为应对虚假信息带来的认知域威胁，西方国家提出“虚假信息分析与风险管理”（DISARM）框架，以强化认知攻防能力。（参见《欧盟应对混合威胁卓越中心“虚假信息金字塔”模型，DISARM信息攻防框架” 》）为了丰富该TTP框架，ADTAC网络安全公司提出了一系列虚假信息攻防策略，包含11个领域的68个战术策略，极具参考价值。
题目：基于DISARM框架的虚假信息攻防策略分析
机构介绍：ADTAC公司是一家总部设于荷兰海牙的网络安全公司，聚焦于应对虚假信息威胁并提出解决方案，与欧盟成员国、国际科技公司、高级智库和其他政府组织开展了广泛合作
编译：网安观察员 张华
全文摘要与关键词
1. 背景需求：描述群体虚假信息行为/构建开源策略技术程序框架→强化抵御国外信息操纵的能力
2. 虚假信息攻防策略详细介绍：11类策略，68个战术策略
3. 结语：针对上述策略，一方面应考虑这类虚假信息攻防策略在认知域作战中灵活应用的可行性，构建相应战术与技术框架；另一方面，应建立常态化组织，并针对性地提出综合应对策略，以全面加强认知域防线
创建通用方法描述跨群体虚假信息行为。面对愈演愈烈的舆论战、信息战威胁，北约提出需要以统一、简洁的方式描述跨群体的虚假信息行为，创建一种通用的方法来识别和记录虚假信息活动，既可提取出数据中的宝贵信息，还可根据情报采取统一行动。
构建开源虚假信息策略、技术和程序库。因此，西方国家构建了“虚假信息分析与风险管理”（DISARM）框架，其目标是建立一种开源的虚假信息策略、技术和程序库，以强化抵御和打击外国信息操纵和干扰活动（特别是敌方虚假信息活动）的能力。
虚假信息攻防策略11大类别。为了建设与丰富DISARM框架的内涵，ADTAC网络安全公司提出了一系列虚假信息攻防策略，共涉及以下11个部分：
战略规划（Strategic Planning）
目标规划（Objective Planning）
鼓动人群（Develop People）
组建网络（Develop Networks）
微观瞄准（Microtargeting）
开发内容（Develop content）
选举渠道（Channel Selection）
刺激手段（pump priming）
宣传（Exposure）
线下活动（Go Physical）
持续维持（Persistence）
上述11大类可细化为68种战术策略，共分为两种类型：
一种编号以T000开头，共计61个，目前已正式纳入到DISARM策略库中；
一种编号以ADT00开头，是会议相关讨论的结果，共计7个，目前尚未纳入到DISARM策略库中，但具备未来纳入到DISARM中的潜力。
02 虚假信息攻防策略内容
(1) 战略规划
Strategic Planning
T0001 5D策略（dismiss, distort, distract, dismay, divide）
战略规划5D策略主要包括否定（dismiss）、歪曲（distort）、分散（distract）、沮丧（dismay）、分裂（divide）五种样式：
否定：通过驳回批评者来反击批评。
歪曲：利用信息、图像等手段歪曲叙事。
分散：聚焦分散对方注意力，将关注点转移到不同的叙事或行为上。
沮丧：威胁事件的批评者或叙述者，使其不再行动。例如，威胁报道某个事件的记者或新闻媒体。
分裂：在目标团队间制造冲突，扩大分歧。
T0002 推动国家宣传（Facilitate State Propaganda）
将公民组织起来发布支持国家的信息。通过付费或志愿者团体协调推动国家宣传，利用私人媒体账户强化民族主义和政府意愿，有助于激发人民的积极乐观的心态。
T0003 利用现有叙事（Leverage Existing Narratives）
叙事是人类世界观的基石，新信息是基于此基石实现理解的。如果新信息与受众的主流叙事不一致，这种信息很难被广泛流传。高效的虚假信息活动应在现有叙事背景下构建，以广泛传播错误信息。
T0004 竞争性叙事（Competing Narratives）
针对同一主题进行竞争性的叙事，即先否认某一事件，同时再予以驳斥。这种竞争性叙事将对该事件进行有效放大，从而会达到更高的吸引力。
(2) 目标规划
Objective Planning
T0005 重心分析（Center of Gravity Analysis）
通过侦察和相关研究来确定“提供道德、体能、行动自由或行动意愿的力量来源”——可将其称为“重心”，或“力量的源泉”。典型的侦察研究方法包括对相关团体的人口统计和网络分析。
T0006 创建主流叙事（Create Master Narratives）
通过线上/线下各种方式推广有益的主流叙事也许是实现长期战略主导地位的最有效方法。从“整个社会”的角度来看，把握主流叙事应作为核心要务。从虚假信息活动/认知安全的角度来看，围绕主流叙述的策略更准确地集中于相关信息的日常推广和强化，有助于推动全社会层面上的反虚假信息斗争。
(3) 发展人群
Develop People
T0007 创建虚假的社交媒体资料、页面或群组（Create fake Social Media Profiles, Pages or Groups）
应投资发展关键社会工程资产，以能够扩大化相关事件、操纵算法、愚弄公众，以达到特定目标。可通过创建各种虚假用户和群组，虚假信息传播者可以确保他们的消息来自可信来源，并且看起来比实际更广泛地采用。
T0008 创建虚假或冒名顶替的新闻网站（Create fake or imposter news sites）
可通过冒名顶替新闻网站来扩大宣传，一个典型案例是《丹佛卫报》，该报自称是科罗拉多州的当地报纸，于2016年美国大选期间专门报道有关希拉里·克林顿的负面报道。
T0009 创造假专家（Create fake experts）
利用完全捏造的专家在信息传播活动中扩大宣传影响力。
ADT001 特许代理（Franchising）
在面临竞选活动时，国外在目标国家雇佣当地人为代理人。当地人拥有更好的语言能力，更了解当地文化，因此可以更有效地影响人群。同样，当地的代理人不太可能被标记为可疑人物，从而降低了被发现的机会。
ADT002外包（Outsourcing）
国外行为者利用公关公司、营销机构、分析团体或雇用相关公民，使用传统的内容推广手段和虚假信息来宣传他们的主张意图。
(4) 组建网络
Develop Networks
T0010 培养无知代理
为有关目标培养宣传人员，但未告知该人员己方真正目标，并随意指派任务。一般人员使用社交媒体和专门网站来战略性地强化和传播与他们自己想法相符的信息，但这些网络会被虚假信息组织渗透和利用，以传播虚假信息。这类易受到控制和影响的人员（如被“今日俄罗斯”媒体影响的人），被西方称为“有用的白痴”。
T0011 劫持合法账户（Hijack legitimate account）
黑客可能会接管合法帐户以传播虚假信息或具备破坏性的内容。
T0012 使用隐密手段（Use concealment）
使用匿名社交媒体资料来传播相关信息。
T0013 创建虚假网站（Create fake websites）
创建媒体资产来支持虚假组织（如智库）、人员（如专家），和/或散布恶意软件/发起网络钓鱼活动的网站。
T0014 进行筹款活动（Create funding campaigns）
通过在线筹款活动产生收入，如通过 Gofundme 软件收集数据，或通过PayPal连接虚假网站。
T0015 创建主题标签（Create hashtag）
许多针对某事件的虚假信息活动都会在媒体（如脸书、推特）上创建一个标签来宣传他们捏造的事实。为事件创建主题标签可以产生两个重要效果：
一是围绕事件制定标签，有助于创建更能被大众感受到的事实。毕竟只有“真实”事件才会在主题标签中讨论；
二是通过推特趋势列表和搜索行为更广泛地宣传事件。
ADT003细胞网络（Network of Cells）
在网上创建多个群组，构建有限的联系，若其中一个群组暴露，其余部分被摧毁的风险较小。
(5) 微观瞄准
Microtargeting
T0016 点击诱饵（Clickbait）
创建吸引注意力的头条新闻，可涵盖愤怒、怀疑、幽默等情绪，以增加流量和民众参与度。
T0017推广线上筹款（Promote online funding）
提高筹款活动网站的流量/参与度。
T0018 付费定向广告（Paid targeted ads）
创建或资助开发针对特定人群的广告。
(6) 开发内容
Develop content
T0019 产生信息污染 （Generate information pollution）
利用大量信息充斥堵塞社交渠道；提高所有媒体等相关资产的流量/参与度；创造出民众对某个主题已达成普遍共识的感觉。
T0020 内容尝试（Trial content）
迭代测试不同事件（消息、内容等）引起的反响。
T0021模因（Memes）
模因是所有宣传中最重要的人工产物。在《牛津英语词典》中，模因被定义为：“文化的基本单位，通过非遗传的方式，特别是模仿而得到传递。” 模因将参考资料和评论，图像和叙述，情感和信息结合在一起，是一种强大的工具，也是现代影响力活动的核心。
T0022 阴谋叙事（Conspiracy narratives）
阴谋叙事通过强大（通常是险恶的）行为者的充分参与来达到自己的特定政治目标，从而迎合了人类对解读秩序的渴望。当观众信息匮乏、被边缘化时，这些叙事尤其具备极高的吸引力。
T0023 歪曲事实（Distort facts）
改变、扭曲或夸大现有事实以构建与真实结果不同的叙事。
T0024 创造虚假视频和图像（Create fake videos and images）
通过操纵修改现有内容或人工生成新内容（如深度伪造）来创建虚假视频和/或图像。
T0025泄露篡改过的文件（Leak altered documents）
盗窃或利用对方泄露获取文件，对其进行篡改并发布。
T0026 创造虚假研究（Create fake research）
创造一些虚假的学术研究。例如：虚假的社会科学研究，通常针对性别、种族和性等热点社会问题。
T0027 改编现有的叙事（Adapt existing narratives）
根据当前的行动目标对现有叙事进行改编，是虚假信息活动最佳策略之一。改编利用现有的叙事不仅更有效，而且需要的资源也大大减少，因为创造新的主流叙事在时间和范围上都更有难度。
T0028 创建竞争性叙事（Create competing narratives）
一个简单有效的叙事技巧是构建和推广以否认、反转、驳回、反指控、过高证据标准、各种偏见等为中心的充满矛盾的替代方案。这种竞争性手段可推广虚假信息，提高传播度，并能够掩护那些搬弄是非，自说自话，挑动热点的人。
(7) 选举渠道
Channel Selection
T0029 操纵在线民意调查（Manipulate online polls）
创建虚假的在线民意调查，或对现有的在线民意调查进行操纵。针对调查参与者以及潜在话题关注者进行网络数据收集。
T0030 后援角色（Backstop personas）
创建相关资产、档案、虚假关系、文档、网站、签名以及相关特征，以建立/增强/夸大虚假信息的可信度。
Youtube
(8) 刺激手段
pump priming
T0039 引诱合法影响者（Bait legitimate influencers）
社交媒体环境中的可信度通常取决于用户网络的规模。“影响者”之所以被称为“影响者”，取决于他们的影响力，包括：1）网络规模（即关注者的数量）；2) 评论被重新传播、转发的速率。
引诱合法影响者将针对媒体中具有高影响力的人和组织，传播能够吸引他们的情感或意识形态驱动因素的叙事和内容，利用这些具备高可信度的代理人传播虚假信息。
T0040 要求无可辩驳的证据（Demand unsurmountable proof）
利用战术和信息不对称，如扭曲和否认策略以及“错误信息防火带（firehose of misinformation）”来开展虚假信息活动。具体来说，阴谋论者可能会一再散布错误信息，而倡导真相的人则需要完美的信息，这意味着高完整性的证据。通过不断提高对证据的要求，虚假信息宣传者可以有效地利用这种不对称性——他们可以更自由地提出更广泛的“问题”，而说真话的人则承担着越来越高的证据标准。
T0041 否认参与（Deny involvement）
如果没有“确凿证据”（甚至有证据但不完美），虚假信息的发起者可以否认参与其中。T0041利用了 T0040中攻击者的不对称优势，特别是在“错误信息防火带”环境中说真话的人的不对称劣势。
T0042 真相核心（Kernel of Truth）
用谎言或修改后的背景/事实来包裹事实的真相。
T0043 使用短信、WhatsApp、聊天应用程序
通过加密应用程序直接发送消息的方式日渐普及。这些消息通常是自动化发送的，新的传递和存储方法使它们具有匿名性，并能够传播网络病毒。这是一个难以监控的领域。
T0044 种子扭曲（Seed distortions）
事件发起者经常在凌晨尝试围绕某事件发布各种消息，以给出误导性的描述或印象。
T0045 使用假专家（Use fake experts）
假专家是一种可支配资产，经常使用一次就消失在人们视线中，他们将赋予虚假错误信息“可信度”。
T0046 搜索引擎优化（Search Engine Optimization）
操纵内容参与度指标（如Reddit和Twitter排名等）来影响新闻搜索结果（例如 Google），还将 RT（今日俄罗斯）和Sputnik等威胁网站标题标记为 Google威胁警告内容。
(9) 曝光
Exposure
T0047 钳制社交媒体成为政治力量（Muzzle social media as a political force）
利用政治影响力或国家权力来阻止批评性的社交媒体评论。由政府要求删除某些不利于国家安全、稳定的内容。
T0048 恐吓网络意见领袖（Cow online opinion leaders）
通过恶意攻击、人肉搜索来恐吓、胁迫、威胁批评家、持不同政见者以及记者。
T0049 淹没（Flooding）
使用大量内容充斥、席卷整个社交媒体渠道和话题标签，以控制/塑造在线对话，淹没反对的观点。网络机器人和被控制的爱国狂热人士是实现这一效果的有效工具。
T0050 由国内社交媒体运营“拉拉队”（Cheerleading domestic social media ops）
部署由国家协调管理的社交媒体和匿名评论者，施加媒体影响力，宣扬积极向上的社会风气。
T0051 伪造社交媒体评论（Fabricate social media comment）
利用政府资助的社交媒体评论员、匿名评论者、聊天机器人影响在线对话、产品评论、网站评论论坛。
T0052 利用第三方网站夸大新闻报道（Tertiary sites amplify news）
可通过创建内容/新闻/观点网站来多层次传播相关信息。第三方网站将持续传播并放大叙事，这些网站通常没有标头、署名或归属。
T0053 在推特上利用巨魔放大和操纵叙事（Twitter trolls amplify and manipulate）
西方广泛用巨魔（Troll）来称呼发挑衅帖子的人。在虚假信息作战中，可使用巨魔来夸大叙事和/或操纵叙述。在这些作战行动中，应更加注重推广本地化内容，并促进真正的 推特用户形成自己本身的、通常具有分裂性的政治内容。值得注意的是，夸大现有内容比创建新的、原创性的内容更加容易。
T0054 利用推特机器人放大叙事（Twitter bots amplify）
使用机器人来放大那些超出算法阈值的叙事。机器人是自动/编程的配置文件，其目标是将相关内容不断放大（即自动转发或点赞）并使其看起来比实际上更“受欢迎”。它们可以通过网络作战，以协同方式运行。在某些情况下，随着机器人检测工具的改进和平台的响应速度更快，机器人更可以作为一种廉价的一次性资产，便于小规模化部署。
T0055 使用主题标签（Use hashtag）
对某些事件使用专用的主题标签——创建活动/事件特定主题标签，或接管替换现有主题标签，以便于信息传播。
T0056 利用专用渠道输出信息污染（Dedicated channels disseminate information pollution）
通过虚假信息发起者控制或与之相关的渠道输出信息污染。
ADT004 汇入私人渠道（Funneling To Private Channels）
行为者公开宣传自己并试图让其关注者通过加密渠道上加入他们，便于讨论公开不可接受的话题（例如极端主义/非法活动）。
ADT005虚假信息自助店（Disinformation Laundromat）
创建一个假新闻网站，随后主流新闻会将其视为合法网站。这类网站通常将看起来像是外国媒体，其内容将被洗白并流入到国内媒体中。
ADT006半机器人（Cyborgs）
半机器人是部分具备自动化能力，部分具有人工操作的帐户。
(10) 线下活动
Go Physical
T0057 组织远程集会和活动（Organise remote rallies and events）
在媒体平台之外，协调和宣传现实世界中的事件，例如组织集会、抗议等。
T0061 销售商品（Sell merchandising）
销售帽子、T恤、旗帜以及其他能够在现实世界中传播信息的品牌内容。
(11) 持续维持
Persistence
T0058 旧版网页内容（Legacy web content）
保证事件内容长期可见。例如通过利用平台服务条款持续保存，或将内容放置在难以删除或不太可能被人删除的地方。
T0059 打持久战（Play the long game）
打持久战可能意味着以下措施：
一是对消息的传递进行全面规划，并使其有机增长，而无需自行放大。这是有条不紊且缓慢的措施，需要数年时间才能让信息深入人心。
二是开发一系列看似互不相关的消息叙事，最终组合成为一个新的叙事。
T0060 持续放大（Continue to amplify）
在主要事件工作完成后，继续开展相关叙事，或将信息继续扩大化。
ADT007 删除内容（Removal of Content）
虚假信息传播机构并不总是试图持续保留内容从而增加曝光度。有时，这些机构会删除这些虚假信息，从而使虚假信息活动难以追踪。对于高质量的虚假信息，最好在曝光后及时删除，这样既可以使虚假信息活动更难追踪，又可以避免后续的审查。
03 结 语
针对愈发严重的虚假信息威胁，ADTAC网络安全公司提出了总计11大领域68小项的战术策略，构成了DISARM框架的重要组成部分，在整个认知攻防中起到了关键作用。
这类策略若深入到日常生活中，必将影响民众意识，破坏民族认同，造成不安全、不确定、不信任的消极社会氛围。
针对上述不同策略情况，更应具体问题具体分析，考虑对这类虚假信息攻防策略在认知域作战中灵活应用的可行性。应建立常态化组织，长期跟踪以社会舆情为代表的信息活动，对敌对势力的虚假信息攻击手段进行解构分析，并针对性地提出综合应对策略，以全面加强认知域防线。
参考文献：
https://inventory.adt.ac/wiki/Disinformation_tactics
https://inventory.adt.ac/wiki/Main_Page
https://inventory.adt.ac/wiki/Disinformation_tactics
声明：本文来自认知认知，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
