美国时间2021年5月7日，美国最大燃油管道商科洛尼尔（Colonial Pipeline）遭高强度勒索软件攻击，导致东部沿海各州关键燃油网络被迫关闭，美国交通部宣布进入紧急状态。这一事件再次暴露出数字经济时代关键基础设施的高度脆弱性，表明网络安全已上升为空前的战略高度，“没有网络安全，就没有国家安全”。应当站在全球视角和网络战的高度审视该事件背后的意义，反思加强关键基础设施安全保障与防范网络攻击的应对之策。
01事件进展
作为美国最大的燃油运输管道商，科洛尼尔负责运营美国东海岸地区约45%的液体燃料管道运输供应服务，覆盖5000万用户。事件发生后，为防止事态扩大，科洛尼尔被迫暂停输送业务。拜登政府成立了紧急工作小组，宣布在阿拉巴马等东部17个州和华盛顿特区实施紧急状态，并由能源部牵头，联合联邦调查局、国土安全部、火眼公司等共同对该事件进行调查取证，全力帮助科洛尼尔恢复运营。但截至目前，该公司主要管线仍然处于脱机状态，仅有终端和交付点之间的一些较小管线尚能使用。
对该事件的调查仍处在初期阶段，目前还没有组织承认对此事负责。但5月10日联邦调查局已正式“确认”，一个名为“黑暗面”（DarkSide）的俄罗斯犯罪集团是幕后黑手。关于攻击的起因，英国网络安全公司Digital Shadows认为，DarkSide购买了远程桌面软件的帐户信息，新冠病毒流行期间，科洛尼尔工程师在家中通过远程访问管道控制系统进行办公，致使其账户遭受DarkSide入侵。
02分析反思
这起有史以来美国遭受到的最严重关键基础设施网络攻击事件，再次印证了未来网络战的若干趋势和特点。
1、关键基础设施成为网络攻击的首要目标
由于物联网、工业互联网等的快速发展，虚拟世界和物理世界已经打通，所有对虚拟世界的攻击都可以传送到物理世界。随着越来越多的水、电、交通等设施接入网络，今天的网络攻击已经可以直接攻击一个国家的能源、电力、交通、通信等关键行业。针对国家、城市的高级网络攻击甚至会导致整个产业链的崩溃，造成不亚于大规模热兵器攻击的毁瘫效果。比如2019年南美四国全国大规模停电事件、2020年美国太阳风供应链攻击事件都充分显示了网络战的威力。
2、高级别专业力量成为网络安全主要对手
网络攻击的主体发生深刻变化。网络安全人员过去的对手是内部违规员工、黑灰产人员甚至炫技的小毛贼。今天，网络空间的主要对手已升级为专业化高级黑客组织或网络战部队这样的大玩家。本次事件中涉嫌的DarkSide组织就由多名资深黑客组成，且有很强的组织性，其攻击手法不仅仅是普通的勒索软件威胁，还结合了长期的情报侦察、踩点、渗透等手段，发展为高级持续威胁（APT）与勒索软件的结合体—定向勒索（Targeted Ransomeware Attack）。这种针对大型基础设施精心准备的定向勒索攻击势必成为今后网络战的一个重要趋势。
3、漏洞是网络安全的命门
现在是“软件定义一切”的时代，今天我们日常使用的所有东西都是网络化、智能化的，背后都是软件。软件都是人编的，是人就会犯错误。国际上统计，平均每千行代码就有4到6个漏洞。特别是能源行业的工业控制系统等关键基础设施较为陈旧，遗留的系统漏洞众多，更容易被利用。但是这些漏洞又无法彻底修复，黑客只需要利用一个未知的漏洞就可以将网络打穿。
4、网络攻击不分战时平时，必须要未雨绸缪
网络安全具有很强的隐蔽性，一个漏洞可能隐藏几年都发现不了，一旦有事就发作，因此传统的战时与平时的划分已经不再适用网络战。最近美国波耐蒙研究所（Ponemon Institute）一项调查研究表明，全球公用事业公司中有56% 曾报告近期至少发生过一次数据丢失或运营中断的攻击事故。由此可见，网络攻击时时刻刻都在发生。因此不仅要做好战时应对，也要未雨绸缪做好持续备战。
5、高级威胁是整体战，不分军民，不分单位和个人
数字时代万物均要互联，今天的网络已经是一个整体，不分军用民用，难分国家、企业、个人，每个节点都可能成为攻击跳板，影响整个国家安全。依靠物理隔离方式对涉密网、专用网等进行防护往往失效。例如“震网”攻击以及此次攻击事件都存在跨隔离网实施攻击的情况。网络攻防是整体作战，特别是民用机构拥有和运营大部分关键基础设施，也是安全的第一道防线，加强其网络防护十分重要。
6、没有攻不破的网络，入侵后的恢复和减损十分关键
没有攻不破的网络，只有不努力的黑客，使用国产替代也只能抵御供应链预置，却不能避免漏洞风险。即使是美国，其网络被攻破的事件也时有发生，此次攻击事件就是明证。被攻破难以避免，关键是系统被攻破后能否被迅速感知、阻断和恢复。面对网络攻击导致的破坏和影响，关键基础设施容忍度非常有限，越晚恢复将造成损失的指数级增长，比如此次攻击事件已经造成美国汽油期货大幅上涨，并可能引发炼油厂部分关闭的连锁反应。
7、面对高级威胁，分割碎片式防护已无能为力
本次事件再次表明依靠分割碎片化的防护措施对专业级乃至国家级网络攻击的防范几乎是无效的。在数字化时代，单点安全能力始终是有限的，高级威胁面前没有幸存者，光靠任何一个部门、企业或单位都无法独自应对。本次事件发生后，美国安全部门已经在反思以往防护策略的缺陷，如公私合作应对机制不畅，针对联邦政府的防御措施未能扩大到私营关键基础设施等。
03启示与建议
我国“十四五”规划明确提出要“加快数字化发展，建设数字中国”。网络安全作为数字经济的基座，不容有失。本次事件再次警示我们，在当前国际网络空间博弈空前加剧的形势下，要采取切实措施加强关键基础设施网络安全保障，防范重大网络攻击风险。
以下是几条启示与建议
一、梳理关键基础设施清单，定期开展联网资产清查、分析和安全加固，筑牢网络安全保障根基
习总书记在“419讲话”中明确指出:要全面加强网络安全检查，摸清家底，认清风险。“摸清家底”，即精准掌握网络资产分布情况。建议定期或持续采购第三方安全机构对区域范围内面向公众、内网、专网提供网络信息服务的信息系统或工业控制系统进行全生命周期管理资产测绘。持续采购第三方安全机构提供的安全渗透、安全测试等专业服务，加强安全加固整改，不断消除安全隐患。
二、是加快建设以安全大脑为核心的新一代能力体系，提升关键基础设施安全监测预警与协同处置能力
具有国家背景的高级持续威胁组织严密、潜伏期长、隐蔽性强，已成为数字化时代的重大威胁。传统以产品为主导、以合规为驱动的网络安全体系无法处置应对这类高端复杂攻击。亟需站在实战对抗和整体防御视角，建设以安全大脑为核心的新一代能力体系，基于全时、全视角、全维度的安全数据，通过持续的知识化提炼和高级安全专家支撑，大幅提升看见高级网络攻击行为能力和日常安全运营能力，打造网络空间的“预警机+反导系统”。
三、建立并完善关键基础设施的网络容灾备份体系，实现弹性容侵和抗毁顽存
建议立足于底线思维和敌情意识，建立关键基础设施容灾恢复组织机构，涵盖容灾恢复决策、管理、实施、执行等角色和职能，制定数据备份、事件响应、灾备中心切换、系统恢复等关键流程和预案。进一步建立并完善关键基础设施的容灾备份体系，实现跨设备、跨地域、跨数据中心之间的快速数据接管和系统恢复，确保关键业务连续运行不中断。
四、建立实战导向的网络安全能力检验机制，针对关键基础设施开展常态化全国性演练
使用实网攻防排查关键基础设施的安全隐患已经被证明行之有效。但是现在很多单位的演习活动依然局限于单一部门、地域和系统，无法提升国家层面的信息共享和网络防御能力。建议将国家整个网络作为演练目标，统一指导、统一规划，建立可信可控的网络实战演练平台，运用APT网络攻防知识，用实战演习模式检验和锻炼应急响应、情报共享、处置恢复等应急响应体系，增强国家网络整体防御能力。
-- End --
（谢绝未保留作者信息的任何形式转载）
发表评论 取消回复