佐治亚州“反击式黑客”法案被否：折射美国网络安全立法困境与未来走向

佐治亚州近几个月两度因网络安全事件登上头条，两起孤立案件均拷问着组织在遭受网络攻击后应如何应对。

在亚特兰大披露全市范围的勒索软件攻击后不久，州政府提出一项网络犯罪法案，随即遭到安全行业批评，批评者中包括那些正协助亚特兰大从勒索软件泥潭中脱困的人士。

该“反击式黑客”（hack back）法案的提案人认为，它最终将惠及网络安全社区。佐治亚州州长Nathan Deal并不认同，但其官方声明暗示将进一步讨论以完善该法案。

反击式黑客法案与其他任何为自我保护而设的法律基于相同理由，但在网络攻击日趋成熟的当下，冒险进行反击可能并不值得为一时情绪宣泄付出代价。

原法案措辞被认为过于模糊，因其规定任何未经授权访问计算机系统的行为都将构成犯罪，可处以罚款及一年监禁。

此类立法可能挫伤研究人员进行“负责任披露”的积极性，SecurityScorecard首席执行官Alex Yampolskiy在接受CIO Dive采访时表示。若企业选择提起法律诉讼，该法案实际上会将从事道德安全研究的人定为犯罪。

此外，该法案将使组织有权对疑似攻击者的系统进行报复性入侵合法化。专家普遍认为，将反击式黑客合法化的法案不过是“主要源于挫败感的欲望”，斯坦福大学国际安全与合作中心网络安全与政策高级研究学者Herbert Lin在接受CIO Dive采访时如此表示。

Lin表示，反击式黑客的支持者就像“网络空间的全国步枪协会”，因为没人愿意成为受害者。然而，当赤手空拳的拳击在网络空间成为公平游戏时，任何人都可能“误击”错误对象。

佐治亚州的法案是“为数字时代制定反侵入法的笨拙尝试”，Coronet首席信息安全官Dror Liwer在给CIO Dive的邮件声明中表示。围绕此类法案的模糊性，反而开启了关于黑客伦理的讨论。

法案缘何提出

该法案应执法部门要求启动立法程序，佐治亚州共和党众议员Christian Coomer告诉CIO Dive。Coomer是赞助该法案的州议员之一，因其旨在“对恶意行为者起到威慑作用”。

在委员会听证期间，法案增加了多项“保障措施”，试图更明确地界定反击式黑客的边界，同时不损害合法商业行为。

然而，Coomer表示，关于错误归因的论点在审议过程中从未被提出，导致他对该术语并不熟悉。

“我清楚自己的局限，”他说，但由于该问题从未在委员会程序中提出，Coomer因此得出结论：批评该法案的“大型科技公司”“并无意修复法案”。相反，他们更专注于彻底阻止法案，这导致了“意想不到的后果”，例如归因问题。

Coomer鼓励行业专家参与委员会程序，告诉立法者他们做错了什么以及如何纠正。归根结底，批评该法案的大公司，如Microsoft和Google，只是“没有坐到谈判桌前”，Coomer说。

联邦政府难以跟上技术步伐

佐治亚州法案是对现行《计算机欺诈与滥用法》（CFAA）的一种回应。据美国司法部称，CFAA于1986年作为《综合犯罪控制法》的修正案颁布，以应对新兴的计算机时代。过去几十年，CFAA多次修订，以适应技术日益复杂的趋势。

然而，尽管联邦法律将任何未经授权的计算机访问定为犯罪，但该法律未能明确定义侵入的程度或何种行为构成未经授权访问。

例如，若有人发送包含宏的PDF文件或Word文档等“活动内容”，这些内容在接收方计算机上运行，从技术上讲可能违反CFAA，Lin说。

佐治亚州立法旨在“放宽”CFAA的某些方面。Lin指出，就目前CFAA而言，反击式黑客仍属非法，因为它仍意味着未经许可访问他人系统。

佐治亚州共和党众议员Tom Graves提出的名为《主动网络防御法案》的立法，已历经多轮修正。McAfee首席公共政策官Tom Gann在接受CIO Dive采访时表示，最新修正案包括与执法部门的联合合作，以及限制私营部门在进攻性活动中的激进程度。

Graves的法案经历了更“深思熟虑的过程”，以更好地实现网络防御措施，从而“以更具预测性的方式行动”，Gann说。此类政策变化可简化公私部门间的数据共享，使网络防御的理解更具情境化。

尽管专家呼吁加强协作，但两部门间的沟通仍是安全专家争论的焦点。

最重要的是，组织需要更好的方法来评估系统中可利用的缺陷。通过采用人工智能和机器学习技术，防御措施将更具主动性而非被动性。

反击式黑客法案将走向何方？

对现行法案的修正或可使其避免再次被否决。

然而，“对攻击源造成伤害的整个概念，我认为那完全是徒劳之举，”哥伦比亚大学计算机科学教授兼网络安全研究员Dr. Salvatore Stolfo告诉CIO Dive。在理性应对攻击现实时，此类法案似乎也偏离了组织的目标。

但信标文件（beacon files）仍是规避隐私法（如欧盟GDPR）的合法手段。信标技术有点像“数据的GPS”，Stolfo表示。若信标文件在从原所有者计算机上被取走的机器上执行，它会提醒原所有者该文件现已“驻留”在另一台计算机上，并发送其位置信息（如IP地址），Lin说。

然而，Lin认为，信标技术加剧了围绕反击式黑客法案和CFAA的困惑，且“处于更高层次的复杂性”，因为从技术上讲，即使程序最初是被盗取的，它仍是未经授权在另一台机器上运行的程序。

反击式黑客法案短期内难以通过

网络安全是顶级关切，但多数专家表示，不必要的网络战争并非解决问题的正确途径。

类似佐治亚州法案能否通过，取决于对恶意入侵构成条件的“语言和定义的功能”，Stolfo说。

但当前对反击式黑客的定义“毫无用处”，且助长了出于报复心理的行为，这“并非旨在解决阻止数据丢失的问题”，Stolfo表示。

反击式黑客立法最棘手之处在于界定犯罪行为及后续执法。

Liwer认为，反击式黑客法律只能“选择性”执行，这从定义上使该法律“无关紧要”。

非致命性防御

安全专业人士屡次被告知，最佳网络防御并非被动反应，而是主动且植根于基础工作。分发补丁、多因素认证和员工培训计划，这些都有助于在组织周围构筑防护护城河。当正确的防护措施到位时，便无需反击。

“始终只采取防御并非制胜之道，”Gann说。组织需要一套“生命周期”防御策略，以实时保护IT环境。

主动安全协议是安全团队应对网络威胁的最佳解决方案。若组织能在攻击者处于其网络内时将其捕获，这远比猜测攻击的真实归属更有效。

黑客可在系统中潜伏数月，如Equifax案例所示。他们可长期藏匿于系统中，以不易察觉的速度缓慢窃取数据，且这一切都是“免费的”，Stolfo说。他提出一种更“非致命”的方式，通过“深度欺骗”让网络攻击者为行为付出代价。

Stolfo建议在组织运营网络中战略性地放置数据诱饵或虚假数据。若黑客获得访问权限并开始收集混在真实数据中的诱饵数据，黑客最终将付出资源消耗的代价。黑客随后需花费时间筛选真实与虚假数据，并判断何为事实。

诱饵数据可作为额外防护层，同时获得“打破攻击不对称性”的手段，Stolfo说。