美國網(wǎng)絡(luò)空間攻擊與主動防御能力解析
——用于突破物理隔離的網(wǎng)空攻擊裝備

◎安天研究院

在當(dāng)前形勢下，由于存在廣泛的人員交換、設(shè)備接入和信息交換等情況，采取物理隔離措施的網(wǎng)絡(luò)，早已在事實上成為開放的網(wǎng)絡(luò)體系。美國研發(fā)了能夠突破物理隔離的網(wǎng)空攻擊裝備，能夠滲透到對手隔離內(nèi)網(wǎng)中進(jìn)行信息竊取或展開破壞。事實證明，僅靠物理隔離已不足以在網(wǎng)絡(luò)空間有效抵御其威脅，必須在物理隔離的基礎(chǔ)上，對網(wǎng)絡(luò)進(jìn)行體系化加強(qiáng)，構(gòu)建“關(guān)口前移，防患于未然”的網(wǎng)絡(luò)安全體系。

上一期中，我們對美國國家安全局（NSA）和美國中央情報局（CIA）的網(wǎng)絡(luò)攻擊裝備體系進(jìn)行了整體的概述，介紹了其全平臺、全功能的武器裝備庫，體現(xiàn)了對手在網(wǎng)空進(jìn)攻作業(yè)中的全方位能力。在本期中，我們將聚焦用于突破物理隔離的網(wǎng)空攻擊裝備，展現(xiàn)超級大國在網(wǎng)空攻擊作業(yè)中，對各類機(jī)構(gòu)的內(nèi)網(wǎng)體系，特別是對其物理隔離網(wǎng)絡(luò)的穿透能力。

根據(jù)我國《計算機(jī)信息系統(tǒng)國際聯(lián)網(wǎng)保密管理規(guī)定》，物理隔離網(wǎng)絡(luò)即不直接或間接與國際互聯(lián)網(wǎng)或其他公共信息網(wǎng)絡(luò)相聯(lián)接的網(wǎng)絡(luò)。物理隔離屬于一種能夠產(chǎn)生效果的安全防護(hù)手段，能夠從傳播途徑一側(cè)阻斷大量的安全威脅，提高攻擊者的攻擊難度，曾經(jīng)在很長的一段歷史時期里，在某種程度上保障了關(guān)鍵內(nèi)網(wǎng)的安全。但在當(dāng)前形勢下，由于存在廣泛的人員交換、設(shè)備接入和信息交換等情況，采取物理隔離措施的網(wǎng)絡(luò)，早已在事實上成為開放的網(wǎng)絡(luò)體系。習(xí)近平總書記在4.19講話中明確告誡我們，“‘物理隔離’防線可被跨網(wǎng)入侵，電力調(diào)配指令可被惡意篡改，金融交易信息可被竊取，這些都是重大風(fēng)險隱患”。尤其在面對來自網(wǎng)絡(luò)空間中高能力國家行為體的網(wǎng)絡(luò)攻擊時，僅靠物理隔離已經(jīng)不足以保障內(nèi)網(wǎng)安全。

為采用網(wǎng)絡(luò)空間技術(shù)配合其情報作業(yè)或隱秘行動，需要能夠突破物理隔離以滲透到對手隔離內(nèi)網(wǎng)中進(jìn)行信息竊取或展開破壞的能力。為此，CIA開發(fā)了一系列能夠用于突破物理隔離的網(wǎng)絡(luò)攻擊裝備，其中比較具有代表性的攻擊裝備包括“沖擊鉆”（HammerDrill）和“野蠻袋鼠”（Brutal Kangaroo）。

由于保密要求，非涉密機(jī)向涉密機(jī)的數(shù)據(jù)傳遞通常會使用光盤作為存儲介質(zhì)?！皼_擊鉆”恰恰針對這種情況，利用光盤突破物理隔離防線?！皼_擊鉆”能夠收集計算機(jī)讀取的CD/DVD內(nèi)容并保存到指定的文件夾中，更關(guān)鍵的是，當(dāng)用戶使用Nero軟件（一款常用的光盤刻錄軟件）刻錄光盤時，“沖擊鉆”可以向可執(zhí)行文件注入Shellcode，一旦光盤插入其他計算機(jī)并執(zhí)行可執(zhí)行程序時，Shellcode就感染到計算機(jī)上，自動運行。

“野蠻袋鼠”是CIA另一種用于突破物理隔離的網(wǎng)絡(luò)攻擊裝備。使用時首先需要入侵一臺接入互聯(lián)網(wǎng)的主機(jī)，并在這臺主機(jī)上安裝“野蠻袋鼠”惡意軟件，然后“野蠻袋鼠”會自動感染插入這個主機(jī)的U盤，并在由于信息交換等目的將U盤帶入隔離網(wǎng)絡(luò)并插入計算機(jī)時實現(xiàn)入侵，隨后還能夠利用這種“U盤擺渡”方式傳遞數(shù)據(jù)和控制信息。CIA甚至能夠在多個被控制的內(nèi)網(wǎng)主機(jī)間建立隱蔽網(wǎng)絡(luò)，進(jìn)行數(shù)據(jù)交換和任務(wù)協(xié)作。

需要注意的是，與NSA的大規(guī)模監(jiān)聽和情報獲取不同，人力情報（HUMINT）作為CIA的傳統(tǒng)能力，當(dāng)前依然是CIA的主要情報作業(yè)方式。2015年CIA改組成立數(shù)字創(chuàng)新處（DDI），負(fù)責(zé)開發(fā)網(wǎng)絡(luò)攻擊裝備，被稱為“給了傳統(tǒng)‘斗篷與匕首’任務(wù)更好的IT工具”，可見人力情報作業(yè)依然是CIA工作的重點，而網(wǎng)絡(luò)攻擊裝備則賦予了CIA更加豐富的情報獲取能力。據(jù)披露，CIA早在10多年前就開始通過“黑袋行動”（black bag jobs）的方式，以人工方式破門入屋，入侵那些難以通過互聯(lián)網(wǎng)遙控攻擊的目標(biāo)電腦，完成其內(nèi)部競爭對手NSA的大規(guī)模竊聽計劃所不能完成的情報收集任務(wù)。

NSA則以信號情報（SIGINT）為主，其下屬部門特定行動辦公室（TAO）負(fù)責(zé)開發(fā)各種網(wǎng)絡(luò)攻擊裝備，實施網(wǎng)絡(luò)控制、竊取、監(jiān)視（被稱為計算機(jī)網(wǎng)絡(luò)利用，即CNE）和破壞、摧毀（被稱為計算機(jī)網(wǎng)絡(luò)攻擊，即CNA）。為了配合美方軍事力量抵近展開秘密行動，也需要能夠突破物理隔離并滲透進(jìn)入對手內(nèi)網(wǎng)的作業(yè)能力，NSA也開發(fā)了一系列著重于突破物理隔離防護(hù)機(jī)制的工具和技術(shù)，“水腹蛇-1”（COTTONMOUTH-1）是其中最具代表性的一個。

“水腹蛇-1”是一套無線信號收發(fā)系統(tǒng)，可以隱藏在USB接口中。植入了“水腹蛇-1”的USB接口，外表看起來和普通的USB接口沒有不同，但內(nèi)部卻集成了無線信號收發(fā)模塊，通過該模塊，作業(yè)者可通過無線信號訪問目標(biāo)設(shè)備所處的隔離內(nèi)網(wǎng)?！八股?1”可以將目標(biāo)系統(tǒng)中收集的數(shù)據(jù)發(fā)送到NSA的外場接收站，并接收來自指揮控制節(jié)點的指令。該工具可通過供應(yīng)鏈感染、物流鏈劫持等方式植入，具有高度隱蔽性。一份斯諾登披露的文件可以證明，NSA會使用物流鏈劫持的方式，攔截發(fā)送到目標(biāo)地區(qū)的計算機(jī)和網(wǎng)絡(luò)設(shè)備，然后由TAO的情報和技術(shù)人員完成設(shè)備或固件的篡改，并重新打包發(fā)送到目標(biāo)地區(qū)，采用這種方法突破物理隔離防線。

除了上述裝備外，NSA和CIA還開發(fā)了大量其它裝備，通過多種方式突破物理隔離。例如，NSA的可用于對離線室內(nèi)活動（如高密級會議、研討等）進(jìn)行信號采集的“憤怒的鄰居”（Angry Neighbor）裝備，能夠主動收集視頻、音頻、無線信號，并轉(zhuǎn)換為特定波段的射頻信號，通過隱蔽通信通道回傳；NSA利用物理隔離網(wǎng)絡(luò)中Wi-Fi信號（物理隔離網(wǎng)絡(luò)中常常因為管理不到位而存在違規(guī)私接的Wi-Fi網(wǎng)絡(luò)）的漏洞進(jìn)行重定向并入侵的“床頭柜”（NIGHTSTAND）裝備；CIA針對三星智能電視開發(fā)的攻擊裝備“哭泣天使”（Weeping Angel），能夠在電視看起來是關(guān)閉的狀態(tài)下，利用電視的麥克實現(xiàn)錄音和竊聽，并能夠通過Wi-Fi使攻擊者實現(xiàn)實時監(jiān)聽，等等。

基于本文對美方攻擊裝備的介紹，結(jié)合“震網(wǎng)”（Stuxnet）、“黑色能量”（BlackEnergy）、“魔窟”（WannaCry）等重大安全事件，可以發(fā)現(xiàn)突破物理隔離、進(jìn)入內(nèi)網(wǎng)已經(jīng)成為代表不同利益和訴求的各種攻擊組織的基礎(chǔ)能力，而大量的事實已證明僅靠物理隔離不足以在網(wǎng)絡(luò)空間有效抵御高能力對手的威脅。突破物理隔離不是一個簡單的單一操作，而是一個結(jié)合了人力情報作業(yè)與網(wǎng)絡(luò)攻擊作業(yè)，通過物理接觸、電磁波信號獲取、供應(yīng)鏈污染、物流鏈劫持等多種手段，對物理隔離防線造成突破效果的過程，是一種體系化的進(jìn)攻過程。但長期以來，我們被籠罩在一種“物理隔離絕對安全”的假象之下，而各個政企機(jī)構(gòu)出于對物理隔離的迷信和對安全廠商的不信任，導(dǎo)致安全廠商的安全能力難以深入到關(guān)鍵信息基礎(chǔ)設(shè)施內(nèi)部，或者即使進(jìn)入內(nèi)部也難以有效更新維護(hù)，繼而成為無支持的孤島?？傮w來看，以上這些問題導(dǎo)致各種安全投入難以產(chǎn)出有效的安全價值，更導(dǎo)致無法形成全面的網(wǎng)絡(luò)安全態(tài)勢感知能力，客觀上造成了威脅易于流入而難以有效發(fā)現(xiàn)的現(xiàn)狀，形成了巨大的安全隱患。

僅靠物理隔離不足以在網(wǎng)絡(luò)空間有效抵御高能力對手的威脅并不代表要放棄物理隔離，而是需要在物理隔離的基礎(chǔ)上，對網(wǎng)絡(luò)進(jìn)行體系化加強(qiáng)。2018年4月20日，習(xí)近平總書記在全國網(wǎng)絡(luò)安全和信息化工作會議上強(qiáng)調(diào)，要構(gòu)建“關(guān)口前移，防患于未然”的網(wǎng)絡(luò)安全體系。“關(guān)口前移”是對落實網(wǎng)絡(luò)安全防護(hù)方法提出的重要要求，而“防患于未然”則形成了鮮明地以防護(hù)效果為導(dǎo)向的指引要求，這是對如何解決當(dāng)前面臨問題的深刻回答。

深入落實“關(guān)口前移”的前提是深入理解“關(guān)口”的內(nèi)涵意義，這里不能將“關(guān)口”片面窄帶化為網(wǎng)關(guān)或網(wǎng)絡(luò)入口，而是應(yīng)理解為落實安全能力的重要控制點，有效解決安全能力的“結(jié)合面”和“覆蓋面”問題，即安全防御能力與物理、網(wǎng)絡(luò)、系統(tǒng)、應(yīng)用、數(shù)據(jù)與用戶等各個層級的深度結(jié)合，并將網(wǎng)絡(luò)安全防御能力部署到信息化基礎(chǔ)設(shè)施和信息系統(tǒng)的“每一個角落”，最大化覆蓋構(gòu)成網(wǎng)絡(luò)的各個組成實體。重要的是，在網(wǎng)絡(luò)安全體系建設(shè)實施的過程中，必須在投資預(yù)算和資源配備等方面予以充分保障，以確保將“關(guān)口前移”要求落到實處，在此基礎(chǔ)上進(jìn)一步建設(shè)實現(xiàn)有效的態(tài)勢感知體系。

在做好“關(guān)口前移”的基礎(chǔ)上，進(jìn)一步加強(qiáng)網(wǎng)絡(luò)安全防護(hù)運行工作，除了采用定期檢查和突發(fā)事件應(yīng)急響應(yīng)等偏被動的常規(guī)機(jī)制外，還需提升安全防護(hù)工作的主動性，將安全管理與防護(hù)措施落實前移至規(guī)劃與建設(shè)等系統(tǒng)生命周期的早期階段，將態(tài)勢感知驅(qū)動的實時防護(hù)機(jī)制融入系統(tǒng)運行維護(hù)過程，實現(xiàn)常態(tài)化的威脅發(fā)現(xiàn)與響應(yīng)處置工作，從而實現(xiàn)“防患于未然”。

在后續(xù)的文章中，我們將繼續(xù)關(guān)注美國網(wǎng)空攻擊裝備體系，展現(xiàn)美國在其他方面的網(wǎng)空攻擊作業(yè)能力，敬請期待。