對于所有對零日漏洞的關(guān)注，一位資深的美國國家安全局官員表示，過去兩年中美國網(wǎng)絡(luò)的高調(diào)攻擊表明，網(wǎng)絡(luò)犯罪分子滲透到政府系統(tǒng)有更簡單的方法。美國國家安全局國家安全系統(tǒng)副國家經(jīng)理柯蒂斯·杜克斯于10月18日在美國企業(yè)研究所講話時(shí)說，在美國國家安全局對人事和管理辦公室、白宮、國務(wù)院、國防部的響應(yīng)中，沒有一個(gè)高調(diào)的政府黑客使用零日漏洞。

“基本上，對手利用了安全性差、補(bǔ)丁不良的系統(tǒng)，”杜克斯說。“一旦他們有了最初的立足點(diǎn)，他們提高特權(quán)，然后轉(zhuǎn)移到任務(wù)目標(biāo)，”其范圍從竊取數(shù)據(jù)到（在索尼黑客的情況下）銷毀它。

“我們談?wù)摿撕芏嚓P(guān)于零日的事情，我們談?wù)撚白咏?jīng)紀(jì)人，這種性質(zhì)的東西，但到目前為止，我們沒有真正改變對手的方程，”杜克斯說，“他們?nèi)匀豢梢暂p易攻擊我們并實(shí)現(xiàn)任務(wù)目標(biāo)——我想真的提高成本。”

杜克斯表示，提高成本意味著實(shí)施國家安全局《十大緩解》出版物中列出的一套實(shí)踐和協(xié)議。杜克斯說，遵循這些協(xié)議，包括控制行政優(yōu)先權(quán)、更新和修補(bǔ)軟件及應(yīng)用程序白名單，將使網(wǎng)絡(luò)犯罪更困難，并強(qiáng)迫他們考慮零日漏洞，他稱之為黑客只能在其最困難的任務(wù)中使用的珍貴商品。

在他的演講中，杜克斯詳述了他最近對《聯(lián)邦計(jì)算機(jī)周刊》的意見，說明國家安全局在響應(yīng)針對非國家安全系統(tǒng)的黑客攻擊時(shí)必須跳過的官僚障礙。

國家安全局對國家安全網(wǎng)絡(luò)擁有管轄權(quán)，但必須由國土安全部和聯(lián)邦調(diào)查局通過技術(shù)服務(wù)請求提出要求，以協(xié)助調(diào)查其他機(jī)構(gòu)的違規(guī)行為。

“我只是想，當(dāng)進(jìn)行所有的精心策劃的時(shí)候，你已經(jīng)失去了寶貴的時(shí)間，為了在這方面以網(wǎng)絡(luò)速度防御，我認(rèn)為這就是作為一個(gè)國家我們需要回顧的。”杜克斯告訴《聯(lián)邦計(jì)算機(jī)周刊》。

在他的AEI評論中，杜克斯說：“當(dāng)我們實(shí)際上必須做出事件響應(yīng)，并再次，如果你看看在過去的24個(gè)月，我們做了相當(dāng)多的事情......在我們實(shí)際上可以做出反應(yīng)之前，通常是數(shù)天至一個(gè)星期。

到那時(shí)，杜克斯說，犯罪已經(jīng)結(jié)束，很難確定對手是否仍然在系統(tǒng)內(nèi)，以及可以采取什么緩解措施。因此，他表示，美國需要修改其應(yīng)對網(wǎng)絡(luò)犯罪的方法。

“可能甚至到我們將[國土安全部、聯(lián)邦調(diào)查局和美國國家安全局]的一部分合并為一個(gè)代表整個(gè)政府的組織，”他說。

杜克斯指出，英國新的國家網(wǎng)絡(luò)安全中心是一個(gè)響應(yīng)任何政府機(jī)構(gòu)網(wǎng)絡(luò)犯罪的單一實(shí)體的例子。

“這是一個(gè)實(shí)體，他們負(fù)責(zé)，”杜克斯說。“我認(rèn)為這是一個(gè)我們需要看的模型，可能探索如何最好地與我們代表國家做網(wǎng)絡(luò)防御。”