2023成都積分入學(xué)什么時候開始申請
2023-01-31
采訪360周鴻祎：如何抓住網(wǎng)絡(luò)攻擊西工大的幕后黑手？
更新時間：2022-09-15 20:09:35作者：智慧百科
【文/觀察者網(wǎng) 呂棟】
“發(fā)現(xiàn)一次可以說是瞎貓碰上死耗子，但是對NSA已經(jīng)發(fā)現(xiàn)好幾次了，在不同的地方都能夠以不同的方式對它進行捕獲，而且看西工大的報告，我們的證據(jù)是越總結(jié)越翔實、越有說服力。”
近期，中國西北工業(yè)大學(xué)（下稱：西工大）遭遇網(wǎng)絡(luò)攻擊一事引發(fā)國內(nèi)外大量關(guān)注。作為對此案進行全面技術(shù)分析的參與方之一，360公司創(chuàng)始人周鴻祎日前在接受觀察者網(wǎng)等媒體采訪時做出上述表述。
據(jù)中國外交部等相關(guān)部門介紹，對西工大實施網(wǎng)絡(luò)攻擊的正是美國國家安全局（NSA）下屬部門，有關(guān)事實清清楚楚，證據(jù)確鑿充分。中方已通過多個渠道要求美方對惡意網(wǎng)絡(luò)攻擊作出解釋，并立即停止不法行為，但是迄今尚未得到美方實質(zhì)性回應(yīng)。
近年來，美國對華發(fā)動網(wǎng)絡(luò)攻擊已不是一次兩次，國家計算機病毒應(yīng)急處理中心等機構(gòu)也進行過曝光。
那么，我們是如何掌握確鑿證據(jù)鎖定背后“黑手”的？頻繁發(fā)生的網(wǎng)絡(luò)攻擊事件能給我們帶來哪些警示？普通老百姓會不會受到網(wǎng)絡(luò)攻擊的影響？美國如果改變網(wǎng)絡(luò)攻擊手段，我們還能發(fā)現(xiàn)和阻斷嗎？
這些問題或許能從此次對周鴻祎的采訪中得到答案。
美國國家安全局（資料圖）
NSA多次被抓，美對華“單向透明”被打破
“我們抓住NSA的手已經(jīng)不是第一次了，過去兩年已兩次在其他攻擊中都發(fā)現(xiàn)了NSA，”周鴻祎講道，NSA下屬的網(wǎng)絡(luò)戰(zhàn)部隊叫“特定入侵行動辦公室”（Office of Tailored Access Operation，后文簡稱TAO），它被公認(rèn)成全球作戰(zhàn)水平最高的網(wǎng)絡(luò)戰(zhàn)部隊，手段非常厲害。
在此次網(wǎng)絡(luò)攻擊西工大的過程中，TAO使用了40余種不同的NSA專屬網(wǎng)絡(luò)攻擊武器，持續(xù)對西工大開展攻擊竊密，竊取該校關(guān)鍵網(wǎng)絡(luò)設(shè)備配置、網(wǎng)管數(shù)據(jù)、運維數(shù)據(jù)等核心技術(shù)數(shù)據(jù)。
“每一個武器針對不同的平臺、針對不同的用途，甚至每一種武器都利用了不同的漏洞?！敝茗櫟t在采訪中透露。
在這種情況下，如何通過確鑿的證據(jù)揪出幕后“黑手”？
“面對最高水平的國家級網(wǎng)絡(luò)攻擊，我們最大的挑戰(zhàn)是‘看不見’，不知道自己被攻擊了。因此最重要的是能察覺，這樣才能迅速阻斷攻擊。但在察覺后還要知道是誰發(fā)起了攻擊，難度是最高的。”周鴻祎坦言。
他進一步講述稱，過去十年，360公司收集了全球300億個網(wǎng)絡(luò)攻擊樣本。而網(wǎng)絡(luò)攻擊樣本有點類似病毒樣本，對其進行分析后會發(fā)現(xiàn)各家的攻擊武器的基因不一樣，包括代碼習(xí)慣、技戰(zhàn)術(shù)等模塊，就像新冠病毒不管怎么演化，都能把它的族系排列出來。
“我們捕獲了最多的攻擊樣本，意味著所有攻擊者是怎么攻擊的，用什么手法攻擊的，我們都是清楚的?！敝茗櫟t透露，該公司為了跟蹤NSA網(wǎng)絡(luò)戰(zhàn)武器，專門對其歷史上很多技戰(zhàn)法、代碼樣本都進行了分析。
“所以這次通過代碼習(xí)慣的驗證，包括攻擊模塊的組成，還有內(nèi)部一些代碼命名的習(xí)慣，基本上能夠比較準(zhǔn)確地把這個證據(jù)鏈固定下來，證明是NSA。”他表示。
談及公司被美國政府列入“實體清單”，周鴻祎坦言，360成為唯一被美國制裁的互聯(lián)網(wǎng)公司和網(wǎng)絡(luò)安全公司，就是因為該公司公布了CIA（美國中央情報局）的網(wǎng)絡(luò)攻擊，并且技術(shù)細節(jié)和證據(jù)鏈固化的比較詳實。雖然此舉暴露了該公司的檢測和分析能力，但也打破了美國對華的所謂“單向透明”。
“就像今天人類為了對付新冠病毒，要建立各種生物樣本基因庫一樣，將來也應(yīng)該給國家建立一個國家級網(wǎng)絡(luò)攻擊基因庫和樣本庫，有了這個東西之后，誰來打你時，你在發(fā)現(xiàn)攻擊和溯源時，就會越來越精準(zhǔn)?！敝茗櫟t建議道。
“敵已在我，不要謀求建立馬奇諾防線”
西工大一案，并不是美國對華發(fā)動網(wǎng)絡(luò)攻擊的孤例。
據(jù)相關(guān)部門調(diào)查發(fā)現(xiàn)，近些年，美國NSA下屬TAO對中國國內(nèi)的網(wǎng)絡(luò)目標(biāo)實施了上萬次的惡意網(wǎng)絡(luò)攻擊，控制了數(shù)以萬計的網(wǎng)絡(luò)設(shè)備（網(wǎng)絡(luò)服務(wù)器、上網(wǎng)終端、網(wǎng)絡(luò)交換機、電話交換機、路由器、防火墻等），竊取了超過140GB的高價值數(shù)據(jù)。
“2016年時，我就說已經(jīng)進入網(wǎng)絡(luò)戰(zhàn)時代，有些人對我嗤之以鼻，覺得我好像是為了兜售安全產(chǎn)品，”周鴻祎在采訪中提到，這些年不止NSA，該公司共協(xié)助國家發(fā)現(xiàn)50個境外國家級黑客組織對我國發(fā)動的數(shù)千次網(wǎng)絡(luò)攻擊。
“網(wǎng)絡(luò)戰(zhàn)不分平時和戰(zhàn)時，”他坦言，傳統(tǒng)戰(zhàn)爭可能要等到宣戰(zhàn)時才會爆發(fā)戰(zhàn)斗，但網(wǎng)絡(luò)戰(zhàn)是越是在雙方友好與和平時，對方越會利用網(wǎng)絡(luò)攻擊的方法把一些攻擊軟件、間諜軟件潛伏或滲透到我方的重要系統(tǒng)里，或者預(yù)留后門和木馬。
這樣做都有哪些考慮？
周鴻祎提到，一是現(xiàn)在獲取情報的手段大多是通過在線攻擊；二是將來如果對方希望通過網(wǎng)絡(luò)攻擊來癱瘓我方的基礎(chǔ)設(shè)施時，不可能等到攻擊發(fā)起時才去潛伏，而是會提前好幾年去做準(zhǔn)備工作，這也是我們遭到網(wǎng)絡(luò)攻擊后的最大警示。
以這次西工大遭網(wǎng)絡(luò)攻擊為例，周鴻祎透露，NSA之所以能神不知鬼不覺地進來，是因為它們利用了很多被稱為“零日（Zero Day）”的隱秘漏洞。而在數(shù)字化時代，所有網(wǎng)絡(luò)設(shè)備都離不開軟件，軟件漏洞又不可避免、無法窮盡，這意味著我們的系統(tǒng)一定會被人攻進來。
“我們甚至提了一個概念叫‘?dāng)骋言谖摇褪莿e人不僅已經(jīng)進入我們的很多系統(tǒng)，而且潛伏了一段時間，”他直言，不要謀求建立一個“馬奇諾防線”，而是應(yīng)該基于自身系統(tǒng)肯定會被人攻破的情況，想辦法把系統(tǒng)里已經(jīng)進來的“敵人”及時發(fā)現(xiàn)并清理出去。
“看得見的攻擊都不是最大的威脅，”在周鴻祎看來，真正巨大的威脅是在歲月靜好表面下的暗潮涌動，“敵人”會以一種非常隱秘的手法，對中國的關(guān)鍵單位進行看不見的滲透和潛伏。
城市基礎(chǔ)設(shè)施是下一階段防范重點
國家層面的網(wǎng)絡(luò)攻擊，除了針對核心單位，會給普通人的生活帶來風(fēng)險嗎？
“很多人覺得國家級網(wǎng)絡(luò)攻擊可能跟我沒有關(guān)系，實際上國外已經(jīng)有例子證明，一旦基礎(chǔ)設(shè)施遭到攻擊，帶來大面積停水、停電，導(dǎo)致交通樞紐、金融出現(xiàn)問題，會嚴(yán)重影響老百姓的生產(chǎn)生活?！敝茗櫟t稱。
這并非危言聳聽。2015年末，烏克蘭電網(wǎng)曾發(fā)生世界首例因遭受黑客攻擊而造成的大規(guī)模停電事故，約140萬人受影響。2019年7月，委內(nèi)瑞拉水電系統(tǒng)也曾遭網(wǎng)絡(luò)（電磁）攻擊，首都加拉加斯及全國23個州中一半以上受到停電影響。
周鴻祎認(rèn)為，隨著現(xiàn)在中國城市快速數(shù)字化，推行數(shù)字政府、智慧城市，越來越多的基礎(chǔ)設(shè)施也逐步數(shù)字化，所以未來對于城市基礎(chǔ)設(shè)施的網(wǎng)絡(luò)攻擊，會成為我們下一階段預(yù)防的重點。
除此之外，隨著大數(shù)據(jù)時代到來，很多企業(yè)的核心業(yè)務(wù)都架構(gòu)在大數(shù)據(jù)上。如果一家醫(yī)院的數(shù)據(jù)癱瘓、一家運輸公司財務(wù)系統(tǒng)數(shù)據(jù)被破壞等，這些都會導(dǎo)致業(yè)務(wù)停擺。
“對數(shù)據(jù)做攻擊的難度遠遠低于對工業(yè)設(shè)備的攻擊，因為把數(shù)據(jù)抹掉是非常容易的，由此也出現(xiàn)了當(dāng)前讓企業(yè)非常頭疼的勒索攻擊，黑客把很多企業(yè)的數(shù)據(jù)加密之后，讓企業(yè)無法使用數(shù)據(jù)，只有交贖金才能換回解密的密碼，這也是下一個攻擊延展的方向。”周鴻祎提到。
“另外數(shù)據(jù)偷竊對老百姓也有影響，”他認(rèn)為，如今大量數(shù)據(jù)存儲在云端，一旦某些公司處理不慎，造成用戶數(shù)據(jù)丟失，將給老百姓的個人隱私帶來極大風(fēng)險，甚至被詐騙集團用來設(shè)計精準(zhǔn)詐騙。
但從目前來看，典型的國家級網(wǎng)絡(luò)攻擊更多還是用來竊取情報。周鴻祎透露，當(dāng)該公司發(fā)現(xiàn)CIA、NSA的網(wǎng)絡(luò)攻擊后，全網(wǎng)再普查時，發(fā)現(xiàn)他們不光是攻擊了中國某一個單位，分布的行業(yè)非常廣。
“數(shù)字化轉(zhuǎn)型是一把雙刃劍，在給我們帶來更加美好和先進的工作生活方式的同時，也讓國家治理、社會運轉(zhuǎn)、老百姓的衣食住行都架構(gòu)在網(wǎng)絡(luò)、數(shù)據(jù)和軟件之上，這個數(shù)字底座一旦遭到網(wǎng)絡(luò)攻擊，后果不堪設(shè)想?！敝茗櫟t坦言。
美國更新網(wǎng)絡(luò)攻擊手段怎么辦？
雖然在多方支持下，此次西工大遭網(wǎng)絡(luò)攻擊事件的總體概貌、技術(shù)特征、攻擊武器、攻擊路徑和攻擊源頭被全面還原，揭露了美國NSA長期以來對華開展網(wǎng)絡(luò)間諜活動的真相。但問題的關(guān)鍵是，對手可能會采用新的手段發(fā)起新的攻擊，我們應(yīng)該怎么應(yīng)對？
周鴻祎提到，傳統(tǒng)殺毒軟件只是收集各種攻擊樣本的指紋，但攻擊樣本只要一更新?lián)Q代，指紋就作廢了，所以傳統(tǒng)的病毒庫越來越龐大，甚至把電腦卡得很慢，但其實并不解決問題。
“我們并不試圖去建立指紋庫，而是通過電腦軟件的行為來發(fā)現(xiàn)異常的數(shù)據(jù)。”他介紹稱，攻擊軟件通常沒有窗口、沒有界面，但是在后臺偷偷地運行，或者是在后臺悄無聲息地偷偷連網(wǎng)，而且連的不是常見的網(wǎng)站，很可能是奇怪的IP地址或者從來不會有人使用的域名。
周鴻祎透露，該公司把全球十幾億終端上的可疑行為匯總到云端進行橫向?qū)Ρ?，可以實現(xiàn)對全網(wǎng)高危行為的態(tài)勢感知，“無論軟件和攻擊手法如何變化，最后總要在某臺電腦上運行，而且要把偷的東西傳出去或接收遠端的指令給自己升級，這就一定會被大數(shù)據(jù)分析找出來?！?/p>
“NSA再怎么變，有一些代碼會重用原來舊的版本，有一些攻擊手法、代碼會變，但攻擊的方法不會做改變。所以這是魔高一尺道高一丈，不斷基于長時間的攻防去識別鎖定它?！彼硎?。
周鴻祎重申，不要試圖去做無法攻破的系統(tǒng)，這是徒勞無益的。攻擊軟件進來之后肯定要橫向移動，肯定要從一臺電腦上跳到另外一臺服務(wù)器上，肯定要偷數(shù)據(jù)，肯定要接受總部遙控指令，只要這些行為能被我們快速的分析能力看到，快速進行處置，就一定能解決。
網(wǎng)絡(luò)戰(zhàn)是整體戰(zhàn)
“攻擊比防守要容易。”
周鴻祎坦言，在網(wǎng)絡(luò)戰(zhàn)中，防守是一個國家最大的軟肋，特別是在和平時期，如果一個國家的網(wǎng)絡(luò)被打的跟篩子一樣，情報數(shù)據(jù)都被人偷走了，或者系統(tǒng)里預(yù)埋了很多攻擊軟件，將給國家安全帶來極大的風(fēng)險。
在他看來，數(shù)字化時代，最強的數(shù)字安全公司要具有兩個特征，一個是消費者業(yè)務(wù)出身，二是要有大數(shù)據(jù)分析能力，而現(xiàn)在中國很多傳統(tǒng)安全公司都不具備這些特征。
“有人說做消費者業(yè)務(wù)的安全公司對國家沒有意義，其實不是這樣的，網(wǎng)絡(luò)戰(zhàn)是整體戰(zhàn)，當(dāng)網(wǎng)絡(luò)戰(zhàn)在一個國家發(fā)生時，實際上經(jīng)過了若干跳板、若干個人、若干不同單位，最后才能達到目的，所以只有某些單位的數(shù)據(jù)，沒有全網(wǎng)、全歷史的數(shù)據(jù)，無法捕獲攻擊?！敝茗櫟t稱。
“為什么微軟防御能力和發(fā)現(xiàn)能力最近兩年有很大的提升，現(xiàn)在成了美國最強的網(wǎng)安公司了？”周鴻祎講道，微軟前幾年借鑒了360免費安全模式，迅速積累了終端和安全大數(shù)據(jù)的優(yōu)勢，能把各種攻擊事件看的清清楚楚，最后還可以把數(shù)據(jù)匯總起來。
但只匯總數(shù)據(jù)還不夠，最重要的是要有大數(shù)據(jù)的分析能力。周鴻祎提到，微軟和360都屬于互聯(lián)網(wǎng)公司，大數(shù)據(jù)規(guī)模并不遜色于BAT，“不是弄一套開源軟件，裝個開源大數(shù)據(jù)平臺，就能把大數(shù)據(jù)分析做起來，還要投資建設(shè)計算中心，搭建大數(shù)據(jù)分析平臺。”
“我們是2008年開始做免費殺毒，到現(xiàn)在做了十幾年。如果當(dāng)年安全是核心收入的話，可能這件事情反而做不了，因為安全賺的錢根本無法支撐做這么大規(guī)模的大數(shù)據(jù)分析平臺，所以我們是一家互聯(lián)網(wǎng)公司，通過互聯(lián)網(wǎng)收入每年補貼20-30億到安全上，通過十幾年的投入，花了200多個億，才把‘安全大腦’這套體系基本上打造出來，然后發(fā)揮了作用?！彼硎?。
本文系觀察者網(wǎng)獨家稿件，未經(jīng)授權(quán)，不得轉(zhuǎn)載。