摘要

  • 历史故障率无法描述一个会主动挑选目标和薄弱环节的攻击者。
  • Lindeberg 的办法不是再填一张风险表，而是切断依赖，查看关键服务是否还在运行。

“拔掉一半节点。”RIPE 93 上，Netnod 首席信息安全官 Fredrik Lindeberg 把韧性问题变成一个无法靠漂亮架构图搪塞的测试：少了一批节点，客户真正依赖的服务还能不能用？

随机故障和有意挑选目标不是同一类概率。历史数据可以估计设备偶尔损坏的频率；有目标的对手会先观察，再找最薄弱的入口或共同依赖。Lindeberg 所说的“百分之百”指的是已经下定决心的攻击者会尝试，而不是攻击一定成功。把偶发故障的统计值直接套到蓄意攻击上，风险模型就把关键变量漏掉了：有人会选择你。

瑞典安全局在 2025—2026 年评估中写道，公共和私营机构持续遭遇网络攻击，攻击手段不断变化、门槛也在降低。Lindeberg 把问题拉回到日常服务：门禁、汽车、医院和通信都依赖数字系统，其中一些系统由外部机构控制。网络问题因此可以变成门打不开、车辆无法启动或服务中断。

他的履历也横跨技术与制度。Netnod 介绍称，Lindeberg 负责其服务和产品的信息安全管理系统；加入 Netnod 前，他在金融服务领域做系统集成，并参与替换专用通信网络。他拥有计算机工程硕士学位和工业工程与管理博士学位。

危机开始后再采购韧性，通常已经晚了。Lindeberg 认为数字基础设施在所谓“和平时期”也可能承受持续影响，运营商未必能等到升级警报后再铺光纤、建服务器冗余。若备用线路和容量属于服务承诺，它们就得预先存在。

他建议先问服务本身：客户要求哪项功能继续运行，能容忍多长中断？再把实现这项功能所需的人、供应商、电力、线路、硬件和控制系统逐一列出来。最后做故障演练：断开一个依赖、重启服务器，或切掉一部分节点。文档写着“有冗余”不是测试结果。

RIPE 的官方逐字稿记录了这个方法，没有披露 Netnod 某次事故的量化结果，也没有给出一次演练的通过率。能确认的是 Lindeberg 提出的测试逻辑，不是某项测试已经成功。

合规和业务存活也不是一回事。美国司法部的企业合规指南会问制度是否设计合理、资源是否足够、实践中是否有效。到了网络机房，这最后一问得落到实处：某个依赖消失时，服务是否还能履行承诺？

邻近机构也应加入演练，因为一家供应商或网络掉线，会把压力传给其他运营方。机密性与可用性的架构偏好还可能冲突：独立节点有助于维持可用性，集中控制则可能减少节点数量。决策者要在故障发生前说清楚，哪一项要求优先。

资料来自 RIPE 93 会场页面、官方逐字稿、Netnod 人物介绍、瑞典安全局年度评估和美国司法部指南。