美军遇网络战难题 指挥与控制系统有潜在危害性

通用识别对于防御来说，还是不可或缺的重要部分。已退休的国家安全局信息查证科主任迪克•斯查夫（Dick Schaeffer）曾谈到，在业界最佳实践下，我们能--当然是措施得当--成功抵住来自网络访问节点上约80%的网络攻击。这是因为大多数攻击发起者--尽管他们也与时俱进，变得更加诡计多端--在本质上仍然主要是机会主义者，目的是破坏一下网络就离开，或者窃取个人数据。他们依靠大量的试探，希望能进入未设防护的或防护不足的系统中。实现最佳实践并接近一体化防务之后，各组织能反制大多数此类攻击。能管制现存情况的解决方案和程序正在被许多前瞻性机构使用，每个组织自身必须找到利用这些（解决方案和程序）的最佳方式。80%攻击之外的是什么概念？这就是网络安全团体面对的强大挑战。未知威胁和 APT ，理论上归于这 20% 部分，我们相信我们有能力预测并反制这部分。

　　高级持久威胁（APT）

　　由于现在的 IT 资产均具有高价值，我们对手的意图也改变了，所以也有了他们的策略。我们发现我们今天面临的对手，包括有组织犯罪、恐怖分子和单一民族国家在搜寻经济、政治或军事机密时更有威胁且更强大。这些目的性很强且资金充裕的组织和个人更有隐秘性、忍耐性、持久性。他们意图不是"破坏和窃取"，而是在目标网络中建立深度存在，以便在不惊动受害者的情形下随意进出"数据"战场，并能长期如此。他们可称之为网络中的间谍鼹鼠。

　　此类 APT 不能用部署更大更多的防御盾的传统方法来阻拦。对方经常使用社会工程战略，目标在于将特定的个人作为入口点--这个实际做法名为"长矛刺探"--他们有资源来开发定制化的"致病件"和"零日"，规避补丁（程序）和反病毒软件检测或降低暴露可能性。总而言之，这些现象将持久存在。一旦他们对外部防御的"弹幕射击"获得成功，就在网络本体这放置一把"长矛"（即刺探性扫描软件），他们不断地探察，寻找（网络系统）弱点，以使他们能从内部肆意妄为，在外部看来防御已无实效。因此，APT 干扰并非孤立或离散事件，但一场神不知鬼不觉的战役能跨越数年。持久威胁适应了保卫者，达成企图之后再次评估并选择分头活动和结束战役。

　　由于有目的的干扰耗时费力，所以攻击者关注高价值信息--政府和关键性基础设施信息技术系统和网络。除了这些目标代表高价值之外，还由于这些系统的结构复杂以及存在特别脆弱部分。政府网络，包括民用和国防都是跨机构的，交叉复杂，经常是许多必须的系统和网络的合并，构建时所依赖的都是不同标准。这些系统和网络以及其中软件的安全问题解决方案并未被统筹考虑，更未被作为一个整体来实现，对于经验丰富的入侵者来说简直漏洞百出。从未考虑各类系统集成的架构，到开发人员在代码开发是未考虑安全且留有应用级漏洞，这类基础设施和环境的诸多糟糕设计造成今天的高级威胁比比皆是。

　　更有甚者，APT 不单瞄准今天已安置好的网络和系统，还可能将其作为供应链加以利用，一旦在目标环境中安装成功，便可让其他有威胁的"带菌者"插入恶意代码或（控制）硬件，从而建立指挥与控制通道。我们必须实现电子系统制造的可视性和审核机制，在这些我们不能进行物理控制的设备上要考虑应用反篡改技术。

　　在保卫者赢得对APT作战胜利之前，他们必须理解对手如何操作。在洛克希德•马丁公司（Lockheed Martin），我们分析过 APT 感染，并鉴定了这个过程的七大步骤及各步骤特征，我们用防务学术界的说法称之为"杀伤链"。我们每天都用此方法保卫我们的企业网络。对于保卫者来说，杀伤链最重要的课题是在敌人达成其期望目标之前要洞悉敌人从每一步成功进入下一步的详情；仅需一次反制即可打断链条并击败敌方。保卫者在整个链条上反制措施越多，国防系统就变得越有弹力（resilient）。杀伤链各部分如下所示：

　　1、侦查。目标的研判、识别和选定通常表现为用特定技术在互联网网站上搜索电子邮箱或有关信息。

　　2、"武器"准备。通常用私自开发的自动工具连接一个远程访问木马进入一个可传递（信息）的负载系统中。逐渐地，像微软 Office 文档或 Adobe PDF 文件等数据文件等都可作为"武器"传递"设备"。

　　3、传递。"武器"向目标（网络或系统）的传递。最常见的"武器载体"传送物件（vector）是电子邮件、网站和USB可移动介质。

　　4、探察。触发攻击者的代码。最常见的方式是探察一个应用程序或操作系统的漏洞。简单的探察方式是劝诱用户打开邮件所带的可执行附件，或利用操作系统自动执行代码的特性。

5、安装。在被感染的系统中安装一个具有远程访问功能的木马或后门，允许