SolarWinds供应链攻击

**2020 年美國聯邦政府資料泄露事件**是指在 2020 年，一個由他國政府支援的組織發動了一場大規模網路攻擊。全球包括美國各級政府部門、北約、英國政府、歐洲議會、微軟等至少 200 個政府單位、組織或公司受到影響，其中一些組織的資料可能也遭到了泄露。由於此次網路攻擊和資料泄露事件持續時間久，目標知名度高、敏感性強，多家媒體將其列為美國遭受過的最嚴重的網路安全事件。

此次攻擊在 2020 年 12 月 13 日首次公開報導前已經持續數月，最初披露的報告列明的受影響組織僅包括美國財政部和美國商務部下屬的國家電信和資訊管理局（NTIA）。隨後，更多單位發現其資料遭到泄露。

此次網路攻擊事件最晚開始於 2020 年 3 月，期間，攻擊者至少利用了微軟、SolarWinds 和 VMware 三家企業的軟體或憑證。攻擊者通過對微軟雲服務實施供應鏈攻擊獲得入侵微軟雲服務客戶的能力。SolarWinds 作為微軟雲客戶之一遭到入侵，隨後其存在嚴重安全缺陷的軟體發布基礎設施遭到控制，其廣泛應用於美國政府和工業部門的 Orion 軟體被攻擊者植入後門。入侵者利用植入 Orion 的後門成功竊取大量機密資訊。此外，微軟和 VMware 產品中的缺陷允許攻擊者非法存取電子郵件等文件或通過單一登入完成統一身分認證。

除了資料被盜外，這次攻擊還給成千上萬的 SolarWinds 客戶帶來了巨大的麻煩。為防不測，他們不得不關閉系統、檢查組織是否被入侵並開始為期數月的污染清除工作。美國參議員迪克・德賓稱此次網路攻擊「相當於一次宣戰的攻擊」。襲擊被發現後，時任美國總統唐納・川普沉默了幾天，推文稱「假媒體總是優先質疑網路攻擊來自俄羅斯，卻不敢討論網攻可能來自中國。」有媒體解讀川普暗示中國（而不是俄羅斯）具有嫌疑，並表示「一切都在掌控之中」。《路透社》2021 年 2 月報導，5 名知情人士透露，美國聯邦調查局調查員發現，來自中國的駭客，利用 SolarWinds 軟體漏洞侵入美國政府電腦，駭客所用的電腦系統和入侵工具，與由政權支援的中國網路間諜所部署的一樣。

## 背景

此次事件在唐納・川普總統任期的最後一年中持續了 8 到 9 個月。由於川普在 2018 年取消了網路安全協調員這一職位，在攻擊發生時白宮沒有相關專業人才。2020 年 12 月 13 日，當此次攻擊事件被曝光，負責協調此類事故應對的網路安全和基礎設施安全域（CISA）也缺少一名通過參議院確認程式的局長 ——2020 年 11 月 18 日，這一美國國家網路安全機構的最高官員克里斯・克雷布斯被川普解僱。與此同時，CISA 的上級機構美國國土安全部（DHS）也缺少通過參議員確認程式的部長、副部長、總顧問、主管情報和分析的次長和負責管理的次長；與此同時，川普仍在逼迫 CISA 的副部長下台。此外，美國政府問責署和其他機構提出的許多聯邦網路安全建議也沒有得到實施。

SolarWinds 是一家總部位於德克薩斯州的美國政府網路監視服務承包商，在此次攻擊之前其產品就已經曝出一些安全缺陷。SolarWinds 組織結構中沒有設定首席資訊安全官或網路安全進階主管。早在 2017 年就有犯罪分子有償提供 SolarWinds 基礎設施的存取管道。SolarWinds 甚至建議使用者在安裝 SolarWinds 軟體之前禁用反病毒軟體。2019 年 11 月，一名安全研究人員警告 SolarWinds，稱他們的 FTP 伺服器「任何駭客都可能上傳惡意內容並將這些內容傳送給 SolarWinds 的客戶「。 由於 SolarWinds 的 Microsoft Office 365 帳戶已經被入侵，駭客可以存取其電子信箱，甚至可能可以存取一些檔案。

2020 年 12 月 7 日，也就是公開確認 SolarWinds 產品被用於大規模網路攻擊的前幾天，SolarWinds 的前執行長凱文・湯普森退休。當天，與該公司董事會有聯絡的兩家私募股權公司拋售大量該公司股票。然而，被問及時這些公司否認進行內幕交易。

## 攻擊方法

此次事件的攻擊者使用了多種攻擊手段。

### 微軟漏洞利用

攻擊者利用了微軟產品、服務和軟體分銷基礎設施中的缺陷。

至少有一家微軟雲服務分銷商被攻擊者入侵，這構成了一種供應鏈攻擊，使得攻擊者能夠存取被入侵分銷商客戶使用的雲服務。

除此之外，「Zerologon」漏洞（微軟認證協定 NetLogon 中的一個漏洞）允許攻擊者取得被入侵的微軟網路中的所有使用者名稱和密碼。這使得他們可以取得其他憑證來取得網路上其他合法使用者的權限，幫助他們入侵 Microsoft Office 365 服務中的電子信箱。

此外，微軟 Outlook 網頁應用的一個缺陷可能允許攻擊者繞過多重身分驗證。

此次事件中的攻擊者入侵了 Microsoft Office 365，他們在長達幾個月的時間裡監視了美國國家電信資訊局（NTIA）和美國財政部工作人員的內部電子郵件。他們的攻擊顯然使用了某種偽造的身分標記來繞過微軟的認證系統。單一登入功能的存在則增加了攻擊的可行性。

### SolarWinds 漏洞利用

攻擊者也對 SolarWinds 使用了供應鏈攻擊。攻擊者可能通過已控制的 SolarWindsde 的 Office 365 帳戶控制了其公司的軟體構建系統。

2019 年 9 月之前攻擊者已經控制了 SolarWinds 的軟體發布基礎設施。在構建系統中，攻擊者修改了 SolarWinds 提供給網路監視軟體 Orion 使用者的軟體更新。 首次已知非法修改作為攻擊者的概念驗證（PoF）發生於 2019 年 10 月，這意味著他們已經取得了整個基礎設施網路的控制權。

2020 年 3 月，攻擊者開始在 Orion 更新中植入用於攻擊目標的遠端存取工具。 當使用者安裝更新，惡意程式將隨之安裝至受害者的系統。在休眠 12-14 天後該程式將開始嘗試連接並加入攻擊者的殭屍網路。成功加入網路後，攻擊者將獲得對該系統的控制後門。攻擊者巧妙地將惡意程式流量偽裝成合法 Solarwinds 流量來掩蓋其意圖。根據 CDN 服務商統計，起初幾周存取攻擊者殭屍網路的流量主要來自北美，隨後拓展到南美、歐洲和亞洲。

攻擊者似乎只使用了高價值目標系統的後門程式，一旦進入目標網路，攻擊者就會安裝 Cobalt strike 等工具來提升權限。由於 Orion 作為一個可信的第三方應用程式連接到客戶的 Office 365 帳戶，攻擊者可以獲得存取電子郵件和其他機密檔案的權限。這種權限使得他們能夠在系統中尋找有效的 SAML 憑證，並使用這些憑證偽裝成合法使用者，使用其他本地或線上服務並加密轉移他們感興趣的資料。一旦竊取到合法身分，關閉 Orion 便不再能夠切斷攻擊者對目標的存取。

攻擊者的殭屍網路控制器代管在亞馬遜、微軟、GoDaddy 等美國公司的商業雲服務上。由於惡意軟體是全新開發，且攻擊流量來自美國本土，攻擊者成功繞過 DHS 的國家網路安全系統 Einstein。

聯邦調查局（FBI）的調查人員還發現，SolarWinds 產品中的其他漏洞被另一組駭客利用，入侵了美國政府的電腦系統。

### VMware 漏洞利用

此次事件中的攻擊者還利用了 VMware Access 和 VMware 身分管理器的漏洞。這些漏洞能幫助入侵者持久化入侵成果。截至 2020 年 12 月 18 日，雖然已經確定 SUNBURST 木馬足夠幫助入侵者利用 VMware 的漏洞，但是攻擊者是否使用過該漏洞仍舊不明。

## 發現

### 微軟漏洞

在 2019 年和 2020 年期間，網路安全公司 Volexity 發現一匿名智庫的微軟產品存在漏洞並遭到入侵者利用。攻擊者使用獨特的方法利用了該組織 Exchange 控制面板中的一個漏洞繞過了多重身分驗證。2020 年 6 月至 7 月，Volexity 發現 SolarWinds Orion 漏洞植入了木馬。即：微軟漏洞（攻擊入口）和 SolarWinds 供應鏈攻擊（攻擊目標）可以被入侵者結合，用來實現目的。Volexity 表示他們無法確認攻擊者的身分。

同樣在 2020 年，微軟發現有攻擊者試圖使用微軟 Azure 基礎設施非法存取 CrowdStrike 的電子信箱。由於 CrowdStrike 出於安全考慮不使用 Office365 處理郵件，這次攻擊失敗了。

另外，在 2020 年 10 月前後，微軟威脅情報中心報告稱，一個明顯受到他國協助的攻擊者利用微軟 NetLogon 協定中的「ZeroLogon」漏洞進行攻擊。2020 年 10 月 22 日，CISA 收到報告並向各州、地方、區縣政府發出警告，要求他們尋找自身網路是否有遭到入侵的跡象，並指示他們如果受到威脅就重建網路。2020 年 12 月，VirusTotal 和 The Intercept 接連發現德州奧斯汀市政府遭到入侵跡象。

### SolarWinds 漏洞利用

2020 年 12 月 8 日，網路安全公司火眼（FireEye）稱其使用的紅方工具被它國政府支援的駭客組織竊取，其懷疑物件是俄羅斯對外情報局（SVR）。火眼公司表示，在調查其自身遭到的入侵和工具盜竊案過程中，他們意外發現了 SolarWinds 供應鏈攻擊。

FireEye 在發現入侵行為後將其報告給負責美國網路安全防護的美國國家安全局（NSA）。在接獲火眼報告前，NSA 對入侵毫不知情，而 NSA 也是 SolarWinds 的客戶。

幾天後，也就是 12 月 13 日，財政部和商務部遭入侵被公開，訊息人士稱這與火眼系統遭到入侵相關。12 月 15 日，火眼公司證實，攻擊財政部等部門與火眼的媒介均為植入 SolarWinds Orion 軟體升級的木馬程式。

安全部門把注意力轉移到了 Orion 軟體升級上。發現被感染的版本是發布於 2020 年 3 月至 2020 年 6 月間發布的 2019.4 至 2020.2.1HF1。火眼將這款惡意軟體命名為 SUNBURST。微軟稱之為 Solorigate。攻擊者用來插入 SUNBURST 到 Orion 更新的工具後來被網路安全公司 CrowdStrike 分離，他們稱之為 SUNSPOT。

DomainTools 和 ReversingLabs 分別使用 DNS 資料和 Orion 二進位逆向工程進行了後續分析，為公眾揭示了攻擊的更多細節。

### VMware 漏洞利用

在 2020 年 12 月 3 日之前的一段時間，NSA 發現並通知 VMware 其產品 VMware Access 和 VMware 身分管理器中存在漏洞。後者 2020 年 12 月 3 日發布了修補程式。2020 年 12 月 7 日，NSA 宣稱由於俄羅斯政府支援的攻擊者正在積極利用這些漏洞，使用者應當及時安裝修補程式。

## 責任

### 調查結論

SolarWinds 認為是外國勢力向 Orion 插入了惡意軟體。俄羅斯支援的駭客組織被懷疑是幕後黑手。美國官員表示，具體來講責任方可能是 SVR 或 Cozy Bear（也稱為 APT29）。FireEye 將攻擊者命名為 UNC2452；事故應對公司 Volexity 稱他們為「暗暈（Dark Halo）」。2020 年 12 月 23 日，FireEye 執行長表示，俄羅斯是最有可能的罪魁禍首，這些攻擊的手法與 SVR 慣用方法「非常相似」。

2021 年 1 月，網路安全公司卡巴斯基實驗室稱 SUNBURST 類似於 Kazuar。據信，與愛沙尼亞情報部門有關聯的 APT 團體 Turla 創造了 Kazuar，而愛沙尼亞情報部門與俄羅斯聯邦安全域有聯絡。

FBI 的調查人員發現，疑似來自中國的駭客利用 SolarWinds 產品中的漏洞入侵美國政府機構（如農業部下轄國家財務中心）的電腦，可能危及數千名政府雇員的資料。駭客利用 Orion 代碼中的另一個漏洞幫助他們控制受害者的系統，因此這次入侵被認為獨立於前述攻擊行動。美國前聯邦首席資訊安全官格雷戈里・圖希爾（Gregory Touhill）將兩個駭客團體先後瞄準同一軟體的事實，比作自行車比賽中的「破風」行為。

### 美國政府

2020 年 10 月 22 日，CISA 和 FBI 確認微軟 ZeroLogin 攻擊者為外國政府支援的 APT 組織 Berserk Bear，它被認為是俄羅斯聯邦安全域的一部分。

12 月 18 日，時任美國國務卿邁克・彭佩奧說，俄羅斯「顯然」對這次網路攻擊負有責任。

12 月 19 日，時任美國總統唐納・川普首次公開發表聲明，暗示可能是中國而不是俄羅斯對此負責，但沒有證據。同一天，參議院情報委員會（Senate Intelligence Committee）代理主席、共和黨參議員馬爾科・盧比奧表示：「越來越清楚的是，俄羅斯情報部門對我國實施了歷史上最嚴重的網路入侵」

12 月 20 日，民主黨參議員馬克・沃納在接受情報官員的簡報時說：「所有跡象都指向俄羅斯。」

2020 年 12 月 21 日，司法部長威廉・巴爾表示，他同意彭佩奧認定的網路駭客來源，並且稱「肯定是俄羅斯人」，這與川普的說法相矛盾。

2021 年 1 月 5 日，CISA、FBI、NSA 和美國國家情報總監辦公室聲稱，他們認為俄羅斯是最有可能的罪魁禍首。

### 他國政府表態

俄羅斯否認與此事有關。

2020 年 12 月 21 日，中國外交部新聞發言人汪文斌答法新社記者問時表示：「美方在網路攻擊問題上的有關指責是不嚴肅的，而且自相矛盾。美方對中方的相關指責是出於政治目的，意在抹黑栽贓中國。中方對此表示堅決反對。長期以來，美國把網路安全問題政治化，在沒有確鑿證據的情況下，不斷散布虛假資訊，向中國潑髒水，企圖損毀中國形象，誤導國際社會。這樣的言行與美方的國際地位完全不符。希望美方在網路安全問題上能採取更加負責任的態度。」

## 影響

美國財政部和商務部發現的這些漏洞立即引發了人們對其他部門亦被入侵的擔憂。進一步的調查證明這些擔憂是有根據的。不久，又有其他聯邦部門被發現遭到入侵。

SolarWinds 表示，在其 30 萬客戶中，有 33,000 客戶使用 Orion。其中，大約有 18000 名使用者安裝了被安插後門的版本。

美國疾病控制和預防中心、司法部和一些公用事業公司已經下載安裝具有後門的版本。其他 SolarWinds 的知名客戶包括洛斯阿拉莫斯國家實驗室、波音和大多數財富 500 強企業，但它們是否使用 Orion 尚不明確。據報導，SolarWinds 的海外客戶包括英國內政部、國民保健署和英國訊號情報處；北大西洋公約組織（NATO） ；歐洲議會；可能還有阿斯利康公司。FireEye 表示，北美、歐洲、亞洲和中東地區更多的政府、諮詢、技術、電信和採掘實體也可能受到影響。

僅僅安裝有後門的 Orion 並不一定足以導致資料泄露。資料泄露調查因以下因素而變得複雜：

1. 攻擊者可能移除了入侵留下的證據，使調查人員無法得知組織的資料是否泄露；
2. 由於組織主幹網路可能遭到入侵，相關組織可能啟用了安全的備用網路並封鎖主幹網路的資料，阻止了攻擊者竊取資料；
3. Orion 本身就是一個網路監視工具，沒有這個工具，使用者對其網路的控制能力會降低，因而無法感知入侵者的存在。

截至 2020 年 12 月中旬，美國仍在追查資料泄露事件中被盜的資料並確定這些資料可能的用途。評論人士表示，襲擊中竊取的資訊將在未來幾年增加犯罪者的影響力。這些資料可能的用途包括攻擊像 CIA 和 NSA 這樣的硬目標，或者通過勒索招募間諜。網路衝突專家、柏林洪堡大學教授托馬斯・里德說：「被盜資料將有無數的用途」，他補充道：「所採集的資料量很可能是《月光迷宮》中的資料量的許多倍，如果把資料列印出來堆到一起，會比華盛頓紀念碑高得多。」

即使在沒有發生資料泄露的地方，此次事件影響也是顯著的。CISA 建議在重建前，將所有暴露在被入侵網路中的裝置從可信來源列表中除去；而所有暴露在 SolarWinds 軟體中的憑證都應被視為受到破壞並重設。安全公司還建議搜尋紀錄檔檔案，找出具體的危害。

然而，攻擊者似乎刪除或篡改了紀錄檔記錄，並可能修改了網路或系統設定。前國土安全部顧問托馬斯・P・博塞特警告說，完全消除攻擊者給美國帶來的影響可能需要數年時間，使他們能夠在此期間繼續監視、摧毀或篡改資料。哈佛大學的布魯斯・施耐爾和紐約大學學者、空軍網路學院的創始院長潘諾認為受影響的網路可能需要被整體更換。

通過盜竊軟體金鑰，俄羅斯駭客能夠進入美國財政部最進階別官員使用的電子郵件系統。由於財政部在做出影響市場、經濟制裁等決定以及與美聯儲的互動中扮演著重要角色，儘管這個系統雖然並不機密性，但卻是高度敏感的。

### 遭受資料泄露影響的實體清單

#### 美國聯邦政府

#### 美國地方政府

#### 私有組織

## 對調查的回應

### 高新技術企業的回應

2020 年 12 月 8 日，在其他組織被攻破之前，FireEye 公布了針對紅隊工具被盜的對策。

2020 年 12 月 15 日，微軟宣布 SUNBURST 只影響使用 Windows 的電腦，從 12 月 16 日起相關惡意軟體已加入到微軟的資料庫中，Microsoft Denfender 將能夠檢測並隔離 SUNBURST。

GoDaddy 將攻擊中使用的殭屍網路控制器的所有權交給了微軟，使微軟能夠啟用 SUNBURST 的自毀程式，並協助尋找受害者。

2020 年 12 月 14 日，幾家美國公用事業公司的執行長召開會議，討論這些攻擊給電網帶來的風險。2020 年 12 月 22 日，美國北美電力可靠度協會要求電力公司報告他們接觸太陽風軟體的程度。

在駭客攻擊後 SolarWinds 並未公布受影響客戶列表，且根據網路安全公司 GreyNoise Intelligence 訊息，截至 12 月 15 日，SolarWinds 仍然沒有從其發布伺服器上刪除受感染的軟體更新。

2021 年 1 月 5 日左右，SolarWinds 的投資者以該公司產品缺乏安全性導致股票價格下跌為由對該公司提起集體訴訟。不久之後，SolarWinds 僱傭了前 CISA 部長開設的一家新的網路安全公司。

Linux 基金會指出，如果 Orion 是開源的，使用者就能夠自行審查該軟體及其流通版本，提高惡意軟體被發現的概率。

### 美國政府表態

2020 年 12 月 18 日，時任國務卿彭佩奧表示，此次事件的一些細節將會保密。

#### 美國國家安全機構表態

2020 年 12 月 12 日，美國國家安全委員會（NSC）為討論事件對聯邦組織的破壞在白宮召開會議。2020 年 12 月 13 日，CISA 向聯邦機構發布緊急指令，要求機構即使降低其對自身網路的監視能力，也要關閉 SolarWinds 軟體來減少被入侵的風險。

2020 年 12 月 14 日，美國商務部證實其已經要求 CISA 和 FBI 就被入侵一事進行調查。NSC 啟動了歐巴馬時代的總統政策指令 41，並召集了網路反應小組。美國網路司令部威脅稱，調查結果出爐後，美國會迅速報復攻擊者。

聯邦能源管理委員會（FERC）幫助彌補了 CISA 的人員短缺。FBI、CISA 和國家情報總監辦公室（ODNI）成立了一個網路統一協調小組（UCG）來協調他們的努力。

2020 年 12 月 24 日，CISA 表示，除了聯邦機構和已曝出的私人組織，一些州和地方政府網路也受到了襲擊的影響，但沒有提供更多細節。

#### 美國國會表態

參議院軍事委員會的網路安全小組委員會聽取了國防部官員的簡報。眾議院國土安全委員會和眾議院監督和改革委員會啟動了一項調查。參議院情報委員會代理主席馬爾科・盧比奧說，在確定肇事者的身分之後美國必須進行報復。該委員會副主席馬克・華納（Mark Warner）批評川普總統沒有正面回應這起駭客事件。

參議員羅恩・懷登呼籲對聯邦機構使用的軟體進行強制性安全審查。

2020 年 12 月 22 日，在美國財政部長史蒂文・努欽（Steven Mnuchin）告訴記者，他「完全了解這件事」之後，微軟向參議院財政委員會（Senate Finance Committee）通報稱駭客侵入了財政部進階官員辦公的財政部部門辦公室（department office）的系統，數十個財政部電子郵件帳戶被駭客竊取控制。參議員威登表示，簡報顯示財政部「仍不清楚駭客的所有行動，或者確切地說，哪些財政部資訊被盜」。

2020 年 12 月 23 日，參議員鮑勃・梅內德斯要求國務院公布資料泄露情況，參議員理察・布盧門撒爾也向退伍軍人管理局提出了同樣的要求。

#### 美國司法機構表態

美國法院行政辦公室與國土安全部一起對美國司法機構的案件管理 / 電子案件檔案系統（CM/ECF）進行了評估。CM/ECF 將停止線上接收高敏法院檔案，這些檔案只能以紙質材料形式或通過設有網閘的裝置歸檔。

#### 時任總統川普表態

事件曝光後，唐納・川普總統幾天沒有對此事發表評論。參議員米特・羅姆尼譴責稱川普「沉默且不作為」。12 月 19 日，川普首次公開談論了這些攻擊：他淡化了這次駭客攻擊，認為媒體誇大了事件的嚴重性，稱「一切都在控制之中」。川普在沒有證據的情況下提出可能是中國而不是俄羅斯應對這次攻擊負責。

《路透社》2021 年 2 月 2 日報導，5 名知情人士透露，美國聯邦調查局 FBI 調查員發現，來自中國的駭客，利用 SolarWinds 太陽風的軟體漏洞，侵入美國政府電腦，導致數千名政府雇員資料可能外洩；駭客所用的電腦系統和入侵工具，與由政權支援的中國網路間諜所部署的一樣。

《紐約時報》報導稱，川普在沒有證據的情況下推測稱，這次攻擊可能還涉及對投票機的「攻擊」。川普的說法遭到了 CISA 前主管克里斯・克雷布斯的反駁，他指出川普的說法是不可能的。曾主導通俄門案的民主黨籍眾議院情報委員會（House Intelligence Committee）主席亞當・希夫（Adam Schiff）稱川普的言論是「對我們國家安全的可恥背叛」，「聽起來像是克里姆林宮給他寫的稿子」。

前國土安全顧問托馬斯・博塞特評論川普言論稱：「川普總統即將拋棄遭受俄羅斯侵害的聯邦政府，或許還有大量主要行業。」他還指出，為了減輕攻擊造成的破壞，需要國會採取行動，包括通過《國防授權法案》採取行動。 The Verge 政策編輯拉塞爾・布蘭多姆（Russell Brandom）稱美國對此次駭客攻擊準備不足，並批評川普一貫「將聯邦網路安全工作視為一個更具黨派色彩的戰場，之所以對網路安全感興趣是因為它們作為政治大棒的價值」。布蘭多姆寫道，「這不是管理世界上最強大的情報機構的方式。」弗雷德・卡普蘭（Fred Kaplan）在《Slate》雜誌上撰文批評川普宣揚虛假的選舉欺詐指控，同時「忽視了真正的網路安全危機」，他寫道：「儘管川普對那些虛構的駭客竊取了選舉結果大發牢騷，但他對國家真正的網路安全明顯不感興趣。」 《時尚先生》評論員查爾斯・皮爾斯批評川普政府「玩忽職守」，稱川普是「不老實、無能的混亂代理人」

#### 總統拜登表態

時任當選總統喬・拜登說：「一個好的防禦系統是不夠的，我們首先需要擾亂敵人的計劃，阻止敵人的網路攻擊。 面對我們國家遭受的網路攻擊，我不會袖手旁觀。」拜登說，他已經指示過渡團隊研究此次攻擊事件，將把網路安全作為（下一屆）各級政府的首要任務，並將找出、懲罰攻擊者。 拜登即將上任的幕僚長羅恩・克萊因說，拜登政府對駭客行為的回應將不僅僅是制裁。

2020 年 12 月 22 日，拜登表示「沒有看到任何能表明局勢得到控制的證據」，並稱他的過渡團隊仍然無法從川普政府獲得此次襲擊的部分簡報。

2021 年 1 月，拜登任命了兩個安全相關的白宮職位：國土安全顧問伊莉莎白・舍伍德 - 蘭德爾（Elizabeth Sherwood-Randall）和負責網路和新興技術的副國家安全顧問安妮・紐伯格（Anne Neuberger）。

### 世界其他地區回應

北約表示「為確定和減輕我們網路的任何潛在風險，北約正在評估形勢。」12 月 18 日，英國國家網路安全中心表示他們仍在確定這些攻擊對英國的影響。英國和愛爾蘭的網路安全機構發布了針對 SolarWinds 客戶的警報。

2020 年 12 月 23 日，英國國家隱私權機構「資訊專員辦公室」要求英國組織立即檢查他們是否受到了影響。

2020 年 12 月 24 日，加拿大網路安全中心要求加拿大的 SolarWinds Orion 使用者檢查系統是否受到攻擊。

### 事件定性：網路戰爭行為還是網路間諜行為？

這次攻擊引發了一場辯論：這次駭客攻擊應該被視為網路間諜活動還是網路戰爭行為？

大多數現任和前任美國官員認為，2020 年的此次駭客攻擊是「令人震驚的間諜行為」，但由於攻擊者沒有破壞或篡改行為，也沒有造成對基礎設施（如對電網、電信網路等）的實際損害，所以不是網路戰爭。大西洋理事會、哥倫比亞薩爾茨曼研究所的埃里卡・博格哈德和胡佛協會、海軍戰爭學院的傑奎琳・施耐德認為，這次入侵是一種間諜行為，可以用「逮捕、外交或反間諜」來回應，而且尚未被證明是一次在法律上允許美國以武力回應的網路戰爭行為。法學教授傑克・戈德史密斯寫道，這次駭客攻擊是一次具有破壞性的網路間諜行為，但「並不違反國際法或國際規範」，並寫道，「由於美國自身的做法，美國政府歷來承認外國政府在美國政府網路中從事網路間諜活動的合法性。」 法學教授麥可・施密特對此參照了《塔林手冊》的例子以表示贊同。

相比之下，微軟總裁布拉德・史密斯將此次駭客攻擊稱為網路戰爭，稱「即使是在數字時代，這也不是『像往常一樣的間諜活動』。因為它『不僅針對特定目標，而且是對全球關鍵網路基礎設施可靠性的攻擊』」美國參議員理察・杜賓稱此次襲擊相當於一場宣戰。

### 關於美國可能的報復行為的辯論

為《連線》雜誌撰稿的博格哈德和施耐德認為，美國「應該繼續建立並依靠戰略威懾來說服各國不要將其收集的網路情報武器化」。他們還表示，由於威懾可能無法有效阻止威脅行為者的網路間諜企圖，美國還應該通過加強網路防禦、更好的資訊共享和「前沿防禦」（減少俄羅斯和中國的攻擊性網路能力）等方法，降低網路間諜活動的成功率。

戈德史密斯在為《_The Dispatch_》撰寫的文章中寫道：防禦和威懾網路入侵戰略的失敗，應該促使美國考慮採取「相互克制」戰略。「即美國減少在外國網路中的某些（間諜）活動，來換取對手在美國網路中的寬容。」

網路安全作家布魯斯・施奈爾反對報復或增強攻擊能力，他建議採取一種以防禦為主導的戰略，並建議簽署《網路空間信任與安全巴黎倡議》或參與全球網路空間穩定委員會（Global Commission on the Stability of Cyberspace）。

為《紐約時報》撰文時，前中央情報局特工、哈佛大學貝爾弗科學與國際事務中心情報專案主任保羅・科爾貝（Paul Kolbe）贊同了施奈爾的呼籲，要求美國改進網路防禦和國際協定。他還指出，美國也在參與針對其它國家的類似行動，他稱這是一場相互的網路衝突。

在《Slate》雜誌上，弗雷德・卡普蘭發表評論稱，自 1967 年以來，導致這種電腦網路入侵的結構性問題已經為公眾所知，而且歷屆美國政府都未能實施相關專家反覆要求的結構性防禦措施。他指出，對間諜活動的過激反應與美國利益相左，而加強防禦並明確應對網路衝突政策將是更有成效的策略。

## 另見

* EternalBlue 漏洞
* 美國聯邦人事管理據資料外泄案
* 安全困境
* 影子經紀人

## 參考資料