信息來源：Freebuf

白宮國家安全委員會(huì)（National Security Council）的高級官員，國家安全副顧問Anne Neuberger在RSA大會(huì)第二天，闡述了拜登政府針對加強(qiáng)美國國家網(wǎng)絡(luò)安全現(xiàn)代化的一些做法。

紐伯格首先描述了日益危險(xiǎn)的網(wǎng)絡(luò)威脅現(xiàn)狀，她指出拜登在剛上任的100天內(nèi)，就不得不處理兩起大規(guī)模網(wǎng)絡(luò)安全事件——SolarWinds攻擊事件和微軟Exchange攻擊事件。

“政府和企業(yè)正受到來自各路網(wǎng)絡(luò)犯罪分子的持續(xù)、復(fù)雜和飽含惡意的攻擊。

“今天，網(wǎng)絡(luò)安全比過去任何時(shí)候都更有必要被納入國家安全的一部分?！?

紐伯格表示，在目前的環(huán)境中，應(yīng)當(dāng)將思維方式從應(yīng)急響應(yīng)轉(zhuǎn)變?yōu)轭A(yù)防。她認(rèn)為雖然攻擊事件必然會(huì)發(fā)生，我們需為它做好準(zhǔn)備，但我們不能讓等待攻擊的發(fā)生成為運(yùn)作的現(xiàn)狀。

基于此觀點(diǎn)，紐伯格列出了當(dāng)前拜登政府為加強(qiáng)國家網(wǎng)絡(luò)安全而關(guān)注的三個(gè)領(lǐng)域。

網(wǎng)絡(luò)防御現(xiàn)代化

從SolarWinds攻擊事件中可以發(fā)現(xiàn)，“一些最基本的網(wǎng)絡(luò)安全措施并沒有在聯(lián)邦機(jī)構(gòu)中進(jìn)行系統(tǒng)地推廣?！边@些措施包括：多因素認(rèn)證、加密和端點(diǎn)檢測。

除了政府強(qiáng)制去執(zhí)行這些基本的安全防護(hù)外，紐伯格表示，政府還在采取一些措施以確保它從供應(yīng)商那里購買的軟件的安全性是合格的，因?yàn)檎徺I的產(chǎn)品“通常帶有缺陷和漏洞”。

目前，這些供應(yīng)商所采取的措施要么就是在事后打補(bǔ)丁，要么就直接忽略那些他們認(rèn)為不嚴(yán)重的漏洞。

但紐伯格認(rèn)為，這些補(bǔ)救措施是不妥當(dāng)?shù)?，這是在故意引入未知的、潛在的風(fēng)險(xiǎn)，會(huì)被對手和犯罪分子所利用。

為了解決這個(gè)問題，紐伯格表示，政府的首要任務(wù)就是要確保其購買的軟件從一開始就安全地構(gòu)建，為此“可能要求供應(yīng)商在有一個(gè)安全的開發(fā)環(huán)境中構(gòu)建軟件”。她還補(bǔ)充到，這種方式應(yīng)當(dāng)帶來更多的連鎖反應(yīng)，比如加強(qiáng)政府之外的學(xué)校和小企業(yè)的軟件安全。

除此之外，政府還要清楚哪些軟件是安全開發(fā)的，哪些是不安全的，因?yàn)槟壳翱蛻羰遣豢赡茏龀鲞@種評估的。

她還強(qiáng)調(diào)，政府目前正在制定一項(xiàng)試點(diǎn)計(jì)劃，以保護(hù)國家關(guān)鍵基礎(chǔ)設(shè)施中所依賴的技術(shù)。這一計(jì)劃“將推動(dòng)私營部門高效安裝新技術(shù)，以提供及時(shí)的可見性、檢測、響應(yīng)和阻斷能力?！倍?，這還只是確保關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)安全性的第一步而已。

在國際網(wǎng)絡(luò)空間重新發(fā)揮更積極的作用

紐伯格強(qiáng)調(diào)，美國需要加強(qiáng)其全球伙伴關(guān)系，“以對抗那些利用技術(shù)破壞國家和全球安全的對手”。針對這方面她強(qiáng)調(diào)了一些舉措，比如四方安全對話會(huì)議（QUAD），其目的是“應(yīng)對網(wǎng)絡(luò)威脅并追究惡意行為者的責(zé)任”。

她透露，政府的首批全球網(wǎng)絡(luò)安全倡議之一將是“努力合作打擊勒索軟件”，因?yàn)檫@種勒索軟件變得越來越普遍。她指出，“對世界各國來說都是一種國家安全威脅，因?yàn)樗梢詳_亂學(xué)校、醫(yī)院、政府和企業(yè)所提供的服務(wù)。而且，還會(huì)產(chǎn)生巨大的經(jīng)濟(jì)成本”。

紐伯格補(bǔ)充說，勒索軟件的危險(xiǎn)在于其攻擊者往往能夠通過針對已知的弱點(diǎn)，如終端和軟件漏洞進(jìn)行攻擊。

此外，不能忽視的是，勒索軟件團(tuán)伙的技術(shù)越來越復(fù)雜，如使用無文件惡意軟件；運(yùn)作模式越來越成熟，如雙重勒索計(jì)劃的增長。紐伯格認(rèn)為“想要應(yīng)對勒索軟件，國際合作將至關(guān)重要。因?yàn)槔账鬈浖姆缸镎咄强鐕缸锓肿?，他們利用全球基礎(chǔ)設(shè)施和洗錢網(wǎng)絡(luò)來進(jìn)行犯罪?！?

為美國未來的網(wǎng)絡(luò)安全態(tài)勢做準(zhǔn)備

除了上述技術(shù)推進(jìn)和基礎(chǔ)設(shè)施保護(hù)，拜登政府的另一個(gè)優(yōu)先事項(xiàng)是 “投資和促進(jìn)明日創(chuàng)新”。因此，政府的“美國就業(yè)計(jì)劃”中有一項(xiàng)建議，即投資1800億美元用于研發(fā)新興技術(shù)。這涵蓋了人工智能、量子計(jì)算和微電子等領(lǐng)域。

紐伯格說，這項(xiàng)投資對于加強(qiáng)美國的網(wǎng)絡(luò)防御至關(guān)重要。她特別強(qiáng)調(diào)了量子計(jì)算在這方面的未來重要性。雖然這項(xiàng)技術(shù) “有望徹底改變某些無法解決的計(jì)算問題”，但它也將 "從根本上擾亂網(wǎng)絡(luò)安全及其賴以生存的技術(shù)平臺(tái)?！?

這是因?yàn)榱孔佑?jì)算為攻擊者提供了破壞IT系統(tǒng)的新載體，對某些加密方法有潛在的 "破壞性 "影響，如等距加密，它是“我們經(jīng)濟(jì)和國家通信安全的基礎(chǔ)”。

因此，“美國就業(yè)計(jì)劃”反映了政府對加速美國在量子計(jì)算和更廣泛的量子信息科學(xué)方面的領(lǐng)導(dǎo)地位的承諾，這將有助于“保護(hù)國家免受這些技術(shù)被敵人所使用”。

紐伯格在演講結(jié)束時(shí)表示：

“加強(qiáng)國家網(wǎng)絡(luò)安全，保障美國的國家關(guān)鍵基礎(chǔ)設(shè)施和廣泛地更新美國的優(yōu)勢，是拜登政府對國家安全戰(zhàn)略承諾的根本?！?