快捷搜索:

美国网络安全战略分析,美国国家网络安全体制

2019-09-18 23:49栏目:战术战略
TAG:

近十多年来,由于网络攻击日益频繁以及网络攻击技术越来越复杂多样,网络攻击产生的经济负担和社会影响越来越广泛,美国政府对信息系统的安全性越来越重视。同时,“斯诺登事件”也促使美国政府各个部门采取行动,以平衡国家安全、网络安全和公民隐私权利保护。美国对信息系统的依赖程度非常高,网络安全是美国国家安全战略的一个重要组成部分。随着美国网络安全战略的出台,网络安全协调和实施机制、网络安全立法也逐步完善,网络安全体制逐步健全。本文首先总结了美国政府对网络空间的认识,以帮助读者理解美国制定网络安全战略的出发点;第二部分重点论述了奥巴马政府的网络空间政策;第三部分通过分析国家网络事件响应计划、关键基础设施部门网络安全计划、国防部网络事故民事支持计划,表明目前美国联邦政府围绕国家应急架构制定了明确分工、统一协调的网络安全实施机制;美国政府的立法部门也认识到需要完善目前的网络安全法律框架,以满足改善网络安全的需要,因此,第四部分论述了近十年美国立法部门制定综合性网络安全立法的努力以及遇到的阻力。

图片 1

从克林顿总统时代起,美国政府高度重视网络安全战略,视之为国家安全战略的重要组成部分。该战略经历了从重视基础设施防御、先发制人的网络攻击,到谋取全球制网权的演变。美国网络安全战略的演变的实质,就是逐步确立美国的制网权战略。为保证网络安全战略的实施,美国形成了组织管理保障、技术保障、法律法规保障和执行保障等体系。美国网络安全战略引发了网络军备竞赛。美国的网络安全战略对中国的网络安全具有重要启示意义。 美国 网络安全战略 制网权网络军备竞赛From Clinton Age, USA took Cyberspace security strategy seriously, regarded it as an important part of national security strategy. The cyberspace security strategy went through three stages, the first was infrastructures defense, the second preemptive cyber attacks, the third Cyberdeterrence. In effect, the evolution of cyberspace security strategy reflected American government attempts to acquire the control of global cyberspace. In order to implement the strategy, USA took four systems, including the regimes of organizational control, the regimes oflaws and regulations, the regimes of technology and the execution systems. cyberspace security strategy touched off arm race of cyber, creating serious challenges to international laws, and giving our many inspirations for our cybersecurity. USA cyberspace security strategymastery of the cyber arm race of cyber 作者简介:何奇松,上海政法学院国际事务与公共管理系教授博士程群,华东理工大学人文科学研究院副教授,博士联系方式:134-726-424-78 heqisong72@163.com随着网络或网络空间的发展,网络安全问题也随着出现。网络安全是指为保护网络基础设施、保障安全通信以及对网络攻击所采取的措施。美国是一个高度依赖网络的国家,但是各领域对网络的高度依赖,导致抵御网络安全威胁的脆弱性,换言之,一旦出现网络危机,有可能导致美国整个社会陷于瘫痪。这就是美国人所担忧的“网络珍珠港”或者“电子9·11事件”。为避免这种情况的出现,美国在世界上第一个制定了网络安全战略,而且也把网络安全战略作为国家安全战略组成部分。本文试图分析从克林顿政府到小布什总统再到奥巴马政府的网络安全战略的演变,以及美国网络安全战略的保障措施,及其实质。在论述之前,有必要介绍一下,美国政府和军方如何界定网络空间的。小布什总统签发的第54号国家安全政策指令和第23号国土安全总统指令界定,“赛伯空间是指互相依赖的信息技术基础设施网,包括因特网、电信网、计算机系统以及重要行业的嵌入式处理器和控制器。”[i] 美国军方对网络空间的定义则是,“赛博空间是信息环境内的全球领域,它由独立的信息技术基础设施网组成,包括因特网、电信网、计算机系统以及嵌入式处理器和控制器”。[ii] 政府和军方的对网络空间的界定几乎是一致的。网络安全战略的基础——制网权理论1988年的“莫里斯蠕虫病毒”,造成全球6000多所大学和军事机构的计算机受到感染而瘫痪,而美国遭受的损失最为惨重。该病毒使得美军共约8500台军用计算机出现各种异常情况,其中6000部计算机无法正常运行。这次事件向人们展示了网络战的基本方式和巨大威力。第一次海湾战争中,美国特工就把病毒植入到伊拉克防空系统中,致使伊拉克的防空系统瘫痪,多国部队的空军如入无人之境。1993年,美国兰德公司的两位学者首次提出“网络战”概念,从理论上界定了何为“网络战”,系统介绍了如何利用网络“干扰、破坏敌方的信息和通讯系统”,如何在阻止敌方获取自己信息的同时,尽量多的掌握对方信息。[iii] 1997年美军提出“网络中心战”概念,于2001年开始成为美军纲领性作战概念,并于2003年在伊拉克战争中付诸实施。美国着名军事预测学家詹姆斯·亚当斯在其所着的《下一场世界战争》中曾预言:在未来的战争中,计算机本身就是武器,前线无处不在,夺取作战空间控制权的不是炮弹和子弹,而是计算机网络里流动的比特和字节。[iv] 这一预言预示了制网权的诞生。2005年美国国防部公布的《国防战略报告》,就明确将网络空间与陆、海、空和太空定义为同等重要的、需要美国维持决定性优势的五大空间。[v] 2006年初,美军制定网络战的总体规划。[vi] 在谋划网络战构想的同时,美国三军组建各自的网络部队。由是制网权理论逐渐形成。所谓制网权,简单地说就是对互联网的控制权。在由网线、调制解调器、交换机和处理器构成的战场中,无数的二进制代码进行着渗透、阻塞和攻击的惨烈搏杀,以及对网络硬件的物理破坏与反破坏,为的就是争夺制网权。制网权将是在制海权、制空权、制天权之后,各国争夺的又一控制权。因此,制网权成为决定战争胜负的另一重要战略制高点。制网权理论的提出与完善,以及为此而进行的网络战,主要在于网络与社会紧密联系。随着计算机网络逐渐渗入金融、商贸、交通、通信、军事等各个领域,网络也成为一国赖以正常运转的“神经系统”。网络一旦出现漏洞,事关国计民生的许多重要系统都将陷入瘫痪状态,国家安全也将受到威胁。网络安全漏洞不仅影响国家社会生活的正常运转、经济竞争力,而且影响着战斗、战争的胜负,印证着制网权理论。1999年的科索沃战争,南联盟电脑黑客对北约进行了网络攻击,使北约的通信控制系统受到重创,使“尼米兹”号航空母舰的指挥控制系统被迫停止运行3个多小时,美国白宫网站一整天无法工作。美国高级官员称科索沃战争为“第一次网络战争”。2007年4月,俄青年运动组织纳什对爱沙尼亚互联网发动大规模网络袭击,黑客们仅用大规模重复访问使服务器瘫痪这一简单手法,就控制了爱沙尼亚互联网的制网权,此次事件被视为首次针对国家的网络战。2008年8月的俄格战争中,俄罗斯在军事行动前攻击格鲁吉亚互联网并使之瘫痪。这是全球第一次针对制网权的、与传统军事行动同步的网络攻击,也是第一次大规模网络战争。美军对制网权理论深信不疑,大力推行而且努力实践,是世界上受惠于网络最大的军队。从第一次海湾战争到现在的阿富汗战争,美军的网络如同人的神经系统一样延伸至其的各个作战单位,甚至是普通的士兵,网络使其战争机器高效稳定运转。由不停运动着的0和1组成的庞大的数字河流,如今已经成了美军纵横驰骋的“新大陆”。国防部长盖茨说,“美国在陆地、海上和空中的全频谱的军事能力,依赖于数字通讯、卫星和数据网络”。[vii] 但是,美军高度依赖网络也产生致命的缺陷,一旦网络被破坏,大则战争机器无法运转,小则战斗效果大减,如武装分子依靠26美元的软件入侵“掠夺者”无人机的视频系统,截获美军重要情报。[viii] 网络安全漏洞成为美军压倒性军事优势的阿基里斯脚踵。[ix]简言之,网络已经成为提升军队作战能力的“倍增器”,如同制海权、制空权、制天权一样,争夺网络空间控制权已逐渐演变成为美军维持军事霸权的重要组成部分。但是,网络安全漏洞也让美国经济利益和国家安全受到严重损害。美国的网络安全战略在此基础上制定。网络安全战略的演变美国十分重视网络安全,是最早制定和实施网络安全战略的国家。美国的网络安全战略随着形势的变化不断发展和完善。克林顿时代,美国政府致力于维护信息的保密性、完整性、可控性与安全性的信息/网络安全战略。1998年,克林顿总统签发《关键基础设施保护》总统令,[x] 首次明确信息/网络安全战略的概念、意义和长期短期目标。该命令开宗明义地说明,世界上最强大的军事力量和经济力量相互促进和依赖,但是也越来越依赖某些关键设施和以网络为基础的信息系统。所谓关键基础设施是“指那些对国家十分重要的物理性的以及基于计算机的系统和资产,它们一旦受损或遭破坏,将会对国家安全、国家经济安全和国家公众健康及保健产生破坏性的冲击”。[xi]关键基础设施日益自动化、相互联结,但是这种先进性却对网络袭击越来越脆弱。美国应该从国家战略高度保护包括网络在内的基础设施。该命令并对今后一段时间内,加强基础设施安全作出了指示,即对脆弱性进行评估;制定补救计划;进行预警;实时反应;对破坏的关键基础设施进行重建;教育民众,让其知晓关键基础设施的重要性;研发相关技术;加强情报工作;进行国际合作;采取立法与预算措施。1998年年底,美国国家安全局公布《信息保障技术框架》,[xii] 提出“深度防御战略”。所谓深度防御战略就是采用一个多层次的、纵深的安全措施来保障用户信息及信息系统的安全。在深度防御战略中,人、技术和操作是三个主要核心因素,是保障信息及信息系统的安全的关键。IATF将信息系统的信息保障技术层面划分成了四个技术框架焦点:网络和基础设施,区域边界、计算环境和支撑性基础设施。2000年12月克林顿总统签署《全球时代的国家安全战略》[xiii]文件,是美国国家信息/网络安全政策的重大事件。文件将信息安全/网络安全列入国家安全战略,成为国家安全战略的重要组成部分。这标志着网络安全正式进入国家安全战略框架,并具有独立地位。克林顿时代从保护关键基础设施来确保网络安全,其中一个关键问题就是防范恐怖分子利用网络对美国发起恐怖袭击,采取一切必要措施,迅速消除导致关键基础设施面临物理和网络攻击的明显弱点。《国家信息系统保护计划》设想到2003年5月完成对信息系统的保护。但是不幸的是,克林顿政府所担心的事情在2001年9月11日发生了。“9·11事件”加速了美国政府对关键基础设施的保护,强化了美国对网络安全战略的实行。“9·11事件”不久后的10月,小布什总统以13231号行政令,发布《信息时代保护关键基础设施》,[xiv]个行政命令,小布什总统任命反恐专家理查德·克拉克为委员会主席,并任命他为“总统网络安全顾问”。在2003年3月,这个委员会解散,其职责移交给刚成立的国土安全部。 组建了总统关键基础设施保护委员会,取代克林顿政府时期成立的总统关键基础设施保护委员会,成为一个实体机构。该委员会成员包括国务卿、国防部长、司法部长、商务部长、国家经济委员会主席、总统国家安全事务助理等官员。根据该命令,委员会主席将成为总统网络安全事务顾问。他有权了解各部/局内属于其管辖范围的所有情况,并召集和主持委员会的各种会议、制定委员会的议事日程,向相关官员提供保护关键基础设施的政策和方案,并向总统国家安全事务助理汇报。根据这小布什政府从两个方面着手确保网络安全。一是,制定关键基础设施的保护;二是,制定网络安全战略,两个方面互相促进。在2001年的13231号行政令基础上,2003年2月,小布什签发《关键基础设施和重要资产物理保护的国家战略》(National Strategy for the Physical Protection of Critical Infrastructures and Key Assets)[xv]关键基础设施,是系统和资产,不管是物资的,还是虚拟的,对国家至关重要,以致于他们能力不足或者毁损对国家安全、国家经济安全和国民健康,都会产生影响。[xvi]成为美国政府制定保护关键基础设施计划的基础。小布什任内国土安全部先后两次颁布《国家基础设施保护计划》(National Infrastructure Protection Plan, NIPP),具体地说明了如何保护这些关键基础设施和重要资产。[xvii]小布什政府改变克林顿政府没有说明、区分关键基础设施和主要资产的做法,把通讯、信息技术、国防工业基础等18个基础设施部门列为关键基础设施,并把核电厂、政府设施等5项列为重要资产。这个文件。在这个文件中,小布什政府重新界定了关键基础设施,取代克林顿政府时期的界定。小布什政府认为另一方面,2003年2月小布什总统签发《确保网络空间安全国家战略》,[xviii] 共76页。这个网络安全战略确立了三项总体战略目标和五项优先目标。三项总体战略目标是,阻止针对美国至关重要的基础设施的网络攻击;减少美国对网络攻击的脆弱性;在确实发生网络攻击时,使损害程度最小化、恢复时间最短化。五项优先目标是,建立国家网络安全反应系统;建立一项减少网络安全威胁和脆弱性的国家项目;建立一项网络安全预警和培训的国家项目;确保政府各部门的网络安全;国家安全与国际网络安全合作。文件明确规定,国土安全部成为联邦政府确保网络安全的核心部门,并且在确保网络安全方面充当联邦政府与各州、地方政府和非政府组织,即公共部门、私营部门和研究机构之间的指挥中枢。国土安全部要制定一项确保美国关键资源和至关重要的基础设施安全的全面的国家计划,以便向私营部门和其他政府机构提供危机治理、预警信息和建议、技术援助、资金支持等5项责任。文件强调,确保美国网络安全的关键在于美国公共与私营部门的共同参与,以便有效地完成网络预警、培训、技术改进、脆弱补救等工作。2007年,爱沙尼亚政府、银行等网络遭受来自俄罗斯黑客的猛烈攻击。美国渲染政府各部门也遭到了来自中国、俄罗斯的网络袭击。始终抱有冷战思维、并以俄罗斯、中国等为假想敌的美国政府,面对国际和国内网络安全形势的恶化,重新审视了以往的网络安全战略,面对新的挑战,及时补充和调整并制定新的网络安全战略。2008年,小布什总统签发了“综合国家网络安全倡议” (Comprehensive National Cybersecurity Initiative, CNCI)。这是一个秘密文件,主要内容是为保证美国网络安全采取防御和攻击等措施,主要包括12项核心内容:[xix]1. 朝着管理单一联邦网络;2. 部署内部侦知系统;3. 发展和部署入侵预防工具;4.评估和可能改变研究和资助方式;5. 连接当前政府网络行动中心;6. 制定涵盖整个政府的网络情报计划;7. 增加秘密网络的安全性;8. 扩大网络教育;9. 界定持久的领先技术;10. 界定持久威慑技术和项目;11. 发展多层交叉方式,支持供应链风险管理;12. 界定私营部门的网络安全作用。总的来讲,CNCI的实施为美国政府提供了一整套主要面向政府信息网络的网络安全保障措施。它关注国家层面上的三个关键领域:[xx]建立起防御的前沿阵地,减少目前的漏洞并预防入侵。利用情报并加强供应链安全来防御各种威胁。通过增加研究、开发和教育水平以及对先进技术的投资来塑造未来的环境。最后一点,明显涵盖有进攻内容。虽然,小布什政府对网络安全付出巨大努力,但是并没有解决网络安全问题,希望下一届总统解决这个问题。因此,成立了“第44届总统网络空间安全委员会”,为美国网络安全提供建议。经过一年半的努力,2008年12月由CISS提交一份名为“为第44界总统确保网络空间安全”的报告,[xxi] 并提交给当选总统奥巴马。该报告认为,过去20年来,美国一直致力于设计一种战略,应对网络安全挑战,保护美国利益,但是始终都不算成功。无效的网络安全以及信息基础设施在激烈竞争中受到攻击,削弱了美国力量,使国家处于危险之中。报告提出了包括25条的12项建议,分别从制定战略、设立部门、制定法律法规、身份管理、技术研发等方面进行了阐述。奥巴马在竞选总统期间就表示要高度重视网络安全。上台后,在这份报告基础上,奥巴马重视网络安全在国家安全战略中的作用,将其列为执政的首要任务之一,并于2009年2月委托曾在布什政府制定CNCI中发挥重要作用的梅利萨·哈撒韦对美国目前的网络安全状况进行为期60天评估。2009年5月29日,奥巴马公布了由哈撒韦评估小组制定的《网络空间政策评估——保障可信和强健的信息和通信基础设施》的报告。报告提出的建议是,1、加强顶层领导。设立一个总统的网络空间安全政策官员和支持机构;审查法律和政策;加强联邦对网络空间安全的领导力,强化对联邦的问责制;提升州、地方和部落政府的领导力。2、建立数字化国家的能力。提升公众的网络安全意识,加强网络安全教育,扩大联邦信息技术队伍,使网络安全成为各级政府领导人的一种责任。3、共担网络安全责任。改进私营部门和政府的合作关系,评估公私合作中存在的潜在障碍,与国际社会有效合作。4、建立有效的信息共享和应急响应机制。建立事件响应框架,加强事件响应方面的信息共享,提高所有基础设施的安全性。5、鼓励创新。通过创新来解决网络空间安全问题,制定全面、协调并面向新一代技术的研发框架,建立国家的身份管理战略,将全球化政策与供应链安全综合考虑,保持国家安全/应急战备能力。6、行动计划。提出了近期行动计划10项和中期行动计划14项。奥巴马政府的网络安全战略出台。2009年6月,美国国防部成立网络司令部,负责进行网络战争。该司令部已于2009年1O月开始运作,将于2O1O年10月正式运行。网络安全战略的保障体系经过三任总统的不断努力,美国政府在保证网络安全战略方面形成了全面的综合保障体制,可以简要概括为4大体系,即组织管理体系、法律法规体系、技术体系和执行体系。组织管理体系克林顿政府时期设立总统关键基础设施保护委员会,作为一个跨部门的协调机构。这个机构只是发挥了有限作用,毕竟美国并没有出现诸如小布什政府时期的大停电事故、恐怖主义袭击灾难等。“9·11”事件后,美国政府成立了“总统关键基础设施委员会”,为更好地发挥其作用,首次设立由委员会主席担任的“总统网络安全顾问”,但其职权比较小。2003年国土安全部成立后,美国政府把负责美国网络安全的职责移交给该部。奥巴马在竞选总统期间就表示,设立一个专门职位,负责美国网络安全事宜。2009年5月白宫公布的《网络空间政策评估》也建议设立一个总统的网络空间安全政策官员及其支持机构。白宫已经组建一个新的由网络安全协调官领导的办公室,处理所有有关网络安全的事情。这个网络安全协调官就是“网络沙皇”。美国此次体制调整主要是提高网络安全的工作领导,并且与情报收集工作、军队网络安全保障整合起来,形成一体化的综合性国家网络安全领导和协调体制。国防部网络司令部将总负责军方网络安全的政策、网络战实施指挥等;国土安全部将主管政府机构、社会团体、大型企业等网络安全的政策、实施、保障;其它方面的网络安全事务则将由国家安全局负责。上述这些工作全部汇集到白宫网络安全协调员处,并由网络安全协调员通过国家安全委员会和国家经济委员会两个机构整合到美国国家的安全政策和经济发展政策之中。法律法规体系就行政法规而言,有连续三届政府颁布的保护关键基础设施计划。如前所述,克林顿政府和小布什政府为此都颁布了行政命令,要求公私履行职责,保护美国包括网络在内的基础设施的安全。奥巴马政府不仅把网络等基础设施列为关键基础设施,并视之为国家战略资产,是国家安全与经济的命脉。在5月公布《网络空间政策评估》时奥巴马谈到,美国21世纪的经济繁荣将依赖于网络空间安全。他将网络空间安全威胁定位为“举国面临的最严重的国家经济和国家安全挑战之一”,并宣布“从现在起,我们的数字基础设施将被视为国家战略资产。保护这一基础设施将成为国家安全的优先事项”。[xxii] 2009年2月,奥巴马政府公布NIPP,要求美国联邦政府、州政府、地方政府和私营企业合作,全力保护网络安全,把网络安全视为国家安全战略的一部分。2009年美国公布的《国家情报战略》把反情报工作和维护网络安全确定为情报部门的重点,而且反情报工作要在“整个互联网范围内”开展,以“保护关键性基础设施”。[xxiii]就法律、法案而言,包括《国家信息基础设施保护法案》( the National Information Infrastructure Protection Act of 1996)、《爱国者法》(Patriot of Act of 2001)、《联邦信息安全管理法案》(Federal Information Security Management Act of 2002, FISMA)、《国土安全法案》(Homeland Security Act 2002)、《网络安全法案》(The Cybersecurity Act of 2009)。《国家信息基础设施保护法案》规定:未经授权,擅自进入在线的计算机获取机密的、访问受限制的或受保护的数据,或是试图这样做,就应受到刑事指控。这些数据可能包括:金融和信用卡信息、医疗信息、法律文件、国防和国家安全文件,以及其他存储于政府或私人计算机上的保密信息。被定义为犯罪要符合两个条件: 一是未经授权进入计算机; 二是获取了数据。[xxiv]《爱国者法》就网络安全方面有一项争议最大,即漫游窃听条款。根据漫游窃听条款,调查人员可以得到授权,截取嫌疑人的电话通话内容或因特网通信内容,而监控目标并不局限于某个可疑电话,调查人员也不用明确要窃听的嫌疑对象。2002年公布的《联邦信息安全管理法案》是美国《电子政务法》中的第三部分。《电子政务法》(the E - Government Act of 2002)的目的是整合政府机关的互联网服务,更有效地建立、推广电子政府服务,其规定了行政管理和预算局、联邦政府机关等机构在推动电子政府方面的职责。《联邦信息安全管理法案》修正了1987年的《计算机安全法案》(the Computer Security Act of 1987),目的是为了确保联邦政府机关能够高效率、低成本地实现信息及信息系统的安全。《国土安全法案》规定国土安全部的责任是协调国家工作,保护所有领域的关键基础设施,包括信息技术和通讯系统。也给予国土安全部部长权力获取与威胁美国的恐怖主义威胁的信息,以及有关基础设施、其他对恐怖主义脆弱的设施的所有信息。该法案还赋予国土安全部管理国家通讯系统(National Communications System)、联邦计算机事故反应中心(Federal Computer Incident Response Center ,FedCIRC)的权力。2009年的《网络安全法案》一共23条[xxv],涉及的内容广泛,涵盖上述几个法律法规的内容,并提出每4年进行一次网络安全评估,进行联合情报威胁评估,提出网络风险管理报告,制定国际标准和网络安全威慑标准。就网络安全的国际法而言,2007年美国加入了欧盟委员会2001年制定的《网络犯罪公约》(Cyber Crime Convention )。《网络犯罪公约》规定了9类网络犯罪行为以刑法处罚:

图片 2点击下载

许多国家已经充分认识到网络技术带来的巨大的潜在利益,网络安全逐渐成为国家安全战略的组成部分。不同的国家谈论网络问题的话语各不相同,一些国家侧重“信息安全”——即保护公民不受虚假信息、信息泄露、不良信息内容的侵害;而一些国家侧重于“网络安全”——网络安全是信息安全的一个子集,侧重于保护传输信息的电子系统、设备和软件等。

  1. 非法存取;2. 非法截取;3. 资料干扰;4. 系统干扰;5. 设备滥用;6. 伪造电脑资料(Computer-related forgery);7. 电脑诈骗(Computer-related fraud);8. 儿童色情的犯罪(Offences related to child pornography);9. 侵犯着作权及相关权利的行为。该公约是打击网络犯罪的国际司法合作协议。技术体系技术体系是确保网络安全的基础。为了保证网络安全,美国对技术防范体系进行了不断地完善和更新,其主要包括安全标准化建设、计算机事件响应机制、攻击与防御新技术研发,以及网络安全演习等几个方面。在网络安全防御与进攻技术方面,美国研发了诸多技术,如 “逻辑炸弹”等。小布什政府2008年出台的CNCI就是典型的网络安全的攻防技术的体现。为验证这些技术,美国政府在2008年5月,建立了国家网络靶场(National Cyber Range, NCR)。该靶场是美国防高级研究计划局根据2008年CNCI设立的一个项目,为测试和证实超时代网络研究技术和系统提供全自动的靶场和测试管理配套设施,为国家的网络研发技术提供真实、可定性的评估,促进国家网络能力上一场革命,而且加速技术转让来支持CNCI。NCR被称为“数字曼哈顿工程” (digital “Manhattan Project”)。在网络安全演习方面,美国政府每两年举行一次网络风暴演习。这个演习由国土安全部主办,类似于美国国防部每两年举行一次的“施里弗”系列太空安全演习。2006年和2008年分别举行了第一次和第二次网络风暴演习。2008年的演习,有超过115个的政府机构、公司及其它组织参与,其中包括美国白宫国家安全委员会、司法部、国防部、国家安全局。此次演习的主要目的是,检验各部门如何应对全球激进主义者、黑客博客发起的破坏性网络攻击。2010年将举行第三次演习。执行体系执行体系涉及到联邦政府各个部门,如国家情报局、联邦调查局、中央情报局、国土安全部、国防部,每个部门各司其职,负责执行。这里简要谈谈美国军方如何执行网络安全战略。上世纪90年代,美军就开始进行网络战的研究与实践。如同前述,在“网络战”概念的基础上,美军提出“网络中心战”概念,并在2003年伊拉克战争进行尝试。在谋划网络战概念的同时,也在组建网络部队,从2002年开始着手建立世界首支网络部队,海军、和空军,以及战略司令部组建了各自的网络部队及领导机构。为整合三军的网络部队, 2009年6月23日,美国国防部长盖茨正式下令创建网络司令部,以协调美军网络安全以及指挥网络战。由现任国家安全局局长基思•亚历山大中将兼任网络司令部司令,而未来该司令一职则将由四星上将担任,美军的网络战部队人数应该在9万人左右。[xxvi] 新成立的美军网络司令部将会作为美军网络战方面的最高管理部门,整合各军种网络战资源,协调全军联合网络战。网络安全战略的实质纵观美国三任总统的网络安全战略,明显体现出该战略的 “扩张性”,经历了保护美国关键基础设施,扩展先发制人的网络打击,再到谋取全球制网权的演变。如前所述,克林顿时代偏重于关键基础设施的防御保护。那时美国政府为保护美国网络安全围绕三个目标进行,即准备与预防,就是采取必要措施,使对美国关键信息网络进行重大、成功的袭击的可能性最小化,同时建设一个基础设施,确保网络受到攻击时维持网络的有效性;侦察与反应,实时确认和评估网络袭击,然后牵制这种攻击,并迅速从袭击中恢复过来,重建受损的系统;建立坚实基础(Build Strong Foundations),就是建立机构,教育民众,制定法律,做好“准备和预防;侦察和反应”。[xxvii]小布什时代则偏重网络安全的进攻。先发制人的军事打击是小布什政府的军事原则,这个原则也运用到网络领域。除了保护基础设施外,小布什政府则主张对敌进行先发制人的网络攻击。为此,小布什政府非常重视美军网络战进攻能力建设,大力开发计算机网络战武器。三军成立各自的网络部队,研发、利用新网络技术,实施先发制人的网络打击。在软杀伤网络战武器方面,美军已经研制出2000多种计算机病毒武器;在硬杀伤网络战武器方面,美国正在发展或已开发出电磁脉冲弹、高功率微波武器,等等,旨在对别国网络的物理载体进行攻击。奥巴马政府则通过网络威慑,谋求制网权。这一点尤其体现在美国成立网络司令部上。美国也具备网络威慑的条件。在互联网13台根服务器中,其中10台在美国;微软的操作系统已经占据个人电脑操作系统的85%以上;思科核心交换机遍布全球网络节点;英特尔的CPU占据全球计算机90%以上的市场份额。美国对互联网的控制程度已经远远超出了其他任何国家,一旦网络战爆发,美国政府将随时可以调用可怕的力量,它不仅从理论上可以轻松地瘫痪一个国家,事实上,它也这样做过。2009年5月30日,在美国政府授意下,微软公司关闭了古巴、伊朗、叙利亚、苏丹和朝鲜5国用户的MSN聊天系统。因此,每一块芯片都是一件重型武器,这就是网络威慑。[1]奥巴马政府的意图很明显,希望通过网络安全战略,实现网络威慑,谋求制网权。美国谋求制网权的战略,引发各国的网络军备军赛。英国不仅早就组建了秘密的黑客部队,而且在2009年6月出台《网络安全战略》。日本、印度、法国等已经组建各自的网络战军队。俄罗斯的网络战部队的力量仅次于美军。网络军备竞赛的大幕已经拉开。

[责任编辑:诺方知远]

就美国政府的网络空间认识而言,“信息安全”和“网络安全”的视角相互交叉,正如2010年《美国国家安全战略》所指出的,“网络安全威胁是我们作为一个国家所面临的最严重的国家安全、公共安全和经济挑战……因此,我们的数字化基础设施是战略性国家资产,保护它们,同时保护公民的隐私和自由是国家安全的一个要务”。


欢迎订阅知远防务快讯 我们在第一时间报导全球最新防务动态,关注世界热点事件,追踪防务发展方向。

本文根据目前美国政府已经颁布的网络空间政策文件,把美国的网络空间认知概括为以下几点:

[1] 一些学者认为冷战时期发展的威慑模式并不能给网络威慑的战略思考提供指南,网络威慑不能有效改变网络黑客动机的算计,除非对网络袭击的惩罚开始超过网络袭击的收益(参见Stephen W. Korns, op.cit., p.100)。 兰德公司在2009年出版的一份报告也认为,网络威慑不同于核威慑,因为网络打击的对象有限,打击的效果也不明显,更取不到决定性作用(参见Martin C. Libicki, Cyberdeterrence and Cyberwar.

1、网络空间是一个重要的行动领域,美国经济的繁荣、美国的国家安全依赖于网络空间,网络威胁是美国国家安全面临的最严重的威胁之一。


“借助网络空间,美国及国际企业可以交易货物和服务,并在几秒钟内实现全球范围内的资产转移。除了为其他领域的贸易提供便利,网络空间本身就是全球经济的一个关键领域。它已成为创业、技术进步、言论自由传播和新型社会网络的新型孵化器,推动着我们经济的发展。能源、银行、金融、交通、通讯、国防工业基础等各项关键基础设施的安全和有效运作,都依赖于网络空间、工业控制系统和信息技术,然而这些都易于受到攻击而中断或被利用。”而且,承担保卫美国国家安全的机构,比如国土安全部、国防部以及各个军种也非常依赖这些信息环境以完成这些任务,没有这些信息环境,这些机构就不能有效地提供国家安全。联邦调查局、国土安全部、国家安全局的领导人在许多证词中都警告网络安全都美国国家安全的重要性不断增长。2012年10月,国防部长帕内塔警告在未来会发生网络领域的“珍珠港事件”,电网、金融系统、交通运输系统遭受网络攻击只是时间早迟的问题,敌人可能对美国的关键基础设施,包括关键军事系统和通讯网络发动网络攻击,以配合物理性攻击。2013年3月12日,美国国家情报总监发布的报告指出,网络威胁已经成为美国的头号威胁。2013年11月防务新闻网站对350多位来自产业界、军界和国家安全政策领域的领导人进行的调查表明,他们认为网络威胁是美国政府面临的头号威胁,超越了恐怖主义。2013年10月30日到11月6日,美国皮尤研究中心对2003名成年人的民意调查结果也显示,70%的受访者认为网络攻击是美国面临的一个新的重大威胁。

[i] 小布什总统签发的这个文件是机密文件,我们是从美国有关网络安全的资料得知这个定义的。这个定义可以参见网址 Comprehensive National Cybersecurity Initiative”, ] JP 1-02, Department of Defense Dictionary of Military and Associated Terms, p.141.] John Arquilla and David Ronfeldt, “Cyberwar is Coming!” Comparative Strategy, Vol 12, No. 2, Spring 1993, pp.141–165.[iv] James Adams,The Next World War: Computers Are the Weapons & the Front Line Is Everywhere, Simon & Schuster,1998. 詹姆斯·亚当斯着,军事科学院外国军事研究部译,《下一场世界战争》,军事科学出版社2000年.[v] The National Defense StrategyOf The United States of America, March 2005, p.13. ] National Military Strategy for Cyberspace Operations, December 2006. ] 这是盖茨在2009年1月27日向参议院武装力量委员会提交报告时谈到的。转引自 Major Gen. William T. Lord,“Cyberspace Operations: Air Force Space Command Takes the Lead”, High Frontier, Vol.5, No.3, 2009, p.3.[viii] 武装分子靠26美元软件入侵美军无人侦察机系统。新浪网2009年12月19日。] Defense Science Board , Defense Imperatives for the New Administration (Washington, DC: DSB, August 2008), p.3. ] Presidential Decision Directive/NSC-63, Subject: Critical Infrastructure Protection, May 22, 1998. ] The White House, National Plan for Information Systems Protection Version 1.0: An Invitation to a Dialogue, 2000. ] 最初这个版本是《网络安全框架》(Network Security Framework, NSF)。1998年5月,NSA出版NSF1.0版,1998年10月,又推出了NSF1.1版。到了1999年8月,NSA出版了2.0版,此时正式将NSF更名为《信息保障技术框架》(Information Assurance Technical Framework, IATF)。2002年9月出版了最新的IATF3.1版本。[xiii] White House, A National Security Strategy For A Global Age, December 2000. ] Executive Order 13231 of October 16, 2001, Critical Infrastructure Protection in the Information Age. ] National Strategy for the Physical Protection of Critical Infrastructures and Key Assets, February 2003. ] 小布什政府2003年2月颁布的《确保网络安全国家战略》明确界定了关键基础设施,“那些维持经济和政府最低限度的运作所需要的物理和网络系统,包括信息和通信系统、能源部门、银行与金融、交通运输、水利系统、应急服务部门、公共安全以及保证联邦、州和地方政府连续运作的领导机构”。见White House, National Strategy to Secure Cyberspace, February 2003. ] 即2006年,和2007/2008年的升级版。奥巴马政府也在2009年2月颁布第3版。[xviii] White House, National Strategy to Secure Cyberspace, February 2003. ] 奥巴马总统2010年3月将其解密,并公布在白宫网站上。参见网址:] “Protecting Our Federal Networks Against Cyber Attacks”. 美国国土安全部网站。] Center for Strategic and International Studies, Securing Cyberspace for the 44th Presidency: A Report of theCSIS Commission on Cybersecurity for the 44th Presidency, December 2008.[xxii] “奥巴马就保护美国网络基础设施发表的讲话”。 ] The National Intelligence Strategy 2009, August 2009. p.9. Information Infrastructure Protection Act ] Text of S. 773: Cybersecurity Act of 2009. ] “聚焦美军网络战军团:从全球黑客大赛选拔人才”。 ] The White House, National Plan for Information Systems Protection Version 1.0: An Invitation to a Dialogue, 2000. Executive Summary , XI.

2、目前,网络攻击和网络间谍是美国面临的最重要的网络威胁,网络空间的非对称性可能促使潜在对手利用网络空间获得非传统优势,美国必须对此保持警惕。

[责任编辑:诺方知远]

制定合理的网络空间战略的前提是必须理解网络空间威胁的本质。对网络空间威胁的认识是建立在对网络空间中人类行为特征的了解的基础之上的。网络空间域的信息网络和关键基础设施的绝大多数为民营企业所拥有,而且互联网是一种开放式的体系结构。因此,比起陆海空天等传统行为领域,网络空间中人类行为影响的速度非常快,而波及范围非常广,往往突破了主权国家疆界的限制。追查网络中的行为者是很困难的,如果不是不可能的话。在市场上可以买到非常实惠的电脑硬件,上网的价格越来越便宜,而且可以广泛获得更先进的信息技术和产品。此外,可供使用的人力资源也是容易获得。这导致进入网络领域的技术障碍和经济成本是很低的。在网络空间中的行为者多种多样,包括国家政府、非国家政治组织、犯罪网络、企业和恐怖分子、心怀不满的内部人士、黑客等。

欢迎订阅知远防务快讯 我们在第一时间报导全球最新防务动态,关注世界热点事件,追踪防务发展方向。

网络空间的这些特性决定了网络空间的非对称性,美国政府一直在警告,具备创新能力的潜在对手会在“信息化”领域大有作为,对美国产生战略震惊,利用网络空间的非对称性突破美国在传统军事能力方面的主导优势。

2013年3月12日,美国国家情报总监发布的报告使用“网络攻击”和“网络间谍”来定义网络威胁。“网络攻击是一种非动能进攻行动,旨在产生物理效应,或操纵、破坏或删除数据。其包括从暂时阻止访问网站的拒绝服务式攻击到对涡轮发动机进行的、可以造成数日的物理伤害和中断的攻击等行动。网络间谍是指侵入网络获得敏感的外交、军事、经济情报……外国情报和安全机构已经渗透了美国政府、商业公司、学术机构、私营部门机构的网络。他们的目标既包括非机密信息,也包括机密信息。我们无法估计专利技术和敏感商业信息的价值,因此无法评估商业网络间谍活动的影响,但是这些信息能力帮助他们在一些行业获得不公平利益。” 2014年5月8日,美国国家安全局局长、网络司令部司令基斯接受《澳洲经济评论》记者采访时表示,“在过去的十年或二十年,从美国偷走的知识产权是人类历史上规模最大的、最快速的非自愿性财富转移。要有越来越好的计算机硬化技术,硬化存储和保护我们的知识产权的网络,我们的关键基础设施也依赖这些。这是国家安全局的信息保障业务。”

3、美国把网络安全纳入外交政策议题,推动制定网络空间行为规范,维护这一国际公域的基本秩序。美国的网络空间国际战略是保障基本自由、隐私权和信息自由流动,同时也要掌握网络空间治理的国际话语权。

白宫在2011年5月发布的《网络空间国际战略》指出,国际合作是维持网络空间环境的最佳做法,更是首要原则。美国将进行国际协作,完善开放、互操作、安全、可靠的信息和通信基础设施,以保障国际贸易和商业,加强国际安全,促进言论自由和创新。为了实现这一目标,我们将建立和维持一种环境,以责任行为规范指导国际行动,维持伙伴关系,并保障网络空间中的法律规则。美国制定国际网络空间政策的目标是为了获得网络空间的主动权、话语权,不过美国政府也注意到了目前在网络空间治理方面不同国家所持立场的不同。“互联网信息控制是美国和其他国家之间讨论的一个关键问题。一些国家,包括俄罗斯、中国、伊朗,关注于互联网内容可能导致政局不稳、政权更迭的‘网络影响’和风险。而美国关注于网络和系统的可靠性和完整性方面的网络安全与风险。这是我们定义网络威胁的根本区别。当前的互联网治理多方利益相关者模式为政府、商界、学术界和民间社会讨论互联网的组织和技术标准并达成共识提供了一个论坛。然而,重塑互联网治理模式,采用以国家政府为基础的治理模式将违背我们的许多政策目标,特别是保护言论自由、网上信息的自由流动和确保信息技术产品和服务的自由市场方面的目标。”

4、要解决网络空间的威胁问题,仅依靠技术的力量是不够的,也需要制度规范。建立公私合作伙伴关系对于解决网络安全问题至关重要。

网络安全问题的解决,一方面需要技术力量储备,另一方面需要建立完备的网络安全处理机制。美国政府对网络技术、信息技术的发展做出了清晰的规划,美国强大的科研体系保证了美国可以掌握最先进的信息技术、网络安全技术。在奥巴马政府的领导下,美国已经建立了多个联邦政府机构、国防机构、私营部门广泛参与的网络安全机制。为了加强关键基础设施的弹性,奥巴马总统在2013年2月12日签署了第1363号行政令《提高关键基础设施的网络安全》,该行政令要求建立一个自愿性的网络安全框架,提供一个优选的、灵活的、可复制的、基于绩效的、具备经济效益的方法,协助提高关键基础设施服务的机构管理网络风险。

[责任编辑:蒋佩华]

欢迎订阅知远防务快讯 我们在第一时间报导全球最新防务动态,关注世界热点事件,追踪防务发展方向。

版权声明:本文由澳门太阳娱乐集团官网发布于战术战略,转载请注明出处:美国网络安全战略分析,美国国家网络安全体制