赛博战略的层次与支点——独立网络安全厂商的国家安全价值思考

文/肖新光

网安观察·Cyber Security Observation

赛博战略的层次与支点
——独立网络安全厂商的国家安全价值思考

文/肖新光

【编者按】本文根据作者在2015年9月1日上海社会科学院信息研究所举办的“2015网络与信息安全智库论坛”上的发言录音整理，作者有改动和删节。

在开放博弈的全球网络空间，每个国家既需要参与国际产业循环与竞争的能力，也需要可靠的关键卡位防御能力。当前，举国上下对网络安全高度重视，为提高网络攻防能力试图在网络安全领域重新打造某些能力。但是，一个重要的现实是我们往往期待重建一个主场体系，但忽略了既有的力量、中国独立安全厂商的核心价值。必须指出的是具有先进技术、创造力和勇气的独立安全厂商，在大国战略博弈中，不仅具有技术和战术层面的价值，更具有战略价值，他们是国家赛博战略的重要支点。

一、厘清层次突破迷思

近年来围绕网络安全的大国博弈已经进入到白热化地步。以美国为首的西方国家不断对所谓“来自中国的网络攻击”进行指责和炒作，而美国大量入侵、渗透、窃密行为却不能为我国准确捕获。在一系列事件中，中国被动尴尬、应对慌乱。我们对互联网时代下大国之间的赛博战略博弈缺少必要的层次化认知和布局，对威胁层次和对手路径的误判导致了战略上的被动和应对上的混乱，这进一步加剧了中国在第五空间博弈的不利地位。

1.缺少层次化的设计和预案将导致应对混乱

网络空间博弈需要层次化的设计和预案。我们把大国之间的对抗博弈分成三个领域，分别是“对抗域”、“竞争域”和“支撑域”。随着对抗烈度和厚度的变化，“对抗域”主要表现为大国之间的外交斗争、情报对抗、攻击威慑以及真实的网络战争。“竞争域”主要表现为大国间的产业竞争和合作关系。“支撑域”包括国家的保密防护、技术产品、企业机构、基础设施、产业体系、社会体系以及民众保障等。其中，“支撑域”涉及到诸多的关联环节，从整体的关联环节看，其本质其实是一种以产业支撑力量为核心的国家综合能力，对这些层次的厘清和把控得当是保证国家网络安全预案正确性的基础和前提，同时也是有效应对各种突发事件的预案基础。

2.对需求的多层次性认知不足导致战略茫然

当前我国对网络安全需求的认识较为机械，缺少层次假定。比如，对信息产品和基础的需求就不是简单的一刀切，而是有层次的。存在国家、企业机构和个人用户三个基本层面的需求，这三个层次需求有共同点：都需求防御攻击的能力。但也有有明显差异，如国家层面的需求主要表现为：可控性、可见性、数据聚合的方向、国家秘密保护等；企业机构层面的需求主要表现为：可部署性、可管理性、成本、应用环境、商业秘密保护等；个人用户层面的需求主要表现为：使用习惯、便利性、隐私、个人身份和数据保护等。这三个层面既相互关联，也需要相互平衡，过于追求个人隐私和自由将导致无政府主义；过分突出企业机构的利益会导致企业寡头垄断；而如果只强调国家安全，忽略个体价值则会导致极权主义。

3.对威胁层次和对手作业路径的臆想导致战术误判

长期以来，我们对于对手的能力和策略的判断多为臆想，因此不能对症开出药方。例如，如果美方大面积获取我方人员的通话与短信数据，可能采取什么路径？从目前情况看，美国从上世纪60年代开始建设，依靠天基、路基、海基节点所搭建的“梯队”系统的电磁获取能力覆盖了中国大面积的领土、领海，而当前我们的短信是不加密的，语音通话会自动从4G切到2G进入不加密通讯。从链路上看，在运营商和基础线路层面，美方已经建立了数以千计长期的、持久化的节点；从互联网的领域来看，依托APP厂商、广告联盟、也包括类似imessage、环聊等应用，有大量的数据外流。在这样的背景下，美国会优先采用通过系统的后门来获取通信数据吗？大国的赛博防御和布局要依托整体分析，而不是只关注单点。这方面的案例还有很多。比如，目前国内有一种猜测，认为打补丁和病毒库升级是美国的阴谋，是美国通过其厂商攻击我方的方式。但目前已经曝光或被分析过的攻击更多的是采用“物流链劫持”、“0day攻击”、“人工植入（黑袋计划）”等把门踹倒的方式。同时，美国的情报作业能力是三位一体的，包括传统的、电磁的和网络的，形成一个大闭环，而不是完全依赖于网络来进行。在网络安全的攻防方面，那些被我们想当然的作业能力和优势，经常并不存在于真实的作业路径。通常情况下，信息获取作业总是选择技术成本最低，关联风险最小的方式。而这些普遍存在对对手网络安全威胁层次上的假想，导致了我们在战术上的误判和对战略导向与投入的错误牵引。这种对假想威胁路径误判造成的恐慌心理影响的危害已经远远超出了其现实危害。

4.在架构上缺少层次设计导致整体能力低下

当我们把关注点集中若干单点的的时候，另一个问题却被我们忽视了，那就是一个层次空间所能形成的能力内涵。我们以美国为例，其安全能力是清晰的三层架构：民众安全保障、治理安全能力、国土安全能力。美国非常重视民众获得网络安全的基础保障，使民众的基础安全防护能力高于一般网络犯罪的侵害能力。相比而言，我国对民众安全防护能力的重视不够，在企业安全层面也没有强力引导，而削弱民力实际上就是削弱国力。这种层次空间的匮乏，使安全需求导向单一，政企客户缺少安全紧迫感，个体用户缺少安全意识和能力，导致中国信息安全市场需求较小，产业空间被不断挤压。

二、寻找支点达成通途

无论是从网络安全需求层次、大国博弈的威胁层次，还是基于上述两个结构之上的国家安全的战略设计来看，都需要产业支撑力量，需要以产业为基础的国家综合能力的培育和增强。中国在走向网络强国的历程中，如何完成产业和技术层面的安全布防，为国家、机构和国民建立全方位的保障是亟待解决的问题。美国网络安全产业星郡的经验、俄罗斯全力支持卡巴斯基所收获的能力都给我们提供了参考和示范。独立安全厂商作为一个产业层次，其价值观与国家战略统一一致，同时针对那些信息寡头来说，其可作为主要的产业监督和制衡力量。

1.独立网络安全厂商的功能属性

从盈利模式上看，独立网络安全厂商以为用户提供安全产品和服务作为获取收入的主要（甚至是唯一的）方式，从商业契约上保证了其不能滥用产品能力和权限，使其具有以用户安全利益为最大化、以安全威胁为唯一敌人的单一价值观。从治理结构上看，其在寻求风险资本投资为助推的同时，更立足于自我渐进式发展。其核心治理团队有着高度的话语权，使其在当前互联网产业已经出现明显的寡头化、阵营化和恶性竞争化的环境中，可以不受裹挟，保持客观和中立，既有独立、公正的立场，也有缄默的自由。从地缘背景上看，其在追求产品全球化的同时，因所处行业的特殊性，不可避免具有民族性、地缘性的特点，其发展轨迹必然与地缘经济发展高度重合，从而可以成为国家安全利益的可靠保障者和立场同盟者。这些特性使独立安全厂商有别于同样进行网络安全服务的互联网公司、大的IT厂商以及国防机构的承包商等，从而构成一个独立产业层次和力量。

在美国，硅谷独立安全企业圈星郡闪耀。既有Symantec等传统安全巨头，也有Fireeye这样的超级新锐。在其辉映轨迹中，类似Netscreen、Fortinet、PaloAlto Network等公司完成概念接力、迭代创新的过程成为业界经曲。从而形成了美国信息产业体系中一个鲜明的层次。在我国的近邻俄罗斯，以卡巴斯基为代表的安全厂商，凭借其历史底蕴和核心技术，已经成为俄罗斯国家网络安全战略中的关键卡位点。

2.安全厂商的作业能力与弹性

分析美国网络安全能力的强大，人们自然就把目光完全集中到那些产业巨头上，觉得美国有微软、英特尔、谷歌、苹果才是美国强大的基础，是我们落后的关键。但美国的产业层次空间也值得我们分析研究。

从网络安全企业产品和市场看，美国分成开放市场和专有市场两个领域。在开放市场领域，有我们非常熟悉的大量厂商，而专有市场领域，则是专门为美国政府提供专属服务的厂商。两者各有边界。通用安全厂商专注自身所长的领域，研发通用产品，角逐全球市场。而专门性市场的存在，有助于形成美国专属的国家安全作业能力，避免信息外泄，保证数据和服务安全，再加上它有国家背景，由此构成整个产业循环体系。

另外对于美国的安全产业，目前我们很多人的认知是片面和模糊的。有人认为美国创造大量网络安全的概念，类似UTM、IPS、NG-FW等等，都是为了误导其他国家。但无论Netscreen的硬件防火墙，还是PaloAlto Network的下一代防火墙，包括FireEye的APT检测和安全服务，实际上都是在新的场景条件和威胁的情况下，迅速采用了新的技术手段和创意，有效地应对了新威胁，并采用高度简炼的技术语言形成了相应的商业包装。它是一种真实的、根据客观条件应对威胁的结果，也充分体现了安全厂商的作业能力和应变弹性。在这方面，我们从一开始就缺乏对趋势和威胁的有效分析与跟进，而是等待美国新概念落地后再去盲目的跟进模仿，从而看到的只是“狗熊掰苞米”式的产品形态“迭代”。

表1：美国主流网络安全厂商的概念创新

3. 层次决定弹性、架构形成动力、结构保证安全

清晰的产业层次划分是提升和聚合产业能力的前提保障，同时也要保证其形成有效的发展动力。近年来在美国产业界就有几个积极因素在起作用。一个是并购。2010年起，美国整个信息安全产业格局就进入到一个新的大并购时代。IBM、英特尔、Symantec等正是通过并购不断强化自身的安全能力。值得关注的是，这些并购所带来的垄断并没有扼杀创新，而是通过对新锐技术团队的溢价估值鼓励了创新，促进了创新循环。另外一个是“旋转门”。如FireEye兼并Mandiant就是一个曲型的“旋转门”案例。从这个角度看，“旋转门”其实是一种良性的力量，就是如何使潜规则变成规则化，并使之在阳光下循环实施下去的介质。与此同时，我们还看到美国产业的另外一个特点，就是企业之间的互通、兼容和融合。在涉及安全的各个领域美国都有强点企业专注于某一方向，由此形成个性与强点互动的良性发展态势，构架起了信息化、安全威胁和安全创新之间的创新迭代关系。回看中国的信息安全行业，每个企业都要做大做全做强，都号称能解决所有问题，但现实情况却是我们在每个点上都无法和对手匹敌，这是一个严峻的现实问题。

在美国清晰的层次战略中还有一个闪光点，即政府机构与网络安全相关的能力设定。美国的信息安全产业之所以如此发达，很重要的是它形成了庞大的内需。但内需又是如何拉动的呢？我们可以通过分析美国FISMA 与整个IT消费的平衡关系来发现其中的缘由（见表2）。美国《联邦信息安全管理法案》（FISMA）作为《电子政府法案》的一部分，在充分认识信息安全对于美国经济和国家安全利益重要性的基础上，要求各联邦机构制定并实施适用于本机构的信息安全计划，以保障联邦信息和信息系统安全。数据显示，美国通过立法手段提高了信息安全的需求，并把网络安全投入占IT的总花费，从接近10%一度拉到了近20%的比例。

表2：美国联邦FISMA与IT消费（单位：十亿美元）

三、把握趋势综观全局

“知己知彼，百战不殆”的军事思想同样适用于网络安全的大国博弈中。就当前全球网络安全态势看，一些具有颠覆意义的新动向值得我们重视。

1.能力的逆流：新型网络安全企业直接进入国家对抗中

近年来美国安全厂商所表现出的持续发现、分析、溯源、曝光能力为全球瞩目，也启发了我们对大国之间对抗与博弈中有关成本和对抗烈度的新理解。这些年在针对中国的爆料指责中，美国新型的网络安全企业走在前台。这是一个新的战略动向，即从来没有一个领域类似网络安全那样，新型企业能直接进入深度的国家对抗中（在其他能力中很少见到商业企业和对立国家能力直接对撞PK）。其效果甚至可以使对方不战而屈，偃旗息鼓。今天新兴的安全网络公司走上了国家安全对抗第一线，这与其他传统领域的高成本体系对抗相比，其实是一个低成本、高收益的体系，而且无论在攻防双向都是如此。这说明国家能力流向在赛博区域发生了重要变化，也可称之为逆流动，带动逆流动趋势和方向的正是一批美国新锐安全厂商的快速成长。

2.模式的颠覆：传统军力相对民力的前瞻性正在失去

当前另一个要引起我们高度重视的关注点：军力的前瞻性向民力释放的社会发展旧模式正在被颠覆。过去我们看到的是军事研究远远高于民品应用，比如以谷歌眼镜为代表的穿戴式设备其技术可以追溯到上世纪的穿戴式研发。但在网络安全领域很多问题就已经发生了变化，比如破解无线密码过去可能依靠大量的计算机资源和存储资源（彩虹表）。而谷歌从4.0之后，已经增加了把WIFI密码备份到谷歌的配置，并且默认打开。同时WIFI热点又在谷歌地图中作为辅助定位装置，因此其位置谷歌也同样知道，再加上遍布全球的、有无线Sniffer“前科”的谷歌街景车，构成了一个能力闭环（当然我们说的是能力，而不是说谷歌实际有这种行为）。同时美军狙击手的风偏计算是通过ipod上的APP，美军战地翻译等软件依托iPhone，美军无人机和战地机器人依靠XBOX的手柄控制，这种把日常生活习惯直接转化为军事能力的方式，节约了大量作训成本，也说明大量生产的民品，由于其快速的迭代成长和品质策略，可靠性可能已经达到或者超过了传统的专用军事设备。

3.路径的转换：模式改变能力

当年以色列军方为解救在乌干达的人质，通过在沙漠里搭建一个肯尼亚机场的实物模型进行营救演练，最终军方的“闪电行动计划”成功将被软禁在机场候机大楼内作为人质的乘客解救。被视为场景模拟与现实作业对接的成功案例（见图1）。但今天我们看到的已经是大场景的虚拟现实，如，美国艺电公司（简称EA）在电脑游戏《战地4》中，模仿了局部的上海城景（见图2），包括建筑、道路、地铁等。（编者注：2013 年12月26日，中国文化部发布通知称《战地4》是一款违法游戏，含有危害国家安全的内容，是一种文化侵略，并予以禁止。）但我国除了谴责“文化侵略”外，应该深刻分析这种虚拟现实能力背后所支撑的军事能力，通过卫星探测、街景照片、建筑信息等，完整浮现建立对方场景，其在任意地点都“主场”作战或作业的能力令人不寒而栗。这是民力向军力转换的曲例，而且这种转换是通过商业游戏公司的经营运转可持续循环的。相比之下，那种依托于天价国防成本投入所达到的国家能力会被这种民力能力越拉越远。

图1：当年肯尼亚机场的实景模型

图2：EA“战地四”中的虚拟的上海（可见东方明珠电视塔）

四、战略博弈相关思考

中国已经提出了建设“网络强国”的目标。与超级大国占据的先发位置相比，中国必须尽快在大国博弈中走出“被动尴尬”的困境。这关乎能力，关乎战略，因此从战略层面对环境、趋势、产业、对手、自身都有一个清晰的认识，以及在此基础上不断自我完善对“网络强国”建设目标实现十分重要。

1.网络安全的全景博弈—全球信息链和供应链

网络安全审视的两个重要角度是供应链和信息链。信息链包括信息采集、加工、流动、聚合、分析、使用等。而供应链贯穿整个社会生产到应用的方方面面。供应链的威慑是相互的，越靠近供应链的顶端威慑越强，但并不是居于供应链底部就没有机会。在信息链和供应链上，均有卡位点。独立安全厂商的产业位置、团队和产品能力，就是一个卡位点。今天我们的主流认识是没有自有CPU和操作系统，就一定被动，但从更广阔的供应链和信息链上看，我们需要改进的不只这两个环节；同时不能因为缺少基础信息技术支点，就陷入安全虚无主义，认为布防没有意义和价值。

2.安全审视的死角—再认识五眼联盟

说起网络安全，当前的视角完全围绕美国这一个对手展开，却忽略两点：一是网络空间是传统大国博弈和地缘竞合的映射，作为一个处于高风险地缘位置的大国，我们要注意到面临着不同来源、不同动机和不同背景的攻击；另一个角度是我们没有从美国的情报共享体系中全面排查对手的能力覆盖。五眼安全联盟是美国主导的核心情报体系，而我们对五眼其他四国的警惕程度大大降低。近期斯诺登的一部分新文档公开，在一份代号为“CAMBERDADA”的计划中，美国情报机构的NSA和英国的GCHQ对全球23家重要反病毒厂商进行跟踪和监视。引人关注的是这份名单列出的反病毒厂商均是“五眼”情报联盟之外其他国家的厂商，英、美、澳、新、加的安全企业：赛门铁克、趋势、迈克菲、索福斯（Sophos）等均不在监控目标之内，这意味着这些厂商可能和相关情报机构有其他协同通道，而无需被监视。这些安全审视的盲点，中国的网络安全工作者和管理者要强化、集成历史和地缘政治的认知。

3.对中国网络安全的思考—战略和战术层面

首先，在认知层面要尽快克服盲点。我们的现状是过多强调信息基础技术的短板，却不在目前体系上坚决地展开布防；过度强调主要对手的基础优势，却忽视了对手攻击作业方式和作业路径的系统性研判；过度看重内容安全、网站安全等，却对各种对手入侵我国关键系统和基础设施问题缺少足够投入。

其次，在战略层面，要关注网络攻击带来的纵深挑战。当前在战略层面我们缺少系统的层次化认知和顶层设计，遇到问题只能眉毛胡子一把抓。同时，把安全问题完全看成是否基础产品自主的安全泛化，只会导致人人都号称能解决安全问题，却带来更多问题。网络安全问题必须靠尊重网络安全规律的实践去解决，要靠有层次的战略架构去指导。

第三，在具体举措方面，可以考虑立足民力向军力的转换来破局。当前是中国网络安全产业非常艰难的时刻。其中，比较突出的问题是：网络安全生产内需不足；网络安全企业的战略价值和经济价值不匹配；网络安全创新企业处在国家队和BAT3的夹缝当中；中国的独立安全厂商面临着在信息化大格局下被边缘化的风险。产业关乎能力，在其他体制难以短期改变的情况下，我们借鉴国外的经验：从国防装备的成本角度重新思考信息安全技术和装备（攻防双方）；从网络安全角度重新审视国防体制；民力向军力的转换可能是破局的关键的步骤。在重新布局中，我们要对网络和信息安全产业/企业，特别是独立安全厂商郡体在国家安全方面的价值进行战略性定义，并给予适配的政策扶持和倾斜，使其真正承担起参与国家安全博弈的支点角色和作用。