企業被黑客攻擊，“怼回去(qù)”合法嗎(ma)？

企業被黑客攻擊，“怼回去(qù)”合法嗎(ma)? “我(wǒ)的電(diàn)腦被黑了，進行反擊合法嗎(ma)?”這個問題現在成爲了主動防禦概念中(zhōng)的焦點問題。美國現有《計算機欺詐與濫用法》(CFAA，從1986年實施的CFAA禁止個人使用如防病毒軟件等預防措施之外(wài)的防禦行動)規定個人隻能以防病毒軟件進行被動防禦。但美國議員(yuán)Tom Graves前幾個月提出了《主動網絡防禦明确法案(Active Cyber Defense Certainty Act，ACDC)》，該法案将允許網絡攻擊受害者在受到攻擊時能夠反擊。法案中(zhōng)提到，企業若要保證合法，在反擊前要通知(zhī)FBI國家網絡調查聯合任務部隊以下(xià)信息：

    被攻擊的細節

    企業會如何保護入侵的證據

    企業打算如何避免攻擊到未參與黑客行動的第三方系統

    最近國外(wài)媒體(tǐ)SecurityAffairs對此發表評論文章，文章作者認爲該修正案過于模糊，如果施行，則可能給法庭審判造成困擾。除此之外(wài)，作者還提出了以下(xià)對該法案的質疑，比如說攻擊溯源本來就不容易，攻防雙方資(zī)源規模并不對等。這些或許是值得立法者深思的。

    問題1：網絡攻擊的歸屬問題

    早期DoS防範時，大(dà)家普遍使用的方法是丢棄所有來自發動攻擊的網絡流量。但是黑客可以輕易把攻擊僞裝成某個無關的第三方，這樣的話(huà)第三方就受到影響了。比如，A公司和B公司經常有生(shēng)意往來。突然間某個黑客向B公司發送了大(dà)量流量，流量看起來像是來自A公司。B公司的防火(huǒ)牆因此屏蔽了所有來自A公司的流量。但是這樣的話(huà)兩個公司的正常流量也中(zhōng)斷了。因此這樣的防禦方式實際上起到了更糟糕的結果，甚至比被DoS還糟糕，因此我(wǒ)們必須采用其他的方法。

    假設這不是單純的DoS流量，而是表面上A公司黑了B公司，B公司轉而報複，黑了A公司呢?修正案中(zhōng)沒有提到讓受害者提供對于攻擊歸屬的證明或者證據。我(wǒ)們知(zhī)道要對攻擊進行溯源是很困難的。2014年索尼公司被黑，大(dà)家都認爲是朝鮮幹的，現在過去(qù)好幾年了，多國政府都努力查明，但是攻擊的确切來源依然不明确。

    “原本我(wǒ)們可以根據武器來判斷敵人。你看到一(yī)輛坦克，就知(zhī)道一(yī)定是軍隊的，因爲隻有軍隊買得起。網絡世界裏就不一(yī)樣了。網絡空間裏技術的傳播很廣，人們可能擁有同樣的武器：黑客、政治黑客、國家間諜、軍隊甚至是網絡恐怖分(fēn)子。”Bruce Schneier在2015年說過。

    試想索尼時間中(zhōng)這麽多公司組織都無法查明攻擊來源，一(yī)家公司怎麽可能查出真正的幕後黑手?

    問題2：資(zī)源的規模

    企業擁有的資(zī)源其實并不多。企業的安全建設受限于道德、預算、開(kāi)發的優先級等，但犯罪分(fēn)子沒有限制，并且即便他們本身的水平不夠，也可以找一(yī)些黑客服務來進行攻擊，企業是沒有辦法抗衡的。我(wǒ)們看看僵屍網絡的規模就知(zhī)道，在網絡世界中(zhōng)，壞人的資(zī)源更多，互聯網是不對稱的。

    問題3：如何避免傷及無辜

    ACDC法案保證企業“能夠防禦欺詐或者其他的活動”，但卻沒有提到社會責任。想像一(yī)下(xià)黑客黑了某個共享的服務器進行攻擊，受到攻擊的組織進行反擊，勢必就會影響到使用共享服務器的其他公司。

    問題4：法案的意義
 

    如果進行反擊，企業希望達成的結果是什麽?如果企業感染了勒索病毒，丢失了資(zī)料，即便攻擊了“敵人”，這些數據也不會回來，并且我(wǒ)們假設企業能夠識别出攻擊的真實來源。從投資(zī)者的角度來看，你的數據還是丢了，而且還付出了額外(wài)的時間和金錢成本。如果是一(yī)些數據被竊取，通過黑客手段進行反擊，即便删除了攻擊者的數據也不能保證他們沒有其他備份。

    我(wǒ)們目前是靠政府執法部門追查網絡攻擊事件的，但很難達成滿意的效果。但是連大(dà)公司都無法追查的網絡攻擊怎麽能指望這些小(xiǎo)公司會成功?反擊能夠讓誰獲益?這些問題令人摸不着頭腦，更何況反擊還可能會波及與攻擊事件無關的人。

    喬治亞理工(gōng)學院信息安全和隐私協會分(fēn)析師Yacin Nadji認爲：

    “更好的辦法是提高執法部門官員(yuán)的能力，包括研究自動化溯源攻擊、估算經濟損失、加快沒收涉案計算機的速度。而允許‘用黑客手段反擊’的法案從長遠來看隻會增加麻煩。”