网络攻击每39秒发生一次。政府终于有能力反击了吗？

本文的一个版本曾发表于 VMblog。本文已在此处更新并转载。

‍

似乎无论经历了多少个“网络安全意识月”，无论空降了多少精英安全专家，也无论有多少资金投入了无底洞，大数据泄露的问题反而逐年恶化。这些事件如今已司空见惯，除非造成灾难性后果，否则几乎无法登上主流新闻。2020年，超过360亿条记录在恶意网络攻击中泄露，我们正拭目以待2021年会有多少数据被窃取。

威胁行为者不断在寻找机会，虽然并非每次攻击都会酿成灾难，但平均每 39秒 就会发生一次攻击。我们距离赢得这场战斗还相去甚远，而攻击者在数据防御方面占据了巨大优势。

然而，变革似乎正在酝酿之中。拜登政府已 将网络安全列为任期初期的优先事项，并额外投入了100亿美元资金。毫无疑问，这是朝着正确方向迈出的一步，但它真的能遏制日益频繁且复杂的网络犯罪吗？

解决网络威胁需要全球共同努力

针对日益强大的网络攻击进行有效防御，不能仅靠少数几个国家，遗憾的是，长期以来我们一直缺乏统一的战略。然而，随着国家级威胁的增加，许多政府开始重视并采取行动。

影响美国政府的 SolarWinds攻击事件 是一个明确的警示，预示了关键基础设施一旦被攻破可能带来的毁灭性后果。最近，联邦调查局（FBI）发出警告称，佛罗里达州的一个供水系统遭到攻击，威胁行为者能够远程污染供水。虽然他们在造成严重破坏前被阻止，但更高级的攻击者可能会造成大规模破坏，危及生命安全。

世界各国的政府正在缓慢但坚定地加大对网络防御的投入。英国在网络安全领域进行了 创纪录的投资，并成立了一个新的特别工作组。澳大利亚 加强了其网络安全战略（特别是针对基础设施），而以色列和丹麦等国被认为是 网络项目领域的佼佼者。日本在网络防御方面 排名第五；这令人欣慰，因为时任网络安全大臣樱田义孝曾在2018年声称自己 从未使用过电脑。新加坡政府 最近宣布 将在未来通信基础设施的AI和网络安全研究方面投入5000万美元，这是一项巩固数字安全与完整性的前瞻性举措。

随着我们迅速迈向未来科技，建立强大且协调的全球网络安全响应机制至关重要，每个政府机构都应将其作为重点关注领域。

投入更多资金并不意味着问题会减少

以美国、英国和澳大利亚为例，这些国家在过去几年中都增加了对政府主导的网络安全和专业技术的投入。这看起来安全似乎终于成为了优先事项，而“正义一方”也获得了赢得战斗所需的资源。

这当然有帮助，但这只是大局的一部分。这些资金可以聘请专家团队（正如 拜登的资金注入所实现的那样）、建立全面的漏洞赏金计划，并在发生灾难性泄露时提供顶级的事件响应和缓解措施。然而，这种网络防御方法确保了无论投入多少资金给特别工作组和威胁响应，我们仍只能取得微小的进展。

每个政府都需要超越被动安全措施，投入大量精力（和资金）制定更具预防性的战略。如果重点仍然放在应对已成功的网络攻击，而不是从源头预防，那么再多的资金也无法降低日益增长的风险。真正的积极主动安全方法应将预算分配给基础设施加固，并推广有效的安全培训和技能提升，旨在从一开始就尽可能减少攻击面。

网络安全技能缺口可能永远无法弥补，但存在被浪费的潜力

全球对训练有素的专业安全人员需求巨大，我们不太可能看到这些 网络专家 供过于求。然而，这正是政府和组织需要开始发挥创造力，并更明智地利用现有资源的原因。

真正预防性的网络防御始于让软件开发和基础设施流程中的每个人，都能根据其角色具备尽可能高的安全意识。开发人员尤其需要获得正确的安全技能提升和适合工作的工具，以便将安全编码融入其流程中。这在确保常见漏洞在出现之前得到解决方面大有裨益。仅此一点，就是一种强大且成本更低的方法，能够减轻软件开发生命周期后期的压力和返工。

我们需要强化以人为本的网络安全最佳实践方法，这比过度依赖自动化、工具以及对已发生和已发现的问题进行被动应对，能带来更好的效果——如果我们看看今天发生的泄露事件数量，就会发现这种策略显然行不通。