第2章
網絡空間安全的挑戰

2.1　網絡安全關系國計民生

40年的信息化和數字化使中國成為全球網絡大國，截至2019年6月，中國網民規模達8.54億人，中國固定寬帶用戶數累計超過4.6億戶，覆蓋全國所有城市、鄉鎮和93.5%的行政村。8Mbit/s以上接入速率的寬帶用戶占比達到53.4%，20Mbit/s及以上接入速率的用戶占比達到19.6%。但一輪輪的高速信息化，并沒有把我們建設成一個網絡強國，隨著組織對信息技術的依賴越來越重，網絡安全風險日益成為組織下一步發展的重大挑戰，尤其是關系到國家安危的關鍵領域。

2.1.1　網絡虛假消息會重創實體經濟

2013年4月23日，美聯社推特賬號被黑（推特賬號類似于中國的新浪微博賬號）。一個叫做敘利亞電子軍的黑客組織聲稱對此負責，這個黑客組織控制了美聯社的推特賬號之后，只做了一個操作，就是利用這個推特賬號發布了一條消息。這條消息如圖2-1所示，一共有12個單詞。

這是一則典型的假消息，也就是所謂的謠言，但是請不要小看這條謠言，這條謠言后續對美國實體經濟造成了巨大的影響。這條假消息發布后，道瓊斯工業平均指數在三分鐘內重挫140點，瞬間造成將近1365億美元的損失。這個事件發生之后，很多人反思，為什么一條很明顯的假消息會對道瓊斯指數造成這么重大的影響？研究后發現，當時很多華爾街投資機構的交易操作已經不是靠人工操盤手去處理了，而是由人工智能或機器人來完成的，他們希望通過這樣的信息化技術來縮短交易指令下達的時間，以實現更快速的市場反應。華爾街的各大交易機構在2010年左右都上線了交易自動決策系統，這樣的系統會從全球互聯網實時爬取各種權威消息，并通過人工智能對爬取來的消息進行自動分析：這些消息是對市場有正面的影響，還是有負面的影響？隨后通過算法自動得出決策，確定是買入還是賣出，并實施。美聯社的推特消息被發出以后，這些系統實時采集到了這樣的消息，之后自動分析這條消息是對市場有負面影響的消息，于是在第一時間自動決策拋出所有持有的股票，而這個過程中人工根本來不及糾錯。如此一傳十，十傳百，導致整個華爾街各個機構的連鎖反應，最終造成了嚴重損失。

傳統上我們認為，網絡事件無非就是病毒木馬、惡意攻擊，這樣的攻擊方式最多只會造成單個設備或者單一組織的損失，但通過這個事件我們可看到網絡安全事件對社會實體經濟和社會穩定造成了巨大影響。

在當時，這樣的問題對全世界各個國家和組織來說都猝不及防。為了應對類似的問題，甚至出現了一些很多普通人不能理解的政策，如對于國內微信或者微博，假如你傳播或轉發虛假消息或謠言后，有超過500人閱讀，便要進行行政處罰。如何去發現和統計？在當時來說都是不可能的。而如今我們再反觀這樣的一條政策，就能夠理解了：由于互聯網的發展，假消息和謠言能很快造成民眾恐慌，或對實體經濟造成重大打擊。

2.1.2　棱鏡門事件

2013年的棱鏡門事件反映出了全世界國家和組織面臨的另一項典型威脅，即信息設備的可信問題。

2013年德國《明鏡周刊》披露的美國國家安全局棱鏡門事件中泄露的工具集顯示（見圖2-2），斯諾登披露的美國國家安全局工作人員常規使用的每一款軟件工具，都是利用已知的美國企業生產的信息設備或軟件系統的底層后門進行遠程控制、遠程抓包的監聽工具。

如圖2-2中第28、29、30項軟件工具，分別指向Juniper防火墻永久入侵軟件。也就是說，通過這幾款軟件，可以遠程連接到全球任意一個部署了Juniper防火墻的企業或組織的網絡，可以抓取通過這個防火墻的所有流量進行分析，監聽通過這個防火墻的所有數據包。對任何一個國家或組織來說，這就會泄露很多秘密。

而圖2-2中編號7是一款iPhone的遠程入侵軟件，也就是在當年全球鬧得沸沸揚揚的“iPhone關機竊聽工具”。利用這一款工具，美國國家安全局的工作人員可以遠程連接到全球任意一臺蘋果手機。即使你的蘋果手機已經關機，通過這款工具，還是可以連接到這臺手機，竊聽這臺手機周邊發出的聲音，獲取這臺手機的GPS定位，同時還可以調用這臺手機的攝像頭，采集攝像頭正對位置的圖像和影像。

為什么iPhone手機關機了，還是可以通過這款工具采集到這些信息呢？關機又分軟關機和硬關機，那么，什么叫硬關機呢？拔下手機的電池，就叫做硬關機。軟關機指的是手機雖然看上去已經關閉，但其實它的主板是持續帶電的，所以主板上的一些模塊，還是可以運轉，并沒有真正地關閉。而只有在拔除電池之后，主板上才會沒有電流，所有模塊才真的處于關閉狀態。手機在早期發展的時候，是允許用戶更換電池的。以前，很多用戶出門時往往會帶上一塊備用電池，以防手機沒電的時候及時替換。那么你知道從什么時候開始，我們的手機電池被封裝在了手機內部，不再提供給用戶進行拆卸更換了嗎？

自棱鏡門事件之后，很多企業即啟動了信息設備可信保障的工作，也就是所謂的“去IOE”，即將原來無法獲取代碼的封裝軟件替換成可驗證代碼安全的軟件，但可信保障工作推進困難。2014年，某企業內部定了個目標，為擺脫依賴，要求集團內部的信息網絡和系統到2019年年底完成安全可信產品替換，即將內部信息網絡和系統中使用到的信息設備和軟件系統盡最大可能替換為安全可信產品，要求最終達到所有IT產品的80%是安全可信產品。然而當2019年來臨，這家企業卻發現企業中很多IT設備和系統已經不可被替換。

舉例來說，該企業原來計劃對員工辦公網絡中計算機的操作系統進行替換。原有的操作系統是由微軟提供的Windows系列，他們希望替換成基于Linux內核的開源操作系統。在對所有國內品牌的Linux操作系統進行了長達一年的測試后，該企業發現這樣的替換根本就無法實施！原因是雖然辦公計算機的操作系統重裝非常容易，但是由于該企業在從20世紀80年代開始的信息化過程中自建了大量的業務系統，多達數百套，而這些自建的系統正是基于Windows平臺的。一旦桌面終端的操作系統更換成Linux，數百套的業務系統將無法與操作系統有效兼容。如果在這樣的情況下貿然進行替換，將會導致嚴重的業務中斷問題。

棱鏡門事件顯示出從國家層面，目前很多信息網絡的基礎設施天然就存在不安全性，面臨著嚴重的被監聽風險，而且短期內這種風險不可能被根除，這已經成為高懸在世界各國頭頂上的達摩克利斯之劍。

2.1.3　社交網絡與信息繭房

2018年3月，英國劍橋分析公司利用Facebook數據控制用戶的事件持續發酵。《紐約時報》披露，在2016年美國總統大選期間，在未經允許的情況下，英國劍橋分析公司從5000萬Facebook用戶那里收集數據，并將它們用到了政治廣告的推廣中，最終影響了Facebook用戶最終的投票選擇。

劍橋分析公司的手法很簡單，就是在獲取用戶信息后進行數據分析，通過使用用戶喜好的方式滲透其社交網絡，從而達到改變用戶心理的目的。這一操作在商業上是很好的營銷手段，但要運用在政治活動中就非常可怕了。

這些運作要以強大的用戶數據作為支撐。首先，劍橋分析公司利用Facebook的第三方服務，建立小游戲和小測試，入駐Facebook體系。他們推出了一款性格測試的App，聲稱是心理學家用于做研究的App，在2014年前后，大眾對數據保護的意識還不強，27萬Facebook用戶參與了其中的測試，他們將自己的姓名、年齡、籍貫、興趣愛好、業余活動等信息統統報告給了這款App。通過這款測試軟件，劍橋分析公司拿到了用戶的第一手數據，并構成了用戶的政治傾向畫像。這款App利用滾雪球的方式，將原本只有27萬人的小樣本迅速擴展至5000萬人。他們對5000萬用戶在Facebook上的日常行為進行分析，采集他們對哪些觀點的文章感興趣、喜歡發表哪些類型的言論等數據，從而判斷用戶的政治傾向。隨后將不同政治傾向的用戶進行分類，通過定向推送廣告來影響用戶的政治觀點。

如今，全球互聯網公司熱衷于通過社交網絡來打造信息繭房[1]，從而實現用戶對互聯網產品的“黏性”，他們設計算法或機制向用戶不斷推送用戶最感興趣的新聞資訊或內容，用戶則樂此不疲地將大量時間消耗在這類產品上，一段時間以后，用戶就會被桎梏在由自己閱讀傾向所構建的信息繭房中。擴展到整個社會，全社會群體每日最關注的信息內容可能是通過百度指數或熱搜排行來體現的。而在熱搜排行當中，大多數時候娛樂新聞已成為主要用戶關注的信息資訊種類。這就是信息繭房形成之后對用戶認知的影響體現。這樣的認知改變方式一旦被別有用心之人所利用，其影響及后果將會非常可怕。

劍橋分析公司通過互聯網來干預用戶的政治選擇，就是利用了繭房攻擊[2]的原理。利用信息繭房在潛移默化中影響對象的觀點，就如同電影《盜夢空間》中所描述的：改變人的一個念頭。在網絡世界，改變一個人乃至一群人的念頭已經成為可能。

這種新型攻擊并不是空穴來風，我們看到2010年以后的重大國際地緣政治事件中都有它的身影，通過社交網絡向政治領域進行滲透攻擊，也已經成為世界各國網絡安全面臨的主要威脅之一。

2.1.4　工控系統成為網絡攻擊練兵場

2012年伊朗爆發了震網病毒事件。震網病毒是一種只攻擊工業控制系統的獨特病毒，病毒暴發之后，在伊朗核電站內瘋狂傳播，造成1/5的伊朗離心機報廢，伊朗核設施內基于核電技術的研究也就此終止。

這個事件在當時引起了全球各國的高度關注。震網病毒的特點表明它并不是一個普通的病毒，它是經過特定的設計，只針對特定工業控制系統發起針對性攻擊的致命病毒。伊朗的敵對勢力將震網病毒代碼拆分成一個個片段，并將這些代碼片段分發出去，感染核電站的供應商或者核電站系統建設的零部件廠商，在各個不同的供應商內部傳播震網病毒的不同片段。單獨的片段在特定供應商組織內部傳播時是不具備破壞性的，并且由于病毒片段的代碼量較小，因此供應商在設備出廠的安全檢測或核電站驗收時的模塊檢測中并不能發現該問題。單一被拆分成片段的代碼并不具備危害性，而當不同的供應商所生產的設備在伊朗的核電站內進行組裝并集成上線時，來自震網病毒不同片段的代碼在運行過程當中就會聚合，并發起對指定傳感設備的攻擊，篡改檢測設備的反饋數據，致使離心機過熱而報廢。

這樣的攻擊手段暴露了全球工業控制網絡的薄弱環節，對各個國家的關鍵信息基礎設施都造成了非常大的威脅，因為在各個國家，包括電力、水務、天然氣、石油化工等領域所用到的工業控制系統都面臨著大同小異的問題。在這些領域中，早期的信息系統建設階段往往只關注系統的功能和可靠性，對系統安全性的考慮總顯得不足。這些系統被設計成全年7×24（小時）×365（天）不中斷地運轉。時至今日，很多系統已經這樣全年無休地運轉了幾年、十幾年甚至幾十年。在缺乏安全機制的前提下，這類系統很難被保護：一方面，不同于互聯網或移動互聯網的異構協議少有人能看懂；另一方面，由于其全年無休，導致即使設備廠商發現了漏洞，發布了補丁，為保障系統的持續運轉，也沒有人敢停機進行維護。因為很多時候，這些長期運轉的設備一旦停機，往往積勞成疾，出現莫名的故障而無法重啟。

在這樣的狀態下，目前大部分的工業控制系統網絡采用網絡物理隔離的方式來限制風險的流入，然而隨著工業互聯網、工業4.0時代的來臨，工業控制系統網絡已經不能獨善其身，它們越來越多地接觸互聯網、移動互聯網以及物聯網，這些網絡的互聯互通是大勢所趨，在這樣的背景下，工業控制系統的薄弱問題就凸顯出來了，成為網絡攻擊技術的練兵場。

2019年3月和7月，由于遭受網絡攻擊，委內瑞拉發生全國性大停電。停電的直接原因是裝機1006萬千瓦、發電量達510億千瓦時的古里水電站遭到破壞，導致幾乎整個委內瑞拉電網瓦解。據委內瑞拉政府方面披露，電力系統前后遭遇了三階段攻擊。第一階段是網絡攻擊，主要是對古里水電站的計算機系統中樞，以及連接到加拉加斯（首都）的控制中樞發動網絡攻擊。第二階段是電磁攻擊，通過移動設備中斷和逆轉恢復過程。第三階段是通過燃燒和爆炸對一系列變電站進行破壞，進一步使委內瑞拉的所有電力系統癱瘓。此攻擊導致數百萬人沒有自來水，無法進行通信。這次停電加劇了委內瑞拉的經濟危機。

2.1.5　網絡攻擊工具泛濫

2017年WannaCry（想哭）病毒暴發，該病毒在極短的時間內快速攻占了全球各類組織的核心網絡。其中很多甚至都是人們通常認為非常安全的機構，如公安機關、道路交通電子屏、列車調度中心等，這些網絡通常被認為隔離在互聯網之外。

另外一些讓人意想不到的設備也受到了攻擊，比如超市的收銀計算機、戶外的大屏幕等，這些設備往往被認為是不聯網的單機設備，但真實情況是它們仍無法阻止病毒的滲透，如圖2-3所示。

WannaCry病毒之所以穿透力那么強，主要是因為黑客利用了一款美國國安局泄露的網絡攻擊工具“永恒之藍”，黑客將“永恒之藍”與勒索病毒進行捆綁，利用“永恒之藍”的穿透能力，結合勒索病毒的破壞能力，就造出了WannaCry這一殺傷力巨大的“網絡導彈”。

WannaCry病毒標志著全球網絡攻擊工具大泛濫的開始，未來會有更多機會讓初出茅廬的黑客可以輕易獲取各國軍事級別的網絡工具，隨著這些工具被濫用，會造成全球網絡攻擊的大爆發，這將對國家和社會穩定造成重大影響。

2.1.6　物聯網安全引人憂

2014年8月1日晚上7點，在浙江溫州，很多正在家中看電視的居民都被眼前的一幕驚呆了，此時在電視屏幕上出現大量反動宣傳圖文，其傳播范圍涉及溫州市鹿城區、龍灣區、甌海區以及洞頭縣的15.98萬戶人家，一共46.5萬臺電視機頂盒遭受黑客攻擊。黑客將反動信息通過技術手段直接植入用戶的機頂盒。這種前所未有的攻擊方式展現了物聯網設備的巨大安全隱患。由于此事件的影響，2015年前后全國各地主要城市的有線電視企業陸續推出一些為用戶免費更換高清機頂盒的活動。他們希望通過更換高清機頂盒來修補原有機頂盒上存在的固有漏洞，以降低類似情況發生的可能性。

2016年10月21日，一場始于美國東部的大規模互聯網癱瘓突然襲來，半個美國的網絡陷入癱瘓。當天，在毫無征兆的情況下，為全美大部分地區提供基本上網保證的域名解析服務商Dyn的服務器的各個入口被涌來的垃圾流量占滿。Dyn本身擁有一套完整的應急預案，但是就在預案啟動后的幾分鐘內，他們意識到這次攻擊之猛烈，已經超出了預案的“想象力”。像泰坦尼克號一樣，各個船艙一個接一個地灌滿水，幾分鐘內Dyn悄無聲息地沉入“大西洋”。在美國東岸各大城市，人們齊刷刷地抬起頭看向彼此，因為他們面前的計算機、手中的手機都陷入了空白，一系列服務都相繼癱瘓。

這次大斷網緣于黑客的DDoS攻擊[3]，峰值流量超過了驚人的1TB/s，在此之前，從來沒有見過有誰制造如此之大的流量來攻擊主干網絡。更讓人不解的是，這么大的流量到底是從哪制造出來的？從理論上來說，就算把全球所有的計算機和手機集中起來，也無法造成瞬時這么大的流量。那么，黑客是怎么做到的？通過隨后的調查人們才發現，原來巨大流量的來源并不僅僅是家用計算機和智能手機，黑客通過僵尸網絡[4]控制了全球眾多的物聯網設備，包括攝像頭、路由器、電視機、智能門鎖等，并通過這些設備發起了攻擊，最終造成全網的大癱瘓。

如今設備設施的智能化是大勢所趨，每一臺智能設備，小到音箱、手表、手環，大到冰箱、空調、汽車，都可以看作獨立的信息處理單元，它們都有自己獨立的存儲、運算、傳輸結構，與計算機無異。這些智能設備除了完成其智慧化的功能以外，也有可能被非法濫用，而未來物聯網設備的大量部署將使這種風險越來越高。

2.1.7　我國網絡安全戰略危機

通過以上分析，我們發現如今網絡安全是一個影響國計民生的重要戰略問題，而我國目前在這方面還相對比較薄弱，具體主要體現在三個方面，如圖2-4所示。

（1）核心技術受制于人

這些年來，中國信息產業發展迅速，信息設備芯片自給率不斷提升。華為的麒麟芯片不斷追趕世界先進水平，龍芯可以與北斗一起飛上太空，而藍牙音箱、機頂盒等日用品也在大量使用國產芯片。但我們也要看到，在穩定性和可靠性要求更高的通信、軍事等領域，與國外相比，國產芯片還有較大差距。數據顯示，2016年中國進口芯片金額高達2300億美元，花費幾乎是排在第二名的原油進口金額的兩倍。互聯網核心技術是我們最大的“命門”，核心技術受制于人是我們最大的隱患。對互聯網和信息產業來說，商業模式的創新固然能夠帶來流量和財富，但最終比拼的還是核心技術實力；只有將核心技術掌握在自己手中，才能真正掌握競爭和發展的主動權，才能從根本上保障國家經濟安全、國防安全和網絡安全。

（2）供應鏈不受控

近年來中國IT供應鏈市場發展迅速，并呈現出巨大潛力。但隨著中國IT供應鏈市場的繁榮發展，第三方供應商的服務連續性已直接影響到企業的發展。一方面網絡犯罪分子非常了解企業間供應鏈的這些連接，會利用它們來訪問那些保護不佳的網絡，而供應鏈中涉及的組織之所以被攻擊者鎖定，是因為他們通常無法預知潛在威脅，也缺少足夠的資源來實施高規格安全管理，這就使得供應鏈發展成為網絡中最薄弱的環節。網絡犯罪分子會優先滲透供應鏈合作方，然后再尋找機會攻擊企業。另一方面，如華為等中國高科技企業也面臨核心IT供應鏈不受控導致的風險，一旦供應鏈被截斷，服務中斷，將導致業務發展受阻，且會影響企業的業務連續性。核心供應鏈的不受控是企業面臨的緊迫風險。

（3）民族產業有待加強

在信息設備及軟件系統領域，國內產品研發投入不夠，技術實力有待加強；同時缺少頂層設計方案及整體解決方案，持續迭代能力差，這些都是制約中國網絡安全行業發展的因素。目前我國網絡安全技術的一大明顯短板在集成電路制造、工藝和設計工具等方面。對此，國家已設立了上千億的集成電路發展基金，還有很多民間基金加入，希望在未來一段時間內能有所彌補。除集成電路外，大型軟件方面也是一個短板，在軟件國產化方面Windows、Office、Oracle、EMC等是國人永遠的痛。近年來在實施國產自主可控替代計劃中，在各個軟硬件之間的適配問題耗費了大量人力物力之后，我們才發現，要想打破現有網絡領域軟硬件產品的壟斷，靠單項技術的突破是不夠的，必須在信息技術體系及其生態系統的競爭中取勝。為此，要強調的是構建安全可控的信息技術體系，從根本上予以解決。

基于上述我國網絡環境的現狀，才有了習近平總書記所說的“沒有網絡安全，就沒有國家安全”這句話，對國家來說，網絡安全已經成為牽一發而動全身的重要問題，當然我們所說的網絡安全是指網絡空間安全，這里不是指一個國家的網絡安全，而是指一個國家在網絡空間的安全。網絡空間安全的對立面不是一個國家的網絡不安全，而是一個國家不安全，是網絡空間給整個國家造成不安全的局面。因此新時期為網絡安全賦予了更加深刻與廣泛的內涵，當前我們關注的網絡安全，包括意識形態安全、數據安全、技術安全、應用安全、資本安全、渠道安全等方面，其中既涉及網絡安全防護的目標對象，也反映維護網絡安全的手段途徑。我們要認清面臨的形勢和任務，充分認識網絡安全工作的重要性和緊迫性，因勢而謀，因勢而動，順勢而為，才能化解這場新時代的戰略危機。

---

[1] 信息繭房是指人們的信息領域會習慣性地被自己的興趣引導，從而將自己的生活桎梏于像蠶繭一般的繭房中的現象。生活在信息繭房里，公眾就不可能考慮周全，因為他們自身的先入之見將逐漸根深蒂固。

[2] 繭房攻擊就是指利用信息繭房的原理，將目標對象桎梏在特定的信息環境中，通過反復、持續強調特定信息來改變對象的觀點、認知。

[3] DDoS攻擊也稱為分布式拒絕服務攻擊，即攻擊者想方設法讓目標機器停止提供服務，這是黑客常用的攻擊手段之一。其實對網絡帶寬進行消耗性攻擊只是該攻擊的一小部分，只要能夠對目標造成麻煩，使某些服務被暫停甚至主機死機，都屬于該類攻擊。該類攻擊問題一直得不到合理的解決，究其原因是網絡協議本身存在安全缺陷，因此DDoS攻擊也成為攻擊者的終極手法。攻擊者進行DDoS攻擊，實際上是讓服務器實現兩種效果：一是迫使服務器的緩沖區滿，不接收新的請求；二是使用IP欺騙，迫使服務器把非法用戶的連接復位，從而影響合法用戶的連接。

[4] 僵尸網絡（Botnet）是指采用一種或多種傳播手段，使大量主機感染bot程序（僵尸程序）病毒，從而在控制者和被感染主機之間形成一個可一對多控制的網絡。