Land报告《美国和欧盟信息安全威胁研究和应对策略》.docx
- 文档编号:26850578
- 上传时间:2023-06-23
- 格式:DOCX
- 页数:13
- 大小:27.62KB
Land报告《美国和欧盟信息安全威胁研究和应对策略》.docx
《Land报告《美国和欧盟信息安全威胁研究和应对策略》.docx》由会员分享,可在线阅读,更多相关《Land报告《美国和欧盟信息安全威胁研究和应对策略》.docx(13页珍藏版)》请在冰豆网上搜索。
Land报告《美国和欧盟信息安全威胁研究和应对策略》
Land报告《美国和欧盟信息安全:
威胁研究和应对策略》
前言
这是2015年由大名鼎鼎的智库Land出品,全文是主要针对欧盟的信息安全研究,中间有与美国信息安全的机构的对比,我关心的是美国的信息安全机构,所以只看美国的部分,选择了第二章威胁定义模式和第四章美国的信息安全能力来看,虽然报告是15年的,不能反应最新的组织机构了,但可以看看Land的分析思路,也学习学习别人的分析报告的框架。
(一)执行摘要1.1美国的信息安全能力美国的网络能力是全面的映射的挑战。
层层举措和机构的倾向导致了不同组成部分的困难。
为了与欧盟网络能力进行高级别的比较,本研究重点关注主要机构参与者及其在三个战略重点领域的作用:
网络安全、网络犯罪和网络防范。
在网络安全方面(cyberresilience):
国土安全部(DHS)是正式的领导者。
DHS负责确保联邦民事政府网络,保护关键基础设施和应对网络威胁。
在网络犯罪领域(cybercrime):
美国尚未指定任何首席调查机构。
相反,许多联邦执法机构以自己的身份打击网络犯罪。
这些包括美国特勤局(USSS)、美国移民和海关执法(ICE)网络犯罪中心,这两个机构都是DHS内的机构。
联邦调查局(FBI)的网络分析也涉及到。
在网络防御中(cyberdefence):
国防部(DoD)发挥主导作用。
从国防部的多篇出版物中可以看出,美国已经对其能力更加公开,并愿意对其对手进行命名。
国防部在随着时间的推移对网络威胁的反应越来越多,投资于防御性和进攻性网络能力,如其在2015年4月发布的网络防御战略中所详述的。
评论者指出,威慑(deterrence)是美国网络防御战略的一个关键特征。
(二)全球网络安全威胁映射:
模式和挑战
本章主要结论:
(1)公开可用于评估威胁的实践基础往往不清楚,需要更好的框架和证据基础加以改善;
(2)由于定义、度量标准、方法、重叠,威胁评估比较困难;(3)对6个威胁评价报告分析后显示,各种威胁方中,国家和罪犯被认为是风险最高的;(4)通过对各种威胁评估,网络犯罪已职业化、进入门槛很低;(5)恶意软件几乎成为所有安全事件的一部分,而且继续扩散;(6)在可用文献中,网络安全威胁是多变的,特别是考虑互联网规模变化后。
网络空间的安全水平实际比往常所描述的要好。
2.1介绍
为了了解需要什么类型的网络安全能力,组织(公共和私营部门)进行网络安全威胁评估。
欧盟网络安全战略承认并强调了网络安全领域的威胁的重要性。
本章有两个目标。
第一个是阐述与系统比较现有威胁评估相关的挑战,因为对构成威胁的构成方面的差异以及评估数据收集的基本方法。
第二个目标是根据六项选定的威胁评估的审查情况,确定威胁方、威胁工具和威胁,并反思威胁形势如何演变的。
2.2威胁是什么本研究给出了国际标准化组织(ISO)、美国国家标准和技术研究所(NIST)对威胁的定义,ISO的定义:
Apotentialevent.Whenathreatturnsintoanactualevent,itmay
causeanunwantedincident.Itisunwantedbecausetheincidentmayharmanorganisationorsystem.指潜在的事件。
当威胁转变成实际发生的事件,会带来不希望的后果。
NIST的定义:
Anycircumstanceoreventwiththepotentialtoadverselyimpact
organisationaloperations(includingmission,functions,image,orreputation),organisationalassets,orindividualsthroughaninformationsystemviaunauthorisedaccess,destruction,disclosure,modificationofinformation,and/ordenialofservice.威胁是对组织的运作(包括任务、职能、形象或声誉)、资产产生不利影响,或导致个人非授权访问、破坏信息系统,信息泄露、修改,以及拒绝服务。
本研究使用ISO给出的威胁的概念。
2.3现有威胁评估的挑战现有威胁评估面临的挑战主要有:
(1)网络安全的定义不统一,导致后续的威胁评估分类和内涵存在变数;
(2)一些报告侧重于所有潜在的网络安全威胁,另一些侧重于部分的网络威胁;(3)全球范围内的报告有公共的、私人的,也有国家的、部门的;(4)现有报告使用的方法论不同,而且缺乏透明性;(5)对威胁评价的样本有限和重复。
以上导致不同结果间很难进行比较,同时影响数据的质量。
2.4网络威胁全景网络威胁研究使用的报告选择依据是:
(1)有授权机构;
(2)发布时间是2014年及以后的;(3)地理分布上,既有欧盟范围内,也有欧盟之外的。
最终选择的报告如表2。
2.5威胁目标威胁目标主要有4种,详见图1。
目标分类和易受到威胁的内容分别是:
(1)个人--隐私、言论自由、服务的接入和物理安全;
(2)组织--产品和服务、生产手段(包括钱、专利)、信誉和信任;
(3)供应链--对居民和用户信息的责任,设施和系统的控制,组织间的相互依赖;
(4)社会--可用的必要服务,合法秩序和国家安全的保护,互联网基础设施,服务的自由和数字安全。
2.6威胁方分类威胁发起者也称威胁代理,指发起或试图发起网络攻击的个人或组织。
为了评估威胁发起者的关注度,研究团队对6个威胁评价报告进行了关键词搜索,得到了表3的结果。
2.6.1国家
对各种目标有潜在的威胁,从国家到居民个体。
国家可能的目标是针对其他国家的地缘政治原因。
他们还可以通过例如监视公民,以获得公民所持有的信息或者交换的私人通信。
从荷兰的非公务员合作委员会的角度来看,对政府和商界的最大威胁来自于国家行为者以及利润驱动的网络犯罪分子(见第2.6.2节).更具体地说,数字间谍活动的威胁,通过国家行为者在案件数量,复杂性和影响力方面都有所增加。
2.6.2受利益驱动的网络罪犯
主要动机是获利,因此,他们的主要目标是金融服务和零售业。
网络犯罪已经成为一种服务,罪犯即使没有任何技能也能参与网络犯罪,这使得地下市场繁荣。
传统犯罪组织开始转向网络犯罪领域,这类犯罪具有迅速、交易性和缺乏结构组织模式特点,如果被组织起来,形势将更加严峻。
2.6.3黑客和极端主义者
他们与其他攻击方的区别就是,他们的动机明确,期望被注意到,黑客使用数字手段表达他们的意识形态或政治企图。
他们达成目标的主要方法有3个:
发起拒绝服务攻击(DDoS)、泄露或涂改信息。
2.7威胁工具 威胁工具包括:
恶意软件、木马病毒、勒索、PoS恶意软件、僵尸网络和使用等相关的软件。
对6个威胁评价报告有关威胁工具的关键词搜索,得到了表4的结果。
2.8威胁分类威胁类型与信息安全概念的核心原则相关,这主要包括:
机密、完整和可用性,详细如图2。
非授权访问与保密、完整和可用性相关;破坏与可用性相关;泄露与保密性有关;信息修改与完整有关;拒绝服务与可用性有关。
确定威胁的类型,可建立信息安全、威胁定义和威胁类型间的清晰联系。
2.8.1非授权访问
是一种超级威胁,因为它与其它威胁均相关,因此,防止非授权访问是防止其它类型威胁的主要手段,如图3。
非授权访问经常与不同威胁者相连,特别是利益驱动的网络罪犯和国家。
最常见的方式是数据泄露,特别是金融和零售行业,常用方法是网络钓鱼欺骗。
2.8.2破坏
它影响信息和信息系统,对数据的破坏会导致致命的结果。
破坏也可发生在勒索情况下。
如果个人或组织拒绝支付赎金,可能会破坏数据。
2.8.3泄露
公共信息泄露是由占优势地位的黑客带来的一种网络威胁,更常规的信息泄露是利益驱使下罪犯采取的信息披露,特别是向地下论坛出售个人信息或其它关键的数据。
2.8.4信息修改
信息修改在网络威胁中不起主导作用,因为它很少单独使用,可能配合其它威胁手段使用,比如:
数字中断、数字蓄意破坏和非授权接入。
具体的方式有两种,一是对应用的二进制编码进行修改;二是黑客或极端主义者通过损毁网站实现。
2.8.5分布式拒绝服务攻击
最常被称为DDoS攻击,是一种最直接的威胁类型。
近年来,DDoS攻击的数量呈增长的趋势。
这种威胁对供应链的影响至关重要,对其它过程也产生负面的影响,危害是潜在的、严重的。
利益驱使下的网络罪犯使用DDoS敲诈金融服务提供者,要求他们支付赎金才停止攻击,这种威胁具有全球性特点。
DDoS攻击还可被其它威胁者使用,比如:
黑客。
2.9威胁:
从威胁方+工具到攻击目标如图4,威胁发起者使用网络工具如何对目标进行威胁。
2.10网络威胁的严重性问题上一节中的映射练习确定了与网络威胁相关的关键威胁演员和工具。
然而,它并没有试图评估每个行为者,工具或威胁的相对重要性,这对任何政策决定至关重要。
它也没有提出这样的威胁组件是否随着时间的推移变得或多或少相关。
由于定义,指标和方法的不兼容性,在现有威胁评估的基础上衡量威胁的严重性是不可行的(见第2.3节)。
2.10.1使用的方法可导致威胁被夸大
有些专家认为,网络空间的安全性比多数人想像得要好。
也就是说,如果与互联网发展的规模相比,绝对数的比较夸大了威胁。
例如:
2008-2014年,新网络漏洞绝对数增长了17.75%,但如果考虑同期互联网用户数的增长,新网络漏洞相对数其实是下降了37.13%。
2.10.2词语滥用夸大了威胁
不同的研究方法可能导致网络威胁严重性的结论迥异。
词语的使用也至关重要,如'网络珍珠港'、'网络战争'、'网络9/11'词语滥用,可能导致威胁被夸大。
2.10.3媒体报道可能导致威胁被夸大
某些事件从发生到上媒体,可能严重性会被夸大,因此,实际的事故发生时要采取更严格的监控。
评估威胁可提供对未来和潜在威胁的预测,更准确的说是威胁发展方向。
未来,威胁发展有两个方向:
一是物联网的攻击将从概念验证转向常规风险;二是数据驱动的移动装置致使数据泄露。
2.11结论挑战是网络安全威胁的定义不同,应有一个清晰、普遍可接受的定义,能全面描述威胁,至少能保证网络安全中威胁评估应包含的内容和不应包含什么内容,或至少能分清包含哪些组件。
易于操作、清晰的定义有助区分威胁和其它相关概念。
网络安全本身有不同的含义,取决于各利益方的利益,这也使得'威胁'有主观色彩。
因此,对威胁的讨论不是固定的、绝对的。
就威胁的内容分类,目标是确定存在的变量,探索如何确保针对特殊目标的威胁,并将这些变量结合起来。
由于依赖现有的威胁分析和不同机构的使用存在根本差异,很难对威胁进行全面审议。
为描述网络威胁,把其划分为威胁发起者、工具和目标,基于对6个威胁评估报告的审议,包括关键词使用的频次和特性,得出以下结论:
(1)网络威胁者主要包括国家、利益驱使下的网络罪犯、黑客和极端主义者;
(2)威胁工具包括恶意软件及木马病毒、勒索、PoS恶意软件、僵尸网络和漏洞等相关的软件;(3)有5类威胁,分别是非授权访问、信息破坏、泄露、篡改,以及分布式拒绝服务攻击。
(三)美国的网络空间能力本章主要结论。
(1)美国与网络安全相关的文件、举措和机构非常复杂,潜在削弱了美国对网络安全的响应能力;
(2)国土安全部优先考虑的是建立网络领域的快速恢复能力,特别是联邦政府网的安全、保护重要的基础设施、对网络威胁的响应;(3)美国没有一家联邦机构负责与网络犯罪的斗争,而是由各种执法机构完成相关工作;(4)新的网络防卫战略的标志是:
侧重进攻能力,美国对对手命名的意愿;(5)尽管许多议案和修改推动了信息共享的改善,但法律进程因技术、法律和利益各方缺乏共识而困难重重。
美国(US)的网络安全政策历史悠久。
近二十年来,联邦政府已经出台了与网络安全政策领域有关的各种战略和其他举措,包括指令。
拟议的战略和政策旨在解决基础设施、软件和人交互问题。
1998年,美国政府开始努力解决网络空间相关的风险,特别是关键基础设施,并通过总统决定指令(PDD)63在白宫内建立协调结构。
PPD63规定了维护的雄心勃勃的目标在5年内保护关键基础设施免受网络安全威胁的能力。
网络安全战略在2003年通过《theNationalStrategytoSecureCyberspace》进一步发展,该战略要求制定国家政策和指导原则,特别是围绕减少脆弱性,安全响应和安全意识培训。
3.1网络安全执行效率的争论美国总统办公室撰写的2009年“网络空间政策审查”(“审查”)提出了有效性问题。
评论的序言指出,美国联邦政府不能有效应对不断增长的网络安全问题。
这一观察的主要原因是责任被分散到多个联邦部门和机构。
这种分隔导致责任重叠、没有一个部门有足够的决策能力。
;根据评论,为了得出一个整体的观点,美国政府需要整合各方利益,制订统一的国家网络安全规划。
美国总统奥巴马接受了审查中提出的建议,并选出了网络安全协调员(ExecutiveBranchCybersecurityCoordinator),向总统负责。
2013年,美国政府问责办公室(GAO)重新审议并提出,现有的文件无法提供一个完整计划,涵盖网络安全领域的优先事项、责任和进程表,各重要机构缺乏清晰的角色和责任划分。
2015年,美国乔治·梅森大学莫卡特斯中心EliDourado&AndreaCastillo的研究明确了总共有62个联邦机构对网络安全负相关的责任。
许多机构任务相同或类似,运作没有明确的区别,这对美国的网络安全是一种挑战。
这种挑战也存在于州层面,由于治理模式不同,以及对网络安全响应的授权责任差异,导致需要各州间的不协调。
本研究侧重于核心机构和组织,而不是所有的机构的研究。
3.2美国联邦政府的结构美国政府有三大部门,分别是立法(legislative,)、行政(executive)和司法(judiciary),政府结构如图5。
本章主要侧重于对14个行政部门的研究,主要包括国土安全部(DHS)、司法部(DoJ)、国防部(DoD)、商务部、国务院。
在总统行政办公室内部,于2009年成立的管理和预算办公室(OMB)以协调员的身份参与网络安全。
这个图挺有意思的,总统下面的第一排分别是:
1、CIA,美国中央情报局,基本工作是涉外的,总部在兰利、2、ODNI,美国国家情报办公室3、CTIIC,网络威胁情报整合中心,2015年成立的,属于ODNI之下的,定位是国家的网络威胁情报中枢。
它的主任是个美女哟,几个领导都有FBI/NSA/CIA工作经历。
蓝色那排是部委,其中:
1、NCCIC隶属于DHS2、一个很牛而神秘的组织NSA(国家安全局)隶属于国防部DoD的,它的头必须是军官,负责监听、情报收集和技术分析,神秘的情报机构。
3、FBI隶属于司法部DOI,主要处理案件。
3.3打造网络快速恢复能力建立网络快速恢复能力是美国在网络安全方面的主要战略之一,国土安全部(DHS)是领导机构,它负责联邦政府网络的安全、重要基础设施的保护和对网络威胁进行响应。
其他还包括打击网络犯罪、促进合作和创新、人才保障等。
美国政府在911事件(2001年)的恐怖袭击事件之后建立了DHS。
DHS的原始和主要任务重点是防止恐怖主义袭击,减小国家的脆弱性,尽量减少攻击造成的损害和增加美国的国家复原力。
最初,网络安全是一个“次要关注和责任”。
从官方来说,DHS是领导机构,在美国的网络安全方面发挥着关键作用。
非官方的,许多人仍然将像国家安全局NSA和USCybercommand这样的实体作为真正管理机构和网络安全领导机构。
2010年,DHS和国防部DoD签署了一份协议备忘录,让DHS负责网络安全美国,NSA提供支持和专业知识。
DHS在网络安全领域有广泛的部门和部门。
根据JaneHollLute的说法,DHS负责以下方面:
维护民用的联邦政府网络安全保护关键基础设施应对网络威胁打击网络犯罪建设伙伴关系促进创新促进和加强网络力量3.3.1民用的联邦政府网的安全
DHS负责民用联邦政府网('.com'和'.gov'域名)系统的安全运行,同时直接支持相关民事部门和机构的能力开发,改善网络安全。
2015年,引入了联邦信息安全法(FISMA)改革法案,目标是使DHS在保护政府网承担的角色正式化。
由于DHS缺乏实施能力,无法保证联邦机构和部门实现必须的安全措施和加强网络快速恢复能力。
OMB负责每年向国会提交FISMA报告,作为网络安全的协调人,负责协调与三个责任(联邦政府网络的安全、重要基础设施的保护、对网络威胁的响应)相关的所有政策问题。
白宫和相关执行机构出台了几百条建议,强调网络挑战,解决存在的缺陷,完成有效的安全项目和隐私实践,应对欺诈风险、滥用和破坏。
2015年2月,GAO在一份报告中写道:
在白宫和行政部门机构执行我们和其他监督机构建议的有感网络挑战的数百项建议之前,广泛的联邦资产和业务可能仍然面临欺诈、滥用和中断的风险,美国最重要的联邦和私营部门基础设施系统将继续面临来自对手的更大风险。
3.3.2重要基础设施的保护
国土安全第7号总统令,将协调所有关键基础设施保护的国家举措的责任指派给DHS,使保护关键基础设施成为美国网络安全的重点。
2013年,总统签署了法律执行令(EO13636),改善关键基础设施的网络安全,同时还发布了总统政策令(PPD-21),关注关键基础设施安全和快速恢复内容,目标是增强美国关键基础设施的总体快速恢复能力。
NIST负责开发网络安全框架,帮助关键基础设施拥有者和提供者降低网络风险、加强网络管理。
此外,还涉及信息共享、风险评价和管理,包括网络威胁分类信息在关键基础设施企业和安全业务提供商间的共享。
DHS推出了关键基础设施社区项目,为各利益方采用框架提供进一步的指导,目的是支持行业加强快速恢复能力,增加使用框架的意识,鼓励各组织将管理网络安全纳入企业风险管理之中。
3.3.3对网络威胁的响应
对网络威胁的响应也属于DHS的职责范围,DHS设有网络安全和通信办公室(CS&C),主要负责加强国家网络和通信基础设施的安全性、快速恢复能力和可靠性。
国家网络安全和通信综合中心(NCCIC)辅助CS&C完成不同政府机构间的协调和合作。
NCCIC被视为政府民用网络和信息共享的神经中枢,其组织架构如图6。
除日常运营外,NCCIC还负责与13个部门和16个私有机构的联络,进行信息的共享。
TheOfficeoftheInspectorGeneral(OIG)指出DHS是如何改善联邦各中心间共享协调与网络安全相关活动的信息,尤其是在NCCIC和联邦中心都没有必要的技术和资源,而导致网络安全面临风险的情况。
OIG还指出,联邦中心尚未建立事件报告制度标准。
3.3.4EINSTEIN--网络快速恢复工具
DHS提升快速恢复能力的工具之一是EINSTEIN系统,这一系统是对联邦民用网入侵的早期预警、探查和防护系统,目标是近乎实时地识别和自动摧毁恶意活动。
EINSTEIN是2004年开发的,收集和分析计算机网络的安全信息,现在已发展到第三版,根据计划,它将于2018年完成在政府部门和机构的部署,如今将提前至2016年完成。
3.4减少网络犯罪 在打击网络犯罪领域,美国没有专门的牵头调查机构,是由各联邦执法机构的积极参与,多数属于DHS,因为它成立时组建了22个新的部门。
这些执法机构包括:
美国保密服务机构(USSS)、美国移民和海关执行机构(ICE)和网络犯罪中心、联邦调查局的网络部门。
3.4.1美国保密服务机构---大图中属于DHS的第三个
美国保密服务机构(USSS)是美国执法机构之一,是依据30年前《防止计算机欺诈和滥用法》建立的,国会授权USSS调查与访问计算机和欺诈使用相关的犯罪违法行为。
为了适应网络犯罪的跨国特性,USSS与国内、国际利益攸关方保持合作。
USSS最有可能率先发现公司数据泄密,但它在网络犯罪领域的执行力往往被忽略。
3.4.2移民和海关执法机构--网络犯罪中心---大图中属于DHS的第二个的下面
移民和海关执法机构(ICE)CyberCrimesCenter--网络犯罪中心,又称C3,提供计算机和网络技术服务,以支撑国土安全调查局(HSI)的工作,包括调查地下在线市场、非法药物销售、武器和其它走私、儿童色情和知识产权窃取等。
3.4.3联邦调查局
除了USSS和ICEC3,联邦调查局(FBI)在网络犯罪斗争中发挥主要作用。
在计算机侵入保护系统相关的违反计算计欺诈和滥用法方面,FBI和USSS在司法调查上实现共享。
FBI在网络犯罪方面有双重角色,一是防止国家安全受威胁的国家情报机构;二是联邦法律赋予的主要执法机构。
2002年,FBI建立了专门的网络分支机构,完成国家安全和网络调查任务。
FBI犯罪、网络响应和服务分支执行助理主任,负责全球犯罪和网络调查,国际运作、重要的事故响应和受害援助。
FBI还负责互联网投诉中心(InternetComplaintCenter(IC3)),为网络犯罪受害者提供方便和易于使用的报告机制。
3.4.4司法部--计算机犯罪和知识产权部
除了FBI,司法部设有计算机犯罪和知识产权部(CCIPS),它主要与其它政府机构、私人部门、学术机构和外国合作伙伴合作,防止、调查和起诉计算机犯罪,CCIPS还负责知识产权犯罪。
3.4.5国家网络调查联合任务组
国家网络调查联合任务组(NCIJTF)受FBI领导,由总统指令担任协调网络威力调查的国家协调中心。
来自美国情报社(IC)成员机构的293名代表、联邦执法机构在工作组中,并协调确定,减轻和破坏网络安全威胁。
Quinn表示,19个美国机构和Fiveeyes(FVEY)合作伙伴能够在NCIJTF以前所未有的水平协调网络威力调查。
除了FBI作为其领导者,NCIJTF还包含国家安全局,DHS,CIA,USSS和美国网络司令部。
在2013年和2014年期间,FVEY295的合作伙伴通过联络员加入了现有的官员组。
通过建立这些伙伴关系,NCIJTF正在努力成为同步和最大化网络对手调查的国际领导者。
3.5加强网络防卫国防部(DoD)处在美国改善网络防卫的第一线,它的主要任务有三个:
(1)保卫DoD网络、系统和信息;
(2)保卫美国国土和国家利益不受网络攻击;(3)为军队的运行和应急计划提供支持。
美国国防部长指挥美国战略司令司令部于2009年6月建立了统一指挥部,美国网络指挥部(USCYBERCOM)(大图中隶属于DOD的第二个),2010年10月实现了全面的业务能力.2011年,DoD首次发布了网络空间的国防战略。
作为国家防务授权法(NDAA)的一部分,2014年,国会要求DoD任命首席网络顾问官(PrincipalCyberAdvisor),对军队的网络空间活动、网络力量进行审议,对网络的攻守行为和任务进行审议;汇聚网络专家和关键组织,建立跨部门的团队,确保对DoD内部相关的网络问题得到有效治理。
2015年,DoD公布了新的网络安全战略,主要驱动来自:
(1)网络对美国利益的损害日益严重和复杂;
(2)总统要求DoD在美国受到网络攻击时能够组织和规划有效反击;(3)为美国军队建立的网络特种部队(CMF)提供清晰的指南。
网络特种部队要保护美国应对战略攻击、运行和保护DoD的信息网、提供战斗命令支持。
3.6信息共享信息共享是美国网络安全政策最明显的进步,是提高网络安全的重要一步。
联邦政府采取了各种办法促进信息共享,特别是私人与公
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 美国和欧盟信息安全威胁研究和应对策略 Land 报告 美国 欧盟 信息 安全 威胁 研究 应对 策略