《通過(guò)實(shí)現(xiàn)高性能計(jì)算安全增強(qiáng)研究完整性》

目錄概述 9HPC面臨的安全挑戰(zhàn) 10HPC的架構(gòu) 12更強(qiáng)的安全保護(hù)帶來(lái)更優(yōu)質(zhì)的科研成果 13輸入驗(yàn)證 13錯(cuò)誤處理 14用于高性能云計(jì)算的錯(cuò)誤處理技術(shù) 15編碼和轉(zhuǎn)義 16防御策略：輸入轉(zhuǎn)義和編碼 18更新機(jī)制 19信息庫(kù)驗(yàn)證 25內(nèi)存安全控制措施和OpenMP 26消息傳遞接口（MPI） 28零信任 29HPC的網(wǎng)絡(luò)安全 31安全飛地 33日志記錄 34漏洞管理 363. 結(jié)論 374. 參考文獻(xiàn) 39附錄1十大頂級(jí)超級(jí)計(jì)算機(jī) 41介紹從定義上說(shuō)，高性能計(jì)算（High-PerformanceComputing,HPC）系統(tǒng)是指把HPC系統(tǒng)帶來(lái)了今十大頂級(jí)超級(jí)計(jì)算機(jī)系統(tǒng)的列表，請(qǐng)參見本文附錄。高性能計(jì)算（HPC）領(lǐng)域在傳統(tǒng)上視安全為次要考慮因素，甚至認(rèn)為安全是實(shí)現(xiàn)峰值性能的障礙。防火墻、入侵檢測(cè)系統(tǒng)、數(shù)據(jù)加密等安全措施在執(zhí)行時(shí)，的確有可能造成延遲并降低系統(tǒng)的總體吞吐量。從這個(gè)角度考慮的權(quán)衡導(dǎo)致許多HPC組織在速度和安全之間優(yōu)先選擇前者，從而使這些系統(tǒng)面對(duì)網(wǎng)絡(luò)攻擊時(shí)表現(xiàn)得十分脆弱。2022HPC意行為者利用的敏感數(shù)據(jù)。1HPC供應(yīng)商、研究人員和安全專家之間的攜還有專門的軟件可用于為高性能環(huán)境優(yōu)化安全協(xié)議。（HPC）HPC組織得以通過(guò)這種方式保護(hù)1DarkReading,SecurityIsaSecond-ClassCitizeninHigh-PerformanceComputing,December23,2022,https:///dr-tech/security-is-a-second-class-citizen-in-high-performance-computing。作用。HPC系統(tǒng)帶來(lái)HPC系統(tǒng)并確保其研究結(jié)果始終完整如一。目的HPC系統(tǒng)的各種利益相關(guān)者在HPC而非阻礙實(shí)現(xiàn)的。受眾本報(bào)告適用于參與使用、管理和保護(hù)HPC系統(tǒng)的任何人員，其中包括但不限于：網(wǎng)絡(luò)安全專業(yè)人員；HPC系統(tǒng)管理員；HPC應(yīng)用程序的開發(fā)人員；使用高性能計(jì)算系統(tǒng)的研究人員和數(shù)據(jù)科學(xué)家；管理高性能計(jì)算資源的云管理員；網(wǎng)絡(luò)管理員；存儲(chǔ)管理員。概述應(yīng)用程序，還能促進(jìn)科研工作取得更佳成果。全漏洞而給應(yīng)用程序開發(fā)、添加和測(cè)試安全性能的過(guò)程。2更廣義地說(shuō)，應(yīng)用安全需要貫穿軟件開發(fā)生命周期（SDLC）的所有方面，從提出要求和設(shè)計(jì)階段直是指在軟件代碼中存在可能會(huì)被攻擊者惡意利用的缺陷、毛病或弱點(diǎn)。3因此可15-50HPCHPC所支持的科研的準(zhǔn)確性具有巨大潛力。HPC以下列表雖然并不詳盡，但列出了一些常見的HPC安全挑戰(zhàn)：復(fù)雜的基礎(chǔ)設(shè)施：HPCHPC可疑活動(dòng)以及為整個(gè)系統(tǒng)部署安全更新增加了許多困難。獨(dú)有的軟件和信息庫(kù)HPC用的軟件庫(kù)，例如消息傳遞接口（MI、peMP、科學(xué)建模軟件等。HPC描器可能沒(méi)有在其數(shù)據(jù)庫(kù)中收入相關(guān)的軟件漏洞，而端點(diǎn)檢測(cè)與響應(yīng)（EDR）工具可能沒(méi)有為這些軟件庫(kù)建立識(shí)別漏洞被人惡意利用的規(guī)則。供應(yīng)鏈問(wèn)題HPCHPC2https:///topics/glossary/content/application-security.html。3/glossary/term/software_vulnerability。4https:///2018/12/11/software_bugs_that_ate_the_world/。鏈風(fēng)險(xiǎn)和攻擊的可能性。遠(yuǎn)程訪問(wèn)HPC裝惡意軟件或干擾研究活動(dòng)。敏感數(shù)據(jù)：HPC組織帶來(lái)嚴(yán)重后果。高級(jí)威脅HPC充分有認(rèn)識(shí)并主動(dòng)采取防御措施。上述HPC安全挑戰(zhàn)會(huì)造成以下后果：研究結(jié)果被盜及研究成果無(wú)法發(fā)布或分享。研究結(jié)果遭到破壞：惡意軟件有可能感染高性能計(jì)算（HPC）系統(tǒng)，從的研究成果損失殆盡，研究人員不得不重復(fù)實(shí)驗(yàn)或模擬。研究工作流程被干擾：拒絕服務(wù)（DoS）HPC系統(tǒng)陷于癱續(xù)進(jìn)行，給研究機(jī)構(gòu)造成經(jīng)濟(jì)損失并損害組織的聲譽(yù)。研究完整性被破壞：相關(guān)法規(guī)要求研究機(jī)構(gòu)保持研究數(shù)據(jù)的完整性。如數(shù)據(jù)泄露：HPC系統(tǒng)可能存儲(chǔ)著受《通用數(shù)據(jù)保護(hù)條例(GDPR)》等數(shù)據(jù)隱私法規(guī)保護(hù)的敏感數(shù)據(jù)。違反這些法規(guī)可能會(huì)導(dǎo)致組織受罰和承擔(dān)法律責(zé)任。HPC為了使本報(bào)告有盡可能廣泛的適用范圍，我們將圍繞著NIST高性能計(jì)算NIST中各個(gè)區(qū)域的簡(jiǎn)要描述：圖1HPC參考架構(gòu)高性能計(jì)算區(qū)：這個(gè)區(qū)域包含通過(guò)高速網(wǎng)絡(luò)互連的計(jì)算節(jié)點(diǎn)，通常使用GPU等硬件加速器。這個(gè)區(qū)域的軟件堆棧的安裝和配置是被集中管理的。數(shù)據(jù)存儲(chǔ)區(qū)PHPC應(yīng)用程序的數(shù)據(jù)。訪問(wèn)區(qū)：用戶和管理員通過(guò)登錄節(jié)點(diǎn)、數(shù)據(jù)傳輸節(jié)點(diǎn)和Web門戶訪問(wèn)HPC系統(tǒng)。這些節(jié)點(diǎn)提供數(shù)據(jù)傳輸和作業(yè)提交等各種服務(wù)。管理區(qū)HPC網(wǎng)絡(luò)管理和服務(wù)管理等各種功能的服務(wù)器和交換機(jī)。HPC架構(gòu)有助于為執(zhí)行以下章節(jié)列舉的諸多安全控制措施打下基礎(chǔ)，HPCHPC系統(tǒng)就是因?yàn)樵诎睭PC幣挖礦組織攻陷的。5更強(qiáng)的安全保護(hù)帶來(lái)更優(yōu)質(zhì)的科研成果我們將用以下小節(jié)探討應(yīng)用安全控制措施推動(dòng)科研進(jìn)步的例子。輸入驗(yàn)證6如，輸入驗(yàn)證是增強(qiáng)抵御跨站腳本（XSS）SQL注入（SQLi）等攻擊的的一種使攻擊者更難提供內(nèi)含可執(zhí)行內(nèi)容的輸入，比如在XSS攻擊中輸入“<rip>aletSrip>Si‘’=‘1’要價(jià)值。DNA偽代碼舉例：DNA4個(gè)典型DNAATCGRNA錯(cuò)誤輸入，從而幫助驗(yàn)證，應(yīng)用程序只使用適當(dāng)數(shù)據(jù)。5https:///crypto-mining-campaign-hits-european-supercomputers/。6/www-project-top-ten/。25pH014。在某些kg可能是一個(gè)完全有效的質(zhì)量，但是如果軟件模型在設(shè)計(jì)上不100g5000kg就不會(huì)是有效輸入。重要的是我們必須認(rèn)性和抵御攻擊的能力都會(huì)因?yàn)檩斎腧?yàn)證而得到改善。錯(cuò)誤處理出。偽代碼舉例：HPC應(yīng)用程序內(nèi)進(jìn)行的計(jì)算的完整性，以及這些計(jì)算支持的研究的完整性的關(guān)鍵。HPC用于高性能云計(jì)算的錯(cuò)誤處理技術(shù)策略：和容錯(cuò)。能夠訪問(wèn)與錯(cuò)誤相關(guān)的信息，以防止未經(jīng)授權(quán)的訪問(wèn)或操縱。故障發(fā)生的情況下的平穩(wěn)降級(jí)。引入智能重試機(jī)制，自動(dòng)從瞬態(tài)錯(cuò)誤中恢復(fù)，增強(qiáng)系統(tǒng)彈性。的薄弱環(huán)節(jié)，增強(qiáng)系統(tǒng)的穩(wěn)健性。理能力。關(guān)鍵服務(wù)仍然可用。P落實(shí)《通用數(shù)據(jù)保護(hù)條例(GDPR)》的規(guī)定。錯(cuò)誤的具體措施，確保達(dá)到《通用數(shù)據(jù)保護(hù)條例(GDPR)》的報(bào)告要求。NISTSP以防漏洞被人惡意利用。條例(GDPR)》的可問(wèn)責(zé)性規(guī)定。確保員工能夠熟練識(shí)別和響應(yīng)安全事件。嚴(yán)格依照《通用數(shù)據(jù)保護(hù)條例(GDPR)NIST指南的要求開展錯(cuò)誤處理工安全，同時(shí)還能給用戶帶來(lái)更好的體驗(yàn)并提高研究完整性。編碼和轉(zhuǎn)義SQLHTML格式顯示的數(shù)據(jù)中用“t”取代“>\SQL查詢收集用戶憑證以進(jìn)行身份驗(yàn)證7：偽代碼舉例：7/www-project-top-ten/2017/A1_2017-Injection。對(duì)于像“some_user@”和“R@ndomPwd”這樣的合法用戶輸入，SQL查詢直截了當(dāng)：SQL：然而，攻擊者可以通過(guò)注入諸如“admin'--”之類的惡意輸入來(lái)利用這一點(diǎn)，繞過(guò)出具口令的要求。這時(shí)，SQL查詢可能會(huì)變成：SQL：SQL中的“--”表示一條注釋，使查詢的其余部分變得無(wú)效。SQL：SQL下面是另外一個(gè)復(fù)雜一些的攻擊例子：偽代碼：攻擊者可以通過(guò)將口令輸入為“'OR1=1/*”來(lái)操縱這一點(diǎn)：SQL：SQL止攻擊的成功執(zhí)行。防御策略：輸入轉(zhuǎn)義和編碼為了幫助抑制此類攻擊，人們通常會(huì)按下文所述方式使用轉(zhuǎn)義和編碼。89輸入轉(zhuǎn)義：準(zhǔn)備語(yǔ)句：注入。存儲(chǔ)規(guī)程：的風(fēng)險(xiǎn)。述策略與前文所述嚴(yán)格的輸入驗(yàn)證結(jié)合使用。輸出編碼：HTML實(shí)體編碼：>TML實(shí)體，HTML中被解釋成代碼。JavaScript編碼：JavaScript時(shí)對(duì)用戶輸入進(jìn)行編碼，可防止在腳本元素內(nèi)8/www-project-proactive-controls/v3/en/c4-encode-escape-data。9https:///articles/d41586-021-02211-4。發(fā)生注入攻擊。URL編碼：URLURL編碼，可確保它們被正確解釋而不產(chǎn)生歧義。HPC環(huán)境來(lái)說(shuō)，執(zhí)行強(qiáng)健的輸入轉(zhuǎn)義和編碼正變得越來(lái)越重要。這些認(rèn)為是日期。更新機(jī)制HPC系統(tǒng)與射電望遠(yuǎn)鏡和粒子加速器類似，需要投入IT基礎(chǔ)設(shè)施一樣，需要定期更新，以納入錯(cuò)誤修復(fù)、執(zhí)行安全補(bǔ)丁和HPC環(huán)境中，故障停機(jī)可能大限度訪問(wèn)。HPC數(shù)值模擬（）（協(xié)處理器。HPC更新的另外一個(gè)關(guān)鍵目的是保持系統(tǒng)的完整性、可用性和可靠保研究結(jié)果可被獨(dú)立檢驗(yàn)和驗(yàn)證。HPC系統(tǒng)更新的頻率和策略所基于的是與其他IT系統(tǒng)類似的原則。更新往的決定都應(yīng)該建立在對(duì)這些改進(jìn)究竟會(huì)在多大程度上符合企業(yè)戰(zhàn)略目標(biāo)和運(yùn)行需求進(jìn)行全面評(píng)估的基礎(chǔ)上。因此，安全方面的因素也不容忽視。有效的HPC系統(tǒng)更新管理離不開健全的威脅建模和風(fēng)險(xiǎn)管理實(shí)踐。HPC站點(diǎn)得以根據(jù)更新的潛在影響以及它們被惡意利用的可能性HPC系統(tǒng)內(nèi)執(zhí)行的安全控制措施的信心HPC企業(yè)采取更激進(jìn)的打補(bǔ)丁策略。HPC系統(tǒng)對(duì)于企業(yè)的重要性在確定更新的頻率和性質(zhì)方面起著關(guān)鍵作用。舉例來(lái)說(shuō)，如果系統(tǒng)負(fù)責(zé)處理來(lái)自科研項(xiàng)目或運(yùn)行流程中重要儀器的連續(xù)數(shù)據(jù)流，那么為了保持?jǐn)?shù)據(jù)的完整性、可靠性和整體系統(tǒng)性能，可能需要迅速部署更新。而另一方面，非關(guān)鍵的HPC系統(tǒng)可能能夠容忍更長(zhǎng)時(shí)間的突發(fā)停機(jī)。系統(tǒng)的更新應(yīng)該采取兼顧（SpackEasyBuild之類的設(shè)施還HPC資源取得的科研成果的可重復(fù)性和完整性方面發(fā)揮著本控制、來(lái)源跟蹤、數(shù)據(jù)驗(yàn)證、軟件物料清單（SBOM）SquashFS鏡像。此外，組織還應(yīng)該鼓勵(lì)用戶采用HPC中心相同的工具測(cè)試和部署自己的軟件。這些實(shí)踐規(guī)范可以確保計(jì)算工HPC中心之間的關(guān)系。M。HPC環(huán)境中存在的HPC系統(tǒng)相比，規(guī)模明顯要小景中具有代表性的大規(guī)模工作流程可能會(huì)表現(xiàn)出難以被復(fù)制到測(cè)試環(huán)境中的行未經(jīng)測(cè)試的邊緣案例或系統(tǒng)組件之間未被預(yù)見到的交互相關(guān)的剩余風(fēng)險(xiǎn)在所難免，而這些風(fēng)險(xiǎn)可能只會(huì)在生產(chǎn)環(huán)境中表現(xiàn)出來(lái)。另外，由于資源和時(shí)間有限，運(yùn)行要求之間，總是需要做出權(quán)衡。37個(gè)節(jié)點(diǎn)組成）是一種常見的做法。HPC登錄節(jié)點(diǎn)。為這些堡壘選擇操作系統(tǒng)時(shí)，通常要針對(duì)其所提供的具體服務(wù)而量身定制——HPCHPC系統(tǒng)的不同的用途——它們不參與科學(xué)模擬或數(shù)值預(yù)測(cè)——因此相較于基礎(chǔ)設(shè)施中的HPC站點(diǎn)所用設(shè)備的不同而各異，但也可以簡(jiǎn)單得像下面列舉cron作業(yè)一樣。2:00啟動(dòng)，只有當(dāng)包管理器（本例中為DNF）確定節(jié)點(diǎn)處于可重啟狀態(tài)時(shí)才會(huì)激活節(jié)點(diǎn)重啟。腳本“is_the_lead_node_sane”扮演著關(guān)鍵角色，被用來(lái)評(píng)價(jià)主節(jié)點(diǎn)是否處于可以開立即收到通知并著手干預(yù)。包管理器的選項(xiàng)，例如“--erityX這種方法允許在固定且錯(cuò)開的時(shí)間間隔內(nèi)系統(tǒng)化更新剩余節(jié)點(diǎn)——systemd”執(zhí)行命令，可能還會(huì)用SELinux增強(qiáng)安全性。然而，如果“is_the_lead_node_sane環(huán)境下的數(shù)據(jù)傳輸節(jié)點(diǎn)即可達(dá)到安全標(biāo)準(zhǔn)，也可保證運(yùn)行效率。門戶的方法是利用持續(xù)集成/門戶。手動(dòng)更新往往需要更為謹(jǐn)慎，即應(yīng)該先在分階段環(huán)境中進(jìn)行全面測(cè)試之后，再把更新應(yīng)用到生產(chǎn)環(huán)境中。驗(yàn)。系統(tǒng)中的其余資產(chǎn)主要用于數(shù)值模擬的提交和/或執(zhí)行。所以，更新過(guò)程必須以一種能夠讓用戶適應(yīng)其工HPC中心每年進(jìn)行兩次更HPC服務(wù)的另外一種策略是利用云編排器，這種做法可以為傳統(tǒng)的系——關(guān)的資源分配挑戰(zhàn)。HPC服務(wù)的做法會(huì)引入額HPC系統(tǒng)和服務(wù)的傳HPCHPCHPC系統(tǒng)和云技術(shù)，這對(duì)HPC中心實(shí)施的安全教育培訓(xùn)和意識(shí)培養(yǎng)計(jì)劃施加了額外的壓力——它們必須培養(yǎng)出能夠有效管理和保護(hù)這兩種環(huán)境的管理員。信息庫(kù)驗(yàn)證庫(kù)通常會(huì)大大降低引入錯(cuò)誤的可能性。快、更容易。這些代碼可由構(gòu)建應(yīng)用程序的同一團(tuán)隊(duì)開發(fā)（第一方庫(kù)應(yīng)用程序開發(fā)團(tuán)隊(duì)有合作關(guān)系的另一團(tuán)隊(duì)開發(fā)（第二方庫(kù)或資源的任何其他方開發(fā)（第三方庫(kù)些庫(kù)在許多情況下并不是主要開發(fā)者自己構(gòu)建的。信息庫(kù)具有通過(guò)以下兩種主要方式在已完成開發(fā)的應(yīng)用程序中引發(fā)安全問(wèn)日益變得關(guān)鍵的原因之一。PythonPyPI的攻擊便是一個(gè)例子10以下幾種最佳安全實(shí)踐可以幫助減少脆弱的信息庫(kù)面臨的風(fēng)險(xiǎn)：API、用戶10/en-us/2021/03/07/poison-packages-supply-chain-risks-user-hits-python-community-with-4000-fakemodules/。用程序安全測(cè)試（SA）和動(dòng)態(tài)應(yīng)用程序安全測(cè)試S取得理想結(jié)果應(yīng)該不成問(wèn)題。OpenMP在HPC中，內(nèi)存對(duì)于執(zhí)行復(fù)雜科學(xué)和工程應(yīng)用至關(guān)重要。內(nèi)存是計(jì)算機(jī)處理器處理數(shù)據(jù)的臨時(shí)存儲(chǔ)空間，直接影響著HPC處理大型數(shù)據(jù)集和執(zhí)行計(jì)算密集型任務(wù)的能力。HPCHPCHPC應(yīng)用程序中常見的一些內(nèi)存訪問(wèn)錯(cuò)誤。數(shù)據(jù)競(jìng)爭(zhēng)蓋更改。內(nèi)存泄漏有可能導(dǎo)致程序耗盡內(nèi)存并崩潰。堆棧溢出出。這有可能導(dǎo)致程序崩潰或產(chǎn)生安全漏洞。雙重釋放內(nèi)存雙重釋放。這有可能導(dǎo)致內(nèi)存損壞和安全漏洞。釋放后使用：當(dāng)先前已釋放的內(nèi)存被直接或間接使用時(shí)，就是發(fā)生了釋放后使用。這有可能導(dǎo)致數(shù)據(jù)損壞和安全漏洞。HPC應(yīng)用程序內(nèi)存安全控制措施技術(shù)包括：內(nèi)存屏障個(gè)內(nèi)存操作。原子操作斷也是如此。內(nèi)存映射文件訪問(wèn)性能和安全性。內(nèi)存調(diào)試器：這些工具可以識(shí)別和調(diào)試內(nèi)存訪問(wèn)錯(cuò)誤。指針標(biāo)記根據(jù)標(biāo)簽執(zhí)行訪問(wèn)規(guī)則可以幫助防止內(nèi)存錯(cuò)誤。保護(hù)頁(yè)些保護(hù)頁(yè)可在被訪問(wèn)時(shí)觸發(fā)異常，以此來(lái)檢測(cè)內(nèi)存訪問(wèn)錯(cuò)誤。內(nèi)存回滾：這項(xiàng)技術(shù)可將內(nèi)存狀態(tài)恢復(fù)到發(fā)生錯(cuò)誤之前的某個(gè)時(shí)間。HPC開發(fā)人員和用戶還可以采取其他措施來(lái)解決內(nèi)存安全問(wèn)題：使用具有內(nèi)存安全性能的語(yǔ)言和信息庫(kù)C++17、Rust等，內(nèi)置有內(nèi)存安全性能，可幫助預(yù)防常見內(nèi)存訪問(wèn)錯(cuò)誤。采用靜態(tài)分析工具和模糊測(cè)試內(nèi)存相關(guān)的漏洞。遵循安全編碼實(shí)踐規(guī)范所有變量。執(zhí)行嚴(yán)格的測(cè)試和驗(yàn)證規(guī)程具測(cè)試應(yīng)用程序，以驗(yàn)證內(nèi)存安全性。使用內(nèi)存管理庫(kù)libunwindValgrind這樣的管理庫(kù)可幫助跟蹤內(nèi)存分配和內(nèi)存釋放、檢測(cè)內(nèi)存泄漏和識(shí)別與內(nèi)存相關(guān)的其他問(wèn)題。對(duì)開發(fā)人員和用戶開展有關(guān)內(nèi)存安全的教育：開發(fā)人員和用戶需要了解內(nèi)存安全問(wèn)題的潛在風(fēng)險(xiǎn)以及遵循安全編程實(shí)踐規(guī)范的重要性。這一點(diǎn)可以通過(guò)培訓(xùn)、發(fā)放相關(guān)文件和開展意識(shí)培養(yǎng)活動(dòng)來(lái)實(shí)現(xiàn)。持續(xù)監(jiān)測(cè)和改進(jìn)內(nèi)存使用HPC面板等工具實(shí)現(xiàn)。HPC（地址空間布局隨機(jī)化[ASLR]）的應(yīng)用程序。HPC開發(fā)人員應(yīng)該嚴(yán)ASASRHPC系統(tǒng)的整體安全性。HPCCPU更高效。把任務(wù)卸載到這些專用設(shè)備上可以最大限度減少主內(nèi)存如內(nèi)存泄漏和懸空指針。會(huì)導(dǎo)致不正確的輸出，從而造成結(jié)果與算法原本應(yīng)該產(chǎn)生的預(yù)期結(jié)果不符。消息傳遞接口（MPI）HPCHPC系統(tǒng)的（擁有各自的內(nèi)存和執(zhí)行環(huán)境過(guò)使用消息傳遞接口（MPI）程注入錯(cuò)誤或惡意內(nèi)容。MPIHPC通信的安全是保證數(shù)據(jù)的完整性和保密性的關(guān)鍵。以下是一些常用于這一目的技術(shù)手段和實(shí)踐規(guī)范：加密在處理敏感數(shù)據(jù)時(shí)尤為重要。身份驗(yàn)證MPI證。這樣做可以阻止未經(jīng)授權(quán)的進(jìn)程參與計(jì)算并訪問(wèn)數(shù)據(jù)。完整性檢查不曾被人篡改。MPI執(zhí)行方案MIMP2MPI執(zhí)行方案支持安全套接層（SSL）和傳輸層安全（TLS）協(xié)議，由這些協(xié)議提供安全的加密通信。網(wǎng)絡(luò)安全MPIMPI他網(wǎng)絡(luò)隔離，以及監(jiān)測(cè)網(wǎng)絡(luò)活動(dòng)以發(fā)現(xiàn)入侵跡象。HPC應(yīng)用程序正在處理敏感數(shù)據(jù)。MPIMPI通信的安全，SSL/TLSMPI一個(gè)進(jìn)程之前，應(yīng)用程序用SSL/TLS給數(shù)據(jù)加密。接收進(jìn)程在接收數(shù)據(jù)時(shí)進(jìn)行解在可能性有助于確保進(jìn)程按正確順序執(zhí)行，從而保證了研究結(jié)果的準(zhǔn)確性。MPI通信的安全性，但是它們HPC應(yīng)用程序時(shí)，必須在安全性和性能之間找到平衡。零信任HPC網(wǎng)絡(luò)內(nèi)部的橫向移動(dòng)風(fēng)險(xiǎn)和增強(qiáng)整體安全態(tài)勢(shì)。零信任高性能云計(jì)算的關(guān)鍵策略：NIST零信任架構(gòu)框架，強(qiáng)調(diào)持續(xù)驗(yàn)證、嚴(yán)格的訪問(wèn)控制和最低權(quán)限原則的重要性。在威脅。M護(hù)，確保只有得到授權(quán)的人員可以訪問(wèn)。利用強(qiáng)大的身份和訪問(wèn)管理（IAM）解決方案管理和控制用戶的訪問(wèn)、權(quán)限和角色，確保落實(shí)最低權(quán)限原則。明性和控制。時(shí)確保這些過(guò)程的安全性。APAPIAPI交互。在可行的情況下通過(guò)先進(jìn)的端點(diǎn)保護(hù)機(jī)制來(lái)加強(qiáng)端點(diǎn)安全（PC系統(tǒng)的工作站或跳轉(zhuǎn)箱，因?yàn)橐恍┒它c(diǎn)安全工具可能會(huì)影響性能。加固系統(tǒng)，定期更新和打補(bǔ)丁，以抑制漏洞風(fēng)險(xiǎn)。/關(guān)，以過(guò)濾和監(jiān)測(cè)流量。NISTSP800-535修訂版規(guī)定的安全和隱私控制于風(fēng)險(xiǎn)的全面方法管理云安全。11/pubs/sp/800/53/r5/upd1/final。NISTSP800-53DevOpsNISTSP800-372NIST高性能云應(yīng)用程序的部署和運(yùn)行工作中落實(shí)風(fēng)險(xiǎn)管理原則。組織可以通過(guò)遵循這些《通用數(shù)據(jù)保護(hù)條例(GDPR)NIST指南，為高性配置、數(shù)據(jù)保護(hù)和事件響應(yīng)等關(guān)鍵方面全部涵蓋其中。HPC系統(tǒng)和應(yīng)用程序的科學(xué)完整性，因?yàn)樗_保只全基礎(chǔ)，不僅保護(hù)敏感數(shù)據(jù)，還保持科研社區(qū)的可信性和聲譽(yù)。HPC的網(wǎng)絡(luò)安全HPC中，網(wǎng)絡(luò)分段是一項(xiàng)關(guān)鍵的網(wǎng)絡(luò)安全策略，涉及把企業(yè)網(wǎng)絡(luò)劃分成數(shù)據(jù)的保護(hù)。HPCHPC系統(tǒng)的各個(gè)組件隔離到不同的（例如數(shù)據(jù)存儲(chǔ)區(qū)和計(jì)算區(qū)HPC系統(tǒng)的性能，因?yàn)檫m當(dāng)?shù)木W(wǎng)絡(luò)分段可以減少網(wǎng)絡(luò)噪聲，進(jìn)而可以改善網(wǎng)絡(luò)吞吐量和延遲。NIST建議的高性能計(jì)算區(qū)、數(shù)據(jù)存儲(chǔ)區(qū)、訪問(wèn)區(qū)和管理述。安全區(qū)域網(wǎng)絡(luò)分段和訪問(wèn)控制的關(guān)鍵組成部分。安全區(qū)域在網(wǎng)絡(luò)內(nèi)定義了不同的網(wǎng)段，每個(gè)網(wǎng)段都設(shè)置有特定的安全控制措12/pubs/sp/800/37/r2/final。施、訪問(wèn)策略和信任邊界。這些區(qū)域的建立旨在實(shí)現(xiàn)這樣幾個(gè)目標(biāo)：隔離潛在威脅橫向移動(dòng)。訪問(wèn)控制與特定區(qū)域內(nèi)的資源通信。數(shù)據(jù)保護(hù)：通過(guò)把敏感或關(guān)鍵數(shù)據(jù)隔離在指定區(qū)域內(nèi)來(lái)幫助保護(hù)它們。風(fēng)險(xiǎn)降低低整體風(fēng)險(xiǎn)。控制的潛力。通信信道安全和信任邊界的同時(shí)，促進(jìn)數(shù)據(jù)和服務(wù)在安全區(qū)域之間的受控交換。通信信道受基于其所連接的區(qū)域的特定安全要求和可信級(jí)別的安全控制措施和策略轄制。通信信道與安全區(qū)域之間的交互涉及：訪問(wèn)控制策略兩端的資源。網(wǎng)絡(luò)分段來(lái)。這一點(diǎn)對(duì)于控制數(shù)據(jù)的流動(dòng)和減少安全漏洞的影響至關(guān)重要。安全措施密。監(jiān)測(cè)和審計(jì)訪問(wèn)或數(shù)據(jù)泄露。安全信息和事件管理（SIEM）目的。例如，訪問(wèn)區(qū)的可信級(jí)別應(yīng)該有別于管理區(qū)。每個(gè)安全區(qū)域都會(huì)分配可信級(jí)別，以反映要求該區(qū)域必須達(dá)到的可信度和安要的訪問(wèn)控制和安全措施級(jí)別。與安全區(qū)域的交互涉及：數(shù)據(jù)敏感性往與更敏感的數(shù)據(jù)對(duì)應(yīng)，因此要求采取更嚴(yán)格的安全措施。訪問(wèn)控制別更高的區(qū)域可以對(duì)受權(quán)用戶執(zhí)行比較寬松的訪問(wèn)策略。安全措施級(jí)別更高的區(qū)域通常必須執(zhí)行更強(qiáng)的加密、身份驗(yàn)證和入侵檢測(cè)系統(tǒng)。通信邊界界可以比較寬松。安全飛地前面講的許多策略還常被用來(lái)通過(guò)創(chuàng)建安全飛地來(lái)提高安全性和改善研究的完整性。13（ML）資產(chǎn)，其中包括：原始數(shù)據(jù)：用于機(jī)器學(xué)習(xí)(ML)算法的敏感數(shù)據(jù)可以在使用、傳輸和存儲(chǔ)過(guò)程中得到保護(hù)，從而降低暴露風(fēng)險(xiǎn)和確保數(shù)據(jù)隱私。專有訓(xùn)練引擎便這些算法在不可信硬件上運(yùn)行。推理/專家引擎識(shí)和核心價(jià)值安全無(wú)恙。數(shù)據(jù)結(jié)論以通過(guò)執(zhí)行策略來(lái)控制。使用安全飛地不僅可以降低數(shù)據(jù)和知識(shí)產(chǎn)權(quán)風(fēng)險(xiǎn)，還可以為從更廣泛的數(shù)據(jù)集構(gòu)建強(qiáng)大能力提供機(jī)會(huì)。安全飛地通常與安全區(qū)域和數(shù)據(jù)分類理念結(jié)合使用。13/sites/publications/files/Pub71949.pdf。日志記錄日志記錄在保護(hù)HPC應(yīng)用程序的許多方面發(fā)揮著關(guān)鍵作用。故障排除錯(cuò)誤。這使及時(shí)排除故障和解決問(wèn)題成為可能。性能監(jiān)測(cè)能。安全增強(qiáng)信息有助于識(shí)別和抑制安全漏洞，保護(hù)敏感數(shù)據(jù)和保持系統(tǒng)完整性。合規(guī)要求DSS)(CMMC)法規(guī)的關(guān)鍵。歷史記錄：日志創(chuàng)建了系統(tǒng)活動(dòng)和變更的歷史記錄。這些記錄為未來(lái)參和更新系統(tǒng)做出決策。根因分析：當(dāng)有事件發(fā)生時(shí)，詳細(xì)的日志使人得以深入分析根因。日志動(dòng)。取證與調(diào)查響。引入了某些風(fēng)險(xiǎn)。性能影響/操作（例如硬盤寫入PU周期、內(nèi)存、存儲(chǔ)帶寬、硬盤空對(duì)應(yīng)用程序的響應(yīng)能力和吞吐量造成影響。緩沖區(qū)溢出和安全漏洞。懸掛指針日志庫(kù)處理指針不當(dāng)，可能會(huì)導(dǎo)致未被定義的行為和安全問(wèn)題。格式字符串漏洞：如果日志庫(kù)允許使用不受控制的格式字符串（例如用prif風(fēng)格格式化，可能會(huì)導(dǎo)致任意代碼執(zhí)行或信息泄露。：日志庫(kù)如果未適當(dāng)清理輸入，面對(duì)注入攻擊（SQL或命令注入）時(shí)會(huì)變得十分脆弱。競(jìng)態(tài)條件會(huì)出現(xiàn)競(jìng)態(tài)條件。這可能會(huì)導(dǎo)致非預(yù)期行為或安全漏洞。內(nèi)存泄漏的拒絕服務(wù)（DoS）攻擊。敏感數(shù)據(jù)泄露：日志中記錄的敏感信息（例如口令、令牌）給未經(jīng)授權(quán)人員。身份驗(yàn)證/授權(quán)缺失戶篡改日志。露。統(tǒng)崩潰。依賴漏洞（例如第三方庫(kù)性產(chǎn)生的漏洞可能會(huì)影響整體安全性。例如，BoostC++日志庫(kù)14曾被發(fā)現(xiàn)存在一些安全風(fēng)險(xiǎn)。14https:///vulnerability-list/vendor_id-7685/Boost.html。漏洞管理HPC系統(tǒng)的漏洞管理對(duì)于提升科學(xué)成果至關(guān)重要。我們以一個(gè)用HPC系統(tǒng)進(jìn)行氣候建模的研究機(jī)構(gòu)為例。這些模型需要使用大量數(shù)據(jù)和計(jì)算資源，得出的結(jié)果對(duì)于了解和應(yīng)對(duì)氣候變化具有重大影響。數(shù)據(jù)完整性：有效的漏洞管理可以確保這些模型所用數(shù)據(jù)的完整性。如果有漏洞被人利用，數(shù)據(jù)可能會(huì)被篡改，導(dǎo)致生成不準(zhǔn)確的模型結(jié)果。系統(tǒng)可用性：漏洞還可以被利用來(lái)破壞系統(tǒng)可用性。例如，DoS攻擊可HPC訪問(wèn)他們需要的資源。保密性護(hù)這些數(shù)據(jù)免遭未經(jīng)授權(quán)訪問(wèn)。聲譽(yù)網(wǎng)絡(luò)安全的承諾來(lái)贏得合作伙伴、資助者和公眾的信任。HPC系統(tǒng)漏洞管理直接支持組織的科研使命。它確保研究人員能夠有效、安全、自信地開展工作，從而產(chǎn)生更可靠和具有影響力的科研成果。以下是可協(xié)助做到這一點(diǎn)的幾個(gè)流程。資產(chǎn)發(fā)現(xiàn)與清單管理：IT護(hù)公司數(shù)字環(huán)境內(nèi)所有設(shè)備、軟件、服務(wù)器等的記錄。漏洞掃描npmauditnodemavendependencies-check這樣的包管理工具可用來(lái)檢測(cè)庫(kù)的依賴關(guān)系中存在的漏洞。補(bǔ)丁管理：補(bǔ)丁管理軟件可幫助確保計(jì)算機(jī)系統(tǒng)打上最新安全補(bǔ)丁。大配置管理：安全配置管理（SCM）軟件可幫助確保以安全的方式配置系略合規(guī)。指標(biāo)測(cè)量這些指標(biāo)可能包括掃描覆蓋率、掃描頻率、關(guān)鍵漏洞數(shù)量、已關(guān)閉漏洞數(shù)量以及排除項(xiàng)。例如，美國(guó)陸軍作戰(zhàn)能力發(fā)展指揮部分析中心借助HPC對(duì)國(guó)防部的可存活性、脆弱性和致命性建模進(jìn)行更快速和更復(fù)雜的分析。15和不斷變化的環(huán)境。HPC系統(tǒng)制定漏洞管理計(jì)劃時(shí)要充分認(rèn)識(shí)到，市場(chǎng)上有售的許多HPC系統(tǒng)上的許多專業(yè)軟件應(yīng)用程序和信息補(bǔ)充商業(yè)化漏洞掃描器的功效。HPC系統(tǒng)的漏洞管理還必須考慮采用抑制漏洞的補(bǔ)償性控制，以應(yīng)對(duì)沒(méi)有補(bǔ)丁可用的漏洞或需要為科研的可重復(fù)性而維持的遺留軟件。結(jié)論（HPC）（質(zhì)量和研究完整性的巨大潛力。首先，采用HPC架構(gòu)和部署的最佳實(shí)踐規(guī)范至關(guān)重要。這涉及精心設(shè)計(jì)可15https:///article/252336/army_vulnerability_lethality_analysis_bolstered_through_high_performance_computing。性。HPCHPC領(lǐng)域，考慮安全因素的重要性不容低估。隨著數(shù)據(jù)泄露和網(wǎng)絡(luò)威脅時(shí)，這一點(diǎn)的價(jià)值不言自明。通過(guò)提高安全性，可以取得更好的科研成果。HPC以提高研究水平需要有一種全面的方法把技術(shù)、數(shù)據(jù)管理參考文獻(xiàn)NISTInteragencyReport(IR)8476,3rdHigh-PerformanceComputingSecurityWorkshop:JointNIST-NSFWorkshopReport,September2023,/nistpubs/ir/2023/NIST.IR.8476.pdfCloudSecurityAlliance(CSA)-High-PerformanceComputing(HPC)TabletopExerciseGuide,May2023,/artifacts/high-performance-computing-tabletop-guide/NISTSP800-223(InitialPublicDraft)-High-PerformanceComputing(HPC)Security:Architecture,ThreatAnalysis,andSecurityPosture,February2023,/pubs/sp/800/223/ipdDarkReading,SecurityIsaSecond-ClassCitizeninHigh-PerformanceComputing,December23,2022,https:///dr-tech/security-is-a-second-class-citizen-in-high-performance-computingHowZeroTrustPrivilegeAddressesFiveHigh-performanceComputingSecurityRisks,2023https:///wp-content/uploads/2020/01/how-zero-trust-privilege-addresses-five-high-performance-computing-security-risks.pdfSecurityinHigh-PerformanceComputingEnvironments,September2017/magazines/2017/9/220422-security-in-high-performance-computing-environments/fulltext?mobile=false2-security-in-high-performance-computing-environmentsfull-text?mobile=falseOPENMPAPISpecification:Version5.0,November2018,https:///spec-html/5.0/openmp.htmlTheCaseforMemorySafeRoadmaps,December2023,/2023/Dec/06/2003352724/-1/-1/0/THE-CASE-FOR-MEMORY-SAFE-ROADMAPS-TLP-CLEAR.PDFIntroductiontoMemoryUnsafetyforVPsofEngineering,August2019,/2019/aug/12/introduction-to-memory-unsafety-for-vps-of-engineering/Prossimo,Whatismemorysafetyandwhydoesitmatter?AsofJanuary2024,https:///docs/memory-safety/ZEROTRUST:THECYBERSECURITYMINDSETALLORGANIZATIONSNEEDTOADOPT,MARCH8,2022/zero-trust-the-cybersecurity-mindset-all-organizations-need-to-adopt/Karakasis,V.etal.(2020).EnablingContinuousTestingofHPCSystemsUsingReFrame.In:Juckeland,G.,Chandrasekaran,S.(eds)ToolsandTechniquesforHighPerformanceComputing.HUSTSE-HERWIHPC201920192019.CommunicationsinComputerandInformationScience,vol1190.Springer,Cham./10.1007/978-3-030-44728-1_3ToddGamblin,MatthewP.LeGendre,MichaelR.Collette,GregoryL.Lee,AdamMoody,BronisR.deSupinski,&W.ScottFutral(2015).TheSpackPackageManager:BringingordertoHPCsoftwarechaos.InSupercomputing2015(SC'15).Geimer,M.,Hoste,K.,&McLay,R.(2014).ModernscientificsoftwaremanagementusingEasyBuildandLmod.InProceedingsoftheFirstInternationalWorkshoponHPCUserSupportTools(pp.41–51).IEEEPress.OWASPTopTenProactiveControls2018|C4:EncodeandEscapeData|OWASPFoundation./www-project-proactive-controls/v3/en/c4-encode-escape-data.html附錄1十大頂級(jí)超級(jí)計(jì)算機(jī)本列表更新至2023年11月。RmaxRpeak每秒千萬(wàn)億次浮點(diǎn)運(yùn)算段的詳細(xì)信息，請(qǐng)查看TOP500的描述。RpeakCPUCPU時(shí)鐘頻率對(duì)系統(tǒng)效率的影響。排名系統(tǒng)處理核心Rmax(PFlop)Rpeak(PFlop)功率（kW）1Frontier-CrayEX235a，惠普制造，配置包括AMD優(yōu)化的第三代EPYC64核2GHz處理A