信息來源：Freebuf

白宮國家安全委員會（National Security Council）的高級官員，國家安全副顧問Anne Neuberger在RSA大會第二天，闡述了拜登政府針對加強美國國家網(wǎng)絡(luò)安全現(xiàn)代化的一些做法。

紐伯格首先描述了日益危險的網(wǎng)絡(luò)威脅現(xiàn)狀，她指出拜登在剛上任的100天內(nèi)，就不得不處理兩起大規(guī)模網(wǎng)絡(luò)安全事件——SolarWinds攻擊事件和微軟Exchange攻擊事件。

“政府和企業(yè)正受到來自各路網(wǎng)絡(luò)犯罪分子的持續(xù)、復(fù)雜和飽含惡意的攻擊。

“今天，網(wǎng)絡(luò)安全比過去任何時候都更有必要被納入國家安全的一部分?！?

紐伯格表示，在目前的環(huán)境中，應(yīng)當(dāng)將思維方式從應(yīng)急響應(yīng)轉(zhuǎn)變?yōu)轭A(yù)防。她認(rèn)為雖然攻擊事件必然會發(fā)生，我們需為它做好準(zhǔn)備，但我們不能讓等待攻擊的發(fā)生成為運作的現(xiàn)狀。

基于此觀點，紐伯格列出了當(dāng)前拜登政府為加強國家網(wǎng)絡(luò)安全而關(guān)注的三個領(lǐng)域。

網(wǎng)絡(luò)防御現(xiàn)代化

從SolarWinds攻擊事件中可以發(fā)現(xiàn)，“一些最基本的網(wǎng)絡(luò)安全措施并沒有在聯(lián)邦機構(gòu)中進(jìn)行系統(tǒng)地推廣?！边@些措施包括：多因素認(rèn)證、加密和端點檢測。

除了政府強制去執(zhí)行這些基本的安全防護(hù)外，紐伯格表示，政府還在采取一些措施以確保它從供應(yīng)商那里購買的軟件的安全性是合格的，因為政府購買的產(chǎn)品“通常帶有缺陷和漏洞”。

目前，這些供應(yīng)商所采取的措施要么就是在事后打補丁，要么就直接忽略那些他們認(rèn)為不嚴(yán)重的漏洞。

但紐伯格認(rèn)為，這些補救措施是不妥當(dāng)?shù)?，這是在故意引入未知的、潛在的風(fēng)險，會被對手和犯罪分子所利用。

為了解決這個問題，紐伯格表示，政府的首要任務(wù)就是要確保其購買的軟件從一開始就安全地構(gòu)建，為此“可能要求供應(yīng)商在有一個安全的開發(fā)環(huán)境中構(gòu)建軟件”。她還補充到，這種方式應(yīng)當(dāng)帶來更多的連鎖反應(yīng)，比如加強政府之外的學(xué)校和小企業(yè)的軟件安全。

除此之外，政府還要清楚哪些軟件是安全開發(fā)的，哪些是不安全的，因為目前客戶是不可能做出這種評估的。

她還強調(diào)，政府目前正在制定一項試點計劃，以保護(hù)國家關(guān)鍵基礎(chǔ)設(shè)施中所依賴的技術(shù)。這一計劃“將推動私營部門高效安裝新技術(shù)，以提供及時的可見性、檢測、響應(yīng)和阻斷能力。”而且，這還只是確保關(guān)鍵基礎(chǔ)設(shè)施系統(tǒng)安全性的第一步而已。

在國際網(wǎng)絡(luò)空間重新發(fā)揮更積極的作用

紐伯格強調(diào)，美國需要加強其全球伙伴關(guān)系，“以對抗那些利用技術(shù)破壞國家和全球安全的對手”。針對這方面她強調(diào)了一些舉措，比如四方安全對話會議（QUAD），其目的是“應(yīng)對網(wǎng)絡(luò)威脅并追究惡意行為者的責(zé)任”。

她透露，政府的首批全球網(wǎng)絡(luò)安全倡議之一將是“努力合作打擊勒索軟件”，因為這種勒索軟件變得越來越普遍。她指出，“對世界各國來說都是一種國家安全威脅，因為它可以擾亂學(xué)校、醫(yī)院、政府和企業(yè)所提供的服務(wù)。而且，還會產(chǎn)生巨大的經(jīng)濟成本”。

紐伯格補充說，勒索軟件的危險在于其攻擊者往往能夠通過針對已知的弱點，如終端和軟件漏洞進(jìn)行攻擊。

此外，不能忽視的是，勒索軟件團(tuán)伙的技術(shù)越來越復(fù)雜，如使用無文件惡意軟件；運作模式越來越成熟，如雙重勒索計劃的增長。紐伯格認(rèn)為“想要應(yīng)對勒索軟件，國際合作將至關(guān)重要。因為勒索軟件的犯罪者往往是跨國犯罪分子，他們利用全球基礎(chǔ)設(shè)施和洗錢網(wǎng)絡(luò)來進(jìn)行犯罪。”

為美國未來的網(wǎng)絡(luò)安全態(tài)勢做準(zhǔn)備

除了上述技術(shù)推進(jìn)和基礎(chǔ)設(shè)施保護(hù)，拜登政府的另一個優(yōu)先事項是 “投資和促進(jìn)明日創(chuàng)新”。因此，政府的“美國就業(yè)計劃”中有一項建議，即投資1800億美元用于研發(fā)新興技術(shù)。這涵蓋了人工智能、量子計算和微電子等領(lǐng)域。

紐伯格說，這項投資對于加強美國的網(wǎng)絡(luò)防御至關(guān)重要。她特別強調(diào)了量子計算在這方面的未來重要性。雖然這項技術(shù) “有望徹底改變某些無法解決的計算問題”，但它也將 "從根本上擾亂網(wǎng)絡(luò)安全及其賴以生存的技術(shù)平臺。”

這是因為量子計算為攻擊者提供了破壞IT系統(tǒng)的新載體，對某些加密方法有潛在的 "破壞性 "影響，如等距加密，它是“我們經(jīng)濟和國家通信安全的基礎(chǔ)”。

因此，“美國就業(yè)計劃”反映了政府對加速美國在量子計算和更廣泛的量子信息科學(xué)方面的領(lǐng)導(dǎo)地位的承諾，這將有助于“保護(hù)國家免受這些技術(shù)被敵人所使用”。

紐伯格在演講結(jié)束時表示：

“加強國家網(wǎng)絡(luò)安全，保障美國的國家關(guān)鍵基礎(chǔ)設(shè)施和廣泛地更新美國的優(yōu)勢，是拜登政府對國家安全戰(zhàn)略承諾的根本?！?