◎安天研究院

上一期中，我们对美国国家安全局（NSA）和中央情报局（CIA）用于实现持久化控制的网空攻击性软硬件装备进行了展开介绍，呈现了美方对各类网络设备以及服务器与终端节点全方位覆盖的持久化能力。在本期中，我们将对美方用于实现漏洞利用的网空攻击装备进行介绍，揭示出美方丰富的漏洞储备及强大的漏洞利用能力。

根据我国《信息安全技术安全漏洞等级划分指南》，漏洞即计算机信息系统在需求、设计、实现、配置、运行等过程中，有意或无意产生的缺陷。漏洞一旦被恶意主体所利用，就会对计算机信息系统的安全造成损害，或者干扰系统正常运行，或者非法控制系统并实现包括提升权限、横向移动、持久化等操作。从信息技术开发与运维的质量控制角度来看，随着技术快速变得复杂化，软硬件产品存在漏洞的情况将会变得日益失控。在全球范围内，每年人们都会从不同的平台、系统和软件中挖掘出数量惊人的漏洞。有些漏洞被公开披露，由相关厂商发布补丁，将漏洞修复。而另一些漏洞的发现者则不想公开漏洞，而是将其隐藏起来，用于其他目的，这其中就包括美国的情报部门。

2017年11月15日，美国白宫向公众发表了政府关于安全漏洞公平裁决程 序（Vulnerabilities Equities Process,VEP）的最新政策信息。VEP涉及的部门包括美国国防部（包含NSA）、CIA、国土安全部（DHS）等10个美国机构，用于决策NSA和其他政府机构发现的硬件、软件、网络设备和工业控制系统组件中哪些漏洞可以发布给美国公司以进行漏洞修复，哪些漏洞仍作为机密以供情报和执法部门在未来的行动中使用。……