2007-震網與網路戰：以「假資料」實體破壞#
案件摘要#
西元 2010 年 6 月，白俄羅斯資安公司偵測到一隻前所未有的蠕蟲——震網（Stuxnet）。分析揭示了一樁戰爭史上的新案件：這隻約 500KB 的蠕蟲專門攻擊伊朗納坦茲核濃縮廠的西門子 PLC（可程式邏輯控制器），以假感測器資料欺騙操作員，同時操縱離心機轉速劇烈變化——上千台離心機因疲勞損毀，伊朗濃縮進度被拖慢約一至兩年；而操作員面前的儀表板一切正常。這是史上第一種以軟體實體破壞戰略基礎設施的武器。案件的兇手是「控制理論的攻擊」：不是摧毀系統，而是讓系統「在你看來正常」地自我毀滅——網路戰時代的開幕。
前因 -- 為什麼會有這個案子#
- 伊朗核計畫（納坦茲）：以 IR-1 氣體離心機（源自 A.Q. Khan 網絡的早期設計）濃縮鈾。
- 空襲選項的政治風險高（報復、油價、外交）——「延時的、不流血的」破壞成為新選項。
- 工業控制系統（SCADA/PLC）的安全設計假設「氣隙隔離」——氣隙是 2000 年代工控安全的根本假設。
線索與推理 -- 網路武器的解剖#
線索一：氣隙的破壞——供應鏈與人#
震網通過 USB 隨身碟（LNK 漏洞等四個零日漏洞）跳入物理隔離網路：
氣隙的破口是人，不是線——任何有人的系統都無法真正隔離。這條線索：供應鏈與人是網路防禦的真正邊界。
線索二：控制理論的攻擊——讓觀察者說謊#
震網的攻擊邏輯是雙層欺騙：
S7-417（主控）：操縱離心機轉速（劇烈升降循環）→ 轉子疲勞損毀
S7-315（副控）：向操作員的監視系統回放「正常」歷史資料 → 儀表板正常
這是對控制理論的攻擊：閉環控制的穩定性依賴「觀察者（感測器）的真實」——當感測器被污染，控制器與操作員都在為假資料工作：
攻擊「觀察」比攻擊「行動」更便宜也更隱蔽——這是卡迭石假情報（-1275-卡迭石會戰.md）的數位版：污染敵人的觀察層，讓他自己毀滅自己。
線索三：離心機的物理#
氣體離心機以六氟化鈾氣體的高速旋轉分離鈾同位素（U-235 略重於 U-238 的分子、質量差約 1%）；轉速劇烈變化（頻率循環升降）使轉子金屬疲勞、破裂：
轉速是離心機的命脈——震網以「頻率的鋸齒波」使轉子在應力極限附近循環，破壞累積而不可見。物理破壞可以由軟體的「參數操縱」完成——這是網路-實體融合（cyber-physical attack）的第一次戰略級展示。
線索四：數位鑑識——「偵探」的方法#
震網的破解是教科書級的「推理探案」：
| 線索 | 推論 |
|---|---|
| 攻擊目標僅西門子 S7-417/315 | 目標是特定工控系統（非大眾病毒） |
| 代碼中「Myrtus」等標記 | 與波斯/中東主題相關的暗示（解讀有爭議） |
| 編譯時間戳的時區分析 | 開發工作週以週四為休息日——指向特定地區工作文化 |
| 複雜度與多個零日漏洞 | 國家級資源（零日漏洞值數十萬美元） |
| 攻擊行為只針對離心機參數 | 目標是鈾濃縮，非破壞平民設施 |
多源線索拼合的推理（與中途島的「AF 缺水」同構，1942-中途島與情報戰.md）：歸因（attribution）從「誰承認」變成「線索的拼圖」——數位時代的偵探學。
破案時刻#
- 2010 年 6 月：白俄羅斯防毒公司通報；賽門鐵克與卡巴斯基解構全案。
- 2012 年《紐約時報》報導「奧林匹克遊戲」計畫：美以聯合行動——網路武器首次被歸因到國家層級。
- 伊朗約上千台離心機損毀，濃縮進度被延後——無流血的戰略破壞。
後果 -- 改變了什麼#
- 網路武器時代：APT（進階持續性威脅）成為國家工具（美國網戰司令部 2010、各國相繼成立）。
- 工控安全的重寫：氣隙假設、供應鏈審查、關鍵基礎設施防護——工業與軍事的邊界消失。
- 歸因問題成為戰略難題：「誰攻擊了我？」在網域可以否認——傳統嚇阻（報復）的邏輯在網域失效。
- 報復與升級：2012 年 Aramco 沙姆恩病毒（伊朗報復）——網路戰的來回升級成為新常態。
戰法演進筆記#
震網的戰法遺產：
- 攻擊「觀察層」最便宜：假感測器資料使敵人自我毀滅——欺騙的數位版（卡迭石原理）。
- 氣隙的破口是人與供應鏈：物理隔離不等于安全。
- 參數操縱 = 實體破壞：軟體可以完成物理破壞——網路-實體融合。
- 歸因以線索拼合：時區、代碼風格、目標選擇——數位偵探學。
- 不流血的戰略破壞：低於戰爭門檻的攻擊——「灰域戰爭」的誕生。