理等，提升根服务器系统治理的问责透明和系统运行的安全可靠。相关治理机制改进原则性方案仍在 GWG 中进行讨论，拟于 2023 年 10 月定稿。（二）新（二）新 gTLD 运营运营/托管服务市场集中度有所增加，网托管服务市场集中度有所增加，网站权威解析服务站权威解析服务 TOP 机构优势明显机构优势明显 受到市场主体收并购活动影响，新 gTLD 集中运营或托管在头部机构的比例进一步增加。从顶级域数量看，截至 2022 年 12 月，排名前五位的机构运营/托管的新 gTLD 数量占全球已入根新 gTLD 总数的 79.20，同比增长 1 个百分点。其中，Identity Digital 运营/托管的新 gTLD 数量增加 4 个至 406 个，占比增长 0.8 个百分点至 35.3%，进一步巩固领先优势，GoDaddy Registry（18.8%）、VeriSign（10.1%）、CentralNic（9.3%）和泰尔英福（5.8%）分别排名第二至第五位；我 28 其工作基础主要包括 RSSACDNS 根服务器系统的建议治理模式（RSSAC037 文件）、公共根服务器系统运行原则（RSSAC055 文件）和根服务器系统治理架构的成功标准（RSSAC058 文件）等。29 见第二版 RSSAC047 文件，https:/www.icann.org/en/system/files/files/rssac-047-03feb22-en.pdf 30 由于泰尔英福公司托管的大部分顶级域同时采用 Identity Digital、CentralNic 等境外机构提供的托管服务，为了避免重复计算，运营/托管新 gTLD 数量 TOP5 机构暂不考虑泰尔英福。互联网域名产业报告（2023 年）33 国泰尔英福公司、互联网域名系统国家工程研究中心（ZDNS）等境内机构运营/托管的新 gTLD 数量持续增长，合计超过 120 个。从顶级域域名注册量看，排名前五位的机构运营/托管的新 gTLD 域名注册量占全球新gTLD域名注册总量的87.6%，同比增长3.8个百分点。其中，CentralNic 运营/托管的新 gTLD 域名注册量为 1230.9 万个，份额提升 0.8 个百分点至 40%，稳居全球首位；Identity Digital（18%）、ZDNS（13.8%）、GoDaddy Registry（10.8%）和 GMO Registry（5%）分别排名第二至第五位。来源：Ntldstats、https:/ 等，中国信息通信研究院整理 图17 2021和2022年各机构运营/托管的新gTLD数量变化情况 互联网域名产业报告（2023 年）34 来源：Ntldstats、https:/ 等，中国信息通信研究院整理 图18 2021和2022年各机构运营/托管的新gTLD域名注册量变化情况 网站域名权威解析多委托域名注册服务机构、免费权威解析服务机构以及 CDN 和云服务提供商等第三方权威解析服务机构实现。截至 2023 年 6 月，全球域名解析量排名前十位的权威解析服务机构解析的域名数量占排名前 500 机构解析域名总量的 60.1%。其中，排名首位的 GoDaddy 为超过 6600 万域名提供权威解析服务，服务域名规模远超其他机构，占排名前 500 机构解析域名总量的 24.2%；排名第二至第五位的依次是 Cloudflare（10.3%）、United Internet AG（5.2%）、Google（3.8%）和 Newfold Digital（3.6%）；我国阿里云（3%）和帝恩思（2.1%）分别排名第七和第十位，服务域名规模分别为 837.9 万互联网域名产业报告（2023 年）35 个和 566 万个。来源：DailyChanges、中国信息通信研究院整理 图19 全球TOP10权威解析服务机构解析域名数量（三）（三）DNS 隐私和加密认证技术持续发展，隐私和加密认证技术持续发展，QNAME 最最小化技术助力提高解析性能小化技术助力提高解析性能 域名递归解析服务作为互联网访问和流量调度的重要入口，访问记录中蕴含着大量用户喜好等隐私信息。但 DNS 设计于上世纪 80 年代，采用无来源认证机制，使用明文传输报文，缺乏完整性和保密性验证。随着网络规模爆发式增长和网络环境的不断变化，域名劫持、记录篡改、大规模监控及用户隐私泄露等问题频发，推动技术社群越来越多地采用隐私和加密认证技术改善 DNS 解析安全性。“基于传输层安全协议（TLS）的 DNS”（DoT）和“基于超文本传输安全协议（HTTPS）的 DNS”（DoH）两种 DNS 加密认证协议31提供了在用户终端操作系统（主要对应 DoT）或网络应用程序（如网络 31 DoT 技术标准：RFC7858 和 RFC8310；DoH 技术标准：RFC 8484 互联网域名产业报告（2023 年）36 浏览器，主要对应 DoH）对特定递归解析服务器进行认证，并对该服务器与客户端之间的域名解析流量进行加密的技术方案，可有效防止解析数据在中间环节被监听、劫持或篡改，已作为 DNS 运营和安全最佳实践做法被纳入 ICANN 2022 年 9 月发起的“DNS 和域名安全的知识共享和实例规范（KINDNS）”倡议。2022 年 6 月发布的“基于HTTPS 的隐蔽 DNS（ODoH）”实验性技术协议32提出添加一层公钥加密机制并在客户端与 DoH 解析服务器之间加入代理服务器，可确保只有最终用户才能同时访问自身 DNS 查询及应答数据，在保障DNS 查询安全性、完整性的同时进一步保护了用户隐私。2022 年 5月发布的“基于专用快速 UDP 网络连接（QUIC）的 DNS”（DoQ）技术标准33采用最新的 QUIC 传输协议，可提供更有效的丢包恢复和更高级别的源地址验证，但其同样存在递归服务器端知晓客户端 IP 带来的隐私保护不足问题。DNS 查询名称（QNAME）最小化技术34则遵循“发送的数据越少，隐私问题越少”原则，提供了一种新的 DNS 服务器策略，通过减少 DNS 查询中的冗余数据35来提高 DNS 解析的性能、效率和隐私性。DoT、DoH、ODoH 技术已经得到越来越多大型互联网企业的部署和应用。其中，安卓、iOS、Windows、macOS 等主要的操作系统，谷歌、Cloudflare、OpenDNS、IBM、DNS.SB、阿里云、腾讯云、360等公共递归解析服务机构已广泛支持 DoT/DoH；DNS 服务器软件 32 ODoH 技术标准：RFC 9230 33 DoQ 技术标准：RFC9250 34 QNAME 技术标准：RFC9156 35 例如递归解析服务器在进行某一域名的 DNS 查询时，只向根服务器询问该域名顶级域所在 IP 地址，向顶级域名服务器询问该域名二级域所在 IP 地址等，而不再向各级权威服务器发送完整域名。互联网域名产业报告（2023 年）37 BIND、Unbound 等已提供对 DoT/DoH 的原生支持；谷歌 Chrome、微软 Edge、Firefox、Opera、iOS Safari、Brave、360 等网络浏览器已支持 DoH 功能。Cloudflare 已对 ODoH 客户端和服务器端实现开源，并在其公共递归解析服务中支持该技术；Apple 的 iCloud 专用代理（Private Relay）服务使用了 Akamai 提供的基于 ODoH 的托管服务。DoQ 尚处于开发和初期部署阶段，AdGuard 广告拦截软件公司已率先部署了基于 DoQ 协议的 DNS 解析器。QNAME 最小化技术已经得到一些 DNS 服务器的支持，例如 BIND、PowerDNS 和 Knot DNS 等。此外，我国单位提出的域名解析加密技术 HTTPDNS，提供了基于 HTTP/HTTPS 协议获取 IP 地址的域名解析流量调度技术思路，便于各企业自行定义接口方案，推动实现流量精准识别和调度。我国腾讯、百度、阿里、美团、新浪、快网、网宿科技等互联网企业已采用该技术加速域名解析、改善用户体验，相关用户规模过亿并持续增长。互联网域名产业报告（2023 年）38 四、国内域名设施建设及应用服务情况（一）我国根镜像服务器布局持续优化，根解析性能有（一）我国根镜像服务器布局持续优化，根解析性能有效提升效提升 作为提升本地域名解析性能的重要方式，我国 2022 年继续优化根镜像服务器布局，根解析性能提升效果较为显著。我国访问全球 13个根的 IPv4 和 IPv6 平均解析时延36为 150.5 毫秒和 149.7 毫秒，其中访问境内已部署镜像的根的 IPv4 和 IPv6 平均解析时延为 78.4 毫秒和 84.2 毫秒，根镜像引入对提升根解析性能的效果较为显著。我国北上广地区通过三家基础电信企业网络对境内根镜像的平均访问率分别是 61.8%、62.0%和 64.6%，大部分访问由境内根镜像服务器完成，但仍存在部分绕转境外访问的现象，解析性能有进一步提升空间。来源：中国信息通信研究院全球互联网网络感知平台 图20 我国访问根服务器（含镜像）的性能 36 利用全球互联网网络感知平台部署在全国电信、联通、移动网内的服务器，模拟用户向 13 个根分别进行 IPv4 和 IPv6 解析访问，获取解析性能，并进行相关统计。互联网域名产业报告（2023 年）39（二）我国“（二）我国“.CN”和新”和新 gTLD 解析性能较好，权威解解析性能较好，权威解析服务节点走向海外析服务节点走向海外 顶级域解析方面，我国 2022 年访问国家代码顶级域“.CN”域名和新 gTLD 性能普遍较好。其中，访问“.CN”境内服务器的平均解析时延为 30.2 毫秒37；选取访问 CNNIC（“.公司”“.网络”）、CONAC（“.政务”“.公益”）、北龙中网（“.网址”）、ZDNS（“.REN”“.FANS”）和泰尔英福（“.信息”）自营的新 gTLD 境内服务器的平均解析时延为37.5 毫秒，访问境内新 gTLD 后台托管服务器的平均解析时延为 65.5毫秒；访问全球五大传统 gTLD（包括“.COM”“.NET”“.ORG”“.INFO”和“.BIZ”）的平均解析时延则均超过 150 毫秒，解析时延相对较高，与相应顶级域解析设施在境内部署较少、路由绕转等因素有关，解析性能有待提升。来源：中国信息通信研究院全球互联网网络感知平台 图21 我国访问主要顶级域名服务器的平均解析性能 37 利用全球互联网网络感知平台部署在全国电信、联通、移动网内的服务器，模拟用户向全部“.CN”境内域名服务器进行访问，获取解析性能，并进行相关统计。下述其他顶级域监测方法相同。互联网域名产业报告（2023 年）40 网站权威解析方面，截至 2023 年 6 月，全球排名前 500 的权威解析服务机构中，我国机构服务解析的域名总量超过 2000 万个，占比超过 7.5%。其中我国排名前五位的权威解析服务机构分别是阿里云、帝恩思、帝思普和西维数码，分别位居全球第七、第十、第十五、第二十九和第三十四位；阿里云、帝恩思和帝思普的解析节点部署已走向海外。来源：DailyChanges，中国信息通信研究院整理 图22 我国TOP5权威解析服务机构解析域名数量 互联网域名产业报告（2023 年）41 五、未来发展与展望（一）把握发展机遇，拓展产业创新发展空间（一）把握发展机遇，拓展产业创新发展空间国家“十四五”规划纲要提出，要坚持创新驱动发展，系统布局新型基础设施；要发展数字经济，推动与实体经济深度融合，打造具有国际竞争力的数字产业集群。一方面，域名作为互联网的关键基础资源，是推动网络强国、数字中国建设，实现数字经济高质量发展的重要基石；另一方面，域名用于企业实现线上线下联动、开展业务经营和品牌推广与保护的作用日益凸显，并将越来越多地作为企业固定资产，为企业带来更多价值。国内营商环境得到优化，经济形势恢复向好，市场主体创新活力和发展动力不断被激发，都为我国域名市场恢复平稳增长奠定了重要基础。同时，下一轮新 gTLD 开放将为我国域名产业未来发展带来新机遇，相关政策制定和实施准备工作正在积极有序推进，包括中文域名在内的 IDN gTLD 会继续成为优先评估和授权的顶级域申请类别，中文繁体等 IDN 变体顶级域将与现有及新申请的 IDN gTLD 捆绑供相关方申请运营，品牌企业将有机会获得并使用以其品牌命名的顶级域，有关权利保护机制的审查和优化工作也在 ICANN 内同步进行。在“十四五”信息通信行业发展规划关于“完善中文域名应用环境，进一步推动中文域名推广应用”的工作目标之下，中国互联网协会将继续协调组织全行业在提升中文域名认知度、改善互联网应用对中文域名的支持度等方面开展工作。中文域名发展和应用环境的不断改善，人工智能、区块链等新兴技术的发展应用，有望激发更多创新互联网域名产业报告（2023 年）42 和增长空间。此外，我国域名解析性能仍有较大提升空间，加强国际合作、在境内有序引进并优化根和顶级域名服务设施部署、推进网络互联互通以及采用根解析本地化等技术方案，均有助于改善域名解析性能。（二）落实主体责任，构筑安全可信网络环境（二）落实主体责任，构筑安全可信网络环境 近年来，我国数据安全法 个人信息保护法 关键信息基础设施安全保护条例 网络安全审查办法 数据出境安全评估办法等陆续通过并启动实施，网络数据安全管理条例等法律法规和相应配套标准规范也在制定完善中，我国网络与信息安全、数据安全和个人信息保护等管理要求将更加明确，推动规范化、制度化建设。DNS 是互联网的关键基础设施，其安全稳定运行是互联网及域名行业健康发展的基石。需要按照国家法律法规、监管政策、技术标准等要求，保障 DNS 安全稳定运行，强化抗攻击能力，相应履行网络安全等级保护、关键信息基础设施保护等相关管理制度。域名服务过程中涉及对域名注册数据的处理（包括收集、存储、使用、加工、传输、提供、公开等流程），需要相应满足个人信息保护、跨境数据管理等相关要求。此外，域名注册信息真实性、准确性核验制度将继续得到深入落实，为有效应对域名安全事件、打击不良域名应用提供支持。加强隐私保护和实现安全认证已成为全球域名技术和服务演进发展的基本方向之一，我国企业也将继续参与相关技术领域创新发展进程，推动技术部署和产业应用更好满足国内管理要求和用户需求。此外，我国社群各方还将继续在联合国框架及其他多边多方场合互联网域名产业报告（2023 年）43 呼吁维护互联网的开放互联和安全可信，强化互联网治理的问责透明和包容合作，推动实现互联网基础资源公平分配、共同管理，确保互联网基础设施和核心资源的完整可靠和韧性安全，与国际社会共同维护一个和平、安全、开放、合作、有序的网络空间。（三）应用工业场景，发展标识解析“新基建”（三）应用工业场景，发展标识解析“新基建”工业互联网作为互联网的“下半场”，是新一轮工业革命的重要基石，是数字经济和实体经济深度融合的关键底座，是新型工业化的战略性基础设施。工业互联网标识解析体系通过为机器、产品等物理资源和算法、工艺等虚拟资源赋予唯一的“身份证”编码，承载资源编码背后的数据，支撑工业互联网互联互通，其持续快速发展将对未来网络体系架构和格局带来较为深远的影响。我国高度重视工业互联网标识解析体系发展，相关基础设施部署、应用创新发展和产业生态建设正全面推进。我国已建成并运行五大国家顶级节点和两大灾备节点38，二级节点、行业节点部署规模和应用场景不断拓展39，对产业链、供应链的贯通逐步深化，助推产业生态持续繁荣；标识服务许可审批40和行业管理工作有序开展，相关技术标准体系也在加速建设，在研国家标准 5 项、行业标准 99 项，覆盖系统建设和运营、标识编码和注册解析服务、网络安全保障与行业管 38 包括北京、上海、广州、武汉、重庆五大国家顶级节点和南京、成都两大灾备节点。39 已上线二级节点 288 个，分布于 31 个省份，日均解析量超过 1 亿次。标识应用已在通用设备制造、高端装备制造等 41 个行业落地，服务企业超 25 万家，标识注册量突破 2700 亿。工业互联网标识解析公共服务支撑平台已对接汽车、船舶、电子等 15 个行业标识应用子平台，持续丰富标识应用产品服务体系；主动标识载体应用规模持续增加，已形成危险品监管、设备远程运维、数据双向安全监控等典型应用模式，截至2022 年 12 月累计完成仪器仪表、汽车、船舶等领域超 2100 万枚主动标识载体部署，工业互联网标识产品与设备服务平台建设完成并正式上线运行 40 部、省两级电信管理机构依据工业互联网标识管理办法有序开展标识服务许可审批，全国已有 128家二级节点建设单位取得标识注册服务机构许可，覆盖 22 个省份。互联网域名产业报告（2023 年）44 理等方面，标识行业迎来规范发展阶段。此外，融合工业互联网标识、分布式标识（DID）与区块链等新兴技术构建的“星火链网”新型基础设施和服务正在国内国际加速布局，以超级节点建设带动骨干节点部署41，并对接地域及产业区块链42，网络设施规模及覆盖行业领域不断拓展43，推动地方数字基础设施互联互通，支持区域数字化转型与产业创新。同时，“星火链网”已签约并建设面向金砖国家、东盟成员国的境内超级节点，推动面向上合组织的境内超级节点建设，并为思爱普（SAP）、西门子、松下等国际巨头提供数字身份、碳足迹追溯等定制化服务，后续还将继续围绕重要国际组织/机制以及东南亚、中东等相关国家开展开放性节点网络共建工作。网络标识领域更多创新发展空间还有待激发，值得各方积极关注。41“星火链网”已在武汉、重庆、北京、沈阳、柳州、厦门、济南、苏州等 8 个城市启动超级节点建设，带动 30 余个骨干节点建设。42“星火链网”已与“联通链”、招行“开放许可链”、四川“蜀信链”等众多地域及产业区块链实现对接。43 现已覆盖智能制造、农业、能源、医疗、生物制药等行业。中国信息通信研究院中国信息通信研究院 互联网治理研究中心互联网治理研究中心 地址地址：北京市海淀区花园北路：北京市海淀区花园北路 52 号号 邮编邮编：100191 电话：电话：86- 传真：传真： 网址：网址：

38人已浏览 2023-10-11 52页 5星级

可信数据流通网络（TDN）白皮书 可信数据流通网络（TDN）白皮书(2023 年)(2023 年)中国通信标准化协会大数据技术标准推进委员会 中国通信标准化协会大数据技术标准推进委员会 隐私计算联盟 隐私计算联盟 2023年9月 2023年9月 版权声明 本报告版权属于中国通信标准化协会大数据技术标准本报告版权属于中国通信标准化协会大数据技术标准推进委员会、中国信通院云计算与大数据研究所，并受法律推进委员会、中国信通院云计算与大数据研究所，并受法律保护。转载、摘编或利用其它方式使用本报告文字或者观点保护。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明“来源：中国通信标准化协会大数据技术标准推的，应注明“来源：中国通信标准化协会大数据技术标准推进委员会、中国信通院云计算与大数据研究所”。违反上述声进委员会、中国信通院云计算与大数据研究所”。违反上述声明者，本机构将追究其相关法律责任。明者，本机构将追究其相关法律责任。前前 言言 2019 年 10 月，党的十九届四中全会将数据纳入生产要素范畴。2022 年 12 月，党中央、国务院印发关于构建数据基础制度更好发挥数据要素作用的意见为释放数据要素价值、推动数据要素市场化配置明确了顶层指引。2023 年 2 月，党中央、国务院印发数字中国建设整体布局规划进一步加强整体谋划和统筹推进，指出要打通数字基础设施大动脉和畅通数据资源大循环。2023 年 9 月，习近平总书记在新时代推动东北全面振兴座谈会上提出要加快论证和建设新一代移动通信和数据网等现代基础设施。因此加快建设数据流通基础设施对推动数据要素市场全面发展至关重要。本白皮书以促进数据要素价值高效和可持续释放为目标，针对数据流通过程中面临的困难挑战，围绕解决数据流通基础设施建设的关键性难题，分析数据可信流通的基础原则，提出了可信数据流通网络（简称可信数网，Trusted Data circulation Network，TDN）的概念。通过分析业界实践和深入研讨，凝聚各方共识，对 TDN 的总体功能、网络结构、建设思路、关键技术、应用场景、规范保障等内容展开全面分析和研究论证，并予以详细阐述。本报告亮点如下：一是首次提出可信数据流通网络（TDN）的概念。TDN 是以数据可信流通为基础原则，以“全国互联、数据可信、流通安全、全程可溯、贡献可量”的核心能力为目标，而构建的数据流通基础设施。TDN基于分层次的网状结构，通过建立顶级节点、枢纽节点和子节点，以 实现数据、算力、网络等跨区域、跨行业的互联互通和价值共享。二是明晰 TDN 的可信数据流通关键技术范畴。从保障数据隐私安全、流通过程可控可信、跨节点跨平台跨技术互联互通等角度归纳、分析实现数据可信流通的关键技术方法。主要包括隐私保护、使用控制、信任保障、互联互通等四大类技术，在 TDN 的互联基础层、资源接入层、计算控制层、流通服务层等环节发挥着不可替代的关键作用。三是全面梳理 TDN 应用场景和标准体系。首先分析可信枢纽节点的建立对公共数据授权运营、企业数据流通、数据交易这三种典型的数据流通场景的作用及应用效果，进而提出在数据流通的各个环节、相关的技术要求、行业应用要求以及节点落地建设等方面需要统一的标准规范。由此 TDN 的建设思路不再是独立松散的模块组合，而是形成了一套体系化的可实操可落地的解决方案。四是展望 TDN 的未来发展方向并提出建议。为实现数据要素价值的全面释放，政产学研各界将切实的从技术创新、试点示范、服务生态、标准规范等方面加快推进可信数据流通网络的落地，奋力实现打通数字基础设施大动脉、畅通数据资源大循环和建立全国统一大市场的目标。数据要素市场建设和数据要素流通产业是高速发展的领域，新问题、新理论、新技术、新方法论层出不穷、瞬息万变，道阻且长，我们对行业有待持续深耕。报告存在不足之处，烦请业界不吝指正。如有意见或建议请联系：。编制说明编制说明 本报告由中国通信标准化协会大数据技术标准推进委员会、隐私计算联盟牵头撰写，主要参编单位及人员如下：参编单位：参编单位：中国通信标准化协会大数据技术标准推进委员会、隐私计算联盟、联通数字科技有限公司、华控清交信息科技（北京）有限公司、京信数据科技有限公司、同盾科技有限公司、青岛华通智能科技研究院有限公司、蚂蚁科技集团股份有限公司、国网数字科技控股有限公司、国网新疆电力有限公司、华为云计算技术有限公司、杭州数梦工场科技有限公司、中移（苏州）软件技术有限公司、中兴通讯股份有限公司、上海浦东发展银行股份有限公司、天翼电子商务有限公司、中国移动通信有限公司研究院、中国移动集团有限公司信息技术（大数据）中心、杭州趣链科技有限公司、航天信息股份有限公司、杭州金智塔科技有限公司、星环信息科技（上海）股份有限公司、上海零数众合信息科技有限公司、上海富数科技有限公司、深圳市洞见智慧科技有限公司、蓝象智联（杭州）科技有限公司、上海玳慧数字科技有限公司、腾讯云计算（北京）有限责任公司、北京数牍科技有限公司、天冕信息技术（深圳）有限公司。参编人员：参编人员：白玉真、袁博、闫树、姜春宇、魏凯、王思源、宋佳楠、童锦瑞、杨靖世、张立锋、谢云龙、孙林、徐文静、崔玲龙、王云河、靳晨、梁孟、徐荣文、黄翠婷、陈涛、赵传启、王显坤、张树成、昌文婷、张晓蒙、韩剑、冯翠莲、刘斌、叶飞、林政、林鹏程、郭宁、魏立力、曾鸣、王德政、帅斌成、刘瑞、章庆、张鸣皓、解凯旋、信伦、茹志强、郭叶、徐静、韩梦薇、田心、王亚平、陈超超、鲍力成、唐恺、兰春嘉、卞阳、杨天雅、姜峰、王超、丁凤、刘江、金银玉、吴焕明。目 录目 录 一、数据流通发展现状.1(一)全球加速推进数据流通.1(二)我国数据流通相关挑战.3 二、可信数网总体框架.5(一)总体功能.6(二)网络结构.9(三)建设思路.12 三、可信数网关键技术.13(一)隐私保护.14(二)使用控制.15(三)信任保障.16(四)互联互通.18 四、可信数网落地应用.19(一)应用场景.19(二)标准规范.23 五、可信数网发展建议.24(一)加强技术融合创新，建立实验网络夯实基础.25(二)鼓励行业试点示范，促进数据流通产业应用.25(三)建立流通服务生态，高效激活数据要素市场.25(四)发挥行业组织优势，积极推动标准规范应用.26 附录：典型实践案例.27 案例一：城市隐私计算联盟网络.27 案例二：公共数据的金融和医疗场景应用.29 案例三：跨机构数据共享反欺诈场景应用.31 案例四：智慧海洋大数据共享应用.32 案例五：能源行业的企业数据流通.34 案例六：智能网联汽车数据共享交易.36 参考文献.38 图图 目目 录录 图 1 可信数网（TDN）功能框架.8 图 2 可信数网拓扑结构图.10 图 3 可信数据流通模式示意图.12 图 4 可信数网标准体系图.24 图 5 城市数据要素联盟网络.28 图 6 公共数据授权运营体系.30 图 7 跨部门多行业数据共享反欺诈场景.32 图 8 智慧海洋大数据共享应用.33 图 9 能源大数据平台.35 图 10 智能网联汽车数据共享平台.37 表表 目目 录录 表 1 可信数据流通关键技术说明.14 可信数据流通网络（TDN）白皮书（2023 年）1 一、数据流通发展现状 近年来，随着全球数字经济快速发展，各个国家在数据流通的战略布局、政策指引、法规体系以及平台落地等方面呈现出不同的发展趋势。自我国将数据上升为生产要素以来，在持续的探索实践中，取得了巨大成效，但是要加快推动数据要素市场建设，仍面临数据要素价值可信释放、数据资产价值评估和分配、数据流通法律监管底线等落地难题，亟待解决数据如何安全、高效、可信流通及建设基础设施的问题。(一)全球加速推进数据流通 随着数据作为新的生产要素和战略性资源得到全球广泛认可，各国均在加速推进数据流通方面的顶层设计、法律法规、跨境流动和平台建设。顶层设计方面，全球持续进行战略布局和政策制定。美国、欧盟先后发布战略报告，提出实现数字经济的政策措施和投资战略、制定欧洲数字领域发展十年计划等内容。我国自 2019 年十九届四中全会以来，密集出台十余份涉及数据要素的重要文件，尤其是关于构建数据基础制度更好发挥数据要素作用的意见（简称“数据二十条”）在数据要素市场建设中起到“指南针”的作用。与此同时，国内各地方政府也相继推出一系列数据经济或数据流通政策指引，目前已有多个省市公布了相关数据条例。法律法规方面，全球超过 60 个国家或地区出台数据安全流通相关法律法规，但呈现不同特征。美国以“数据自由与行业自律为基础，可信数据流通网络（TDN）白皮书（2023 年）2 同时以国家安全为例外”的分散立法模式，寻求数据权利保护与数据自由流通之间的平衡。欧盟更强调技术导向的数据共享与自由流动，通过数据流转、基本权利保护、促进良性竞争等不同方面构建法律框架和规范。日本则采取较为中立的统分结合立法监管模式，采取统一综合立法和特定领域制定个别法方式，实现对个人信息使用的严格控制，同时保证数据流动性。我国自 2016 年以来，网络安全法 数据安全法 个人信息保护法等先后出台，共同构成数据合规领域基础性“法律堡垒”。此外，关键信息基础设施安全保护条例 网络安全审查办法 网络数据安全管理条例（征求意见稿）等密集发布，在工业、汽车、金融、医疗等行业相关的法令法规也相继制定。跨境流动方面，各国都强调在保证数据安全的前提下加强流通。美国在数据流入方面主张“数据自由流通”，鼓励数据跨境流动以实现贸易利益最大化；数据流出方面，通过出口管制手段限制高科技、军民两用技术的数据出境。欧盟一直强调以高标准保护为前提，采用“欧盟境内松、欧盟境外紧”的数据跨境管理模式；通过非个人数据自由流动框架条例促进欧盟内部数据的自由流动，通过通用数据保护条例和数据法案对欧盟外跨境数据流动作出严格限制。日本只对涉及国家安全的敏感或关键数据进行监管，并全面加强与欧美两大跨境数据流动监管框架对接。我国的“数据二十条”鼓励探索数据跨境流动与合作的新途径新模式，目前出台了数据出境安全评估办法，陆续加入中韩自贸协可信数据流通网络（TDN）白皮书（2023 年）3 定、区域全面经济伙伴关系协定。平台建设方面，全球范围内各个国家和地区因数据保护法规和标准不同，形成了各具特色的数据流通模式和基础平台建设。数据开放是以数据提供方无偿提供数据、需求方无需支付对价的单向流通方式对公共数据进行开放。截止 2023 年 6 月，新加坡政府开放数据平台提供 1944 个数据集、9 个数据目录；美国官网数据超市提供 265911个数据集。数据共享是以参与方主体互为数据供需方的双向流通方式对政府数据、企业数据进行多方共享。我国正在积极推进公共数据开放共享，建立公共数据授权运营模式和相关运营平台。数据交易是以数据提供方有偿提供数据、需求方进行支付的方式对数据进行交易。例如美国 RapidAPI、BDEX、Factual，瑞士 Streamr，法国 DAWEX 等数据交易平台提供便捷的数据交易渠道，促进商业数据的流通和应用。欧美数据流通市场起步较早，2008 年前后进入萌芽期，现已完全市场化。包括多所综合性数据交易中心和细分领域的数据交易平台，同时信息技术行业巨头也凭借积累的海量数据和云计算技术，纷纷构建企业级的数据交易平台。(二)我国数据流通相关挑战 尽管我国各部门各地方积极布局数据要素发展，但是目前尚未形成成熟的方法论和推广模式，我国的数据要素流通还处于起步阶段。亟需解决如何可信释放数据要素价值、如何制定数据资产价值评估和分配机制、以及如何明确数据安全合规流通的法律监管底线等问题。数据要素价值释放需要重点解决数据确权与授权、可信数据源和可信数据流通网络（TDN）白皮书（2023 年）4 数据安全流通方式等问题。数据确权与授权是数据要素市场化的前提，但是“数据二十条”提出的数据资源持有权、加工使用权和产品经营权“三权分置”的产权框架如何落地需要进一步研究实操细节和探索试点案例，需要解决数据产权不清、使用权缺失、可由多人持有、价值变动性、授权约束力弱、授权可信度低等问题。可信数据源是高质量流通的保障，但目前存在数据来源不清晰、数据质量参差不齐、数据投毒等问题。数据安全流通是遏制安全风险的关键，现有的数据流通技术（数据沙箱、隐私计算等）面临安全性不易验证、统一技术体系框架缺乏、应用场景适配困难等问题。数据资产价值评估、定价标准和收益分配机制等问题业界尚未形成统一实施方法。首先，数据资产的确认和计量当前仍存在挑战。一是财政部印发企业数据资源相关会计处理暂行规定标志着数据资产即将正式纳入企业估值范围，但数据资产化还需要数据确权、数据流转、税收等诸多配套机制；二是虽然中国资产评估协会在数据资产评估指导意见中明确数据价值的评估方法为成本法、收益法和市场法，但还存在投入成本难以区分和分摊、收益额较难准确预测、现行市场可比案例少等问题。其次，目前缺乏统一的数据资产定价标准，以及尚未在多方博弈中建立起能够兼顾共享收益、合理分配、竞争性收益等因素的可行数据收益分配机制。亟需清晰的法律法规界定和监管底线为数据要素市场参与主体提供指引。现有法律制度强调对数据的规范利用和安全隐私保护，但并未就具体流通实践形式、流通市场准入、市场监管等方面给出清晰可信数据流通网络（TDN）白皮书（2023 年）5 法律界定。而且，企业合规体系的建设也需要业务、法务、信息技术等多部门协作，并及时应对法律法规条例、以及风险事件的不断变化。因此，有必要建立数据可信流通体系和数据流通基础设施，实现数据流通过程动态管理，在数据可信流通网络中激活数据价值。基于可信数网的数据可信流通体系要满足以下基础原则：（1）数据来源可确认数据来源可确认，即保证数据来源及加工链可管理、可追溯；（2）使用范围可界定使用范围可界定，即约束数据应用业务场景等来确保数据不被滥用；（3）流通过程可追溯流通过程可追溯，例如采用区块链、数据水印等技术确保数据流通全流程可溯可查；（4）数据使用可控数据使用可控，例如数据提供方通过智能合约等对数据的应用方、使用权限等进行控制；（5）安全风险可防范安全风险可防范，例如遵循恶意假设和密态流通优先原则防止数据被窃取；（6）数据价值可评估数据价值可评估，即从数据成本、收益、市场以及风险等维度进行价值评估。二、可信数网总体框架 随着政府和企业数字化转型的深入、智能化水平的不断攀升，数据要素价值的释放越发体现在让数据可信的流通到更需要的地方，破除跨域互联阻碍，让不同来源的优质数据在新的业务需求和场景中汇聚融合，实现双赢、多赢的价值利用。因此，为激活数据要素市场，可信数据流通网络（TDN）白皮书（2023 年）6 助力建设全国统一大市场、形成高效数据流通基础设施，可信数据流通网络应运而生。(一)总体功能 1.核心能力 可信数据流通网络（简称可信数网，Trusted Data circulation Network，TDN）是以数据可信流通为基础原则，以“全国互联、数据可信、流通安全、全程可溯、贡献可量”核心能力为目标，而建立的跨区域、跨行业、跨主体的数据流通基础设施。可信数网基于分层次的网状结构，通过建立顶级节点、枢纽节点、子节点，以实现数据、算力、网络等的互联互通和价值共享。在保证数据安全合规使用的前提下，可信数网为解决数据确权授权、数据质量管理难、流通主体相互不信任、安全流通无范式、使用过程不可控和收益分配难度量等问题提供了一种可行的解决路径。全国互联是基础支撑。在数据的规模效应不断显现，越大规模、越多维度的数据融合汇聚创造的价值倍增的条件下，政府数据、企业数据、个人数据等充分共享才能实现数据要素价值的最大化利用。因此，构建一个全国数据流通网络、一套可互操作的开放体系，通过将全国各地方、各行业的跨区域、跨主体的节点灵活组网、数据统一接入、计算高效调度等能力，实现数据价值的共享互通。数据可信是内在要求。只有在数据来源清晰、数据质量有保障的条件下进行数据共享交易，才能促进数据安全流通、提高参与流通的可信数据流通网络（TDN）白皮书（2023 年）7 积极性。可信数网通过认证鉴权、身份治理、登记指南、质量评估等能力，支持数据规范登记、自由接入和高质量供给。流通安全是核心诉求。数据安全可控高效的流通是价值共享的初衷也是核心要求。依托去标识化、使用控制、隐私计算、智能合约、区块链、可验证计算等可信流通技术手段，实现多场景、多形态的数据安全流通，满足“原始数据不出域、数据可用不可见”的要求，避免因数据流通造成的数据泄露、滥用和隐私泄露等问题。全程可溯是监管保障。数据流通过程往往涉及多方行为，数据应用场景纷繁复杂，为避免数据被滥用、误用，可信数网通过提供流通过程安全审查、算法审查、服务或任务存证等功能，建立数据流通全流程证据链，保障数据服务可控可管。贡献可量是持续动力。从流通过程中各个参与方所提供的数据资源、数据产品、算法模型、软硬件基础设施以及相关专业服务等方面，依据数量、质量、效果、场景等多维度评价各方贡献，合理进行数据价值分配，有助于政府或企业持续进行数据流通，加快数据要素市场化。2.功能框架 可信数网作为一种数据流通基础设施，围绕“全国互联、数据可信、流通安全、全程可溯、贡献可量”的核心能力和目标，其功能框架主要分为四层：互联基础层、资源接入层、计算控制层、流通服务层，如图 1 所示。可信数据流通网络（TDN）白皮书（2023 年）8 来源：CCSA TC601 图 1 可信数网（TDN）功能框架 互联基础层一方面提供了数据流通所有环节需要的计算、存储、网络的基础功能，包括但不限于大数据软件系统、通信网络、硬件算力设备、云服务等。另一方面，根据跨节点的数据共享或计算需求，提供一套数据流通互联互通协议，基于统一、标准的协议连通基础层各节点及资源，实现各节点间可相互连接和交互。资源接入层提供数据、模型、算力等资源的接入能力，实现资源统一对接，保证资源来源清晰可信。在接入的过程中，提供资源登记、资源评估及资源处理等能力，其中资源登记用于保障各类资源来源的合法合规，资源评估（包括质量评估、安全评估、价值评估等）确保资源的安全可用，资源处理则是支撑对各类资源的接入、处理及管理，从而保障经过接入层的资源是来源清晰的、可信的、高质量的、高可用的，促进资源的高效流通计算。计算控制层主要是保障数据流通过程的安全可控。数据共享或计可信数据流通网络（TDN）白皮书（2023 年）9 算的过程，从数据来源角度可分为单方本地计算、多方协同计算、多方汇聚计算等方式；从隐私保护角度可分为明文计算、失真数据计算和密态数据计算等方式。根据不同的处理方式，各个参与方调配相关的数据、算法或算力资源，执行数据计算服务，然后将服务结果传递到指定需求方，经核查后完成交付。在这个过程中，一是数据供需双方要约定数据使用的策略，包括用途、用量、使用次数、处理方式、加工算法等，并确保依据所约定的策略执行数据处理；二是数据提供方在计算前可对数据进行脱敏、去标识化、加密等转化处理来满足不同的流通需求；三是提供对流通全流程的监控、身份管理和合约管理等功能。流通服务层则是根据各方所签订的数据使用合约、各类数据计算服务的操作记录、流通各环节的日志存证等开展安全审查、资源计量计费等内容。同时，也可由此对产生的收益进行合理分配，对参与流通过程的各方的服务进行评价，包括信誉评价等内容。(二)网络结构 1.拓扑结构 可信数网采用分层次的网状结构，通过建立顶级节点、枢纽节点、子节点，实现公共数据、企业数据和个人数据的跨区域、跨行业的可信流通，其拓扑结构如图 2 所示。可信数据流通网络（TDN）白皮书（2023 年）10 来源：CCSA TC601 图 2 可信数网拓扑结构图 顶级节点是面向全国范围内跨地域、跨行业的数据流通管理节点。提供包括节点管理、可信认证、数据登记、数据交易、监管等能力。既要保持顶级节点间的联通性，又要与各个枢纽节点之间建立连接。枢纽节点是面向省、市或者特定（多个）行业的数据流通服务能力节点。它既要与上层的顶级节点对接，又要为其负责的子网内各节点的数据流通活动提供节点管理、可信认证、数据登记、加工处理、数据交易、监管等能力，同时枢纽节点自身也应满足安全性、稳定性和可扩展性等方面的要求。子节点是一个组织机构（如企业）对外提供数据流通服务能力的节点。既可以独立和其他子节点进行数据流通业务，也可以通过与枢纽节点对接，开展对外数据流通业务。通过接入数网可以提高其流通业务能力的可信水平。以枢纽节点为中心，连接多个子节点，形成了区域级、行业级的可信子网；以顶级节点为中心，连接多个枢纽节点，形成了跨区域、跨行业的全国可信数网。可信数据流通网络（TDN）白皮书（2023 年）11 可信数网中承载的数据流通活动都应在对应的可信域内开展。可信域是指在同一套数据流通规则（包括管理规则和技术规则）约束下，多个参与实体相互协作、共同完成数据流通任务的节点的逻辑集合，具有自治性、域内可信、可伸缩性和可嵌套性等特点。数网节点可以根据实际应用需求，在其所属的枢纽节点、顶级节点监管下，与其他节点之间建立可信域，并开展数据流通活动。2.流通模式 数据流通的本质就是数据怎样安全、高效、合规地从提供方流转到需求方的一个过程，这中间还会涉及提供数据加工治理、算法、算力、基础设施等的中间服务方，以及需要对流通全过程进行存证监控服务从而满足监管方的要求。可信数网中的子节点通常作为数据提供方或需求方，提出数据应用服务需求，承诺数据合规使用，接收数据或服务结果；枢纽节点、顶级节点通常作为中间服务方和监管方，提供可信认证、数据资源目录、合约服务、算法服务、计算服务、交易磋商、结算清算以及对应的 IT 基础设施等，并对数据流通中各方行为进行全流程监控审计。随着数据流通技术水平与应用需求的发展，数据流通模式也在不断扩展，可信数网能够支持两大类典型流通模式：可信数据流通网络（TDN）白皮书（2023 年）12 来源：CCSA TC601 图 3 可信数据流通模式示意图（1）受控汇聚式。数据提供方（子节点）将原始数据或加密数据汇聚到枢纽节点提供的环境，根据数据需求方（子节点）提出的使用需求，枢纽节点提供相应的计算服务，并将计算结果提供给数据需求方。流通过程中采用例如数据沙箱、可信执行环境等技术手段保障数据的机密性、完整性，算法的一致性等。（2）受控分布式。数据供需双方（子节点）通过枢纽节点进行磋商和约定，不进行原始数据的汇聚。各方之间采用如多方安全计算、联邦学习等方式，仅交互密文数据、计算因子或中间参数等信息，通过分布式计算的方式将计算结果提供给数据需求方。(三)建设思路 在构建可信数网时可采用循序渐进的建设步骤。首先，应以建设枢纽节点为核心抓手，形成区域级、行业级的可信子网，实现子节点间的数据可信互通。然后，基于标准化的建设规范及互联互通协议，可信数据流通网络（TDN）白皮书（2023 年）13 连通各区域级、行业级可信子网，推动跨地区、跨行业的数据流通应用落地。随着节点覆盖范围的持续扩大，落地应用场景的不断丰富，最终将形成可不断扩展、生态繁荣的国家级可信数网。作为推动跨省市、跨区域、跨行业数据流通的主要抓手，枢纽节点是打造有价值的数据流通应用场景、构建数据要素市场的关键。根据数据流通服务的主体及业务模式不同，主要包括两种典型情况：一是地方级的枢纽节点，面向某省、市提供数据流通服务，为该地方的子节点提供统一对外接口规范和服务；二是行业级的枢纽节点，其面向特定行业提供数据流通服务，同一行业可建立多个行业枢纽节点；二。目前我国数据要素流通还处于区域化和行业内流通的建设阶段。针对地方级枢纽节点，地方政府应充分发挥主导作用，结合自身公共数据的优势，以公共数据授权运营场景为导向，推进建成地方级枢纽节点；通过数据流通场景的开放，吸引地方各机构建立子节点，从而构建起地方枢纽和可信子网。针对行业级枢纽节点，可先由一家或多家行业龙头企业基于业务需求进行构建，以此带动产业上下游企业或供应链上下游企业协作共建子节点，通过业务需求的释放，激发各节点间的数据流通及业务协作，助力形成行业级可信子网。三、可信数网关键技术 可信数网作为数据要素流通基础设施，提供数据安全合规共享流通能力，围绕其总体功能，主要从保障数据隐私安全、流通过程可控可信、跨平台跨技术互联互通等角度归纳、分析数据流通的关键技术可信数据流通网络（TDN）白皮书（2023 年）14 方法。这些技术主要应用于互联基础层、资源接入层、计算控制层、流通服务层等环节，示例说明如表 1 所示：表 1 可信数据流通关键技术说明 技术类型技术类型 应用的功能层应用的功能层 主要功能主要功能 技术示例技术示例 隐私保护技术隐私保护技术 资源接入层、计算控制层 提供隐私信息安全保障 隐私计算、数据限制发布、数据失真等 使用控制技术使用控制技术 计算控制层 提供数据处理控制措施 访问控制、控制策略、智能合约、数据沙箱等 信任保障技术信任保障技术 流通服务层 为各参与方提供信任管理能力 身份认证、可验证计算、存证溯源等 互联互通技术互联互通技术 互联基础层 实现数据跨域互联互通 密文转换、数据路由查找等 来源：CCSA TC601(一)隐私保护 隐私保护类技术，主要包括隐私计算技术、基于数据限制发布的技术和基于数据失真的技术，在资源接入层、计算控制层为流通中数据隐私信息保护提供安全保障。1.隐私计算 隐私计算包括多方安全计算、联邦学习、可信执行环境、同态加密、零知识证明等技术，这些技术分离了数据的持有权和使用权，实现多方数据在保护隐私的前提下联合计算，使数据需求方在不接触原始数据的情况下获得数据的增值价值，降低隐私泄露风险。这一类技术对计算功能的实现原理不同。多方安全计算和同态加密主要是将原始数据转化为密文或中间因子进行流通，联邦学习将原始数据转化为中间参数，可信执行环境将数据放在可控的硬件环境中可信数据流通网络（TDN）白皮书（2023 年）15 进行计算，零知识证明保证原始数据不出域的情况下证实某一个结论。2.数据限制发布 基于数据限制发布的技术，有选择地发布原始数据、不发布或者发布精度较低的敏感数据从而实现隐私保护，包括数据脱敏以及各类去标识化技术（如掩码、抑制、泛化、截断、混淆等）。这类技术一般在数据提供方本地即可完成对数据的安全处理，处理完成后的数据可进行对外发布流通，因此该类技术大多都在数据接入时发挥作用。3.数据失真 基于数据失真的技术，是通过添加噪音等方法，使敏感数据失真但同时保持某些数据或数据属性不变，仍然可以保持某些统计方面的性质。主要包括随机扰动、合成数据等技术，该类技术与数据限制发布类技术的功能类似，也多在数据接入时发挥作用。(二)使用控制 使用控制类技术是将数据提供方和数据使用方之间关于数据如何被使用的条款和条件，在跨系统、应用等开放、复杂、分布式环境中提供机器可执行的技术手段。通过保证这些条款和条件可以被计算机执行和评估，最终达到数据提供方保护数据、使用方如约使用数据的目的。主要包括访问控制、使用控制策略、智能合约、数据沙箱等技术，在计算控制层发挥作用。1.访问控制 访问控制是一种传统的控制技术，能够按照用户身份及其所归属可信数据流通网络（TDN）白皮书（2023 年）16 的某项定义组来限制用户对信息的访问，主要用于防止对任何资源进行未授权的访问。2.使用控制策略 使用控制策略是出于将数据控制权始终保持在数据提供方的目的，对数据的使用行为进行规范和约束，包括使用人、时间、位置、次数、方式等。通过执行规定的控制策略，防止数据流通过程中的数据泄露和滥用。例如基于 XACML(eXtensible Access Control Markup Language)标准定义使用控制策略模型，包括策略主体、策略目标、策略规则、策略效果等要素。3.智能合约 智能合约是一种在区块链上运行的自动化程序，能够在不需要第三方的情况下实现自动化交易托管。智能合约允许多方用户共同制定合约并存入区块链，自动执行合约后保证合约条款的安全可靠，交易可追踪不可逆转。通过智能合约对数据的使用方式（用途、用量、使用期限等）以合约的形式进行记账，保证不可伪造、不可篡改以及事后的可追溯性。4.数据沙箱 数据沙箱将数据的使用控制封闭在介质或隔离环境中，通过相对封闭的环境保证数据按照既定策略被使用。(三)信任保障 信任保障类技术主要是以满足实体交互过程的数字信任为目标，可信数据流通网络（TDN）白皮书（2023 年）17 以重构人对技术、平台和机器的信任为方向，以数字信任相关技术融合创新为路径，推动实现数据流通全流程、全周期的安全可信。它通过运用身份认证、可验证计算、存证溯源等技术，确保数据协作的可信性、完整性和安全性。同时，信任保障技术的应用也需要与法律、政策和伦理等方面的规范相结合，以确保数字化的公正、透明和可持续发展。这些技术大都在流通服务层发挥作用。1.身份认证 身份认证是证实被认证对象是否属实和是否有效的一个过程，是可信数网的基础环节，对整体网络安全有着重要意义。包括分布式身份、数字证书等内容。分布式身份是一种利用区块链等可信存证技术，在分布式网络环境中管理和控制身份的方法，通过自主身份管理的方式，提供了更加安全、便捷和可扩展的身份解决方案，保障了数据协作过程数据的安全性和完整性，减少了未经授权的访问和数据泄露的风险，提升了跨组织协作共享的信任登记，确保了用户对数据的控制权和使用权。数字证书是附着于主体身份的重要凭证，一般由可信第三方签发并用于主体身份证明，其中含有主体身份标识、公钥信息等重要数据。2.可验证计算 可验证计算技术通常有硬件和软件两类技术路线，软件方案需依赖密码学的安全保障能力（例如零知识证明算法），硬件方案需借助硬件提供商引入中心化可信第三方，通过可信硬件实现信任保障能力。可信数据流通网络（TDN）白皮书（2023 年）18 可验证计算技术实现了用户在不重复计算的前提下高效验证服务器上进行计算的正确性。一方面，计算的可验证性增强了用户对数据的控制权和使用权，为数网的数据管理和行为审计奠定了基础。另一方面，通过可验证计算实现了高效验证，代替了重复的验算，减少了去中心化系统中的无效运算，提高了数网的整体性能。3.存证和审计 存证溯源技术在数据流通网络中可以提供数据完整性验证、数据来源追溯、数据使用授权和交易可追溯性等功能。这些功能能够增强数据的可信度和安全性，提高数据流通网络的效率和信任度。监控审计是对数据使用过程中的日志、关键数据、风险等安全问题进行保障的数据流通关键组件，同时基于可信数据提供多维度、全方位的记录审计能力，方便监管机构对数据流通进行全方位的监管查询。主要包括日志采集与分析技术、过程数据存证、风险标识分析、区块链技术、可验证计算等。(四)互联互通 互联互通是指通过各种技术手段和协议，使得不同的网络、系统或设备能够相互连接和交互，包括数据资源、计算算法、应用服务等方面的互联协同。例如当应用隐私计算技术时，由于目前隐私计算产品百花齐放，产品系统在算法协议、任务调度和管理等方面存在较大差异，需要从“通信算法交互应用流程”的角度出发建立统一技术接口、协议规范。当应用区块链技术时，需要相关通过技术工具或统可信数据流通网络（TDN）白皮书（2023 年）19 一的接口协议，实现链上信息、数据、资产等跨区块链网络的流转以及区块链网络之间的互操作。四、可信数网落地应用(一)应用场景 当前数据要素市场中主要有数据开放、数据共享和数据交易三种形式，体现在公共数据为主的数据开放、政府间数据共享、政企间数据流通、企业间数据流通（包括企业内部数据共享、产业链上下游企业间共享）等。本节将分析可信数网在公共数据开发利用、企业间数据流通以及数据交易方面的应用。1.公共数据授权运营 建立公共数据开放平台是国家和各地方政府推进数据开放的主要手段。目前除港澳台外，我国已有 21 个省级行政区上线公共数据开放平台。全国 333 个地级行政区中建成公共数据开放平台的地区占比已达 58%。相关的数据集、数据接口虽然已覆盖公共安全、社会民生、经贸工商、交通出行等多个领域，但是仍存在部分平台数据容量小、更新频率低、数据质量参差不齐等问题。公共数据授权运营成为提高公共数据配置效率的探索热点。自“数据二十条”出台后，各地方积极探索按照法定程序，授权特定主体在一定期限和范围内以市场化方式运营公共数据，由此来激励运营方改善公共数据质量和效用，深化公共数据挖掘利用。例如北京、上海、浙江、杭州、海南、青岛等省市陆续出台公共数据授权运营管理可信数据流通网络（TDN）白皮书（2023 年）20 办法、制定相关管理机制、建立技术平台。但是目前面临授权运营模式多样、资产定价方法和价值分配规则不清晰、跨省市数据交互无场所无途径等问题。在流通能力方面，面向省、市建立的可信数网枢纽节点有助于公共数据的安全开发利用。一方面，枢纽节点可以通过承接顶级节点的可信认证服务，建立安全认证体系，为政府数据、公共数据和企业数据的安全流通提供可靠的流通环境，保障数据安全受控流转、过程可追溯；另一方面，根据统一规则建立的枢纽节点更容易进行互联互通，由此作为省级或市级公共数据的统一出口，有助于解决跨省市数据流通困难的问题。在落地场景方面，可信数网枢纽节点的流通服务能力有助于政企数据融合在公共治理与服务、企业服务优化等场景应用。例如在公共治理与服务方面，通过公安部门人群数据与通信运营商实时位置数据融合，对人流和人群进行实时监控和定向分析，为检查卡口配置、警力配置和应急管理等提供策略支撑。通过公安交通系统的管理数据、轨迹数据与个人信息数据匹配，实现违法违规检查、异常监控、行为追踪，应用于市政管理、碳排放控制等场景。在企业商业化场景方面，通过融合工商、市场监管、水电气、能耗、产业统计等多方数据，丰富企业或个人用户画像，有助于解决中小微企业、个体工商户、农户等申请贷款审批效率低、精准度差的问题，加快普惠金融或绿色金融落地。可信数据流通网络（TDN）白皮书（2023 年）21 2.企业数据流通 企业数据流通是数据要素市场的重要组成部分。从数据提供方看，各级电信运营商、大型国有企业、大型互联网公司聚集了海量经济社会、行业、用户数据，通过数据接口、数据产品、数据服务等形式可满足大量企业的数据需求。例如，结合对企业用电行为、缴费情况、用电趋势等特征分析，有助于银行在反欺诈、辅助授信和信贷风险等方面提供决策参考。但是，当前大多的数据交互方式相对不透明，公开资料少，如何在保证安全的前提下，打破企业内部及外部之间的数据孤岛，充分实现数据高效安全共享、协同流通，助力企业实现降本增效、赋能企业运营管理仍未形成统一的解决方案。在流通能力方面，可信数网的枢纽节点可以为金融、医疗、电力等行业的企业数字化转型升级和数据要素市场化发展提供关键能力。一是基于统一的可信数据接入服务，能够降低企业数据共享门槛，减少点对点的定制化适配改造，加速企业间系统对接效率，助力数据要素快速流通。二是将企业数据登记在枢纽节点或顶级节点，清晰的数据资源和数据产品目录，有助于精确匹配供需双方，扩大跨区域跨主体的数据流通范围，避免城市数据壁垒。三是通过行业枢纽节点共享或交易数据，有助于保障数据安全合规流通。例如通过审核交互双方的身份、数据来源、留存流通共享记录等内容，降低企业流通数据的风险和顾虑。在落地场景方面，可信数网枢纽节点的流通服务能力有助于企业可信数据流通网络（TDN）白皮书（2023 年）22 间数据流通在营销、风控等商业化服务场景的应用。例如在产品营销方面，各地方运营商通过横向联邦学习的模式集合数据推广产品套餐，解决单一地方运营商模型数据样本不足的问题。在企业风险治理方面，金控集团的子公司之间通过隐私计算的方式融合多方数据筛选共同客户，统计排序分析得到集团客户集中度排名情况，从而提高内部风险治理效率。此外，基于可信数网的统一数据服务接入能力，有助于实现银行客户全周期经营赋能，联合公共数据基于匿踪查询技术实现新客风险评估，联合渠道方构建联邦模型挖掘新老客户价值通过线上渠道进行广告投放，联合运营商数据进行地理位置分析开展线下地推活动，实现网点引流。3.数据交易 数据交易可对接市场多样化需求，灵活满足供需各方利益诉求，有利于激发市场参与主体积极性，促进数据资源高效流动与数据价值释放。传统点对点的两两协商交易方式，虽然规模可观，例如大型商业银行每年数据的采购金额超过百亿元，但是规范程度不够高、信息分散、渠道不通畅、交易效率低，在建设全国统一大市场的背景下，不利于实现大规模数据要素市场化配置。因此，全国各地以设立交易机构为抓手，鼓励集中式、规范化的“场内数据交易”。截止目前，国内先后成立或筹备建设了大约 50 家数据交易机构。在技术支撑方面，可信数网枢纽节点有助于强化数据交易过程的技术能力，帮助各方建立信任和保障权益。一是枢纽节点依托数据去可信数据流通网络（TDN）白皮书（2023 年）23 标识化、隐私计算、区块链、数据沙箱等可信流通技术形成的数据加工计算处理能力，有助于保障数据交易过程中数据的安全、合规、可信流转，解决交易双方主体互信难的问题。二是基于枢纽节点的存证或日志记录等信息，可以为数据的计量计费、数据价值分配提供参考依据，从技术上保障交易过程透明。此外，如果枢纽节点具备算力接入、统一管理、编排和调度的能力，也可以有效提高数据流通交易的效率。在产业发展方面，可信数网顶级节点或枢纽节点的资源撮合与统计能力，有助于激活数据要素市场活力。一方面，通过顶级节点或枢纽节点展示的数据资源、数据产品或服务目录，可以将全国各个省市、各个行业散落的、孤立的、割裂的数据盘活，为跨地域、跨行业的数据供需双方搭建起了沟通的桥梁。由此需方可更便捷地匹配到适合自身需求的数据产品，供方则可以借助平台全面展示已挂牌的数据产品及相关信息，实现高效对接。另一方面，基于顶级节点或枢纽节点提供的统计能力，比如对数据资源类型、产品类型、服务类型、数据应用场景、供需企业等内容进行多维度的统计分析研究，可以全景展现省市乃至全国的数据要素市场建设情况，洞察数据流通产业发展，为数字经济高质量发展提供数据支撑。(二)标准规范 为加强可信数网的落地建设，满足技术进步和数据可信共享、流通、交易的发展需求，需要从数据流通的各个环节、相关的技术要求、可信数据流通网络（TDN）白皮书（2023 年）24 行业应用要求以及节点落地建设能力等方面进行标准规范（如图4）。来源：CCSA TC601 图 4 可信数网标准体系图 具体而言，框架规范包括术语定义、总体架构等内容，是可信数网标准体系的基础。技术规范主要聚焦于保障数据安全可控流通的关键技术（包括隐私计算、使用控制、信任保障、互联互通等）的技术要求、接口规范等相关标准。评价规范主要是对多方合作的过程中数据供给质量、数据价值贡献度等内容进行评价，由此激活各方参与数据要素市场的积极性、提高数据共享流通的原始动力。建设规范则是具体指导如何落地建设相关的节点（子节点、枢纽节点、顶级节点），保证节点安全、高效、稳定运行，包括软硬件配套、流通系统的功能、性能、安全以及运营服务等方面的要求。行业应用类标准是面向行业（如金融、通信、电力等）应用场景的具体需求，对关键技术标准的细化和节点的落地建设，指导各行业推进可信数网应用。五、可信数网发展建议 可信数据流通网络（TDN）白皮书（2023 年）25 (一)加强技术融合创新，建立实验网络夯实基础 持续攻克数据流通关键技术交叉融合难点，突破性能、安全、互联互通等应用瓶颈。鼓励云计算、通用人工智能、算力网络等前沿创新技术与可信数网结合，例如基于云计算的弹性资源、完备的数据计算存储工具，构建一站式的可控数据流转环境；引导跨省域、跨企业数据的互通和调配机制，形成高质量的多模态、多领域大规模数据集，促进大模型产业发展。鼓励通过遴选试点示范、建立实验网等方式验证各节点数据流通服务能力和网络互联能力，夯实可信数网技术基础。(二)鼓励行业试点示范，促进数据流通产业应用 加快可信数据流通技术的落地应用，为实际业务赋能。一方面，数据密集型行业场景先落地，起到示范带头的作用，例如在金融、政务、互联网、医疗等场景创建先行示范应用。另一方面，积极推动地方政府建立枢纽节点，高效整合地域数据资源，盘活区域性数据要素市场。(三)建立流通服务生态，高效激活数据要素市场 面对跨行业、跨区域、跨主体的多方协作的数据流通，对流通中各环节涉及的数据供需双方、中间服务方等各参与方，探索建立合规高效的合作模式。同时，也通过探索数据资产评估、定价和收益分配机制，激活数据要素市场各主体的参与度，促进构建可持续发展的健康的产业生态。可信数据流通网络（TDN）白皮书（2023 年）26 (四)发挥行业组织优势，积极推动标准规范应用 基于可信数网标准体系，积极开展标准规范编制工作。可信数网的建设是一项复杂的系统化工程，需要产业界多方参与。应充分发挥行业组织优势，搭建合作交流平台，广泛吸纳业界优秀的实践经验，完善可信数网标准体系，促进行业共识。同时也可以围绕标准规范，全方面多角度地开展评估测试，助力可信节点落地建设。可信数据流通网络（TDN）白皮书（2023 年）27 附录：典型实践案例 当前我国数据要素流通仍处于探索阶段，隐私计算、数据沙箱、区块链等流通技术发展火热，在不少场景中快速应用落地，形成了多种实践方案。从落地的实践项目中可以观察到，自发形成的可信域已有不少落地案例，但是可信数网的全国一张流通网还有待规划和建设。因此本报告筛选了部分有代表性的数据流通案例，旨在为理解可信数网的应用价值和落地建设提供参考。案例一：城市隐私计算联盟网络 (1)(1)案例背景案例背景 为建成城市级的数据价值流通体系，中山市利用隐私计算一体机，逐步建成覆盖全市各行业和各部门的城市隐私计算联盟网络，作为城市数据价值流通的基础支撑设施，为数据流通应用提供基础能力保障，支撑数据要素市场的建设，促进政企数据的有序流通、应用和运营。(2)(2)解决方案 解决方案 以京信数科隐私计算一体机为载体，采用统一标准、统一部署、统一服务的方式，为数据供需方快速部署数据安全流通服务平台，建立起城市级的数据价值共享流通联盟网络，保障网络和数据的安全性；通过提供统一数据要素流通监管平台，对数据流通情况进行溯源监管；提供统一对外的数据流通服务入口，集约化管理城市数据要素流通服务流程。可信数据流通网络（TDN）白皮书（2023 年）28 图 5 城市数据要素联盟网络(3)(3)应用成效 应用成效 在城市数据要素流通上成效显著。一是深挖政银数据合作潜力，通过可信流通网络基础设施汇聚社保、税务、供水、供电等领域公共数据，建立企业风控模型，目前已服务超过 11 家市级银行，辅助银行累计授信约 60 亿元，有效提高金融机构授信融资效率；二是支撑政务数据的双向流通应用，由市人财保公司通过可信流通网络基础设施将农民工劳动合同购买保险情况和政务数据进行联合计算，将存在风险的合同信息推送给人社局进行监管，探索基于社会数据赋能政府管理的效果；三是探索“隐私计算 数据凭证”应用场景，由可信流通网络基础设施将金融机构落实融资放贷过程中所需数据通过公共数据凭证的形式提供给金融机构，支撑金融机构快速为企业实现资质核验。可信数据流通网络（TDN）白皮书（2023 年）29 案例二：公共数据的金融和医疗场景应用 (1)(1)案例背景：案例背景：政府机关和公共事务职能组织在履行职责或者提供公共服务过程中收集、产生了大量的企业和个人数据，这些数据覆盖度高、收集过程合法合规，具有较高的应用潜力。例如，由市场监管部门收集的多维度企业工商信息，能够覆盖区域内近乎全部的市场主体，可供银行等金融机构评估企业经营风险；又如由卫健部门收集的医院就诊信息，可用于医药研究、个人健康风险评估。尽管公共数据具有明显的应用价值，但受制于数据的敏感性和原始数据不出域的要求，其流通应用长期受限。为解决这一问题，为公共数据赋能金融和医疗等场景应用创造条件，公共数据授权运营成为一种探索性的解决方案。(2)(2)解决方案：解决方案：为实现公共数据运营，促进数据要素市场化流通，青岛市公共数据运营平台采用了“1 1 5 N”的总体架构。第一个“1”是指一个区块链底层技术平台，基于该底层平台开发应用链保障数据运营业务和各场景业务的运行，开发核心链用于链与链之间的连结互通。第二个“1”是指一个数据保险箱，用于汇聚多源数据和保障数据服务安全。“5”是指安全、制度、标准、运维、监管五层制度保障体系，融合技术信任和体制信任，构筑安全、合规、可信的数据运营体系，护航公共数据运营。“N”是指 N 个场景，推动数据有序流动、高效配置与融合应用。可信数据流通网络（TDN）白皮书（2023 年）30 图 6 公共数据授权运营体系(3)(3)应用成效：应用成效：目前平台汇聚公共数据、社会数据总计 5115 个目录，涉及工商、社保、医疗、税务、卫健、海洋等 20 个领域，在保证“原始数据不出域、数据可用不可见”的前提下，为金融和医疗场景提供数据服务。在金融领域，平台通过四个方面积极赋能实体经济：一是以数增信，截至 2023 年二季度（下同），助力 43 家企业获取 63 笔融资共计48,272 万元；二是以数搭桥，为 50 家企业获取 55 笔合计 13,387 万元担保融资；三是以数赋链，为供应链上下游企业和物流企业提供企业信用值查询，实现产品采购额度超 3840 万元，网络货运订单额度超 7500 万元；四是以数促融，积极搭建产业、金融、科技融合发展的良好生态，吸引更多资金流入实体产业链。在商业核保业务上，平台实现医疗数据产品交易和合规应用，大幅降低保险公司信息采集成本，提高了核保信息真实性，解决了传统核保业务效率低下问题，将以往几天的线下调查时间缩短为几秒钟，实现精准核保、快捷理赔。可信数据流通网络（TDN）白皮书（2023 年）31 案例三：跨机构数据共享反欺诈场景应用 (1)(1)案例背景：案例背景：数据流通受阻、数据合作闭源是存在于银行机构之间、以及银行机构与第三方外部机构之间的常态化难题，在资金链治理的过程中，需要各机构的数据共享来实现数据要素补全、机器学习建模等，但这又面临数据安全风险。另外，各银行单位的专家模型所依托的数据范围窄、数据维度不充分、特征来源单一，泛化性往往不强，其实际投产与应用价值有限，根本无法达到所需要的高精准度评估与判别模型。(2)(2)解决方案：解决方案：2023 年，在无锡人行的牵头下，无锡农商行、江阴农商行、锡商银行、中国银行等 20 家银行、公安、通信运营商等数据源之间，建立了跨机构信息核验机制及风险信息共享机制，解决银行信息不足，难以评估持卡人的金融风险状况的难题。以“数据可用不可见”、“数据不出本地”、“上链存证溯源”为基本原则，通过隐私计算、区块链等关键技术，实现原始数据不出域、计算结果不落盘、处理过程可追溯，消除跨部门数据壁垒，强化开卡监测和风险管控，提高反诈风险识别能力。可信数据流通网络（TDN）白皮书（2023 年）32 图 7 跨部门多行业数据共享反欺诈场景(3)(3)应用成效：应用成效：该项目是国内首个成功交付应用落地的“隐私计算 区块链 数据要素流转”的成功案例。目前“金易链”项目已串联 20 余家商业银行，覆盖人群 700 多万，支持隐私查询百万级数据量秒级返回查询结果。强化了开卡监测和风险管控，提高了反诈风险识别能力，实现了数据可信流通。案例四：智慧海洋大数据共享应用 (1)(1)案例背景：案例背景：智慧海洋工程是贯彻落实习近平总书记“关心海洋、认识海洋、经略海洋”战略思想的重要载体。浙江省委省政府高度重视浙江智慧海洋工程建设，要求加快实施浙江省智慧海洋工程，努力打造全国智慧海洋建设示范省。然而海洋大数据的来源众多，包括省大数据中心、舟山海洋大数据室、省政府各类涉海部门数据平台、临近省份涉海数据平台、企业涉海数据平台等，这些平台在数据共可信数据流通网络（TDN）白皮书（2023 年）33 享时存在数据安全、数据权属等方面的顾虑，影响浙江智慧海洋项目建设进程。(2)(2)解决方案：解决方案：中兴通讯联合东方国信共同打造浙江智慧海洋大数据项目，项目以云平台和大数据中心为基础，借助区块链去中心化、可信任的特点，对海洋数据资源进行统一配置和调度，提供横向上跨部门、跨业务，纵向上跨层次、跨级别的数据支撑服务，对外吸收各行业涉海数据，完善区域海洋数据共享服务机制，形成横向贯通、物理分散、逻辑一体化的智慧海洋大数据中心。其中，中兴 ZBaaS 区块链云服务平台作为智慧海洋的技术支撑平台为海洋大数据提供共享交换、存证溯源、业务协作三大业务支撑能力，形成了基于区块链技术的安全可信共享服务。同时，针对数据安全性要求较高的私有数据共享和数据可用不可见使用场景，本项目提出了基于数据沙箱的隐私数据安全共享方案。图 8 智慧海洋大数据共享应用(3)(3)应用成效：应用成效：可信数据流通网络（TDN）白皮书（2023 年）34 将区块链和隐私计算技术应用到智慧海洋大数据共享服务中，既可以保证原始数据的安全不被泄露，又可以提升海洋大数据共享服务的可信度。方案自正式上线以来，浙江智慧海洋大数据共享交换服务累计创建数据沙箱近 100 个，上链交易量突破 20000 笔。初步构建了海洋大数据开放运营生态，基本形成数据开放、处理算法、模型开放及服务开放等海洋信息资源增值服务能力。案例五：能源行业的企业数据流通 (1)(1)案例背景：案例背景：能源大数据中心是基于政府能源监管和电、水、煤、气、油、热等能源行业节能与绿色发展的需求而建立的能源数据枢纽节点。聚焦政府和能源行业的数据交互需求，以“政府主导、企业主建、多方参与”为主线，能源大数据中心在各级政府主管部门指导协调下，由电力企业牵头，多家能源企业共同参与，着力打造服务政府能源管理科学决策的核心窗口、推动能源综合利用低碳转型的重要手段、构建能源数字生态的重要平台。平台打破能源行业管理壁垒，通过整合多家能源数据横向贯通，提高了各类能源数据资源利用效率，但产业链上下游数据流通、共享、交易安全及合规风险等问题仍未彻底解决，制约了数据交互的深度融合，需要完善关键数据流通技术，升级构建数据安全体系，实现各类能源数据灵活转换、互通互济的安全数据枢纽。(2)(2)解决方案：解决方案：可信数据流通网络（TDN）白皮书（2023 年）35 探索区块链在数据共享和溯源中的应用，利用区块链技术的共识可信、不可篡改和可追溯等特性，实现安全可信的数据共享体系构建。研究多方计算、同态加密、零信任架构等技术与业务场景的结合，通过数据安全技术创新和产品研发，统一发布基于数据字典、数据模型、数据流转链路的数据资源目录，强化能源数据采集、传输、存储、处理、交换和销毁全过程安全管理，实现明细数据脱敏转换、基础数据可用不可见、结果数据分级分发等功能，提升安全防护水平。图 9 能源大数据平台(3)(3)应用成效：应用成效：通过能源大数据平台，实现电、气、热、水等各类能源服务“一网通办”。开展产业链上下游企业用能联动监测，实现客户甄别分类，提供能效控制、清洁能源供暖、能源托管等服务数据增值服务产品，构建能源视角企业信用智慧评价模型。在电力调度决策辅助方面，风电、光伏的功率预测准确率达 96%以上；在电力交易方可信数据流通网络（TDN）白皮书（2023 年）36 面，通过省间电力现货交易，达成中长期电量交易合约及实时结算；在新能源发展与消纳方面，新能源利用率保持在 90%以上，构建了以电为中心，多能互补、协同控制的用能新模式，积极推动双碳目标实现。案例六：智能网联汽车数据共享交易 (1)(1)案例背景：案例背景：智能网联汽车作为国家战略性新兴产业，是实现中国汽车产业由大到强的重要突破口，十一部委联合印发智能汽车创新发展战略加速产业的变革。但目前，汽车数据产业的发展存在一些问题。一是数据孤岛问题，各数据所有方之间的数据缺乏统一的格式与接口定义标准，此外多方数据合作信任成本高，导致无法互联互通；二是数据隐私和监管问题，部分数据涉及隐私，对数据的使用也需要加强安全监管；三是数据生态还未形成，汽车产业还未形成数据采集、加工、交易与应用的完整生态链。(2)(2)解决方案：解决方案：零数科技联合中国汽车工业协会，基于区块链、隐私计算等技术共建分布式的汽车数据共享交易平台。通过建立数据交互的信任，完成数据及算法模型交易，实现企业间汽车数据交互与综合应用。在数据供给方和需求方之间形成连接，以仅输出计算结果完成数据共享需求。该平台应用于汽车数据监管、无人驾驶算法提升、保险风险评估、二手车或电池交易、绿色减排认证、汽车产融服务等场景。可信数据流通网络（TDN）白皮书（2023 年）37 图 10 智能网联汽车数据共享平台(3)(3)应用成效：应用成效：目前平台已经上线试运营，招募了 16 个重要节点单位，包括零数科技、中国汽车工业协会、北理新源、上海汽检、中汽创智、蔚来汽车、长安汽车、博世中国等。平台已具备车辆全量数据的 232个字段检索和交易功能，包含车辆数据、目标物数据、环境数据的索引等标准数据体系，存证区块链高度超过 40 万。平台与 3 家保险公司、5 家大型金融机构进行合作，与 3 个充电站建设融资项目、2个换电建设融资项目、2 个新能源车替换融资项目等进行了对接，已完成多个数据交易的实际闭环场景，储备数据交易订单高达 3 亿元。可信数据流通网络（TDN）白皮书（2023 年）38 参考文献 1.中国信息通信研究院，数据要素白皮书（2022 年）R.2022 2.中共中央，国务院.关于加快建设全国统一大市场的意见EB/OL.2022.https:/ 3.中共中央，国务院.关于构建数据基础制度更好发挥数据要素作用的意见EB/OL.2022.https:/ 4.中共中央，国务院.数字中国建设整体布局规划EB/OL.2023.https:/ 5.财政部，企业数据资源相关会计处理暂行规定EB/OL.2022.https:/ 6.中国资产评估协会，数据资产评估指导意见 EB/OL.2023.7.隐私计算联盟，隐私计算应用报告（2023 年）R.2023 8.隐私计算联盟，可信隐私计算研究报告（2022 年）R.2022 9.华中师范大学信息管理学院、湖北省数据治理与智能决策研究中心，中国政府开放数据利用研究报告（2022）R.2022 1 大数据技术标准推进委员会 CAICT 数据要素 大数据技术标准推进委员会 CAICT 数据要素 地址：地址：北京市海淀区花园北路 52 号 北京市海淀区花园北路 52 号 邮编：邮编：100191 100191 邮箱：邮箱：TC601CCSA TC601CCSA 网址：网址：

30人已浏览 2023-10-11 47页 5星级

数字化和智能化浪潮对全球企业掀起新一轮变革，运力、算力、存力三者的“协同发展”，正在让数据的采集、传输、计算、存储和分析更高效，让企业焕发新活力。企业网络作为数字化和智能化的运力大动脉，正在变得越来越重要。大型企业网络通常包括园区网络、数据中心网络与广域网络。随着企业核心应用上云，生产现场（园区、站点、车间等）需要通过广域网络才能访问云上业务，同时，企业总部及各分支的研发、生产、供应链、销售和服务等业务间的高效协同也需要通过广域网络，广域网络正在成为生产系统。因此，本白皮书聚焦大型企业广域网络，阐述企业网络的发展方向和规划思路。传统的企业网络规划设计基于网络视角，重点考虑技术与架构。但随着企业业务快速变化，对网络提出了业务即插即用、一站式服务等体验要求，因此，企业网络不但要从网络视角“建得好”，还要从用户视角“用得好”。白皮书详细分析了大型企业数字化研发、生产、供应、销服等业务对网络的需求，提出了：从用户视角及网络视角两个方面规划设计企业网络，并重点阐述了企业网络服务目录的设计方法 从全局视角统筹规划、顶层设计，一张蓝图绘到底，走向“企业一张网”给出了大型企业一张网架构，以及不同企业演进到企业一张网目标架构的三种模式：“树模式”、“藤模式”和“林模式”。白皮书还以华为公司全球广域一张网为案例，介绍了华为如何通过网络基础设施升级实现华为产品开发、订单履行、销售服务等多方面的效率提升，总结了华为在企业网络规划、设计、运营等方面的实践经验，期望对各企业数字化转型有所借鉴和启发。前言PREFACE编写组成员（排名不分先后）：危 峰 祝一帆 张恒升古 锐 李 生 陆 昕张 威 晋全福 卢春辉胡 棣 金海燕 田 涛黄 颖 王 哲 段世惠陈 洁 朱瑾瑜 付 韬侯方明 刘灵芝 徐启宸冯智刚 盛 成 庞东磊杨晨声 王 璇 韦 伟张召奎 巴向阳目录CONTENTS大型企业网络走向企业一张网/011.1 大型企业网络走向企业一张网.021.2 企业一张网愿景 .041.3 用户视角.061.4 网络视角.10企业一张网典型场景和需求/162.1 数字化研发 .172.2 数字化生产 .182.3 数字化供应链 .192.4 数字化销服 .202.5 数字化办公 .212.6 网络数字化运营 .222.7 网络数字化运维.232.8 需求总结.24大型企业一张网架构/253.1 目标网架构.273.2 网络驾驶舱 .283.3 OVERLAY网络 .343.4 UNDERLAY网络 .383.5 企业一张网的演进模式 .43案例：华为全球广域一张网实践/474.1 华为广域网简介 .484.2 业务趋势及挑战 .514.3 网络架构规划 .55结语/60大型企业一张网白皮书/01大型企业网络走向企业一张网大型企业网络走向企业一张网02/大型企业一张网白皮书大型企业网络走向企业一张网1.1 大型企业网络走向企业一张网大型企业涉及的业务范围广泛，通常包括研发、生产制造、供应链、销售和服务等各个领域。在信息化时代，不同业务使用不同的 IT 系统来进行信息的存储与处理。随着数字化转型深入，企业的业务作业越来越依赖 IT 系统，业务的任何变化都需要 IT 系统来承载，IT 系统正在发生巨大变化：从“管理系统”走向作业系统：传统 IT 系统侧重于信息记录，流程固化，数字化时代，企业业务作业、业务运营与决策、团队系统等已经和 IT 系统集成，IT 系统逐步转变为作业系统。从功能优先到体验优先：传统 IT 系统作为工具，其职能主要为满足业务部门功能需求。数字化时代，用户在消费互联网中所获得的海量信息、一站式购物体验，提高了他们对企业内部 IT 系统的期望值，体验成为 IT 系统的优选项。从相对稳定到快速响应：传统 IT 系统，对准的是信息线上化和固化流程，保持相对稳定。数字化时代，业务面临的不确定性日益增加，IT 系统和业务深度耦合，需要快速响应业务变化，推动业务创新。因此在企业数字化过程，IT 系统的定位正在发生改变，成为企业生产系统：IT 系统成为业务不可或缺的一部分：无论是业务日常作业还是管理决策，都需要基于 IT 系统来完成，业务和 IT 系统已密不可分。IT 系统正在成为企业创造价值的引擎：IT 系统在改善用户体验，提升业务效率，创新业务模式等方面发挥着关键作用，华为的供应链系统通过智能算法，为公司带来库存成本、物流成本的大幅下降。企业网络作为 IT 系统的大动脉，实现业务对象（人、机、物）与业务的全面联接，把各种离散的系统及数据相互联系成有机整体，保障各种业务流实时畅通、高效协同。不但包括企业内部各部门、员工之间高效地协同工作，还包括企业与外部客户、供应商、合作方的频繁沟通与协同。企业网络的质量直接影响到业务的运行效率、运行质量。尤其是核心业务上云后，企业生产现场（园区、站点、车间等）需要通过网络才能访问云上业务，对企业网络提出了更高的要求。图 1：IT 系统变化管理系统信息记录，流程固化功能优先满足功能需求相对稳定稳定可靠、固化作业系统业务作业、业务运营体验优先体验最优快速响应快速响应业务变化大型企业一张网白皮书/03大型企业网络走向企业一张网大型企业全球化是必然趋势。业务的全球化，研发/生产等业务跨部门协同、与供应链上下游协同、拉通产品设计、订单、产能、物流等数据，实现复杂产品的高质量研发、供应链敏捷响应等，需要无处不在的网络覆盖，满足多场景业务安全稳定可靠等需求。员工的全球化，企业跨地域甚至全球化部署分支机构，员工随时随地出现在全球任何地方，需要企业网络提供灵活的接入方式，无论任何区域、任何时间，提供无差别的、一致性的网络体验。但是，当前的企业网络以技术驱动、支撑企业办公为主，缺少远期规划，难以满足持续增长的业务对网络的需求；另外，当前被动的提供网络联接，用户需求落地周期长，业务开通慢、网络体验差。因此，企业网络要以业务驱动为主，架构灵活、开放，要能承载企业关键核心业务，实现多业务一网承载，不但要承载当前的业务，还要易于承载未来的业务；需要以用户为中心，主动为用户提供网络服务、统一运营、实现业务即插即用。综上所述，企业网络要顺应企业业务数字化与全球化趋势，解决上述关键痛点及诉求，需要从全局视角统筹规划、顶层设计，一张蓝图绘到底，提供一站式服务和运营，走向“企业一张网”。04/大型企业一张网白皮书大型企业网络走向企业一张网1.2企业一张网愿景企业一张网要做好统筹规划、顶层设计，必须面向未来，基于愿景驱动，以终为始。如果仅是基于现状和问题来规划，容易局限于惯性思维，在规划时束手束脚。而先有愿景，再倒推到现在，“站在后天看明天”，则可以推导出如何通过新建或持续优化，实现从现状到愿景的转变。愿景是方向和目标，是行动纲领。因此，企业一张网作为企业 IT 系统的大动脉、企业数字化转型的重要基础设施，首先要基于业务战略定义出其愿景：“通过数字化、智能化的领先架构和技术，构建业务即插即用、跨地域一致性体验、一站式服务、高效安全的智能网络，持续满足数字化研发、生产、供应、销服、运营等企业业务不断变化的网络需求”，是企业一张网的愿景和目标。图 2：企业一张网愿景一站式服务：SLA 可承诺，用户体验可保障，被动到主动规划建设原则业务驱动统一规划统一标准统一运营数字化研发高效协同联合创新TTM 加快数字化生产试制周期缩短准确交付质量保证数字化供应快速供货计划可视物流可视数字化销服快速响应全程可视远程验收数字化运营可视可追溯快速闭环自愈免维统一架构员工用户视角网络视角客户伙伴业务敏捷，即插即用感知业务，灵活适配业务开通 ZTO，即插即用按需调整，一键调优一致性体验跨地域接入无差异不同终端接入无差异稳定可靠，超宽弹性超宽，可扩展泛在接入，广覆盖、质量可靠架构极简，标准化，可扩展架构极简，协议极简标准化、模块化，易于扩展和协同安全合规，主动防御主动防御安全攻击网安联动，近端防御服务化运营全网统一服务标准全球统一运营智能化与自动化大型企业一张网白皮书/05大型企业网络走向企业一张网企业一张网的愿景，体现了以业务为中心，提供 SLA可承诺、服务体验可保障的网络，既要“建好网”，又要“用好网”。因此，需要从用户视角与网络视角两个方面规划设计企业一张网：用户视角：业务即插即用：实时感知业务、灵活适配；业务开通敏捷、即插即用；按需调整，一键调优 一致性体验：跨地域、多终端接入无差异化的网络体验 一站式服务：全球持续运营、统一服务标准，智能化运营及自动化运维网络视角：稳定可靠、超宽弹性：广覆盖、泛在接入，多业务统一承载 架构极简、TCO 最优：标准化、可扩展，易于扩展与协同 安全合规、主动防御：网络安全及本地化法律法规遵从、网安联动，保障安全基于企业一张网愿景，在规划和建设网络时要遵循业务驱动、统一规划、统一架构、统一标准、统一运营等基本原则：业务驱动：以满足研产供销服等关键业务差异化网络需求为根本驱动力，保证用户在任何时间、任何地点都可以使用不同类型终端受控访问公司的特定信息，以业务体验和技术领先双轮驱动网络建设。统一规划：以企业业务未来发展战略为目标，牵引企业网络整体规划，一张蓝图绘到底，有方针、有原则、有标准、有路径，持续指导网络建设、运营、运维。统一架构：开放、灵活的网络架构，能随时应对公司的发展要求，以最优的成本，及时、有效地满足业务全球化部署、多样化的需求。统一标准：全网统一标准、开放架构和主流的技术，确保网络的互通性、可演进性、能力开放性。统一运营：网络要能提供统一的网络服务，实现服务 SLA 承诺及服务体验保障，提供任何地点、任何时间的无差异网络体验服务，同时，保证网络可管理及可维护性。06/大型企业一张网白皮书大型企业网络走向企业一张网1.3用户视角1.3.1 从网络运维走向网络服务运营“建好网”到“用好网”以往以“建好网”为中心，网络建好之后即需求完成，出现“只管生不管养”现象，不重视运营，存在以下问题：业务体验差：用户需求申请不便利，进展不可见，需求由邮件触发、人工推动；用户需求落地周期长，不够敏捷：如某大型企业，站点新建或搬迁需提前3-6个月提出需求；配置类：周级；线路类：国内月级，海外 3-6 月；带宽利用率不均、成本高：不同业务突发时间不同，整体带宽利用率忙闲差异大，网络未有效利用，建设成本高；业务在网络中运行状态不可知：网络 SLA 不可视，被动扩容提速。数字化转型时代，“数字化只有起点，没有终点”，网络要通过主动感知业务的变化而敏捷迭代和持续创新，网络建设完成以后还需要后续全生命周期持续运营。因此，不但要“建好网”，还要“用好网”。提供标准化、可复制的“产品化”的网络服务随着企业数字化转型的深入，业务快速变化，对网络提出了业务即插即用、差异化体验、一站式服务等要求，快速满足业务数字化转型的时效性和用户/业务体验，让用户/业务像用水、用电一样使用网络。网络需要进行“网络能力供给侧改革”，从面向短期目标、对准功能性的管理，变成面向价值创造、长期迭代的标准化、可复制、一站式网络服务产品：用户自助定购、天/周级开通，快速响应，缩短业务/用户需求的上线周期；网络部门从做“网络功能”的运维变为做“网络服务”的运营，更加灵活地响应业务/用户的需求变化，解决业务部门诟病的“慢、贵、难”问题，保障网络从“可用能用”到“好用爱用”。图 3：网络服务目录示意用户/业务通过网络服务目录使用服务服务目录（举例）（1）专网平面服务（2）视频重保服务 用户/业务服务目录：SLA 可承诺、服务体验可保障数字化研发数字化生产企业一张网数字化供应链大型企业一张网白皮书/07大型企业网络走向企业一张网带宽时延安全开通时间故障修复时间实时可视随时随地获取主动优化智能推荐个性化定制SLA服务体验网络服务包括服务 SLA 和服务体验以前网络只聚焦在网络 SLA，满足各类业务正常运行的基本需求（吃饱）。随着数字化转型的深入，业务除了对网络 SLA 有要求之外，还提出了更高的服务体验需求（吃好）。所以在数字化时代，网络服务既要考虑满足用户和业务的 SLA 需求，更要重点考虑提供更好的服务体验。1.3.2“产品化”网络服务的关键要素服务目录服务目录是联接用户/业务和网络的桥梁，匹配用户/图 4：网络服务包括 SLA 和服务体验图 5：服务目录的三大特征业务的网络诉求，提供最佳的网络服务。就像餐馆的菜单一样，企业一张网的服务目录提供“简单易懂、按单点菜”的服务项，把原始和复杂的网络能力封装成用户容易理解的服务。用户无需成为网络专家，就可以根据实际的场景需要来“点菜”，给用户带来极大的便利，从而让用户在售前、售中和售后的全程感受到由服务带来的获得感和满足感。服务目录也成为驱动网络运营/运维提升和网络持续演进的核心驱动力，彻底改变了传统模式下仅由技术来驱动网络升级演进的现状。正所谓“万变的业务，不变的网络”，尤其是随着数字化转型的深入和业务云化加速，云原生业务推出速度和迭代更新节奏大为加快，而网络是相对稳定的，但又要能及时、准确、可靠的满足业务承载的诉求，这就要求企业一张网服务目录具备三大特征：网络与业务分离网络服务模块化网络服务标准化即网络服务与客户业务是解耦的，而不是为每项业务都设计一款网络服务，在充分理解业务场景和对网络的诉求后，提供与业务匹配的网络服务，从而实现一网多用，保持网络稳定性、灵活性、敏捷性的前提下，支撑业务的高速增长。从技术的视角，网络是分层和分段的，不同的网络所采用的技术和方案各有不同，但从服务的视角，服务需要是模块化的，可以根据用户需要进行灵活的组合拼装，从而把不同的“微服务”组合成用户所需的一站式端到端“长服务”。只有标准化的服务，才能够让用户随时、随地、随需地获取到一致性的服务，因此必须定义通用的标准，规范化地提供网络服务。08/大型企业一张网白皮书大型企业网络走向企业一张网服务设计面向数字化转型的企业一张网，需要为用户设计好用爱用的服务，整体设计包含下面两个模块：需求建模：对用户进行深入的调研和访谈，理解用户，从连接类型、带宽、安全、可靠、质量、成本、增值服务等七个维度对需求建模，提前感知和预判用户业务潜在需求，评估需求的价值，提炼共性需求价值，为服务定义提供关键输入；服务定义：基于用户诉求，结合网络能力，提供丰富的网络服务能力和规格。传统网络服务只包括连接类型、业务范围、带宽三个维度，基于用户诉求，逐步扩展出安全、可用等多个维度，用户基于自身的诉求按需选择，灵活组合；同时服务需要屏蔽网络技术和承载方式的复杂性，转换成用户易懂的服务语言，从而为用户选择服务提供更大的便利性。可以根据服务的使用场景，划图 6：网络服务设计考虑的 7 个要素不同客户存在差异化需求，当前仅提供普遍性的基本服务，可按照 7 大要素重新定义服务服务模型7 大要素连接类型点到点点到多点多点到多点20M、50M、100M、200M500M、1G、2G5G、10G物理隔离、逻辑隔离网络安全接入双平面双路由双链路网络可用率，时延丢包率、路径自动调优性能可视在线订购、监控按需定制服务一键调优和故障定位可按成本最优性能最优、可靠性最高等选择服务增值服务带宽成本质量可靠安全大型企业一张网白皮书/09大型企业网络走向企业一张网分为基础网络服务和高级网络服务，在基础网络服务上可以叠加高级服务，从而满足特定场景的用户需要。比如针对关键业务，可以增购网络重保服务，提供高质量的网络保障。运营设计 统一门户：为用户提供统一的服务门户，用户可以线上按需灵活、方便快捷的查看和申请服务，实现售前、售中、售后全程可视，让用户有非常好的服务体验；运营流程：构建自服务、全监管、智运营、精指挥的服务运营流程体系，为用户提供自助服务门户、一站式、端到端服务，同时提供可视化管理抓手，为网络管理单位提供网络发展决策依据；数字化运营平台：为了实现对外精细化运营实时保障用户/业务体验，同时对内实现运营成本最优，运营需要基于服务的全生命周期，面向资源、服务质量、运营支撑来构建标准化的流程机制，通过流程来串接不同的组织部门、功能模块、系统接口、操作动作等，从而协调人、事、物来实现网络服务的全局运营；同时建立统一的服务数字化运营平台，全面掌握全网服务信息，整备网络资源，对服务的全流程进行全方位的流程保障、资源管理、SLA 监控、运行监控等，完善调度机制，开展服务事后复盘；打通与运维体系的衔接，从而确保服务的 SLA 和用户体验。服 务 体 验 管 理：为 用 户/业 务 提 供 实 时(Real time)、按需(On demand)、全线上(All online)、自定义(Do yourself)、社交化(Social)的 ROADS 体验模型，同时服务体验可承诺，通过可衡量的指标进行量化管理，保障服务的公平、公正、可管、可控。运维设计 网络规建维优的流程和能力：为了更好地支撑上层运营，运维需要从规划、建设、维护、优化的网络全生命周期构建“懂”服务、“全”规划、“快”交付、“稳”网络、“优”性能的能力：规划：通过咨询/调研、业务建模、规划设计，从用户视角把服务 SLA、服务体验层层分解细化，高效输出网络需求，进行整网规划设计；建设：通过网络集成部署进行场景化、高效、高可靠建网，满足上层网络服务全方位测试验收；维护：通过主动维护，防范于未然，支撑事故快速恢复，保障用户网络稳定；优化：通过网络健康度评估，提前发现服务SLA 和服务体验问题并优化。网络运维平台：为了改进和提升网络运维的效率，满足数字化转型中服务运营对网络运维的敏捷诉求。网络运维要向数字化、资源化、自动化、智能化、自助化演进。需要网络运维跳出网元运维的固有视角，通过构建网元管理的自动化、智能化平台来实现，将网络与上层服务进行关联，提升网络运维效率。图 7：服务定义的服务项示例点到点点到多点多点到多点云专线组网专线开通 3 天7 天15 天无修复 0.5H 2H 8H无质量可视状态可视时延可视运行报告无10M100M200M500M1G99.9.95.99%无5ms10ms20ms无业务仿真业务预测回放服务调优服务同城跨市安全接入加密无连接类型业务范围带宽安全必选必选必选可选可选可选可选可选可选可用重保服务性能可视时延承诺10/大型企业一张网白皮书大型企业网络走向企业一张网1.4网络视角伴随着企业数字化发展，企业研发、生产、供应、销服、办公等各种场景业务也出现新的变化，这些变化为企业带来新增长点的同时，对企业网络也提出新的挑战：网络异构复杂：异构网络协议对接难，开通变更缺乏整体自动化 安全风险高：跨云、跨地暴露面增多，用户身份不一、安全策略不一；安全威胁易扩散 网络效率低：链路利用率低，多云专线成本高；缺乏业务访问路径优选推荐机制，负载不均 网络弹性不足：联接容量缺乏弹性；增值服务难以按需加载、扩展 品质不理想：缺少应用可视化和自动调度机制；E2E 业务差异化体验保障不足，缺乏差异化 SLA经营机制，可靠性风险增大。新业务引入难：不得不在落后的技术、落后的基础设施、落后的设备上继续大量的投资，有竞争力的新业务难引入 网络问题多，被动响应，运维效率低：系统复杂导致运维工单满天飞，引发更多错误；网络问题发现慢，被动响应的工作流程，不能主动管理客户体验为了满足业务发展诉求及网络挑战，企业网络从传统专线组网走向更加灵活敏捷的承载网络，构建极简、智能、安全的企业一张网，融合支撑用户和业务的网络服务，支撑多云互通、多业务共享、多用户互联等业务诉求。图 8：网络视角的三大维度极简使能业务敏捷稳定安全保证网络稳健运行智能打造极致用户体验All-Intelligence 控制 分析 决策All-Security 边界防护 终端控制 主动防御All-Simplified 极简架构 极简协议 极简站点 能力开放大型企业一张网白皮书/11大型企业网络走向企业一张网极简极简架构很多企业在进行网络规划建设时，由于缺乏相关的经验及技术，通常只考虑了如何实现网络的连通性，只要能用就行，没有考虑规划合适的网络架构。网络业务和网络承载相互制约、相互影响，这就导致网络建设完成后无法兼顾敏捷和稳定性，从而影响企业业务的快速发展以及演进。通过规划分层架构，将网络业务层与网络承载层解耦，简化网络架构，实现敏捷与稳定的共存。网络业务层即 Overlay 层像短跑运动员一样敏捷&灵活，快速响应多样化的网络业务诉求；网络承载层即 Underlay层像长跑运动员一样，稳定可靠，保证网络资源的高效利用和 SLA 持续性保障。通过 Overlay 层以及Underlay 层的分层架构，降低网络复杂度。极简协议当前很多企业在部署网络时，采用多种隧道技术、封装技术、转发技术等，复杂的网络协议对企业 IT 人员技能要求高，网络运维复杂，极大的增加了网络Opex 成本。面向未来的海量业务及海量连接，需要减少网络的协议数量，每层网络都要统一协议，实现各层的协议统一，从而降低人员技能要求，降低运维复杂度，提升运营效率，支持未来网络扩展演进。万物互联加速了 IPv6 时代的到来，通过在网络上部署 SRv6/EVPN 的技术方案，可以快速实现业务跨域部署、一跳入云、业务路径按需调整、协议扩展以及平滑演进，支撑海量企业连接。图 9：极简网络架构图Overlay：敏捷创新网络承载层:稳定&可靠网络业务层:敏捷&灵活Underlay：稳定可靠12/大型企业一张网白皮书大型企业网络走向企业一张网极简站点随着企业的发展以及业务的增加，网络在建设完成后并不是一成不变的，通过规划设计极简的网络站点，可以快速满足企业网络升级演进的诉求。模块化：极简站点需要网络采用模块化设计，以模块为单位，像搭建积木一样，可以快速实现网络建设与演进。根据不同的企业情况，模块可以按需设置。比如定义一个极简的企业园区站点模块，其中包含一台出口设备、一台防火墙及若干连线，后续再有新的园区站点建设时，直接增加一个标准的站点模块就可以。如下图所示，当企业增加站点时，只需增加相应的模块，就可以快速完成网络的连接打通，不影响存量业务。标准化：极简站点在模块化的基础上，还需要考虑标准化。标准化是实现各个模块之间能正常联通的重要准则，只有采用相同的标准，才能使各个模块之间实现任意的乐高式拼接，实现业务的正常开通。如下图所示，各个模块之间、南向以及北向都采用了相同的标准，模块的增加替换，都能快速实现新增站点与其他站点之间、北向系统、南向设备之间的互通。图 10：模块化建网示例乐高式，模块化网络建设，存量业务无影响东西向扩展新增模块图 11：接口标准化示意图标准化接口，保证各模块之间以及与南北向互通北向接口南向接口模块 N模块 1模块 2标准化接口标准化接口大型企业一张网白皮书/13大型企业网络走向企业一张网能力开放网络能力开放，是实现网络扩展的关键，包括北向、南向两个维度。北向开放指网络通过标准 API/SDK，实现网络状态、数据、路径等信息全量上报，实现上层系统、应用对网络的调用和管理；南向开放指网络通过 SDK 驱动架构等，实现与第三方设备服务的快速对接，集成更多的网络能力。图 12：网络能力开放北向开放标准 API/SDK，实现客户的应用方便调用和管理南向开放SDK 驱动架构，实现与第三方设备服务快速对接业务层网络层14/大型企业一张网白皮书大型企业网络走向企业一张网控制通过自动化、智能化方式简化网络控制，使网络更加简单、高效。比如通过自动化方式将用户业务转换为网络可以理解的模型和策略，网络运维人员无需理解网络的各种接口、能力、规则等细节，也无需通过复杂的部署配置，就可以实现业务的自动部署，提高网络控制效率。另外，如果某业务对于 SLA 有一定的要求，结合网络实时负载、拥塞等状态，快速分析，智能控制调整网络业务路径，保障业务 SLA 体验。分析基于网络数据采集上报技术，实现每用户、每业务、每时刻的网络状态、KPI 和 KQI 感知采集，作为网络分析的数据来源。基于采集的数据，通过网络的智能分析能力，分析网络的健康状态、业务的健康状态、业务的 SLA 状态等，并结合一定的规则，进行网络的智能控制调整。比如基于网络数据实时采集分析，自动识别故障设备、故障根因，完成故障分钟级分析定位。另外，很多企业非常关注网络的带宽利用率提升，通过网络智能分析，实时调整网络业务路径，从而提高网络的有效带宽利用率。智能随着网络技术的发展，网络智能已经成为网络不可或缺的重要能力，通过智能化的能力加持，可以助力企业网络实现用户业务的更优体验。智能控制、智能分析、智能决策，共同组成了网络的智能。图 13：网络智能关系图决策控制分析大型企业一张网白皮书/15大型企业网络走向企业一张网决策通过网络 AI 智能模型，进行训练推理，并基于训练结果针对网络数据、网络状态进行决策判断，自主控制，同时智能预测网络问题及潜在风险，主动提升网络质量。比如通过 AI 模型进行大量的网络数据学习，从而具备智能判断哪些数据是重点业务、哪些数据是普通业务的能力，针对新的网络流量，智能判断其业务重要程度，并进行网络流量优先级的决策调整，保证高优先级业务的 SLA 和体验。安全除了极简和智能以外，安全也是企业在网络规划建设中需要重点考虑的维度，以保障企业网络安全，业务数据不受损。边界防护企业业务涉及到与上下游伙伴/供应商业务的互通、IT 与 OT 业务的互通、与 Internet 的互通，同时随着企业云、网、边、端等新型 IT 基础设施的使用，网络的边界也更加多样与复杂，通过部署网络边界安全防护能力，构筑企业一张网边界防线，杜绝跨网攻击，形成企业一张网的第一道防御屏障。终端控制企业在研产供销服等各种业务场景中，涉及到办公终端、智能手机、采集终端、控制终端以及各种装备设备，无处不在的用户接入、海量的物联终端接入等，带来非法访问、终端仿冒等风险及问题。企业网络部署终端“零信任”能力，设备、用户接入网络实时检测、动态认证，持续进行终端风险评估，实现终端业务安全接入访问。主动防御企业通过部署网络安全态势感知、智能分析系统，识别分析企业业务流量行为，智能发现网络异常流量及潜在风险，提升网络威胁综合检出率。对全网进行安全监测，快速溯源，并通过安全监测结果和网络进行联动防御处置，闭环安全问题，减少对网络/业务的影响。图 14：企业网络安全示意图32安全控制器企业园区企业物联公有云私有云互联网移动终端接入汇聚汇聚核心核心安全态势感知EEE3211116/大型企业一张网白皮书企业一张网典型场景和需求企业一张网典型场景和需求企业主要业务覆盖研发、生产、供应链、销服、通用办公等多个领域。企业的数字化转型要影响到各业务模型、流程、技术，业务与 IT 的数据化、自动化、云化和人工智能等能力紧密融合。在企业各场景数字化过程中，对网络提出了不同的诉求。研发生产供应链销售交付服务网络网络设计加工订单合同支付协同备件开发排产采购报价工资文档管理客服测试控制物流商品回款知识.管理检测仓储大型企业一张网白皮书/17企业一张网典型场景和需求企业数字化研发，是企业生产、销服等活动的重要输入，能够帮助企业提高产品创新力和竞争力。不同企业所开展的数字化研发内容不尽相同，但是总体上可以概括为围绕数字化设计、数字化开发、数字化测试以及数字化管理等几大维度的系统性研发活动，数字化研发对于网络的带宽连接、多地协同、并行处理、资源调整能力有较高的要求。比如数字化开发，涉及软件代码的编写及软件版本的编译。由于开发工具云化/集中化部署，不同地点的研发人员，采用集中式代码编写运行及编译环境，跨地域协同开发、协同编译，实现开发快速迭代。而且经常在相同时间段内，出现会话高并发、网络资源受限的情况。整个过程中对网络提出了更高的挑战：2.1数字化研发 无差异的网络体验：多终端、多用户跨地域访问，协同开发，需要网络提供无差异的一致性体验。网络带宽按需调整：研发中需要随时随地传输大小不一的数据、文件等，网络需要具备带宽实时调整能力，满足大带宽、分钟级数据同步共享需求。网络智能协同：研发过程中经常出现多地多人同时使用网络资源，需要全局灵活分配网络资源，实现业务协同处理，保障数据传输多租户隔离保障。最优网络成本：全球多地接入、多地部署的数据中心，大量的往返数据交互，需要兼顾成本及可用性，高效协同研发共享。18/大型企业一张网白皮书企业一张网典型场景和需求云、AI、大数据、物联网等新技术对于企业生产带来了新的契机和驱动力，通过数字化生产可以帮助企业提质、降本、增效。企业生产集中控制和生产质检都需要网络的支撑保障，生产要求网络能提供更加稳定可靠的极致保障体验，同时还要满足更严格的安全要求。比如钢铁制造企业，通过云化 PLC 远程管控，实现企业生产全连接、高安全、易运维的集中控制，推动工控协议的归一化，让企业生产不受物理 PLC 局限，生产架构更加灵活，生产控制持续优化，降低生产 CAPEX，提高生产效率。企业生产集控需要网络提供极致保障能力：2.2数字化生产 极致网络保障智能可视化能力安全可信合规生产控制是企业最重要的业务，各生产系统对网络也存在严苛的诉求，比如 5 个 9 高可靠、2-30ms 时延、低抖动、网络资源隔离独享等。生产过程全程监控，需要网络实时可视、网络风险自动识别，故障第一时间定位然后快速恢复生产。生产集中化以后，IT 和 OT 的融合，带来了安全风险，需要网络可信、可靠、合规，保障生产业务安全，避免安全问题导致停产。大型企业一张网白皮书/19企业一张网典型场景和需求供应链是大型企业的关键竞争力，数字化供应链实现物流“人仓货车船”等业务通过数据共享，打通上下游作业环节及外部合作伙伴，实现全网集中调度和各环节之间无缝衔接，高效协同。数字化供应链对企业网络提出了更高的要求，例如 CES(区域存货管理系统)、HTM(运输管理系统)等业务中的数据实时同步；ERP(企业资源计划系统)、MES(制造执行系统)、EMS(电子专业制造服务)、APS(先进规划排产系统)等业务系统 7*24小时运行，实现原材料来料数量和进度可视、出入库可视、运输位置及轨迹实时可视等，供全球用户访问。供应链对网络的诉求如下：2.3数字化供应链全球随时随地一致性体验永远在线、可用度可承诺用户安全灵活接入CES、HTM 等业务中的数据实时同步，交互式操作对时延敏感，需要时延实时可承诺、可感知，提前预测时延是否达标，针对不达标的进行优化，保障用户随时随地获得一致性体验ERP、MES、EMS、APS 等业 务 系 统 7*24 小 时 运 行，供全球成千上万用户访问，需要全球网络的可用度达到99.999%，保障每个用户全程全网随时可用在实现合作伙伴快速接入的同时，又能够防止对供应链网络和系统进行恶意攻击，需要网络支持快速接入、安全的信息管道、信息不泄漏、防泄密、防攻击、防 IT 特权滥用、安全管理20/大型企业一张网白皮书企业一张网典型场景和需求企业的销服业务主要围绕营销数字化和服务数字化进行，通过提供更好的用户体验和用户服务，更多的线上线下触点，更快更准地触达用户，连接潜客、用户、经销商和产品，提供更加精准的营销服务和更高的服务体验，加强品牌认知和用户粘性。企业通过在数字化门店实时获知消费者的购买需求，同时在总部/数据中心结合已有的模型进行实时分析，数据快速往返交互，为消费者提供个性化的产品和服务，实现门店的精准营销及客户优化管理。如在数字化门店内，为客户推荐合适的服务产品类型，减轻客户选择的烦恼，提高销售率；或者为购买汽车的客户，实现个性化的研发、生产、制造、用车等一系列虚拟体验，提高客户的购买意愿。数字化销服，要求网络在提供基础的连接服务之外，更要具备灵活敏捷的服务能力：2.4数字化销服 网络灵活部署敏捷开通无差异的接入安全访问控制网络具备模块化、标准化的能力，实现网络快速部署、业务快速开通，适配门店的升级建设人联、物联、多终端，无差异的销服业务接入体验泛在的接入带来了企业暴露面的增加，增加了网络风险。网络需要能够防护并阻止这些风险大型企业一张网白皮书/21企业一张网典型场景和需求2.5数字化办公数字化办公可以提高企业各种工作流程的透明度和可控度，提高企业的办公效率、便携性与可靠性，降低企业成本、增强协作和沟通。一般大型企业都有少则几十，多则数百种基础办公业务，不同的业务对网络也有不同的诉求，针对不同的数字化办公需要提供不同的网络服务。视频会议就是一种典型的数字化办公业务，而且视频会议在企业的研发、生产、销服、供应链等各个环节都发挥了非常大的作用，解决了多地、多部门之间的沟通效率问题。例如在华为，每天开通的视频会议，可能达到上万频次，视频会议已经成为企业的“生产业务”，其对网络有较高的诉求：优质体验网络重保差异化承载视频会议同时有语音及视频画面，都是对网络质量有较高要求的数据类型，需要网络提供优质的服务能力，以保障视频不卡顿、语音不丢失、业务不受影响。重要的视频会议，需要提供会前预定模拟、会中体验保障、会后过程回顾的重保能力，保障客户、伙伴获得优质体验。比如视频会议与Email等业务，不同的办公业务对于网络诉求不同，优先级也不同，网络需要提供差异化的服务能力。22/大型企业一张网白皮书企业一张网典型场景和需求2.6网络数字化运营针对网络运营团队，提供网络运营数据，全网态势评估立体化，有效支撑治理决策，业务驱动网络服务化运营，网络运营团队以网络服务为中心运营，围绕网络服务主动优化网络，调整网络，持续优化网络服务运营流程，网络成本最优针对用户，提供面向业务应用的一站式、端到端自助的网络全生命周期供给服务，业务驱动网络开通服务化，网络全域自动变更，业务上线无需排队等待，应用迭代周期大幅度缩减，新业务加速上线网络数字化运营旨在利用数字技术获取、管理和分析数据，为企业网络决策与运营提供量化、科学的支撑，提供“产品化”的网络服务，有效提升网络效率与服务体验，满足数字化转型中网络的敏捷诉求。网络由被动运维向主动运营转变，通过网络服务化，把简单留给用户，复杂留给智能，实现自助订购、分钟开通，让用户与业务像用电、用水一样使用网络资源，实现整体的可视、可管、可控，降低运营成本。通过服务驱动网络迭代升级，同时，升级后的网络又可以提供更多的网络服务，两者形成正循环。网络数字化运营对网络的诉求主要有以下两点：一站式服务，提升用户体验网络服务化运营，最优网络成本大型企业一张网白皮书/23企业一张网典型场景和需求构建看得清、溯源快、处理准的网络保障体系，业务驱动网络运维数字化。网络中各网元满足数字化管理，通过网元数字化的管控，实现网络功能可抽象、可编排；通过整网拉通的网络功能抽象和编排实现整网的资源池化，使得网络对外呈现服务化能力，支撑上层服务快速模块化调用网络资源。由依赖大量的人工处理，转为系统自动化处理，由被动监控、响应式抢修，转为提前预测预防，主动规避，基于模型编排技术将专家经验转化为运维资产，构建感知-分析-决策-执行全场景运维自动化、智能化能力，更好的支撑上层服务运营，快速满足用户/业务体验。传统的网络管理是以网元为中心的，网管提供设备管理、告警配置等功能，运维人员通过网管监控拓扑、告警来获知网络的异常。随着网元数量的增多，网络的正常运转越来越困难。传统的网络运维只有在发生网络故障后，网管收到告警后，网络运维人员才知道并进行分析处理，针对已经消失的故障，需要等待故障复现或者尝试对故障进行复现，故障定位及修复时间长，无法满足业务实时在线的需求。2.7网络数字化运维企业网络的传统运维侧重在网元视角，从网元视角构建网络拓扑、网络故障定界定位、网络资源使用率监控和局部自动化。当网元规模逐渐增加，传统网络运维模式所需要的时间和技术也将线性增加，以网元为中心的“救火式”运维存在以下两个挑战：网络规模越来越庞大，流量类型越来越多，新技术不断涌出，维护人员的水平要求越来越高。要解决传统运维的问题，需要跳出网元运维的固有视角，通过构建网络管理的资源化、自动化、智能化能力，建立服务感知的自助网络，匹配服务的网络变更和维护需求，构建立足现在面向未来的可扩展型架构，满足现有业务的自动化诉求，以及未来业务的智能化演进：以网元为中心，网络状态难感知网络资源化，可视化管理被动响应，故障恢复时间长网络自动化、智能化，提升运维效率24/大型企业一张网白皮书企业一张网典型场景和需求2.8需求总结如上所述，随着数字化转型的深入，企业的数字化业务对网络提出越来越多的多样化、个性化的诉求，可以总结为四个维度：架构维度：全球广覆盖、多场景支撑、网络高效共享、网络连续性；能力维度：高效部署、稳定、弹性灵活、多业务隔离；安全维度：安全合规、安全接入、联接安全；运营维度：用户体验(差异化/跨地域一致性体验)、最优成本、高效灵活接入、统一监控管理(自动化/智能化)、统一标准图 15：企业一张网的典型场景化需求汇总业务场景 网络诉求 归类总结 数字化研发 数字化生产 数字化供应链 数字化销服 数字化运营 数字化运维 子场景 网络诉求 设计 开发 测试 无差异的网络体验 网络带宽动态调整 网络智能协同 低成本网络 数字化办公 网络极致保障 智能可视化 安全可信合规 网络灵活部署 随时随地一致性体验 永远在线、可用度可承诺安全灵活接入 网络灵活部署 无差异的接入体验 安全访问 优质保障网络 网络重保 差异化承载 成本最优 用户/业务体验 网络精细化运营 一站式服务体验 网络保障 运维效率 网络资源化、可视化 网络自动化、智能化 用户体验(差异化/跨地域一致性体验)统一标准 统一监控管理(自动化/智能化)最优成本 全球广覆盖 网络高效共享 高效部署 稳定 弹性灵活 安全合规 安全接入 联接安全 多场景支撑 多业务隔离 高效灵活接入 网络连续性 管理 加工 排产 控制 检测 订单 采购 物流 仓储 合同 报价 商品 仓储 协同 文档 知识 运营 架构 能力 安全 大型企业一张网白皮书/25大型企业一张网架构大型企业一张网架构26/大型企业一张网白皮书大型企业一张网架构大型企业一张网需要从两个视角来构建系统性的架构体系：用户视角，以价值驱动，体验为中心，为用户和业务提供好用爱用的网络服务；网络视角，从网络自身找到持续发展、最合适的技术演进路径和建设方案。两者互相影响，互相制约，面向用户不断提供丰富优质的网络服务，驱动网络不断迭代升级；网络技术的演进更新，为提供更多更好的服务提供支撑，从而形成良性的商业正循环。图 16：企业一张网架构的用户视角和网络视角安全合规 主动防御 架构极简 TCO最优 稳定可靠 超宽弹性 用户视角 好用爱用的网络服务 规 建 维 优 生产控制 视频会议 生产业务平面 视频会议平面 网络视角 网络演进/建设/技术 B1:专用平面服务 B2:独享切片服务 A1:网络重保服务 服务驱动网络迭代升级 网络技术不断丰富服务体验 服务定义 服务运营 服务优化 服务目录 无差异体验 业务即插即用 一站式服务 用户和业务 网络驾驶舱 公共业务平面 大型企业一张网白皮书/27大型企业一张网架构3.1目标网架构为了更好的满足用户和业务诉求，大型企业一张网架构是一个“三位一体”的智能体架构，由大脑（网络驾驶舱）、手脚（Overlay网络）和躯干（Underlay网络）组成一个完整的系统。作为系统的核心构成，三者之间具备独立性、相关性和整体性，各个层面分工明确，分层解耦，协同配合，从而形成完整统一的系统性架构。网络驾驶舱（大脑）：面向企业内外部用户对网络的差异化服务需求，以业务为中心，提供标准化的网络服务目录，通过服务化运营，以及可视化、自动化、智能化的数字化手段，提升服务水平，降本增效；Overlay 网络（手脚）：直接触达用户和业务，实现端到端的处置，用最优的路径、最敏捷的方式、最经济高效的手段，为不同的用户和业务提供差异化的精准服务；Underlay 网络（躯干）：网络健壮性、可靠性、安全性的坚实保障，能够汇聚流量，协调核心骨干网络资源，为企业数据流提供超宽、低时延、安全可靠的网络服务图 17：大型企业一张网目标网架构统一的技术标准：如SRv6 Underlay网络：稳定可靠，差异化保障Overlay网络：敏捷灵活，一跳入云 营销云 研发云 生产云 销售门店 研究所 工厂 智能分析服务智能调优服务基础联接服务网络安全服务网络 驾驶舱 服务化接口 网络运营平台 网络运维平台 员工 客户 伙伴 研发 制造 供应 销售 用户 业务 服务目录 数字化平台 智能底座 Overlay网控制器 Underlay网控制器 网络安全态势感知 互联网 VPN 专线 运营商线路 28/大型企业一张网白皮书大型企业一张网架构3.2网络驾驶舱3.2.1 网络服务目录企业数字化转型驱动数字化办公、数字化研发、数字化生产、数字化供应链、数字化销服等各方面加速发展，业务新场景、用户新诉求层出不穷。网络要具备灵活的适应性，除了满足业务对网络的 SLA 需求外，还要特别关注用户体验，一方面提供优质的差异化服图 18：网络服务目录，满足用户对网络连接的诉求务，另一方面，要形成标准化的网络服务目录，让用户在任何地点、任何时间、任何终端都能享受到一致性的服务体验，从而以用户为中心，支撑企业全球化布局、全场景化赋能、全要素运营，为数字化转型按下“加速键”。连接知识 信息和知识推送 连接业务 场景驱动快速连接业务 连接团队 以人为中心的连接 连接装备 连接线上与线下，多渠道接入 用户 用户&业务 网络服务 目录 以用户为中心的 网络服务体验 专用平面服务 独享切片服务 网络重保服务 网络安全服务 研发 供应 销服 制造 员工 客户 伙伴 大型企业一张网白皮书/29大型企业一张网架构标准化网络服务目录，按单点菜，满足多样化的业务场景诉求围绕关键的企业业务场景，提炼抽象出共性的网络联接需求，定义基础网络服务（B 类服务），用户可以根据需要选择不同的参数规格，比如联接类型、带宽、可靠性、质量、成本等；同时某些高价值的用户个性图 19：标准化网络服务目录支撑关键用户和业务场景化需求，可以定义成高级网络服务（A 类服务），让用户根据需要订阅服务，使网络产生更大的价值，为网络运营者带来更多的增值收益。网络服务目录是企业一张网发展的关键抓手，牵引网络驾驶舱丰富数字化服务供给能力，不断走向自动化和智能化，并驱动网络技术和方案不断迭代演进。3.2.2 网络驾驶舱架构网络驾驶舱包括服务运营平台、网络运维平台和网络驾驶舱底座三部分，服务运营平台为用户提供网络服务，确保服务的 SLA 和用户体验；网络运维平台通过可视化、智能化手段，提升网络的维护效率，降低OPEX；网络驾驶舱底座实现网络服务和网络技术之间的转换，支撑上层平台的快速开发、集成和服务能力提升。关键用户 业务场景 Overlay 网络服务 高级服务(Advanced)订阅服务，满足用户个性需求 基础服务(Basic)满足用户联接需求 高级服务(Advanced)订阅服务，满足用户个性需求 基础服务(Basic)满足用户联接需求 研究所(异地协同开发、远程调测和AI训练)供应链(运输路径智能优化、智能图像识别)代表处、门店(视频会议高质量保障、门店智慧物联)生产制造(数字化3D建模仿真、网络安全防护)B2：智能调优网络服务 B1：智能联接网络服务 A1：智能分析和 推荐服务 A2：应用加速 服务 A3：安全接入 服务 A4：应用智能 选路服务 B1：公共平面 网络服务 B2：专用平面 网络服务 B3：独享平面 网络服务 A1：网络带宽调优服务 A2：数据压缩服务 A3：网络预测服务 A4：网络安全服务 Underlay 网络服务 企业一张网服务目录 30/大型企业一张网白皮书大型企业一张网架构服务运营平台网络驾驶舱包含用户的前台运营展示层、支撑面向服务的运营管理层以及面向网络的运维管理层。相比传统的运维平台，运营平台更加受人关注。运营者需要面向服务建立完整的流程和体系，需要运营平台更好的开展服务和运营管理，确保使用者获得最佳的用户体验，运营者能够确保网络稳定可靠、智能高效运行，构建自服务、全监管、智运营、精指挥的网络运营体系，具体包含如下功能：IOC 运营：面向运营者或管理者提供网络精细化运营管理，为服务运营、网络管理提供抓手，实现企业一张网可视、可管、可控、可考核；服务目录：用户/业务部门直接登录网络运营平台门户开展网络相关服务的申请、变更、撤销等工作，实时获知服务申请/变更/撤销的流程路径和最新进展，实时查看服务信息/用量/质量等；用户运营：建立用户反馈渠道，受理用户的业务咨询、用网需求、故障申报等工作，统一对外服务热线，并且针对网络新服务进行推广；网络服务运营：图 20：标准化网络服务目录支撑关键用户和业务场景 服务目录管理：针对服务目录上线、迭代更新、下线等全生命周期进行管理，同时对每个服务目录使用情况、用户等进行分析，对不完善的服务持续优化，提升服务满意度；服务质量监控：监控服务故障处理质量，对服务质量进行实时监控和分析判断，快速定位定责，实时跟进故障排查进展，协助故障职责方解决故障问题，缩小故障影响面，提高处理时效性。控制流量转发质量，利用流量调优，路径编排等技术，控制流量转发路径，保证流量转发于空闲链路之中，提高流量转发质量，降低整体网络运营成本；服务工单管理：建设统一工单系统，跨地域多家服务商基于该工单系统进行统一办理，流程统一流转，并针对工单上的每个环节处理情况进行监控、督办、审计直至闭环，提高跨域协作能力与服务效率；服务运营分析：对服务质量数据进行分析汇总，归类服务质量劣化原因，汇总服务质量劣化次数，优化服务质量问题，降低服务质量劣化风险；同时对工单处理时效、满意度、处理结果进行汇总分析，通报存在质量问题的服务提供商，持续纠正工单质量问题。服务决策中心运营 服务看板 IOC运营 统一入口 租户级可视化服务 自助服务 服务目录 运 营 体 系 运营目标 运营指标 运营流程 管理机制 服务战略方针 服务政策规则 服务组织架构 客户声音管理 用户运营 赋能推广 服务内容运营 活动运营 体验管理 服务工单管理 网络服务运营 服务质量监控 服务运营分析 服务目录管理 网络数据管理 网络运维管理 网络运维 网络资源管理 网络保障管理 网络安全管理 运营者/管理者 决策 态势 用户 用户流程 网络服务 业务诉求 网络服务 业务 业务创新 用户场景 Overlay网络控制器 Underlay网络控制器 网络协同编排器 网络安全态势感知 网络驾驶舱底座 服务运营平台 网络运维平台 驾驶舱底座 标准化北向接口/界面调用 标准化北向接口/界面调用 服务目录清单 大型企业一张网白皮书/31大型企业一张网架构网络运维平台网络运维平台构建看得清、溯源快、处理准的网络保障能力；提供全网一图可视，实现质量全程掌握，业务协同处理，一体化呈现全网拓扑，并能够实现端到端流程自动化闭环，网络安全态势整体感知，辅助安全运营决策；沟通高效、信息清晰、流程完整，提升运维效率，具体功能如下：网络数据管理：实时统一采集各服务提供商设备运行状态、用户接入信息、流量、设备信息等数据，全网拓扑可视，将数据进行统计归类，并将相关数据统一呈现，以更好掌握各服务提供商网络的运行状态，提升企业网络的感知能力，实现网络资源精细化管理；网络运维管理：网络自助化开通：网络开通极简，以自服务方式开通网络，网络以模块化、标准化方式供给上层网络服务；网络一体化编排：自动理解网络服务意图，跨领域、跨专业一体化编排网络服务。网络保障管理：网络服务意图驱动网络端到端闭环，服务-网络-数据的关联分析，基于上层网络服务的 SLA 和体验要求，智能化的运维监控系统，对网元设备和整个网络的健康度进行监控和量化展示，对网络故障的根因和影响进行自动分析，辅助处置决策。整个闭环体系的最终目的，为上层服务提供最优的网络保障，提升网络运营管理的水平。网络资源管理：IP地址资源：作为企业网络IP资源分配总入口，基于网络支撑系统对网络 IP 地址进行规划、分配、回收等全流程闭环工作，确保 IP 资源精确无误，同时确保 IP 资源分配时效性。带宽资源：制定带宽扩/缩容规则与带宽利用率基线，对全网流量进行分析，预测流量增长情况，并及时对满足扩/缩容规则的服务进行扩/缩容，使企业网络的利用率保持健康稳定的基准。网络安全管理：用户接入策略一体化管控，对于违规接入非法前端主动识别和异常精准判断，实时调整安全风险；安全态势一体化感知与呈现；安全响应策略灵活系统编排，实现安全事件自动化处理闭环。网络驾驶舱底座图 21：从网管系统到网络驾驶舱底座以网元为中心碎片化数据被动式运维靠人、靠经验网管系统 物理网络 EMS 以用户体验为中心闭环优化实时感知&基于AI的预测性维护人工智能/自动化驾驶舱平台 实时感知，闭环优化 智能决策 智能管控 智能分析 数字孪生-整合、集中 运维人员 服务使能 驾驶舱底座 Underlay网络 Overlay网络 32/大型企业一张网白皮书大型企业一张网架构传统网络以网元为中心，对网络主要是由运维人员通过网管系统进行网元配置、故障处理、性能监控等操作，是事件触发的被动式响应方式。而企业数字化转型需要网络能够为用户和业务提供更好的服务，这就需要把用户对网络提出的场景化服务需求转换成对网络能力的使能，并提供除了基础连通性能力之外的面向用户体验的更高级的服务。因此，对于提供网络服务的数字化平台网络驾驶舱，需要有统一的使能层底座，可以为运营平台和运维平台提供开放的服务化接口和集成环境，把复杂的网络接口转换成服务接口，方便上层系统结合场景和诉求快速迭代开发，从而持续提供丰富的、优质的网络服务。网络驾驶舱底座的使能价值、服务转换能力、系统架构如下：发挥承上启下的使能价值网络驾驶舱底座是智能中枢，起到承上启下的作用，向上为运营平台提供服务化使能，把网络接口转换成服务接口；为运维平台提供网络规建维优的自动化能力。向下对接网络设备，构建对网络的智能化管理、控制、分析的闭环体系。基于网络数字孪生技术和 AI 推理框架，可以把网络建模后，结合本地知识库和 AI 处理，持续提升网络的自智能力，实现对网络的精准融合感知（以虚感实）、可信任决策（以虚控实）、预测性维护（以虚优实）；可以对网络进行仿真模拟，在问题发生之前发现问题，监控物理对象在虚拟模型中的变化，基于 AI 的多维数据复杂处理与异常分析，预测潜在风险，合理有效地规划和维护。底座为网络驾驶舱构建了价值使能的基础，支撑运维增效、体验提升，推动网络向服务化转型。图 22：网络驾驶舱底座的价值运营/运维平台 开放协同 运维 平台 数据 上送 配置 下发 反馈 协同 网络驾驶舱底座 基础服务 高级服务 数字化运营平台 网络基础设施 运维增效 体验提升 服务更优 匹配应用诉求 实时应用体验感知 差异化体验保障 VIP业务重保 放大网络价值 网络服务化 网络供给模式转型 网络管道-网络服务 可视化运维 全息可视 仿真验证、预测分析 降本增效 网络分析 网络管理 网络控制 网络数字孪生 AI推理框架 价值使能 大型企业一张网白皮书/33大型企业一张网架构 实现网络技术与网络服务的映射网络技术的发展日新月异，IP 协议栈从 IPv4 到 IPv6，路由协议从 MPLS 到 SRv6，带宽从 10G 到 100G、400G，并且网络切片、随流检测、APN6 等技术不断涌现和应用，而最终用户无法理解和感受到这些网络新技术带来的价值，因此，需要把专业的技术语言转换成用户易于理解的网络服务，从而让用户更直观的感受到网络技术演进带来的红利。同时，基于用户意图驱动的服务，通过网络驾驶舱底座可以翻译成网络配置，使能网络基础设施。图 23：网络驾驶舱底座实现服务建模和使能 1 N 的层次化架构网络驾驶舱底座是 1 N 的层次化架构，由 1 个网络数字孪生底座 多个网络智能化使能组件组成，南向集成对接异构、多样的网络接口，北向提供简化、标准的服务化接口。1 个网络数字孪生底座：承接网络驾驶舱底座的通用能力，可以快速对网络进行服务化建模，把复杂的网络技术方案转换成简单易懂的服务模型。通过网络数字孪生技术，基于数字化的手段构建数字实体，实现对物理网络的管理、分析和优化。在问题发生之前发现问题，监控物理对象在虚拟模型中的变化，基于 AI 的多维数据复杂处理与异常分析，预测潜在风险，合理有效的规划和维护，提供数据集成、数据存储、数据调度与计算、数据访问、数据治理能力，构建实时、轻量、全面、安全、免维护的基础公共能力。N 个网络智能化组件：包括 Overlay 网控制器、Underlay 网控制器、安全态势感知等组件，可以根据运营和维护的场景化诉求，提供易操作、可视化的功能模块，对网络进行数据采集、分析、控制等，实现网络的智能化。切片1 切片2 网络重保服务 专用平面服务 网络调优服务 网络安全服务 独享切片服务 IP L2VPN L3VPN L2L3对接 MPLS RSVP SR-TP SRv6 复杂多样的网络接口 简单标准的服务化接口 网络驾驶舱底座服务化建模 云 PaaS 使能平台网络智能化使能组件图 24：网络驾驶舱底座参考架构服务能力网络数字孪生底座Overlay 控制器Underlay 控制器安全态势感知网络南向接口 服务化北向接口开通可视分析调优智能故障.数据采集SD-WANSDN/SRv6AI 主动防御数据建模与存储数据计算数据统一查询34/大型企业一张网白皮书大型企业一张网架构3.3Overlay网络企业跨地域的园区、分支、DC 和公有云等，通过端到端的 Overlay 网络互联互通。业界 Overlay 网络普遍采用 SD-WAN 技术，即软件定义广域网，可以跨越中间的 Underlay 网络，建立端到端一跳直达的隧道；并在网关设备深层次感知应用，基于用户对体验的要求和策略，实现智能选路，一跳入云，并能够针对应用数据提供数据压缩、安全保障、丢包纠错等增值服务，构建了企业互联互通的 Overlay 网络。Overlay 网络网关设备一般只需要部署在源和目的两端的出口位置，网关设备具备丰富且智能的业务功能。为了支持用户的多个部门或者多个租户之间实现端到端的安全隔离，网关设备具备 VPN 增加、删除和修改能力，并且该 VPN 能力与 Underlay 网络解耦，从而可以有效提升 VPN 业务敏捷性，降低故障率；网关设备还具备智能的应用识别能力，通过与中心控制器的配合，实现企业常见的应用识别和标识，以及针对应用提供增值服务。Overlay 网络服务目录Overlay 网络满足企业快速规模扩张、全球化灵活部署、云化业务快速迭代更新、差异化的业务体验保障等诉求，主动感知和响应业务变化和诉求，提供最优的 SLA 保障和用户体验。图 25：Overlay 网络服务和边界视频类业务 AI业务 应用识别 Overlay网络服务边界 Overlay网络服务 Underlay网络服务边界 云 大型企业一张网白皮书/35大型企业一张网架构Overlay 网络可为企业员工、客户、供应商和伙伴等提供端到端的基础联接服务，也能为用户提供应用级精细化调度等高级订阅服务，下图给出 Overlay 网络服务目录示例：基础网络服务：智能联接网络服务：可以为企业用户提供站点远程开局、敏捷开通、一跳入云的智能联接服务，推荐采用SD-WAN技术，支持专线、专网、互联网、5G 等多种联接方式。智能调优网络服务：用户可以选择指定的策略，如性能优先、成本优先、综合效率最优、忙闲调度等，或者自定义策略，系统即可在用户授权下，智能选择最优链路和调优方案，始终提供与策略相匹配的最优服务。高级网络服务：智能分析和推荐服务：系统会智能分析采集到的应用性能、流量等数据，并给出分析报告，同时，会基于数据模型给用户调优的推荐建议，用户接受推荐建议即可一键启动相关功能，并获得对应的效果；应用加速服务：系统识别出特定的应用后，可以针对应用进行应用级加速，如数据包压缩、协议优化等，从而让应用体验获得较大提升；安全接入服务：由于企业会访问互联网等安全等级低的线路，从而会产生较大的被攻击风险和安图 26：Overlay 网络服务目录示例全隐患，通过订阅该服务，可以对接入端进行系统性安全防护；应用智能选路服务：为关键的应用如视频会议提供智能选路和重保服务，从而在可获得的线路条件下，获得最佳的服务体验保障。Overlay 网的运营和运维运营Overlay 运营主要面向用户和业务，随时应对公司的增长，包括覆盖范围的变化、数据流量变化、服务的扩展例如语音、流量、多媒体等，保障用户的业务部门、物理位置变化时，都能做到网络即插即用、快速开通、“人不能等机器，机器可以等人”，缩短业务上线周期，通过全生命周期运营，提升运营效率，降低运营成本，为用户提供面向应用的一站式自助网络服务：服务前：根据不同的业务场景，选择对应服务目录及 SLA，如建站、开租等实现天级开通；同时针对关键用户/业务进行服务开通演练、服务验收、安全灵活接入；业务驱动网络开通服务化，网络全专业域自动变更，业务上线无需排队等待，应用迭代周期可大幅度缩减，新业务加速上线；B1：智能联接网络服务A1：智能分析和推荐服务A2：应用加速服务B2：智能调优网络服务A3：安全接入服务A4：应用智能选路服务基础服务(Basic)满足用户联接需求高级服务(Advanced)订阅服务，满足用户个性需求36/大型企业一张网白皮书大型企业一张网架构Overlay 网络服务能够感知用户业务，因此可以提供应用感知的网络服务，但传统上，Underlay 对Overlay 是黑盒，因此 Overlay 在选路调度时存在很多限制。如果 Underlay 和 Overlay 间能够建立服务协同机制，则 Underlay 对 Overlay 是透明的，甚至可以为Overlay 提供更多的增值服务，这样将能够更好的提升用户的服务 SLA 保障和服务体验。例如，Overlay 网可以提供基于应用的智能调优网络服务，可以为应用画像，并基于可选的链路为重点应用选择最佳链路，同时，一旦发现质量劣化可以一键调优，调整到新的最优链路上，所有的调整都可以回放和查询。如果要选择最优性能的链路，转发路径上的性能 SLA 保障是由 Underlay 网络提供的，如果Underlay 网络能够对各条路径转发的流量性能做到可视透明，甚至可以智能预判是否会发生质量劣化，并提前通报给 Overlay 网络，双方协同为用户提供最大限度的业务保障，在网络发生问题前提前处置，从而最大程度地确保用户业务的无损，让用户获得最佳的服务体验，实现 1 12 的效果。企业典型场景 Use Case某汽车制造企业，业务范围涉及研产供销服全流程，随着汽车产销进入高速增长期，研发、生产、供应、销售、服务等业务增长和变化进入快车道，网络需要能够灵活、敏捷地快速匹配业务发展，并确保用户都获得满意的服务体验，典型的用户场景和诉求如下：场景 1：研发调用仿真计算云平台，平均每天完成500 多个碰撞分析、结构刚度分析、流体分析、NVH 分析等多学科仿真计算作业，模拟整车、发动机数百种工况，需要云端和本地协同运算处理，算力调用网络资源的间歇性大，需要网络能够实现敏捷的弹性调度，并且能够在仿真计算业务运行期间，提供高优先级、高可靠性保障；服务中：应用和业务租户级服务 SLA 质量实时可视；针对不同的用户/业务诉求，提供时延、带宽、丢包、质量等多维因子差异化流量调度调优能力；针对重要用户/业务进行应用识别和智能分析，给出调优建议，自动或人工进行调优，保障关键用户/业务 7*24 小时可用；服务后：用户自助报障，用户/业务关键事件重保服务。运维为了更好地支撑 overlay 网运营，运维需要从规划、建设、维护、优化全生命周期构建能力：规划：基于当前服务目录，同时调研用户/业务未来 35 年诉求，提炼对网络的诉求，输出 overlay的网络架构；建设：构建业务即插即用的自动化工具，满足业务快速开通；维护：实现所有用户/业务站点的应用识别能力，同时提供用户/业务的自动拨测能力，实现网络异常快速反应；构建用户业务级的全球网络快速诊断、定位能力；支持用户基于服务意图的网络编排；优化：集中控制器智能算路，实现业务调度路径端到端最优；构建基于时延、带宽、成本、质量模型自动灵活分配及动态更新Overlay 网络与 Underlay 网络协同Overlay 网关设备连接到 Underlay 网络的服务 POP点，Underlay 网络为 Overlay 网络提供流量汇聚和承载服务。Overlay 网络面向企业用户和业务提供端到端一跳直达的联接服务，数据通过 Underlay 网络按照转发路径转发。因此，Overlay 的服务依赖于Underlay 网络的承载能力和 SLA 保障，Overlay 网络可以根据业务策略选择满足最匹配的 Underlay 网络服务，从而满足端到端的业务诉求。大型企业一张网白皮书/37大型企业一张网架构 场景 2：工厂部署 AI 视觉质检减少人工操作的疏漏，避免不合格的产品进入市场。高清摄像头实时上传数据及与云端交互，需要网络提供至少百M 级别的带宽能力，同时由于质检实时运行，对于上传数据下发结果提出稳定可靠的质量及时延要求；云端 AI 质检大模型训练定期向现场推理服务器推送模型训练结果，要求无损传输，零丢包。场景 3：因为销售渠道快速扩张，每年新增上百家4S 店，要求网络能够即插即用；并且随着数字化营销和智慧门店成为新的趋势，大量智能终端、远程展示、维修远程指导等都需要网络提供差异化保障。场景 4：IT 部门每天接到大量业务体验差、网络速度慢投诉和网络故障工单，而且很多问题很难查找到问题原因，同时用户希望 IT 部门能够尽快解决问题，但IT部门只能依靠专家经验和手工检测，效率低下。通过有 SD-WAN、SASE 等先进技术加持的 Overlay网络，可以为上述典型场景提供理想的解决方案：对于研发云端仿真计算的端到端最优体验诉求，Overlay 网络可以选择最优质的 Underlay 网络资源，通过设置带宽日历，设定高优先级，并启动网络加速服务，提高仿真计算的访问和协同效率；对于工厂的 AI 视觉质检，Overlay 网络为保障传输质量的无损，用户可以在最优质的 Underlay 链路保障前提下，订阅智能调优服务、数据传输自适应纠错服务，确保云端训练好的质检模型能够高质量的传送给现场推理服务器，提升质检准确率；为满足门店快速扩展要求，Overlay 网络可实现ZTO 开局，业务即插即用，专线未申请到位前，可以通过 5G 或互联网快速开通站点，待专线到位后，实现多链路负载分担和智能选路，确保业务质量和线路经济性；Overlay 网络还能标识和感知智慧门店的关键业务，对业务根据流量、性能、成本等综合考虑，提供最佳选路策略和保障；Overlay 网络控制器能够提供远程开局、可视化端到端质量监测、路径显示、调优前后对比、历史回放、应用流量分析预测等多种智能化功能，从而大幅提升维护效率，降低维护成本，减少去现场的次数。图 27：某大型汽车企业 Overlay 网络场景企业云 多地协同办公/云桌面 CAD设计、仿真测试 高清视频会议 VR/AR培训 高密度人群培训 3D诊断 高清监控中心 云端MES排产 AI质量检测 智能仓储 IoT设备管理 智慧销售展厅 MR/AR维修指导 Overlay网络 38/大型企业一张网白皮书大型企业一张网架构图 28：Underlay 网络示意图3.4Underlay网络企业 Underlay 网络跨地域构建，从物理架构上通常划分为核心层和汇聚层。不同地域的 Underlay 路由器一般通过自建线路或者租用运营商专线进行互联。Underlay 网络一般在国家、省、地区等地部署 POP 节点，作为Underlay 网络的边界。一般一个 POP 点会接入多个分支、办事处等，实现流量的统一汇聚和调度，从而显著提升资源利用效率。Underlay 网络的服务目录Underlay 网络首要是稳定、可靠、安全，所以其服务目录也更加偏向于提供简单、稳定、可靠的网络服务能力，针对业务及应用的服务由 Overlay 层提供。一般情况下 Underlay 网络服务的粒度较大，Underlay 网络通过提供基础及高级两大类服务来满足不同的业务诉求。各企业可以根据自己的网络建设阶段以及能力情况提供不同的Underlay 网络服务，下图为服务目录示例：Underlay服务化接口 网络业务层 Overlay Service 1 Service 2 Service N 研产供销服业务 网络承载层 Underlay POP 汇聚 核心 汇聚 POP Service 1 Service 2 Service N 大型企业一张网白皮书/39大型企业一张网架构基础网络服务 公共平面网络服务：大多数企业都需要公共平面网络服务承载业务，公共平面提供尽力而为的网络服务以及基本的流量通断、故障可视能力，可以满足基本的业务要求。专用平面网络服务：针对 Underlay 网络，可以业务大类为粒度提供网络服务，如针对研发、生产、供应链、销服、办公等业务大类，提供专用平面网络服务，针对平面内承载的业务提供 SLA 保障及服务体验，不同的平面之间可以设置不同的服务 SLA 标准。专用网络平面相对公共平面网络服务的优势是要提供可保障的 SLA 承诺。独享平面网络服务：Underlay 网络也可以提供独享平面网络服务，用以满足特殊的业务诉求，比如企业专项业务，保障其在任何情况下服务不受影响以及安全性，但是建议限制独享平面网络服务的数量，以避免占用过多资源，导致资源利用率低，导致资源复用效率降低。高级网络服务 带宽调优服务：通过调整带宽、流量多路径承载等，满足带宽敏捷调整需求 数据压缩服务：部分企业在进行网络数据传输时，由于其底层链路租用运营商线路，其费用与数据传输量为正比，通过压缩服务可以减少其线路租用费用。网络预测服务：Underlay 网络一般情况下灵活性相对较弱，所以需要具备预测服务，比如预测网络带宽是否可以满足企业业务要求、网络是否存在潜在故障风险，以便提前进行网络调整优化。网络安全服务：企业内存在大量的机密信息以及机密数据，Underlay 网络需要针对网络边界、终端等进行防护，以防止网络被攻击、企业数据被窃取。Underlay 网络的服务用例用例 1：企业研发使用带宽调优网络服务企业在研发过程中，会出现大量调用公有云算力、总部算力以及软件集中编译的场景，这时除了基础的网络 SLA 保障外，还需要短时间的大量网络数据传输，一般情况下这类业务要求没有固定时间、固定带宽大小，如果只采用专用平面网络服务，那么会由于带宽不满足，轻则导致业务消耗大量的时间，重则导致数图 29：Underlay 网络服务目录示例B1：公共平面网络服务A1：带宽调优服务A2：数据压缩服务B2：专用平面网络服务B3：独享平面网络服务A3：网络预测服务A4：网络安全服务基础 Underlay 服务(Basic)满足用户基本联接需求高级 Underlay 服务(Advanced)满足业务个性需求40/大型企业一张网白皮书大型企业一张网架构据丢失，影响业务。研发部门在有大带宽网络诉求时，可以选取带宽调优服务，比如指定某月某日某时，需要 1G 的带宽容量，则Underlay 网络服务在对应时段将网络带宽调整到对应的带宽，时间截止后调整回原来的带宽。在提供服务的同时，还要保障原本的业务 SLA，比如时延、丢包率等，以及在线订购、带宽选择、使用过程中的流量统计、带宽调整前后流量路径可视以及使用总结报告等。Underlay 网络运营单位在平时需要对客户的网络流量使用情况进行分析预测，以便提前进行相应的网络规划建设，或者提前购买运营商专线链路、Internet链路，以便为用户提供更多的更丰富的服务能力。用例 2：企业用户使用数据压缩服务，降低成本研发、生产或者供销服等业务，都存在大量的异地数据中心、云之间的数据备份传输场景，由于其底层网络需要租用运营商，当传输数据量增加的时候其带宽租用费用呈现线性增长。业务部门通过在 Underlay网络的服务提供者处选择数据压缩服务，对特定的业务流量进行压缩，以减少在运营商处传输的数据流量，从而降低传输成本。用例 3：企业网络用户访问互联网，需要提供安全隔离保障企业的营销等部门经常需要和企业外组织及消费者之间进行业务往来，其网络业务数据经常会在企业内、企业外、Internet 之间交互，数据的跨网交互及移动终端的使用，带来了更多的风险暴露面，可能被一些病毒、木马甚至黑客组织进行攻击，导致企业网络数据被窃取、被勒索等问题，造成企业的经济损失。通过选择网络安全服务，实现企业与互联网的边界防护以及企业移动终端的认证、授权等安全防护能力，可以有效避免相关安全事件的发生，保障业务不受网络攻击困扰。Underlay 网络的运营和运维企业根据业务诉求定义 Underlay 网络服务时，需要考虑 Underlay 如何进行运营、运维，以支撑服务的持续开展。运营Underlay 网络为上层 Overlay 网络和用户提供稳定、安全、可靠、差异化的服务，能够快速、敏捷地被调用，保证网络状态满足当前应用、数据和用户的需求，同时满足企业业务可预测的增长，如新的应用推广或用户数量的增长等；基于成本、可用性、带宽和技术的因素进行线路选择、备份、扩容策略等多维度组合选择；最关键的是网络端到端路径实时可视、可管，流量加速、调优，进行网络带宽流量预测和建议、弹性扩缩容；同时保障网络安全可靠传输、数据加密。运维 Underlay 网络运维从规划、建设、维护、优化全生命周期构建能力：规划：underlay 网络规划，统一网络标准，支持网络覆盖分析能力；支持业务建模能力；支持基础平面方案设计；支持网络容量规划设计；同时网络承载大量跨地市、跨省、甚至跨国的数据业务，网络配置变更属于高危操作，需要非常慎重，因为一旦操作失误可能引发大量业务受损。即便网络维护工程师在这样慎之又慎的情形下，配置变更导致的网络故障占比依然高达 80%，需要在线配置验证工具能事先对配置的影响进行评估验证，将错误的网络配置拦截住；需要支持网络流量、协议、路由、配置变更等高精度仿真验证；大型企业一张网白皮书/41大型企业一张网架构 建设：通过网络集成部署、工程调优进行场景化、高效、高可靠建网，满足上层网络服务全方位测试验收；业务自动化开通，端到端业务快速交付，满足业务场景的变化；维护：建设统一的维护工具、可视化管理，对网络的拓扑、流量、路由、连通性等进行可视化管理；网络变更和问题自动化实施，对基本的网络连通性和问题处理进行监控和管理；构建设备侧实时感知 实时推理、在线训练 实时推理 在线学习 在线标注的两层 AI 架构，准确识别网络隐患；智能化分析，对日常的性能数据进行分析处理，并对月度、年度的数据进行性能容量分析预测，按季度、年度进行容量规划，指导用户识别网络关键瓶颈、制定优化方案；图 30：网络配置变更预验证图 31：基于意图的自动化闭环维护流程自动控制 数据采集 闭环反馈 KPI 设备 Y.1731L2链路TWAMP L3链路 iFIT 单播业务 eMDI 组播业务 数据集Telemetry秒级上报 商业逻辑/策略 意图驱动 自动化 意图 感知 12:00 回放 预测 00:00 23:59 实时感知&预测性维护 网络分析 配置变更前数字镜像网络高精度仿真引擎配置变更后数字镜像网络网络验证结果网络验证IGP/BGP 路由表项IGP/BGP 路由表项LDP/RSVP 隧道表项LDP/RSVP 隧道表项网络 IP 流量转发路径网络 IP 流量转发路径路由环路路由黑洞路由突增路由突降流量突增流量突增流量中断路径变更路由验证结果流量验证结果配置变更网络验证42/大型企业一张网白皮书大型企业一张网架构图 32：基于意图的自动化闭环维护流程 优化：网络对业务的差异化、确定性业务质量保障，主要体现在业务的带宽、时延保障、业务可用率以及体验，这要求网络一方面要精确感知服务质量变化，一方面要快速感知网络质量劣化，并通过网络路径导航的方式，及时对业务流进行疏导，避免网络拥塞；基于流量/质量的多维度聚合分析，智能识别流量调整的关键瓶颈，推荐合理的优化方案；用户可以在线预览调优前后的流量变化情况，评估优化收益智能引擎 AI Internet Cloud 离线训练 模式下发 联邦学习 云端AI，数据湖 云端训练云端推理自动控制 数据采集 分析器 智能引擎 AI模型的在线应用本地训练，本地推理主动优化，防患未然借助AI提升预测准确性闭环反馈 数据加工 在线训练 故障预测 资源预测 流量预测 能耗预测 专家系统 机器学习 神经网络 大型企业一张网白皮书/43大型企业一张网架构3.5企业一张网的演进模式由于各个企业的组织架构、业务特点、数字化进程、信息化部门的职责范围、网络现状等会有很大差异，企业一张网需要明确清晰的落地原则：由总部制订企业一张网的统一规划，指导落地节奏和路径，确保一张蓝图绘到底；定义统一标准，包括网络建设标准和运营服务标准、网络运维标准；在机制上，明确管理者、运营者、运维者、建设者等各方面的角色和职责分工，形成机制和流程规范；企业可结合业务诉求、覆盖范围、网络投资规模、安全可控要求、运营维护能力、运营商线路成本等多个维度，选择最适合自身发展并与能力匹配的最佳落地模式。大型企业网络的建设实际上是一种生长模式，是网络扩张演进生态发展进化过程，因此企业一张网目标架构落地通常有三种模式，即“树模式”、“藤模式”和“林模式”：1.“树模式”：先集约化建设 Underlay 网，形成树的主干；再开枝散叶，逐步建设和升级 Overlay 网络，满足企业规模发展和业务诉求“树模式”适合市场整体相对稳定，企业所处行业对于基础设施的稳定性、持续演进、安全可靠、集约化管控重视程度高，例如银行、油气、交通等行业的大型企业，可以参考此演进模式。“树模式”是典型的力量扩张型模式，适合大型企业总部对信息化基础设施有强烈的集约化诉求，强调统筹规划和主导建设，包括云资源、网络基础设施全面推进集约化，但传统企业网络初期并没有分成Underlay 和 Overlay 的分层架构，一般是“骨干汇聚接入”的组网架构。这样虽然是物理上的一张网，可以统一建设和运维，但是随着企业规模的不断扩大，业务范围的不断增加，会导致总部的建设、维护难度和压力越来越大，快速响应业务诉求也会越来越困难。此时就要考虑分层解耦，逐步向目标网演进。图 33：“树模式”网络架构演进运营商专线 初始态 运营商专线 目标态 网络驾驶舱 网管系统 互联网 广域网 网管系统 园区网 网管系统 数据中心网 网管系统 专线 VPN 骨干 汇聚 接入 企业一张网运营平台 企业一张网运维平台 Overlay网 控制器 Underlay网 控制器 园区网 控制器 数据中心网 控制器 智能分析服务智能调优服务基础联接服务网络安全服务Overlay网 1 2 互联网 专线 VPN Underlay网 44/大型企业一张网白皮书大型企业一张网架构“树模式”向企业一张网的发展演进路线如下：把树状的主干网络转换成 Underlay 网络，仍由总部信息化部门负责集约化建设维护，并引入 SDN等技术，实现对企业主干基础网络的管控，并提供基础联接服务把园区和云的出口路由器逐步升级成支持 SD-WAN 技术的 Overlay 网络设备，从而构建出一张Overlay 虚拟网络，帮助业务单位更好地匹配业务发展诉求。Overlay 网络的管控可以交给业务单位自己负责，也可以交给总部的相关部门整体负责，但与 Underlay 网络职责分开。向企业一张网目标架构演进，并不断明确网络建设、维护、运营和管理的主体和机制等，构建统一的网络驾驶舱，实现一盘棋统一管控。2.“藤模式”：各个业务部门急用先行，先按照业务需要建设 Overlay 网络，满足业务快速发展诉求；随着规模不断扩大，资源的集约共享需求变得强烈，再由总部建设主干 Underlay 网络，作为枢纽节点，实现资源利用率和成本最优“藤模式”适合市场变化快，业务发展和扩张快，分支快速扩张，要求尽快适应市场变化和用户需求的企业，尤其对于销售服务为主的企业，特别是销售部门，必须尽快占领区域市场，比如连锁零售、物流等分支快速扩张型企业，可以参考此演进模式。“藤模式”是典型的轻量化快速发展模式，强调“以快制慢”，以一个商业入口为基准，打造颈口效应，然后通过这个颈口，快速实现市场的规模布局，逐步扩张为一个可以掌控的生态。因此，网络总部的基础设施建设跟不上分支机构的布局和业务发展，所以各个分支机构初期需要最大可能的获取运营商提供的线路资源，逐步形成业务部门主导的 Overlay 网络，快速满足业务诉求。但随着规模逐步扩大，资源的利用效率低和成本压力会越来越大，影响到企业经营，同时，各个业务部门自行维护网络，信息化人员分散、能力不足的问题越发凸显。这就使得集约化诉求变得越来越强烈，推动企业网络分层解耦和向目标网演进。图 34：“藤模式”网络架构演进运营商专线 初始态 运营商专线 目标态 网络驾驶舱 网管系统 广域网 网管系统 园区网 网管系统 数据中心网 网管系统 企业一张网运营平台 企业一张网运维平台 Overlay网 控制器 Underlay网 控制器 园区网 控制器 数据中心网 控制器 智能分析服务智能调优服务基础联接服务网络安全服务Overlay网 2 1 互联网 专线 VPN Underlay网 互联网 专线 VPN 123大型企业一张网白皮书/45大型企业一张网架构“藤模式”向企业一张网目标架构的演进路线：通过 SD-WAN、SASE 等方案和技术，升级业务部门的网络成为 overlay 网络，更好地支撑业务的敏捷性，基于应用和业务按需进行链路调度，并可提供网络加速、安全接入等相关高级服务随着规模扩张到一定程度，资源的集约化管控变得更加迫切，此时，统一集约化部署Underlay网络，满足全球化部署、业务流量规模增长、关键业务承载差异化保障以及高稳定可靠要求，并能够通过 SDN 技术，在骨干和汇聚网络充分调度跨域线路资源提升效率，有条件的企业甚至可以自行建设传输网络，通过 OTN 技术来进一步降低线路成本，从而满足全面数字化转型的流量爆发和极致体验诉求。网络驾驶舱按照目标架构分阶段、分模块部署，分层解耦，先适配 Overlay 网络，再适配 Underlay网络，最后实现一张网端到端协同。3.“林模式”：企业网络基础设施建设一盘棋，集约化建设和服务化运营并重，集团统一定义架构，并同步建设和滚动发展“林模式”适合企业信息化能力强，对信息化发展有充分的理解、有实力很强的信息化支撑团队，尤其适合以信息化为主业的大型科技企业，能够结合业务的发展，整个企业一盘棋，以终为始的落地企业一张网架构，同步推进云和网络基础设施的建设、维护和服务化运营。图 35：“林模式”目标网架构整体落地运营商专线 目标网 整体落地 网络驾驶舱 企业一张网运营平台 企业一张网运维平台 Overlay网 控制器 Underlay网 控制器 园区网 控制器 数据中心网 控制器 智能分析服务智能调优服务基础联接服务网络安全服务Overlay网 互联网 专线 VPN Underlay网 12346/大型企业一张网白皮书大型企业一张网架构在按照“林模型”推进过程中，可以参考下面的三个核心原则进行落地：Underlay 网络可以根据企业云和区域分布来部署骨干和汇聚 POP 节点，通过 SDN 等技术增加骨干流量调度能力，并且能够减少跨域长途线路，提高线路利用率，降低线路费用；Overlay 网络则按需敏捷部署，并按照一定规则接入 Underlay 的 POP 节点，从而在确保敏捷灵活的前提下，保障重点业务承载的稳定可靠；网络驾驶舱按照企业一张网的目标架构建设，为用户提供完整的网络服务，Underlay 网控制器和Overlay 网控制器通过服务化接口快速集成到驾驶舱平台。“林模型”在各个阶段都参照企业一张网的目标网架构落地，可以最大程度地享受到企业一张网带来的收益和价值：提供更丰富的服务：不仅可以提供基于 Overlay网的即插即用敏捷服务，又能够基于 underlay 网提供更有保障、安全可靠的联接服务，可以最大程度地满足企业各类业务场景诉求；全程全网、全局最优：全程全网可视、可控、可管，可以对网络资源实现逐跳、精细化调度，最大限度的满足业务 SLA 要求和提升资源利用率；网络质量和安全性更有保障：网络自主性强，可以定义统一的网络标准，数据传输的安全性、网络稳定性高；降低运营成本：企业自组网的集约化资源控制力度增大，对运营商线路的选择权和话语权增加，减少长距线路数量，提升资源利用率，降低运营成本。123大型企业一张网白皮书/47华为全球广域一张网实践案例：华为全球广域一张网实践48/大型企业一张网白皮书华为全球广域一张网实践4.1华为广域网简介4.1.1 华为广域网发展历程华为公司 30 多年的发展过程中，广域网随着业务发展逐步走向全球。华为公司作为一个典型的全球化企业，具有多节点一张网管理需求，华为的广域网建设发展的经验可为各大型企业网络化、数字化发展提供参考。图 36：华为全球广域网发展历程图 37：华为广域网在国内的建设路径 广域网由国内开始萌芽，开枝散叶深圳EDC 国内代表处 北京 南京EDC（灾备）深圳EDC 国内代表处 国内代表处 北京 南京EDC（灾备）深圳EDC 国内代表处 国内代表处 国内研究所 广域网初创 骨干建立 研究所接入 公司业务发展中国区网络建设成立管理信息中心1993全球网络建设2001骨干双环2007一国统一出口2008Internet第二平面2014双网融合2018SD-WAN2021we need to do海外网络建设全球网络融合全球100ms 圈 1992 年进入国内市场WHATHOW2000 年进入海外新兴市场2011云管端多 BG2018 年进入公有云市场2020 年颗粒化、军团出征、云化、数字化转型IT 广域网发展建设起步要致富先修路体验优化，8 个 100ms 圈三云共享构建全连接智能华为大型企业一张网白皮书/49华为全球广域一张网实践 以深圳为中心，各地代表处星型接入；异地灾备数据中心，三地构建骨干环网，各地代表处双线双点接入；大型研究所筹建，双线双点对接至骨干。初始走向海外以香港为核心点，海外代表处通过 P2P 专线对接；随着业务越走越远，代表处访问国内业务体验欠佳。且长距离 P2P 线路故障率显著提升，故开始按照大洲筹备区域 DC（RDC），开始引入质量、可靠性较有保障的 MPLS 专线，并通过一个国家一个国际出口（一国一出口）的方式复用昂贵的跨国线路。100ms 延时圈为进一步提升业务访问体验，以 RDC 为中心，优化整合 regional ISP 资源，在全球规划了 8 个 100ms 延时圈，圈内代表处就近访问 RDC，确保获得最佳的延时体验；图 38：华为广域网走向海外的演进路线图 39：华为全球广域网的 100ms 时延圈图 跟随业务出征海外，保障供给北京 南京 国内代表处 国内代表处 P2P专线 P2P专线 海外代表处 海外代表处 走向海外 北京 南京 国内代表处 国内代表处 P2P专线 MPLS专线 海外代表处（一国一出口）RDC MPLS专线 MPLS/P2P专线 本地办公室 分层分域 本地办公室 本地办公室 本地办公室 本地办公室 本地办公室 本地办公室 本地办公室 骨干层 区域层 国家层 国内 海外 MPLS专线 Regional ISP Regional ISP Regional ISP Regional ISP EDC 深圳 香港RDC Regional ISP Regional ISP 深圳 香港 50/大型企业一张网白皮书华为全球广域一张网实践4.1.2 华为广域网现状国内广域网以国内 EDC、研究所和云 Region 站点为核心节点，上述节点均通过本地专线对接到华为云 POP，采用 option-B 进行对接；海外广域网以原有的 9 个 RDC 为核心节点，通过本地专线对接到华为云 POP，采用option-A 进行对接；（部分 SR 站点也实现了与 HBN 对接）骨干层：国内和海外的核心节点直接通过 HBN（华为云）实现了骨干层扁平化连接，每个站点之间均可以一跳直达；考虑海外线路资源质量相较于国内较差，当前海外 RDC 之间保留了两个主流运营商线路，提升网络整体可用性。汇聚层：汇聚层存在于海外网络，按照地域范围围绕 RDC 为中心进行区域划分，全球按照区域构筑了8 个 100ms 网络时延圈，保障业务访问体验。区域内选用该区域资源较为丰富的 2-3 个运营商提供汇聚线路，国家出口和 RDC 之间通过本区域的 MPLS运营商互相通信。同时每个国家出口与 RDC 之间还通过 Internet 线路构建了 IPSec VPN 备份通道，用图 40：华为全球广域网的物理组网架构层次示意图于传输非关键业务并对MPLS专线进行可靠性备份。同时部署了 SD-WAN 设备，用于在站点之间进行流量调度。国家层：对于一个有业务开展的国家，华为公司普遍会在该国主要城市部署多个办公室，一般选择首都城市作为该国的国际出口。每个国家按照一国一出口的原则，通过汇聚层 MPLS 线路接入到 RDC。国家内各办公室采用本地线路统一对接到该国统一出口。本地线路一般是由该国主流的运营商提供。这就要求网络必须具备广泛覆盖、敏捷、弹性的能力，同时还需要兼顾精细化运营的能力。主流运营商A HBN 国家1RDC 国家2RDC 国家6RDC 墨国家nRDC A市研究所 A省代表处 B市研究所 B省代表处 国家3RDC 国家4RDC D省代表处 EBGP OPTION-B 主流运营商B 海外国家 国内研究所 C省代表处 E省代表处 骨干 EBGP OPTION-A EBGP OPTION-A EBGP OPTION-A D市研究所 C市研究所 E 市研究所 大型企业一张网白皮书/51华为全球广域一张网实践内部协作方面，多地协同开发，异地代码同步，跨地域版本传输编译等均需要网络提供相应的带宽及高速传输能力；办公人员通过远程会议方式协同办公，沟通计划等工作已形成常态，并随着视频质量体验的增强，也在逐年提升对网络质量和带宽的需求；外部协作方面，供、销、采、产、服等各领域均随着数字化转型与外部客户、供应商、合作方的数据联系愈发紧密、并且呈现全球化的趋势。4.2业务趋势及挑战4.2.1 业务形态变化业务全球化：截止 2022 年底，华为公司网络业务已覆盖 170 多个国家和地区，共涉及办公专线约 1500条，Internet 线路约 870 条，生产制造专线 130 余条。随着公司全球化业务的展开，当前 IT 网络及 IT 业务已完成了全球覆盖，疫情常态化下的全球移动办公、在家办公的支持，对 IT 业务的性能支持，也越来越重要。方式多样：随着智能终端的普及，用户使用的终端不再是固定位置的固定设备，而是包括了手机、便携机、PAD 等各种设备，用户希望可以随时通过随身携带的终端进行沟通、协作、获取信息，这些趋势要求 IT 从应用到基础设施，都必须能够在保证安全的基础上，为用户提供更灵活更开放的工作手段。疫情原因居家办公更加剧了多形态接入网络的需求。国家间流量同样受到服务部署位置、区域/国家数据安全相关管理规定、办公人员语音/视频直接通信等多种因素影响，导致流量流向存在多样性。协作紧密：协作方面，随着业务发展及业务数字化转型，通过网络实现应用级内外部协助及异地协作开发/办公趋势愈发明显。52/大型企业一张网白皮书华为全球广域一张网实践4.2.2 数字化转型业务数字化转型推动华为 IT 基础设施、平台、应用从集中部署，转向全球分布式部署，从传统的 IDC 业务部署转向采用混合云弹性方式部署。华为公司数字化转型过程中，业务场景也在发生着潜移默化的变化。数字化研发 研发“人不能等机器，机器可以等人”网络环境可信，研发服务端到端可信 根据研发信息资产等保分级，网络提供符合等保要求的可信环境 多地联合开发，集中版本编译、构建、测试数字化办公 构筑以云为中心、以应用为对象网络支撑架构体系 根据不同的业务场景，如建站、开租等实现分钟级办公站点组网 差异化办公需求保障，根据办公业务的需求特征及重要性，提供必要的差异化网络保障及调度能力，如低时延视频，高质量办公，普通邮件系统等 用户就近接入，最佳路径访问数字化生产 自动化工厂、仓库网络接入 销售订单、生产订单、库存、生产计划实时数据协同，确保供应链高效运转数字化运营 流量应用识别及分析预测，支撑网络精细化经营4.2.3 挑战与不足随着业务数字化转型的深入，当前网络架构已不足以很好的满足业务需要，具体体现在用户需求视角和网络供给视角两个方面：用户视角：用户视角为站在网络使用者的视角，基于数字化转型趋势，用户在业务生产经营中，提出的对网络的需求和期望。用户需求申请不便利，进展不可见 用户需求邮件触发，缺少系统级场景化一键触发 用户需求缺乏进展跟踪及查看能力，用户无法实时获取需求相关进展 用户需求以项目运作，流程推动依赖项目经理推动，各环节衔接周期长，效率低 用户需求落地周期长，不够敏捷 用户站点接入需求依赖专线，利用 Internet/5G等资源灵活部署、搬迁的自动化接入能力不足；站点新建或搬迁需提前 3-6 个月提出需求 业务网络需求完成周期较长，无法满足用户敏捷获取的需求。其中：配置类：周级；线路类：国内月级，海外3-6月；用户业务在网络中运行状态不可知 用户业务在网络中流量运行状态不可见，如实时的流量、延时、抖动、丢包、流向、路径等信息无法获取 用户在网络中流量运行的状态缺少周期性分析反馈，如周期性流量运行趋势、峰值分析、突发源分析、成本（费用）消费分析等大型企业一张网白皮书/53华为全球广域一张网实践 用户业务部署及优化依赖的网络工具及专业建议不足 用户业务部署依赖的网络工具能力提供不够，如站点间实时的延时探测工具，站点间可用带宽信息获取等 用户业务运行过程中，网络专业建议缺失。如用户部署应用时，提供应用服务的客户范围及应用特征，网络根据专业能力，向用户提供合理的服务部署站点及合适的网络增值能力（应用加速、去重、压缩、调度等）网络视角：网络视角为站在网络能力提供者角度，在新形势下，为满足用户需求及自身在稳定、高效、降本方面的需求，需要构建的网络能力。基于当前 IT 的网络能力，网络视角还存在如下挑战：应用识别能力还存在难题 Only IP 识别：当前广域网能力在实现业务流量连通的基础上，基于 IP 五元组识别了一部分业务流量及流量特征，仍有部分 WEB 及加密类应用无法识别 准确性不足：基于 netstream 流量采样的应用识别方式，导致应用流量的统计分析不够精确 效率难提升：每台设备基于 IP 五元组识别，大量耗用计算资源，识别效率难提升 自动化交付效率有待提升 网络断点：当前架构中，多云之间、云上云下存在较多网络对接断点，端到端业务敏捷开通需要多个配置变更打通断点；穿越 MPLS 运营商时，更需要运营商配合，进一步影响了交付效率 人工依赖：人工配置变更，增加了人为失误导致故障的风险 调度手段还需丰富，进一步优化业务体验，并合理提升带宽使用效率，降本增效 性能调度：对于视频会议等延时类业务，缺少调度能力确保该类业务在延时、抖动、丢包更54/大型企业一张网白皮书华为全球广域一张网实践佳的线路上承载。在线路质量劣化时，也缺少调整流量线路的能力；拥塞调度：在线路拥塞时，缺少调度能力调整部分流量通过空闲线路绕行承载，只能通过QOS 进行有损丢弃；成本调度：缺少线路成本建模，在不影响业务体验的情况下，调度流量更多的通过低成本线路承载，降低高成本线路的带宽保有量，降本增效；预约调度：针对临时性业务需求（如 VMALL双 11 促销）及规划性重要活动（如重要直播），缺乏调度手段综合对流量进行规划，在指定时间通过绕行路径规划满足业务需求；只能紧急寻求运营商对线路临时扩容，对用户需求提前可预见性存在依赖，并需要投入大量人力进行保障；带宽日历：华为 IT 业务流量会高发在工作时间段，存在线路使用忙闲时情况，线路带宽配置需要满足忙时需求。需要通过带宽日历调度手段，调整部分非实时业务流量在闲时传输，降低忙时的带宽需求；弹性调度：IT 网络中，线路中波峰/波谷流量存在较大差异，且呈现出不同业务突发时间不同，突发发生的线路不同，导致多线路利用率合理但使用率不高。故需要通过弹性调度，将易突发类业务尽量分担在多线路承载，充分利用多业务的突发时间差和多线路分担能力，降低线路带宽需求；应用引流：基于应用的差异化分组引流能力还需构建，才能做到丰富的调度手段有的放矢。网络分析及大数据预测能力缺失，规划准确性不高，用户可视及建议能力不足 带宽预测：带宽规划预测完全依赖人工分析，准确性存在不足。需构建带宽流量趋势大数据预测分析能力，指导未来在不产生需求情况下的带宽规划，提升规划准确性；需求预测：用户需求一般基于其最大并发进行申请，无法分析其需求申请的准确性。需构建用户流量大数据特征分析能力，根据用户流量特征分析对需求进行合理性评估及建议；AI 仿真及预测：广域网相关能力仍停留在被动响应的运维层面，缺少通过 AI 构建数字化孪生的能力，以及在新业务部署、业务优化、性能提升、重大变化过程中进行仿真预测和结果验证能力，更无法为用户提供分析建议的能力。运维效率及故障快速恢复 故障监控：当前广域网监控只存在于连通性及丢包监控，且监控告警效率还需要进一步提升。基于应用层面的随流检测还需要加强构建，做到先于用户故障发现。故障定位：当前广域网缺少网络拨测和故障快速定界、定位、定因的手段，故障发生时依赖人工进行排查，运维效率较低；故障自愈：当前广域网缺少整体调度和调优的能力，缺少故障触发自动恢复能力，导致故障时需要人工申请权限，登录到设备进行处理，故障恢复时间长。大型企业一张网白皮书/55华为全球广域一张网实践总体架构：基于上述用户视角及网络视角的挑战分析，结合当前广域网的现状，IT 对广域网下一代架构进行了整体的网络架构设计，概括为如下 3 个方面：网络组网标准化：网络层统一架构、统一能力、统一协议，通过 POP 进行标准化建模，转控分离，统一由网络驾驶舱管理。构建网络驾驶舱：作为网络的管理控制层组件，解决复杂的网络场景及需求实现逻辑，并对网络运行情况进行分析、检测和建议；孵化服务化目录：基于驾驶舱的能力，孵化多样的网络服务产品目录，并接收基于原子类服务，逻辑编排复杂场景服务的能力；用户视角：华为全球广域网络正在基于用户和业务典型场景化诉求，基于广域一张网架构，定义标准的网络服务产品，构建自动化订阅、开通、运营的全流程产品化服务能力，提升用户体验。从典型场景中提炼对网络服务的关键诉求，为定义标准化的网络服务目录提供输入。结合各种典型的高价值业务场景和诉求，定义全网标准化的网络服务目录，把先进的网络技术和方案优势，转换成对用户有价值的服务产品，从而产生巨大的数字生产力。4.3网络架构规划图 41：面向服务化的华为全球广域网层次架构简图实时数据底座南向协议群孪生分析增值服务基础服务场景服务路径控制配置管理网络驾驶舱网络层服务目录孪生体仿真AI 分析预测分析连接会议建议调度重保加速扩容搬迁监控&告警调度控制调度算法自动化配置引流策略孵化需求采集下发56/大型企业一张网白皮书华为全球广域一张网实践企业用户的业务场景非常丰富，数字化转型对网络提出更高服务要求。如研究所异地协同开发、远程调测和 AI 模型训练要求网络高可靠、超宽低时延；代表处的视频会议要求高质量保障，满足与总部和客户视频交流的流畅体验；智慧门店要求在低成本、低带宽链路上仍然能保证服务体验；数字化供应链在云端能够实时精准的计算最优运输路径，对货物进行智能图像识别提升仓储效率，网络要高速实时和感知业务；数字化生产通过数字化 3D 建模，可以大幅缩短产品开发和试制周期，网络要提供确定性时延和安全可靠性保障。对广域网络的业务场景可以抽象汇总出共性需求，并形成标准化的网络服务目录。服务目录划分为 B 类（Basic）基础服务，满足用户联接需求；以及 A 类（Advanced）高级服务，用户根据业务需要进行订阅，满足用户个性化需求。基于华为全球网络等距、主动优化网络支撑业务稳定、安全、高效的服务目标，当前阶段重点孵化创新打造 2 大网络服务，即 B2：智能调优网络联接服务和A2：智能分析和推荐服务。智能调优网络联接服务（B2）：各个租户如研究所、代表处等可以充分授权华为 IT 部门，按照指定的策略提供最优的网络联接服务。包括性能优先、成本优先、综合效率最优、忙闲智能调度等，从而华为 IT 部门可以把服务策略导入服务模型，基于多因子（线路成本、VPN 时延、隧道负载等）进行加权计算，同时通过多种预置调优算法进行路径和线路调优，从而在特定的网络资源条件下，达成满足客户诉求的最优结果。智能分析和推荐服务（A2）：华为 IT 可提供对应用和网络流量的智能分析，并针对分析结果推荐对应的服务，用户可以根据需要选择并订阅相关的分析和推荐服务，从而满足用户个性化的需求。通过定义网络服务目录，把网络技术和智能化、自动化能力封装成了有价值的服务产品，从而一方面能够更好地服务于用户和业务，另一方面，还能够驱动网络技术和方案滚动发展和迭代，让更多先进的技术和能力转化成生产力。大型企业一张网白皮书/57华为全球广域一张网实践图 42：华为全球广域一张网服务目录示例B1:基础网络联接服务A1:网络可视化服务A2:智能分析和推荐服务 2.1 网络智能分析 2.2 应用特征分析A3:网络加速服务A4:网络仿真服务B2:智能调优网络联接服务2.1 性能优先2.2 成本优先2.3 综合效率2.4 忙闲调度研究所(异地协同开发、远程调测和 AI 训练)代表处、门店(视频会议高质量保障、门店智慧物联)供应链(运输路径智能优化、智能图像识别)生产制造(数字化 3D 建模仿真、网络安全防护)关键用户和业务场景网络服务目录基础服务(Basic)满足用户联接需求高级服务(Advanced)订阅服务，满足用户个性需求58/大型企业一张网白皮书华为全球广域一张网实践图 43：华为全球广域网目标架构伙伴/供应商 员工 研发跨站点版本传输 重要会议 重大活动 基础网络服务 智能调优网络服务 智能分析推荐服务 网络驾驶舱 用户和业务 Edge POP(边缘云POP)VPC Underlay网络 Internet 国家1 Internet 运营商 1 Internet 1 运营商 3 华为云骨干网 Internet 2 运营商 2 云连接 Overlay网络 服务订阅 Transit VPC 网络加速服务 网络仿真服务 服务使能和运营平台 BPOP(云POP)Edge POP(代表处)BPOP(RDC)国家2 国家3 国家4 网络视角：综合网络视角挑战分析，网络视角目标架构将基于如下几个方面进行构建：网络组网标准化：网络视角未来的广域网架构应当以底层标准化建模网络架构为基础，形成标准一致性的全球网络拓扑。网络驾驶舱：依托 SDN 中央控制器针对不同应用按照延时、质量、成本等维度对业务流量进行差异化网络资源分配，提升网络资源运营效率。构建基于大数据的 AI 智能预测仿真的分析建议模型并实现故障的快速发现，快速定位，自动恢复能力。1、网络组网标准化TO-BE 全球网络整体框架：网络分层，适配业务：网络按照业务部署架构进行分层设计，分为骨干、区域和接入；构建 POP，支持云化及多租：利用 SD-WAN 在全球构建 POP 点，用于支撑多租业务及云化业务高效接入；分为骨干 POP、云 POP 及边缘 POP；O/U 解耦：overlay 与 underlay 网络相互之间采用独立的协议，underlay 仅为 overlay 网络提供基本的连通性及带宽管道。Overlay 网络作为业务的逻辑承载主体，实现业务端到端无断点敏捷发放；O/U 协同：以 O 感 U，以 O 控 U。O 与 U 之间相互具备协同能力，能够准确感知 U 层网络的可用性及服务能力，并通过调整 O 层路径，改变对 U成网络资源的使用；大型企业一张网白皮书/59华为全球广域一张网实践全 球 网 络 POP 点 按 照 分 层 架 构 划 分 为 骨 干 POP（BPOP）和边缘 POP（EPOP），其中 BPOP 之间通过网络专线搭建为网络骨干层，EPOP 按照对应的区域通过专线搭建为区域汇聚层；BPOP：规划为国内研究所、公有云 Region 所在地及海外 RDC；EPOP：规划为海外一国一 ICT 国家出口站点2、网络驾驶舱网络驾驶舱作为广域网核心组成部件，在整个广域网的能力实现过程中起到了非常重要的承上启下作用。向上通过标准的接口能力，提供基础网络服务和增值网络服务。并可接受场景化服务的逻辑调用，组合成为适配企业复杂场景的综合服务方案。网络驾驶舱在整体设计中，划分为 3 个大型能力集群和公共能力集群：协议及数据能力集群：由南向采集及下发类协议（BGP、netconf、SNMP、telemetry、syslog、等）及数据管理仓库组成，通过标准的接口供功能集群调用，进行数据消费及对网络的意图控制；孪生分析：主要进行广域网分析、监控类功能实现，基于对数据的加工训练，场景建模逻辑处理，实现对网络监控告警、预测分析、优化建议、网络仿真模拟等功能的实现；路径控制：主要进行广域网流量的路径管理及控制，基于用户在服务目录的调度产品订阅、智能分析的策略建议，对对应的流量进行路径的干预和控制，实现调度的价值意图目的。配置管理：主要进行广域网业务的管理及发放，另外对流量关联的调度策略进行引流配置管理，确保配置类业务分钟级敏捷发放，流量关联调度策略准确无误。图 44：华为全球广域网驾驶舱架构实现示意图实时数据底座南向协议群孪生分析路径控制配置管理网络驾驶舱孪生体仿真AI 分析预测监控&告警调度控制调度算法自动化配置引流策略2314123460/大型企业一张网白皮书大型企业网络走向企业一张网结 语数字经济是经济发展的新动能，企业在数字化浪潮中要加快转型升级，大型企业首当其冲。数字化转型对企业而言是机遇也是挑战，大型企业要在企业战略的引领下，面向未来、以用户为中心、以业务为驱动，建设和运营先进的网络基础设施建设，打造企业数字化转型的运力大动脉。因此，大型企业网络一定不能盲目、无序发展，要统筹做好顶层规划，全局一盘棋，绘制企业一张网蓝图，以统一的架构指引企业网络的发展演进方向，从用户视角更好地满足用户和研产供销服等多样化企业业务诉求，从网络视角推动网络技术持续升级演进，让企业一张网真正成为内部员工、外部客户、供应商、伙伴“好用爱用”的网络。大型企业一张网架构包括网络驾驶舱、Overlay网络、Underlay网络三层，分层解耦，协同为用户提供高品质的差异化网络服务，确保服务 SLA 和持续提升用户体验。大型企业一张网的演进模式可分为“树模式”、“藤模式”和“林模式”三种典型模式，本文中的华为全球广域网案例，采用“林模式”进行规划和演进，其他企业可以结合自身特点，选择最适合的演进模式和路线。希望随着企业的不断探索和实践，企业一张网能加速数据生产要素的流通和使能，为企业数字化转型按下“加速键”，不断激发和创造出更大的商业价值。

34人已浏览 2023-10-09 63页 5星级

  通信网络智能化探索及应用中国移动研究院人工智能与智慧运营中心 朱琳2023年09月通信网络特点通信网络智能化定义及核心12中国移动网络智能化实践3信道数字调制信道编码加密信源编码信源噪声源信宿信源译码.

50人已浏览 2023-10-07 44页 5星级

网站速度终极指南网站速度如何影响网站的转化率。Shopify Plus 刊物目录简介 3执行摘要 3网站性能随着业务增长而下降 4速度对发现的影响 6与可发现性相关的性能问题8代码膨胀问题8第三方集成.

16人已浏览 2023-09-14 23页 5星级

宽带发展联盟于2021年发布了家宽业务体验分级白皮书，针对家宽业务体验分级提出了L0-L5六个级别，并指出当时家宽业务体验正处于L2级。家宽业务体验分级白皮书发布后，家宽业务发展呈现出两个新特点：一是. 

38人已浏览 2023-09-08 26页 5星级

 中国移动第四届科技周暨战略性新兴产业共创发展大会中国北京 2023.08.30中国移动第四届科技周暨战略性新兴产业共创发展大会网络基础设施工作组进展汇报算力网络子链 网络基础设施工作组 中国移动研究院.

27人已浏览 2023-09-06 16页 5星级

点击查看更多中国联通：2023年中国联通DPU网络域场景应用白皮书（52页）.pdf精彩内容。

30人已浏览 2023-08-31 52页 5星级

 中渤经济产业互联网高成长基因改造 PDCC 解决方案白皮书上海中渤经济发展有限公司2023 年 8 月中渤经济产业互联网高成长基因改造 PDCC 解决方案白皮书目录前言.-1-第一章企业篇.-2-一、.

30人已浏览 2023-08-30 30页 5星级

 版权声明版权声明 本白皮书版权属于网络通信与安全紫金山实验室所有并受法律保护，任何个人或是组织在转载、摘编或以其他方式引用本白皮书中的文字、数据、图片或者观点时，应注明“来源：网络通信与安全紫来源：.

103人已浏览 2023-08-25 59页 5星级

2022 ABM 实战指南Account-Based MarketingABM最新趋势国内企业ABM成功的关键ABM常见痛点及破解之道越来越多的企业认识到ABM的价值，并开始使用ABMPART ABM. 

19人已浏览 2023-08-23 66页 5星级

版权声明版权声明 本白皮书版权属于网络通信与安全紫金山实验室及其合作单位所有并受法律保护，任何个人或是组织在转载、摘编或以其他方式引用本白皮书中的文字、数据、图片或者观点时，应注明“来源：来源：网络.

41人已浏览 2023-08-15 55页 5星级

企业典型场景高品质 WLAN 网络建设白皮书企业典型场景高品质WLAN网络建设白皮书版本：1.0World WLAN Application Alliance世界无线局域网应用发展联盟2023年7月1. 

59人已浏览 2023-07-19 55页 5星级

情况纷繁复杂：开发互联产品的五大挑战互联生态系统研究报告开发简介功能网络安全意向合规性结论来源为何选择 UL Solutions？物联网(IoT)以其连接性改变了世界，这已不是什么秘密。从智能手表等简.

19人已浏览 2023-06-29 11页 5星级

中国联通数字孪生网络白皮书中国联通数字孪生网络白皮书中国联通研究院浪潮通信信息系统有限公司亚信科技（中国）有限公司中兴通讯股份有限公司2023 年 6 月中国联通数字孪生网络白皮书版权声明版权声明本报. 

244人已浏览 2023-06-16 36页 5星级