小国家如何抵御大型网络攻击

2022年11月6日，太平洋岛国瓦努阿图，新当选的政府正式走马上任——就在勒索软件攻击锁定全部国有计算机系统之时。由于无法恢复访问，公共服务迅速萎缩。税款无法缴纳；医疗手术被迫推迟，然后直接取消。各个部委重回用记事本抄录时代，还有人匆忙创建新的Gmail账户沟通公众。遭遇攻击后数周，瓦努阿图商务韧性委员会主席Glen Craig表示，“瓦努阿图整个主权国家都在靠个人电子邮件运转。” 

瓦努阿图的政府服务器得以重建和增强之时，时间已经过去了数月之久，而且其中还得感谢从澳大利亚飞来帮忙的网络安全专家团队。网络犯罪团伙劫持的国家可不止这一个。2022年4月，因被网络犯罪团伙Conti和Hive夺取了各个系统的控制权且要求支付价值数百万美元的比特币才恢复访问，哥斯达黎加政府就此掉线。与此同时，在太平洋地区，两大电信提供商汤加通信公司和关岛Docomo Pacific被网络攻击放倒。 

不仅仅是太平洋地区，数字化转型一直是许多小国家发展战略的基石。但澳大利亚莫纳什大学网络安全教授Carsten Rudolph认为，瓦努阿图的案例展示了在这一总体愿景中忽略了网络防御会招致怎样的后果。他说道：“缺了网络防御，那些一直与球风险脱节的纯本地过程可能突然之间就成了网络攻击的目标。”

图：瓦努阿图首都维拉港景色。政府服务器遭勒索软件攻击后，公共服务中断了数月之久。

瓦努阿图遭遇的网络攻击

就瓦努阿图本身而言，这个国家并非完全没有做网络攻击应对准备，自2021年起就筹建了自己的计算机应急响应团队（CERT）来应对和分类可疑网络事件。Rudolph表示，“团队人不多，而且还相对较新，”但它提供了一个平台，瓦努阿图的各个系统就是在这个平台上与澳大利亚的专家团队携手重建的。 

但重建过程非常缓慢，到12月初还只有70%的政府服务器重回线上。其中部分原因在于手头任务的规模，但也因为这种审慎的态度有助于防止重建期间再出纰漏。“比如说，哥斯达黎加就在几个月里发生了各种不同类型的攻击。”Rudolph称，“但瓦努阿图并没有出现这一幕，而且看起来还得到了没有留下任何后门的干净系统。”

不过，黑客到底是怎么突破瓦努阿图网络防御措施的问题仍然是个迷，瓦努阿图政府和进场帮忙恢复系统的澳大利亚专家团队都没有给出具体解释。“我们听说是有个路由器被黑了，但不清楚具体情况。”Craig说道。12月，RansomHouse黑客团伙宣称对此攻击负责，并表示渗漏了3.2TB数据。虽然该团伙公布的文件似乎确实是从瓦努阿图窃取的，但尚不清楚其中是否包含敏感信息。

对太平洋地区和其他小国家而言，可以从瓦努阿图的案例中学到什么经验呢？最明显的一条可能是，每个政府部门都要制定基本的应急预案来应对网络攻击事件。瓦努阿图政府计算机系统遭勒索软件劫持的消息明确之后，公务员基本上只能自己制定临时响应措施，从创建新的Gmail账户开始。

“考虑到我们是世界上自然灾害风险最大的国家，而且我们以自己的韧性为傲，这种各个部委都没有制定业务连续性计划的情况真是个彻底的失败。”Craig表示，“我们要广而告之！”

计划应该包括建立能够即时接回政府网络的异地备份，尽管这些备份似乎也被黑客加密了。同时，瓦努阿图政府还秘而不宣到底被盗走了多少数据。因此，Craig表示，“我们假定政府系统上的所有数据都被拿走了。”

图2：瓦努阿图驻澳大利亚高级专员Samson Fare向澳大利亚新任总理Anthony Albanese致意。去年瓦努阿图政府遭到黑客攻击后，两国深化了网络安全合作。

太平洋独立性

尽管瓦努阿图的私营部门并未直接遭受网络攻击，该国此后数月的日常生活还是受到了干扰，从宠物准养证发放到房地产交易的各种事务都被推迟了。其他方面，由于法院系统难以恢复访问其记录系统，刑事案件一直悬而未决；而因为医生无法读取患者病历，各类手术都被取消了。Craig表示，现在已经恢复的大多数信息“都是存储在他们自己的个人备份硬盘上的数据。”

就Craig个人而言，他十分震惊于瓦努阿图重新跟网络攻击期间的首席信息官（CIO）签了份长期合同（该国政府并未回应媒体关于此事的评论请求）。“你可能会觉得，首个遭遇全境攻击的主权国家出现在简历上真的不太好。”Craig称，“这事儿如果发生在私营部门，不仅这人的工作能不能保住还两说，他可能都想拔剑自刎以求解脱了。”

然而，像瓦努阿图这种人口数量仅33万左右的小国，会不会拥有抵御未来类似攻击所需的本土专业技能还是个未知数。“对于这些人口较少、经济规模较小的小国来说……他们的国内资源难以应对这些一直在变化的威胁。”澳大利亚国立大学太平洋事务系研究员Amanda H.A. Watson表示。就生存风险而言，南太平洋国家还必须应对全球气候变化带来的巨大威胁。皇家墨尔本理工大学（RMIT University）大学教授Matt Warren认为，简单讲，投入飓风防护的资金不可避免地会多于投入网络安全的资金。 

即便如此，网络防御方面的区域合作正在兴起。去年12月，澳大利亚和瓦努阿图签署了一项双边贸易协议，其中就有网络安全互助条款，以澳大利亚与斐济、萨摩亚和基里巴斯达成的类似协议为蓝本。可以说，澳大利亚在瓦努阿图需要的时候向其提供援助，展示了国际合作在加强地区网络安全方面的优势。Warren表示，作为瓦努阿图的盟友，澳大利亚有责任“发展他们的能力，开发他们的系统，测试这些东西有没有效。” 

但这是否预示着小国与其大国盟友之间在国家主权方面存在不得人心的权衡？Rudolph认为，尽管网络安全条约尚未像海底光缆一样从属于中国和美国及其西方盟友之间的地缘政治大博弈，长期技术安排也会不可避免地需要小国在国家主权方面做出让步，所以，太平洋国家间未能达成授权区域CERT的协定。取而代之的是PaCSON——“该地区由澳大利亚资助的网络安全应急响应团队网络。”Rudolph补充道，“确实是为了提供信息交流，但并非纯粹的技术支持。”

与此同时，瓦努阿图政府仍需应对去年那场网络攻击对该国声誉和经济的切实影响。“从所有账户来看，政府没有支付任何赎金。”Craig称，“但由于数据失窃，在未来很长一段时间里，该事件都会对私营部门造成不利影响。”