本文从军事战略理论的角度，分析和考察了主动网络防御（ACD）中针对攻击者的对抗行动实施方法，以及"胜利"的定义和评估方法。
主要要点
1. 网络攻击活动与对抗行动概述
- 影响安全的网络攻击以"攻击活动"形式实施（持续数年反复进行）
- 2023年发现的Volt Typhoon：断续实施有事时破坏/妨碍关键基础设施的准备攻击
- 2022年乌克兰入侵：数月前开始准备活动，2015年以来反复实施类似攻击
- 攻击的反复必然暴露攻击者的"弱点"，产生对抗行动的余地
- 对抗选项：从访问/无害化、通信阻断（强力）到警告、信息共享（软性）等多样化
2. 对抗行动的课题与预期效果
- 现状课题：组织间合作不足、信息共享延迟等"摩擦"导致实施时机延误
- 未能达到攻击活动的完全中断/停止状态
- 通过建立主动网络防御体制预期的效果：
- 信息共享的重新审视和强化
- 通信信息分析这一新手段
- 加快对抗行动周期，对攻击者造成有效损害
3. 对抗行动"胜利"的4个评估观点
- ①基于目标的评估：达到目标状态时宣布胜利（Volt Typhoon和Hunt Forward行动）
- ②基于成本效益的评估：与达成政治目标所需成本的比较评估
- ③基于观念的评估：胜利概念是社会构建的（2025年4月WSJ报道的美中会谈案例）
- ④基于规范的评估：双方共享规范结构才能理解胜利
- 2016年美国总统选举俄罗斯干预：美国（刑事程序）与俄罗斯（军事行动）规则分歧
4. 向战略受众说明时的4个课题
- ①基于目标评估的课题：威胁分析不当，未能捕捉攻击目的（2022年2月汽车供应链攻击案例）
- ②基于成本效益评估的课题：
- 受害组织在阻止攻击活动后仍需承担类似应对成本
- 信息泄露"可能性"调查、各部委/利益相关者/媒体应对等庞大的"看不见的成本"
- ③基于观念评估的课题：威胁过度评估问题、"恐吓"方式的结构性课题
- ④基于规范评估的课题：攻击者与防御方使用不同制度/规则应对的问题
5. 主动网络防御成功的建议
- 避免过度关注"访问/无害化""通信信息分析"等显眼措施
- 课题焦点在于"威胁分析"和"事件应对"这些传统工作
- 重新审视积累多年知识的领域，对抗行动的"胜利"就会显现
- 作者：佐佐木勇人（JPCERT协调中心威胁分析师）
- 2025年7月10日公开
文章结论指出，主动网络防御的成功不仅需要新的技术手段，更需要根据攻击者实际情况重新审视现有的威胁分析和事件应对机制，并能够向战略受众恰当说明"胜利"的制度设计。