黑客攻击

定义

黑客攻击通常指借助非常规或非法手段，在未获许可的情况下进入数字设备、计算机系统或计算机网络的行为，最典型的表现是网络罪犯利用安全缺口闯入网络窃取数据。^[2] 在网络安全语境中，它表现为对计算机、手机、平板与网络等设备的滥用，目的包括破坏系统、收集用户信息、窃取文件，或干扰与数据有关的活动。^[1]

含义相近的网络攻击指针对计算机信息系统、基础设施、网络或个人计算机设备的未授权行为，会危及数据的机密性、完整性与可用性。^[3] 两者的区别在于，网络攻击以造成损害为目的，黑客攻击却可能出于善意、恶意或中立；若行为人获得了系统所有者的许可，其行为并不违法。^[2]

按破坏程度划分，黑客攻击可分为非破坏性与破坏性两类：非破坏性攻击意在扰乱系统运行，多采用拒绝服务或信息炸弹；破坏性攻击则以侵入系统、窃取保密信息、破坏目标数据为目的。^[4]

原理

黑客攻击大多以目标系统的缺陷为突破口。^[3] 软件与硬件在开发过程中难免留下程序错误，当这类错误可以被恶意利用、从而危及系统安全时，就构成安全漏洞；尚未公开或尚未修补的漏洞被称为零日漏洞。^[3] 攻击者一旦掌握可利用的漏洞，就可能注入并运行恶意代码，在用户不知情的情况下取得系统控制权。^[3]

flowchart LR

A[侦察] --> B[武器化] --> C[投递] --> D[利用] --> E[安装] --> F[命令与控制] --> G[针对目标的行动]

为刻画攻击的推进过程，美国国防承包商洛克希德·马丁公司在2011年提出网络杀伤链(Cyber Kill Chain)模型，把一次成功入侵拆解为侦察、武器化、投递、利用、安装、命令与控制、针对目标的行动共7个环节。^[5] 该模型假定攻击者必须走完全部环节，防御方只要在任一环节发现并阻断，就能瓦解整条攻击链。^[5]

常见技术手段包括口令入侵、特洛伊木马、网站欺骗、电子邮件攻击、网络监听和端口扫描等。^[6] 除技术缺口外，攻击者还常常借助社会工程学，利用欺骗和信息搜集攻破管理环节中的人为疏忽，例如把恶意程序伪装成正常软件诱导用户下载安装。^[7]

从行为方式看，攻击还可分为主动与被动两类：主动攻击试图影响数据的完整性、真实性与可用性，进而篡改目标系统；被动攻击则尽可能多地获取目标信息，导致隐私外泄。^[8]

发展历程

“黑客攻击”一词最早出现于20世纪70年代，随后十年间逐渐通行。1980年，美国《Psychology Today》杂志刊登题为《The Hacker Papers》的文章，讨论计算机使用成瘾；两年后，电影《创》与《战争游戏》上映，把这一概念作为潜在的国家安全风险介绍给公众。^[1]

1982年，一群青少年攻破了洛斯阿拉莫斯国家实验室、安全太平洋银行和斯隆－凯特琳癌症中心等机构的计算机系统，美国《新闻周刊》在报道此事时首次把“黑客”用作贬义，此事也推动美国国会通过了若干与计算机犯罪有关的法案。^[1]

1988年11月2日，康奈尔大学研究生罗伯特·莫里斯在麻省理工学院的网络上释放了一个蠕虫程序，使当时接入互联网的约6000台主机陷入瘫痪，约占全部联网计算机的10%。^[9] 这一被称为莫里斯蠕虫的事件估计造成近1亿美元损失，是首个经互联网大规模传播的蠕虫，也促成了全球第一个计算机安全事件响应组织CERT/CC的诞生。^[10][9] 莫里斯本人于1990年被判处缓刑、罚款1万美元，并被要求完成400小时社区服务。^[10]

在中国，1997年施行的《刑法》设立了非法侵入计算机信息系统罪与破坏计算机信息系统罪；2009年通过的《刑法修正案（七）》为第285条增设两款，把非法获取计算机信息系统数据、非法控制计算机信息系统，以及提供专门用于此类活动的程序、工具的行为纳入处罚范围。^[11][12]

2017年5月12日，勒索蠕虫WannaCry开始在全球迅速扩散，它利用的是美国国家安全局被泄露的网络攻击工具“永恒之蓝”所针对的Windows漏洞。^[13] 数天之内，病毒波及150多个国家，感染数十万台电脑，造成数十亿美元损失，欧洲刑警组织称之为“史无前例”的攻击；英国国家医疗服务体系有48个机构受影响，中国部分高校、加油站和政府服务终端也出现感染。^[14][15][16] 同年12月，美国政府首次公开指认朝鲜对此负有直接责任。^[14]

应用

黑客攻击的实施者身份多样，既可能是个人或团伙，也可能是受雇机构乃至政府实体，动机大体可分为犯罪、政治与个人三类。^[8] 常见目的包括通过窃取信用卡信息或金融欺诈获利、从事商业间谍活动、借技术能力获取名声，以及由国家资助窃取商业情报；此外还有出于政治动机、靠披露敏感信息吸引关注的黑客行动主义者。^[1]

同样的技术也被用于防御。被称为道德黑客或白帽黑客的从业者受组织雇佣，用与攻击者相似的方法测试和评估其安全防护水平，争取在恶意分子利用漏洞之前将其发现并修补。^[1][2] 这类工作已形成职业路径，从业者一般需要取得相关机构颁发的资质认证。^[2]

在法律层面，黑客攻击可能被追究刑事责任。中国《刑法》第285条规定，违反国家规定侵入国家事务、国防建设、尖端科学技术领域的计算机信息系统，处3年以下有期徒刑或者拘役，实践中已有行为人因非法侵入政务系统被判处有期徒刑6个月。^[17] 《网络安全法》的相关规定则与《刑法》第285条、第286条、第287条共同构成对入侵计算机信息系统行为的规制。^[18]

当攻击指向能源、交通、医疗等关键基础设施时，其后果会超出单一组织，可能危及国家安全。^[3]

局限

黑客攻击的来源往往难以确定，这使得此类行为虽然通常违法，肇事者却很少被绳之以法。^[3] 在勒索软件事件中，赎金多以比特币之类匿名电子货币支付，追踪难度进一步加大。^[13]

从防守一方看，完全安全的系统几乎无法实现，因为几乎所有计算机系统都存在可被利用的漏洞。^[3] 攻击的发现也常常滞后，甚至长期无法察觉，尤其是恶意软件刻意隐藏自身并持续潜伏时。^[3]

分析模型与防护思路同样有其边界。网络杀伤链面向外部威胁设计，假定攻击按线性阶段推进，对内部人员作案、仅凭窃取凭证进入云环境的攻击等情形并不适用。^[19] 另有分析指出，把安全防护简化为对恶意代码、拒绝服务等威胁逐一应对并堆砌产品，难以构成有效的防御体系。^[20]

法律规制也存在覆盖面问题。中国刑法按系统重要程度实施分类保护，非法侵入计算机信息系统罪的犯罪对象限于国家事务、国防建设、尖端科学技术三类领域，有学者认为经济建设等其他重要领域因此难以获得同等保护。^[11] 此外，现行条文针对的是入侵与破坏行为，并未就漏洞挖掘、披露等环节作出明确规定。^[18]

参见

• 网络攻击 —— 与黑客攻击含义相近的上位概念，泛指危及数据机密性、完整性与可用性的未授权行为。

• 安全漏洞 —— 系统中可被攻击者恶意利用的缺陷，是多数攻击的入口。

• 勒索软件 —— 加密受害者文件并索取赎金的恶意软件，WannaCry 即其著名案例。

• 网络杀伤链 —— 描述攻击从侦察到目标达成各环节的分析模型。

• 道德黑客 —— 受雇测试和评估系统安全性、以防御为目的的攻击技术使用者。

• 分布式拒绝服务攻击 —— 以海量请求耗尽目标资源、使其无法提供服务的手段。