NIST发布新网络安全工具应对国家级黑客威胁

特别出版物800-172旨在保护各类电子系统中的敏感信息

世界各国将网络战纳入武库，雇佣高技能团队发动跨国攻击。这些对手被称为"高级持续性威胁"（APT），因拥有工具和资源反复长期追求目标，能适应防御者抵抗努力。

易受攻击数据包括政府、工业界和学术界为支持各类联邦项目管理的敏感但非机密信息。如今，美国国家标准技术研究院（NIST）发布最终版出版物，提供指南保护此类"受控非机密信息"（CUI）免受APT侵害。NIST特别出版物（SP）800-172《保护受控非机密信息的增强安全要求：NIST SP 800-171补充》，提供一套工具对抗国家级黑客，补充另一保护CUI的NIST出版物。

"网络攻击使用无声武器，某些情况下武器不可探测，" NIST资深研究员、计算机科学家Ron Ross说。"您可能未'感受'到下一次黑客攻击直接效果，以为在未来某天；实则正在发生。"

联邦政府高度依赖非联邦服务提供商，利用信息系统执行广泛任务——含计算机、工业控制系统、物联网等专业技术。保护驻留在非联邦系统中的敏感联邦信息——如州地方政府、高校、独立研究机构使用的系统——至关重要，直接影响联邦政府履职能力。2018年泄露敏感信息的黑客事件直接催生SP 800-172。

草稿阶段曾编号SP 800-171B，SP 800-172为CUI面临高于寻常暴露风险场景提供额外建议。CUI涵盖广泛信息类型，从个人姓名社保号到关键国防信息。

"我们因美国关键基础设施遭重大网络攻击开发SP 800-171，其伴随文件SP 800-172旨在缓解APT等高级网络威胁攻击，" Ross说。"实施SP 800-172网络防护措施，将帮助系统所有者保护国家级黑客视为高价值目标的敏感信息：关于人员、技术、创新和知识产权的信息，泄露将危及经济和国家安全。"

增强安全要求须在SP 800-171基础上实施，因后者非设计应对APT。SP 800-172要求适用于处理、存储、传输CUI或为其提供保护的非联邦系统组件。为缩小范围，要求仅在指定CUI关联关键项目或高价值资产——最高优先级保护对象——时适用。

主要面向项目经理、CIO、系统审计员等管理员，该出版物通过推广穿透抵抗架构、损害限制操作、实现网络韧性和生存能力的设计，解决系统组件CUI保护。其工具分14族，非意图全盘实施，而是按组织需求选择。

"实施此指南的组织多半不愿用全部增强安全要求，" Ross说。"选择特定增强安全要求集将基于使命和业务需求——并由持续风险评估指导和告知。"

回应公众意见征询反馈，最终草案包含更新的范围适用性指南和更灵活的要求选择方法，允许组织定制安全解决方案。

Ross表示，新出版物工具应给寻求防御黑客者带来希望，即使面对APT这般威慑威胁。

"对手在网络攻击中全天候使出'看家本领'，" 他说。"使用SP 800-172网络防护，您可开始确保损害最小化。"

原文来源：https://www.nist.gov/news-events/news/2021/02/nist-offers-tools-help-defend-against-state-sponsored-hackers