網(wǎng)絡威脅在世界經(jīng)濟中日益變得具有系統(tǒng)性。所有參與者的關注度不斷上升，在一定程度上可能會導致一個全球性的反數(shù)字化，對經(jīng)濟造成巨大的負面影響。另一方面云計算和大數(shù)據(jù)方面進展迅速，根據(jù)麥肯錫公司的研究，這些技術(shù)為全球經(jīng)濟的貢獻每年在9.6-21.6萬億美元之間。如果網(wǎng)絡攻擊的復雜性超出了國家和組織的防御能力，為此而制定的嚴厲法規(guī)和政策則可能會減緩創(chuàng)新和增長。
巴黎高科評論：網(wǎng)絡威脅政府和企業(yè)而言，有什么不同嗎？
Hervé Guillou：區(qū)別不大。在網(wǎng)絡世界中，公共和私營部門之間的邊界不是根據(jù)企業(yè)或政府來界定。由于服務性行為的存在，這些邊界實際上存在很多孔隙。個人需要和使用醫(yī)療服務，軍隊需要后勤，納稅企業(yè)要向財政機構(gòu)繳稅。但是為了理解方便，我們應該首先把網(wǎng)絡空間定義為一個相當復雜的組合，它由貫通“三個世界”的“三個層級”的“九個部分”構(gòu)成。
最底層是物理層，包括電纜、光纖、海底電纜、無線電和衛(wèi)星網(wǎng)絡、路由器……總之，需要一個支持并傳輸信息的系統(tǒng)。
然后是數(shù)據(jù)處理層，包括計算機、機器人、服務器、協(xié)議、直接可用的軟件包如Windows、機器人控制軟件或車載軟件。
最后是信息內(nèi)容和功能層，這個層最具可見性，也最和網(wǎng)絡安全相關：我們這里說的是所有經(jīng)過加工或存儲的數(shù)據(jù)、應用程序、信息內(nèi)容，包括在線金融交易（大多是采購付款）的數(shù)據(jù)和安全。
以往，這三個“橫向”貫穿三個垂直世界的水平層是各自分離的，所涉及的技術(shù)端口、標準和產(chǎn)業(yè)結(jié)構(gòu)完全不同。三個世界是：1、一般計算機科學領域（IBM、Atos、Bull）; 2、工業(yè)計算機領域（CATIA、西門子、施耐德），包括自動化、機器人、3D工具、數(shù)字化設備控制協(xié)議等； 3、機（車）載計算機（霍尼韋爾、泰雷茲）憑借其在實時數(shù)據(jù)處理的專業(yè)化來控制飛機的飛行表面。
網(wǎng)絡威脅是如何傳播的？
互聯(lián)網(wǎng)協(xié)議（IP）是垂直滲透的（因為通信和路由系統(tǒng)對數(shù)據(jù)進行了虛擬化，同時，IP連接的是一般計算機科學層與工廠控制和管理軟件如使用SAP軟件來監(jiān)控生產(chǎn)）。機載計算機現(xiàn)在也加上了工業(yè)數(shù)據(jù)處理。例如，“公文包”（suit-case）使車載數(shù)據(jù)處理設備將維修數(shù)據(jù)傳回到汽車制造商的技術(shù)中心，下載修復軟件補丁程序，甚至訂購備件。每架空客有7個IP地址可以連接“接口”，來處理餐飲物流、上傳新航班時刻表，并且在飛行中發(fā)送回狀態(tài)數(shù)據(jù)。很明顯我前面提到的三個世界如今緊密嚙合在一起。
今天發(fā)生的一切讓我們回想起四個世紀以前國際貿(mào)易的發(fā)展情形。當時沿海港口到港口的旅行變得全球化，令人難以置信的巨大財富開始在海上航線流通。這種流通引來了海盜攻擊船只，搶奪船上貨物，海軍艦隊因此建立。致命的病毒，開始蔓延。
這也正是今天互聯(lián)網(wǎng)上所發(fā)生的，除了攻擊者和防御者之間的不對稱性更為驚人。不用花費太多就能輕松雇用到全世界最優(yōu)秀的計算機科學家來充當黑客。成本遠遠低于建造一枚彈道導彈、一架戰(zhàn)斗機或一個核反應堆。構(gòu)建一個攻擊所需支付的設備和攻擊者價格幾乎為零。此外，攻擊者可以在任何地方進行操作：用50美分租用一個服務器站，控制200萬臺服務器進行攻擊，就能賺到100萬美元。當有遍布全球的200萬臺服務器，牽涉到14個國家，誰有能力定位攻擊源？攻擊者不會因此受到懲罰，因為很少有受到攻擊的機構(gòu)會選擇發(fā)動法庭訴訟程序，擔心這將會對聲譽產(chǎn)生明顯的負面影響。
我們只能自己保護自己？
就算想要定性一個網(wǎng)絡攻擊，你也不具備相應的法律手段，因為實際上還沒有適用于互聯(lián)網(wǎng)的國際法。在這個領域罕見的國際條約之一《布達佩斯網(wǎng)絡安全公約》覆蓋范圍極其有限，遠沒有涉及到空中交通、空間或海洋探索等領域。今天的受害者與往昔西班牙商船上的受害者處境相同。越來越多的財富正在網(wǎng)絡上被運輸。私募人士“透露”他們的銀行數(shù)據(jù)；設計師們交換自己的知識產(chǎn)權(quán)；企業(yè)家也在使用在線生產(chǎn)工具，通過電子供應鏈和電子倉庫連接工廠和供應商，通過電子商務管理客戶，通過電子人力資源軟件管理員工。受害者是靜態(tài)的，并“努力”暴露可被攻擊的網(wǎng)絡端口！攻擊通道的數(shù)量呈指數(shù)級增長。2003年全球有5億個IP地址，到2020年，物聯(lián)網(wǎng)將導致這一數(shù)字不低于800億……所以沒有什么比通過供應商或外部流動員工來攻擊一家公司更容易了。
那么，什么是網(wǎng)絡犯罪？
有的人僅僅是為了錢，比如出售偷來的信用卡ID碼。其他動機可能是國家級別的恐怖主義破壞，或非政府組織希望“懲罰”某家公司，以及工業(yè)間諜和商業(yè)數(shù)據(jù)盜竊。所有這些行為背后，不是浪漫的羅賓漢，更多的是有組織的犯罪，我們現(xiàn)在必須稱之為“持續(xù)的高級威脅。”20歐元，你可以購買一個完整、有效的信用卡號碼，透支額度被竊賊設置在100歐元。如果攻擊竊取了你的工業(yè)設計圖紙，你必須知道，這類知識產(chǎn)權(quán)項目存在地下市場，購買者可以通過使用這些文件的內(nèi)容賺取利潤或讓產(chǎn)品增值。
這場戰(zhàn)爭的成本是多少？
2013年，被網(wǎng)絡犯罪分子竊取的經(jīng)濟財富為1900億歐元，這里的數(shù)字僅指直接損失。例如，索尼公司被竊150萬個信用卡ID數(shù)據(jù)，直接價值1.5億歐元。但索尼隨后聲稱拿到了13億美元的保險賠償用于支付完全關閉受非法電子交易侵擾的服務器，對數(shù)據(jù)處理系統(tǒng)進行改造以及為重建公司信任度而進行的公關活動。與國防或能源部門合作的公司，如果工業(yè)圖紙被盜，其經(jīng)濟或戰(zhàn)略損失可能非常巨大。
為什么要追蹤黑客是如此困難？
連逮捕到敘利亞參加“圣戰(zhàn)”的圣戰(zhàn)者都被證明不可能，更別提抓到黑客…..你該如何跟蹤一個在網(wǎng)絡上使用假IP地址的人？為此組建了完整的警察編隊，借助法國金融情報組[主要針對金融詐騙]和國家安全部門的幫助。2013年約有2600萬個病毒（惡意軟件）軟件包被識別，意味著每天70萬個新的威脅。全球被病毒潛伏的計算機數(shù)量約為40％，一臺新電腦安裝初始程序后，只能保持清潔3分鐘。之后，黑客安裝的一個小“僵尸網(wǎng)絡”（一個休眠的病毒軟件）可能喚醒，并在之后某個時刻運行僵尸網(wǎng)絡序列，然后使用這個“無辜”的IP發(fā)動網(wǎng)際攻擊。
黑客如何成功隱藏得這么好？
發(fā)現(xiàn)一個復雜、高層次攻擊的平均用時為416天。法國財政部為G20峰會做的準備服務被黑客攻擊；一個由50名專家組成的團隊，歷時4個月，一周七天不間斷地夜以繼日工作，才根除了“癌癥”。一旦黑客侵入你的系統(tǒng)，他/她只需要等待24小時就可以獲得日常備份協(xié)議和文件，然后用一個月訪問每月備份、年備份，以此類推。漸漸地，他／她就能越來越深層次地訪問您的網(wǎng)絡結(jié)構(gòu)。當你認為你已經(jīng)關閉了一扇門的時候，他/她已經(jīng)有了打開所有其他門的鑰匙。
總之是不可能有效地保護自己嗎？
確實很難，但又不能不做。我們的生存面臨著威脅，簡單的說，因為互聯(lián)網(wǎng)通過我們的所有系統(tǒng)以物理形式表現(xiàn)出來：在醫(yī)院手術(shù)室、我們的汽車、交通燈控制、電能表、供水網(wǎng)絡。同樣，以非物質(zhì)的方式，互聯(lián)網(wǎng)服務框架通過銀行體系直接影響一國的經(jīng)濟防御能力，或能源采購政策和決策。我們可以回顧一下愛沙尼亞的情況——當時世界上技術(shù)最先進的國家之一——俄羅斯黑客于2007年令其整個經(jīng)濟癱瘓整整4天。
能否在成本可承受的前提下，實現(xiàn)一定的自我保護？
一般的電腦安全軟件是最基本的，能夠應付90%的低級別網(wǎng)絡犯罪。2013年，有7萬部手提電腦在倫敦地鐵被竊。全球70家公司遭受了網(wǎng)絡攻擊。你必須小心防范。只要樹立一道小“墻”，就能阻止很多以簡單入侵為目標的網(wǎng)絡犯罪。但最終，你必須盡快安裝一個控制ID，基于三重授權(quán)：1. 我是誰（網(wǎng)名）；2. 我的ID形式（證件還是卡片）；3. 只有我自己知道的信息（密碼）。如果密碼太多記不住，而必須做個列表，這個列表本身就成了軟肋。人們可以利用生物識別技術(shù)接入網(wǎng)絡，而你的密碼更是不堪一擊。我們必須小心自己的手機，這個介于計算機和機載數(shù)據(jù)處理設備之間的東西，完美體現(xiàn)了早期互相隔離的世界如今已經(jīng)逐漸融為一體。
國家和工業(yè)巨頭是否有共同利益基礎來實施各自的保護協(xié)議？他們最終會禁止使用云計算嗎？
當然，國家和巨頭們應該管好自己的事情，并采取措施保護自己。但必須指出的是，這些手段，通過適當部署，在其整個系統(tǒng)、網(wǎng)絡和數(shù)據(jù)處理設備中應該是同質(zhì)，且與潛在損失是成比例。針對間諜、服務被迫關閉或被盜等不同性質(zhì)的攻擊，保護手段也存在區(qū)別。然而，依我之見，禁止云技術(shù)是沒有意義的。已經(jīng)太晚了，走那條路經(jīng)濟壓力也會過于沉重。我們必須與其共處，并盡最大可能來組織自身，例如通過不發(fā)送任何東西、數(shù)據(jù)到云備份，通過高加密和對個人ID的專業(yè)控制、安全傳輸來保護我們的網(wǎng)絡行為。
今天，有可能保證一個公司或機構(gòu)內(nèi)部網(wǎng)絡的絕對完整性嗎？
不能。即使將一個內(nèi)部網(wǎng)絡在技術(shù)上和物理上與外界隔離，只要人們可以訪問，它們就會存在薄弱環(huán)節(jié)：缺乏紀律、人為錯誤、ID盜用……
危險不僅是個人黑客，是嗎？
各國應該在兩個方面進行布局：進攻和防守。愛德華·斯諾登披露的文件表明了一個事實，即美國國家安全局投入了大量的資金和豐富資源，進行經(jīng)濟間諜活動，甚至從設計和生產(chǎn)階段就開始去“感染”美國之外計算機和路由設備，以確保該機構(gòu)獲得對所有入口和端口的訪問。與此同時，美國建立了更出色的網(wǎng)絡安全監(jiān)管和法律框架，迫使家庭和企業(yè)采取措施以保護自己免受網(wǎng)絡攻擊。動員各國解決這些問題為起點。在法國，2014年軍事立法規(guī)劃有幾篇致力于網(wǎng)絡安全的文章。被認為利益重大的項目和機構(gòu)被要求依法提交專家聽證會。2013年，英國政府要求CEO和所有FTSE100公司的外貿(mào)部門成員，發(fā)布潛在攻擊和解決方案的警告。培訓也很重要，所有工程和博士課程現(xiàn)在都設置了網(wǎng)絡安全課程，專業(yè)課程也有必要開設。
那么，企業(yè)界呢？
將控制風險納入戰(zhàn)略制定是必不可少的。一般來說，網(wǎng)絡安全部門的負責人向計算機和數(shù)據(jù)處理部門報告，這是最糟糕的配置。網(wǎng)絡安全預算與計算機部門的整體預算相沖突，系統(tǒng)中出現(xiàn)漏洞時，其負責人的位置很弱勢。往往是首席信息官（信息總監(jiān)）全權(quán)負責一般功能的計算和數(shù)據(jù)處理，與工業(yè)計算或操作密集型數(shù)據(jù)處理沒有聯(lián)系。簡言之，2/3的計算功能存在于他的責任范圍以外。對于訪問控制非常重要的人力資源管理問題，也在他/她的權(quán)限之外。 CIO受到職務等級的壓力，無法達到處理量規(guī)模和更低成本。他/她無權(quán)裁量網(wǎng)絡風險的經(jīng)濟價值和實施充分保護的成本之間的投入產(chǎn)出。外資或出口部門也必須完全參與和動員。在法國大汽車公司，CTO（首席技術(shù)官）負責運營、工程及運轉(zhuǎn)，也負責網(wǎng)絡安全。這種安排很好，因為首席技術(shù)官對車載計算機設備很了解，他的團隊既是網(wǎng)絡的設計者，同時也是最終使用者。
哪些行業(yè)的安全保護做得更好？
最先進的是銀行，因為就其而言，一般的計算機操作和行業(yè)計算操作二者是同一件事。其他行業(yè)則明顯松懈得多。某些交鑰匙工廠項目并沒有實施任何網(wǎng)絡安全措施。我們曾經(jīng)參觀中東一個煉油廠——世界上最大的煉油廠之一——整個工廠可以在10小時內(nèi)遠程停止。只需要盜取控制面板的IP，修改顯示屏內(nèi)容設置，并誘導技術(shù)人員采取在這種設置下將導致工廠事故的“糾正”措施。你必須知道何時進行適當?shù)耐顿Y。當一個石油公司的移動團隊得知所有勘探地圖和文件都被竊取時，他們在本質(zhì)上失去了非常珍貴的商業(yè)談判砝碼，而雇主公司一定會后悔沒有購買幾部擁有加密功能的手機。
而最好的防線是…？
關鍵是實時反應。為了減少損失，就必須先縮短受到攻擊后的覺察時間。探頭應該安裝在系統(tǒng)環(huán)境中。高水平的網(wǎng)絡罪犯分子仍然會通過，而其他人在離開時會留下微弱的信號。非工作時間內(nèi)仍然安排“活躍”的監(jiān)控。第二個關鍵點是要有選擇性，因為你不能實時保護所有的一切。數(shù)據(jù)處理系統(tǒng)應被劃分成不可混溶的單元，對系統(tǒng)訪問授權(quán)進行專業(yè)管理。
如何建立一個強大的網(wǎng)絡安全產(chǎn)品？
所謂高級別安全是非常保密的，應用領域很窄。例如，在核電站中使用的軍事通信代碼。這個市場完全掌握在美國人手中。他們買下了所有競爭對手，圍繞英特爾、微軟和思科建立了數(shù)十億美元的垂直產(chǎn)業(yè)。中等級別的安全產(chǎn)品，即保證大型、重要工業(yè)集團的防御產(chǎn)品，在歐洲幾乎沒有，因為這個問題在很大程度上被忽視了。超過95％的企業(yè)資產(chǎn)不到5萬歐元。通常是資金不足的初創(chuàng)企業(yè)，產(chǎn)品有限，研發(fā)薄弱，很難拓展市場，尤其是國外市場。大型工業(yè)集團毫不猶豫地將自己的網(wǎng)絡安全外包，因為害怕重新部署和雇傭新員工……在美國，國土安全部對國家安全局（NSA）擁有聯(lián)合控制，年收入50億美元，每年投資30億美元在網(wǎng)絡安全產(chǎn)業(yè)，為8萬人提供就業(yè)。我們在這個領域需要加強。在法國，關于網(wǎng)絡防御的所謂的“33計劃”，最近被寫進了建立一個專門的國家安全部門的框架，向正確的方向邁出了一步。
法國CNIL（國家計算機應用與自由委員會）和國外一些性質(zhì)類似的機構(gòu)注重保護個人。應該設立類似機構(gòu)來保護企業(yè)嗎？
CNIL的職責是保護私人免受潛在個人資料濫用，也對這些個人的工作環(huán)境感興趣。因此該委員會很高調(diào)，但它不負責保護商人的商品或企業(yè)的數(shù)據(jù)。這是企業(yè)的責任，可能得到法國國家信息系統(tǒng)安全局的支持和建議，或值得信賴的網(wǎng)絡安全公司，這些公司開始有所發(fā)展。唯一的問題是，這些公司還太小了。網(wǎng)絡安全產(chǎn)業(yè)應迅速建立并鞏固。
是否可以設想建立一個全球性的監(jiān)管機構(gòu)，以保證系統(tǒng)的完整性和網(wǎng)絡信息交換免受黑客攻擊？
有些人目前正在研究這個問題，但成果不大。各國家目標不同，甚至對同一個概念的定義都存在分歧，那就是公共和私人自由到底是什么！
京公網(wǎng)安備 11010502049343號