導讀：以史為鑒，是一個很好的詞匯。知過去，明未來。尤其剛剛過去的2020，它的跌宕起伏，加速著百年未有之變局的進程，也讓我們深刻意識到：當現實與虛擬的交織再無法割裂來看時，發展與安全也走向孿生共進退的趨勢。也因為此，從今天開始，我們將以系列專題形式，對過往進行研讀梳理，以期為同行同仁們提供一些有用信息。
本期主題的關鍵詞：關鍵基礎設施。
2020年12月，超級網絡大國美國遭遇史上最嚴重的黑客攻擊事件。據路透社報道，美國能源部、美國國家安全局等至少六大聯邦機構遭遇黑客入侵。(更多攻擊詳情，請查閱《美國財政部、商務部等政府機構正遭受國家級APT供應鏈攻擊》)
該事件在全球范圍內引起了軒然大波。這其中，不止是因它涉及美國，更因它攻擊對象聚焦在能源、核、電力等相關內容上。一旦關乎國家命脈的關鍵基礎設施遭遇危機，任何一個國家都不敢輕易視之。
事發后幾周內，美網絡安全和基礎設施安全局的多位高級官員，包括其前任董事克里斯托弗·克雷布斯(Christopher Krebs)，或是被特朗普政府開除，或是主動提出了辭職。
然而，美國此次“慘遇滑鐵盧”并非個例。伴隨近年來，地緣政治和國際環境日趨復雜，全球網絡攻擊事件頻發呈現出日益加劇的發展態勢，金融、通信、交通、能源、工控、醫療、政務網站等關鍵信息基礎設施早已成為網絡攻擊的焦點。
一、前所未有的“至暗”時刻
2015年6月21日，波蘭航空公司的地面操作系統遭遇黑客襲擊，致使系統癱瘓長達5小時，至少10個班次的航班被迫取消，1400多名乘客滯留華沙。
2015年12月3日，烏克蘭伊萬諾-弗蘭科夫斯克地區的供電系統遭到黑客攻擊，導致大規模停電事故，該地區約140萬人口陷入黑暗中達數小時之久。
2016年2月，孟加拉國央行遭黑客攻擊，1億美金被黑客輕易竊取。
2017年5月，“勒索”病毒襲擊全球150多個國家和地區，攻擊了政府部門、公共郵政、通信等關鍵信息基礎設施。
2018年2月，韓國平昌冬季奧運會開幕式當天遭遇黑客攻擊，攻擊造成網絡中斷，廣播系統和奧運會官網均無法正常運作，許多觀眾無法打印開幕式門票，最終未能正常入場。
2019年3月，委內瑞拉國迎來史上至暗時刻，內包括首都加拉加斯在內的大部分地區停電超過24小時。
再回到剛過去的2020年，新冠疫情肆虐不僅未給網絡攻擊活動按下“暫停鍵”，反而是前所未有的“加速鍵”。
2月，美國一家天然氣公司遭遇勒索病毒攻擊，致使天然氣管道被迫停止運營；
5月，英國電網重要管理機構Elexon遭到網絡攻擊，內部IT網絡受到影響、關鍵通信功能喪失;
7月，伊朗最重要的核設施再次遭遇網絡攻擊，出現被嚴重破壞的局面;
10月，印度孟買也遭遇大范圍斷電，直接導致鐵路、股票交易所、醫療設施以及其它大部分關鍵基礎設施“癱瘓”;.
.....上述一樁樁事件，已在向我們明示著：圍繞關鍵基礎設施的網絡攻擊活動，早已呈現出前所有地肆意蔓延、越發猖狂態勢;然而，在觀事件這層“面”時，我們也明顯感受到“里”——其攻擊也顯現出了新的特點與趨勢。
二、新特點、新趨勢
( 1 ) 幕后“黑手”愈發強大。
當攻擊目標發生變化時，攻擊手段與組織也會相應的與之相匹敵。關鍵信息基礎設施涉國之命脈的重要地位。因此，威脅關鍵信息基礎設施安全的幕后“黑手”早已不再是單打獨斗的網絡小黑客，而是裝備精良、資源充足、戰術復雜的國家級黑客組織。
尤其近年來，網絡空間軍事化加劇，各國網絡作戰部隊紛紛部署到位，網絡攻擊能力正全方位融入傳統戰場，令這一趨勢越發明顯。
( 2 ) 供應鏈攻擊日益猖獗。
隨著關鍵信息基礎設施功能日益豐富，其涉及的相關信息系統和軟件產品也越來越復雜，軟件供應商多、供應鏈長。從軟件開發環境、開發工具、開源社區、交付用戶等軟件供應過程中暴露給攻擊者的攻擊面也越來越多，相較于針對產品本身的漏洞進行網絡攻擊，供應鏈攻擊變得更加容易且成本更低。
尤其近年來披露的網絡安全事件中，供應鏈攻擊呈不斷上升的態勢。上述美政府機構遭網絡攻擊事件，就證實了復雜的供應鏈是網絡攻擊的薄弱環節，該事件的持續發酵也必將吸引更多的黑客組織重視這種攻擊方式。
( 3 ) 網絡攻擊的破壞力難以估量。
隨著云計算、物聯網、5G、大數據、人工智能等新一代信息技術的飛速發展和普遍應用，“一切皆可編程、萬物均要互聯、大數據驅動業務、軟件定義世界”的時代已悄然到來，整個世界的基礎都架構在軟件之上，電力、交通、能源、金融等關鍵基礎設施皆與數字化掛鉤，虛擬空間與物理世界的邊界逐漸消弭，一旦遭遇網絡攻擊，必將引發“蝴蝶效應”式災難后果，從個人隱私到企業資產，甚至國家安全皆會面臨“一失盡失”的危局。
當攻擊組織越發強大，攻擊路徑越發之多，攻擊手段越發隱秘，關乎著國計民生的關鍵基礎設施遭遇攻擊所帶來的危害性、破壞性越發深刻，甚至不可控。加強關鍵信息基礎設施網絡安全保障，瞬間刻不容緩。而關于這一點，一些重點國家早已布局。
三、觀他國，以知己
早在多年年，歐美、英國、日本、加拿大等國家就對關鍵基礎設施網絡安全防護上，從戰略法規、保障機制、技術支撐、實戰應急演練等多維度做了一系列準備。
( 1 ) 納入國家安全的戰略與政策。
2003年以來，美國陸續發布了《保護網絡空間的國家戰略》《關鍵基礎設施標識、優先級和保護》《關于提高關鍵基礎設施網絡安全的行政命令》等，明確了開展關鍵基礎設施網絡安全保障工作的部門分工、法律責任和重點領域。
2016年2月，美國發布了《關于建立國家網絡安全促進委員會的決定》總統令，提出建立國家網絡安全促進委員會，增強企業及關鍵基礎設施的網絡安全防護和恢復能力。
2018年5月，美國國土安全部發布網絡安全戰略，旨在更好履行網絡安全使命，保護關鍵基礎設施免于遭受網絡攻擊。
2007年和2013年，歐盟先后發布了《歐洲關鍵基礎設施保護戰略》和《工業控制系統網絡安全白皮書》，指導歐盟各國加強針對關鍵基礎設施網絡安全的部門協作、能力建設和應急響應。
2016年11月，英國發布《國家網絡安全戰略》，提出投入約19億英鎊，提升網絡防御技術水平，加強網絡空間建設，并將加強關鍵國家基礎設施的網絡安全作為戰略重要內容。
2018年5月，歐盟網絡與信息系統(NIS)指令正式生效，該指令側重于保障歐盟國家電力、交通以及醫療衛生等領域關鍵基礎設施的安全性，其力圖通過加強網絡防御能力以提升此類服務的安全性與彈性。
( 2 ) 設立綜合性保障機構。
2009年，在“控制系統安全計劃”的統一部署下，美國關鍵基礎設施、工控系統信息安全責任部門國土安全部成立了國家網絡安全與通信綜合中心，并于同年11月正式成立了工業控制系統網絡應急響應小組，旨在通過工控安全檢查評估、事件響應、漏洞通報、風險消減等工作來保障美國關鍵基礎設施安全，逐步形成了較為完備的關鍵基礎設施網絡安全保障工作機制。
2011年，日本經濟產業省成立了工控安全專門工作組，在信息技術促進局和日本計算機應急處理協調中心的領導下，承擔進口工控系統產品評估、產品認證、技術能力建設等工作，強化日本關鍵基礎設施網絡安全保障能力。
2017年2月，英國成立國家網絡安全中心，旨在降低英國的網絡安全風險，有效應對網絡事件并減少損失，了解網絡安全環境、共享信息并解決系統漏洞，增強英國網絡安全能力，并在重要國家網絡安全問題上提供指導。
( 3 ) 強化技術保障能力。
美國依托其能源部下屬愛達荷、橡樹嶺等國家實驗室建設了多個工控系統測試床，實施了關鍵信息基礎設施測試靶場專項計劃，開展了漏洞挖掘、安全防護、系統安全測評等一系列研究工作，有力支撐了美國關鍵基礎設施網絡安全信息共享、應急響應、風險評估等保障工作。
英國國家網絡安全中心通過實施系統漏洞掃描、DNS過濾服務等重點項目，增強電子郵件的安全性、完善軟件生態系統、降低網絡安全風險，加強國家關鍵基礎設施的網絡安全保障能力。
加拿大核實驗室(CNL)設立國家網絡安全創新中心，顯著擴大 CNL 的網絡安全研究能力，重點關注關鍵基礎設施中的網絡安全漏洞，推動提升工控系統完整性和安全性。
日本組建控制系統安全中心(CSSC)建設了石油化工、智能制造等9個工控安全模擬仿真平臺，并針對關鍵信息基礎設施網絡攻防技術開展深入研究。
( 4 ) 開展實戰應急演練。
自2006年以來，美國多次舉行“網絡風暴”演習，重點強調關鍵基礎設施的抵抗能力、重視復合事件中公共和私營部門的協作以及加強與北約盟國及伙伴國的合作。
自2012年起，美國每年舉辦“網盾演習”，以運輸行業等關鍵基礎設施遭遇網絡攻擊為場景，訓練美國陸軍國民警衛隊、空軍國民警衛隊和陸軍預備役部隊的網絡戰士以及美國執法、情報和信息技術機構文職人員的網絡應急響應能力。
此外，美國政府還組織開展“網絡衛士”系列演習，以提高軍隊和聯邦機構在戰役和戰術層面的配合能力，更好保護美國國家網絡基礎設施，預防、減輕這些基礎設施面臨的網絡攻擊并迅速從攻擊中恢復。
緊隨美國，自2010年開始，歐洲也每隔兩年舉行一次“網絡歐洲”系列演習，模擬互聯網基礎設施等關鍵基礎設施遭入侵、全國斷網等一系列網絡攻擊場景，以此演練歐洲國家網絡防御和應對黑客攻擊的能力。
四、回歸我國，啟示與建議
網觀了這么多國際他國局勢，回歸到到我國上，形勢也不容樂觀。
據國家計算機網絡應急技術處理協調中心報告，2020年僅上半年，我國大量關鍵信息基礎設施及其聯網控制系統的網絡資產信息被境外嗅探，日均超過2萬次;我國大型工業云平臺持續遭受來自境外的網絡攻擊，平均攻擊次數114次/日，同比上升27%。
面對如此嚴峻的網絡安全形勢，如何保障我國關鍵信息基礎設施安全，變得愈發緊迫，也是我們做此專題的意義。
我們梳理了以下幾方面：
( 1 ) 完善關鍵信息基礎設施保護制度體系。
縱觀上述內容，樹立正確的網絡安全觀，建全方位、全天候、全過程、全覆蓋的體系化整體保障能力已成為確保關鍵信息基礎設施網絡安全的必然趨勢。而這需要多方的努力：
國家層面：加強頂層設計。盡快制定出臺關鍵信息基礎設施保護相關法律法規，明確相關主體法律責任;
企業層面：網絡安全企業在提供服務時，應秉持“建設+運維”兩手都要抓的思維，提供網絡安全保障最關鍵的安全運維環節服務，全面提供網絡安全運維服務保障的業務模式;
行業層面：加強合作，建立面向整體保障的網絡安全產業聯盟，通過產業聯盟，聚集產業優勢資源和力量，博采眾長，以武器裝備協同攻關模式持續提升技術、產品與服務水平;
個人層面：由于人是網絡攻擊中最重要卻最容易被忽略的關鍵因素。間諜、內鬼、誤操作、人員安全意識淡薄等往往成為“黑客”突破最后一道防線的工具。所以，每個相關的個體也都應強化自身安全意識與防護能力，以法律法規和管理制度為約束，杜絕非法操作。
( 2 ) 構建安全可信的供應鏈和物流鏈。
關鍵信息基礎設施的建設、運維等全生命周期，均涉及到硬件的供應與配送、軟件的開發、采購及更新。要保障關鍵信息基礎設施的安全，軟硬件的供應鏈和物流鏈顯得格外重要。
因此，應加強安全審查，構建供應商、物流商白名單制度;此外，還應加強對相關軟硬件產品的安全測試，通過測試的軟硬件產品才能在關鍵信息基礎設施中安裝使用。
( 3 ) 強化網絡安全技術的自主創新。
要實現整體安全，必須加強技術升級換代，聚焦核心技術突破，在基礎性技術、前沿性技術、顛覆性技術投入研發方面花大力氣，盡早實現關鍵信息基礎設施網絡安全裝備自主創新。
可以借助民間網安力量，推進軍民融合，協同攻關，尤其在突破網絡安全態勢感知，預警監測的核心關鍵技術上，應盡早盡全面地積累網絡安全態勢數據和情報，達到安全威脅早發現、早預防、早處置、早加固，防患于未然，全面提高網絡安全防御的主動性。
( 4 ) 構建關鍵信息基礎設施大安全生態。
關鍵信息基礎設施涉及到復雜的功能和應用場景，傳統零散、局部、補丁式的安全防護模式已無法有效應對層出不窮的安全漏洞、安全邊界模糊的網絡環境，以及攻擊者日益高級的攻擊方式。
所以，應充分運用云計算、大數據、人工智能、物聯網等新一代信息技術，聯合政府機構、核心基礎設施單位、配套企業共建“安全大腦”，實現網絡安全威脅的動態感知、預警分析、智能處置，實現從被動防御到主動防御的轉變，逐步建成關鍵信息基礎設施大安全生態。
( 5 ) 加強關鍵信息基礎設施安全演練。
網絡安全演練是檢驗、鍛煉和提高關鍵信息基礎設施防護能力的重要手段。所以，在最后我們建議關鍵信息基礎設施管理運營單位將開展常態化網絡安全演練納入管理制度和考核指標中。針對關鍵信息基礎設施防護，引入現實社會因素，設置訓練題目和訓練流程，盡可能真實地模擬現實復雜情況，在演練中發現問題解決問題，不斷提高網絡安全防護水平。
在“4.19講話”中，習近平總書記就明確指出：“沒有網絡安全就沒有國家安全”、“要樹立正確的網絡安全觀，加快構建關鍵信息基礎設施安全保障體系”、“金融、能源、電力、通信、交通等領域的關鍵信息基礎設施是經濟運行的神經中樞，是網絡安全的重中之重”。
所以，不管基于全球發展態勢的大局勢，還是踐行保護國家安全的重要使命，我們都必須深入研究，采取有效措施，切實做好國家關鍵信息基礎設施安全防護。
為此，在這場博弈中，我們才不會受制于人。
參考資料：
信息安全與技術-《加強關鍵信息基礎設施網絡安全保障刻不容緩》
人民網-《整體保障關鍵信息基礎設施網絡安全》
原文來源：國際安全智庫
