關于網絡安全,這三份西方智庫報告值得注意

來源:世界知識 作者:虞爽 時間:2016-03-19
分享到: 收藏 打印

原標題:應對網絡空間的國家安全挑戰:一場虛擬與現實交織的博弈

互聯網技術的飛速發展與互聯網應用的廣泛普及,使社會運轉、信息流通、人類生產生活變得更加高效、快捷,讓世界變成了“雞犬之聲相聞”的地球村。但與此同時,網絡安全問題所帶來的挑戰,從虛擬空間迅速延伸至實體空間,發展之快、涉及之廣令各國猝不及防。不知不覺間,網絡戰成了一種全新的戰爭形式,網絡刺探成了一種主流的獲情手段,網絡犯罪的受害者更是不計其數。一個前所未有的課題擺在各國政府和領導者面前,既要充分利用網絡平臺推進國家安全和發展戰略,也要充分認清國家安全和發展戰略所面臨的來自網絡空間的威脅,以及這種威脅可能造成的嚴重后果,制定、實施有效的應對方案。 

在互聯網技術和應用方面擁有絕對優勢的美國早已意識到維護網絡安全的重要性,奧巴馬上任伊始就明確指出網絡安全是國家面臨的最嚴峻挑戰之一。在國內,奧巴馬政府已推出多部與網絡安全相關的法律法規,如《2012年網絡安全法案》、《確保IT安全法案》等。在國際上,美國積極主導網絡空間“游戲規則”的制定,比如推出類似網絡空間“戰爭法則”的《塔林手冊》,并于2010年成立網絡司令部,將網絡戰部隊投入實戰應用。2016年2月,奧巴馬政府推出了《網絡空間安全國家行動計劃》,規劃了短期行動措施與長期戰略發展目標。但是,即使如此,美國也深感當前對網絡安全的認識、理解和對策研究水平遠遠滯后于互聯網技術發展速度。 

那么,作為在使用規模、發展潛力上幾乎可以比肩美國的另一個互聯網大國,中國又該如何認識網絡安全問題,怎樣處理在相關領域的國際關系特別是對美關系呢?

 

更新網絡安全觀念需要掌握的常識 

發達國家正加緊研究網絡安全問題——三份關鍵報告 

在瞬息萬變、充滿未知的網絡空間,面對各種有形無形的威脅和挑戰,作為一個主權國家、現代文明國家,如何才能做到“魔高一尺,道高一丈”,如何才能有效的維護國家安全、消除或降低來自網絡空間的安全威脅?各國智庫,特別是美國和西方國家智庫展開了大量研究,試圖找到最佳答案。自2015年下半年至今,國際上有三份與該問題直接相關的智庫報告值得關注和思考。 

一是美國蘭德公司2015年9月發表的《美中軍事記分卡:武力、地理和力量平衡的變遷》。這份報告承襲了蘭德在定量分析上的一貫扎實作風,以389頁的文件長度及113張圖表,詳細分析了中美一旦在臺海、南海發生軍事沖突時,兩國海、空、天、網、核的作戰力量運用、打擊效果及優勢弱勢,并為每一項內容制作記分卡,以直觀的方式體現兩國軍力對比。其中網絡戰能力分析部分約23頁,雖然占全文內容比重并不大,但其一方面對網絡戰進行了定義,試圖摸索網絡戰的特性和規律;另一方面對中美網絡戰力量進行了較為客觀的分析判斷,具有很強的參考價值。 

二是美國戰略與國際研究中心(CSIS)2015年11月發布的《2016全球展望》。這份報告更像是一本論文集,圍繞2016年美國國內外一些熱點問題,收錄了該中心麾下一些專家的分析文章。美國戰略與國際研究中心以研究戰略層面的問題為專長,報告中雖然只有一篇短短3頁紙的網絡安全文章,但卻一針見血指出,美國政府沒能抓住解決網絡安全問題的關鍵。 

三是英國國際事務皇家研究所2015年10月發表的《民用核設施的網絡安全》報告。該報告雖然聚焦在核設施網絡安全的這個點上,但將網與核聯系到一起,讓人直觀地感受到虛擬威脅現實化的沖擊。特別是聯想到日本福島核泄漏的可怖景象,提醒了我們關鍵基礎設施的網絡安全隱患將會帶來多么嚴重的后果。 

網絡戰對實體空間戰場態勢的影響不可低估——中美戰爭假想 

互聯網技術的誕生源自軍用,對傳統的戰爭形態產生了結構性的影響。未來戰爭是否真的會像美國電影《駭客帝國》描繪的那樣完全在虛擬空間展開,我們不得而知。但不可否認的是,網絡戰已經成為現代戰爭不可或缺的一部分。因此,只有看清網絡戰對實體空間戰爭的作用,才能把握訣竅,靈活高效地運用好這種作戰手段。 

蘭德公司的報告在這方面做了較為詳細的闡述。報告將網絡戰分為戰略網絡戰與戰術網絡戰。戰略網絡戰的打擊目標包括政府甚至民間設施,目的在于有效遏制敵方的進攻意圖。戰術網絡戰的打擊目標為軍事系統,目的在于有效削弱敵方的戰斗力。

蘭德公司的報告認為,網絡戰有四方面的特性。首先,雖然網絡戰行動是對實體空間作戰行動的配合支援,但成功的網絡打擊可能會使戰爭局面產生逆轉,可以起到物理打擊達不到的效果,且網絡戰成本低、收益大,因而是一種“性價比”很高的作戰行動。其次,網絡戰往往不是軍隊與軍隊之間的對抗,而是技術人員、工程師之間的對抗,因此難以像傳統作戰力量那樣,根據兵力人數、武器性能參數等進行量化評估。第三,網絡戰的形式、方法、能力隨著網絡技術的更新而迅速變化。第四,由于網絡進攻溯源的復雜性,對進攻意圖、目的產生誤判的可能性較大,網絡戰特別是戰略網絡戰由于誤判而導致戰爭升級的可能性也較大。 

通過蘭德公司報告對中美網絡作戰行動的設想,可以清晰地看到網絡戰作用于實體戰場的方法、路徑和效果。這份報告預想,一旦戰爭爆發,中國的網絡戰力量將首選進攻美軍的后勤補給系統,因為它建立在五角大樓的非保密網絡之上,安全性較低,不難攻破。中國網絡戰部隊可以通過入侵、破壞后勤補給系統達到以下效果:竊取情報,通過對后勤物資數量、投送地點等信息的掌握,分析作戰部隊的關鍵信息;通過“洪流攻擊”等簡單易行的方式,堵塞后勤補給系統的對外通道,阻斷國防部與后勤補給供應商之間的聯系,滯遲相關信息傳輸,降低后勤補給效率;入侵網絡并采取欺騙、篡改等方式,使后勤補給供應商接受假指令而導致混亂。 

蘭德公司報告認為,中方對美軍后勤補給系統的打擊能對戰場態勢帶來多大影響,與這場戰爭的性質緊密相關。美軍前線作戰實行的是“鐵山”政策,也就是說部隊會攜帶大量、甚至是過量的武器裝備、后勤物資前往前線。在戰爭的頭一個星期,即使來自國內的補給被完全切斷,也不會造成決定性的傷害。因此,如果中美之間發生的是一場小規模、速戰速決式的戰爭,那么中國網絡戰力量對美軍后勤補給系統的打擊即使在戰術上取得巨大勝利,在戰略上也意義有限。 

反之,如果發生的是一場持久戰,那么后勤系統的癱瘓肯定會削弱美軍部隊的戰斗力。值得注意的是,當前,美軍的后勤補給正在向“精確后勤”和“實時后勤”轉型,以降低物資堆積戰場帶來的損失。如果實現了這樣的轉型,中國網絡戰力量對美軍后勤補給系統的打擊,將會對戰爭的勝負起到更加關鍵的作用。 

蘭德公司報告指出,對于美國網軍來說,對中國進行網絡作戰最大的苦惱,不是“攻不進”,也不是“防不住”,而是“中國軍隊作戰對網絡的依賴程度太低”。這使其不得不采取“進攻軍民共用基礎設施”等方式。報告指出,隨著中國軍隊信息化建設的推進,美國的網絡戰力量將會有更大的施展空間,比如破壞綜合防空系統和海上情報、監視與偵察系統,這會給中國在實體戰場的作戰行動造成傷害。 

通過上述蘭德公司報告關于中美網絡戰的假想不難看出,網絡戰不是一種孤立的存在,需要將它作為立體作戰中的一環,與其他作戰手段綜合運用,進行有效的協同、配合,才能最大化地發揮作用。 

互聯網產業對國家安全的支撐不容忽視——美國經驗談 

通常來講,非軍工產業多是從經濟、科技等層面間接地作用于國家安全,但互聯網產業卻是個特例,它異乎尋常地靠近國家安全的核心。虛擬世界里的攻防,用的不是刀劍槍炮,而是一行行的代碼,網絡安全博弈的根本在于技術,而技術發展與提升源自互聯網產業。

 

蘭德公司報告認為,中國在網絡空間“并沒有想像中的那樣可怕”。蘭德公司得出這一結論,其自信主要源自美國在互聯網技術上的絕對優勢。支撐這種技術優勢的不是美國國防部、也不是白宮,而是像“八大金剛”(思科、IBM、谷歌、高通、英特爾、蘋果、甲骨文、微軟)、賽門鐵克、火眼這樣的互聯網技術公司。根據蘭德公司報告的判斷,中國在未來五年甚至更長時間內都不具備與美國“八大金剛”抗衡的能力。 

在美國看似自由的市場環境里,互聯網技術公司并非“野生”。政府通過制訂法律、合同采購、委托研發甚至直接注資等方式,引導、助力互聯網產業按自身希望的形態和速度生長。特別值得注意的是,網絡安全是個新興的行業,從殺毒、加密到監控系統安全、威脅情報分析,新的網絡安全需求層出不窮,新的技術、新的公司也層出不窮。但是網絡安全公司資金規模小、服務內容單一,公司創始人多為技術發明者,資本運作經驗不足,“自生”的速度快,“自滅”的機率也很高。而一些涉及國家安全的、前瞻性的技術公司,由于缺少市場回報而更難生存。為了合理布局網絡安全產業結構,培育、扶助優秀的網絡安全技術公司,美國政府往往伸出“無形的手”,扶持他們的經營運作。 

在美國,有一家唯一的政府直接資助的風投公司“In-Q-Tel”(IQT)。該公司平均每年從政府獲得3700萬美元資助,已投資超過200家初創公司,重點關注新興科學技術領域,網絡安全技術相關的創新公司首當其沖??v觀IQT的投資名單,不乏火眼、Keyhole(谷歌地球的前身)這樣引領技術革命的優質公司。IQT投資不以短期回報為目的,在它的資助下,許多優質公司得以緩解生存危機,將目光投向更長遠的未來,從而支撐美國始終占領互聯網技術的尖端位置。 

此外,美國聯邦采辦條例(FAR)中要求政府采購合同除要考慮價格、成本、質量等因素外,還要“滿足國家安全戰略需要”,據此國家安全、情報等部門可以通過技術、服務采購的方式,彌補網絡安全技術“供”(技術供應多在民間企業)與“需”(技術需求多在政府官方)的斷層,為安全技術公司提供更豐厚的土壤。美政府或軍方還將一些網絡安全核心技術需求進行拆分,交付給大學實驗室、智庫或其他科研機構完成,在防止泄密的前提下自下而上地有效汲取技術養分。 

美國在對互聯網產業的扶植、塑造方面成效顯著,但是在管理監控方面卻暴露出短板。美國戰略與國際問題研究中心《2016全球展望》報告就指出,美國在處理網絡安全問題上采取了“舍本逐末”的方式,過于關注終端用戶的安全而忽視了對IT產品供應商監管,一些不合理的免責條款、協議,使IT企業可以放心大膽地銷售、傳播帶有明顯安全隱患、漏洞、后門的產品,有些企業為謀私利甚至還向自己的產品中植入惡意程序。這就像治療傳染病,傳上一個治一個只會越來越被動,關鍵是要從根本上掐斷傳染源。報告認為,美國之所以沒有把握住解決網絡安全問題的根本,主要有三個原因:一是對網絡安全問題的認識不夠深入;二是缺少對企業監管的技術手段;三是不敢招惹業界大佬。 

關鍵基礎設施是網絡攻擊的“裸靶”——絕非聳人聽聞 

2015年12月,烏克蘭國家電網因受木馬病毒攻擊發生電力中斷。2016年1月,以色列能源與水力基礎設施部部長證實該國電力供應系統遭受重大網絡攻擊侵襲。此類事件還有不少,表明關鍵基礎設施網絡安全防護薄弱易于進攻,而一旦破壞成功,其對國家安全的直接或間接損害不可估量。這種低成本、高回報的打擊是來自網絡空間的“不對稱”威脅。 

 

蘭德公司報告指出,美軍如果對中國發起網絡進攻,首選目標很可能就是軍民共用關鍵基礎設施(如交通運輸、導航、醫療、電力等相關領域的基礎設施,和平時期為民用,戰爭時期為軍隊提供保障)。報告推測中美最有可能發生軍事沖突的戰場在臺海和南海,對于中國來說,這樣的周邊作戰使境內的軍民共用關鍵基礎設施顯得更為重要。這些設施多由民間企業運營,網絡應用與網絡安全建設出現嚴重失衡。 

蘭德公司報告的分析提醒我們,對于很多關鍵基礎設施的管理者來說,加強網絡安全建設不僅要投入大量人力和財力,而且不會產生任何經濟效益。在和平時期他們遭受的網絡攻擊強度、頻率有限,所造成的損失也都在可控的范圍。因此,他們對加強網絡安全的需求和迫切程度不高,多采取放任的態度。但是,一旦戰爭爆發,這些設施的網絡安全問題就會凸顯,所遭受的攻擊不可與和平時期同日而語,除非技術人員擁有驚人的快速反應能力,否則這些關鍵基礎設施就會成為網絡戰場上的一塊“裸靶”。 

英國國際事務皇家研究所《民用核設施的網絡安全》報告特別研究了核設施的網絡安全隱患,指出世界上的核設施越來越依賴數字控制系統,大量使用“現成”的商業軟件,這雖可大幅提高效率、降低成本,但也為可能的網絡攻擊提供了便利。更為嚴重的是,核電廠的管理、技術人員缺乏應有的網絡安全意識,沒有應急預案和準備,面對突如其來的網絡攻擊束手無策。 

《民用核設施的網絡安全》報告將核設施的網絡安全隱患歸納為三點:一是許多工業控制系統本身就是“不安全設計”,因為在設計之初并未考慮到網絡安全因素;二是現有的標準化解決方案,主要是出于商業目的,不完全適用于關鍵基礎設施;三是核設施工作人員網絡安全培訓不足,不具備應對大規模網絡安全事件的能力。 

另一個值得發出提醒的是對“物理隔離法”的認識。很多人認為,將關鍵基礎設施的控制系統與互聯網進行物理隔離就萬事大吉了。但是,隨著現代科學技術的發展,物理隔離的神話已經破碎。早在2014年以色列本·古里安大學的研究人員就向外界展示了一款名為AirHopper的軟件,該軟件可以在沒有網絡、SIM卡或WIFI的環境下,強制計算機將信息以鍵盤敲擊的形式,通過無線電波傳送給無線接收器。而大名鼎鼎的“震網”病毒可以利用操作系統漏洞,完全突破工業專用局域網的物理限制,直接對基礎設施進行攻擊,其對伊朗核設施的成功破壞便證明了這一點。 

不管我們接不接受,愿不愿意,用“阻斷互聯”換取絕對安全的想法已經過時。無論是關鍵基礎設施的控制系統還是政府、軍隊的保密內網,甚至是武器操控系統都不能再把物理隔離作為一勞永逸的“殺手锏”,而是要直面網絡安全威脅的現實,盡早投入到網絡對抗能力建設中去。 

從國家層面來看,要對關健基礎設施的網絡安全問題給予足夠的重視,改變當前相關企業對網絡安全問題視而不見甚至瞞天過海的局面,采取法律約束或者專項資金注入等方式,引導、助力關鍵基礎設施的網絡安全能力建設。

 1/3    1 2 3 下一頁 尾頁

本文鏈接:http://www.hwvomu.live/html/military/info_9795.html

文章僅代表作者觀點,不代表本站立場。轉載請注明出處和本文鏈接

責任編輯:北平

看完這篇文章心情如何

頭條

習近平:為打贏疫情防控阻擊戰提供強大科技支撐

習近平:為打贏疫情防控阻擊戰提供強大科技支撐
重大傳染病和生物安全風險是事關國家安全和發展、事關社會大局穩定的重大風險挑戰。要把生物[詳細]

文章排行

評論排行

顶呱刮代码