2024年网络安全态势报告（中文）

2024 年 5 月姿势网络安全美国2024 年报告我国家网络主管办公室总统办公室Machine Translated by Google 本报告重点关注过去一年发生的事件，并根据需要讨论更早的事件以提供背景信息。我此外，根据《美国法典》第 6 卷第 1500 (c)(1)(G) 节的要求，本文件向国会报告美国面临的网络安全威胁和问题，包括任何可能影响国家安全、经济繁荣或法治执行的新兴技术。国家网络主管根据《美国法典》第 6 章第 1500 (c)(1)(C)(vi) 节的要求，向总统、总统国家安全事务助理和国会提交此报告。本报告评估了美国的网络安全态势、国家网络政策和战略的有效性以及联邦部门和机构实施国家网络政策和战略的情况。根据《美国法典》第 6 章第 1500 (g)(1) 节的定义，“网络安全态势”是指识别、防御、检测、响应和恢复信息系统入侵的能力，如果入侵可能构成网络攻击或造成重大后果的网络活动。关于本报告Machine Translated by Google 国会也是这一实施过程中的重要合作伙伴，我们将继续与国会合作，确保各部门和机构拥有所需的资源和权力。鉴于未来挑战重重，政府和国会必须继续以无党派的方式共同努力，提高美国的网络安全和复原力。总统的国家网络安全战略声称，有必要从根本上改变数字世界的基本动态，使其具有防御性、弹性和与我们的价值观保持一致。如果我们成功了，数字生态系统将成为繁荣、互联未来的坚实基础，造福每个美国人。虽然我们仍准备对恶意网络威胁作出有力回应，但我们不会让对手决定我们的前进道路。正如总统在该战略启动仪式上所说：“我们今天采取的措施和做出的选择将决定未来几十年世界的发展方向。”我们需要在过去一年的成功基础上再接再厉，从不足之处吸取教训，并迎接严峻的挑战，例如协调网络安全法规、赋予行业风险管理机构权力、并支持小型组织对抗强大的对手。我们将共同建设一个数字世界，让美国人免受网络威胁，并实现我们最宏伟的抱负。现在很明显，被动应对无法跟上快速发展的网络威胁和动态的技术格局，而仅仅致力于管理网络事件的最坏影响已不足以确保我们的国家安全、经济繁荣和民主价值观。从关于改善国家网络安全的第 14028 号行政命令开始，拜登‑哈里斯政府提出了积极的愿景，其核心是积极和战略性地塑造我们周围的数字世界，使其能够赋能我们经济和社会的各个方面。实现这一新愿景需要全民合作。无论是公共部门还是私营部门，网络空间中最有能力和最有条件的参与者都需要付出更多努力来重塑数字生态系统并保护弱势群体。我们致力于与私营部门的合作伙伴、州、地方、部落和领土实体以及世界各地志同道合的国家密切合作，以增强我们对网络威胁的集体抵御能力。简而言之，我们正处于国家网络安全的根本性转变之中。我很高兴向大家介绍2024 年美国网络安全态势报告。这份首份报告提供了有关美国如何应对网络空间面临的挑战和机遇的重要更新。我们在实现安全、繁荣和公平的数字未来的积极愿景方面取得了进展，但我们面临的威胁仍然令人生畏，我们的防御并非坚不可摧，我们的工作也在不断发展以适应不断变化的形势。小哈里·科克尔国家网络总监国家网络总监的来信 二Machine Translated by Google 执行摘要三实施行动为整个数字生态系统利益相关者的进一步投资和持续承诺奠定了基础。本报告首先评估了战略环境、新兴技术的发展前景和网络风险，这些对美国网络安全政策和战略既带来了挑战，也带来了机遇。对新兴技术的分析不仅考虑了它们的内部技术特征，还考虑了它们与复杂系统和流程的集成、与人和工人的联系以及与机构和治理结构的关系。本报告还研究了网络风险格局，既考虑了威胁行为者的能力和意图趋势，也考虑了我们自身防御中不断演变的漏洞，这些漏洞为这些对手提供了可利用的途径。在过去一年中，美国国家网络安全态势有所改善，这得益于 2023 年国家网络安全战略 (NCS) 愿景的稳步推进，该战略旨在通过根本性转变塑造网络空间的根本动态，实现可防御、有弹性且符合价值观的数字生态系统。政府已成功开始实施 NCS 实施计划，该计划协调联邦政府各部门和机构的行动，以使总统的积极愿景成为现实。这些初步《2024 年美国网络安全态势报告》评估了美国的网络安全态势、国家网络政策和战略的有效性以及联邦部门和机构实施国家网络政策和战略的现状。此外，本报告还重点介绍了美国面临的网络安全威胁和问题，包括可能影响国家安全、经济繁荣和法治的新兴技术。这是该报告的第一版，涵盖了 2023 日历年，并在本报告发布之前对 2024 年的发展进行了额外的考虑。2023 年的战略环境具有复杂性、互联互通性和竞争性的特点。数字通信、先进计算、量子信息科学、数据存储和处理以及其他关键和新兴技术的持续进步，正在迅速增加我们经济和社会的复杂性。这些技术还将世界各地的人们联系起来，促进网络物理系统的普及，并创造各行各业的关键基础设施和基本服务之间都出现了新的依赖关系。随着这一格局的发展，恶意的国家和非国家行为者正以日益增强的能力和战略目的利用这一漏洞，这清楚地表明网络空间与其他国际冲突和竞争领域密切相关。2024年网络安全态势报告 战略环境美国Machine Translated by Google 目前的努力私人供应商向民族国家行为者出售的网络监控工具，用于远程访问电子设备、监控和提取其内容以及在设备用户不知情或未经同意的情况下操纵其组件。4.商业间谍软件：复杂且侵入性的间谍软件市场正在不断增长5.人工智能：人工智能（AI）是我们这个时代最强大、最公开的技术之一，它在 2023 年的持续发展为大规模网络风险管理带来了机遇和挑战。2024年网络安全态势报告2.勒索软件：勒索软件仍然是对国家安全、公共安全和经济繁荣的持续威胁，勒索软件团体继续制定复杂的策略来逃避或规避旨在阻止其活动的防御和破坏措施。3.供应链利用：软件和其他信息技术和服务的供应链复杂且相互关联，使恶意行为者能够大规模地危害受害者。1.关键基础设施面临的风险不断演变：民族国家对手表现出越来越强烈的意愿利用网络能力来破坏和威胁不具备间谍价值的关键基础设施系统和资产，以实现其更广泛的战略目标。除了持久的网络安全挑战之外，五大趋势推动了 2023 年战略环境的变化。应对战略环境带来的挑战和机遇需要联邦政府牵头、与私营部门努力协调一致的行动计划。国家网络总监办公室 (ONCD) 负责协调国家网络政策和战略（包括 NCS）的实施，推动新行动并提升和连接正在进行的工作。本报告反映了联邦政府各部门和机构对国家网络安全做出的重要贡献。2023 年 7 月发布的《国家网络安全战略实施计划》（NCSIP）指导联邦政府实现 NCS 愿景的努力，并每年更新一次。在 NCSIP 版本 1 中，联邦政府负责在 2024 年第二季度之前完成 36 项计划。正如本报告所述，这 36 项计划中有 33 项（92%）已按时完成，还有 3 项仍在进行中。另外 33 项 NCSIP 版本 1 计划将在未来两年内完成，并且进展顺利。 四美国Machine Translated by Google 美国5.快速、大规模地保卫联邦网络，包括在整个联邦企业中整合零信任架构原则、对遗留技术系统进行现代化改造以及扩大共享服务的使用。4.利用一切国家力量工具破坏并削弱对手活动，对各种恶意网络行为者开展协调一致、影响深远的破坏活动。6.加强国家网络劳动力队伍建设，包括颁布国家网络劳动力和教育战略（NCWES）并与全国各地的工人、雇主、学生和教育工作者进行接触。7.推进软件安全以生产更安全的产品和服务，包括推进安全设计原则、软件物料清单 (SBOM) 和内存安全编程语言。1.建立和使用网络要求来保护关键基础设施，包括通过制定和协调多个关键基础设施领域的监管要求。3.通过快速共享威胁信息、优先为受害者提供支持以及审查重大事件和活动以吸取教训，提高事件准备和响应能力。2.加强联邦合作与伙伴关系，以更好地支持网络防御者，包括加强业务协作、提高行业风险管理机构（SRMA）能力以及整合联邦网络防御能力。联邦政府在本报告所述期间采取的行动包括：8、推动建立赋予消费者权利并保护消费者的数字经济，包括启动美国网络信任标志认证和标签计划，以及促进整个技术行业的竞争和问责。9.投资清洁能源经济领域的弹性下一代技术，发布行政命令指导联邦政府与人工智能相关的努力，并解决互联网技术基础中存在的安全挑战。10.通过实现安全、数据丰富的跨境贸易和促进增强隐私的技术发展来管理数据安全和隐私风险。11.建立志同道合的国家联盟，为勒索软件和其他网络攻击的受害者提供支持，协调国家政策，促进全球供应链的安全和弹性，从而增强全球的复原力。2024年网络安全态势报告 在Machine Translated by Google 未来展望NCS 实施计划的下一个版本 NCSIP 第 2 版概述了 31 项新举措，这些举措以过去一年的共同成就为基础，并确立了继续实施 NCS 的新努力方向。NCSIP 第 2 版已与本报告一同发布，可在 www.whitehouse.gov/oncd 上在线获取。2024 年及以后，联邦政府将在过去一年的成就基础上，继续实施 NCS 和 NCWES，并调整其方法以应对不断变化的战略格局带来的新挑战和机遇。有必要继续努力提高行业风险管理机构的能力，加强国家网络劳动力，实施《2022 年关键基础设施网络事件报告法案》（CIRCIA）规定的事件报告要求，提高对手破坏活动的速度和规模，改进分析和信息共享机制，继续投资量子信息科学，并在对外援助机制中优先考虑网络安全。12.推进尊重权利的数字生态系统，倡导开放、自由、全球、可互操作、可靠、可访问和安全的互联网积极愿景；打击商业间谍软件等数字技术的扩散和滥用；塑造新兴技术以符合民主价值观和人权。2024年网络安全态势报告 我们美国Machine Translated by Google 目录商业间谍软件................................................................................................................................6 人工智能................................................................................................................................6关于本报告.................................................................................................................................................i管理数据安全和隐私风险................................................................................................................24 增强全球安全性和弹性....................................................................................................25未来展望..................................................