入侵美国空军：60人黑客小队拿下29万赏金的背后
文章图片
大家好 ， 我是零日情报局 。
昔日 ， 世界头号黑客米特尼克 ， 16岁入侵北美空中防务指挥部 ， 攻进美国国防部、五角大楼网络系统 ， 最终被FBI逮捕落得个五年牢狱之灾 。
而在20多年后的今天 ， 美国国防部（DOD）却反其道而行 ， 将“黑客入侵空军”、“黑客入侵五角大楼”、“黑客入侵陆军”等一系列激进活动 ， 发展成了年年召开的重金悬赏式挑战赛 。
时间改变了黑客 ， 也改变了美国 。 今天 ， 零日就跟大家聊聊美国国防部为何钟情自虐 ， 不惜悬赏也要求黑客吊打自己的前因后果 。
60人黑客小队入侵美国空军
前不久Forbes新闻披露称 ， 去年10月23日至11月20日 ， 美国空军发起了“黑客入侵空军（HackTheAirForce4.0）”的特别活动 。 期间 ， 专门组织了一个60人规模的黑客小队 ， 连续不间断地对美空军虚拟数据中心发起了长达四周的网络攻击 。
文章图片
（美国空军在四周内被60名黑客入侵）
最终 ， 在黑客唱主角的入侵行动中 ， 从空军虚拟数据中心的云服务器和系统中发现了多达460个漏洞 。 堪称惨烈的战况 ， 充分的满足的美国国防部的“自虐”需求 ， 爽快地拿出了29万美元奖金以奖励黑客 。
从表面看 ， 美国空军在黑客面前“脆弱”的不堪一击 。 但从国防部的网络安全建设上来看 ， 这460个安全漏洞和29万赏金 ， 花得值 。 为啥？
发现就意味着修复 ， 修复则代表着更安全 。 按照零日的推测来看 ， “黑客入侵空军”行动结束5个月才对外公布 ， 说明这460个漏洞已修复完毕 。 惯会在网络安全领域玩自搏术的美国国防部 ， 又一次精进的安全内功 。
为筑安全自导自演黑客入侵
从“黑客入侵美国空军”不难看出 ， 这就是美国国防部自导自演的一套攻防博弈 。 网军自殴难免误伤 ， 可要是换成挖洞式的黑客攻击 ， 那就是一本万利 。 为了全方位提升空军等多系统的网络防御力 ， 国防部的“黑客入侵计划”可谓筹谋已久 。
始于三年前的空军入侵挑战“黑客入侵空军4.0”始于2017年 ， 发展至今已有三年时间 。 在首次入侵美国空军挑战活动中 ， 来自澳大利亚、加拿大、新西兰和英国的300名黑客 ， 经过层层身份审查把关 ， 最终在针对空军网络的攻击活动中 ， 拿下了207个有效漏洞 ， 虽远低于此次发现的460个漏洞 ， 但却第一次让美国空军尝到了补洞提升安全的甜头 。
文章图片
（第一次黑客入侵空军行动成果）
多头并进的黑客入侵计划在“黑客入侵空军”之前 ， 还有“黑客入侵五角大楼”、“黑客入侵陆军”两大成功先例 。 严格来说“黑客入侵空军”正是以上活动的空军翻版 。 2016年 ， 美国国防部国防数字服务(DDS)团队率先发起黑客入侵五角大楼漏洞奖励试点计划 ， 并联合全球漏洞赏金平台HackerOne ， 负责黑客入侵活动的运营、规划与执行 。 这才有了五角大楼、陆军、空军多头并进的黑客入侵计划 。
文章图片
（黑客入侵五角大楼计划）
文章图片
文章图片
（黑客入侵计划衍生活动）
比技术更重要的可信度像多数国家对军人要求的绝对忠诚一样 ， 在第一次“黑客入侵”挑战创立之初 ， 美国国防部就把参赛技术人员的可信度放在了重要位置 。 首先 ， 参加美国国防部“黑客入侵”计划的人员 ， 主要来自美国、英国、加拿大、澳大利亚和新西兰 ， 也就是常说的“五眼联盟”；其次 ， 受邀人员身份必须经过层层背景调查 。 人的可信与安全 ， 在美国国防部这里同样是比技术更重要的存在 。
文章图片
（可信黑客在HacktheAirForce2.0Bug赏金活动披露安全漏洞）
激进冒险计划背后是安全诉求
从打击黑客入侵到主动邀请黑客攻击 ， 这是个十分激进冒险的计划 ， 不过如果站在美国国防部的角度来看 ， “黑客入侵”系列计划的提出 ， 的确有着让他们冒险的多重因素 。
因素1：从源头发现未知威胁
网络攻击不可怕 ， 可怕的是未知 。 而“黑客入侵空军”等一系列主动邀请黑客攻击活动的出现 ， 可以说就是在源头上消灭未知 。 漏洞无可避免 ， 可当可信黑客抢在攻击者之前发现并修复漏洞 ， 则意味着一个“定时炸弹”的提前清除 ， 无疑是从源头上阻断未知威胁发生的有效手段 。
文章图片
（2016年HacktheArmyBug赏金计划成果）
因素2：自攻自防升级安全屏障
在美国国防部组织可信黑客入侵多系统网络 ， 联合平台广揽技术人员挖洞的努力下 ， 国防部已累计成功修复12000个漏洞 。 相比于攻击发生时的危机应对 ， 更为积极主动的自攻自防行动 ， 可大幅度增强国防部各系统网络的安全屏障 。
因素3：可控对抗环境下技术交流
技术升级的关键在交流与切磋 ， 而美国国防部的“黑客入侵计划” ， 其实就是仿真对抗与可信环境下的“军民”技术博弈 。 美国国防部以漏洞赏金方式组织可信黑客批量持续的进攻 ， 可进一步从黑客角度掌握攻击、渗透思路与技能 ， 以此反哺网络安全建设 。
文章图片
（可信黑客与海军陆战队分享会）
零日反思
黑客的参与帮助美国国防部提升了网络安全实践的基础 ， 相比于常规的网络安全排查 ， 可信黑客下场攻防 ， 带来的是基于实践层面的安全 。
其中值得我们参考学习的 ， 不仅是立足攻防实践升级安全 ， 更是积极主动创造危机 ， 排查安全短板的网络安全建设思路 。
【入侵美国空军：60人黑客小队拿下29万赏金的背后】还记得开篇说的那个遭受牢狱之灾的头号黑客吗？他的全名叫做凯文·米特尼克 ， 现如今他是FBI高级安全顾问 ， 并开设了安全公司 ， 成为了名副其实的网络安全守卫者 。
推荐阅读
- 美国用“核试验”来恫吓中国“核裁军”，那是赤裸裸的核讹诈
- 岂有此理，6000华人宣誓加入美国，扬言中国无权取消他们国籍
- 弹射刀——美国禁止非军方人士使用的刀具
- 中国渔民再次立功! 巨大宝藏重见天日， 美国请求被拒之门外！
- 啥武器能让196国联名抵制？美国“开了坏头”，公然违背禁令研究
- 环球网王毅：病毒源头问题上，中方与美国一些政客之间的分歧，是真相与谎言的距离，是科学与偏见的对比
- “去美国化”只是理想状态，华为去年采购1300多亿美国零部件！
- 弃美国高薪回国创业，今3个月赚1千亿，直接威胁马云的首富地位
- 刚毕业医学生都不会犯的错误，号称“世界最强”美国疾控中心竟踩了雷？
- 中国证监会就美国国会参议院通过《外国公司问责法案》事宜答记者问