当今世界，随着数字化、自动化、技术应用、软件定义流程（SDN、SDR 等，以及一般的 SDx）、新应用/应用程序/API 的开发、云计算的日益普及以及物联网设备的广泛应用，我们发现代码中普遍存在网络安全措施不足、过时甚至缺失的问题。其结果是漏洞数量不断增加，使得网络攻击者更容易利用各种 IT/OT 目标，而更糟糕的是，这种趋势似乎无法遏制。威胁日益增长的领域包括：Web 应用程序、移动应用/API、云服务、生物识别技术、物联网环境、数据库和应用中心、区块链基础设施、触控/用户友好型界面、API、CAD、CRM、HR ERP、DNS 和 Web 服务器等关键任务服务器、关键 IT/OT 应用以及工业自动化生态系统（OT/ICS/SCADA/CPS）。网络安全早已不再是可选项，而是最大限度减少或消除网络攻击的必要措施。国防情报局 (DAIM) 具备主动防御能力，能够抵御所有类型的网络攻击行动、行为和情况（包括试图破坏、瘫痪、摧毁、操纵、损害、勒索、监视、恐吓、散布虚假信息、劫持等行为），并提供最大限度的预判。DAIM 能够融入任何环境，完全隐藏自身存在并保护自身安全；它随时准备执行各种操作，以禁用/阻止/取消所有类型的静默、隐蔽、潜伏攻击模式，取消/阻止零日入侵、跟踪器（作为反跟踪措施）、间谍活动、数据窃取、拒绝服务/分布式拒绝服务攻击、恶意行为、非法下载和安装、隐蔽加密和擦除等。.
指那些容易引发网络攻击的
弱点、行为和特殊之处。实际上，漏洞指的是资产、硬件、固件、软件、人员、协议、计划、策略、法律、方法、技术等方面的弱点、缺陷、漏洞、裂缝、错误、干扰、异常、故障、代码断裂、不足、未经验证的信任、未能安全更新、失误、未能执行DevSecOps、问题、疏忽、虚拟机间泄漏等等。动态漏洞是指网络配置错误，包括零日漏洞和已知漏洞。漏洞可能出现在任何地方（陆地、海洋、空中、太空和网络空间），并且可能被识别。
（1）在文件系统层面。使用不安全的临时文件、缓冲区溢出、TOCTOU 漏洞（“竞争条件”）、操纵易受攻击的路径。.
（2）在数据/元数据输入层面。使用受污染、受感染的数据，基于带有恶意宏的 Office 文档的恶意输入，使用网络钓鱼邮件，使用受污染的应用程序/APP，使用“点击劫持”，使用中间人攻击，使用“请求”等。.
（3）网络层面。网络连接操作顺序错误。信息传输和存储过程中未使用加密（多层加密）或身份验证（数字签名、哈希函数、PUF 等）。使用受污染的数据/元数据。使用被入侵的路由器/网关。.
（4）在硬件安全模块（HSM）层面。例如，使用易受攻击的伪随机数生成器（PRNG）来生成序列号等；使用基于固定种子的确定性随机输出；使用在释放前未彻底清理的敏感堆内存。.
（5）第三方软件层面。使用受污染的数据/元数据/代码/固件。从可由网络攻击者/恶意软件控制的相对路径执行“二进制文件/库加载”。使用存在漏洞的应用程序和应用程序接口（APP）和应用程序接口（API），这些漏洞允许攻击者控制其所在的系统，以及使用受感染的应用程序/应用程序接口。.
（6）在传感器层面。使用受污染的数据/元数据。联网/自动驾驶车辆中受污染的传感器数据会导致“幽灵”现象，即“看到”不存在的障碍物或“看不到”实际存在的障碍物，从而导致悲剧/事故。.
（7）在软件代码层面。这指的是存在缓冲区溢出漏洞的代码。缓冲区溢出有四种类型：栈溢出、堆溢出、整数溢出和格式化字符串溢出，它们会在内存结构层面造成溢出。例如：`strcpy(dest_little_buffer, scr_big_input_buffer)`；Morris蠕虫恶意软件使用的另一个例子是：`gets(buffer)`。
（8）在人工智能系统层面。用受污染的数据和虚假信息训练和注入学习信息，以迷惑系统。.
(9) 关于密码学缺陷问题（对称/非对称加密机制、数字签名、哈希、伪随机数生成器 (PRNG)、零密钥交换 (ZK)、OT、SPMC、秘密共享等）：使用明文传输敏感信息（敏感数据缺乏加密或使用易被破解的加密算法）、使用 HTTP 而非 HTTPS、使用已被破解或存在风险的加密算法（例如 MD5）、使用缺陷/易被破解的算法、使用比特数较少的弱密钥、使用易受攻击的密钥管理（例如在不安全的环境中以明文方式工作、使用不安全的云平台等）。在后量子时代，应使用具有不同、非常强大的算法和超长密钥的后量子加密和/或多层加密。.
（10）在区块链及其所有衍生品层面。区块链技术存在大量漏洞，并且在我们的生活中被越来越多地使用：它被用于加密货币，例如比特币/BTC、以太坊、Terra/Luna等；用于智能合约；用于合成NFT（非同质化代币）；用于元宇宙和沉浸式通道中的支付；用于具有“哇”效应的数字内容（通过赠送加密货币和股份来制造惊喜、吸引和激发客户，从而创造特殊体验并影响客户）；用于身份管理等等。.
（11）在硬件层面。我们越来越依赖其他国家提供的芯片，恶意、变态的功能可能被集成到供应链中，隐藏在潜在状态，等待远程激活。（12）在访问控制层面。以及其所有组成部分：身份识别、认证、授权、身份和账户管理等。.
（13）身份验证不足。由于诸如绕过身份验证、未使用双向身份验证、未在单点登录中使用多因素身份验证、关键功能身份验证丢失、通道可被非端点访问（中间人攻击）、生物识别技术的危险使用等问题造成的。.
（14）输入验证不足。由于缓冲区溢出、缺乏边界检查、跨站脚本攻击 (CSS)、路径遍历和命令注入（SQL 注入、数据库注入等）等原因造成的。（15）凭证管理不善。由于使用硬编码凭证和凭证保护不足（以明文形式存储密码、与云端交互时凭证传输不安全以及密码管理器存在漏洞）等原因造成的。.
（16）在代码质量差的指标层面。例如：使用“空指针解引用”、使用潜在危险的函数、不应用 DevSecOps 以及不进行代码审计等。.
（17）身份验证数据验证不足。这包括下载未进行完整性检查的代码、缺乏完整性检查支持、跨站请求伪造 (CSRF) 等。（18）权限、特权和访问控制缺陷。这包括以不必要的过高权限运行、使用错误的默认权限、访问控制/授权不当等。.
（19）软件安全配置和维护不善。这包括使用不良/不适当的软件配置，采用开发过程中未使用的安全功能/选项，使用通过“调试”信息泄露的信息，采用糟糕的补丁管理，使用未将补丁集成到 IT/OT/CPS/ICS/IoT 软件中的旧版本第三方应用程序，以及在创建应用程序、APP、API 等时使用来自被入侵的受信任实体的编译例程。.
(20) 在联网/自动驾驶车辆（轿车、厢式货车、卡车、公共汽车、房车、四轮摩托车、车队、坦克等）层面，存在以下漏洞：代码更新、硬件/代码和系统漏洞，可能导致未经授权的远程访问 CAN（控制器局域网）总线，进而访问 ECU（电子控制单元；例如，用于控制安全气囊、发动机、转向系统、制动系统、变速器等的 ECU）和紧急呼叫系统（操纵其功能）。此外，还可能存在未经授权的远程访问“无钥匙”系统的可能性，从而实现解锁和发动机启动/停止。ADAS（自动驾驶辅助系统）/ADS（自动驾驶系统）在自动泊车/驶出泊车和未经授权驾驶方面存在缺陷（可能导致创建远程控制的“僵尸”车辆），从而实现远程驾驶、加速和速度控制。当使用 ADAS 在悬崖附近泊车时，网络攻击可能导致车辆坠落悬崖。车载信息娱乐系统（AM、FM、DAB/数字收音机、USB、DVD、SDR 等）故障。未经授权访问 USB 和 OBD-II（车载诊断系统 II）等端口。篡改胎压监测系统 (TPMS) 造成故障。自动驾驶系统错误导致非法激活前大灯、刹车、转向等功能。远程操控可禁用“哨兵模式”系统（该系统用于检测车辆周围潜在的可疑活动），从而便于盗窃。蓝牙、V2V、V2I、V2X、4G、5G、LoRaWAN、Sigfox、ZigBee、Wi-Fi、GPS、卫星电话等系统存在漏洞。传感器/摄像头/天线系统（超声波、雷达、声纳、激光雷达 (LIDAR)、可见光、X 射线、红外线、激光等）故障。电磁兼容性漏洞使网络攻击者能够操纵干扰。这些漏洞使得攻击者能够远程控制车辆的所有功能，例如启动、驾驶、加速、锁定方向盘、展开安全气囊、开关车窗/车门以及将暖气开到最大。此外，攻击者还可以篡改车辆的燃油量或电量，导致车辆故障；监控和操纵地理位置；以及对车内所有乘员进行视觉和听觉监视等等。.
网络攻击中使用的策略、行为、技术和机制。
“漏洞/网络攻击向量”（即缺陷、漏洞、瑕疵、弱点、错误等）与利用这些漏洞进行网络攻击、感染和破坏系统的“攻击手段”之间存在着密切联系。例如，名为“Win32/Nimda.A@mm”的蠕虫状恶意软件利用“Web 服务器文件夹遍历”漏洞感染 Microsoft IIS（Internet 信息服务）Web 服务器，并利用“MIME 标头”漏洞在受害者阅读或预览受感染的电子邮件时执行攻击。“网络攻击面”是指网络攻击可及的区域；它们由一系列网络攻击向量/漏洞组成。“加固”是指一系列能够减少甚至在某些情况下消除网络攻击面的技术和方法。
本地和远程网络攻击中使用的一些机制和技术包括：
（1）滥用功能。例如，“系统调用”。.
（2）欺骗。欺骗有多种类型：（i）“内容欺骗”（使用“配置文件搜索路径”；伪造数据源；伪造校验和/CRC；伪造“UDDI/ebXML消息”）。（ii）身份欺骗（中间人攻击（MITM）、“主体欺骗”）；创建恶意客户端；为恶意P2P合成“对等实体”；操纵客户端-服务器协议（例如，对身份验证协议执行反射网络攻击）；“XML路由绕道”网络攻击；“外部实体”网络攻击；网络钓鱼（基于社会工程学，例如鱼叉式网络钓鱼、短信钓鱼、鲸鱼式网络钓鱼、移动网络钓鱼或群体网络钓鱼等）；ARP欺骗（伪造MAC/L2和IP/L3地址之间的关系）。 DNS投毒或“域名劫持”（伪造IP/L3地址和URL/L5之间的关系）；窃取Web会话cookie；使用跟踪器进行跟踪。.
（3）利用身份验证漏洞。例如，由于身份验证机制存在缺陷（例如，使用低熵密码、不包含限制重试次数的机制、生物特征信息容易通过应用程序和 API 中的漏洞被伪造等），而未使用双向或多因素身份验证（MFA）。.
（4）授权漏洞利用。攻击者通过映射路径并访问授权框架/访问控制列表/能力列表/访问控制矩阵未充分限制的功能来实现攻击。例如，由于存在漏洞，授权漏洞可能被利用。.
（5）尝试耗尽/减少资源。例如，利用“资源耗尽”实现拒绝服务攻击。通过泛洪攻击和不受控制的资源分配来耗尽资源。利用信息泄露和/或“XML解析器”网络攻击来耗尽资源。.
（6）利用权限和信任。例如，通过以下方式：（i）权限提升。这包括直接访问可执行文件或利用用户提供的配置文件来执行提升权限的命令。对于“持久化”策略，可以使用“新服务”技术等。（ii）劫持执行线程（通过实现对系统例程（例如 AWT 队列）的回调，或捕获特权代码块抛出的异常/信号）。（iii）篡改代码签名/身份验证机制以获取权限（通过在允许的沙箱环境中调用其他语言的签名代码，或使用 URL/代码库/GAC（源代码）来使沙箱相信其拥有权限，或从生产环境中获取签名密钥和恶意签名代码）。（iv）攻击写入特权操作系统资源的程序。在“利用客户端信任”方面，我们可以识别出：（i）中间人攻击（MITM）。网络攻击者会把自己置于发送方和接收方之间，冒充双方。(ii) 创建恶意/流氓客户端。(iii) 操纵客户端-服务器协议（例如，对身份验证协议进行反射攻击）。(iv) 捕获敏感客户端数据（通过提取嵌入在客户端分发包（厚分发包或薄分发包）中的数据）；或通过提取嵌入在客户端分发包（厚分发包或薄分发包）中的敏感缓存中的数据；(v) 移除重要的客户端功能（绕过授权检查（程序安全，“缓存过滤”），或移除过滤器（输入和输出过滤器，“数据掩码”），或通过删除/修改“现金”和“递减”来移除/绕过逻辑“钱包”）。.
（7）注入式网络攻击。例如，利用数据平面将内容注入控制平面（即注入）。有多种方法：“蓝盒攻击”（模拟带内开关信号）；“参数注入”（注入参数，即用户提供的变量传递给“文件系统调用”）；资源注入。注入类型多种多样：本地/远程代码注入、命令注入、HTML注入、PHP代码注入、PHP对象注入、本地/远程shell命令注入、SQL数据库注入、XML注入、操作系统命令注入、脚本注入、外部实体注入等等。.
（8）针对数据结构的网络攻击。恶意行为发生在信息结构层面。.
（9）涉及数据窃取/泄露的网络攻击。这些攻击可用于间谍活动、信息盗窃、勒索等。DAIM 集成了数据防泄漏 (DLP) 技术来阻止这些恶意行为。.
（10）资源操纵型网络攻击。这种攻击涉及修改组件。.
（11）基于协议操纵的网络攻击。这包括恶意攻击所有类型的客户端/服务器协议、P2P协议等。.
（12）“时间和状态”网络攻击。这涉及非法更改时间/状态值。.
（13）涉及篡改信息/数据/元数据的网络攻击。这包括以未经授权的方式修改信息/代码。.
（14）涉及操纵事实/信息（或虚假信息）的网络攻击。这包括混淆视听、改变现实、转移注意力、歪曲事实、制造分裂、散布恐慌、操纵投票等。.
（15）信息流网络攻击。例如，发送虚假信息、非法重复信息、以中间人攻击方式篡改传输中的信息。.
（16）涉及系统滥用的网络攻击。这包括将恶意代码渗透到系统中以实施网络攻击。.
（17）涉及篡改网页/网站的网络攻击。这包括使用合成媒体和深度伪造技术更改内容（文本/元数据、图像、音频、视频、播客等），以损害声誉、欺凌他人、危害企业、散布虚假信息等。此外，还包括植入网络攻击/恶意软件代码，以大规模传播感染。.
（18）会话劫持网络攻击。利用“cookie窃取”，诱骗受害者在电子邮件、“网上银行”等应用中默认保持会话打开状态。.
（19）拒绝服务（DoS）和分布式拒绝服务（DDoS）网络攻击。这些攻击旨在降低或完全阻止授权用户/实体以既定速度访问其资源。其手段包括使系统资源过载、用垃圾数据淹没通信信道等。.
（20）涉及未经授权访问服务、应用程序、网站、云等的网络攻击。.
（21）针对互联网基础设施的网络攻击。这包括针对DNS、ARP、路由器中的动态路由协议（如BGP）等的网络攻击。.
（22）渗透安全流程和协议。例如，使用中间人攻击。（23）密码学破解。这包括对薄弱的密码算法（例如加密、数字签名、MD5 等哈希算法；对短加密密钥等）进行网络攻击，以及对糟糕的密码密钥管理等进行网络攻击。使用量子计算等进行网络攻击。.
（24）利用逆向工程/逆向技术（反编译并从解码可执行文件中获得源代码）、社会工程（诱骗用户执行危险操作，例如运行附件、使用“鱼叉式网络钓鱼链接/附件/按钮/图标”、扫描受感染的二维码、访问恶意网站、在受污染的公共充电器上为手机/电脑/车辆电池充电等）、窃取身份（未加密和数字签名、未使用身份和访问管理等）进行网络攻击。.
（25）利用“初始访问”策略的网络攻击。这种攻击采用“鱼叉式网络钓鱼链接”技术或“利用可移动介质（例如U盘）进行复制”技术。（26）利用权限提升策略的网络攻击。这种攻击采用“新服务”技术。.
（27）利用“C&C/命令与控制”策略的网络攻击。采用“常用端口”技术。.
（28）利用“横向移动”策略的网络攻击。采用“利用可移动介质进行复制”技术。.
（29）利用“持久性”策略的网络攻击。所采用的技术包括“空值升级”、“新服务”、“内存损坏”、“整数溢出”、“基于栈的缓冲区溢出”、“基于头部的缓冲区溢出”、“本地/远程代码/命令执行”等。.
最后考虑因素。
DAIM主动应用分布式冗余人工智能、策略、行为、机制、操作、战术、技术和程序（TTP）等，在各个层面防御和保护现有资产，抵御所有类型的恶意网络攻击（已知和未知或零日漏洞、隐蔽的、潜意识的、隐藏的、伪装的、匿名化的等），这些攻击可能来自任何位置（云雾边缘计算、物联网环境和系统、OT环境（SCADA、CPS、ICS、PLC等）、IT环境（数据库、ERP、CRM等）、恶意人工智能环境、僵尸网络、深层暗网、隐藏的沉浸式元宇宙、P2P、C/S、存在漏洞和零日漏洞的技术环境、移动和卫星环境（2G、3G、4G、5G、6G、LoRaWAN、WiFi，直至最新版本））。 DAIM 可识别来自任何时间系统（过去、现在、未来）和任何物理位置（本地、远程，例如供应链、互联网服务提供商、室外、室内、卫星、潜艇、飞机、无人机等，甚至在 Tor 等复杂的匿名代理网络之后）的零日攻击和已知网络攻击模型，并利用多维剧本机制进行防御。DAIM 持续从各个角度进行监控，并通过拦截等方式提前主动响应，管理嵌套的身份验证/授权，应用零日攻击、DMZ、VPN、沙箱等网络安全远程访问技术，消除/阻止攻击面，应用网络安全配置和补丁管理，安全地实施下一代防火墙 (NGFW)、DevSecOps、数据丢失防护 (DLP)、应用程序/应用程序/应用程序接口 (APP/API) 白名单，并利用零日攻击、零知识证明 (ZK)、静态和动态安全机制构建和生成可防御的环境。审计、匿名化/模仿等。Hornetsecurity 公司在其威胁报告中指出了这一点。2021/2022 年网络安全报告显示，40% 的入站电子邮件构成重要的网络攻击载体；附件、二维码、链接、按钮、恶意/损坏的图标、网络钓鱼/社会工程等均被使用。
参考文献：
- Areitio, J.，《信息安全：网络、计算和信息系统》。Cengage Learning-Paraninfo 出版社，2022 年。- Areitio, J.，
，《DAIM/MIAD 对攻击性网络攻击的重新编程
以进行中和
。 Wittkop, J.《现代企业网络安全手册：防止数据泄露和网络攻击的端到端指南》。Packt 出版社，2022 年
。- Stanford, E.《加密战争：伪造死亡、数十亿美元失踪和行业颠覆》。Kogan Page 出版社，2021 年
。- Batina, L.、Bäck, T.、Buhan, I. 和 Picek, S.《安全与人工智能》
作者：Javier Areitio Bertolín 教授，博士 - 网络与系统研究组主任
