网络安全是什么时候开始的？

您可能已经看到一些建议，网络安全始于第一个防病毒软件，并且将 1987 年定为商业防病毒软件的元年。

不好意思说错了（至少我觉得错了）。如果我们再试一次，那么我们可以说是 1971 年第一个蠕虫 (Creeper) 发布时，以及可以说是 1972 年在单一用途 Reaper 中发布的第一个防病毒软件。虽然 Reaper 旨在删除 Creeper 的副本，但它确实移动和复制了通过 ARPANET，可以说是另一种蠕虫本身。

虽然我可以将 Creeper 和 Reaper 的争论视为开始日期，但我无法让自己同意。要么我们指向任意事件来描述网络安全何时开始，这可以将我们带回到 1966 年（分时主机 CTSS 由于欢迎消息与主密码文件切换而遭受密码泄露），1971 年（推出ARPANET），甚至在 2003 年美国政府成立国家网络安全部时。

网络安全的开端

随着 Ware 和 Anderson 报告的发布，网络安全始于 1970 年至 1972 年。我将在下面解释我是如何得出这个结论的，以及你需要了解的重要历史要点才能使这个答案有意义。

首先，我们需要确定网络安全的真正含义。我同意它是应用于网络领域的安全学科的定义。

网络域是“信息环境中的全球域，由相互依存的信息网络、技术基础设施和常驻数据组成，包括互联网、电信网络、计算机系统以及嵌入式处理器和控制器”。 (美国国家标准与技术研究院)

另一方面，安全是保护资产免受威胁。资产可以是任何东西，包括人员、信息或物理系统。威胁（当我们处理安全问题时）最终总是可以追溯到一个人。

如果网络安全不是从 1987 年开始的，那么什么时候开始？

我倾向于坚持几个不同的日期。 1969 年是 ARPANET 的前两个节点上线的时候，即使它直到 1971 年才宣布运行。但是，仅仅因为某些东西存在，并不意味着围绕它存在正式的安全规程。我们真的需要看看人们何时开始正式考虑网络领域的安全方法。

这给我们留下了一些报告，它们是第一个正式考虑安全方面的报告。

洁具报告

其中第一个是创造性地命名为 '计算机系统的安全控制：国防科学委员会计算机安全工作组的报告' 由 Willis H. Ware（和其他人）于 1970 年出版。这里发表的是一个慷慨的词，因为最初该报告被归类为机密，直到 DARPA 于 1975 年将其解密。Ware 报告列出了许多不同的控制措施，这些控制措施将是当今任何网络安全专业人士都将其视为基础。即使某些术语随着时间的推移发生了变化，但任何研究或实践过网络安全的人都熟悉这些概念。

Ware 报告列出了许多所谓的漏洞，尽管现在我们将它们称为威胁，因为它们是外部的和不受控制的，而不是系统内部的弱点。

1. 意外泄露——我们现在可能称之为疏忽威胁，是某些组件或控件（无论是硬件、软件还是操作员配置）出现故障的结果
2. 故意渗透- 一种恶意威胁，尽管报告随后区分了被动方法（例如窃听，涵盖在被动颠覆之下）和称为主动渗透的主动方法，其中包括合法用户的妥协或特权提升
3. 物理攻击- 报告中提到，但特别指出不在范围内

Ware 报告以及我们将要讨论的下一个报告的迷人之处在于其中采用的许多方法是多么现代。举个例子， 威胁建模（或建模）通常被认为始于 2004 年，当时 Frank Swiderski 和 Window Snyder 写了**第一本书**。有一些较早的参考资料，但大多数人认为它最早始于 90 年代。鉴于（良好的）威胁建模现在被视为设计安全系统的必要条件（尽管经常被忽视，使我们处于我们所居住的不安全世界中），我们预计它会在时间轴的早期出现。

图片取自 Ware Report，显示了任何了解威胁建模的人都应该非常熟悉的内容。

上图至少应该是任何人都可以识别的基本威胁模型，显示了系统的不同攻击和漏洞。在报告中，我们进一步提出了控制建议，我们现在可能将其视为安全系统开发的架构原则、对风险管理和成本的考虑，等等。这些年来，一些术语发生了变化，报告本身考虑的是多用途系统（即我们现在认为的大型机和终端），而不是即将出现的真正的对等网络，但即使是简短的阅读也表明甚至是最现代的网络安全方法的基础思想。

安德森报告

因此，我们有理由将 1970 年定为网络安全的开始日期。唯一的问题是虽然提到了网络，但在 1970 年 ARPANET 并没有真正处于运行状态，因此网络的定义更多是关于带有远程终端的多用户大型机。让我们更深入地了解过去的未来，出版同样具有创造性的名称“计算机安全技术规划研究” 第一卷和第二卷.

詹姆斯·P·安德森 (James P. Anderson) 之前也参与过 Ware 报告，他的两卷后续报告大量借鉴并扩展了该报告。坦率地说，几十年来，他为设计和实施安全系统提出的许多建议都被忽视，损害了网络安全生态系统，其中一些正在被重新发现和重新命名。

举个例子，如果您听说过零信任网络架构，您可以在报告的第 2 卷中找到导致该方法的核心概念。更重要的是，对于我们这些试图定义网络安全构想日期的人来说，安德森报告更多地谈论了“建立相关计算机系统的大型分散网络的运动”。这为我们提供了一个更现代的视角，即网络是网络安全的关键。

那么网络安全是什么时候开始的呢？

我们得到了答案。不可否认，它可能涵盖了一个范围，但与说它始于特定类型的第一个软件工具相比，有更充分的理由支持它。网络安全是一种有条理的、经过深思熟虑的网络域安全方法。由于网络领域在 1970 年代之前（以任何实际方式）不存在，我们不需要进一步回顾，但该领域的先驱们非常活跃并思考我们今天仍在努力解决的问题回到那个时候。

我的回答是——网络始于 1970 年至 1972 年间，随着 Ware 和 Anderson 报告的出版。如果你仔细阅读这些报告，你会发现从那以后它几乎没有变化。