每日热议!美海军陆战队联合网络武器成本估算框架：概述篇

2023年2月，兰德公司发布了一份报告《A Cost EstimatingFramework for U.S. Marine Corps Joint Cyber Weapons》，该报告通过评估海军陆战队进攻性网络作战武器采办生命周期，提出提高网络武器采办相关决策透明度的方法，以此来支持美海军陆战队系统司令部进行决策。报告提出的建议侧重于提高对成本、进度、作战能力和风险的贸易空间的理解，以帮助新的联合网络武器(JCW)计划维持海军陆战队的网络需求。

该研究将运营能力、进度和风险方面的数据整合到一个成本估算框架中，该框架包含五类输入和三类输出。该框架捕获了对漏洞利用的需求、各种类型的网络武器、目标环境(例如，台式机或移动系统)、漏洞衰减率、对手防御能力、武器成本以及采购如何随着时间的推移逐步进入和退出服务。该分析还涉及量化脆弱性寿命和模拟成本估算框架，以更好地捕捉不确定性。

(资料图片)

美国海军陆战队联合网络武器的成本估算框架——概述篇

编译：学术plus高级观察员 临风

本文主要内容及关键词

本文主要介绍了报告的研究目的、研究方法、研究结论、研究建议以及整体文件的概要性介绍，即①联合网络武器计划（JCW）②软件采购途径（SWP）③网络武器术语。本文编译的为第一部分，后续将继续为大家详细介绍研究报告中成本估算框架的模型和工具，欢迎大家持续关注！

内容主要整理自外文网站相关资料

仅供学习参考，欢迎交流指正！

文章观点不代表本机构立场

01研究目的

美国海军陆战队系统司令部要求兰德公司评估海军陆战队进攻性网络作战采办生命周期，并确定提高网络武器采办相关决策透明度的方法。目标是增强对成本、进度、作战能力和风险的理解，以帮助确保新的联合网络武器(JCW)计划能够最好地支持和维持海军陆战队的网络需求。

02研究方法

为了提高透明度并为JCW即将进行的收购决策提供信息，兰德公司收集了运营能力、进度和风险方面的数据，以开发JCW生命周期成本估算框架。这个框架有助于项目领导理解潜在的成本，并为预算考虑提供额外的指导。

图S.1 JCW生命周期成本估算框架（注：CDF =累积分布函数；O&M =操作和维护）

如图所示，框架包括五类输入，三类输出。并充分考虑了作战用户对网络武器的需求，以及网络武器的类型(例如，利用漏洞、植入、有效载荷)，武器的目标环境(例如，台式或移动系统)，漏洞衰减率，对手的防御能力，武器成本，以及各种采购如何随着时间的推移逐步投入使用和退出使用。计算网络武器的产量、成本以及不确定性在特定时期内的分布情况(例如，未来几年国防计划的责任权限)。

在开发该框架时，发现了许多与漏洞生命周期、开发需求信号、漏洞获取方法以及数据可用性挑战相关的潜在不确定性。出于这些原因，研究人员试图量化脆弱性寿命，建立一个成本估算框架的模拟，以提高透明度，并对JCW计划中重要领域的不确定性提供一个更精细的视图。

03研究结论

除了在估计网络武器成本时发现许多潜在的不确定性，研究还使用开源信息评估了133个历史漏洞的生命周期，并发现在潜在对手具有高防御水平(即快速识别和修补漏洞的能力)的情况下，移动系统和台式机漏洞的平均生命周期可能非常短(分别为3到5个月)。基于现有的数据和对作战需求的假设发现，JCW计划的潜在成本存在很大的不确定性——五年的总成本在9000万美元到2.9亿美元之间。值得注意的是，运营需求水平是概念上的，就像获取和实施利用的成本一样，随着更多数据的可用，成本可能会发生变化。还有其他可以探索的参数，如利用的复杂性。

04研究建议

研究结果为JCW项目负责人提供了以下建议:

在项目规划和预算期间，考虑漏洞生命周期的重大不确定性；

收集历史数据(并计划收集未来数据),了解保护和实施漏洞利用的成本和时间表。

随着时间的推移，随着更多的获取和执行数据变得可用，海军陆战队可以更新模型和输入，以更好地预测未来的成本。我们已经确定了七个领域来增强该模型：

（1）纳入关于网络武器要素成本的历史数据；

（2）增加网络武器元素估计的粒度；

（3）增加网络武器类型的粒度；

（4）表征网络武器的获取类型；

（5）纳入额外的成本和进度驱动因素；

（6）进一步开发和参数化针对攻击的对手防御水平衰减函数；

（7）将探索性模拟转换为优化模型。

05概要性介绍

由于网络空间作战已经变得越来越普遍和复杂，美国国防部(DoD)需要更好地了解在该领域作战需要采购什么武器以及采购的成本、进度和性能。因此，兰德公司被要求评估海军陆战队网络作战采办生命周期，并提出提高海军陆战队网络作战计划管理办公室(PMM-173)能力和战略指导之间联系透明度的方法。

兰德公司还通过提高对成本、进度、作战能力和风险的贸易空间的理解来支撑网络武器采购决策，以帮助确保新的联合网络武器(JCW)计划能够最好地支持和维持美国海军陆战队的网络需求。由此提出了成本估算框架，该框架用于在计划、能力和风险一定的范围内估计网络武器的成本，并提供了一种探索性模拟能力，旨在通过量化重要领域的不确定性来提高透明度。

5.1 联合网络武器计划（JCW）

该计划由美国海军陆战队系统司令部执行，以支持海军陆战队部队网络空间司令部。JCW为该司令部提供用于网络作战的进攻性网络能力。进攻性网络作战意味着JCW获得的能力在一些重要方面是非传统的：

可能依赖于难以定义功能的美元价值的市场；

需要非常快速地开发（即，在六个月或更短的时间内）；

需要完全有能力使用敏捷软件开发方法部署；

开发人员不需要考虑用户或数据迁移需求；

相对于典型的采办来说，它们通常没有很长的寿命，后续维持作用很小甚至不存在；

重复使用以前项目元素的机会是有限的。

5.2 软件采办途径（SWP）

JCW计划使用自适应采办框架内的软件采办途径（SWP）。JCW于2021年10月被正式指定使用SWP(Pasagian，2021)。SWP于2020年1月被添加到国防部指令5000.02“适应性采购框架的操作”中，此前在2020财年国防授权法案第800节中有所规定。2020年10月，国防部指令5000.87《软件采办途径的操作》进一步阐明了该途径。该途径为JCW提供了通过灵活管理需求快速交付软件的机制，以及定制软件工程生命周期实践、过程等相关的能力。

鉴于JCW计划相对于传统软件采购的独特性，新的SWP可能会面临一些实施挑战。例如，SWP政策正在演变，国会可能会实施更严格的审查和更多的数据调用。然而，也许最具挑战性的方面是网络武器需要通过部署完全投入使用。用户可以在操作上实现的最小可行产品的概念可能很难令人满意。这增加了测试和评估阶段的重要性，这将挑战JCW项目快速交付效果的能力。

5.3 网络武器术语

在讨论成本估算框架的细节之前，定义一些相关术语是很重要的。网络武器是通过利用目标系统中的潜在漏洞来攻击对手系统的。一些组织试图定义复杂的网络攻击的多步骤过程，通常是为了帮助其他组织提供针对网络武器的全面网络防御。洛克希德·马丁公司描述了一个七步“网络杀伤链”，从侦察目标系统开始，到针对目标采取行动结束(洛克希德·马丁公司，2015)。成本估算框架的重点在于这些整体过程描述，并包括最终构成网络武器的三大类工具：漏洞利用、植入和有效载荷。在本报告中，我们将这些类别称为网络武器的要素。

5.3.1 漏洞利用

如果漏洞被定义为软件、固件或服务组件中由可被利用的弱点导致的缺陷，则漏洞利用是利用该缺陷对组件的机密性、完整性或可用性造成负面影响的代码。更简单地说，漏洞利用是指编写的利用漏洞并在目标系统中建立或扩大未经授权的访问或权限的程序或代码。在网络武器的背景下，漏洞利用与访问权的概念联系最为紧密。漏洞是在目标系统上建立初始存在的工具；扩大对网络其他领域的访问；并为攻击者提供执行额外操作的增强权限，如文件修改或任意命令执行(Ablon and Bogart，2017)。通常根据它们允许攻击者做什么来对它们进行描述或分类。对于本报告来说，可以将漏洞简单地视为授予安装植入物和传送有效载荷所需的访问和特权的工具。网络武器可以且经常利用一个链中的多个漏洞，让攻击者获得达到预期效果所需的访问级别和系统权限。

5.3.2 植入

植入是“一种程序，它固化并维护最初由漏洞利用提供的访问(即实现持久性)，并向系统提供一些效果”。因此，在网络时代的背景下，植入与持久性的概念联系最为紧密。如果将利用类比为入侵，那么植入就相当于滩头阵地:一个已建立的区域，攻击者无需每次行动都重新进入该区域，从该区域可以执行额外的侦察并发起进一步的攻击。这些进一步的攻击可能是扩大访问和特权的额外利用，或者是实现网络武器预期效果的有效载荷的交付。即使在允许初始利用的漏洞被修补之后，植入通常也能够确保访问和控制。

5.3.3 有效载荷

有效载荷是网络武器实现武器预期效果的要素。网络武器的所有元素都是为实现某种特定目的而编写的代码，有效载荷与其他元素之间最明显的区别是实现特定目标(通常是最终目标)。在某些情况下，当单个漏洞利用或一个链达到预期效果时，漏洞利用和有效载荷之间可能没有区别。有效载荷也可以用各种触发器来执行。而有些则是自我复制的、自动的、无针对性的，一旦被启动就会被触发，但这种滥杀的武器作为战争工具是被禁止的。目标有效载荷仍然可以在没有主动干预(也称为手放在键盘上)的情况下被触发，例如当发生某些目标系统配置时触发被调度或自动执行。有效载荷可以设计成实现各种各样的效果，包括以下:

拒绝服务；

数据监控或过滤；

文件操作、损坏、加密或破坏；

重新利用系统进程为攻击者执行其他操作（例如，设置僵尸网络或充当进一步操作的命令和控制）；

禁用操作系统；

网络物理系统的破坏（可能包括附近财产或人员的附带损害）。

标签： 有效载荷 成本估算 生命周期