随着网络技术的飞速发展和网络在军事和民事领域的广泛应用，网络空间面临的威胁也得到了各国越来越多的重视。世界各国都在准备应对网络威胁并利用网络空间带来的机遇，印度也不例外。本文对印度面临的网络安全形势进行了分析，对应对网络空间威胁的手段进行了讨论。
美军学员正在进行网络战训练。
美国总统奥巴马在发表总统演说时称，“我们的数字基础设施将被视为一种战略性国家资产。”奥巴马这番话的意思清楚表明，世界领导人认识到了信息基础设施的重要性，对信息基础设施的威胁已经成为了一种对国家战略资产的威胁。过去20年来，网络空间威胁的发展演变发生了巨大变化，以至于世界各国的战略家将网络空间视为了第五个战争空间。威胁（出自非国家行为体和国家行为体的授意或直接参与）的快速发展导致全球网络一片混乱。网络方面的国内法与国际法在执行上的脱节、威胁来源方面的问题、国际社会在网络问题上的不协调以及最为重要的----全球性条约（尤其是战争模式法规问题相关条约）的缺失进一步加剧了这种混乱局面。
鉴于世界各国都在准备应对网络威胁并利用新战争空间带来的机遇，因此印度迫切需要保护自己的主权网络空间，尤其是重要的信息基础设施。随着国家行为体的积极参与和先进网络武器的发展，形势变得更加严峻。目前，网络武器已经从非破坏性网络间谍武器（利用零日漏洞）发展成了以SCADA系统和DCS系统为攻击目标的高破坏性武器，比如震网病毒（STUXNET）。这些网络武器非常先进复杂，特别是还带有一些隐秘的参数，从而使它们与一般的恶意软件和病毒区分了开来。使形势更加严峻的是，据斯诺登（Snowden）披露，美国有一个名为“棱镜”（PRISM）的战略网络间谍计划。显然，“棱镜”计划具有划时代的意义，并且预示着网络空间出现了新时代的威胁，这种威胁主要是国家将网络空间作为了一种战争武器。
让我们来看一下印度面临的网络安全形势吧。印度的互联网用户数量排名全球第三，仅次于美国和中国。预计印度的互联网用户数量在2012-2017年间还会增长6倍，复合年增长率为44%。不过，与此同时，印度和美国一样，也是世界10大垃圾邮件发送国之一。根据在线安全公司赛门铁克去年10月22日发布的报告，印度是受网络犯罪影响最严重的5大国家之一。我们对信息基础设施的战略性依赖（将信息基础设施作为力量倍增器）已经成为我们的一个战略弱点，这个战略弱点加上网络武器的发展预示着网络混乱时代的来临。在这种情况下，我们迫切需要具备网络威慑能力，而要具备这样的能力信息安全是关键因素。目前，保护信息和信息基础设施已经成为了确保我国国家安全的关键因素，信息安全的四大支柱（即保密性、完整性、可用性和不可否认性）是确保国家安全的先决条件。保密性非常重要，尤其是国防系统的保密性，因此加密系统一直受到了高度重视。这些加密技术遵循着严格的科学方法，加密算法的设计基于困难的计算假设，因此这些算法很难被对手破解。从理论上说，这样的加密系统是能够破解的，但实际上通过任何方式去破解都是不可行的。这样的加密方案是一种计算上的安全。从理论上说，无法破解的信息安全方案也是存在的。比如说一次性密码本，但与理论上可以破解的计算安全机制相比，但这些方案很难实施。密码学的运用包括椭圆系统和超椭圆系统公有/非对称密钥以及私有/对称密钥系统（如 AES、3DES和Serpent等等）。不过，尽管保密性是安全系统的关键要素，但我们在构思、设计和使用安全系统时还是必须要遵循一句古老的名言----“纵深防御”。在信息安全领域运用这一军事策略就是要利用多种不同的方式保护系统免遭任何特定的攻击。
根据美国国家安全局（National Security Agency，NSA）的设想，这种分层防御的战术为保护信息和电子安全提供了一种全面的方式，旨在通过空间换取时间，迟滞而不是阻止攻击者的推进。运用保护机制、程序和政策的目的是提高IT系统的可靠性，通过多层防御阻止对重要系统的刺探和直接攻击。纵深防御措施不但封堵安全漏洞，而且还会为有关组织赢得时间来探测攻击并做出反应，从而减少和消除安全漏洞的影响。
纵深防御采取的一些措施包括：基于生物识别和数字签名等等的强大认证系统、哈希密码、防火墙和隔离区、入侵防护系统、网络行为分析器、先进的恶意软件探测器和反病毒系统、虚拟专用网、完善的安全管理日志和访问控制系统、漏洞评估和审核等等。尽管纵深防御对信息安全来说非常重要，但如果不遵循安全设计的思想，防御本身比如会存在缺陷。
安全设计框架的理念以设计安全、缺省安全和安全部署的模式为中心，其主要目的是使系统达到可信赖的标准。这些理念影响了系统的开发过程，有助于开发出安全的系统。设计安全意味着一开始就必须采取适当的步骤确保产品的总体设计是安全的，特别是要在设计阶段建立威胁模型并运用安全的设计、编码和测试指导思想。缺省安全意味着系统在交付时其缺省配置是安全的，也就是说，如果某项特性的激活和关闭是可选的，那么在默认情况下应该是关闭的。
如果某一特性没有被激活，那么攻击者就不能利用它来危害你的产品。部署安全意味着系统在安装之后可以进行维护。如果某个产品很难进行维护，那么在新的安全威胁出现时就会更加难以应对。我们的关键目标是在网络空间确保任务取得成功，这一目标涉及获得可信赖的组件、可信赖的供应链、可信赖的架构、可信赖的评估、可信赖的渗透测试以及可信赖的管理（这是最为重要的）。印度国防研究与发展组织（DRDO）通过设计实现系统的安全，从而防范信息泄漏，确保任务取得成功。这一目标通过系统架构和可信赖平台的开发来实现，涉及开发定制的硬件以防范内嵌“黑箱”攻击和基于定时、故障注入和功耗分析的旁路攻击；为不使用操作系统的平台开发定制的固件/软件以防止有意或无意的信息泄露；开发定制的接口以控制未经授权的数据交换和访问；开发牢不可破的加密算法（定制的算法），这些算法能够抵御所有已知的现代攻击；发展保守设计方法学以及开发最为重要的白箱测试技术。
国防研究与发展组织还在发展其他能力，包括开发基于自主设计的加密算法的高级加密设备和自主设计的高可靠平台以及开发先进的LAN和WAN网络构架，以提高安全水平，防范信息系统遭受外部和内部威胁的攻击。为降低近期网络风险，国防研究与发展组织正在开发运行在商业现货计算机平台上的软件安全系统。为降低远期网络风险，国防研究与发展组织已经开始开发可信赖的安全网络设备（这些设备能够在遭受攻击时正常工作）、可信赖的计算平台（用来进行处理特定信息）和可信赖的存储方案（防止数据泄露）。
以上我们讨论了很多保障网络空间安全的技术手段，但我们要强调的是，技术并不是解决网络安全问题的灵丹妙药，它只是复杂解决方案中的一部分，解决方案还涉及到人员和工作流程。除非我们不折不扣地按流程办事，除非我们的人员保持适当敏感并意识到网络安全的重要性，不然我们就不能实现更大范围的网络空间安全。因此，我们应当重视技术、人员和流程这三个方面，以形成一个安全的网络生态系统，从而保护我们在网络空间的主权利益。
除重视技术、人员和流程这三个方面以形成一个安全的网络生态系统之外，印度还应从战略上重视发展自主设计和制造能力。目前，网络空间的威胁已被视为了一种对国家的威胁。网络犯罪的增长以及网络战的出现（国家支持的网络行动）要求印度必须确保本国信息技术的安全。缺乏自主开发和生产能力是印度信息通信技术生态系统的“阿喀琉斯之踵”。
不幸的是，印度错失了参与数字化革命竞赛（涉及技术和系统的开发、微电子相关系统的设计和生产）的机会，从而导致了对进口系统和技术的广泛依赖。更糟糕的是，英国殖民统治对印度国民造成的心理影响至今仍然存在，使得人们更喜爱国外进口的产品（价格更高）而不是国产货，这种心理在印度人心中是根深蒂固的。通过进口产品来满足国防和民事领域的主要需求是印度的一个战略弱点，其原因不但在于本国自主能力的发展缺少了支持，而且还在于供应链存在被感染的巨大威胁，尤其是受到嵌入式和基于软件的恶意程序的威胁。世界范围内已有多起假冒硬件通过供应链进入重要军工中心的案例。因此，印度现在非常有必要发展自主能力，并成为一个“制造”国家，而不是成为一个进口驱动的国家。
评论 (0)