這份長(zhǎng)達(dá)38頁(yè)的報(bào)告題為《面對(duì)僵尸網(wǎng)絡(luò)和其他自動(dòng)化分布式攻擊威脅，提高互聯(lián)網(wǎng)和通信生態(tài)系統(tǒng)的抗打擊能力》豌富。這份報(bào)告應(yīng)去年5月特朗普簽署的行政令指示而誕生根适。此前多次嘗試均半途而廢，報(bào)告定稿后铅乡，它將和其他多份文件一道遞交特朗普審批继谚。

整體來(lái)看，這份報(bào)告寫得很不錯(cuò)：它簡(jiǎn)單直白阵幸，明確了美國(guó)政府花履、行業(yè)和消費(fèi)者當(dāng)前面臨的網(wǎng)絡(luò)安全問(wèn)題，就像題目揭示的那樣挚赊，重點(diǎn)放在僵尸網(wǎng)絡(luò)诡壁。它既沒(méi)有掩蓋問(wèn)題，也沒(méi)有夸大某些網(wǎng)絡(luò)安全威脅或者輕視其他威脅荠割。一言以蔽之妹卿，它是那種草擬得專業(yè)的政策文件。盡管公務(wù)員隊(duì)伍里有些干擾的噪音和無(wú)知的言論蔑鹦，政府仍然草擬了這樣一份專業(yè)文件纽帖。這真是幸事。

報(bào)告只有一個(gè)突出的問(wèn)題：它并未反映美國(guó)政府內(nèi)部的爭(zhēng)斗举反，政府機(jī)構(gòu)之間在爭(zhēng)奪互聯(lián)網(wǎng)安全和物聯(lián)網(wǎng)事務(wù)的領(lǐng)導(dǎo)權(quán)。

另外扒吁，報(bào)告還有這類文件常見的毛不鸨恰：很多真正的建議都有點(diǎn)含糊其辭，比如要“確定一條明確的道路邀耽，發(fā)展為一個(gè)有適應(yīng)能力穗蚌、有持續(xù)性又安全的技術(shù)市場(chǎng)”，或者“推動(dòng)創(chuàng)新”平葡、“建立聯(lián)盟”崭守，應(yīng)該實(shí)現(xiàn)哪些重要的“目標(biāo)”。

由于報(bào)告對(duì)相關(guān)行業(yè)秉持不干預(yù)的傳統(tǒng)做派宗而，加之互聯(lián)網(wǎng)的決策權(quán)事實(shí)上主要掌握在私營(yíng)企業(yè)手中浙辫，美國(guó)商務(wù)部和國(guó)土安全部能切實(shí)拿出的行動(dòng)少之又少。但報(bào)告的確厘清了問(wèn)題所在攻躏，并闡明了解決問(wèn)題的最佳對(duì)策郊檐。

消費(fèi)者無(wú)罪

報(bào)告承認(rèn)玩捉，即使消費(fèi)者在商家購(gòu)買了設(shè)備，又將這些設(shè)備聯(lián)入家用無(wú)線網(wǎng)絡(luò)茴怀，也不能词宴、不該指望他們?yōu)檫@些設(shè)備的網(wǎng)絡(luò)安全負(fù)責(zé)。這也許報(bào)告最有用的內(nèi)容找筝。

報(bào)告給予物聯(lián)網(wǎng)市場(chǎng)準(zhǔn)確的定位蹈垢，稱物聯(lián)網(wǎng)設(shè)備“很像上世紀(jì)90年代的臺(tái)式機(jī)電腦”，安全性很差袖裕。

報(bào)告寫道：

“物聯(lián)網(wǎng)設(shè)備往往缺乏側(cè)重于安全的特色功能曹抬。這些系統(tǒng)現(xiàn)在成為對(duì)不法分子最有吸引力的攻擊目標(biāo)，（物聯(lián)網(wǎng)）設(shè)備在生態(tài)系統(tǒng)占比很大陆赋，并且越來(lái)越大沐祷。”

報(bào)告還說(shuō)：

“實(shí)際上，消費(fèi)者并沒(méi)有直接受到設(shè)備被攻擊的影響攒岛，他們可能永遠(yuǎn)不知道（自己的）設(shè)備淪為僵尸網(wǎng)絡(luò)的一部分赖临。從消費(fèi)者的角度看，網(wǎng)絡(luò)攝像頭還在正常播放視頻灾锯，冰箱還在制冷（兢榨，一切正常）。”

“基于這個(gè)原因顺饮，一旦設(shè)備被僵尸網(wǎng)絡(luò)利用吵聪，讓設(shè)備的真正所有者負(fù)責(zé)是不現(xiàn)實(shí)的。現(xiàn)在被（僵尸程序）感染也看不到什么明顯的影響沿阁。因此嫌盲，如果要鼓勵(lì)消費(fèi)者采取行動(dòng)增強(qiáng)安全措施，比如升級(jí)那些可以升級(jí)的設(shè)備铆贞，就存在困難赐赁。”

據(jù)悉，這些看法對(duì)物聯(lián)網(wǎng)專業(yè)人士來(lái)說(shuō)不算新聞伶摩，難得的是雕踊，一份美國(guó)政府的報(bào)告能清晰闡述問(wèn)題，一針見血地切中要害昂幕。

報(bào)告指出挺候，對(duì)于保證物聯(lián)網(wǎng)安全，軟件和硬件安全系統(tǒng)升級(jí)以及類似做法很有效庶化，可問(wèn)題是即钞，很少有公司和個(gè)人真正這樣做〖Ｄ罚考慮到這點(diǎn)怎晰，報(bào)告和這些年不少人的觀點(diǎn)一樣髓绽，也認(rèn)為需要讓設(shè)備自帶安全預(yù)防措施，比如自動(dòng)進(jìn)行安全系統(tǒng)升級(jí)妆绞。

報(bào)告認(rèn)為：

“理想的做法是顺呕，向消費(fèi)者推廣那些應(yīng)該內(nèi)置安全系統(tǒng)的設(shè)備。消費(fèi)類產(chǎn)品應(yīng)該盡可能基于安全角度設(shè)計(jì)括饶，應(yīng)該納入自動(dòng)更新安全系統(tǒng)的機(jī)制株茶，應(yīng)該幾乎沒(méi)有對(duì)（用戶）管理產(chǎn)品提出什么要求。”

制定基準(zhǔn)

美國(guó)政府不會(huì)給行業(yè)強(qiáng)加什么規(guī)定图焰。因此報(bào)告認(rèn)為启盛，可能政府要與企業(yè)合作，對(duì)于“家用和工業(yè)應(yīng)用的物聯(lián)網(wǎng)設(shè)備”技羔，共同制定一套“普遍接受的基準(zhǔn)安全配置僵闯。”報(bào)告還提議，美國(guó)政府利用自身重要采購(gòu)方的角色藤滥，“對(duì)美國(guó)政府環(huán)境的物聯(lián)網(wǎng)設(shè)備采用基準(zhǔn)安全配置鳖粟，以此加快普及安全配置的進(jìn)程。”這聽起來(lái)是高明的一步棋拙绊，在域名系統(tǒng)安全擴(kuò)展（DNSSEC）和IPv6這類技術(shù)上能起到一定作用向图。

而報(bào)告最面向大眾的建議也許就是，由政府出資哟俩，贊助一項(xiàng)針對(duì)物聯(lián)網(wǎng)安全的宣傳活動(dòng)碉讯，提高消費(fèi)者這方面的安全意識(shí)。報(bào)告稱：

“聯(lián)邦政府應(yīng)該開展一場(chǎng)提高公眾意識(shí)的運(yùn)動(dòng)褐琼，支持公眾認(rèn)識(shí)并采用家用物聯(lián)網(wǎng)設(shè)備安全配置订淑，用相關(guān)品牌產(chǎn)品。”

在此后的內(nèi)容中涤瘸，報(bào)告還力薦政府對(duì)相關(guān)研發(fā)加大投入搁排，“支持科研進(jìn)步，包括預(yù)防和緩解分布式拒絕服務(wù)攻擊（DDoS）和防止制造僵尸網(wǎng)絡(luò)的基礎(chǔ)技術(shù)钉榔。”

談到IPv6，報(bào)告有點(diǎn)擔(dān)心這種網(wǎng)絡(luò)安全的新協(xié)議廣泛采用可能產(chǎn)生負(fù)面影響翅窥。

IPv6將賦予每個(gè)設(shè)備一個(gè)IP地址圣钝，所以可能讓數(shù)百萬(wàn)新設(shè)備容易遭到攻擊和黑客入侵。從這個(gè)角度看没惶，用IPv4和網(wǎng)絡(luò)地址轉(zhuǎn)換（NAT）可能營(yíng)造更安全的環(huán)境肖喂，因?yàn)檫@兩種方式都基于單一的IP地址排布設(shè)備。

報(bào)告并不是主張抵制使用IPv6庆杜。事實(shí)上射众，報(bào)告還贊成碟摆，為了更快推進(jìn)應(yīng)用，要給予互聯(lián)網(wǎng)服務(wù)供應(yīng)商激勵(lì)叨橱。但報(bào)告的確建議典蜕，調(diào)查“IPv6廣泛應(yīng)用的影響，看到應(yīng)用廣泛到何種程度罗洗，就能改變網(wǎng)絡(luò)攻擊和防御的經(jīng)濟(jì)意義愉舔。”

擔(dān)憂與希望并存

應(yīng)用IPv6的一個(gè)好處是，消費(fèi)者會(huì)更容易發(fā)現(xiàn)哪部設(shè)備被攻擊了伙菜⌒停可是報(bào)告提到了名為Mirai的物聯(lián)網(wǎng)僵尸網(wǎng)絡(luò)。它對(duì)攻擊IPv6支持的物聯(lián)網(wǎng)特別有效贩绕，因?yàn)樗舻氖悄切┯凶陨鞩P地址的設(shè)備（通常是網(wǎng)絡(luò)攝像頭）火的。相反，“NAT工具可以充當(dāng)意外（攻擊的）防火墻淑倾，避免那些家用設(shè)備被傳播惡意軟件的批量掃描工具直接接觸馏鹤，進(jìn)而大范圍被惡意軟件感染。”

報(bào)告甚至深入探討了范圍擴(kuò)大的域名空間：

“理論上說(shuō)宴忱，IPv6的地址空間相當(dāng)大辐胆，現(xiàn)有工具無(wú)法掃描，但專家注意到一些模式巾妇，它們可以通過(guò)新的掃描技術(shù)找到哪些設(shè)備不堪一擊卸研。”

那么，該用什么解決方法哥甲？報(bào)告認(rèn)為多盅，應(yīng)該把研究的側(cè)重點(diǎn)放在“深化網(wǎng)絡(luò)前沿創(chuàng)新”上。

報(bào)告里還有很多觀點(diǎn)裹耗、建議和主張勤右。大部分表述都用了“應(yīng)該”這個(gè)詞，這一定程度上降低了采取行動(dòng)的緊迫感痘宋，可是有一條建議沒(méi)有用“應(yīng)該”虫甲。它提出，保證下一代工程師接受網(wǎng)絡(luò)安全培訓(xùn)塌瑞。網(wǎng)絡(luò)安全無(wú)疑是目前一項(xiàng)至關(guān)重要的技能辩块。

報(bào)告稱：

“學(xué)術(shù)機(jī)構(gòu)在與美國(guó)國(guó)家網(wǎng)絡(luò)安全教育計(jì)劃合作，他們應(yīng)該將（網(wǎng)絡(luò)安全）確立為攻讀一切工程學(xué)學(xué)科的基本要求內(nèi)容荆永。”

這份報(bào)告上周末發(fā)布废亭，其中有不少好提議，以上只是冰山一角。從現(xiàn)在起到今年2月12日豆村，大概一個(gè)月多一點(diǎn)時(shí)間都是報(bào)告的公眾評(píng)議期（任何看法可以發(fā)送電郵到地址：Counter_Botnet@list.commerce.gov）液兽。如果你對(duì)報(bào)告提到的任何內(nèi)容深有感觸，現(xiàn)在就是讓美國(guó)政府知道的好時(shí)候掌动。