从被动防御到主动破坏：大型科技公司引领的网络安全战略转型及其全球影响
摘要
本报告深入剖析了全球网络安全领域正在发生的一场根本性战略转型：以谷歌、微软为首的大型科技公司正从传统的“检测-响应”被动防御模式，转向以威胁情报为驱动、融合技术与法律手段的“识别-瓦解-威慑”主动破坏战略。这一转变的根源在于，传统的“堡垒模式”已无力应对资源雄厚、组织严密的国家级攻击者和大规模网络犯罪集团。
该转型通过创新的战术（如利用民事诉讼获取法院禁令）与强大的技术能力（如全球威胁情报网络和人工智能分析）相结合，直接瞄准并瓦解网络犯罪和恶意活动的基础设施，如僵尸网络。本报告系统性地分析了这一转型带来的三重深远影响：
- 对企业风险管理：它将企业的安全理念从构建孤立的“数字堡垒”转变为利用强大的外部“安全生态”，但在享受宏观保护的同时，也带来了对科技巨头平台的深度依赖，并卷入了复杂的全球法律与合规困境。
- 对网络安全行业：它催生了以主动防御为核心的新技术赛道（如欺骗防御、攻击面管理），重塑了安全厂商从“工具商”到“战略行动伙伴”的角色，并加剧了以云平台为核心的市场整合，“安全即平台”趋势日益显著。
- 对国际关系格局：它模糊了企业与国家的行动界限，使科技巨头成为地缘政治博弈中的“准国家行为体”。其跨境破坏行动挑战了传统国际法中的主权、归因和自卫权原则，尤其加剧了中美在网络空间中的技术与法律对抗，倒逼全球网络治理规则的重构。
总之，这场由科技巨头引领的战略转型是不可逆转的。它在提升网络安全效能的同时，也带来了前所未有的法律、伦理和地缘政治挑战。寻求“负责任的主动防御”与维护全球网络空间稳定之间的平衡，将是所有利益相关方未来面临的长期核心课题。
引言：一个新时代的来临
传统的企业网络安全理念根植于“堡垒模式”（Fortress Mentality），即通过构建层层防御来保护数字资产的边界。然而，随着攻击手段的日益复杂化和国家级网络攻击的常态化，这种被动、事件驱动的响应模式已显得力不从心。它永远在追赶攻击者，无法根除威胁源头，导致防御成本与风险持续攀升。
在此背景下，一场深刻的范式革命正在兴起。全球领先的科技公司，尤其是微软和谷歌，正在引领一场从被动防御 (Passive Defense) 向主动破坏 (Proactive Disruption) 的战略转型。这一新范式的核心思想不再是单纯地阻止单次入侵，而是借鉴军事领域的“前出狩猎”（Hunt Forward）和“防御前置”（Defend Forward）理念，在威胁造成大规模损害前，主动识别、干预并瓦解攻击者的基础设施和运营能力。
微软的数字犯罪部门（DCU）和谷歌新成立的网络“破坏部门”是这一战略的先行者和推动者。它们通过融合技术、法律和全球情报能力，开创性地将民事诉讼作为“武器”，对僵尸网络、国家级黑客组织等威胁源头进行“外科手术式”打击。
本报告认为，这一转型绝非简单的技术演进，而是一场从根本上重塑风险、产业和全球秩序的“板块构造运动”。它将对企业风险管理、网络安全行业生态以及全球网络空间的地缘政治格局产生深远而持久的影响。基于此，本报告将分为三个部分，依次深入剖析这场转型在上述三个层面带来的变革、挑战与未来走向。
第一部分：对企业网络安全风险管理的影响
大型科技公司从被动防御向主动破坏的战略转型，正在从根本上重塑企业网络安全风险管理的范式。这一转变不仅要求企业重新评估威胁模型和能力配置，更将其卷入复杂的法律、伦理与地缘政治博弈之中。
1.1. 战略范式转变：从“被动堡垒”到“主动出击”
新范式转向“主动出击”，其目标不再是单纯地阻止单次入侵，而是通过主动识别、干预并瓦解攻击者的基础设施和运营能力，系统性地提升攻击者的行动成本与风险，从而降低其攻击投资回报率（ROI），实现“不战而屈人之兵”的威慑效果。
核心思想演变：从传统的“纵深防御”（Defense-in-Depth）转向“前出狩猎”（Hunt Forward）与“防御前置”（Defend Forward），将战场推向对手的网络空间。
这一战略的先行者与标志性事件清晰地勾勒出其发展轨迹：
先行者：微软数字犯罪部门 (DCU)：自2008年成立以来，DCU开创性地融合了技术、法律和公私合作（Public-Private Partnership）手段，其使命并非被动防御，而是主动瓦解与威慑 (Disrupt & Deter)。它已成功主导或参与瓦解了包括Necurs、Citadel在内的多个大型僵尸网络。
战略升级的标志：谷歌网络“破坏部门”：谷歌在2025年宣布成立网络“破坏部门”，旨在寻求“合法且道德的破坏”选项。这标志着主动破坏战略已成为科技巨头的共识和核心能力，也意味着私营部门从网络安全的被动防御者，正式转变为积极参与者和规则塑造者。
1.2. 核心能力的演进：威胁情报驱动的攻防一体化
战略的转变推动了企业核心安全能力的深刻演进，从分离的攻防能力走向以威胁情报为中枢的一体化作战体系。
威胁情报的角色转变
在传统模式下，威胁情报主要作为一种输入，用于生成告警。而在新范式下：
威胁情报从“告警系统”转变为驱动行动的“作战引擎”。 它不仅用于识别威胁，更用于支撑对攻击者的深度画像、基础设施追踪，并最终为法律诉讼和技术反制等“破坏”行动提供决策依据和证据链。
攻防演练与实战化：僵尸网络拆解 (Botnet Takedown)
传统的内部红蓝对抗是模拟环境，而主动破坏战略将攻防演练推向了真实世界的干预。僵尸网络拆解是其中最具代表性的实战案例。
| 案例分析 | 行动主体 | 目标 | 关键手段与影响 |
|---|---|---|---|
| Google vs. BADBOX 2.0 | 谷歌威胁分析小组 (TAG) | 感染超千万台安卓设备的BADBOX 2.0僵尸网络，其运营者被指为中国犯罪团伙。 | 法律与技术结合的典范：谷歌在纽约联邦法院提起诉讼，获得法院强制令，迫使全球ISP和域名注册商协助拆除该僵尸网络的基础设施。这是典型的“网络破坏”实战，直接摧毁了犯罪团伙的运营能力。 |
| Microsoft vs. Citadel/Necurs | 微软DCU | 全球最大的僵尸网络之一Citadel和Necurs。 | 公私合作的标杆：微软与FBI及多国执法机构紧密合作，通过技术手段切断僵尸网络通信，并利用法律武器控制其关键节点，最终成功瓦解了这些庞大的犯罪网络。 |
1.3. 法律合规与责任的重塑：以法律为剑，亦受法律所困
主动破坏战略将企业推向了一个充满机遇但同样遍布风险的法律灰色地带。
法律工具的进攻性应用
科技巨头的实践表明，民事诉讼已成为实施“合法破坏”的核心武器。通过向法院申请临时限制令（TRO）或初步禁令，企业可以在法律授权下，合法地中断攻击者的基础设施（如域名、服务器），这与非法的“黑客反击”（Hack Back）划清了界限。
“主动防御”的法律边界与风险
尽管有法律工具加持，但“主动破坏”的边界依然模糊，潜藏巨大风险：
- 界限模糊性：在技术上，瓦解一个僵尸网络的C2服务器与一次DDoS攻击可能使用相似技术。如何界定“防御性破坏”与“进攻性攻击”成为国际法上的巨大难题。
- 附带损害与责任：在破坏行动中，如果对无辜的第三方造成损害（Collateral Damage），行动发起方可能面临难以预估的法律诉讼和赔偿责任。
- “私掠许可证”争议：美国国会曾提出的《网络犯罪标记和报复授权法案》等立法尝试，旨在为私营部门的跨境网络反制行动提供合法性。然而，这引发了关于催生“数字私掠船”、侵犯他国主权和导致冲突升级的激烈伦理与法律争议。
全球化运营的合规困境：中美法律对抗的缩影
对于在中国等国家拥有大规模业务的跨国科技公司而言，主动安全战略使其陷入了前所未有的合规两难。
- 中国的法律要求：中国《网络安全法》等法规明确规定，网络运营者有义务协助政府进行“维护国家安全和侦查犯罪”的活动。
- 两难处境：如果一家美国公司遵守中国法律，向中国当局提供了某些数据，它可能违反美国的法律、商业道德，甚至面临如“雅虎案”一般在本国的巨额诉讼和声誉危机。反之，若不遵守，则可能被逐出中国市场。这种法律和主权的冲突，使得企业的安全行动不再仅是技术决策，更成为在地缘政治棋盘上步步惊心的战略抉择。
第二部分：对网络安全行业的影响
大型科技公司从被动防御向主动破坏的战略转型，如同一场“板块构造运动”，不仅改变了企业自身的安全地貌，更对整个网络安全产业的生态、技术走向和市场格局产生了深刻而持久的冲击。
2.1. 技术与产品创新的浪潮：主动防御工具的兴起
战略思想的转变是技术创新的最强催化剂。当目标从“被动拦截”转向“主动干扰、威慑和瓦解”时，安全行业的技术栈和产品形态必然随之演进。
核心驱动力：不再满足于降低攻击成功率，而是致力于系统性地增加攻击者的行动成本（时间、资源、人力）和暴露风险，从而从根本上削弱其攻击意愿和能力。
这一理念催生了以下几类关键技术和产品的兴起：
- 欺骗防御技术 (Deception Technology)：从传统的被动蜜罐，演进为能够模拟真实业务、动态交互并主动散布虚假凭证的“主动欺骗平台”。它们不再是简单的陷阱，而是变成了主动的情报收集和攻击者行为分析平台。
- 自动化攻击面管理与干扰 (Automated ASM & Disruption)：工具从攻击者的视角出发，自动化、持续性地发现企业暴露在外的所有资产。更进一步的技术能够对早期侦察行为进行主动干扰，例如向扫描器返回大量虚假信息，淹没攻击者的情报收集渠道。
- AI驱动的威胁狩猎平台 (AI-Powered Threat Hunting)：面对海量数据，人工智能（AI）成为实现主动狩猎规模化的唯一途径。AI能够自动识别异常行为模式、关联零散的攻击活动、预测攻击者的下一步行动，将分析师从低级分析中解放出来。
2.2. 安全厂商角色演变：从“工具商”到“主动威慑服务伙伴”
随着技术栈的演变，安全厂商的商业模式和市场角色也正在经历深刻的重塑。
服务模式的深化：“破坏即服务”的雏形
领先的服务商开始提供包含法律支持、情报分析、溯源取证和行动执行的一体化“破坏服务”。这意味着，当发现威胁时，服务商不仅是告警者，更是与客户并肩作战的行动伙伴，能够协助客户执行合法的反制与破坏行动。
公私合作（PPP）的关键枢纽
顶尖的安全公司正成为连接政府执法力量与全球互联网基础设施的关键枢纽。它们利用自身的技术和情报优势，为执法部门（如FBI）的行动提供关键支持，同时协调全球的ISP、域名注册商等基础设施提供商执行法院命令。这种独特的角色，使得这些公司从单纯的商业实体，转变为网络空间治理中不可或缺的准公共行动体。
2.3. 市场竞争格局的重构：巨头阴影下的生存法则
大型科技公司凭借其无可比拟的优势，在主动威慑这一新赛道上建立了极高的竞争壁垒，对传统中小型安全厂商构成了“降维打击”。
科技巨头的不对称优势
谷歌、微软等巨头在主动破坏领域拥有中小厂商难以企及的“三位一体”优势：
| 优势维度 | 具体表现 | 对比中小厂商的劣势 |
|---|---|---|
| 全球威胁情报网络 | 旗下拥有全球最大的操作系统、搜索引擎、云平台，能够从源头获取最广泛、最及时的威胁情报。 | 情报来源有限，多依赖二手数据或有限的客户探针，在广度和深度上存在天然差距。 |
| 强大的法务与政策能力 | 拥有经验丰富的全球法务团队，能够发起并赢得复杂的跨国诉讼。其强大的政府关系团队能影响政策。 | 缺乏进行大规模、跨国法律行动的资源和经验，法律成本高昂且风险不可控。 |
| 基础设施控制与影响力 | 作为全球最大的云服务商之一，它们能够直接、快速地在其平台上执行封禁行动，并能有力地影响全球其他ISP和注册商。 | 只是基础设施的“租户”，需要通过请求或合作才能推动行动，响应速度和执行力受限。 |
市场分化与“安全即平台”趋势
巨头的入场正导致网络安全市场急剧分化：
- “安全即平台”趋势加剧：科技巨头正将主动防御能力深度整合至其云平台和核心产品中（如Microsoft Sentinel, Google SecOps）。安全不再是外挂功能，而已成为平台的核心竞争力，挤压了独立第三方工具的市场空间。
- 中小厂商的生存挑战与机遇：面对巨头的“一体化”攻势，传统的中小安全厂商若继续在通用市场竞争，将面临巨大压力。其未来的生存之道在于：
- 深耕垂直领域：专注于特定行业（如工业控制/OT安全、车联网安全）的深度解决方案。
- 成为生态补充者：开发能够与巨头平台（如Azure, GCP）无缝集成、提供特定增强功能的小工具或服务。
- 聚焦高端专业服务：专注于提供高度专业化、人力密集型的服务，如顶级事件响应、红队演练和地缘政治风险咨询。
第三部分：对全球网络空间安全格局与国际关系的影响
大型科技公司主动破坏战略的兴起，已将其从单纯的商业实体推向了全球地缘政治博弈的中心舞台。它们的每一次跨境网络行动，不仅是在处置安全风险，更是在试探、挑战乃至重塑现有的国际关系准则与法律边界。
3.1. 攻防一体化与大国博弈：科技巨头成为地缘政治新变量
在以中美技术对抗为核心的全球博弈中，大型科技公司的攻防一体化战略使其扮演了一种前所未有的角色——介于企业与国家之间的、拥有强大网络行动能力的“准国家行为体”。
“数字私掠船”：企业行动的国家级影响
历史上，国家曾向私人船只颁发“私掠许可证”（Letter of Marque），授权其在战时攻击敌国商船。如今，科技公司的主动破坏行动，其行为与“数字私掠船”有异曲同工之妙。
- 公私合作的一体化：美国政府的“前出狩猎”和“一体化威慑”战略，与谷歌、微软的行动在目标和效果上高度协同。政府提供法律授权和外交支持，企业则贡献技术、情报和全球基础设施的执行能力，共同构成了国家网络力量的延伸。
- 行为体角色的模糊化：当微软DCU宣布查封与俄罗斯国家支持的黑客组织（如Star Blizzard）关联的域名，或谷歌起诉并瓦解被指有中国背景的BADBOX僵尸网络时，这些行动已超越了单纯的企业自卫范畴，带有鲜明的地缘政治色彩。
中美技术对抗中的不对称优势
科技巨头的“武器化”为中美网络博弈引入了新的不对称性。双方利用各自的优势，在网络空间展开了一场规则不同、手段各异的对抗。
| 对比维度 | 美国及西方阵营 | 中国及类似国家 |
|---|---|---|
| 核心优势 | 私营部门的技术与全球影响力：拥有微软、谷歌等全球科技巨头，其技术、情报网络和法律资源成为国家力量的倍增器。 | 国家主权与法律控制力：拥有对境内网络基础设施和数据的绝对控制权，能够通过国内法律体系施加压力。 |
| 战略手段 | “前沿防御”与“主动破坏”：鼓励和利用科技公司主动出击，将战场推向对手的网络空间，通过法律诉讼等手段实现“长臂管辖”。 | “法律防御”与“数据主权”：通过《网络安全法》等法规，要求在华运营的外国企业配合国家安全审查，形成反制。 |
| 不对称性 | 利用私营部门的灵活性和全球触角，在国家正式介入之外开辟“第二战场”。 | 利用国家主权的强制力，将全球化运营的企业作为制衡对手的筹码。 |
3.2. 对国际规则的挑战：主权、归因与升级风险
科技公司主导的跨境网络破坏行动，正对以《联合国宪章》为基础的国际法体系构成前所未有的挑战。
- 对主权原则的侵蚀：当微软或谷歌通过美国法院的一纸禁令，强制位于德国或新加坡的ISP服务商切断某个服务器的连接时，这本质上是一家美国私营企业，依据美国国内法，对他国领土内的网络基础设施进行了干预。这无疑是对相关国家网络主权的挑战。
- 归因的困境与威慑信号的失真：受攻击国难以判断，一次“网络破坏”行动究竟是企业的独立商业决策，还是其母国政府授意的“代理人战争”？这种模糊性使得有效的威慑信号难以传递，并可能因错误的归因导致冲突升级。
- “主动防御”与“网络攻击”的界限：在技术层面，“防御性”的破坏与“进攻性”的攻击之间往往没有清晰的界限。若无法建立明确的界定标准，网络空间可能滑向“实力即正义”的“丛林法则”状态。
3.3. 推动新规则的形成：对未来全球网络治理的倒逼
科技巨头的行动倒逼国际社会必须正视当前规则的滞后与不足，加速构建适应数字时代的新治理框架。当前的网络空间正处于一个缺乏明确规则的“狂野西部”时期，由非国家行为体主导的、单边主义的秩序维护方式是不可持续的。
国际社会亟需就以下核心议题加快谈判并达成共识：
- 界定“网络自卫权”的边界：私营企业等非国家行为体是否以及在何种条件下享有“自卫权”？
- 明确“网络威慑”的合法性：必须建立明确的交战规则（Rules of Engagement）和攻击关键基础设施的“红线”。
- 完善“负责任国家行为”的准则：国家应如何监管其境内科技公司的跨境网络行动？
最终，解决这一挑战的路径并非压制科技公司的能力，而是在联合国等多边框架下，将包括政府、企业、技术社群和公民社会在内的多方利益相关者纳入进来，共同塑造一个更加清晰、公平和稳定的全球网络空间治理新秩序。
结论
从被动防御到主动破坏的战略转型，是大型科技公司在应对日益严峻的网络威胁时所做出的必然选择。这一转型深刻地重塑了企业风险管理、网络安全行业生态以及全球地缘政治格局。它展示了通过融合技术、法律与情报实现高效威慑的巨大潜力，但其深远的长期影响同样不容忽视。
首先，私营部门的“准军事化”趋势将持续加深。随着科技公司承担更多以往由国家负责的网络反制任务，它们在全球安全事务中的话语权和影响力将进一步增强，企业利益与国家战略的捆绑将更加紧密。
其次，网络空间的法律和伦理“灰色地带”将成为长期冲突的策源地。在缺乏明确国际规范的情况下，围绕主权、归因和行动合法性的争议将持续存在，误判和冲突升级的风险将始终高悬。
最后，这一转型正强力倒逼全球网络治理体系的演进。它迫使国际社会必须超越传统的国家中心主义框架，将科技巨头等非国家行为体纳入规则制定和执行的过程中。
展望未来，我们面临的挑战并非要遏制这一转型，而是要为其建立“护栏”。国际社会亟需通过多边对话，就“负责任的主动防御”达成共识，明确行动边界，建立透明度和问责机制。只有这样，才能在利用科技力量维护网络安全的同时，避免使网络空间陷入无序对抗的“丛林状态”，最终实现技术进步与全球稳定之间的艰难平衡。未来的研究和政策制定应聚焦于构建这种新型的、多方参与的全球网络安全治理框架。
参考文献
- 从防御到进攻：美国网络安全战略转型的深度调查报告 - https://www.secrss.com/articles/82523
- Google Sues 25 Chinese Entities Over BADBOX 2.0 Botnet ... - https://thehackernews.com/2025/07/google-sues-25-chinese-entities-over.html
- Google Sues Operators of 10-Million-Device Badbox 2.0 ... - https://www.securityweek.com/google-sues-operators-of-10-million-device-badbox-2-0-botnet/
- Google Sharpens its Cyber Knife - Risky Business Media
- Digital Crimes Unit - https://www.microsoft.com/en-us/corporate-responsibility/customer-security-trust/digital-crimes-unit
- China's Cybersecurity Law Gives the Ministry of State Security Unprecedented New Powers Over Foreign Technology - https://www.recordedfuture.com/research/china-cybersecurity-law
- China's Cybersecurity Law: enforcement actions are on ... - [链接不可用]
贡献者
pansin