两年前，一对海军信息负责人决定攻击他们自己的网络：不仅是在预定的演习中每年一次或两次，而且更频繁，而且不事先通知。现在他们正试图让海军的其余部分以及五角大楼一一效仿。

他们的实验表明，频繁的自动红队会揭示哪些漏洞是最危险的，最容易被攻击者利用并产生最大影响的信息，否则他们就不会拥有这些信息，海军首席信息官或 CIO 亚伦·韦斯 (Aaron Weis) 和海军研究生院的指挥信息官斯科特·比肖夫说。

而且它比国防部目前处理网络安全的方式要有效得多：所采取的步骤清单、实施的补丁等等。 

“这是一种非常合规驱动的心态，就像审计一样……这是错误的，”韦斯告诉我们。“网络安全不是合规问题。” 

像检查清单一样对待网络安全确实回答了一个问题：负责“网络安全”的官员、团队或公司是否已将他们的工作做到了某种商定的绩效水平——基本上，他们是否履行了合同条款或赋值的参数。

这是一种适用于官僚机构的方法，但并不是真正保护网络安全的最佳方法。

“我们有...... 15 到 20 年的记录，使用合规心态说它不起作用，对吧？因为我们继续被我们的对手在网络空间中使用，”

韦斯说，五角大楼需要像衡量士兵、水手、坦克和舰船一样衡量其网络对战斗的适用性：通过军事准备的概念。

这种方法意味着首先优先处理最大的问题，将第二层或复杂的问题设置在较慢的修复路径上。

“有'准备今晚战斗'。但是，如果您是一个航母打击群，并且您将在三个月内进行部署，那么您准备好了吗？你每天都在管理你的准备情况，这是一大堆事情的功能，”“我们有合适的人吗？他们受过训练吗？他们是合格的，还是有缺陷的？我们有设备吗？” 

我们必须证明，在网络空间中达到“准备就绪”状态是不断测试和钻探的问题，而不是填写合规表格。 

我们需要一个安全的空间，在那里可以了解准备情况，而不会将巨大的问题暴露给对手或使重要的海军网络离线。韦斯去了加利福尼亚州蒙特雷的海军研究生院或 NPS。

NPS 的 Bischoff 表示，这所学校适合进行实验，因为它位于加州研究和教育网络，而不是海军网络。

“我在这里有很多其他海军单位没有的权力。它为海军提供了一小块地形来做事，”

比如测试新的网络安全概念，“我们这里有一些独特的地形，可能会冒一点风险并尝试一些事情。你知道，这对 STEM 学校很重要。我们的研究非常密集，所以它就在我们的小巷里。”

因此，NPS 与 Rebellion 达成了合作研发协议，Rebellion 是一家专注于国防的软件初创公司，由前国防部数字服务负责人Chris Lynch 创立。

Rebellion 引入了一个名为Nova的工具 ，可以在网络上进行自动红队。但它不只是敲击它发现的漏洞，就像它正在检查清单一样。 

“它可以识别系统，了解其补丁级别，根据普遍可用的内容对漏洞进行分类，然后根据所知道的内容尝试对其进行自动漏洞利用，”韦斯说。 

该过程揭示了更多信息，而不仅仅是要修补的漏洞列表。他们了解了哪些漏洞最重要、最容易受到攻击，哪些漏洞可以让攻击者获得更广泛的网络访问权限，只有真正的攻击者攻击系统并制定下一步行动时，他们才会学到这些东西。这意味着不同的漏洞具有清单完全忽略的优先级。 

韦斯说：“现在，由于我们的合规性方法，我们专注于修补每个漏洞，对吧？......顺便说一下，没有特定的顺序。我们只是将它们排成一行并将它们击倒。而这种方法......忽视的是一个问题：这个漏洞真的可以被利用吗？

一些看起来很大的漏洞很难利用，而一些看起来很小的漏洞比它们在清单上的位置所表明的要可怕得多。在实际的国防部网络上进行类似的实验可能会揭示出类似的结果：国防部并没有通过对攻击者如何实际接近网络的真实理解来管理其网络漏洞。 

比肖夫说，类似的涉及人类的红队实验很棒，但它们每年会发生一两次。“这是一张快照，对吧。我不想要快照。我想要一整年的电影。”

韦斯说他正在建立这个实验。 

“我们正在……提名一组自愿先行并开始使用这种不同方法的[海军]项目，”他说。

“从去年假期前开始，我们就一直在这里进行领导层讨论。它从与[首席海军军官]的一对一开始，并且从那里开始上升。”

林奇说：“Aaron [韦斯] 正试图彻底改变他们正在做的事情，”不仅在海军，而且可能在整个军队中。

如果国防部要朝着高度网络化的联合全域指挥和控制（JADC2）愿景迈进，这将是其未来十年计划的核心。

网络、计算机、无人机、卫星等连接在一起的次数越多，清单方法就越难以管理。

唯一的解决办法是假设你巨大的联网战争机器在其最薄弱的地方受到攻击——因为确实如此。

Nova以速度和规模提供网络就绪。

Nova 提供自动安全验证，以发现对您的任务的现实网络威胁。

我们的产品利用先进的自动化技术，利用最新的攻击和对手的战术、技术和程序 (TTP) 大规模测试关键系统的网络准备情况，并为应对不断变化的威胁提供快速防御行动。 

原文始发于微信公众号（网络研究院）：一项实验表明，军方必须改变其网络安全方法