如何为网络战争的爆发做准备？ 虚构“假国家”

　　最近，他们的无人机研究实验室遭到了身份不明的黑客入侵，该国不得不把安全专家快速反应小组部署到实验室里，希望尽快查明状况，阻止攻击。

　　在忙碌的两天时间里，安全团队不仅要对抗黑客，保护自己的系统，避免无人机被黑，而且还要应付一个带有敌意的媒体记者。

　　这并不是Berylia第一次遭到攻击了：奇怪的是，这种网络攻击每年同一时间都会发生。这也不会是该国最后一次遭受攻击，因为Berylia是一个虚构的国家，是北约（NATO）年度网络防御演习“锁盾”的背景设定。

　　全球最大的国际网络防御演习

　　锁盾是北约网络战智库卓越合作网络防御中心（Cooperative Cyber Defence Centre of Excellence ，简称CCD COE）在爱沙尼亚承办的一个防御演习。自2010以来，每年都会举办一次，目的是为国家信息系统的日常安全工作培训专才。虽然这个演习每年的情景设定都有所不同，但基本套路是一样的：Berylia遭到攻击，而对手Crimsonia经常也会出现。

　　虽然Berylia是一个虚构的国家，但爱沙尼亚本身对这种类型的数字攻击有亲身经验：在2007年，当爱沙尼亚当局提议移除战争纪念馆时，它的银行和政府系统遭到了黑客破坏。俄罗斯否认参与任何网络攻击活动，但那起事件加快了这个北约网络智库的形成。该智库坐落在爱沙尼亚首都塔林。

　　今年的锁盾演习针对1500个虚拟化系统开展了逾1700次攻击，共有20个防御团队分别为在线服务和工业控制系统提供保护，阻止恶意软件攻击和数字入侵。

　　这不是唯一的大型网络防御演习。美国自己每年也会开展“网络卫士”（Cyber Guard）演习，今年演习的参加者不仅包括来自美国政府各机构的大约1000人，还包括一些来自英国、加拿大和澳大利亚的安全人员，情景设定是炼油厂、电网和港口遭到了虚构攻击。此外，英格兰银行也在伦敦各大银行举办了“醒鲨”（Waking Shark）演习。然而，“锁盾”自称是全球最大的国际科技网络防御演习。

　　如何给防御增加难度

　　参加锁盾演习的所有团队，他们面对的任务都是一样的，需要保护的虚拟系统也是同一套。虽然这个演习是在爱沙尼亚的卓越合作网络防御中心开展的，但大部分团队都是在自己的国家远程登录的系统。所有团队同时参与演习，但是各自作战，所以从某些方面来说，这是在同时进行20场演习，虽然锁盾也允许团队之间进行一些信息共享。

　　在今年的设定中，所有团队都需要扮演刚刚被部署到无人机研究实验室的快速反应部队。这就意味着，在演习开始的时候，他们甚至不知道需要保护哪个系统，也不知道攻击者是否已经成功入侵。

　　就连透露给他们的关于无人机系统的信息也非常少，而且未必准确——因为在现实世界就会是这样。这给防御团队的准备工作增加了难度。

　　“我们使用了取材于现实生活的攻防场景，这不是在一个抽象的模拟系统上演习，我们使用的操作系统和现实世界中是一样的，” 2016年锁盾活动的场景主管雷恩·乌提斯博士（ Rain Ottis）说。

　　“我们想看看，如果很多细节都不太明朗，他们对整个环境并不是很了解，在这种情况下，他们如何开展团队行动，”他说。

　　而且难度还会增加。团队不仅要应对黑客的攻击，还要面对“自己人”的指责。 “我们也把这种情况做得尽量逼真，”乌提斯说。

　　处于防御方的蓝队每队大约有十几个人，这些团队必须保护大约2000台机器组成“业务网络”，包括电邮站点、购物网站，以及各种各样的工业控制系统。

　　这样做的目的，是持续给团队施加压力，测试这些专业防御人员在遭受全面网络攻击下的反应。当然他们希望永远不会在现实生活中遭遇这样的全面网络攻击。

　　一切东西都是目标

　　“各种状况应有尽有，我们有Windows 7、8、10，还有苹果OS X，还有大部分Linux版本，所以场景中有很多操作系统。而且还有一个普通的办公室可能会用到各种软件和硬件，我们模拟它们，把它们容易受到攻击的一面展示出来，”CCD COE的技术演习主管阿勒·雷托恩（Aare Reintam）说。

　　“我们希望展示环境中一切可能成为目标，或者成为黑客入侵内部网络的跳板的东西，”他说。

　　这就是说，从智能手机到不起眼的打印机，各种东西都有可能会成为目标。 “我们想表达的是，网络中的所有一切都可能成为目标，所以所有的东西你都必须保护。攻击者只要找到一个薄弱点，就可以展开攻击，”他说。

　　因此，团队不只要保护标准的PC或服务器，还要保护物联网。根据设定，团队要保护无人机的研究实验室，所以他们面临的一个挑战就是掌控无人机的指挥和控制系统——如果已经被黑客掌控，就要重新夺回控制权。

　　他们需要保护的一个出人意料的系统，是一个工业指挥和控制系统，服务器机房冷却装置就是由该系统控制的。如果团队失去控制的这个系统的控制权，那么黑客就可能会打开暖气，导致他们的服务器宕机（出现这种情况时，服务器机房的模拟器就会闪火花）。