马上，2020年美国总统大选投票就要开始了。这次因为疫情，可能会采用现场投票+网络投票+邮寄选票等多种方式。这无形中造成了一系列潜在的安全隐患。即使没有疫情，大选也会面临各种风险。2016年，政府在社交媒体上部署虚假信息策略，渗透选民登记数据库，并侵入竞选系统以扰乱选举进程。由于大选受到外国势力的干扰，联邦和州政府在过去四年中花费了大量时间为2020年大选做准备。今年的这次特别选举可能会重点关注这些威胁，国会拨款超过8亿美元用于改善选举安全。此外，在2018年，美国网络司令部推出了一项新战略，以主动消除外国网络威胁并强化政府系统。据报道，这些努力与美国国家安全局合作，挫败了一项旨在扰乱2018年中期选举的“计划”。本文旨在“抛砖引玉”，借鉴美国大选的安全保障计划，思考自己的企业或组织是否存在类似问题，是否可以从中得到解决思路目前类似的问题。下面分析了即将举行的选举中的11种潜在风险，以及它们可能产生的影响和保护策略。图1美国2020年大选十一风险点1.虚假信息（风险等级：高，影响：未知）利用虚假信息进行误导或欺骗。传播旨在破坏人们对媒体和政府等机构的信任的虚假信息，在不同群体之间挑拨离间，或改变公众对特定个人、国家、想法等的看法。YouTube和Facebook等平台可以有效地创建和传播虚假信息和AI技术提供了一种提高其效率的有效方法，允许使用deepfakes和机器人程序。国家反情报和安全中心主任威廉·埃瓦尼纳(WilliamEvanina)强调了2020年11月大选的风险：“外国继续在社交媒体和传统媒体中使用影响策略，试图左右美国选民的偏好和观点，改变美国的政策，并制造不和，破坏人们对民主进程的信心。”麻省理工学院媒体实验室2018年的一项研究发现，虚假信息在Twitter上的传播速度比真相快。假新闻比真相传播得更远。前1%的假新闻影响人数在1,000到100,000人之间，而真相很少超过一千人这种现象在与疫情有关的虚假信息传播中得到了明显体现，皮尤研究中心2020年4月的一项民意调查发现，超过60%的美国人接触过此类恶意新闻，这几乎完全是捏造的。防御策略：检测机器人程序和deepfakes，提高媒体质量为了防止虚假信息的传播，各国政府正在努力让公众了解这一威胁。政府还采取了一些措施来阻止外国行为者的恶意活动。科技公司——尤其是谷歌、推特和Facebook——已经在2016年采取措施防止总统大选期间在其平台上出现此类行为。为了识别和删除虚假信息，一些公司聘请了内容审核员。就Facebook而言，大约有15,000名评论员，其中大部分是外包的。谷歌构建了一个deepfake数据集，以支持研究人员构建deepfake检测工具。Facebook与微软和亚马逊合作，赞助了2019-2020年的深度换脸检测挑战赛。为了宣传真实信息，自2020年3月以来，谷歌、Facebook和Twitter已向外部事实核查和新闻机构捐赠了超过1亿美元。这些公司还加入或发起了倡议（例如新闻诚信倡议和谷歌新闻倡议）通过投资、培训和合作伙伴关系支持高质量的新闻业。Facebook和Twitter都提供经过验证的2020年大选投票资源。Yonder和Astroscreen检测在线平台上的虚假信息。Yonder使用机器学习算法来监控在线对话，而Astroscreen则分析Twitter帐户行为以识别机器人。NewsGuard试图通过提供显示在线新闻来源质量的浏览器扩展来告知公众信息的使用情况。质量分数基于新闻来源的信任度。2.政治竞选系统（风险级别：高影响：高）活动通常由少数全职员工和大量帮助筹集资金、传递信息、举办活动等的志愿者组织。这些组织的成员通常可以获得有关候选人的敏感信息，以及潜在选民和捐助者的名单。对竞选活动IT基础设施的攻击可能会扰乱竞选活动并泄露有关候选人及其支持者的机密信息。2016年，黑客利用鱼叉式网络钓鱼技术侵入了希拉里克林顿竞选主席约翰波德斯塔的邮箱，并将收集到的信息公开。至于2020年选举周期，2019年微软威胁情报团队发现外国代理人进行了类似的恶意操作，并表示这与2016年和2018年的目标大致一致。敏感信息的公开发布可以改变公众的看法并影响投票行为。此外，竞争对手和活动的竞争优势通过公开活动策略和信息而公开。竞选系统的渗透也可能危及筹款、后勤和通信等活动。防御策略：网络安全咨询服务政治运动越来越意识到他们面临的网络威胁，但许多人仍然面临一些挑战：不愿分享威胁信息、预算有限和临时志愿者团队。一些非营利组织为运动提供免费或低成本的网络安全咨询服务和解决方案，包括从电子邮件到云计算再到端点保护的一系列防御措施。2020年3月，Cyber??domeUSA创建了一个用于政治活动的威胁信息共享网络。2019年，联邦选举委员会授予DefendingDigitalCampaigns特别许可，为国会和总统竞选活动提供网络安全服务。从那时起，该组织发展了一个由提供免费或折扣服务的网络安全合作伙伴组成的生态系统。推荐的供应商：3.选民登记系统（风险级别：高影响：中）选民必须登记才能在北达科他州以外的每个州投票。这些记录在州一级进行管理，通常包括选民的姓名、地址、出生日期和其他身份信息。这种去中心化系统扩大了攻击面。如果黑客获得选民登记系统的访问权限，他们可以修改、删除或锁定记录，从而在选举日造成混乱并损害选举结果的完整性。黑客还经常使用勒索软件攻击州和地方政府，然后要求支付密钥以解锁实体。自2019年以来，地方和州政府遭受了200多次勒索软件攻击。勒索软件更改或锁定选民登记数据库可能会造成混乱并影响选民参与选举。然而，大规模地进行这样的攻击并不简单。选民记录的变化很容易被发现，而国家系统是孤立的，这使得广泛的攻击更加困难。此外，大多数数据库都有备份。防御策略：用于早期检测的传感器和数据备份解决方案自2016年以来，各州和联邦政府已采取多项措施来改进选民登记数据库。他们为解决问题分配了资金，改进了系统，建立了传达威胁的流程，并聘请了更多的网络安全人员专注于选举。至少有36个州与非营利IT安全公司互联网安全中心合作，添加网络入侵传感器，称为阿尔伯特传感器，用于检测和报告其网络上的恶意活动。早期检测缩短了州和联邦当局的响应时间，限制了黑客影响数据库的能力。为了保护选民数据库中的敏感信息免受勒索软件攻击并确保其可用性，各州还应考虑数据备份解决方案。虽然数据库经常从在线资源更新，但它们也需要经常同步到备份。Cohesity、Druva和Rubrik提供此类解决方案，确保在勒索软件攻击等灾难期间的数据可用性。4.投票机（风险等级：中等影响：中）预计11月的很大一部分投票将通过邮寄（邮寄）进行，但投票机仍将收集很大一部分选票。这些投票机向选民展示候选人名单，记录他们的选择，并统计选票。许多投票机都是数字化的，因此很容易被操纵。虽然各州政府正在努力更换易受攻击的设备，但由于时间问题，其中大部分设备到2020年11月仍将在使用中。在2019年世界黑客大会(DefCon)上，黑客测试并成功破坏了100台经过认证可在至少一个美国司法管辖区使用的不同投票机的安全性。投票系统的去中心化也使得投票机免受大规模攻击。尽管如此，即使是对少数选区的攻击也可能对选举结果产生巨大影响，因此确保这些选区的投票机安全尤为重要。此外，如果网上公布了成功篡改投票机的证据，哪怕只有一个，也会对选举结果产生怀疑。防御策略：更新设备和验证选票许多州正在更换旧的无纸化且无法进行纸质审计的投票机。据布伦南中心估计，到2020年，只有12%的无纸化机器投出的选票会投出，低于2016年的20%。此外，在2020年初，微软在威斯康星州的地方选举中试用了其开源ElectionGuard产品。该产品并没有解决与投票机相关的各种挑战，而是为选民提供了一种验证其选票的方法。通过打印两份选票，一份用于投票箱，一份用于选民，选民可以识别机器是否被操纵和篡改。ElectionGuard采用同态加密技术（将同态加密后的数据处理得到一个输出，并对输出进行解密，结果与未加密的原始数据同样处理得到的输出相同）保证安全性和匿名性，虽然它赢了不会在2020年的选举中广泛使用。但应对这一挑战的尝试凸显了拥有可验证的投票记录的重要性。5.候选人账户（风险级别：中等影响：中）如果竞选政治职位是一项业务，那么候选人就是产品。对于候选人来说，这可能会模糊个人生活和公共活动之间的界限，以及支持两者的技术。求职者通常会优先考虑工作电子邮件和应用程序的安全，而不是个人电子邮件和社交媒体帐户。不安全的个人账户也会对选举构成威胁。黑客可能会从候选人的个人账户中获取和发布敏感信息，并通过社交媒体或其他方式冒充候选人。2020年7月，Twitter遭到黑客攻击，导致几位知名人士的账户被盗，其中包括民主党总统候选人乔·拜登、前总统巴拉克·奥巴马和商人埃隆·马斯克。这些攻击会接管帐户并将其用于恶意目的。自2016年以来，多起针对政治候选人的网络钓鱼攻击浮出水面。这些攻击通常通过电子邮件发送恶意软件或请求信息。微软负责客户安全和信任的副总裁汤姆伯特强调，他的团队发现了三起针对2018年总统候选人的网络钓鱼攻击。侵入候选人的帐户是一种多方面的威胁：它允许黑客收集和公开信息或将其披露给竞争对手，获得对其他敏感系统的访问权，或冒充候选人。在这些情况下，候选人在公众眼中的形象可能会受到损害，公平的选举可能会受到威胁。保护策略：邮件安全和深度认证为了支持高风险个人（账户），谷歌推出了高级保护计划作为其电子邮件服务的扩展。该方案通过限制第三方对电子邮件的访问并要求使用物理安全密钥进行身份验证来增加个人电子邮件帐户的安全性。多因素身份验证-需要另一个身份来源（例如通过电话或电子邮件发送的验证码）来访问应用程序或帐户-大大降低了个人帐户被黑客入侵的风险。但是黑客可以拦截这些身份验证消息。Yubico提供的物理密钥（如USB、智能卡等）消除了拦截身份验证消息的机会。LastPass等公司还使用支持高级双因素身份验证（例如指纹和面部ID）的加密密码管理器来保护个人。Yubico和LastPass都通过DefendingDigitalCampaigns提供服务。6.选举系统供应商（风险级别：中等影响：中）地方和联邦政府依靠供应商来进行和支持选举，包括电子邮件通信、收集选票的机器和选举网站。有些供应商比其他供应商发挥更重要的作用，例如，一家供应商提供了超过60%的美国人使用的投票系统。对这些供应商之一或两者的攻击可能会阻碍选举过程或导致敏感信息的泄露/丢失。FBI的一份报告发现，中国黑客在2016年入侵了一家美国选举软件提供商。黑客冒充同一供应商，向佛罗里达州多个县的选举管理人员发送了100多封鱼叉式网络钓鱼电子邮件。选举管理供应商通常面临低利润率、有限的联邦监管和高准入门槛，并抱怨网络安全投资严重不足。例如，2017年，加利福尼亚州发起的选举系统和软件安全审计(ES&S)发现了多个漏洞，允许黑客操纵系统配置甚至删除选票。供应商支持选举过程的关键部分，并且经常可以访问个人身份信息，这使他们成为一个问题点。在一个高度集中的市场中，只有3家公司（包括ES&S）拥有超过90%的美国投票设备，对这三个供应商的攻击可能会产生严重后果。防御策略：漏洞披露与测试2020年，ES&S公布了漏洞披露计划。此前很长一段时间，选举设备和软件供应商都回避漏洞测试和披露活动。众测漏洞平台Synack将为此提供支持。该项目是在Synack推进选举安全项目之后启动的，该项目于2018年开始，名为“确保选举安全”。该公司联系了各州的国务卿，为其选举系统提供免费的公共安全测试服务。人群测试漏洞平台，如Synack、HackerOne和Bugcrowd平台，可以在恶意行为者有机会利用它们之前识别漏洞。7.选举管理员（风险级别：中等影响：中）超过10,000名当地管理员执行选举程序，从存储和测试投票机到制表结果。他们的主要作用是将民意调查的信息传递给州政府官员。对这些管理员和他们所依赖的系统的攻击可能会阻止投票、结果计算或结果传输。网络安全公司Area1Security在2020年进行的一项研究发现，超过一半的选举管理人员“只有最基本的”技能来防范网络钓鱼攻击。2016年，黑客利用网络钓鱼攻击成功侵入佛罗里达州县选举系统，获取希拉里竞选主席的电子邮件。在网络钓鱼攻击中，电子邮件成为进入用户或公司系统和数据的入口点，使选举系统面临风险。虽然网络钓鱼的成功率往往是个位数。通常较小的司法管辖区最容易受到攻击，而且由于全国各地的选举制度参差不齐，此类袭击的影响是可以控制的。保护策略：访问权限管理反钓鱼工具标记或重定向恶意邮件，阻止黑客的攻击。同时，权限管理方案通过控制对数据和系统的访问来限制黑客从网络内部造成破坏。Area1Security和Agari是两家反网络钓鱼公司，它们通过数字防御活动提供免费或降价服务。访问管理提供商Centrify通过其“确保2020年投票”计划以半价向美国选举委员会提供选项。在过去四年中，除了私营部门的支持外，联邦机构和州政府官员还努力提高选举管理人员对安全威胁的认识，制定报告程序，并改进网络安全培训。例如，德克萨斯州现在要求所有有权访问全州选民登记和选举管理系统的员工完成年度安全培训。网络安全和基础设施安全局(CISA)通过向州和地方机构提供培训材料来支持这些计划。8.州和地方网站（风险级别：中等影响：低）州和地方政府在选举前几天提供关于如何以及在何处投票的重要信息。这些信息连同选举结果经常出现在政府或新闻网站上。攻击地方政府和媒体网络资产的黑客可以提供虚假信息或阻止重要信息到达潜在选民。2018年，在田纳西州的一次地方选举期间，一次DDoS攻击导致诺克斯县选举委员会网站（用于向公众提供选举结果）离线。网络安全公司McAfee的研究发现，在13个有争议的州中，大多数县选举管理网站缺乏安全措施，例如https加密或.gov验证。这些弱点使网站更容易被篡改。操纵或关闭支持选举的政府网站可能会造成混乱并影响选民投票率。这次袭击还可能使人们对选举的公正性产生怀疑。但由于传播手段（如媒体、社交媒体和其他政府网站）的普及和去中心化的投票系统，针对选举网站的攻击不太可能大规模发生，因此对选举结果的影响在可控范围内范围。防御策略：免费网站安全服务由于预算和IT资源有限，许多选举辖区缺乏适当保护其网络资产的工具。认识到这一需求，网站安全公司Cloudflare在2018年宣布了其雅典项目。该计划使Cloudflare的安全产品——WAF、DDoS保护和网站分析——免费提供给州和地方政府。截至2019年12月，已有26个州的156个地方或州政府网站使用了该服务。Google通过其子公司Jigsaw创建了ProjectSHIELD，这是一项旨在保护人权、新闻和选举监督组织网站的免费服务。项目屏蔽过滤恶意流量以维持网站运行。9.关键基础设施（RiskLevel:LowImpact:High）CISA（网络安全和基础设施安全局）将关键基础设施定义为“对美国至关重要的物理和虚拟资产、系统和网络，损失或中断将有对国家安全、国家经济安全、[或]国家公共健康或安全造成破坏性影响。”关键基础设施涉及16个领域。2017年，国土安全部将选举基础设施添加到其政府设施列表中。在选举日对美国关键基础设施（例如电网或交通系统）进行网络攻击可能会减少投票率，使投票系统瘫痪或设施，并降低对选举结果的信任。对关键基础设施的攻击对健康和安全构成重大威胁——例如，对电网的攻击可能会使通信和网络等重要系统脱机。但攻击的无形影响可能更严重和持久。例如，关闭电网可能导致交通拥堵和混乱，减少受影响地区的投票率。对美国关键基础设施的攻击可能引发美国迅速和激进的报复，威慑某些国家。有此类攻击是有先例的，2020年以色列供水系统被攻击，美国勒索病毒攻击使一家天然气运营商下线。黑客过去曾侵入乌克兰的电网，最近又侵入德国的关键基础设施。外交关系委员会将“对美国关键基础设施（包括选举系统）的高度破坏性网络攻击”列为2020年的头号威胁。防御：保护IT和OT系统联邦政府在关键基础设施上投入资源和监督，而初创企业和现代企业同样提供网络防御以保持在不断升级的威胁之下。许多公司致力于保护关键基础设施，包括国防承包商（例如洛克希德马丁公司、BAE系统公司）、技术公司（例如思科公司、Tenable公司）和工业设备供应商（例如西门子公司、通用电气公司）。这些公司通常专注于保护公司的IT系统或OT系统（即执行关键操作的机器和设备）。专注于保护这些工业系统，思科于2019年收购了工业物联网(IIoT)网络安全公司Sentryo。设备制造商西门子正在为其产品添加安全功能，并于2020年6月购买了UltraSoC以检测恶意攻击。10.邮寄选票（风险级别：低影响：中等）邮寄选票将在2020年11月的选举中发挥重要作用，因为在大流行期间，面对面的活动基本上被取消了。这一投票过程的推动者美国邮政总局(USPS)将在其全国投票系统中引入一个核心元素。与所有大型物流组织一样，USPS依靠技术来维持运转。因此，对其IT系统的攻击可能会扰乱运营并延迟选举结果。美国邮政局依靠50万名员工和条形码阅读器、托盘分拣机等一系列技术支持2019年超过1420亿美元的邮件量。这种操作的广度创造了巨大的攻击面。2020年7月，CISA发布了一份备忘录，概述了邮寄投票面临的具体威胁以及缓解这些威胁的步骤。对邮政IT系统的攻击可能会影响组织及时支持邮寄投票的能力。这可能会延迟结果的收集和表格的制作，从而造成选举结果的不确定性。然而，选举的推迟是可以预见的，从而降低了选举完整性的风险。防御策略：事件响应在2014年发生违规事件后，USPS采取了许多措施来改善其网络安全，创建了公司信息安全办公室，建立了网络安全运营中心(CSOC)，并获得资金以加强其威胁监控和事件响应能力。2020年3月，监察长办公室对USPS的事件检测和响应能力进行了测试。该报告详细说明了测试结果并确定了需要改进的领域，包括制定关键性能指标、建立审查事件响应票证的流程以及完成某些检测功能。许多网络安全公司提供事件响应解决方案，包括BlueVoyant，它希望通过为政治活动和政党提供低成本服务来支持选举安全。Exabeam和Securonix利用数据科学技术来支持事件响应。11.外国竞选资金（风险级别：低影响：低）竞选公职的候选人及其竞选活动通常依靠筹款来支持运营（例如租用办公室、雇用竞选人员等）和广告。这些活动鼓励选民参与，提高候选人的知名度并帮助塑造候选人的公众形象。竞选资金有多种来源，包括个人捐款、公司、劳工组织以及政治行动委员会(PAC)和政党等各种组织或金融机构。然而，外国实体——个人、公司和政府——被禁止直接或间接地为候选人的竞选做出贡献。绕过金融保障措施并提供外国资金的攻击可能会让候选人在绕过美国人民意愿的选举中获得不公平的优势。或者，不恰当地接受外国资金可能会损害候选人的声誉。从历史上看，很少有外国资金参与美国大选的例子。为了有效地影响选举结果，外国需要向候选人的竞选活动注入大量资金。这既适用于影响选举结果，也适用于破坏政客的信誉。在不被发现的情况下将如此巨额的资金投入到一项活动中是一项技术挑战。此外，许多外国实体可能认为此类投资的结果不确定。在2015-2016年选举周期中，总统候选人筹集并花费了15亿美元的竞选支出，而附属实体（政治行动委员会和党委）又花费了56亿美元。改变现状需要外国实体在不被发现的情况下大手笔投资。研究人员尚未找到支出与选举结果之间的因果关系，因此即使是大量外国资金也不一定能确保候选人获胜。但如果候选人获得外国资助，可能会损害他们的声誉，这取决于是否有意为之。防御措施：用于监控欺诈的合规和监管技术世界各地的公司都有复杂的法律结构，可能会混淆资金来源。在线捐赠进一步引入了将小额捐赠转化为大额捐赠的能力。为了保护选举不受外国资金的影响，筹款组织可以使用合规技术来识别和减轻财务风险。熟悉监管框架和金融体系的金融科技公司越来越多地使用机器学习算法来识别异常活动。例如，ComplyAdvantage使用人工智能来监控交易，以识别和标记那些不合规的交易（来自受制裁国家）。同时，Trulioo提供身份验证方案以确保合规性并减少欺诈。金融机构采用许多解决方案来确保金融系统的完整性，可以使竞选筹款跟踪现代化。随着选举的临近和美国人前往投票站，这将是大型科技公司（如微软、谷歌、Facebook）、初创公司（如Area1Security、Synack、NewsGuard）以及联邦和地方政府激动人心的四年中的第一年.令人印象深刻的合作。选举日的结果将最终决定这些实体的努力成果，包括网络监控、网络培训和反网络钓鱼工具。与此同时，影响2020年大选的运动已经开始。在Internet上，黑客试图通过网络钓鱼和暴力攻击来渗透活动和政府系统。就在过去几周，微软的威胁情报团队发现有人企图渗透至少200个与即将举行的选举有关的组织。虽然以选举为目标的外国行为者可能有不同的目标，但他们给选举进程和整体民主环境蒙上了一层阴影。因此，美国在2020年大选中最强大的防御力量将是其公民。在选举日，每个公民都可以选择投票并信任经过验证的信息来源。
