商业网络扩散威胁
本报告向读者介绍商业网络工具和服务对英国产业与社会构成的威胁。
NCSC评估
NCSC评估是英国网络威胁领域的权威声音。我们融合所有来源信息——包括机密情报、行业知识、学术材料和开源信息——提供独立的关键判断，为政策决策提供依据并提升英国网络安全。我们与政府、行业和国际伙伴紧密合作，获取专业意见。
NCSC评估是专业情报评估负责人体系的一部分。该体系通过分析技术、专业标准以及建立和维持跨政府社区来引领职业发展。
本报告为CYBERUK 2023制作，使用NCSC评估产品中的正式概率语言，向读者介绍商业网络工具和服务对英国产业与社会构成的威胁。
关键判断
- 商业网络工具和服务降低了国家和非国家行为体获取成本效益高的能力和情报的门槛，这些能力和情报他们原本无法自行开发或获取
- 这种商业扩散几乎肯定会改变网络格局
- 某些商业入侵网络产品和服务的复杂程度几乎肯定能与某些国家关联的APT组织相媲美
- 某些国家几乎肯定大规模使用商业间谍软件针对记者、人权活动家、政治异见者和反对派以及外国政府官员
- 商业"雇佣黑客"对拥有特权或有价值机密信息的组织和个人构成潜在的企业间谍威胁
- 雇佣黑客增加了不可预测目标定位或无意升级的可能性
- 商业网络能力的扩散将导致网络防御需要检测和缓解的元素数量增加，受害者数量和类型同样会增加
什么是商业网络扩散威胁？
商业网络工具和服务的扩散降低了国家和非国家行为体获取他们原本无法开发或获取的能力和情报的门槛。
某些商业入侵网络产品和服务的复杂程度几乎肯定能与某些国家关联的APT组织相媲美。大部分商业网络部门很可能专注于满足国内执法和政府机构的国家需求。然而，在过去十年中，出现了越来越多的企业向全球客户提供各种产品和服务，包括现成能力、定制黑客服务以及零日漏洞和工具框架等赋能能力。
间谍软件：黑客即服务公司
过去十年中，至少有80个国家购买了商业网络入侵软件或间谍软件。对于数十个没有技术基础的国家来说，商业部门几乎是变革性的，使他们能够以成本效益高的方式获得原本需要数十年才能开发的能力。
虽然产品能力和应用各不相同，但商业移动设备间谍软件可以提供读取消息、监听通话、获取照片、定位设备以及远程操作摄像头和麦克风的能力。某些国家可能采购多种商业网络工具来满足需求。设备可能通过多种方式被入侵，包括网络钓鱼，还有不需要用户交互的"零点击"攻击，使受害者更难防范。
虽然这些工具已被国家用于执法目标，但某些国家几乎肯定使用间谍软件针对记者、人权活动家、政治异见者和反对派以及外国政府官员。这几乎肯定是大规模发生的，每年有数千人成为目标。
定制服务：雇佣黑客
雇佣黑客团体为付费客户执行网络活动。除了为国家提供具有传统间谍价值的信息外，雇佣黑客还被报道用于法律纠纷、知识产权盗窃、内幕交易和其他私人数据盗窃。雇佣黑客的技能和能力各不相同，从低级网络犯罪活动到技术上复杂有效的网络入侵，可能不被察觉。有些团体在犯罪圈内运作，有些将自己包装成商业公司，还有些匿名运作。
专注于窃取信息的雇佣黑客团体使用网络钓鱼和其他社会工程攻击、利用计算机网络中公开报告的漏洞，有时使用零日攻击来入侵受害者。最大的威胁来自高端的雇佣黑客团体，其能力和影响与有能力的国家行为者相似。
商业零日漏洞市场
历史上，地下犯罪市场促进了漏洞利用交易。自2000年代初以来，商业领域出现了利润丰厚的零日漏洞利用市场。针对常用系统和流程的关键零日漏洞利用涉及巨额资金，意味着利润机会巨大，并推动了商业化。
关键零日漏洞利用和漏洞对于有能力利用它们的行为者来说几乎是变革性的。国家或向国家提供产品的商业网络入侵公司是商业零日市场的主要客户，并且很可能在未来五年内保持这一地位。促进这种贸易的商业部门的增长可能增加了能够直接或间接获取关键零日能力的国家数量。
工具商品化
可定制的工具框架由网络安全软件开发人员开发，用于模拟威胁活动以进行网络渗透测试。它们通常按许可出售，但有些也可公开获取或提供许可证已被移除的版本。国家和非国家行为者正在使用或重新利用这些框架；很可能实现了网络能力的成本效益提升。
国家和非国家行为者还可以访问为网络犯罪开发和销售的能力。近年来，网络犯罪市场不断发展并日益专业化，部分原因是勒索软件行为者的需求推动。恶意软件即服务就是一个例子，它提供恶意软件使用服务，消除了创建和开发软件的需要，同时降低了操作恶意软件所需的知识门槛。
展望未来
未来五年：
- 需求增加加上宽松的运营环境几乎肯定会导致全球商业网络入侵部门的扩张
- 几乎肯定会有更多高调曝光商业网络工具或雇佣黑客行动的受害者
- 对商业入侵网络部门的监管几乎肯定会缺乏国际共识，难以执行并受政治和商业影响
- 如果出现有效的监管和国际规范，许多商业网络公司可能会被激励审查和限制其客户群
术语表
网络扩散：指行为者之间为网络或设备利用或攻击目的有意或无意转移网络能力。
网络入侵公司：指任何为网络或设备利用或攻击而非网络安全目的提供产品或服务的商业公司。
黑客即服务公司：描述商业实体提供"现成"网络入侵产品（如移动间谍软件）和支持服务，通常面向国家执法和情报机构。
雇佣黑客：不受隶属的个人或团体，受国家、实体甚至个人雇佣进行网络操作以满足客户需求。
商业工具框架：在网络安全部门开发的可定制工具框架，用于促进和管理客户网络入侵以帮助系统渗透测试。
漏洞：系统或过程中的弱点或缺陷。零日漏洞利用利用尚无安全修复程序的漏洞。
恶意软件：源自"恶意软件"，包括病毒、特洛伊木马、蠕虫或任何针对计算机系统、网络或设备的非法目的使用的代码或内容。