本文节选自美国战略与国际研究中心（CSIS）技术政策组的项目报告《对美国网络安全战略、效益与状态的再思考》。该报告认为，网络空间冲突不断，网络攻击事件日益增多，但专家们预言的“网络珍珠港”、“网络9/11”等灾难性事件却并没有发生。作者认为非国家行为体会对美国关键基础设施发动大规模网络攻击的观点是错误的，国家行为体才是美国网络空间的真正对手。美国的网络安全策略已经过时，致使对手往往能够通过低于武力使用和武装冲突的网络活动不断骚扰和攻击美国，同时还不会招致美国的反击报复，为此，美国必须调整其网络战略，以更好地适应在“灰色地带”作战。
该报告共包括“数字革命中的安全问题”，“网络安全指导思想已经过时”，“国家是最危险的行为体”，“误解与镜像”，“网络战与国家冲突”，“网络攻击的政治限制与战略约束”，“网络攻击限制性案例研究——朝鲜”，“重新反思网络安全准则”等8个部分。
国家是最危险的行为体
网络安全的主要风险来自于各国之间的冲突。对大国而言，对美国民主制度合法性的质疑，对美国霸权的挑战以及对经济实力的追求，这些因素都会引发持续的破坏性网络行动。各国政府是网络空间中最危险且最活跃的攻击者。国家仍然是国际体系中最有实力的行为体，国家主导了暴力犯罪行为——那些不赞同这一观点的人可能并没有经历过一个强大国家可利用的全面暴力手段。那些通常选择不使用这些网络手段的西方国家既表现出一种谨慎态度，也表现出对武装冲突的胆怯心理。
简言之，网络空间的主要威胁来自于敌对国家，这些国家试图通过网络空间的强制行为获得某种优势。网络攻击是不稳定的，这不是因为物理破坏，而是因为网络攻击效果的不确定性，现有政策工具和概念还并不充分，对当前网络空间内的国家实践缺乏明确性，而所有这一切都因为网络空间缺乏有效防御措施而变得更加复杂。
最危险和最具破坏性的攻击所需的资源和工程知识都超出了非国家行为体的能力范围，拥有此类能力的个人需要考虑在一个较大战略背景下利用这些网络手段以实现国家目的。精确性和可预测性表明附带影响的风险要比我们所设想的小（为了确保取得预期效果和经济影响力，经常需要开展进攻性网络行为），与此同时，不加选择或规模效应的风险也是如此。
国家行为体网络攻击的目标与其更大的战略目标相一致
通过对迄今为止国家行动的回顾，可以说网络作战为各国执行现有政策提供了一种新手段，而不是引导它们采用新政策或新战略。敌对国以符合他们国家战略和目标的方式使用网络技术，网络手段可能最好解释为对国家现有可用工具组合方式的一种有效补充。
网络作战是美国的对手在这种新环境中实现战略效应的理想手段。各国如何使用网络技术将取决于他们更大的利益需求，取决于他们的战略、经验和体制以及对风险的容忍度。在网络作战中目标可以被轻易接近，这种优势是其他攻击手段所无法比拟的，对攻击者的唯一限制就是报复风险——他们通过避免引发破坏性报复行为来管控风险，主要通过确保将攻击行动保持在低于网络空间中武力使用的默认门槛之下来实现。
网络攻击情况的现状与我们所担忧的截然不同。分析人士向公众提出了一系列威胁假设，通常伴随着极其严重的后果，并没有考虑其发生的概率或对手选择该行动方案的可能性。这些行动不会有助于提前实现他们的战略目标，也不会引发冲突升级风险。对手的目标不是制造“网络9/11”事件。许多国家已经拥有多种关键基础设施对抗探测器，一方面可以计算造成物理破坏的恶意网络攻击次数。尽管对手或许曾经对关键基础设施网络进行过探测，但没有迹象表明这些嗅探行动会导致类似于第二次世界大战或冷战时期那种对关键基础设施的致命性战略打击。
与此相似，对手使用网络技术来制造累积经济破坏效应的普遍观点并没有证据支持。经济战一直以来都是国家间冲突的一个组成部分，但并没有哪个国家能在对方毫无察觉的情况下成功破坏另一个国家的经济体系。美国在冷战期间曾对苏联发动过经济战，并仍将经济制裁作为应对外国力量的一种手段，但其他国家这样做的很少。网络间谍活动的目的是获得市场或技术优势，针对政府机构或公司的强制行为旨在构成威胁，恐怖分子不追求造成经济破坏，且对大型互联经济体造成实体性破坏的难度通常容易被人们所忽视。
中国的网络原则有三个要素：控制网络空间以维护政治稳定；网络间谍活动（商业的和军事的）；以及攻击对手武器、军事信息系统和指挥控制的破坏性行为。“战略”用途（例如攻击对手本国的民用基础设施）似乎是一个较低的优先事项，作为中国战略威慑的一部分，网络攻击是核打击的一种辅助手段。中国官员似乎更关心加速中国经济增长，而不是破坏美国经济的长期努力1。2015年9月，中美签署网络安全协议确保中国核心利益不受损害，通过将网络安全任务管理部门集中于中央政府，并明确禁止解放军（PLA）随意向商业目标发起“自由攻击”。
俄罗斯人似乎更专注于胁迫，金融犯罪，并实现破坏性的认知效应——操纵民众情绪和影响决策能力。俄罗斯的做法主要基于2010年制定的破坏性信息作战军事理论（他们称之为“新一代战争”的一部分）。俄罗斯人想要制造混乱，而不是制造物理破坏。伊朗和朝鲜对美国银行和索尼、金沙赌场等娱乐公司采取网络攻击行动，但他们的目标是政治胁迫而非实体破坏。
这些国家都没有提及1000次探测或攻击关键基础设施以产生“网络珍珠港”或任何媒体舆论设想的其他情景。对关键基础设施的极少数破坏性攻击几乎全部集中在能源领域。主要金融机构面临着高危风险，但在大多数情况下，攻击者的意图是获取经济利益。也发生过服务中断和数据删除的案例，但这些事件范围非常有限。针对银行的拒绝服务攻击阻碍了正常服务，对目标银行而言可能损失惨重，但对整个国民经济并没有重大影响。在这些行动中，都有一个所有国家不愿意跨越的界限。
当我们的敌对国决定挑战美国“霸权”时，他们制定了规避报复或风险升级的战略，以确保他们的行动低于武力使用门槛，从而规避报复或升级风险（这是一个由国际法大致界定的并不精确的门槛），但通常被认为是涉及构成破坏或人员伤亡的行为。几乎所有网络攻击行动都低于这一门槛，包括网络犯罪、间谍活动和政治胁迫行为。这就说明了为什么几十年来在网络空间中重建冷战威慑的努力并没有奏效。
这也说明了为什么我们并没有看到恐怖的“网络珍珠港”或其他预言性灾难。对手敏锐地意识到，发动灾难性攻击将引发对方的强烈反击报复，面临灾难性的巨大风险。各个国家是可以实施灾难性网络攻击的唯一行为体，然而他们并不可能这样做，在当前战略环境中各国都寻求在避免发生武装冲突的情况下获得某种优势。关于目标和攻击的决策只有放在如何更好地与美国博弈的更大战略中考量才有意义。
迄今为止，虽然发生了成千上万次网络犯罪和网络间谍活动，但只有极少数属于真正的网络攻击，这些网络攻击活动的目的不是为了获取情报或金钱，而是为了制造混乱，或在某些情况下制造破坏。从下面这些事件中，我们可以更加准确地分析风险情形：
典型攻击事件包括针对伊朗核设施的网络攻击（Stuxnet病毒）；伊朗针对阿美石油公司和美国主要银行的网络攻击；朝鲜干扰索尼公司和韩国银行和电视台的网络攻击；以及俄罗斯针对爱沙尼亚的网络攻击；俄罗斯针对乌克兰电力设施的网络攻击；俄罗斯针对法国第五电视台的网络攻击，俄罗斯干扰2016年美国总统选举等。网络攻击并不是随意发生的。所有这些事件都是更大的地缘政治冲突中的一部分（涉及伊朗、韩国和乌克兰），或俄罗斯与美国和北约的斗争。
这些网络攻击事件都有其共同特点，那就是所有这些网络攻击都是由国家行为体或其代理人围绕实现攻击国家政策目标而展开的。只有两起网络攻击事件造成了实质性破坏；其余事件则只产生了强制性效应，意图通过恐慌和困窘的不确定性来制造混乱局势并产生心理压力。但在任何情况下都没有造成人员死亡或伤亡。在二十多年的网络攻击中，从未有过一次人员伤亡——这一点应该足以让那些灾难预言者闭嘴，也没有产生普遍的附带影响效应。
电网和电力设施是网络安全关注的核心问题2。在俄罗斯攻击乌克兰电力设施事件中，我们发现两个问题值得关注。如果我们从战略或政治角度而不是从技术角度来看待这些问题，影响破坏都是暂时性的，只持续了几个小时。也许，俄罗斯人本可以做得更多，但他们并没有选择这样做；他们只是向乌克兰人发出一个信号：“看清楚我们能做什么”。
当然，乌克兰事件有其特殊性。乌克兰是前苏联的一部分，俄罗斯在掌握乌克兰电力设施方面具有先天优势，但一些研究人员认为，恶意软件可以针对其他设施进行调整。俄罗斯和乌克兰正处于一场较低等级的战争冲突中，并对平民发动了更具破坏性和致命性的炮击事件，为更具破坏性的网络攻击提供了先例和理由。这是“灾难性”行动的理想情景，但俄罗斯人并没有选择这样做。他们的行动已不是过去的战略性狂轰乱炸，是一种旨在产生心理效应而不是产生物理破坏的“外科手术”行动。
Stuxnet病毒造成了物理破坏，但这种破坏仅限于特定目标。该病毒并没有对伊朗核设施之外的设施产生附带影响。Stuxnet病毒是一种复杂的、混合的多组分攻击工具，既需要工程和编程技能，又需要先进的侦察能力。最好将其看作只会影响其特定目标和运载媒介的一种破坏性有效载荷，在全世界许多计算机上也发现过这种病毒（据称是编程错误的结果），但是并没有造成任何破坏效应。Stuxnet病毒是一种精确先进的攻击手段，相当于网络领域的精确制导弹药（PGM）。
针对爱沙尼亚和美国主要银行的网络攻击事件使用了拒绝服务攻击。这些攻击活动并不涉及获取对目标网络的访问权限，但是通过洪泛数据使接收计算机过载，从而破坏其接收数据流量的能力。这就相当于一种在别人家门外大肆吵闹的网络效应，旨在造成心理压力而不是形成破坏。通常认为对爱沙尼亚的网络攻击事件几乎达到了极限，事实上它只限制了部分银行和政府服务。使自动取款机丧失外汇交易功能，远未达到一种生存威胁。
朝鲜利用网络行动的目的一直是为了达成胁迫效应，以支持其战略和外交意图，并非造成物理损坏或破坏。朝鲜缺少通过网络手段制造破坏的能力。在某些情况下，银行数据被删除，广播服务被中断。通过与韩国官员的交谈，我们发现他们认为这些行动是政治性的，目的是让朝鲜领导人对韩国发出挑衅和对抗警告。
伊朗对阿美石油公司（和拉斯加斯公司）的网络攻击致使数千台电脑硬盘无法使用。伊朗人本可以损害炼油厂的控制系统，但不知道他们是没有意识到自己已经进入这些系统，还是根本不愿意选择这样去做。阿美石油公司事件可能是为了惩罚或释放信号，发出警告并展示伊朗的强大网络实力。
所有这些重要的网络事件（最类似于攻击的事件）都是由国家行为体围绕达成他们更大的战略目标而展开的。在每一个案例中，各国都采取了精确而有限的行动来实现其政治目的，而不是想制造大规模的毁灭或灾难。这些攻击行动都是经过精心计算和设计的。都属于侵犯主权的行为；有一些造成了实体损害，而另一些则产生了无形的影响（擦除数据）和胁迫效应。但是，即使是那些能力最强大的攻击者最终也都选择了克制。
1 詹姆斯·A.刘易斯，“网络空间中的经济战”，《特别报道：中国的网络力量》（巴顿，空军训练委员会：澳大利亚战略政策研究所，2014年11月），http://sdsc/attachments/bellschooLanu.edu.au/sites/default/files/publications/2016-03/sr74_china cyberpower.pdf
2 关于漏洞作用可能被过分夸大的一个有趣分析，参见杨洋、三池崇史·西川和安迪尔森·E.莫特合著的《小漏洞集决定了电网中的大型网络级联》，《自然》杂志第358期，发行号6365（2017年11月17日），http://science.sciencemag.org/content/358/6365/eaan3184.
本文编译自：美国战略与国际研究中心（CSIS）
声明：本文来自知远战略与防务研究所，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
