2．网络空间威胁与脆弱性：行动案例

在“9·11”恐怖事件发生后的一周，另一起攻击事件再次使位于世贸大厦几个街区的世界领先级金融服务公司遭受了打击。这起攻击事件对于经济活动打击的危害远大于它所造成的物理危害。问题的严重性不在于它所导致的可估量的巨大损失，而是它为人们可能面对的未来世界蒙上了巨大的阴影。这次名为“NIMDA”（即“ADMIN”的倒序拼写）的攻击对于一个已经依赖于计算机网络的国家而言，不啻为一次警钟。

NIMDA是一次结合了计算机蠕虫和计算机病毒的自动化网络攻击。它在美国境内迅速传播，并且能够通过不同的途径入侵计算机系统并破坏系统中的文件。它在1小时内便传遍美国，并在短短几天内便感染了多达86000台计算机。NIMDA给受到良好保护的企业造成了严重危害，迫使公司断开网络连接，关闭客户访问，甚至导致某些公司不得已重建整个系统。由于缺少追踪由此而造成的损失的持续性方法，我们无法确定NIMDA造成的确切经济损失。但是，据业界资料显示和估计，通过恶意代码实施的网络攻击行为在2001年造成的经济损失高达130亿美元。

在NIMDA爆发前的两个月，一种名为“红色代码”的网络攻击在14小时内便使150000台计算机系统遭受感染，造成了数十亿美元的经济损失。这些事件证明了网络攻击具有日益增加的复杂性和破坏性。同时，攻击的次数也迅速增加。CERT的统计数据表明，1998年有3700起攻击事件发生，2002年则增加超过了110000起。其他机构的统计资料同样表明网络攻击的动态增长趋势。这一趋势仍将继续下去。

当今的美国与网络空间息息相关

在美国，信息技术的革新已经悄无声息地改变了经济活动和政府职责的运行方式。在没有对安全问题进行充分考虑的情况下，国家便将对于制造业、设备业、银行业、通信业的关键程序的控制权交付给了联网的计算机。交易的成本也因此而得以下降，产量也得以大幅度提高。更大范围地应用网络系统势在必行。

2002年，美国的经济和国家安全已经完全依赖于信息技术和信息基础设施。彼此相联的网络支持着所有经济部门的运行。这些部门包括：能源（电力、石油和天然气）、运输（火车运输、航空运输和海洋运输）、银行与金融、信息与通信、公众健康、应急服务、供水、化学、国防工业基地、食品、农业、邮政和船运。对这些计算机网络的应用进一步扩大了网络空间。这些计算机网络同时也控制着电子传输、火车、输油管道、化学容器、雷达和股市等物理载体。

Internet是我们所依赖的信息基础设施的核心。设计它的初衷是使科学家能够共享无密级的研究成果，并且假设这些科学家不会将该网络用于其他目的。与最初的Internet类似的网络如今已经连接了数百万的计算机网络。美国的关键服务正是依赖于这些网络得以正常运行。在Internet迅速发展的过程中，它的安全问题也日益突出。世界各地的人们都可以通过与Internet相联的网络访问到位于美国境内并支持关键功能运行的网络。

攻击美国信息网络的行为时有发生。所造成的后果包括：破坏关键功能的运行，导致财政和知识产权的损失，甚至危害公众的生命。为了降低现有网络的脆弱性并确定和阻止可能危害美国国家基础设施的网络攻击，必须使网络具有目前所缺少的强健性。

对受害主机数目的调查如下图所示：

威胁的范围

针对美国国家信息基础设施的攻击者有很多种，具体包括：从Internet上下载恶意软件并在网络上随意扰人的攻击者；仅仅试图证明其卓越破坏技术的黑客；利用其访问权限进入计算机系统并造成破坏的受信任的内部人员；在网络上专门实施欺诈、威胁、盗窃的犯罪性组织；正在对美国进行间谍活动并试图发展自己，以便在未来的冲突中破坏美国的经济、削弱或控制美国对其实施反击所依赖的物理资源或网络系统的恐怖分子和敌对国家。

确定事实上的或可能的攻击者有两层目的：不仅应阻止其实施攻击行为并将其绳之以法（例如，传统意义上对于犯罪分子的惩治，网络战意义上的军事行动），而且要通过掌握其攻击技术进一步增强对于国家网络空间的保护。

在未知的威胁面前减少网络的脆弱性

虽然美国必须应对具体的威胁，但直至获知某个被确定的攻击者的攻击行为后方才修补基础设施中的严重脆弱性是一个具有极端风险的战略，这无法抵御潜在的威胁。2001年爆发的“红色代码”和NIMDA便在没有任何预警的情况下迅速席卷了美国全境，很多受害者甚至没有机会在遭受攻击之前得到报警信息。即使他们得到了报警信息，很多人也缺少必要的时间、知识和工具保护自己。实施相应的防护措施在某些情况下需要投入若干天时间。

由此得到的教训是：任何依赖于联网的计算机系统的人们必须及时确定并修补系统的脆弱性，而非被动地阻止已经发生的攻击行为或收到报警信息。虽然目前仍然没有捕获制造“红色代码”和NIMDA事件的元凶，但必须强调的是：计算机攻击属于严重犯罪行为之列，攻击者被成功捕获的概率正在逐渐上升。

通过信息安全技术审计专业小组来确定系统脆弱性通常需要2～3月。通过建立多层防护和韧性网络来修补系统中的严重脆弱性将需要更多月。必须有规律地定期重复这种修补系统脆弱性的过程。

“红色代码”在全球的传播示意图如下图所示：

新的脆弱性需要持续的响应

因新的脆弱性会不断形成或被发现，必须持续性地实现网络与系统的安全性。CERT/CC指出，网络事件和攻击行为发生的次数正在迅速增长并且引起了广泛关注，攻击者可利用的脆弱性亦是如此。已确定的计算机安全的脆弱性（即允许非授权访问或破坏网络的软件与硬件问题）数量在去年迅速增加，由2000年的1090起上升到2001年的2437起。

安装网络安全设备并不能代替对于网络安全防护状况的持续更新和关注。计算机安全学会近期的一项调查表明：虽然90%的系统安装有防病毒软件，但这些系统中依然有85%感染了计算机病毒；虽然89%的系统安装有防火墙，60%的系统安装有入侵检测系统，但这些系统中依然有90%有安全漏洞，40%遭受了外来的入侵。安全实施能够削弱大多数安全脆弱性。这些调查数据表明，好的安全实施并不仅仅是安装安全设备，还包括正确地运行这些设备以及对其定期地打补丁和更新病毒库。

网络空间安全及其机会成本

对私企或者国家经济整体而言，增进计算机安全状况都必须投入精力、时间和资金。布什总统已经要求国会在2003财年的支出中将用于实现联邦计算机安全的资金增加64%。

通过节约成本的电子政府解决方案、现代化的企业管理模式以及减少浪费和欺诈的途径，布什总统在联邦计算机网络安全方面的投资将最终减少花销。

缺乏可信、可靠和安全的信息系统已经阻碍了国家经济，尤其是信息技术工业的进一步发展。信息技术的革新对于经济持续增长的促进作用也因此而受到制约。包括电子商务和B2B模式在内的发展契机也受到了计算机安全风险的制约。网络空间的脆弱性不仅给这些交易活动带来了很多风险，也威胁到了知识产权、商务运行、基础设施服务和客户信任。

调查表明，对于网络安全的资金投入将带来回报。

一次严重的计算机攻击导致的资金投入很可能大于网络安全计划的前期投入。

在企业信息系统体系结构中采用强安全策略能够减少整体运行成本，具体途径是采用能够节约成本的安全过程，例如，在缺乏适度安全性的网络中禁止实施远程访问以及客户或供应链的互动。

这些结果表明，通过提高对于这些问题的意识，公司能够通过改善其网络安全状况而受益。更清晰的意识和自愿性的努力是本战略的关键所在。

个人与国家的风险管理

“9·11”事件发生之前，美国境外的恐怖活动对于美国国土造成的危害非常有限。但仅在一天之内，这个情况就被彻底改写了。有人估计，在4年时间里通过攻击美国的信息系统进而进一步打击美国的经济，前后所造成的损失将是1:4的关系。这个相对保守的估计如今也被彻底推翻了。

在美国，每天都有公司或个人家庭用户因网络攻击行为而遭受重大甚至毁灭性损失的事件发生。国家也面临同样的威胁。对于国家所依赖的那些网络和系统：

潜在的对手有实施网络攻击的意图；

破坏工具随处可得；

国家网络系统的脆弱性众多并且被人熟知。

这些因素表明，没有一个战略能够彻底消除所有风险。但是美国能够而且必须采取行动，尽职尽责地对这些风险进行管理，将通过利用脆弱性所造成的危害降至最低程度。本文作为一份公开文件，不包括潜在对手尚未知晓的具体内容。1997年，总统委员会曾在一份公共报告中讨论过某些风险；2000年，发布了第一部有关的国家计划。2001年，布什总统通过签发行政令，将网络空间安全问题列为最重要问题之一，并增加了用于增强联邦网络安全的资金投入。2002年，布什总统进一步组织并强化了联邦网络空间安全机构。

CERT-CC报告的脆弱性数目（1995—2001年）如下图所示：

CERT-CC报告的事件数目（1988—2001年）如下图所示：

政府单独行动无法实现网络空间的安全

尽管有足够的意识并采取了很多措施，安全风险依然威胁着美国的信息网络和关键系统。降低这些风险要求美国和其全球合作方的各个组成部分共同构建一个主动且前所未有的合作关系。

联邦政府不应该，同时也无法实现私营银行、能源公司、运输公司或其他私营部门的计算机网络的安全。联邦政府不应为实现家庭、大学、地方政府和部门的计算机网络安全化而侵犯他们各自的活动。

所有依赖网络空间和信息网络的美国公众必须对其所拥有或负责的信息网络的安全状况负责。

联邦政府将通过以下途径帮助美国公众：

增强意识；

分享关于脆弱性及其应对方案的信息；

增进私营组织以及其他团体之间的合作；

促进技术的发展；

培训专业人员；

调查和惩治网络犯罪行为；

保护联邦计算机；

增强国家经济和安全所依赖的网络的安全性。

归根结底，网络不应该是一个弱肉强食的场所。它是一个采取防范措施便会有所回报的场所，体现着资金投入的效果，关系着美国的安全与否。美国的物理基础设施自19世纪建成以来便受到了良好的保护。例如，通过铁路警察的监督降低了大规模运输网络面临的威胁。如今物理安全问题依然存在，但是已经被网络空间的安全问题所超越，这两个问题是相关联的。网络安全能够影响物理基础设施的安全，反之亦然。政府和业界必须对这二者之间的相互影响和独立性进行分析，但同时也必须对网络空间中独特且新兴的脆弱性问题给予特殊关注。