美國家基礎設施顧問委員會警告防範「911」網路攻擊

E安全8月24日訊 美國國家基礎設施顧問委員會（簡稱NIAC）周二通過的一份報告，指出美國處於911前的緊迫時刻，在大型攻擊到來之前，美國必須抓住稍縱即逝的微小機會有效協調資源。

報告警告稱，美國未做好準備應對針對電網、通信系統等關鍵基礎設施的災難性網路攻擊。

NIAC成員邁克·華萊士8月22日在白宮會議上警告稱，美國目前處於911前的網路緊迫時刻。

報告旨在保護關鍵基礎設施

顧問委員會成員包括公司高管和前政府高級官員投票通過這份報告，建議美國建立獨立的通信網路以支持關鍵系統，並採取措施解密網路安全威脅信息，以便前線基礎設施運營商可利用這些信息防禦攻擊。

報告提到的建議措施包括，強化勞動力、改進機器對機器信息共享並簡化安全調查程序，從而消除私有部門和承包商擔負的不對稱工作積壓。

華萊士表示，美國目前處於取得重要進展的關鍵時刻，報告及建議旨在使美國付諸實際行動，不希望將這份報告束之高閣…

NIAC建議由白宮國家安全顧問監督關鍵基礎設施網路安全，此外還提到能源部的公共/私有網路安全風險信息共享計劃和國土安全部網路信息共享與合作計劃。

報告指出，當美國基礎設施遭遇國家攻擊時，私營企業在網路中處於防禦第一線。

伊利諾伊大學關鍵基礎設施彈性研究院主任大衛·尼科爾表示，一些能源企業已經將運營系統遷移至隔離網路。儘管隔離網路無法保證萬無一失，比如美國軍方的隔離網路SIPRNet就曾被滲透，但即便如此，隔離這些網路仍可以顯著限制訪問點。

• 建立獨立、安全的通信網路，尤其專門為關鍵網路而設的通信網路，包括控制關鍵控制系統流量的 「暗光纖」（Dark Fiber）網路，以及緊急情況下備份通信的預留頻譜。

• 由電力和金融服務行業牽頭促進私有部門機器對機器信息共享技術的試點項目，從而快速測試公共-私有的企業對企業網路威脅信息共享。

• 自費分攤網路漏洞掃描與評估計劃，就地提供工具和專業知識，以幫助關鍵行業的企業使用一流的工具測試並清除系統的惡意軟體。

• 贊助公共-私有機構專家互換計劃從而提升網路從業人員的能力。

• 制定一套限時性市場激勵機制，鼓勵所有者和運營商升級網路基礎設施，投資尖端技術，並滿足行業標準或最佳實踐。

• 政府必須簡化並加速關鍵網路資產所有者的安全調查，建立新的敏感信息隔離中心（SCIF），確保通過安全調查的所有者和運營商能在重大威脅或事件發生一小時內訪問安全的SCIF。

• 制定明確的協議，加速解密網路威脅信息，並主動與關鍵基礎設施所有者與運營商共享信息。

• 在政府、電力、金融和通信行業實施專家特別小組（小組成員由能夠確定優先順序和調配資源的高管組成）試點計劃，以網路威脅必需的敏捷性和速度根據國家優先網路需求採取決定性的行動。

• 使用國家級Gridex Iv演習（2017年11月）測試檢驗聯邦機構在網路事件發生期間的執行情況與能力，並為具體機構提供建議協調並梳理聯邦政府不明確的響應行動。

• 制定最優網路安全治理方法，以指導並協調國家網路防禦，調配聯邦機構的資源並整合專業知識。

• 由國家安全顧問審查報告中的建議實施情況，並在6個月內召集政府高級官員開會解決實施障礙，並確定即將推進的後續步驟。

雖然報告強調緊迫性，但聯邦機構與行業之間存在待解決的頑固問題。

聯邦機構與私有企業的三大問題

NIAC主席康斯坦絲·勞指出，例如，NIAC建議企業制定並採用一流的威脅檢測與掃描技術，但這對中小型企業而言有難度，因此確保這些小型企業參與諸如網路安全風險信息共享計劃（CRISP）會有幫助。

當被問及行業與聯邦政府緊密合作的三大主要障礙時，華萊士稱是「法律、責任和隱私」。這三大問題是私有行業與聯邦機構在信息共享方面面臨的持續問題。

他指出，這三大問題使得了解威脅形勢的企業高管不願意參與其中，因為他們需向股東解釋。

白宮網路安全協調員羅伯特·喬伊斯表示，電信公司也不願意讓高管參加合作保護基礎設施的會議。

華萊士表示，將基礎設施保護升級至國家防禦級別有助於使基礎設施提供商和聯邦機構加速實施優先事項。

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！