美国《外交政策》杂志近期刊登题为《反思：网络战》的文章，指出网络战在近期不太可能对美国造成实质性的威胁，各种关于准备打网络战的说法都缺乏根据。文章大意如下：
第一部分：“网络战已经打响了”
不可能。
“网络战来了！”约翰·阿尔奎拉（John Arquilla）戴维·龙菲尔德（David Ronfeldt）在1993年兰德公司一份著名的报告中做出了这样的预测。从那以后，战争好像已经打起来了至少美国军方部门这么说，它们正在争夺哪个部门应该负责哪部分。
网络空间是“一个空间，空军战机在里面飞行并战斗，”空军部长麦克·温（Michael Wynne）2006这么说。到2012年，时任国防部副部长的威廉·林恩（William J. Lynn III）撰文写道，网络战“就像陆地、海洋、天空和太空一样，对军事行动具有决定性的意义。”
今年1月，国防部宣布要装备美军以便“在各领域进行综合军事斗争，领域包括陆地、天空、海洋、太空和网络空间。”与此同时，越来越多的书和文章开始探讨网络战争、网络恐怖主义的威胁，以及如何幸免于这些威胁。
现在应该检讨一下事实了：网络战更多地停留在宣传层面，而不是现实威胁。大家想一想战争行为的定义：战争必须有潜在的暴力性、有目的、有政治意义。目前为止我们所看到的网络攻击，从爱沙尼亚到超级工厂病毒（Stuxnet virus），都没有适合这些条件。
关于1982年苏联天然气管道爆炸事件的故事可信度不高，但这个故事被网络战信徒们认为是破坏力最大的网络攻击。这件事的描述是这样的：1982年6月，美国中情局通过布下所谓的“逻辑炸弹病毒”陷进，引发西伯利亚天然气管道大爆炸，火光在太空里都看得见。美国空军估计爆炸有3000吨当量，相当于一次小型核爆炸。为了攻击这条连接西伯利亚和欧洲市场的苏联天然 气管道，中情局在一套从加拿大购买的软件中加入了恶意程序，并通过这个软件破坏了苏联管道控制系统。时任美国国家安全委员会助理的托马斯·里德（Thomas Reed）在2004年出版的《身处地狱（At the Abyss）》一书中披露了这个事件，他说没有人在事件中死亡，这个事件仅仅打击了苏联经济。
但是，事情确实如此么？那次爆炸发生在西伯利亚的秋明（Tyumen）地区，而时任秋明地区克格勃领导的瓦西里·普切林采夫（Vasily Pchelintsev）在里德的书出版后否认了他的描述。1982年的新闻报道也确认没有发生过这次爆炸。而在80年代，媒体经常报道苏联的事故和管道爆炸事件。当时倒是有类似的事情发生，但里德的书是唯一提到此事件的公开出版物，而他的描述仅基于一份文件。中情局解密了里德提到的那份文件的修改版，其中被称作《再见多西耶（Farewell Dossier）》的部分讲述如何向苏联提供有缺陷的技术，但即便如此，中情局也没有确认这次爆炸确实发生过。有关西伯利亚管道爆炸的证据实在太少了，这根本不能算作一次成功发动过网络攻击的证据。
大部分被引用的其他网络战例子更是不值一提，比如2007年4月发生在爱沙尼亚的攻击。事件起因是各方在把苏联战争纪念碑“士兵铜像”挪走一事上发生了争执。这个拥有发达网络的国家遭到了大规模拒绝服务攻击，攻击来自8.5万台被劫持的电脑而且持续了三个星期。这次攻击在5月9号达到顶点，当时有58个爱沙尼亚网站同时遭到攻击，该国最大银行的网站被迫下线。爱沙尼亚总理安德鲁斯·安西普（Andrus Ansip）说：“封锁主权国家的港口和机场以及封锁政府机构和报纸的网站有什么区别？”
先不谈他这种推论是不是合理，但这次攻击也算不上战争行为。这次攻击当然是让人恼火的骚扰行为，是对这个国家情绪打击，但银行本身的网络没有被攻破，只是第一天下线90分钟，第二天下线2个小时。这次攻击也没有暴力性，没有意图改变爱沙尼亚的行为，也没有政治组织对此负责。记录在案的大多数网络攻击基本如此。
确实，没有哪次已知的网络攻击造成了人员死亡。没有网络攻击伤到人或者毁害建筑物。如果一种行为不具有潜在的暴力性，那就不是战争行为。把战争从肢体暴力中区别出来会使其变成一种隐喻性的想法；那意味着没有办法区别二次大战和对抗肥胖及癌症的“战争”。而那些疾病，虽然不想上面例子里的网络“战争”一样，但却是能置人于死地。
“网络珍珠港事件的发生只是个时间问题”
继续等吧。
美国国防部长帕内塔去年发出了严厉的警告：“我们可能面临珍珠港事件那样灾难性的网络攻击。”过去20年里，这种耸人听闻的预测在美国政坛不知有多少人说过，一些居心不良的人甚至还把警报上升到可能发生“网络9·11”。白宫前反恐事务主管理查德·克拉克（Richard Clarke）在他2010年出版的《网络战（Cyber War）》一书中提到了全国停电、飞机失事、火车出轨、炼油厂着火、管道爆炸、有毒气体外泄以及卫星失去轨道等情形，这些都让2001年那次袭击相形见绌。
但是事实证明情况没有那么令人毛骨悚然，甚至最极端的案例没有到那样的程度。美军网络司令部（2010年成立，现拥有预算30多亿美元）基斯·亚历山大（Keith Alexander）将军2011年4月在罗德岛大学演讲时表示了极大的忧虑：“我担忧的是破坏性袭击，”亚历山大说，“它们正在逼近。”他当时还引用了俄罗斯萨扬·舒申斯克（Sayano-Shushenskaya）水电站的著名事故，说网络攻击就能导致这样的结果。
2009年8月17日午夜过后，一个重达900吨的涡轮机被所谓的“水锤”从底座上打了下来，即水压突然增大导致变压器爆炸。涡轮机的异常震动扭断了固定涡轮机机盖的螺栓，离线感应器也没有检测到故障。事故造成75人死亡，俄罗斯能源价格上涨，而重建电站则需要花费13亿美元。
俄罗斯人确实不走运，但是还有一些事情网络司令部司令没有说：那个涡轮机工作不正常已经有一段时间了，而且电厂的管理差劲也是出了名的。除此之外，最终导致这场灾难发生的一个重要事件是大约500英里以外布拉茨克（Bratsk）电站的火灾。由于布拉茨克电厂的供电中断，管理当局通过遥控增加了萨扬·舒申斯克电站的负荷。突然增加的负荷使涡轮机难以承受，灾难发生时机器还差2个月就达到了30年设计寿命。
不管怎样，萨扬·舒申斯克事件突显出灾难性攻击是多么难以实现。电厂的灾难是一系列事件复杂作用的结果。提前预见这种事件即使对内部人士来说都是非常困难的，而在网络世界创造类似的巧合对局外人来说绝对是巨大的挑战。如果这就是网络司令部能想到的最糟结果，我想每个人都能松口气了。
“网络攻击正变得更容易”
恰恰相反。
美国国家情报总监詹姆斯·克拉珀（James R. Clapper）去年警告美国网络上的恶意软件数量比2009年增长了两倍，现在每天发现约有6万个恶意软件。他说美国正在经历“聚合"现象，即遭到突然网络攻击的可能性被放大，包括针对实体基础设施的攻击。”（“数字集合”是表示一个简单事实的时髦新词：越来越多的设备可以相互通信，以前分开的产业和活动现在可以在一起工作了。）
仅仅是恶意软件数量增加并不意味着攻击就会变得容易。事实上，有潜在破坏性或者威胁生命安全的网络攻击应该是很难实现的。为什么呢？敏感的系统一般都有内置的冗余和安全系统，这意味着一名攻击者可能攻击的目标不能关闭一个系统，因为仅仅是迫使控制系统关闭（比如一个电厂）都会激活备份，而操作人员也会开始寻找系统故障。要作为有效的武器，恶意软件需要影响一个活动的程序，而不是使其戛然而止。如果恶意软件想在一段时间内保持活跃，那么它还必须一直隐藏起来。这比按下虚拟的停止键可难多了。
以2010年破坏伊朗核程序的蠕虫病毒（又称超级工厂病毒）为例，它没有直接关闭纳坦兹核设施的离心机，而是巧妙地控制着整个系统。蠕虫病毒悄悄地渗透到工厂的网络中，之后跳进了控制系统，截断并记录传感器输入的检测值，然后向合乎现有规定的控制代码发送预先准备的假输入信号，这是研究该蠕虫病毒的研究人员说的。病毒的目的并不只是戏弄控制室里的操作员，还要绕过数字安全和监控系统，以便秘密地操纵实际过程。
编写和部署蠕虫病毒，需要对它将要攻破的系统有极为精细的情报，其他的网络武器也面临同样的问题。是的，“聚合”、标准化和控制系统不完善的防护都可能增加这类攻击的风险，但同样是由于这个动向，对那些人们梦寐以求的系统的保护也会稳步升级，为老旧系统编写特别程序也会变得更加复杂，而不是更简单。（未完待续）
