兰德眼中的美中网络战争

晨枫

现代世界已经高度计算机化和高度网络化，现代战场更是如此。网络化使得节点之间能以最快速度分享信息、传达指令甚至遥控操作。高度网络化的战场也产生了新的薄弱环节，一旦从国家指挥到战场的各级网络遭到破坏，战斗力将急剧下降。F-35为提高维修效率和出动率，机上所有关键系统都与地面的自动后勤信息系统（简称ALIS）相连，还在空中就自动报告待检修和物料增补项目，ALIS自动启动库存调用和维修安排，维修人员在工作完成时自动更新战斗机完好状态。ALIS是全球联网的，全球至少有一万多个进入端口，遍及所有F-35、基地、仓库甚至供应商，所有F-35都挂在同一个网上，最大限度地共享备件和技术服务资源。至少在理论上，黑客有可能侵入ALIS而把待命的F-35标注为完好度不足、不能起飞。美国海军网络 “红队”在模拟网络攻击中，曾经入侵和瘫痪ALIS，具体结果是保密的，但洛克希德为此非常被动。网络战的对象不仅包括军用网络，还可以是商用和民用网络。国家的电力、铁路、民航、银行、通信网络中断，或者大批工厂、商场的管理和控制网络中断，容易造成经济和生活混乱甚至停摆。
6 L# L8 R9 l5 N
& M( R) ~9 k5 L6 K如果台海或者南海爆发战事，网络上的虚拟制高点肯定有激烈争夺。网络战本来就很难使用定量分析，美中对网络战的具体手段、能力更是讳莫如深，兰德在报告中只进行了定性分析。
4 y/ |3 m4 j# b/ |9 J
# n# s+ M0 y5 `1 l* G+ C; b网络战在虚拟的战场上，有独特的特点。大部分网络攻击的破坏不是永久性的，或者说后果在相当程度上是可逆的，典型的网络恢复方式为系统从最近的备份状态重启，或者回到更原始、低效但不受网络瘫痪制约的手动方式。但Stuxnet那样使得设备超速运转而硬性损坏或者入侵工业控制网络而使得工业过程进入失控自毁状态的网络攻击则不可逆，战斗机的数字电传飞控系统遭到入侵也有同样的后果。网络作战也完全是虚拟的，交战双方没有物理接触，除了Stuxnet那样的情况，也没有物理损失。但网络已经成为战争和经济、社会活动的力量倍增器，网络停摆的间接损失巨大。
; i4 b9 ?" ~; i; t9 p
+ O1 O0 z$ |! K# _2 d兰德在报告中把网络战分为战略层面和战术层面。战术级网络战的对象是各种作战系统和战场网络，目的是摧毁对方的作战手段。战略级网络战的对象是政府和非政府（商用、民用）网络，目的是摧毁对方的战争意志。具体的网络战能力则牵涉到军事思想、组织、装备、网络管理和“零日”病毒问题。

. f6 K% B+ ^" h$ ?1 y美国军方把网络上的作战行动划分为三个类型：
1、网络窃用
0 ]1 [1 p5 O! ~8 ?) }6 `4 f2、网络攻击
3、网络防御

网络攻击和网络防御容易理解，网络窃用是指侵入对方网络，获取有用情报，但并不直接阻碍对方网络的运作。这种作战方式行动隐蔽，效果间接，不容易被发现，危害很大，但兰德在报告中没有多加讨论，而是集中在网络攻击和网络防御方面，两者都可细分为战略层面和战术层面。
0 e6 C0 N: q* q. Y  }
5 |  a, ~1 y' m) ~& `战术级网络作战主要涉及两大类系统：
1、监控与数据采集（简称SCADA）系统，用于军事后勤和支援，也包括支援战争行动的民用系统，这些系统通常采用工业标准，是非保密的
: V: @, U# U9 u+ S8 V2、指挥与控制系统和武器系统内的嵌入式系统，这些系统通常是专用的，采用保密的技术和标准
+ L; t" j4 f! S8 h  x- z
美军作战严重依赖后勤支援，二战美军就被德军嘲笑为坐在后勤列车上打仗。现代美军的后勤链高度网络化，兰德在报告中认为，中国的网络攻击有可能首先从这里下手，攻占网络服务器或者篡改、销毁数据文件，制造混乱。美军后勤可以回到传统的纸面文件和手工清点库存，但效率要大大下降，甚至可能出错，把错误的物资在错误的时间送到错误的地方，影响作战。
) @9 t3 a3 N  W( z9 E5 r. @4 W6 d2 g5 y
2 j8 [1 p" C, d5 J中国究竟有多少能力可以攻入SCADA，兰德没有在报告中给出具体证据和分析，只是列举了历史上的事例，证明此事可能。美国国防部有非保密互联网协议转接网络（简称NIPRNet），90年代时有一系列俄罗斯人入侵造成的“月光迷宫”案，00年代中叶有据信来自中国的入侵美国政府和国防承包商网络的“泰坦雨”案，更近的有主要来自中国的入侵NIPRNet的“拜占庭”案。2007年，国防部长办公室的计算机也遭到入侵，当然还有最近沸沸扬扬的美国政府人事档案遭到入侵一案。美国国防部网络安全部门宣称，在政府网络安全加强管理之后，网络入侵次数减少，但威胁远没有消除。

这些网络入侵都属于潜在窃用范畴，如果升级到阻挠甚至攻击，危害就更大。阻挠网络运行有两个目标：捣乱和数据损毁。单纯捣乱的话，黑客根本不必侵入网络，发动阻断服务攻击（简称DOS）就可以了，也就是说，用海量的服务要求使得服务器不堪应付而瘫痪。2007年爱沙尼亚政府网站就是这样瘫痪的，这也是历年多次各国政府或公司网站瘫痪的典型原因。作为战争行动，DOS攻击不是黑掉官方网页那么简单，这可以阻断美国国防部与民间、商界的联系，阻扰正常业务和供应联系，甚至阻断国防部系统内部在NIPRNet上的通信。对于DOS攻击，可以使用防火墙监视外部服务请求，把超常频密的非法服务请求阻挡在外，网络泄流也可以把超常频密的非法服务请求从正常的服务器导向系统内的“黑洞”，这些措施都可以降低DOS攻击的危害。物理隔离的专用线路可以把DOS彻底阻挡在外。

黑客也可以暗中控制网络内足够多的用户端，伪装成合法服务请求，从内部发起DOS攻击，这可以绕过防火墙的监视。用户端种植DOS类的病毒比在服务器要容易一些，但用户端病毒发难必须有足够数量才有效，而大面积传染的病毒容易暴露踪迹，引起网络安全监管的警惕，在发难之前或之初就被控制。受感染的用户端可以被踢出网络，在最坏的情况下，还可以物理隔离。

数据毁坏可以在服务器和用户端发生，破坏方式包括篡改数据，或者使得数据根本无法读取。隐蔽的数据篡改不容易察觉，但足够的数据一致性检查还是可以发现数据篡改的。比如说，F-35的发动机被发到F-15的中队去，120毫米坦克炮弹被发到步兵营属120迫击炮分队去，这样的不一致是可以自动检测出来的；各部库存加起来是否超过100%，或者进货、发货与库存是否平衡，也是一个简易的一致性检查。

) d7 `7 C. w) P' e/ U在战时，物资和器材向前方运送最可能遭到SCADA攻击的影响，但战争的最初阶段前方战斗装备应该主要使用前沿库存，所以任何SCADA的影响都要在战争中期之后才能体现出来。兰德报告认为，美中在台海或者南海的战争以短促为主，因此可以从时效上推断，中国通过SCADA攻击破坏美军后勤网络的作用相对有限。传统上，美军前沿库存都遵循过度库存原则，以防万一，这对后方供应差错就不敏感。但美军后勤系统也在精简库存，提高效率，实行“及时供应”，这样对供应差错就敏感了。
+ @9 Z3 g# u/ x
但入侵指挥与通信网络就需要侵入美国国防部的保密互联网协议转接网络（简称SIPRNet）了，这将更直接地影响美军作战。中国黑客有这个能力吗？兰德报告并没有给出直接答案，只是提出若干猜想。

9 |6 Q; ^4 a# u1、中国黑客可能成功入侵NIPRNet，使得足够多的用户端感染病毒，海量服务要求使得一些横跨NIPRNet和SIPRNet的路由器不堪重负，导致部分SIPRNet也陷入瘫痪，但瘫痪程度和范围要根据SIPRNet的网络结构而定，如果只有部分路由器可以被NIPRNet拖累，或者部分SIPRNet在支链内部自成体系、可以在干线堵塞时继续保持工作，或者部分SIPRNet服务器有自己的缓存可以在等待干线恢复期间继续工作，那这样的攻击就效果有限。在极端情况下，断开NIPRNet和SIPRNet共用的路由器可以把两者隔离，保证SIPRNet继续工作，但这样一来，很多在NIPRNet上的后勤和供应功能就无法传递到SIPRNet的用户上。这些都只是猜想，SIPRNet的细节是保密的，所以无从准确评估这一可能。
/ _) Z, z0 j4 y1 Y/ P4 ^' R5 Y0 W
2、中国可能直接攻击SIPRNet。在理论上，要是SIPRNet与NIPRNet是物理隔绝的，那就只有物理入侵SIPRNet才可能发动攻击。不过入侵伊朗核分离设施的Stuxnet病毒显示，使用USB盘一类的移动装置可以在物理隔离的系统里植入病毒。类似事件也在阿富汗美军中发生，一个在NIPRNet上感染病毒的USB盘插入SIPRNet的计算机上，导致病毒在SIPRNet里传开。美军已经物理封死所有SIPRNet计算机上的USB插口，但其他漏洞依然可能存在。
* k" l0 ^: K; ]$ o3 U0 n: v! C, n
3、中国也可能出动特种部队，直接在SIPRNet里植入病毒，但这样的战斗行动不仅冒险，而且技术难度很大。在战争还没有开始前就采取这样的行动，容易被认作是敌对军事行动，挑动冲突升级；在战争爆发后再采取这样的行动，对方已经高度戒备，难度更大。

& R" m* d- p1 f: d4、中国可能制造隐藏有病毒的器件或者装置，通过合法途径在SIPRNet上使用，在战时激活。美国已经采取措施，严格控制SIPRNet上所有设备和元器件的来源。另一方面，到现在还没有发现有这样器件的报道。
# o) K: J# V- V" b
直接攻击武器系统的控制网络有更直接的战术作用。F-35是高度软件化的战斗机，火控系统可以把机载雷达、红外、光电和机外信息整合成一体，这也是F-35在初期雷达、红外、光电功能尚未测试通过前就可以开始升空训练的原因，飞行员在空中看到的是通过数据链上传的虚拟雷达、红外、光电信息，具体信息来源其实是透明的。在理论上，中国黑客有可能入侵数据链，这就是终极欺骗干扰了，尽管现在并没有报道这在技术上做得到。但美国RQ-170无人侦察机在伊朗完好“坠毁”，据说就是伊朗用电子诱骗的办法诱降的。

美国网络部队也可以对中国后勤网络、指挥与控制网络甚至武器控制网络发动攻击。中国将在本土作战，对后勤网络的依赖较小，或者说有较多手段补救。中国军队对信息化的依赖本来也没有达到美国的程度，反过来对网络攻击的敏感度也相应降低。另一方面，中国的计算机大量使用盗版软件，疏于或者说无法通过正常渠道打补丁。2015年一份西班牙网络安全报告指出，中国计算机中有49%带有恶意软件，这在世界上是比例最高的。2012年微软的大范围稽核发现，不仅很多计算机使用盗版软件，有些盗版软件本身就是恶意软件的载体。中国对网络安全也比较松懈。
2 o2 _# y- y# p2 _4 T+ J
美国会试图攻击中国的防空指挥体系。在叙利亚和伊拉克，美国已经攻击过俄罗斯制造的防空网络，取得一定的成功。中国系统与俄罗斯系统有很多渊源，可能也容易受到攻击。另一方面，除非对手彻底懈怠或者彻底无能，网络攻击的特点是只能使用一次，中国可能已经补上了有关漏洞。一般来说，美国对中国的网络攻击只能在战争最初阶段有效。
9 h$ N: i+ i! V1 q2 [* j' m
战略级网络攻击的目的是摧毁对方的战争意志，对象以公用事业、银行、工业、商业网络为主。美国对中国是否会因为台海战争发动战略级网络攻击不确定，但一般认为，如果美国首先对中国保密/非保密两用网络发动攻击的话，中国会进行战略还击。美国媒体对中国可能在战争期间用网络攻击使得美国公用事业网络瘫痪大举炒作，中国的有关学术论文被用作中国意图和能力的证据，但任何中国发动战略网络攻击意图的猜测都只是猜测而已。但这不排除中国对局部地区的电力、通信、自来水和其他公用事业网络发动攻击的可能，尤其是这些地区包括重要美军海外基地的情况下。美军基地都有自备发电机，但这只够供应作战系统使用，对于基地的一般功能的供电就不一定能够保证，而基地在当地的服务恢复序列中不一定居于第一优先，尤其是海外基地。瘫痪基地所在地的民用供电、供水、供气和电信不能直接使基地瘫痪，但还是能降低基地的运转效率。对海外基地所在地的局部民用服务攻击也不一定会导致美国对中国的战略网络还击。
& l! d$ h0 u6 o7 U* `( X& r- v4 ~* p+ K
) C2 x% M9 j1 y- ]; |对于美国来说，对中国发动战略网络攻击最大的顾虑就是对后果的不可预测性。如果中国把美国攻击看作超出台海作战，而是对中国的存在构成威胁，中国的反应很难预测。当然，美国标榜不攻击民用设施，但这从来没有阻拦过美国轰炸电站、桥梁、水厂、电话交换中心等。

具体到网络战的“装备”而言，中国在硬件方面取得了长足进步（如华为、联想），但在软件方面，美国从产品到标准都占据绝对优势（如微软、谷歌、英特尔、赛门铁克、苹果、思科）。中国认为美国软件为美国政府和军方留有后门，这对中国的网络战努力也是一个顾虑。中国科技水平在迅速提高，即使排除学术腐败和抄袭问题，科技论文的数量和质量也在迅速提高，但兰德报告依然认为美国和俄罗斯的网络战水平高于中国。

在军事思想层面上，兰德在报告中特别重视军事科学院2013年版的《战略学》，其中提出：网络战的优势一方可以通过网络战使得敌人指挥系统瘫痪，丧失对部队和作战行动的控制，造成武器装备的故障，以此在战争中夺取主动，创造最终取得胜利的条件。

5 N4 ~& ]' F, J9 e9 @. P( Y: m兰德报告着意指出，美国战略（如美国国防部《联合远景2020》）提出“全面优势”，而中国更注重非对称作战。《战略学》指出，计算机网络作战只需要较少的人力物力就可以达成作战目标，因此是成本低、效益高、风险低的行动。《战略学》里把网络作战划分为网络侦察、网络攻防和网络威慑。其中网络侦察是最常见的网络作战，包括潜入和窃听对方网络，收集情报和数据，这与美国军方定义的网络窃用有很多相似之处。
" _* ]! N( W* I6 f7 C
《战略学》把网络攻防成为网络作战的最高境界，但在网络攻击和网络防御之间，中国倾向于认为网络作战在本质上是进攻作战，网络上易攻难守，这是网络攻防的重要特点。网络攻击的重要作用之一是阻滞美国跨越太平洋的支援行动，要攻击港口、机场、交通工具、战场设施和通信、指挥体系。第二个作用是攻击指挥、通信、管控系统，包括通信、雷达、卫星和指挥中心。

《战略学》把网络威慑定义为通过网络攻防行动展示大规模报复的决心，以使敌人不敢发动大规模网络攻击，重点在于阻止战略层面的大规模网络攻击，尤其是危及国家生存和发展的那种类型。值得注意的是，《战略学》里的威慑不局限于网络层面，而是可以包括传统军事手段。

兰德在报告中也指出，中国在网络侦察问题上很少考虑对方警觉和补丁问题，在网络攻击方面也以阻断信息流为主要目标，而较少注意篡改数据和欺骗行动。兰德报告认为，这显示中国的网络战思维还是从电子对抗的思路延续下来的。云计算的发展使得数据和服务器高度分散化和虚拟化，使得阻断式网络攻击更加困难。就网络威慑而言，国之重器不示于人和只有适当展示才能实现威慑之间的矛盾也没有得到解决。兰德在报告中还提到了国防大学2000年版《战役学》和1999年的《超限战》，提到中国军事思想中用网络战达到不战而屈人之兵的想法。

9 ~5 S5 z- o9 |( O6 a兰德报告没有多提美国军方的网络战思想，只是笼统地提到尚在草创阶段。

在网络战组织方面，兰德报告以《战略学》中一段话，认定中国具有庞大的网络战组织。《战略学》中提到，网络战的队伍包括军方的专业网络战队伍、地方队伍（包括政府部门和国安、公安系统）和民间自发队伍，后者可在战时动员和征用。

' C  u( P7 s5 W6 `8 c6 b军方专业队伍的存在不奇怪，但外界对公安和国安在网络安全中的作用不是很清楚，认为公安的主要任务是监视敌对活动、保卫重要机构、密码和信息安全；国安则负责情报与反间谍。但军方的作用相对清楚，外界认为由总参三部负责。总参三部大体与美国国家安全局（简称NSA）对应，划分为12个作战局，每个局负责一个地区或者某一特定功能，另有三个研究所、16个技术侦察局，负责支援总部与七大军区的作战行动。2007年美国国防部对国会的报告中指出，解放军在重大演习中整合了进攻性网络作战部分，尤其是对敌人网络的第一波攻击。
, `  e. ?% Z6 f3 _% o
. Q1 e6 n) m0 {; i4 g% R兰德报告引用简氏消息，指出解放军早在2002年就组建了网络战民兵，从大专院校和民间招募IT人才，但这些人在战时的主要作用是网络维护和网络安全，而没有证据表明网络民兵用于和平时期的网络侦察行动。《战略学》也强调网络战要依靠专业精英，而不能搞全民皆兵。
( `1 X% G9 }5 w9 L5 t8 Z/ z) Y( b; {
- W% ^+ K* s7 E) P0 b" d美国方面在2009年成立了网络战司令部，这是与各大联合总部（如太平洋总部）平级的美国战略司令部下属的二级司令部。美国战略司令部与各大联合总部（如太平洋总部）平级，主要负责美国三位一体的核力量，网络战司令部置于美国战略司令部之下，凸显美国对于网络战的重视。网络战司令部下辖各军兵种的网络战部队，其中包括美国空军的第24航空队、美国海军第10舰队、美国陆军第2军和美国海军陆战队网络空间司令部下属的网络战部队。2013年3月，兼任NSA局长和网络战司令部司令的基斯·亚历山大上将宣称，美国正在组建40个网络战特遣队。亚历山大特意指出，这些网络战特遣队以网络攻击为主，其中13个特遣队专职网络攻击。2015年美国国防部网络战战略报告规定，网络战部队包括6200名军职、文职和承包商人员，组成133个分队。所有分队按任务划分为三个类型：

1.     保卫国防部网络和辅助传统部队的网络保卫分队

2.     防止对美国利益发动重大攻击的国家任务分队

3.     与常规战斗部队整合到一体、支援战区行动的战斗任务分队

但美国对各部门的网络安全、网络战职责划分也在争论，网络战司令部与国土安全部、国家安全局之间，网络战司令部与各战区总部之间，网络战司令部与各军兵种之间，都有职责不清的问题。但在大体上，网络战司令部主管网络攻防，国家安全局主管网络窃用。兰德在报告中认为，尽管存在问题，美国网络战机构的职责划分和协调还是比中国更加顺畅。斯诺登事件后，有传说网络战司令部和国家安全局要分开，但2014年4月，麦克·罗杰斯海军上将接替基斯·亚历山大上将，同时担任国家安全局局长和网络战司令部司令，继续两家高度整合的做法。
1 k$ h: ]% v. s1 X! d+ Z( K
在网络战装备方面，中国对微软不放心，怕留后门，改用自主的麒麟操作系统，这有可能也用于军用系统。但据说早期麒麟操作系统的核心代码与从Unix发展而来的FreeBSD5.3相同，最新一代则基于Linux系统。作为通用软件，这确实可能避免微软视窗补不胜补的漏洞，结构上也可能足够怪癖，不便于黑客攻击，但缺乏大范围使用也使得软件漏洞隐而不发，缺乏补丁，反而在关键时刻被恶意利用。另外，即使是最安全的操作系统，只要挂载应用存在漏洞，也是可以有针对性地侵入的。二战以来，美国在密码和解码技术和经验方面具有传统技术优势，还可能得到北约盟国的帮助，但美国在超级计算机的速度方面已经不再有优势。

兰德在报告中认为，美国在网络管理和故障、黑客应对方面较强。尽管由于历代积累的缘故，网络构成里什么时代的机器都有，网络管理依然较为严谨有效。AT&T、Verizon等电信公司和众多大公司积累了丰富的大范围网络管理和安全经验。相比之下，中国的网络管理就比较粗糙，对系统故障、软件缺陷、用户差错和管理不善的应对能力较低，面对协调、有力的网络攻击的能力不足。兰德在报告中引用报道，称2010年里85%的中国网络有遭到入侵的经历，45%的计算机遭到病毒或木马入侵，22%帐号或密码被盗。这还比2009年进步了，2009年有60%计算机染毒，33%帐号被盗。2009年，一个中国网络游戏公司破坏了竞争对手的服务器，结果无意中造成6个省的互联网中断几个小时。过去几年里，有好几次本应走美国的互联网流量绕道中国，这是因为若干中国ISP错发指令。ISP要“自报身份”，引导互联网流量走最近途径。但报错身份的话，互联网流量就可能走错路。对于这几次问题，一种观点认为是由于中国网络管理混乱，ISP错发指令；另一种观点认为，这是中国网络战当局在测试西方网络。兰德在报告中没有直说，但事实可能在两者之间。

中国的长城防火墙在网络安全方面的作用也值得推敲。一方面有人用VPN或者镜像服务器绕过长城防火墙，说明并不是坚不可摧；另一方面长城防火墙具有 把某些VPN流量反手弹射的功能，形成对墙外敌意网站的DOS攻击的作用。

在计算机病毒中，“零日”病毒最为凶险。这是连操作系统或者应用的开发团队自己都不知道的致命软件漏洞，可以长期潜伏。一旦被恶意利用，可以造成严重损害。有团队专业挖掘这样的“零日”漏洞，并有黑市交易。按照美国《航空周刊》的说法，最大的买家是美国政府“有关部门”。由于缺乏可信数据，兰德报告对“零日”威胁只是提到，并没有过多展开。

1 y) ?, y+ _* a' q$ H" F( q5 H尽管只有定性分析，兰德报告中认为在1996、2003年，中国的网络战能力还微不足道，美国具有绝对优势；但2010、2017年，中国在网络战能力和经验方面都有了长足发展，而美国也高度重视，迅速增强以网络战司令部为主体的网络战实力，美国依然占优，但优势在减弱。

老财迷

中国知道自己网络水平不够，弄了一堆专用网络。 和朋友闲聊过，中美要真打起来，银行里那么多美国产的软硬件，会不会出问题。  最后感觉上，觉得是专网，如果没内奸，核心系统问题应该不大，和外网打交道多的系统难保没问题

晨枫

老财迷 发表于 2016-9-17 05:12
中国知道自己网络水平不够，弄了一堆专用网络。 和朋友闲聊过，中美要真打起来，银行里那么多美国产的软硬 ...

呵呵，这个“如果没内奸”可是不容易确保。

老财迷

晨枫 发表于 2016-9-17 22:02
# w  j# n6 @: \/ M呵呵，这个“如果没内奸”可是不容易确保。

. _. x$ }* P; a# G7 o这个没辙，不是IT人员能管的了。
不过就我看到的、听到的、遇上的，有些事情管理还是蛮严的