网络武器解构：攻击性网络能力的两大市场空间和五大支柱
报告称，攻击性网络能力扩散导致网络空间的不稳定性日益增长，相关因素进一步将该问题扩展到了地缘政治程度。
报告提出，政府、犯罪集团、业界和“访问即服务”提供商在自我监管或半监管市场内开展活动，以扩散攻击性网络能力。
报告提出了攻击性网络能力的五大支柱：一是漏洞研究和利用开发，包括发现漏洞本身的研究，以及促进被发现漏洞和编写漏洞扩散的披露计划和研究机构；二是恶意软件有效载荷生成，包括攻击者用于开展攻击性网络行动所编写或使用的任何恶意软件或恶意软件工具，或鼓励或开展恶意软件交换的任何平台；三是技术性命令和控制，包括提供旨在支持攻击性网络能力运作方面的技术，例如防弹主机、域名注册、服务器端命令和控制软件、虚拟专用网（VPN）服务或涉及攻击性网络行动初始创建的交付账户；四是运营管理，包括行动管理、资源和团队的战略组织、最初目标决策以及有效管理开展网络行动的机构所需的其他职能；五是培训和支持，包括提供有关攻击网络行动流程的任何培训计划或教育，从而扩大训练有素专业人员的数量，并在他们之间建立了联系，以促进攻击性网络能力的发展。
攻击性网络能力（OCC）的扩散经常被与核扩散和储存进行比较。
在网络空间中建立防扩散机制已经让决策者困惑十多年之久。
欧盟在这个议题上所焕发出的新活力以及美国政治新当权者的到来为在更完整背景下提供辩论和更准确地确定参与者利益带来了机会。
二、进攻性网络能力：看到整个链条
攻击性网络能力防扩散失败的原因是对网络能力的生成和传播方式了解甚少。
但是，攻击性网络能力不仅仅包括恶意软件及其命令和控制。
本文介绍了攻击性网络能力的五个支柱，以此来表征攻击性网络能力的技术和运营基础。
这五个支柱分别为漏洞研究和利用开发、恶意软件有效载荷开发、技术性命令和控制、运营管理以及培训和支持。
表1：攻击性网络能力扩散的五个支柱
三、攻击性网络能力扩散的半监管和自我监管市场
其范围包括从提供单个组件到独立开发和开展整个攻击性网络行动。
自我监管和半监管空间中存在的行为体可以进一步划分为政府、犯罪和实现访问即服务（AaaS）的私人行为体，即有效地向客户销售计算机网络入侵服务的雇用黑客行为体。
在自我监管的犯罪空间，各种各样的地下市场激增，从可以被任何（希望成为）攻击者很容易和自由访问的自由市场，到通过受市场信任成员的邀请来启用某些访问监管机制的引入市场，再到高技能网络犯罪分子经常光顾的隔离市场。
同样，在半监管空间中，运营者的攻击能力也各不相同：从具有充裕而成熟的网络能力并能够发展自身攻击且在各级别上自主开展攻击性网络行动的国家，到提供具有与犯罪分子可能滥用网络工具功能相同的合法版本网络工具的私人公司。
众所周知，AaaS团体可以为需要既定能力但又无法有机地生产它们的政府提供支持。
尽管政府出于战略原因可能会开发攻击性网络能力，但AaaS私人团体必须实现经济可持续性才能继续运营。
攻击性网络能力链条包括以下五个活动支柱。
这些支柱植根于有关网络行动和能力的现有文献和模型，以及“野外”观察到的网络行动的公共报告。
带破折号的空白单元格表示该特定维度没有功能；
◯表示行为体仅在该维度上具有基本能力，例如通过操作自动化框架获得的能力；
◐表示行为体可以在该维度上重新利用和修改现有技术，例如混淆已知的恶意软件/利用代码；
⬤表示行为体可以在该维度上生成新方法或活动，例如零日漏洞利用。
（*）为对具有成熟网络能力政府的评估。
四、进攻性网络能力扩散的五大支柱
支柱一：漏洞研究与利用开发
漏洞是系统设计、实施或操作与管理中的缺陷，通常可以通过催化意外行为来利用它来破坏系统的安全策略。
利用漏洞可以使攻击者在安装产生预期最终效果的恶意软件有效负载前访问目标系统。
由于零日漏洞在开展攻击性网络行动时可以提供无与伦比的访问权限，因此有时漏洞研究或漏洞赏金计划与政府机构相关联，从而将漏洞输送到国家支持的网络行动中。
漏洞披露也可能受到开展攻击性网络行动的政府机构的影响，以防止目标系统修补。
公司和政府范围内的漏洞赏金计划正是为此目的而设计的，从而有效地“众包”安全测试。
国家和大型犯罪集团也利用漏洞利用，即使漏洞已得修补（即已知漏洞，N-days）。
自由访问地下市场所提供的新颖而有效的进攻能力几乎不存在。
支柱二：恶意软件有效载荷生成
恶意软件通常构成攻击性网络能力扩散辩论的大部分内容。
恶意软件也可以在地下市场中找到。
恶意软件有效负载在更专有的市场变得更量身定制和有效，尤其是对于最专有的客户：政府机构。
如果政府内的国家支持恶意软件并非在内部构建，则承包商也可以填补这一空白。
支柱三：技术性命令和控制
攻击性网络行动通常不仅包含恶意软件的有效载荷和漏洞利用。
在许多国家赞助的案例中，用于攻击性网络行动的基础架构通常会入侵或滥用合法的互联网技术，主要是为了掩盖恶意活动的指征。
特别是在自我监管市场中，为恶意软件活动设置和运行命令和控制基础架构经常会面临被执法部门捣毁的风险。
这些防弹主机服务的提供商在犯罪论坛上非常丰富。
无论哪种方式，极有可能的情况是民族国家、罪犯或为进攻性网络行动建立技术基础架构的任何其他实体大量此事此类活动。
对于在内部进行设置的机构而言，许多为行动设置基础架构的个人通常会遵循一定的模式。
支柱四：运营管理
作为行动更以人为中心的方面，该支柱包括行动管理、资源和团队的战略组织、最初目标决策以及有效管理开展网络行动的机构所需的其他职能。
恶意软件、漏洞利用和相关的基础架构不会自我扩散。
即使在小型网络犯罪公司中，创建流程并指导个人执行特定操作也是很常见的。
其他犯罪活动得到精心设计犯罪商业模型的支持（并通过其扩展）。
为攻击性网络能力创建功能强大的国家资助部门需要的组织知识要比小型网络犯罪集团要多得多。
这些部门也可以由外部机构协助。
第三方供应商可以进一步补充网络能力。
支柱五：培训和支持
机构无法自发组建技术高超的团队来开展攻击性网络行动。
与其他支柱一样，出于防御原因也可以提供攻击性训练计划。
许多安全会议，包括广泛参加的BlackHat会议以及诸如INFILTRATE之类专门的攻击性安全会议，也提供了培训课程，以发展攻击安全社区（尽管美国和其他情报机构的成员也有可能参加同样的会议）。
还存在攻击性网络行动培训（尽管在不太开放的场所）。
在半监管空间中提供攻击性网络行动培训的组织将特意前往外国司法管辖区，在专门的研讨会上为政府官员和组织提供服务。
各国政府在决定对员工进行攻击性网络行动策略和技术培训时，有许多资源可供汲取。
政府开发的内部解决方案，例如美国国家安全局的国家密码术学校，过去一直在开发量身定制的专业知识方面很有用。
同样，网络安全培训课程由美国计算机协会和IEEE等协会通过由来自多个机构的成员组成的联合任务组制定。
最终，提供培训的组织，尤其是为政府受众设计的培训，不仅仅提供技术专业知识。
当然，由不同实体提供的特定培训类型也取决于激励这些行为体提供培训的业务模型或激励措施。
五、专注于进攻性网络能力的防扩散
了解犯罪市场、政府机构和私有AaaS团体提供和构建用于开展攻击性网络行动的最新产品的方式，还可以使政策制定者将特定的行为体群体作为打击目标，而不会损害整个网络安全行业。