白宮國家安全委員會(National Security Council)的高級官員，國家安全副顧問Anne Neuberger在RSA大會第二天，闡述了拜登政府針對加強美國國家網絡安全現代化的一些做法。

[[400499]]

紐伯格首先描述了日益危險的網絡威脅現狀，她指出拜登在剛上任的100天內，就不得不處理兩起大規模網絡安全事件——SolarWinds攻擊事件和微軟Exchange攻擊事件。

“政府和企業正受到來自各路網絡犯罪分子的持續、復雜和飽含惡意的攻擊。

“今天，網絡安全比過去任何時候都更有必要被納入國家安全的一部分。”

紐伯格表示，在目前的環境中，應當將思維方式從應急響應轉變為預防。她認為雖然攻擊事件必然會發生，我們需為它做好準備，但我們不能讓等待攻擊的發生成為運作的現狀。

基于此觀點，紐伯格列出了當前拜登政府為加強國家網絡安全而關注的三個領域。

網絡防御現代化

從SolarWinds攻擊事件中可以發現，“一些最基本的網絡安全措施并沒有在聯邦機構中進行系統地推廣。”這些措施包括：多因素認證、加密和端點檢測。

除了政府強制去執行這些基本的安全防護外，紐伯格表示，政府還在采取一些措施以確保它從供應商那里購買的軟件的安全性是合格的，因為政府購買的產品“通常帶有缺陷和漏洞”。

目前，這些供應商所采取的措施要么就是在事后打補丁，要么就直接忽略那些他們認為不嚴重的漏洞。

但紐伯格認為，這些補救措施是不妥當的，這是在故意引入未知的、潛在的風險，會被對手和犯罪分子所利用。

為了解決這個問題，紐伯格表示，政府的首要任務就是要確保其購買的軟件從一開始就安全地構建，為此“可能要求供應商在有一個安全的開發環境中構建軟件”。她還補充到，這種方式應當帶來更多的連鎖反應，比如加強政府之外的學校和小企業的軟件安全。

除此之外，政府還要清楚哪些軟件是安全開發的，哪些是不安全的，因為目前客戶是不可能做出這種評估的。

她還強調，政府目前正在制定一項試點計劃，以保護國家關鍵基礎設施中所依賴的技術。這一計劃“將推動私營部門高效安裝新技術，以提供及時的可見性、檢測、響應和阻斷能力。”而且，這還只是確保關鍵基礎設施系統安全性的第一步而已。

在國際網絡空間重新發揮更積極的作用

紐伯格強調，美國需要加強其全球伙伴關系，“以對抗那些利用技術破壞國家和全球安全的對手”。針對這方面她強調了一些舉措，比如四方安全對話會議(QUAD)，其目的是“應對網絡威脅并追究惡意行為者的責任”。

她透露，政府的首批全球網絡安全倡議之一將是“努力合作打擊勒索軟件”，因為這種勒索軟件變得越來越普遍。她指出，“對世界各國來說都是一種國家安全威脅，因為它可以擾亂學校、醫院、政府和企業所提供的服務。而且，還會產生巨大的經濟成本”。

紐伯格補充說，勒索軟件的危險在于其攻擊者往往能夠通過針對已知的弱點，如終端和軟件漏洞進行攻擊。

此外，不能忽視的是，勒索軟件團伙的技術越來越復雜，如使用無文件惡意軟件;運作模式越來越成熟，如雙重勒索計劃的增長。紐伯格認為“想要應對勒索軟件，國際合作將至關重要。因為勒索軟件的犯罪者往往是跨國犯罪分子，他們利用全球基礎設施和洗錢網絡來進行犯罪。”

為美國未來的網絡安全態勢做準備

除了上述技術推進和基礎設施保護，拜登政府的另一個優先事項是 “投資和促進明日創新”。因此，政府的“美國就業計劃”中有一項建議，即投資1800億美元用于研發新興技術。這涵蓋了人工智能、量子計算和微電子等領域。

紐伯格說，這項投資對于加強美國的網絡防御至關重要。她特別強調了量子計算在這方面的未來重要性。雖然這項技術 “有望徹底改變某些無法解決的計算問題”，但它也將 "從根本上擾亂網絡安全及其賴以生存的技術平臺。”

這是因為量子計算為攻擊者提供了破壞IT系統的新載體，對某些加密方法有潛在的 "破壞性 "影響，如等距加密，它是“我們經濟和國家通信安全的基礎”。

因此，“美國就業計劃”反映了政府對加速美國在量子計算和更廣泛的量子信息科學方面的領導地位的承諾，這將有助于“保護國家免受這些技術被敵人所使用”。

紐伯格在演講結束時表示：

參考：https://www.infosecurity-magazine.com/news/biden-modernize-us-cyber-defenses/