黑客攻防

简介

网络安全教材一般把网络攻击分为主动攻击与被动攻击两类。主动攻击会篡改数据流或制造虚假数据流，包括篡改、伪造消息数据以及拒绝服务攻击；被动攻击不对数据本身作出修改，主要包括窃听、流量分析以及破解加密强度不足的数据流。防御一方的目标，是让网络系统中的硬件、软件和数据不因偶然或恶意的原因被破坏、更改或泄露，并保证系统连续可靠地运行。

黑客攻防因此被视为网络安全的核心内容。2016年4月召开的网络安全和信息化工作座谈会提出，网络安全的本质是对抗，其关键在于攻防双方的能力较量。2016年11月7日，第十二届全国人民代表大会常务委员会第二十四次会议表决通过《中华人民共和国网络安全法》，该法自2017年6月1日起施行，进一步界定了关键信息基础设施的范围，并对攻击、破坏关键信息基础设施的境外组织和个人规定了惩治措施。

该法颁布后，网络安全实战攻防演练成为一年一度的例行行动，参演单位数量与规模持续扩大，成为检验参演单位综合防御水平、提升其应对网络攻击能力的常用方式。

沿革

攻击方与防御方分设两队的做法源于军事。有资料显示，红蓝对抗的提法可追溯到20世纪60年代美国的军事演习，演习中通常把扮演假想敌的部队称作蓝军，与代表己方的红军进行针对性对抗，这种方式被称为红队演练(Red Teaming)。1992年上映的电影《通天神盗》(Sneakers)把“红队”一词带入流行文化，片中一支安全专家团队受雇对国家安全机构的系统实施渗透测试。

进入21世纪，网络空间的攻防出现了以物理设施为目标的攻击事件。2010年被发现的蠕虫病毒震网(Stuxnet)专门针对工业控制系统编写，赛门铁克估算其感染了超过10万台计算机，其中约60%位于伊朗，并造成伊朗纳坦兹设施约900至1000台铀浓缩离心机损坏。同年11月，时任伊朗总统艾哈迈迪-内贾德公开确认有少量离心机遭到网络攻击。

在演习层面，国际性的网络攻防演练逐步成型。由北约卓越网络防御合作中心(CCDCOE)每年举办的“锁盾”(Locked Shields)，以及由美国国土安全部主导、2006年起每两年举行一次的“网络风暴”，是其中较有影响力的两个。

中国境内的攻防演习在2016年前后兴起。国家级攻防演习由公安部组织，参与方从部分政府部门逐步扩展到国有企事业单位和重点行业，2020年以后进入常态化阶段。2016年公安部还曾会同民航局、国家电网等单位组织开展网络安全攻防演习，此后工信、交通、铁路、民航、能源、电信运营商等单位陆续加入。

特点

实战化的攻防具有较强的不确定性。攻防演习通常不对攻击路径与攻击手段作出限制，以是否取得目标系统的权限和数据作为评判依据，攻击的来源、手法与目的事先难以预测，攻防两端处在实时变化之中。

参加实战演练的一方按角色划分。红队负责模拟攻击，以发现漏洞、取得业务权限或数据为目标；蓝队负责防护、监测和应急处置；紫队负责组织协调与效果评估，并在演练过程中与蓝队沟通攻击计划，使攻击与防御的方法事先确定。

除实网演练外，攻防技能还通过竞赛形式训练。夺旗赛(Capture The Flag，简称CTF)起源于1996年的DEFCON全球黑客大会，用以替代此前黑客之间互相发起真实攻击进行技术比拼的方式，常见形式包括解题模式与攻防模式，参赛者通过解出题目或攻破目标取得“flag”来得分。

与渗透测试相比，红蓝对抗更接近真实攻击场景。渗透测试侧重在较短时间内挖掘更多安全漏洞，一般不太关注攻击行为是否被发现；红蓝对抗则以绕过防御体系、在不被察觉的情况下取得权限或数据为目标，用于检验纵深防御能力、告警运营质量和应急处置能力。

攻防活动存在合法边界。未经授权入侵他人系统属于违法行为；在中国，网络安全法对攻击、破坏关键信息基础设施的境外组织和个人规定了相应的惩治措施，并要求关键信息基础设施的运营者制定网络安全事件应急预案并定期开展演练。

参见

• 网络安全 —— 黑客攻防是这一领域中的核心内容，攻防能力直接关系网络系统的安全性。

• 红队 —— 攻防演习中模拟攻击方的角色。

• 蓝队 —— 攻防演习中负责防护与检测的一方。

• 紫队 —— 在红蓝对抗基础上引入的协调与评估角色。

• 震网 —— 2010年发现的针对工业控制系统的蠕虫病毒，被视为网络攻防进入实战阶段的标志性事件。

• 夺旗赛 —— 以解题和攻防对抗形式开展的网络安全竞赛。