不久之后，2020年美国总统大选投票即将开始。由于疫情原因，现场投票、线上投票、邮寄投票等方式可能会采用。这实际上产生了一系列潜在的安全风险。即使没有疫情，大选也会面临各种风险。2016年，一位政府在社交媒体上部署了虚假信息策略，渗透选民登记数据库，入侵竞选系统，破坏选举过程。联邦和州政府在过去四年里花了大量时间为2020年的大选做准备，因为它受到了外国势力的干扰。今年的特别选举可能会关注这些威胁，国会拨款8亿多美元来提高选举安全性。
此外，2018年，美国网络司令部发起了积极瓦解外国网络威胁、加强政府体系的新战略。据报道，这些工作与美国国家安全局合作，挫败了2018年中期选举的目的“计划”。
本文旨在“抛砖引玉”，借鉴美国大选的安全防护方案，思考自己的企业或组织是否存在类似问题，能否从中得到解决当前类似问题的思路。
在即将到来的选举中，将检查11个潜在风险及其可能的影响和保护策略。
图1 2020年大选11个风险点
1. 虚假信息(风险等级:高 影响:未知)
误导或欺骗虚假信息。传播虚假信息的目的是削弱人们对媒体和政府机构的信任，传播不和谐的种子，或改变公众对特定人物、国家和思想的看法。
YouTube和Facebook等平台可以有效地创建和传播虚假信息，AI技术为其效率提升提供了有效途径，允许深度伪造和机器人使用。
国家反间谍和安全中心主任William Evanina强调2020年11月大选的风险：
“外国继续在社会和传统媒体上使用有影响力的手段，试图影响美国选民的偏好和观点，改变美国政策，制造不和谐，破坏人们对民主进程的信心。”
2018年麻省理工学院媒体实验室的一项研究发现，虚假信息在于Twitter传播速度比真相快。假新闻比真相传播得更广。前1%的假新闻将传播到1000到10万人，而真相很少传播到1000多人。
这一现象在疫情相关虚假信息的传播中得到了明显体现。Pew2020年4月，研究中心的一项民意调查发现，60%以上的美国人接触过这种恶意新闻，几乎完全是捏造的。
防护策略：发现机器人和深度伪造，提高媒体质量
为了防止虚假信息宣传这一威胁，以防止虚假信息传播。政府还采取了一些措施来防止外国参与者的恶意活动。科技公司——尤其是谷歌，Twitter和Facebook——2016年已采取措施防止总统大选期间在其平台上发生此类行为。
一些公司雇佣内容审计员来识别和删除虚假信息。Facebook就审核员而言1.5大多数外包商。谷歌建立了深度伪造数据集，支持研究人员建立深度伪造检测工具。Facebook与微软和亚马逊合作2019-2020年度赞助了深度伪造检测挑战赛。
谷歌、谷歌、Facebook和Twitter自2020年3月以来，已向外部事实验证和新闻机构捐赠了1亿多美元。这些公司还通过投资、培训和合作伙伴关系，加入或创建了一些支持高质量新闻报道的倡议（如新闻诚信倡议和谷歌新闻倡议）。Facebook和Twitter为2020年大选投票提供经验证资源。
Yonder和Astroscreen在网络平台上检测虚假信息。Yonder公司使用机器学习算法来监控在线对话，Astroscreen公司通过分析Twitter识别机器人的帐户行为。
NewsGuard试图通过提供浏览器扩展来告知公众使用信息，这可以显示在线新闻来源的质量。基于新闻来源的评分。
2. 政治运动系统(风险等级:高 影响:高)
活动通常由少数全职工作人员和大量志愿者共同运作，帮助筹集资金、传递信息、举办活动等。这些组织成员通常可以接触到候选人的敏感信息，以及潜在的选民和捐赠者名单。竞选团队IT对基础设施的攻击可能会破坏竞选团队的运作，并泄露候选人及其支持者的秘密信息。
2016年，黑客利用鱼叉网络钓鱼技术入侵希拉里·克林顿竞选团队主席John Podesta电子邮件，并披露收集到的信息。至于2020年的选举周期，微软的威胁情报团队在2019年发现外国特工也采取了类似的恶意行动，标与2016年和2018年基本相同。
公开发布敏感信息可以改变公众的观点，影响投票行为。此外，通过披露竞选策略和信息，披露竞争对手和竞选团队的竞争优势。竞选系统的渗透也会危及筹款、物流和通信活动。
防护策略：网络安全咨询服务
越来越多的政治运动意识到网络威胁，但许多人仍然面临几个挑战：不愿分享威胁信息、有限的预算和临时志愿者团队。
一些非营利组织为运动提供免费或低成本的网络安全咨询服务和解决方案，包括从电子邮件到云计算再到终端保护的一系列防御措施。2020年3月，美国Cyberdome为政治运动创建威胁信息共享网络。
2019年，联邦选举委员会授予Defending Digital Campaigns特别许可，为国会和总统竞选提供网络安全服务。从那时起，该组织发展了一个网络安全合作伙伴的生态系统，提供免费或折扣服务。
推荐供应商：
3. 选民注册系统(风险等级:高 影响:中)
除北达科他州外，其他州的选民必须登记投票。这些记录在国家一级管理，通常包括选民的姓名、地址、出生日期和其他身份信息。这种分散的系统扩大了攻击范围。如果黑客进入选民登记系统，他们可以修改、删除或锁定记录，在选举日造成混乱，损害选举结果的完整性。
黑客经常用勒索软件攻击州和地方政府，然后要求提供解锁实体的密钥。自2019年以来，地方和州政府经历了200多次勒索软件攻击。
被勒索软件更改或锁定选民登记数据库可能会造成混乱，影响选民参与选举。然而，大规模实施种攻击并不容易。选民记录的更改很容易被检测到，州系统是孤立的，这使得广泛的攻击更加困难。此外，大多数数据库都有备份。
防护策略：早期检测传感器和数据备份解决方案
自2016年以来，州和联邦政府采取了各种措施来改善选民登记数据库。他们分配资金，改进系统，建立沟通威胁流程，并雇佣更多的网络安全人员专注于选举。
至少36个州和非营利性州IT互联网安全中心(Center for Internet Security)合作增加了网络入侵传感器(称为Albert sensors)，用于检测和报告网络上的恶意活动。早期检测缩短了州和联邦当局的响应时间，限制了黑客影响数据库的能力。
为了保护选民数据库中的敏感信息以保护选民数据库中的敏感信息免受勒索攻击，确保其可用性。当数据库从在线数据源频繁更新时，它们还需要频繁同步到备份。Cohesity、Druva和Rubrik在勒索攻击等灾难期间，数据的可用性得到了保证。
4. 投票机(风险等级：中 影响：中)
11预计每月的大部分投票将通过电子邮件（邮件）进行，但投票人仍将收集相当一部分投票。这些投票人向选民提供候选人名单，记录他们的选择并计票。
很多投票机都是数字的，所以很容易操作。虽然各州政府都在努力更换易受攻击的设备，但由于时间问题，大部分仍将于2020年11月投入使用。
2019年世界黑客大会(DefCon)黑客测试成功突破了美国司法管辖区至少100台不同投票机的安全防护。
投票系统的分散也使投票人免受大规模攻击。然而，即使少数选区受到攻击，也可能对选举结果产生巨大影响，因此确保这些选区的投票人安全尤为重要。
此外，如果成功篡改投票机的证据在网上公布，即使是投票机也会让公众质疑选举结果。
防护策略:更新设备，验证选票
许多州正在更换旧的投票机，无法进行纸质审计。Brennan Center据估计，到2020年，只有12%的选票将通过无纸化机投票，低于2016年的20%。此外，2020年初，微软在威斯康辛州地方选举中尝试了其开源地ElectionGuard产品。该产品并没有解决与投票人相关的挑战，而是为选民提供了一种验证投票的方法。通过打印两份投票副本，一份给投票人，选民可以识别机器是否被操纵和篡改。
ElectionGuard利用同态加密技术（处理同态加密数据获得输出，解密输出，结果与原始数据相同），以确保安全性和匿名性，尽管它不会广泛应用于2020年的选举中。但对这一挑战的尝试突出了有一个核实投票记录的重要性。
5. 候选择账户(风险等级:中 影响:中)
如果政治职位是一种业务，那么候选人就是一种产品。对于候选人来说，这可能会模糊个人生活和公共活动以及支持两者的技术界限。候选人通常优先考虑工作电子邮件和应用程序的安全性，而忽略个人电子邮件和社交媒体账户。没有安全保障的个人账户也将对选举构成威胁。黑客可以通过社交媒体或其他方式捕获和发布候选人个人账户的敏感信息，并假装是候选人。
2020年7月，Twitter被黑客攻击，导致民主党总统候选人乔，包括民主党总统候选人乔·前总统巴拉克拜登·奥巴马和商人埃隆·马斯克。这些攻击接管了账户并用于恶意目的。
自2016年以来，政治候选人的几次钓鱼攻击已经浮出水面。这些攻击通常通过电子邮件发送恶意软件或获取信息。微软客户安全与信任副总裁Tom Burt他的团队对2018年总统候选人进行了三次网络钓鱼攻击。
黑人候选人账户是一种多重威胁：它允许黑客收集和披露信息，或向竞争对手披露信息，使用信息进入其他敏感系统，或假装是候选人。在这些情况下，它可能会损害候选人在公众眼中的形象，并对公平选举构成威胁。
防护策略：邮件安全与深度认证
为了支持高风险个人（账户），谷歌推出了扩大其电子邮件服务的先进保护计划。该计划限制第三方访问电子邮件，并要求使用物理安全密钥进行身份验证，为个人电子邮件账户增加了安全性。
多因素认证——访问应用程序或账户需要另一个身份来源(如通过电话或电子邮件发送的验证码)——黑客入侵个人账户的风险大大降低。
但是黑客可以拦截这些身份验证信息。Yubico物理密钥(如USB、智能卡等。)消除了拦截身份验证信息的机会。LastPass公司还使用加密码管理器为个人提供保护，支持高级双因素身份验证(如指纹和面部)ID)。Yubico和LastPass都是通过Defending Digital Campaigns提供服务。
6. 选举系统供应商(风险等级:中 影响:中)
地方政府和联邦政府依靠供应商来执行和支持选举，包括电子邮件通信、收集选票的机器和选举网站。一些供应商比其他供应商扮演更重要的角色。例如，供应商提供了60%以上的美国投票系统。
对这些供应商或其中一个供应商的攻击就可能会妨碍选举过程或导致敏感信息泄露/丢失。
FBI一份报告发现，一个国家的黑客在2016年一家美国大选软件提供商。这些黑客冒充同一供应商，向佛罗里达州几个县的选举经理发送了100多封鱼叉钓鱼邮件。
选举管理供应商通常面临利润率低、联邦监管有限、门槛高的问题，因此他们抱怨网络安全投资严重不足。例如，2017年，由加州发起的选举系统和软件安全审计(ES&S)黑客可以操漏洞，黑客可以操纵系统配置，甚至删除选票。
供应商支持选举过程的关键部分，并经常访问可识别的个人信息，这使他们成为问题。在一个高度集中的市场中，只有三家公司（包括ES&S)，但超过90%的美国投票设备可能会对这三家供应商造成严重后果。
防护策略：漏洞披露及试验
2020年，ES&S公布了漏洞披露计划。选举设备和软件供应商长期以来一直避免漏洞测试和披露活动。
公测漏洞平台Synack支持这一点。该项目正在进行中。Synack2018年推出选举安全项目，称为“选举安全”(Secure the election)。公司主动联系各州国务卿，免费为其选举系统提供安全公测服务。
众测漏洞平台，如Synack、HackerOne和Bugcrowd在恶意参与者有机会利用这些漏洞之前，该平台可以识别漏洞。
7. 选举管理员(风险等级:中 影响:中)
超过1万名当地行政官员执行选举程序，从存储和测试投票机到制作表格。他们的主要职责是向州官员传递民意调查信息。攻击这些行政官员及其所依赖的系统可能会阻碍投票、计算结果或结果的转移。
网络安全公司Area 1 Security2020年的一项研究发现，超过一半的选举经理“只有最基本”防止网络钓鱼攻击的技术。
2016年，黑客成功入侵佛罗里达县选举系统，获得希拉里·克林顿竞选主席的电子邮件。在钓鱼攻击中，电子邮件成为用户或公司系统和数据的入口，使选举系统处于危险之中。虽然在线钓鱼的成功率通常只有个位数。一般来说，较小的司法管辖权最有可能受到影响，由于全国选举制度不均衡，这种攻击的影响可能得到控制。
防护策略：访问权限管理：
反钓鱼工具标记或重定向恶意电子邮件阻碍了黑客的攻击。同时，权限管理计划通过控制数据和系统的访问来限制黑客对网络的损害。
Area 1 Security和Agari是两家反钓鱼公司，通过数字防御活动提供免费或降低成本的服务。访问权限管理提供商Centrify通过其“确保2020年投票”该计划以半价向美国选举委员会提供计划。
在过去的四年里，联邦机构和州政府官员除了私营部门的支持外，还努力提高选举经理对安全威胁的意识，开发报告程序，改进网络安全培训。例如，德克萨斯州现在要求所有能够使用国家选民登记和选举管理系统的员工完成年度安全培训。网络安全与基础设施安全局(CISA)这些计划是通过向州和地方机构提供培训材料来支持的。
8. 国家和地方网站(风险等级:中 影响:低)
国家和地方政府将在选举前几天提供如何投票和在哪里投票的重要信息。这些信息通常出现在政府或新闻网站上，结合选举结果。
攻击地方政府和媒体网络资产的黑客可能会向潜在选民提供虚假信息或阻碍重要信息。2018年，田纳西州地方选举期间，DDoS攻击导致诺克斯县选举委员会网站离线(该网站用于向公众提供选举结果)。
网络安全公司McAfee的研究发现，在13个竞争激烈的州，大多数县选举管理网站缺乏安全措施，如https加密或.gov验证。这些弱点使网站更容易篡改。
控制或关闭支持选举的政府网站可能会造成混乱，影响选民的投票率。攻击也可能使人们怀疑选举的公平性。然而，通信手段（如媒体、社交媒体和其他政府网站）的增加和分散的投票系统不太可能对选举网站进行广泛的攻击，因此对选举结果的影响是可控的。
防护策略：免费网站安保服务
由于预算和IT资源有限，许多选举区缺乏适当的工具来保护其网络资产。
网站安全公司在意识到这一需求后Cloudflare雅典项目于2018年宣布。该计划免费提供给州和地方政府Cloudflare的安全产品——WAF、DDoS保护和网站分析。截至2019年12月，已有156个地方或国家政府网站在26个州使用。
通过其子公司Jigsaw，谷歌创建了“盾牌计划”，这是一项旨在保护人权、新闻和选举监管机构网站的免费服务。项目屏蔽和过滤恶意流量，维护网站运行。
9. 关键基础设施(风险等级:低 影响:高)
CISA(网络安全与基础设施安全局)将关键基础设施定义为“对于美国至关重要的实体和虚拟资产、系统和网络，它们的损失或破坏将削弱国家安全、国家经济安全、[或]国家公共卫生或安全。”
关键基础设施涉及16个领域。2017年，国土安全部将选举基础设施列入政府设施清单。
对美国关键基础设施（如电网或交通系统）的网络攻击可能会降低投票率，瘫痪投票系统或设施，减少人们对选举结果的信任。
对健康和安全构成重大威胁——例如，对电网的攻击可能会导致通信和网络等重要系统离线。但攻击的无形影响可能更严重和持久。例如，关闭电网可能会导致交通拥堵和混乱，并降低受影响地区的投票率。
对美国关键基础设施的攻击可能会导致美国迅速而激进的报复，并威慑一些国家。这种攻击有先例。2020年，以色列供水系统遭遇袭击，美国勒索袭击导致一家天然气运营商下线。黑客过去侵入乌克兰电网，最近攻击德国关键基础设施。美国外交关系委员会(Council on Foreign Relations)将“对美国关键基础设施(包括选举系统)的高度破坏性网络攻击”被列为2020年头号威胁。
防护措施：保护IT和OT系统
联邦政府在关键基础设施上投基础设施，初创公司和现代公司都提供网络防御，以低于升级的威胁。包括国防承包商(如洛克希德)在内的许多公司都致力于保护关键基础设施·马丁、BAE系统)、技术公司(如思科、Tenable)以及工业设备供应商(如西门子、通用电气)。这些公司通常专注于保护公司IT系统或OT系统(即关键操作的机器和设备)。
思科于2019年收购了工业物联网，专注于这些工业系统的保护。(IIoT)网络安全公司Sentryo。设备制造商西门子在其产品中增加了安全功能，并于2020年6月购买UltraSoC，检测恶意攻击。
10. 邮寄票(风险等级:低影响:中)
由于疫情期间面对面活动基本取消，邮寄选票将在2020年11月的选举中发挥重要作用。这次投票的推动者，美国邮政服务(USPS)，一个核心元素将被引入其全国性的投票系统。
像所有大型物流组织一样，美国邮政依靠技术来维持其运营。因此，对它来说IT系统攻击可能会扰乱运行，推迟选举结果。
美国邮政依靠50万员工、条形码阅读器、托盘分拣机等一系列技术，支持2019年邮件量超过1420亿美元。这种操作的广度创造了巨大的攻击。2020年7月，CISA发布备忘录，列出邮寄投票的具体威胁和减轻威胁的步骤。
对邮政IT系统攻击可能会影响组织及时支持电子邮件投票的能力。这可能会推迟结果的收集和表格的制作，给选举结果带来不确定性。然而，选举的延迟是可以预测的，从而降低了选举公平性的风险。
防护策略：事件响应
2014年入侵后，美国邮政采取了许多措施改善其网络安全，建立了企业信息安全办公室和网络安全操作中心(CSOC)，并获得资金发展其威胁监测和事件响应能力。2020年3月，检察长办公室对USPS测试了事件测试和响应能力。报告详细描述了测试结果，指出了应改进的领域，包括开发关键性能测量、审查事件响应账单的建立过程和一些完整的测试能力。
许多网络安全公司提供事件响应解决方案，包括BlueVoyant，我们希望通过为政治竞选和政党提供低成本的服务来支持选举安全。Exabeam和Securonix利用数据科学技术支持事件响应。
11. 国外竞选资金(风险等级:低影响:低)
公职候选人及其竞选活动通常依靠筹款来支持运营（如租用办公室、雇佣候选人等）和广告。这些活动鼓励选民参与，提高他们对候选人的理解，并帮助塑造候选人的公众形象。
竞选资金来源众多，包括个人捐赠、公司、劳动组织、政治行动委员会等各种组织或金融机构(PACs)和政党。然而，外国实体——个人、公司和政府——被禁止直接或间接捐赠候选人的竞选活动。
绕过金融安全和提供外国黄金的攻击可能会使候选人在选举中获得不公平的优势，从而绕过美国人民的意愿。或者，不恰当地接受外国资金可能会损害候选人的声誉。
历史上很少有外资参加美国大选。为了有效地影响选举结果，外国需要向候选人的竞选活动注入大量资金。这不仅适用于影响选举结果，也适用于损害政治家的声誉。
在未被发现的情况下，在某项运动中投入如此巨大的资金是一个技术挑战。此外，许多外国实体可能认为这种投资的结果是不确定的。
在2015-2016在年度选举周期中，总统候选人筹集并支付了15亿美元，而附属实体（政治活动委员会和政党委员会）支付了56亿美元。为了改变现状，外国实体需要在未被发现的情况下支付大量费用。
研究人员还没有发现支出和选举结果之间的因果关系，所以即使是巨额的外国资金也可能无法确保候选人获胜。但如果候选人收到外国资金，这可能会损害他们的声誉，这取决于有意或无意的接受。
防护措施：监控欺诈的合规性和监管技术
世界各地公司的法律结构非常复杂，可能会混淆资金来源。捐赠进一步引入了将小额捐赠扩大到大额捐赠的能力。
为了保护选举不受外资影响，筹款机构可以使用合规技术来识别和降低财务风险。越来越多的金融科技公司熟悉监管框架和金融体系，使用机器学习算法来识别非常规活动。
例如，ComplyAdvantage利用人工智能监控交易来识别和标记不合规交易(来自受制裁国家)。Trulioo为确保合规性和减少欺诈性，提供了身份验证方案。金融机构采用的许多解决方案可以使竞选筹款跟踪工作现代化，以确保金融体系的完整性。
大选将近
不久，美国人将前往投票站投票，这将是一家大型科技公司(如微软、谷歌、Facebook)、初创公司(如Area 1 Security、Synack、NewsGuard)以及联邦和地方政府在过去四年里令人印象深刻的合作。选举日的结果最终将决定这些实体的努力，包括网络监控、网络培训和反钓鱼工具。与此同时，影响2020年选举的活动已经开始。在互联网上，黑客试图通过钓鱼和暴力攻击渗透到竞选活动和政府系统中。在过去的几周里，微软威胁情报小组透露了至少200个与即将到来的选举相关的组织的尝试。
虽然海外选举者可能追求不同的目的，但他们给选举过程和整个民主环境蒙上了阴影。因此，美国在2020年选举中最大的防御将是其公民。在选举日，每个公民都可以选择投票，并相信核实的信息来源。