网络安全定义

网络安全（cyber security），也称为信息技术安全（IT security），是指保护计算机系统和网络免受恶意行为者的侵害，这些恶意行为者试图损害数据安全、窃取数据、窃取硬件、软件或数据，或中断或重定向计算机和网络提供的服务。

随着计算机、互联网、蓝牙和Wi-Fi等无线网络协议的使用，以及智能手机、电视和物联网（IoT）其他组件等智能设备的增长，这一主题的突出性日益增加。由于信息系统及其所支持的社会日益复杂，网络安全成为当今世界的主要问题之一。对于具有重大物理影响的大规模系统，例如管理银行、选举和电力分配的系统，安全性至关重要。

历史

近年来，随着互联网的发展和数字化转型的开始，“网络安全”一词在我们职业和个人生活中得到了广泛讨论。在过去50年的技术进步中，网络安全和网络威胁始终存在。在互联网发明之前，当连接性增加导致计算机病毒和网络入侵激增时，20世纪70年代和80年代的计算机安全主要局限于学术界。在20世纪90年代病毒兴起之后，21世纪见证了网络安全和网络威胁的制度化。Willis Ware于1967年4月在春季联合计算机大会上召集的会议以及随后发布的Ware报告是计算机安全发展中的一个关键转折点。Ware的工作中交织着政治、文化、社会和经济方面的考量。

1977年的一篇NIST文章首次提出了可用性、完整性和保密性（CIA）三元组，作为解释重要安全目标的简单而简洁的方法。此后，又提出了许多更复杂的框架，但它们仍然适用。

然而，在20世纪70年代和80年代，由于计算机和互联网仍处于起步阶段，安全风险很容易被发现，因此没有重大的计算机威胁。威胁通常由恶意内部人员造成，他们未经授权访问了私人信息。尽管一开始有恶意软件和网络入侵，但它们并未用于谋取经济利益。在20世纪70年代后半叶，IBM等知名计算机公司开始提供访问控制系统和计算机安全软件。

计算机蠕虫Creeper是BBN的Bob Thomas于1971年创建并传播到ARPANET上的早期攻击计算机网络的案例之一。该应用程序没有恶意负载；它只具有实验性质。Ray Tomlinson于1972年开发了一个名为Reaper的后续程序，正是该程序摧毁了Creeper。

1986年9月至1987年6月期间，一群德国黑客进行了首次有记录的网络间谍活动。该组织入侵了美国大学、军事基地和国防公司的网络，以获取信息。之后，他们将信息出售给苏联克格勃。该组织的领导人Markus Hess于1987年6月29日被捕。1990年2月15日，他与其他两人被判犯有外国情报代理罪。

Morris蠕虫是1988年在线传播的最早的计算机病毒之一。这引起了媒体的广泛关注。

1993年，国家超级计算应用中心（NCSA）发布了Mosaic 1.0，这是最初的网络浏览器。此后不久，Netscape开始开发SSL协议。1994年，Netscape准备部署SSL版本1.0，但一些重大的安全漏洞使其无法向公众发布。这些漏洞包括重放攻击和允许黑客操纵用户发送未加密通信的缺陷。Netscape版本2.0仍于1995年2月发布。

除了获取外国情报，国家安全局（NSA）还负责保护美国的信息网络。

为了识别安全漏洞，该机构检查广泛使用的软件。然后它保存这些漏洞，用于对美国竞争对手进行攻击行动。该机构很少采取防御措施，例如向软件开发商报告问题以便他们修复。

美国国家安全局的承包商开发并向亲密朋友和美国政府机构出售了“点击即射”的攻击能力，但最终这些对手却遍布世界各地。俄罗斯和朝鲜都利用了美国国家安全局自己的黑客工具，这些工具在2016年被泄露。美国国家安全局的雇员和承包商被急于以高薪参与网络战的竞争对手挖走。自2007年美国和以色列开始利用微软Windows操作系统的安全漏洞以来，伊朗的核材料处理设备一直受到攻击和破坏。作为报复，伊朗大力投资其自身的网络战能力，然后开始对美国使用这些能力。

攻击和漏洞

漏洞是计划、执行、运行或内部控制中的缺陷。绝大多数已知漏洞在通用漏洞披露（CVE）数据库中都有描述。必须至少有一次成功的攻击或利用才能被视为可利用的漏洞。自动化工具或自定义脚本可用于查找、调查、寻找或利用漏洞。了解计算机系统可能遭受的攻击对其安全性至关重要，这些危险通常可分为以下几类：

后门

在计算机系统、密码系统或算法中，任何绕过标准身份验证或安全限制的秘密方法都称为后门。许多因素，例如错误的安排或原始设计，都可能导致它们的存在。无论添加它们的动机是什么，它们都构成了一个漏洞。它们可能由授权人员添加以允许某些合法访问，或由具有恶意意图的攻击者添加。后门可能很难被发现，通常只有拥有相关应用程序源代码访问权限或对计算机操作系统有深入了解的人才能发现它们。

拒绝服务攻击

拒绝服务 (DoS) 攻击旨在使其目标用户无法访问系统或网络资源。攻击者可能会选择通过故意连续多次输入错误的密码来锁定受害者的帐户，或者他们可能会使计算机或网络的资源不堪重负，从而一次性阻止所有用户。攻击者也可能选择限制对特定受害者的服务。虽然来自单个 IP 地址的网络攻击可以通过添加新的防火墙规则来阻止，但各种分布式拒绝服务 (DDoS) 攻击是可能的，其中攻击来自大量位置——防御要困难得多。此类攻击可能来自僵尸网络中的僵尸计算机，或来自各种其他方法，例如分布式反射拒绝服务 (DRDoS)，其中不知情的系统被欺骗向目标发送流量。由于自身使用的带宽较少，此类攻击中的放大系数使攻击者更容易进行攻击。

直接访问攻击

未经授权的人员如果物理访问计算机，最有可能直接从计算机复制数据。通过修改操作系统、安装软件蠕虫、键盘记录器、隐藏窃听设备或使用无线麦克风，他们也可能危及安全性。即使工作站受到保护，也可以通过启动另一个操作系统或从CD-ROM或其他可启动媒体启动工具来绕过标准安全措施。这些攻击通过磁盘加密和可信平台模块进行防范。

窃听

窃听是一种非法行为，指秘密监听私人计算机对话（通信），通常是在连接到网络的宿主之间。例如，国家安全局和联邦调查局曾使用 Carnivore 和 NarusInSight 等程序来监视互联网服务提供商网络。通过观察硬件产生的微弱电磁辐射，甚至可以监听封闭系统（即与外界没有通信的设备）。国家安全局已将这些攻击定义为 TEMPEST。

多向量和多变性攻击

2017年首次出现了一种新型的多向量、多态网络威胁，它整合了多种不同类型的攻击。这些威胁在传播过程中还会改变其形式，以规避网络安全措施。

网络钓鱼

网络钓鱼是一种诱骗消费者交出个人数据（包括用户名、密码和信用卡号）的做法。网络钓鱼通常会指示访问者在一个外观和感觉与真实网站几乎相同的虚假网站上输入他们的个人信息。它通常通过电子邮件欺骗或即时消息进行。虚假网站通常会要求提供个人信息，包括密码和登录信息。一旦获得对真实网站上该人员实际帐户的访问权限，这些信息就可以用于此目的。网络钓鱼是社会工程学的一个例子，因为它利用了受害者的信任。攻击者采用创新策略来访问真实帐户。攻击者经常通过向人们发送虚假的电子发票来欺骗他们，这些发票似乎显示他们最近购买了音乐、应用程序或其他东西，并告诉他们在销售未获批准时点击链接。鱼叉式网络钓鱼是一种更具蓄意性的网络钓鱼形式，攻击者通过使用受害者身份的详细信息或其公司的详细信息来冒充可靠来源。与网络钓鱼尝试撒下的广阔网络相反，鱼叉式网络钓鱼攻击专门针对特定人群。

提升权限

权限提升是指攻击者在未获得授权的情况下，以有限的访问权限能够提高其访问级别或权限的情况。例如，普通计算机用户可能会利用系统漏洞访问受限制的数据，甚至成为root用户以获得对系统的完全无限制访问。

逆向工程

逆向工程是通过解剖人造物体来揭示其设计、代码和架构或从中提取知识的过程，这与科学研究非常相似。唯一的区别是科学研究侧重于自然现象。

侧信道攻击

所有计算系统都对其周围环境产生某种影响。这种影响取决于多种因素，包括电磁辐射、RAM单元上的残留效应（使冷启动攻击成为可能）以及硬件实现错误（允许访问和/或猜测通常应无法访问的其他值）。在侧信道攻击场景中，攻击者会收集有关系统或网络的这些知识，以猜测其内部状态，然后访问受害者认为安全的数据。

社会工程的使用

在计算机安全方面，社会工程学涉及冒充高级管理人员、银行、承包商或客户，以说服用户泄露密码、卡号等信息或授予物理访问权限。这通常涉及利用人们的信任和认知偏差。一种典型的欺诈行为是向会计和财务部门的成员发送冒充其首席执行官的电子邮件，并恳求他们立即采取行动。联邦调查局报告称，截至2016年初，此类商业电子邮件欺诈（BEC）计划已使美国公司在两年多时间内损失超过20亿美元。

2016年5月，密尔沃基雄鹿篮球队就成了这种网络欺诈的受害者，一名作案者冒充球队总裁彼得·费金，获取了球队所有成员的2015年W-2税表。

欺骗

欺骗行为是指通过伪造数据（例如 IP 地址或用户名）来冒充授权实体，以获取无权使用的信息或资源。存在几种不同类型的欺骗，例如：

• 攻击者可以通过更改发送（或来源）地址来伪造电子邮件。这被称为电子邮件欺骗。
• IP地址欺骗，即黑客更改网络数据包中的源IP地址以隐藏其身份或冒充其他计算机系统。
• MAC欺骗是一种黑客攻击方法，通过更改网络接口控制器的媒体访问控制（MAC）地址来伪装攻击者的身份或冒充他人。
• 生物识别欺骗，即作案者创建虚假生物识别样本以冒充其他用户。
• 为了将其媒体访问控制地址连接到另一主机的IP地址，攻击者必须通过局域网发送伪造的地址解析协议（ARP）版本。结果，数据被传输给攻击者而不是预期主机。

网络安全公司Trellix在2018年发布了一项关于医疗保健领域欺骗潜在致命风险的研究。

篡改

被恶意修改或更改的数据被称为篡改。一种故意但非法的行为，它改变了系统、系统组件、系统的预期行为或数据。例如，“邪恶女仆”攻击以及安全机构在路由器中安装监控软件。

恶意软件

当恶意软件（malware）安装到计算机上时，它能够破坏或永久清除数据，以及暴露任何信息，包括密码、财务信息以及个人和商业信息。它还可以让攻击者控制机器。

HTML走私

“通过将有害载荷隐藏在看似无害的HTML文件中，”作者写道，“攻击者可以绕过内容过滤器走私数据和文件。”——Mitre.org

网络安全文化

员工行为对组织信息安全可能产生巨大影响。文化观念可以影响不同组织部门在信息安全方面的效力，也可以被利用来对付它们。“……组织中所有行为模式的总和，这些行为模式有助于保护各种信息”是信息安全文化。

根据Andersson和Reimers（2014）的研究，员工经常以阻碍组织改革的方式行事，因为他们不认为自己对组织的信息安全工作做出了贡献。事实上，2020年Verizon数据泄露调查报告（调查了3,950起安全漏洞）发现，30%的网络安全事件涉及公司内部人员。研究表明，围绕信息安全的文化需要不断改进。在《从分析到变革的信息安全文化》中，作者指出：“这是一个永无止境的过程，一个评估、改革或维护的循环。”五个步骤——预评估、战略规划、运营规划、实施和后评估——应遵循以管理信息安全文化。

• 预评估：评估员工对信息安全的理解，并评估目前实施的安全措施。
• 战略规划：为了开展有效的宣传活动，制定具体目标至关重要。为此，组建一支由知识渊博的专家组成的小组会有所帮助。
• 运营规划：内部沟通、管理支持、安全意识和培训计划是建立强大安全文化的基础。
• 实施信息安全文化应分四个步骤进行。它们如下：
  1. 行政部门的承诺
  2. 与团队成员沟通
  3. 为组织所有参与者开设课程
  4. 员工的投入
• 后评估：确定任何未解决的问题领域，并评估规划和实施的有效性。

面临风险的系统

随着计算机系统数量的增加以及个人、组织、行业部门和政府越来越依赖它们，面临危险的系统也越来越多。

金融结构

金融机构和监管机构（如美国证券交易委员会、SWIFT、投资银行和商业银行）的系统是黑客试图影响市场并获取非法收益的常见目标。接受或存储信用卡号、交易账户信息和银行账户信息的网站和应用程序也是常见的黑客攻击目标，因为它们提供了通过资金转账、购买或在黑市上出售信息来立即获利的机会。客户的账户信息和PIN码也通过黑客攻击自动取款机和店内支付系统获得。

工业用服务和机械

许多公用事业公司都利用计算机进行通信管理、电网管理、核电厂管理以及水气网络阀门的开闭等活动。Stuxnet病毒表明，即使是未连接互联网的计算机控制设备也可能容易受到攻击。互联网为此类设备提供了潜在的攻击途径，即使未连接，也仍然可能受到损害。国土安全部计算机应急响应小组在2014年对能源企业的79起黑客事件进行了调查。

航空

航空业严重依赖几个复杂的系统，这些系统可能会受到攻击。在海洋上空控制飞机尤其危险，因为雷达监测仅限于离岸175至225英里，一个机场的简单停电可能会影响整个地球，而且大部分系统依赖于可能受到干扰的无线电广播。在飞机上，也有可能遭受攻击。

在欧洲，通过（泛欧网络服务）和NewPENS，以及在美国，通过NextGen计划，空中导航服务提供商正在采取措施建立自己的专业网络。

如果攻击成功，可能会造成各种负面影响，包括泄密、系统完整性损失、空中交通管制中断、飞机损失，甚至人员伤亡。

消费电子产品

为了构建一个僵尸网络以攻击不同的目标，台式机和笔记本电脑经常遭到攻击，以收集密码、金融账户信息或两者兼有。智能手机、平板电脑、智能手表和其他移动设备，例如活动追踪器和其他量化自我设备，都配备了摄像头、麦克风、GPS接收器、指南针和加速度计等传感器，这些传感器可能被用于恶意目的，并可能收集私人健康数据。这些设备中的任何一个都可能通过WiFi、蓝牙或手机网络遭到攻击，一旦成功入侵，传感器就可以远程触发。

另一组可能的攻击目标是日益增多的家庭自动化设备，如Nest恒温器。

大公司

大型企业是常见的攻击目标。攻击通常涉及数据泄露，旨在窃取个人身份以获取经济利益。例如，家得宝、Staples、Target公司和Equifax披露了数百万客户信用卡和银行信息被盗事件。

医疗记录已成为身份盗窃、健康保险欺诈以及冒充患者以获取处方药自用或转售的普遍目标。尽管网络风险日益增加，但2015年有62%的公司没有增加对员工的安全培训。然而，并非所有攻击都是为了经济利益。例如，黑客组织Anonymous在2011年对安全公司HBGary Federal发起了一场严重的攻击行动，以报复该公司CEO声称已渗透到该组织；索尼影业在2014年成为黑客的目标，其明显的目标是既通过信息泄露羞辱该公司，又通过删除工作站和服务器来瘫痪该公司。

汽车

汽车中的自动化功能越来越多，包括发动机正时、巡航控制、防抱死制动、安全带张紧器、门锁、安全气囊以及许多车型上的高级驾驶员辅助系统。此外，互联汽车可以通过WiFi和蓝牙连接车载消费电子产品和蜂窝网络。自动驾驶汽车预计将更加复杂。所有这些系统都存在一定的安全风险，这些问题已受到广泛关注。

危险的基本例子包括使用恶意CD作为攻击向量，以及利用汽车的车载麦克风进行窃听。如果获得汽车内部控制器局域网的访问权限，风险会大大增加。在2015年一次广为人知的测试中，黑客远程劫持了一辆距离10英里的汽车，并将其开进了沟里。

不同的制造商正在做出回应，特斯拉在2016年通过空中下载方式为其汽车系统下载了一些安全升级。美国交通部呼吁各州为自动驾驶汽车制定统一法规，并于2016年9月发布了一些早期安全指南。

政府

活动分子和外国势力经常攻击政府和军事使用的计算机网络。市政和地方政府使用的基础设施，包括交通信号控制器、执法部门和情报部门之间的通信、学生和员工数据以及银行系统，也容易受到攻击。这是因为这些系统现在基本上都已计算机化。政府身份识别文件（如护照和管理RFID启用建筑物入口的政府身份证）存在克隆的可能性。

物联网和物理漏洞

物联网（IoT）是一个由实际物理对象（包括机器、车辆和建筑物）组成的网络，这些对象配备了电子设备、软件、传感器和网络连接。这项技术允许这些对象收集和共享数据。有人抱怨说，在创建这个网络时，相关的安全问题没有得到充分考虑。

物联网（IoT）为现实世界与基于计算机的系统更紧密地集成提供了机会，但也带来了滥用的风险。随着物联网的扩展，网络攻击尤其有望成为一种更具物理性（而不仅仅是虚拟性）的威胁。如果前门的锁连接到互联网，并且可以通过手机锁定或打开，那么小偷就可以通过被盗或被黑的手机一键进入房屋。在一个由物联网设备主导的世界里，人们失去的不仅仅是信用卡信息。窃贼还使用电子工具来绕过未连接到互联网的酒店门锁。

网络动力学攻击是一种针对人类生命或物理基础设施的攻击。随着物联网设备和电器的普及，网络动力学攻击可能会蔓延并造成严重损害。

医疗系统

无论是起搏器和胰岛素泵等植入式设备，还是医院使用的诊断设备，都曾遭受过成功攻击或暴露过可能致命的漏洞。有几项声称医院和医疗保健组织遭到黑客攻击的案例，包括勒索软件攻击、病毒、Windows XP漏洞以及涉及医院系统存储的敏感信息的数据泄露。2016年12月28日，美国食品药品监督管理局发布了关于医疗设备制造商如何维护连接互联网的设备安全的建议，但没有执行框架。

能源部门

根据Daily Energy Insider的报道，分布式发电系统中存在网络攻击的实际可能性。一次攻击可能导致大面积长时间停电，这可能与自然灾害一样带来可怕的后果。哥伦比亚特区正在考虑在该地区设立分布式能源资源（DER）管理局，以让居民更好地控制能源消耗，并让该地区的电力公司Pepco有机会更准确地预测能源需求。但是，特区提案“将允许第三方供应商设立多个能源分配点，从而增加网络攻击者对电网构成威胁的机会。”

安全漏洞的后果

安全漏洞已导致重大的经济损失，但由于没有公认的事件成本计算方法，目前可获得的信息只有相关组织公开的信息。“一些计算机安全咨询公司估算了蠕虫和病毒攻击以及总体恶意数字行动造成的全球总损失。根据这些公司的数据，2003年的损失从130亿美元（仅来自蠕虫和病毒）到2260亿美元（所有形式的隐蔽攻击）。这些估算因其准确性而经常受到质疑，因为其制作方法基本上是轶事。”

尽管这可能看起来有悖常理，但对安全漏洞财务成本的可靠估算实际上可以帮助公司做出明智的投资决策。根据传统的戈登-洛布模型（它考察了信息安全的最佳投资水平），公司用于保护信息的金额通常只应是预期损失的一小部分，或者说是网络/信息安全漏洞造成的预期损失价值的一小部分。

攻击者的动机

计算机安全漏洞的动机因攻击者而异，就像物理安全漏洞一样。有些人是破坏者或寻求刺激者，有些人是活动家，还有一些人是盗贼，为了赚钱。然而，像为克格勃工作的Markus Hess这样的业余爱好者是第一批国家支持的黑客，正如Clifford Stoll在《杜鹃蛋》中描述的那样。今天，这些攻击频繁且资源充足。

最近的攻击者还受到极端团体的驱使，他们寻求推进其政治议程或阻碍社会运动，这可能与之前的攻击有关。随着互联网、移动技术和低成本计算设备的发展，能力不断增强，对被认为是商业运营至关重要的环境也存在风险。所有关键目标环境的脆弱性导致了许多主动研究，探讨如何在考虑这些类型参与者的目标的同时转移风险。黑客和民族国家行为者试图基于意识形态偏好进行攻击的动机在许多重要方面存在显著差异。

弄清可能促使系统遭受攻击的因素以及谁可能被驱使入侵系统是任何给定系统的威胁建模的基本组成部分。根据需要保护的系统，将采用不同级别和类型的措施。即使基本技术相同，家用计算机、银行和机密军事网络所面临的风险也截然不同。

计算机安全（预防措施）

计算机安全中的对策是指通过消除或预防风险、弱点或攻击，最小化其可能造成的损害，或通过识别和报告以采取补救措施来降低风险、弱点或攻击的活动、工具、过程或技术。

以下部分列出了一些普遍的防御措施：

基于设计的安全性

从一开始就考虑到安全性的软件被称为“安全设计”，或“按设计安全”。在这种情况下，安全性被视为一个关键组件。

以下是此策略中使用的一些方法：

• 根据最小权限原则，每个系统组件的权限不应超过其履行预期功能所需的权限。这样，即使攻击者获得了该部分的访问权限，他们也只能对整个系统进行有限的控制。
• 自动化定理证明用于证明关键软件组件的准确性。
• 在无法进行形式正确性证明的情况下，单元测试和代码审查是提高模块安全性的方法。
• 当系统及其所包含的数据的完整性需要在多个级别上受到威胁时，采用深度防御。
• 安全的配置默认值和安全失效而非不安全失效的设计也是可取的（参见安全工程中的失效安全）。理论上，一个安全的系统不应该在没有合法机构的故意、有意识、知情和自由行动的情况下被变得不安全。
• 由于审计追踪记录系统活动，它们可以在发生安全漏洞时用于确定漏洞的方法和程度。审计追踪可以通过远程存储来防止被删除，在那里它们只能被添加。
• 必须完整披露所有缺陷，以确保在发现缺陷时，漏洞窗口尽可能小。

安全架构

开放安全架构组织将IT安全架构描述为“概述安全控制（也称为安全对策）在更广泛的信息技术架构中的位置和关系的设计工件。这些措施旨在维护系统的质量特性，包括其可用性、可追溯性和保密性”。

Techopedia将安全架构描述为“一个综合的安全计划，它考虑了特定情况或环境中的需求和风险。此外，它还详细说明了何时何地实施安全控制。一般来说，设计过程是可重复的。”安全架构最重要的特征是

• 许多元素之间的相互作用以及它们如何相互依赖。
• 根据风险分析、最佳实践、经济和法律考虑选择控制措施。
• 控制措施的统一性。

安全架构实践提供了正确的框架，以系统地解决组织中的业务、技术和安全问题。

安全预防措施

通过威胁预防、检测和响应这三个过程实现的概念理想是一种计算机安全状态。以下策略和系统元素（除其他外）构成了这些过程的基础

• 加密和用户帐户访问控制都能够保护数据和系统文件。
• 防火墙是迄今为止网络安全中最常见的预防系统，因为如果配置正确，它们可以保护对内部网络服务的访问，并通过使用包过滤来阻止某些类型的攻击。防火墙可以是基于软件的，也可以是基于硬件的。
• 尽管审计跟踪和日志对单个系统提供了类似的功能，但入侵检测系统（IDS）产品旨在识别正在发生的网络攻击并协助进行攻击后的取证。
• 响应必须由系统评估的安全要求决定，并且可以采取多种形式，从简单的安全防护升级到法律当局、反击等等。由于并非所有系统资源都可能受到威胁，因此在某些极端情况下，可能需要完全销毁受影响的系统。
• 为了防范在线威胁和攻击，请接受网络安全意识培训。
• 正向Web代理解决方案可以阻止客户端访问恶意网站，并可以在将内容下载到客户端计算机之前对其进行分析。

在现代，计算机安全主要包括防火墙或退出程序等预防措施。防火墙是一种用于过滤主机或网络与另一个网络（如互联网）之间的网络流量的方法。防火墙是一种提供实时过滤和阻塞功能的设备。它可以作为在连接到网络堆栈的计算机上运行的软件来实现，或者，正如大多数基于UNIX的操作系统（包括Linux）的情况一样，作为操作系统内核的一部分来实现。使用“物理防火墙”（涉及单独的机器筛选网络流量）是另一种实现方式。持续连接到互联网的机器通常安装防火墙。

一些企业正在使用Apache Hadoop等大数据系统来提高数据可访问性，并利用机器学习来发现复杂的持续威胁。然而，只有少数企业维护具有可靠检测系统的计算机系统，甚至更少有完善的响应流程。因此，据路透社报道，“企业首次报告，通过电子数据盗窃造成的损失高于实物盗窃造成的损失。”过度依赖防火墙和其他自动化检测系统可能被认为是有效消除网络犯罪的主要障碍。但是，将罪犯送进监狱仅仅是通过使用数据包捕获设备获取证据的简单事情。

信息安全的基础是网络的机密性、完整性和可用性（CIA），必须加以维护才能确保可接受的安全性。应在管理、物理和技术层面采取安全措施以实现这些目标。只有了解资产的价值，才能计算出为其提供的安全级别。

漏洞管理

识别、纠正和缓解漏洞，特别是软件和固件中的漏洞，构成了漏洞管理周期。网络安全和计算机安全都依赖于漏洞管理。

漏洞扫描器可以检查计算机系统是否存在已知漏洞，例如开放端口、不安全的软件配置和易受感染性，从而发现弱点。这些工具必须随着供应商发布的每个新版本而保持最新，才能发挥作用。这些升级通常会扫描任何新发现的漏洞。

除了扫描漏洞之外，许多公司还使用外部安全审计员对其系统进行定期渗透测试，以发现安全漏洞。这在各个行业中都是合同要求。

最小化漏洞

尽管在技术上是可行的，但对计算机系统准确性进行形式化验证仍然不是很普遍。SeL4和SYSGO的PikeOS是两个经过严格验证的操作系统，但它们在市场上的份额非常有限。

双因素认证是一种防止未经授权访问系统或敏感数据的技术。它需要你拥有的东西——一张卡、一个加密狗、一部手机或其他硬件——和你知道的东西——一个密码或PIN。这提高了安全性，因为未经授权的人员需要同时具备这两者才能进入。只有非计算机方法，鉴于材料的敏感性，这些方法可能难以实现，才能阻止社会工程和直接计算机访问（物理）攻击。为了降低这种风险，通常会进行培训，但社会工程攻击仍然难以识别和避免，尤其是在高度结构化的环境中（例如军事组织）。

“接种”一词源自接种假说，指的是通过接触先前或类似的尝试来培养对说服的抵抗力，从而防止社会工程和其他欺骗性伎俩或陷阱的过程。

通过安全补丁和更新保持系统最新，使用安全扫描器和/或聘请安全专家都可以帮助减少攻击者成功的机会，但这些措施都不能确保防止攻击。通过进行彻底备份和购买保险，可以减轻数据丢失或损坏的影响。

硬件安全措施

硬件可能是安全风险的来源，例如在制造过程中故意添加的微芯片缺陷，而基于硬件或硬件辅助的计算机安全也为纯软件计算机安全提供了替代方案。由于需要物理访问（或巧妙的后门访问）才能受到损害，因此使用加密狗、可信平台模块、入侵感知机箱、磁盘锁、禁用USB端口和支持移动设备的访问等工具和技术可能被认为更安全。下面，我们将更深入地探讨这些。

USB加密狗经常用于软件许可方案中以解锁程序功能，但它们也可以被视为防止未经授权访问计算机或其他设备软件的一种手段。在密钥和软件程序之间，加密狗或密钥本质上建立了一个安全的加密隧道。根据基本理论，在加密狗上使用高级加密标准（AES）等加密系统提供了更高级别的安全性，因为加密狗比仅仅将本机软件复制到另一台计算机并运行更难破解和复制。将加密狗用于基于Web的内容访问，例如云计算或虚拟专用网络，是另一种安全用途（VPN）。此外，计算机可以编程为使用USB加密狗锁定或解锁。

• 微处理器被称为“片上计算机”，可信平台模块（TPM）使用它们通过将加密功能集成到访问设备中来保护设备。当与服务器端软件一起部署时，TPM提供了一种识别和验证硬件设备的方法，禁止未经授权的网络和数据访问。
• 一种识别计算机机箱打开的工具被称为“计算机机箱入侵检测”系统。通常，此设备使用按钮开关。当计算机下次启动时，固件或BIOS配置为向操作员显示警报。
• 驱动器锁本质上是加密硬盘的计算机程序，以防止窃贼访问它们。此外，还有可用于外部驱动器加密的工具。
• 禁用USB端口是一种安全措施，用于避免未经授权和有害地访问其他安全的计算机。Network World杂志将受感染的USB加密狗列为计算机网络最普遍的硬件危险。这些设备从防火墙内的计算机连接到网络。
• 移除或关闭任何未使用的辅助设备，包括您的摄像头、GPS和外部存储。
• 由于手机的广泛使用，支持移动设备的访问设备越来越普遍。内置功能，如蓝牙、低功耗蓝牙（LE）、非iOS设备上的近场通信（NFC）、指纹识别等生物特征验证，以及专为移动设备设计的二维码阅读器软件，为手机连接到访问控制系统提供了新的安全方式。这些控制系统可以帮助管理受保护建筑的入口，并提供计算机安全。
• IOMMU使用直接内存访问保护，为移动和台式计算机中的组件提供基于硬件的沙盒。物理不可克隆函数（PUF），作为集成电路和硬件的数字指纹或唯一标识，用户可以使用它们来保护进入其系统的硬件供应链。

具有安全性的操作系统

“计算机安全”一词可以指各种技术，包括用于构建安全操作系统的技术。尽管通用标准定义了当前国际标准ISO/IEC 15408、通用标准中一系列日益严格的评估保证级别，但美国国防部（DoD）仍然适用1980年代的“橙皮书”标准。尽管许多广泛使用的操作系统符合EAL4标准定义的“系统化设计、测试和审查”，但由于最高级别所需的严格验证，它们很少见。空客A380和其他军用飞机使用INTEGRITY-178B系统，这是EAL6（“半形式化验证设计和测试”）系统的一个显著示例。

加密编码

安全编码是软件工程中的一种实践，旨在防止无意中引入安全漏洞。从头开始构建的安全软件也是一种可能性。通过设计，这些系统是安全的。除此之外，形式化验证旨在确定系统底层算法的准确性，这对于加密协议至关重要。

访问控制列表和能力列表

访问控制列表（ACL）和基于角色的访问控制是计算机系统中用于实现权限分离（RBAC）的两种最常见的安全范例。

访问控制列表（ACL）是与计算机文件系统相关的权限集合。ACL指定哪些系统进程或用户被允许访问对象以及允许对特定对象执行的操作。

为了限制授权用户对系统的访问，大多数拥有500多名员工的企业使用基于角色的访问控制，可用于创建强制访问控制（MAC）或自由裁量访问控制（DAC）。另一种策略是基于能力的安全，通常只在研究操作系统中实现。然而，也可以在语言级别包含能力，从而创建一种仅仅是传统面向对象架构的高级版本的编程范例。E语言是该领域的一个开源项目。

终端用户安全教育

据认为，超过90%的安全事件和漏洞都包含某种人为错误，使终端用户成为安全链中最薄弱的环节。密码管理不善、将包含敏感数据和附件的电子邮件发送给错误的收件人、未能识别误导性URL以及未能识别虚假网站和潜在危险的电子邮件附件是报告最多的错误和误判。

为了更简单地登录银行网站，客户经常犯下在浏览器中保存其用户名和密码的错误。这是对以某种方式获得计算机访问权限的攻击者的恩惠。通过使用双因素认证，可以降低风险。

在各个层面，安全意识培训不仅确保正式遵守行业和监管规定，而且被认为是降低网络风险和保护个人和组织免受绝大多数网络威胁的关键。这是因为，通过纳入网络风险的人为因素，可以最好地估计公司的整体网络风险。

它朝着主要安全中心建议的方向发展，在组织内部建立网络意识文化，认识到有安全意识的用户是抵御网络攻击的重要第一道防线。许多安全专业人员，他们历来主要从技术角度解决网络安全问题，由于对终端用户的强调而经历了根本性的文化转变。

互联网安全

数字卫生，通常称为网络卫生，是与信息安全相关的一个关键概念，正如与个人卫生的类比所示，它等同于将简单的日常行为付诸实践，以降低网络威胁的风险。它与终端用户培训有关。

有效的网络卫生实践旨在通过降低一个脆弱节点可能被利用来发起攻击或危害另一个节点或网络（特别是来自常规攻击）的可能性，为联网用户提供额外的保护层。此外，不应将其与军事术语中的主动网络防御（称为网络卫生）混淆。

网络卫生主要侧重于技术上易于应用且主要依赖于纪律或教育的日常预防措施，而不是完全基于技术的威胁防护。它可以被视为抽象的建议或安全预防措施集合，这些措施已被证明可以改善个人和/或群体的数字安全。因此，每个人，而不仅仅是安全专业人员，都可以执行这些预防措施。

就像计算机病毒与生物病毒（或病原体）相关一样，个人卫生也与之相关。另一方面，“计算机病毒”一词的出现要晚得多——可能直到2000年才由互联网先驱Vint Cerf提出——而不是第一个功能性计算机病毒。“网络卫生”一词几乎是在同一时间创造的。从那时起，联邦调查局、欧盟机构、美国国会和参议院以及其他国家元首都接受了它。

应对违规行为

由于多种原因，响应尝试性安全漏洞可能极其困难，其中包括

攻击者可能使用无线连接、临时匿名拨号帐户、代理和其他匿名技术，这使得追踪他们变得困难。他们也经常位于另一个国家，这使得识别他们变得困难。如果他们成功突破安全防线，他们通常拥有足够的管理权限来删除日志以隐藏其踪迹。

组织无法为众多攻击（通常由自动化漏洞扫描器和计算机蠕虫执行）中的每一种攻击投入足够的时间。

警方人员常常缺乏追捕攻击者的知识、意愿或资源。此外，从网络和多个国家/地区的多个位置收集日志可能具有挑战性或耗时，这有时是识别网络攻击者所必需的。

许多司法管辖区现在都有强制性安全漏洞通知规定，适用于攻击成功并发生漏洞的情况。

事件响应计划

为了避免漏洞或应对网络攻击，事件响应是一种有组织的方法，用于处理和管理计算机安全事件或入侵的后果。当入侵发生时未能识别和处理事件时，它通常会恶化并导致数据泄露或系统故障。计算机安全事件响应计划旨在限制问题，最大限度地减少损害，并帮助恢复正常操作。通过立即响应受损情况，可以减少被利用的漏洞，恢复服务和流程，并将损害降至最低。组织可以通过使用事件响应计划，为阻止入侵造成损害之前制定一套最佳实践。

大多数事件响应计划都包含一套书面指导方针，概述了组织应对网络攻击的方式。如果没有书面计划，组织可能无法识别入侵或漏洞，利益相关者可能不知道各自的职责或升级流程，这将延迟组织响应和解决情况的能力。

计算机安全事件响应策略应包括以下四个要素

• 让相关方做好准备，教育人们在发生漏洞或其他计算机安全问题时该怎么做。
• 检测和分析过程涉及多个过程，包括识别和验证可疑活动以确认安全事件，根据影响优先排序响应，以及协调问题的沟通。
• 查找事件源，隔离受影响的系统以防止升级和减轻影响，从环境中删除恶意软件、受影响的系统和恶意行为者，以及在威胁不再存在时恢复系统和数据，这些都是遏制、根除和恢复的组成部分。
• 事件发生后，组织对事件、其根本原因及其反应进行事后检查，旨在增强其事件响应策略和后续响应工作。

重大攻击和漏洞

罗伯特·莫里斯和最初的计算机病毒

1988年，有6万台机器连接到互联网，其中大部分是大型机、小型机和专业工作站。1988年11月2日，许多机器开始出现性能问题，原因是执行了第一个互联网计算机蠕虫，这是一种恶意程序，它消耗处理器时间并传播到其他机器。该软件与康奈尔大学23岁的博士生罗伯特·塔潘·莫里斯有关，他声称“他想计算有多少台PC连接到互联网。”

意大利实验室

1994年，美国空军主要指挥和研究机构罗马实验室成为一百多次未知入侵者的目标。黑客能够不受限制地进入罗马的网络基础设施，并使用特洛伊木马清除其行为证据。通过冒充可靠的罗马中心用户，入侵者能够访问敏感文件，例如来自空任务订单系统的数据，并进一步入侵莱特-帕特森空军基地、戈达德太空飞行中心、美国国家航空航天局、一些国防承包商和其他私营部门公司的连接网络。

TJX客户卡信息

2007年初，美国服装和家居用品公司TJX披露，它曾是非法计算机入侵的目标，黑客已获得对存储信用卡、借记卡、支票和商品退货交易信息的系统的访问权限。

使用Stuxnet攻击

据称，2010年，Stuxnet计算机蠕虫摧毁了伊朗五分之一的核离心机。为此，它对工业可编程逻辑控制器（PLC）发动了有针对性的攻击。尽管两国都没有公开承认，但人们普遍认为以色列和美国发起此次行动是为了阻止伊朗的核发展。

全球监控信息

2013年初，《华盛顿邮报》和《卫报》发表了爱德华·斯诺登获得的文档，揭示了NSA全球监控的广泛范围。还有迹象表明，NSA可能在NIST加密标准中添加了后门。由于遭到强烈反对，这一要求后来被取消。此外，还透露NSA监控了Google数据中心之间的连接。

Target和Home Depot的漏洞

2013年，一名名为Rescator的乌克兰黑客入侵了Target Corporation服务器，窃取了大约4000万张信用卡号。2014年，他入侵了Home Depot的计算机，窃取了5300万至5600万张信用卡号。两家公司都收到了警告，但都置之不理；涉及自助结账机的物理安全漏洞被认为产生了重大影响。据安全技术公司McAfee的威胁情报运营主管Jim Walter称，如果管理员听取了现代杀毒软件的警告，这些盗窃案本可以轻易避免。“使用的恶意软件绝对不复杂，也毫无趣味，”他说。盗窃案的巨大规模引起了美国州和联邦当局的极大关注，调查仍在进行中。

人事管理办公室信息泄露

2015年4月，人事管理办公室发现，一年多前发生的数据泄露事件导致该机构控制的大约2150万份人事记录丢失。据联邦官员称，人事管理办公室的攻击是美国历史上最大的数据泄露事件之一。此次事件中，政府现任和前任雇员以及所有完成政府背景调查的人的姓名、出生日期、地址、社会安全号码和指纹等个人身份信息成为攻击目标。据信是中国黑客实施了此次攻击。

Ashley Madison安全漏洞

2015年7月，一个名为The Impact Team的黑客组织入侵了婚外情网站Ashley Madison。该网站由Avid Life Media创建。据该组织称，他们窃取了用户数据以及公司数据。黑客攻击后，The Impact Team誓言除非网站永久关闭，否则将发布客户数据，并发布了公司CEO的电子邮件以支持其论点。当Avid Life Media选择不关闭网站时，该组织发布了另外两个压缩文件，一个大小为9.7GB，另一个为20GB。尽管Avid Life Media的CEO Noel Biderman在第二次数据泄露后辞职，但该网站仍在运营。

国际监管和法律问题

全球网络攻击的法律影响是复杂的。当安全公司或机构确实识别出负责开发特定恶意软件或网络攻击类型的网络犯罪分子时，当地政府通常无法采取执法行动，因为没有法律可以起诉。因此，没有一个共同的全球规则基础来判断和最终惩罚网络犯罪和网络犯罪分子。“计算机病毒通过从一个国家切换到另一个国家，从一个司法管辖区切换到另一个司法管辖区来在全球范围内移动。它们通过利用我们无法在全球范围内监管此类操作这一事实来实现这一点。互联网就像有人向全世界的互联网罪犯免费提供机票一样。”使用动态DNS、快速变换和防弹服务器等策略使调查和执法更加困难。

政府的角色

政府的职责是颁布法律，强制企业和组织保护其网络、硬件和数据免受网络攻击。它还有责任保护自己的国家基础设施，例如电网。

政府如何监管在线活动令人困惑。正如当今许多自由主义区块链和比特币讨论中所见证的那样，一些人以前认为网络空间是一个虚拟领域，应该免受政府干预。

私营部门未能有效解决网络安全问题，导致许多政府官员和专家认为政府应该做得更多，并且迫切需要改进立法。R. Clarke在旧金山RSA安全大会的一个小组讨论中表示，他认为行业“只对监管威胁做出反应。如果行业不做出反应（对威胁），你就必须跟进。”另一方面，商界领袖同意需要改变，但他们认为政府干预将限制他们有效创新的能力。丹尼尔·R·麦卡锡在分析这种网络安全领域的公私合作时，也考虑了网络安全在更广泛的政治秩序结构中的作用。

结论

迅速应对日益增长的网络安全威胁的义务正在给组织带来压力。由于攻击者一直在使用攻击生命周期，组织被迫开发漏洞管理生命周期。漏洞管理生命周期旨在最好、最快地挫败攻击者所做的任何尝试。在漏洞管理策略方面，本章涵盖了漏洞管理生命周期。它涵盖了资产清单流程的构建、信息流管理、风险评估、漏洞评估、报告、补救措施等。