维护基础设施，欺骗技术是关键

30多万人经常依赖某种形式的能量。到2030年，我们的目标是普及现代服务，以便利电力、管道、供热、电信和互联网。此外，成千上万的人将驾驶自己的汽车，使用公共交通工具或坐飞机。人们期望国家基础设施继续运行，因为它在我们的日常生活中发挥着重要作用。不幸的是，它也是网络攻击的一个有吸引力的目标。随着交通枢纽、电网和通信网络的日益数字化，攻击的可能性成倍增加。在某些情况下，攻击者这样做只是为了看看他是否能摧毁他人的生命或危害人类安全。

不出所料，这个话题引起了公众的广泛关注，导致美国政府去年成立了网络安全和基础设施安全局(CISA)。虽然人们认识到这个问题是朝着正确方向迈出的一步，但随着能源、交通等行业的快速数字化和新的攻击领域的出现，攻击者可以利用它，保护网络安全的任务变得更加复杂。随着智能电网和交通管理系统的广泛部署，它们增加了安全专业人员必须解决的攻击区域。因为这样的系统通常具有有限的内置安全性，攻击者正在寻找更多的方法来渗透或逃避外围防御。提供可见性和早期检测的网络内安全解决方案已经成为基础架构安全控制体系中日益重要的一部分。由于其固有的运行反病毒软件和收集典型日志以识别异常或停止使用管理员登录的能力，组织已经转向欺骗技术，将其作为有效检测和销毁对能源设施和关键基础设施的攻击的手段。

广泛的潜在威胁

一个国家的基础设施面临多种威胁，从普通的信用卡盗窃到电网或空中交通管理系统的中断，使得基于基础设施的网络攻击的潜在后果变得严重。从表面上看，访问为各种监控节目设计的电视系统似乎并不重要，但它可能会对个人或儿童的隐私或人身安全产生重大影响。许多操作系统设备也可以用于妥协，然后统一用于更广泛的拒绝服务攻击。无论动机是什么，受伤的几率都会迅速上升，并带来可怕的后果。

这些潜在的攻击者不仅包括小黑客或网络罪犯，在某些情况下还包括恐怖分子和敌对国家。尽管俄罗斯选举黑客在过去几年里登上了许多头条，但他们并不是唯一有动机或手段瞄准基础设施(无论是民用还是其他)的人。2015年摧毁乌克兰电网的袭击是此类袭击中的第一次，但其他袭击在全球造成了不同程度的破坏，包括在美国。就在今年，“网络事件”影响了加州、犹他州和怀俄明州的电网。尽管没有停电记录，但它提醒人们，美国的基础设施也不能幸免于攻击，传统的安全方法在当今相互关联的世界中不一定足够或有效。

战场已转移到网络内部

安全专家一致认为，加强周边防御是至关重要的，但制定计划尽快找到试图绕过敌人的对手也同样重要。假设攻击者已经破坏了网络，并采取控制措施来检测和响应网络已成为一项必要的安全策略，尤其是在涉及大型基础设施系统时。

一旦攻击者在网络中站稳脚跟，他们通常可以自由地进行侦察、收集凭证并收集网络的“蓝图”来升级攻击。欺骗技术旨在检测所有形式的试图横向移动，本质上锁定端点，以立即显示攻击者的任何移动。这是通过在端点和整个网络上设置吸引人的诱饵、凭证、驱动器共享、服务和其他形式的诱饵来诱使攻击者参与进来实现的。与任何欺诈资产的最小接触将立即导致高保真警报，并提供丰富的攻击者信息。因此，使用欺骗技术的组织报告说驻留时间减少了90%，这是网络中攻击者没有发现的时间。

随着攻击关键基础设施造成伤害的可能性增加，收集敌方详细情报的能力变得更加重要。事实证明，欺骗技术特别擅长收集和关联威胁和对手情报，这对于生成经过验证的警报和定制情报非常有价值，并且可以帮助防御方缩短对经过验证的威胁的响应时间。安全专家通常根据每个警报的准确性，以“信号噪声”的保真度来识别欺骗。可以使用本地集成，从而可以自动进行阻止、隔离和威胁跟踪，以缩短响应时间。欺骗技术通过进一步自动化和加速检测和补救过程，增加了现有安全控制的价值，并降低了对作业控制和商业基础设施的成功攻击的风险。

欺骗技术代表前进的道路

美国政府采取了非同寻常的措施，将美国核心基础设施的某些方面“数字化”，并用模拟系统取代相连的系统，以保护它们免受潜在的攻击。虽然这种方法有其优点，但它是一种倒退，不符合全球经济和基础设施互联互通的发展方向。“政府不应该试图孤立这些系统，而应该把重点放在能够检测入侵者和入侵者的网络保护上。在入侵者达到目标之前，尽早提醒防御者。提议的更先进措施之一与NIST有关。标准组织发布草案版本在6月19日发布的新指南中，承包商提出了31项新建议，以加强承包商的防御能力，保护其网络上的非机密(但仍然敏感)政府数据免受高级持续威胁(APT)或政府资助的攻击者的攻击。这些数据可以从社会安全号码和其他个人身份信息到重要的国防计划细节。这些建议包括以下流程，例如对关键或敏感操作实施双重授权访问控制、在适当的情况下采用网络分段、部署欺骗技术、建立或雇佣威胁搜索团队，以及运营安全运营中心来持续监控系统和网络活动。

欺骗技术显然是安全体系中不可或缺的一部分。将它添加到上游和下游安全控制中可以降低与安全设计和操作差距相关的风险，并提高安全团队对攻击者入侵方法的理解。进攻的人可以跟着他们。没有必要中断操作、代理或监控。