外媒评俄罗斯攻击 Burisma 一事：证据不完全可靠

据外媒报道，2016年美国民主党全国委员会灾难性的黑客攻击给所有担心国际混乱竞选的人敲响了警钟。当地时间周一晚，美国人又有了一个担心2020年大选的新理由。《纽约时报》和网络安全公司Area1报道了俄罗斯情报机构针对乌克兰天然气公司Burisma发起的新一轮黑客攻击。

几个月来，共和党方面一直在暗示该公司内部存在一些可怕的腐败行为，如果俄罗斯间谍真的侵入了这家公司的网络那么可能就会带来非常可怕的后果。

一些国会议员则已经在预测2016年大选将会重演，民主党众议员Adam Schiff评论道：“看起来他们又想帮助这位总统（特朗普）。这是一个令人担忧的想法，考虑到特朗普上次拒绝承认俄罗斯的黑客行为，没有迹象表明白宫会采取任何措施来阻止它。”

尽管报告描绘了一幅可怕的画面，但证据并不像看上去那么确凿。虽然已经有强有力的证据表明Burisma成功地成为了网络钓鱼活动的目标，但很难确定是谁在背后支持这个活动。确实有迹象表明，俄罗斯的GRU情报机构可能参与其中，但证据大多是间接的。

据了解，大部分证据都在一份跟《纽约时报》文章一起发布的八页报告中。核心证据是以前针对Hudson Institute和George Soros的攻击模式。最糟糕的是，这些钓鱼活动都使用了相同的SSL供应商和相同URL的不同版本然后伪装成一个名为“My Sharepoint”的服务。在Area1看来，这是GRU的战术，Burisma只是众多目标中最新的一个。

但并不是所有人都认为基于域名属性的推断就是十拿九稳的。当Kyle Ehmke检查ThreatConnect相同模式的早期迭代时，他得出了一个更为慎重的结论，即“适度自信”地评估这些域名跟APT28有关–APT28是俄罗斯GRU的缩写。“我们看到了一致性，但在某些情况下，这些一致性并不适用于单个演员，”Ehmke告诉TheVerge。这种注册和网络钓鱼攻击的模式确实像是GRU的剧本，但它不是唯一的剧本也不是其利用的唯一剧本。

实际上，这意味着网络运营商应该在任何时候发现符合这种情况的攻击时发出警报，但要对单个事件做出明确的裁决就显得困难得多。竞选活动中使用的网络基础设施都是公开的，而且还被其他很多政党使用，所以这些都不能算是确凿的证据。而最显著的特征是术语“sharepoint”，研究人员只在跟GRU紧密相连的url中看到过这个词。但任何人都可以注册一个带有“sharepoint”的URL，所以这种连接只是间接的。

Ehmke指出：“这是一组值得注意的一致性，它可以用来寻找和识别他们的基础设施。但这并不是说所有具有这些一致性的东西都已经是而且将会是APT28。”

在缺乏一个特定机构的战略和目标的具体信息的情况下很难做出更强的归因。走向相反的方向–从一个弱归因到一个意图的假设–可能是危险的。

令人沮丧的是，这种弱归因在网络安全世界中非常常见，当各国努力搞清楚网络战的国际外交时它可能会引发真正的问题。乔治亚理工学院Internet Governance Project前执行董事Farzaneh Badii把原因不明归为“可以在技术上受到质疑的间接证据”。她认为这是一个全球性的问题，并主张成立国际归因小组来解决这种僵局，这样观察员就不必依赖私营公司或政府情报机构。如果没有这个信任问题就很难解决。

（稿源：cnBeta，封面源自网络。）