美國網絡空間日光浴室委員會：“分層網絡威懾”新戰略解析

2020年3月11日，美國網絡空間日光浴室委員會（Cyberspace Solarium Commission，CSC）發布預熱許久的綜合報告——網絡空間未來警示報告，綜合報告中呼吁美國政府“提高速度和敏捷性”，改善美國的網絡空間防御能力。這篇報告最值得我們關注的是提出了一個應對網絡安全的新的戰略路徑：分層網絡威懾（layered cyber deterrence），這是美國歷次網絡威懾戰略中，首次提出的“分層”戰略手段，并且由六項政策支柱以及超過75條政策建議加以支撐。

一、概念解析

1.網絡威懾（Cyber Deterrence）

網絡威懾是一國通過充分顯示強大的網絡優勢和網絡對抗能力，使敵方因懼怕不堪后果而不敢貿然采取行動，或使其行動有所收斂的行為。網絡威懾提出的思路同核威懾大體相似，強調威懾方擁有使敵方難以承受的報復能力。這個名詞最早由美國布朗大學國際關系學教授詹姆斯·德·代元（James Der Derian）于1994年提出，此后受到美國決策層高度重視，并成為美國網絡安全戰略的重要組成部分，和核威懾戰略、太空威懾戰略共同形成美國“新三位一體”國家安全戰略。

2011年5月，美國在《網絡空間國際戰略》中正式提出網絡威懾的戰略名詞，宣布保留以軍事手段懲戒網絡敵對行為的自衛權，倡導建立國際威懾聯盟應對網絡空間的惡意行為。2015年12月，白宮提交《網絡威懾戰略》，美國政府采取整個政府層面和整個國家層面的多元性方法，以懾止網絡威懾；2017年2月，美國國防部科學委員會發布《關于網絡威懾的工作組》報告，歷數美國所面臨的主要網絡安全威懾，并提出了應對建議；2018財政年度國防預算授權法案，明確要求國防部長提出適用于網絡行動的威懾概念，并大幅增加對網絡威懾和防御能力的預算投入。

2.向前防御（Defend forward）

“向前防御”被描述為盡可能接近對手，以了解他們的計劃，以告知其他人自己準備或采取行動。“向前防御”的作戰理念是國防部于2018年發布《國防部網絡戰略》時首次提出的，強調“通過網絡空間建立更致命軍事力量，加快網絡作戰和打擊惡意網絡行動的能力建設；國防部通過‘向前防御’（Defend forward）來應對日常的惡意網絡活動”。

美國認為，其對手無論是因為在網絡空間的運作方式上，還是因為全球地理位置和相互聯系的性質，反應和應對態勢都不足以應對所受到的威脅。因此，美國在戰略規劃和行動上都需要有前瞻性思維，以便在對手機動時追擊對手，了解他們如何作為一個充滿活力的實體發展，并且在理想情況下，在提升到對美國構成重大挑戰的水平之前，對對手的進攻能力及其支持他們的組織施加成本。

由此，隨著美軍網絡空間作戰規則的演進，先發制人的特點越來越突出，歸咎于“向前防御”的作戰理念與其他網絡戰略的融合。

二、新戰略提出的背景

1.美國面臨的網絡困境

報告指出，20多年來，國家及非國家行為體一直利用網絡來顛覆美國的國力、安全及生活方式。盡管有許多刑事起訴、經濟制裁，并發展了強大的網絡與非網絡軍事能力，但美國依然在遭受網絡襲擊。犯罪分子利用全球網絡竊取個人、公司和政府的資產。極端組織利用網絡籌集資金并招募追隨者，從而加劇了跨國威脅。盡管襲擊者們給美國造成了傷害，但卻沒有招致美國實施大規模報復。而美國的這種“克制忍耐”換來的是更加肆無忌憚的掠奪。報告認為，雖然數字連接給美國人帶來經濟增長、技術優勢和生活質量的提高，但也給美國造成了戰略困境。數字連接更緊密、數據交換越多，對手就會越有機會侵犯私人生活、破壞關鍵基礎設施、顛覆美國的經濟和民主體制。目前，整個美國都在網絡環境中運行，這需要一定的數據安全、彈性和可信賴性。而且，美國政府內部以及公私部門之間嚴重缺乏敏捷性、技術專家和團結。

圖1 美國面臨的主要威脅排行榜

2.“日光浴室”委員會

2019年5月8日，根據2019年《國防授權法案》授權，美國政府宣布成立“網絡空間日光浴室委員會”(Cyberspace Solarium Commission，CSC)的兩黨制機構，該委員會以艾森豪威爾時代的“日光浴項目”（因為參與者在白宮的日光浴室里開會）為藍本，旨在評估美國在網絡空間面臨的威脅，并就如何防范網絡威脅提供戰略指導和政策建議。該機構由14名既具有網絡安全背景又了解國家安全的官員組成，分別是國家情報總監首席副總監、國土安全部副部長、國防部副部長、聯邦調查局局長，參議院多數黨任命的三名成員、參議院少數黨領袖任命的兩名成員、眾議院院長任命的三名成員、眾議院少數黨領袖任命的兩名成員。委員會旨在聯合美國各部門形成一個具有共識的戰略路徑，以防御重大網絡攻擊。

委員會的職責主要有：

(1) 衡量保護美國網絡安全各種戰略選項的成本和收益，包括美國的政治制度、美國的國家安全工業部門以及美國創新基地的保護舉措。評估的選項包括威懾、基于規則的制度以及通過持續接觸來主動瓦解對手的攻擊。

(2) 評估執行這些選項的最佳方法，以及美國應該如何在國家戰略中納入和執行這些選項。

(3) 審視并決定美國應該尋求建立什么樣的基于規則的機制，美國應該怎樣執行這些規則，美國在執行威懾或持續接觸戰略中愿意承擔多少損害，在威懾和持續接觸戰略中，需要回應哪些攻擊，以及美國應該如何更好地執行這些戰略。

(4) 評估對手的戰略和意圖，當前防御美國的項目，以及美國聯邦政府是否具有了解對手在網絡空間的目標和野心及其如何被阻止或阻擾的能力。

(5) 評估當前涉及網絡空間、網絡安全以及關于擾亂、擊敗和防御網絡攻擊的網絡戰等相關國家網絡政策的有效性。

(6) 考慮聯邦政府內部可能需要建立、修訂或擴充的結構和權限。

三、分層網絡威懾（layered cyber deterrence）

CSC以艾森豪威爾時期的“日光浴項目”（Project Solarium）為藍本，通過對超過300個受訪者的全面調查，以外部紅隊實施壓力測試，提出了“分層網絡威懾”戰略路徑。該戰略路徑最理想的目標是減少重大網絡攻擊（cyberattack of significant consequence）的概率和影響。

1.三種戰略手段（即三項威懾層）

（1）塑造行為（Shape bebavior）。美國政府必須與盟友和合作伙伴合作推動網絡空間的負責任行為。

（2）獲益拒止（Deny benefits）。美國政府必須對那些長期利用網絡空間實施較低成本的網絡攻擊以獲取自身優勢，而擴大美國劣勢的對手實施獲益拒止。這種新方法需要聯合私營企業保護關鍵基礎設施，發展國家韌性，提高網絡生態的安全。

（3）施加成本（Impose costs）。美國必須保持相應的能力、職能和信譽反制利用（或在）網絡空間攻擊美國的對手。

三種戰略手段分別涉及一個威懾層，即通過調整對手攻擊美國的成本收益預期，提高美國公共和私營部門的安全。三項威懾層主要由六項政策支柱以及超過75條政策建議加以支撐，這些政策支柱也是實施分層網絡威懾的主要方式。

2.六項政策支柱及具體建議

支柱1：改革美國政府網絡空間架構和組織。

具體包括：發布更新版國家網絡戰略；在國會兩院建立網絡安全委員會；設立國家網絡主管；強化網絡安全與基礎設施安全局（CISA）；擴大并加強聯邦網絡安全人力。

支柱2：強化規則和非軍事工具。

具體包括：在國務院創建一個網絡空間安全和新興技術局并設立一個助理國務卿；積極有效地參與和設置信息和通信技術標準的國際論壇；國會采取措施提高網絡空間執法行動的國際工作。

支柱3：強化國家韌性。

具體包括：將專職機構以“危險管理專職機構”的形式寫入法律并強化其管理關鍵基礎設施危險的能力；發展并保持經濟規劃的持續性；將“網絡困境”及相關聯的“網絡響應和恢復資金”寫入法律；改善選舉協助委員會架構并增加撥款；建立應對國外惡意網絡信息戰的社會韌性。

支柱4：重塑更安全的網絡生態系統。

具體包括：建立并資助一個國家網絡安全認證與標識機構；建立軟硬件及固件成品匯編的可靠性；建立一個網絡統計局；向聯邦資助的研發中心提供資源以促進網絡安全保險產品的認證；開發云安全認證；開發并實施信息和通信技術的工業界基礎戰略以確保可信的供應鏈；通過一項國家數據安全和隱私保護法律。

支柱5：實施與私營部門的網絡安全協同合作。

具體包括：將“系統性重要關鍵基礎設施”的概念寫入法律；建立和資助一個聯合協同環境，共享并融合威脅信息；在CISA內部建立一個綜合網絡中心并促進聯邦網絡中心的整合；在CISA下面建立一個聯合網絡規劃單元。

支柱6：保持和利用軍事手段。

具體包括：指示國防部開展對網絡任務部隊實施力量結構評估；對所有核控制設備實施網絡安全漏洞評估；要求國防工業基地（DIB）參與威脅情報共享項目和威脅狩獵項目。

圖2 “分層網絡威懾”戰略示意圖1

四、定性與分析

1.實施“分層網絡威懾”戰略的必要性

報告指出，盡管威懾是美國長期奉行的戰略，但“分層網絡威懾”戰略更加大膽、獨特。

首先，該戰略突出強調拒止威懾，即通過應變能力以及公私部門間合作來提高網絡空間的防御與安全。

其次，該策略采用了“向前防御”的概念，以降低遭受低閥值網絡攻擊的頻率及危害性。“向前防御”意味著為襲擾和擊敗對手的網絡攻勢，美國必須主動觀察、追擊和應對對手的網絡行動，并在不引發武裝沖突的前提下施加成本。此舉可向對手表明，美國政府將利用一切工具，依據國際法對一切網絡攻擊作出反應，即使是那些武裝沖突閥值以下，不會造成人身傷亡的網絡攻擊。

報告強調，目前的網絡空間態勢是令人難以接受的，很容易引發入侵行動，并且使對美發動攻擊的行為體不必擔心遭到報復。對手正在不斷增強其網絡作戰能力，而美國的網絡漏洞卻在不斷增加。最終大規模的網絡攻擊可能導致大規模的物理破壞，引發政府盲目應對，進而扼殺數字經濟創新并進一步侵蝕美國的實力。為避免出現這種結果，美國政府必須采取“分層網絡威懾”戰略。

圖3 “分層網絡威懾”戰略示意圖2

2.“分層網絡威懾”戰略軍事力量運用

報告指出，美國需要保留和使用軍事力量以及所有其他可供選擇的手段，來阻止任何級別的網絡攻擊。網絡空間早已成為全球戰略競爭領域，各國在這里投入力量，保護其利益并且懲罰對手。美國必須采取“向前防御”的作戰理念，已將其對手的惡意攻擊行為限制在武裝攻擊的閥值水平之下，必須威懾沖突，必要時充分利用全部能力取得勝利。為了實現這些目標，美國必須表現出讓對手付出代價的能力，并建立明確的聲明性政策，向競爭對手發出信號，告知攻擊美國網絡空間的成本和風險。具體包括：

（1）國會應指示國防部，對網絡任務部隊進行結構評估，以確保美國在任務范圍和規模上，以及不斷增加的要求和不斷提高的期望下，具有適當的部隊結構和能力。

（2）國會應指示國防部對核控制系統的所有部分進行網絡空間安全漏洞評估，并不斷評估武器系統的網絡空間脆弱性。

圖4 “分層網絡威懾”戰略軍事力量運用

五、總　結

該報告首次提出“分層網絡威懾”的新戰略，并且融合“向前防御”的理念，較之2015年奧巴馬政府時期出臺的《網絡威懾戰略》（Cyber Deterrence Strategy）目標更加清晰，建議舉措的顆粒度更加細化，具有很強的規范指導作用和極具實踐的可能性。

1.首先，對內，報告主要聚焦于美國國內改革。

報告認為，分層網絡威懾主要基于一個共同的基礎：即改革美國政府保護網絡空間、應對網絡攻擊的組織。美國政府目前并未按照網絡空間國家防御所需的速度和敏捷度來設計，既有的政府結構和司法管轄邊界影響到網絡政策制定進程，限制了政府行動的機會，阻礙了網絡行動。對此，報告認為所有級別的政府均需要迅速和全面的改革。

2.其次，對外，該報告明確將中國，俄羅斯，伊朗和朝鮮列為美國網絡安全的主要威脅。

報告指出中國運營商進行的“竊取知識產權”，銷蝕了美國的優勢；俄羅斯進行的“干預選舉”直接破壞公眾對于美國選舉和民主制度完整性的信任；中國、俄羅斯、伊朗和朝鮮都在不斷入侵美國關鍵基礎設施，并且未受到明顯懲罰；極端團體利用網絡募集資金、招聘人員、提高跨境威脅。

總體來看，這是特朗普執政以來美國政府提出的最具綜合性和系統性的跨部門提議，反映了美國國內網絡安全工作的現狀和轉型趨勢，報告中明確指出中國為其主要戰略威脅對象之一，可見，我國將是美國實施分層威懾網絡戰略的主要對象，此戰略的提出對我國網絡空間戰略規劃或將起到有的放矢的指導意義。