内容摘要：2023年5月，美国网络安全公司Mandiant披露了一起针对某东欧国家政府机构的长期渗透事件。攻击者从2021年起就潜伏在目标网络里，用的是一种叫“Living off the Land”的手法——

2023年5月，国外美国网络安全公司Mandiant披露了一起针对某东欧国家政府机构的网络长期渗透事件。攻击者从2021年起就潜伏在目标网络里，安全用的发展是一种叫“Living off the Land”的手法——不植入恶意软件，全靠系统自带的现状PowerShell和WMI执行操作。安全团队花了14个月才发现异常。国外这个案例很能说明问题：国外网络安全攻防的网络节奏已经变了，防守方越来越被动。安全

先看美国。发展CISA（网络安全和基础设施安全局）这两年推的现状“零信任”架构落地速度比预想快。2022年底，国外联邦政府有超过60%的网络机构完成了多因素认证部署。但问题也明显——零信任不是安全买个产品就能搞定的事。我在跟一位在硅谷做安全架构的发展朋友聊时，他说很多企业把零信任当成了“买Palo Alto的现状防火墙就完事”，结果内部横向移动照样拦不住。技术理念和实际执行之间的鸿沟，比PPT上画的架构图宽得多。

欧洲走的是另一条路。GDPR罚怕了之后，企业对数据泄露的敏感度极高。但有意思的是，欧盟2022年通过的NIS2指令把供应链安全抬到了前所未有的高度。什么意思？一家做汽车零部件的德国中型企业，如果它的软件供应商被黑了，它自己也要承担合规责任。这种连带压力逼着整条产业链重新审视安全边界。不过据我观察，很多中小企业根本无力做供应商安全审计，最后只能买份保险了事。

以色列的情况更特殊。这个国家把网络安全当成了出口产业来经营，8200部队出来的创业者在特拉维夫遍地都是。Check Point、CyberArk、Wiz这些公司有个共同特点：产品极度聚焦具体场景。Wiz只做云环境下的无代理扫描，三年做到百亿美元估值。反观很多国内安全厂商，恨不得一个平台解决所有问题，最后哪个模块都不够深。以色列人的逻辑很直接——攻破一个点就够了，防守方凭什么觉得自己能面面俱到？

亚太地区值得单独说。日本2022年修订了《网络安全基本法》，把自卫队和民间企业的联合演练写进了法律条文。韩国更猛，直接搞了个“网络安全盾牌”演习，模拟朝鲜黑客攻击核电站。但有个细节耐人寻味：日本很多大企业的安全预算在2023年反而缩减了，因为经济下行压力大，CFO们觉得“没出事就是安全”。这种侥幸心理在董事会层面很普遍，跟技术团队的实际感受完全脱节。

说个具体的观察。我跟踪过某跨国能源公司的一次红蓝对抗演练。蓝队用了某国际大厂的最新EDR产品，结果红队用一个钓鱼邮件加一个签名的合法远控工具就绕过去了。事后复盘发现，EDR的告警被淹没在每天上万条日志里，分析师根本没时间看。工具越买越多，人却越来越不够用——这是全球安全运营中心（SOC）的通病。美国有机构统计，SOC分析师的平均在职时间不到18个月， burnout率高得吓人。

再提一个趋势。2023年Black Hat大会上，好几个议题都在讲“攻击面管理”。但真正落地的企业不多。为什么？因为攻击面管理需要持续盘点资产，而大多数公司的CMDB（配置管理数据库）本身就是烂账。你连自己有多少台服务器、多少个API端点都搞不清楚，谈什么攻击面收敛？这是个基础工程问题，但国外很多CISO现在才开始重视。

最后说点个人判断。国外网络安全发展到现在，技术差距其实在缩小，真正的差距在运营成熟度和组织协同上。美国有CISA牵头搞跨部门演习，欧洲有ENISA协调成员国响应，连新加坡都成立了专门的网络安全局。这种国家级协调机制的价值，在遇到勒索软件大规模爆发时特别明显。单个企业再强，也扛不住系统性风险。国内这几年也在补这块，但跨企业、跨行业的信息共享仍然是个老大难。安全这事，说到底是个信任问题——你愿不愿意把被攻击的细节告诉同行？大多数人的答案是不愿意。