專家一致同意，按深度防御的方法是防止針對(duì)工業(yè)控制系統(tǒng)網(wǎng)絡(luò)入侵的最佳方法。這里介紹兩種脫穎而出的技術(shù)，為深度防御的策略提供更多的方法。
控制安全部門(mén)被去年夏天發(fā)現(xiàn)的“震網(wǎng)”（Stuxnet）蠕蟲(chóng)所震懾，這是首次發(fā)現(xiàn)專門(mén)針對(duì)工業(yè)控制系統(tǒng)（ICS）的惡意軟件。而且現(xiàn)在已經(jīng)發(fā)現(xiàn)這樣的蠕蟲(chóng)非常瘋狂，很多人相信其他類似情況還一定會(huì)出現(xiàn)。
“有人已經(jīng)證明了一種概念：你可以發(fā)動(dòng)針對(duì)一個(gè)工業(yè)控制系統(tǒng)的進(jìn)攻，攜帶一個(gè)面向工業(yè)控制系統(tǒng)的有效載荷，不僅在理論上可以演示，而且在實(shí)際中可以操作。因此我們還會(huì)看到更多類似情況的發(fā)生，這幾乎是不可避免的，”專家評(píng)論道。
“震網(wǎng)”當(dāng)時(shí)針對(duì)的目標(biāo)是西門(mén)子（Siemens）的控制系統(tǒng), 這是一家德國(guó)自動(dòng)化的巨頭，蠕蟲(chóng)使用過(guò)去不知名的微軟操作系統(tǒng)漏洞，獲取了對(duì)計(jì)算機(jī)系統(tǒng)的訪問(wèn)，然后再對(duì)自動(dòng)化控制系統(tǒng)進(jìn)行攻擊。專家警告：控制系統(tǒng)的制造商會(huì)成為今后攻擊的目標(biāo)，特別是使用流行的微軟技術(shù)而進(jìn)入ICS空間。
自動(dòng)化的擁有者和操作員應(yīng)采取哪些步驟來(lái)保護(hù)他們的控制系統(tǒng)資產(chǎn)呢？因?yàn)椤闭鹁W(wǎng)”蠕蟲(chóng)是通過(guò)通用串行總線（USB）設(shè)備感染系統(tǒng)的，所以要實(shí)施一項(xiàng)嚴(yán)格的USB設(shè)備在控制環(huán)境中的管理政策－或者簡(jiǎn)單地使所有USB端口失效－可以對(duì)這種特殊的惡意軟件起屏蔽作用，這是一些專家的建議。但工業(yè)界的同仁也同意，沒(méi)有一種單一方法能夠預(yù)防所有進(jìn)攻。將來(lái)攻擊的方向目前未知，有可能是被稱為“0天”病毒的攻擊－就像”震網(wǎng)”一樣－可以通過(guò)以前不知名的系統(tǒng)漏洞，目前還沒(méi)有反病毒軟件可以提供保護(hù)。
深度防御
通常，工業(yè)網(wǎng)絡(luò)安全從業(yè)人員推薦使用深度防御策略做為防止黑客侵入ICS網(wǎng)絡(luò)的最佳方法。這個(gè)概念包含使用多個(gè)保護(hù)層和不同防御方法，所以如果攻擊者通過(guò)一道保護(hù)層或者一種防御策略，新的保護(hù)層或者新的防御策略就馬上呈現(xiàn)，給攻擊者的進(jìn)攻帶來(lái)難度。常用的防御方法包括物理控制、人員政策和管理控制、電子測(cè)量，諸如防火墻、加密和反病毒工具。
多種電子保護(hù)的方法已經(jīng)不斷成熟，并且近年來(lái)很好地抗擊了ICS的網(wǎng)絡(luò)入侵者和惡意軟件。各種各樣的工業(yè)網(wǎng)絡(luò)安全咨詢公司，以及控制系統(tǒng)供應(yīng)商，可以幫助用戶使用最新技術(shù)和已經(jīng)證明的知識(shí)，應(yīng)用于控制系統(tǒng)環(huán)境。
在本文中，我們將介紹兩種較為突出的新技術(shù)，可能對(duì)ICS網(wǎng)絡(luò)來(lái)說(shuō)也比較陌生。一個(gè)是著名的白名單技術(shù)，建議者認(rèn)為它對(duì)付“震網(wǎng)”非常有效。第二個(gè)被稱為單向通信技術(shù)，或稱為數(shù)據(jù)二極管－它是基于硬件設(shè)備的技術(shù)。
上述兩個(gè)方法為ICS網(wǎng)絡(luò)提供了一種“銀彈”，可減緩各種類型的網(wǎng)絡(luò)威脅。最近，這兩種方法引起了一些工業(yè)行業(yè)的興趣和關(guān)注，諸如電力設(shè)施。在某些情況下，這些方法還可以提供更多的工具，用于ICS多層保護(hù)的實(shí)施。
白名單
白名單的概念與“黑名單”相對(duì)應(yīng)。黑名單啟用后，列入到黑名單的用戶（或IP地址、IP包、郵件、病毒等）被阻止通過(guò)。當(dāng)設(shè)立了白名單后，列入進(jìn)白名單的用戶（或IP地址、IP包、郵件等）則可優(yōu)先通過(guò)，不會(huì)被當(dāng)成垃圾郵件拒收，安全性和快捷性都大大提高。
專家用這樣的語(yǔ)言解釋這種技術(shù)：“白名單為所有已證明可執(zhí)行文件提供了一種碎片加密。無(wú)論操作系統(tǒng)何時(shí)試圖加載一個(gè)可執(zhí)行文件，包括動(dòng)態(tài)鏈接庫(kù)（DLL）和其他類型的可執(zhí)行文件，碎片會(huì)被重新計(jì)算，并且與已證明的文件表進(jìn)行比較。如果沒(méi)有相同的文件存在，就意味著加載的文件要么不允許運(yùn)行，要么已經(jīng)損壞?！?BR>
這就確保了只有干凈的、已證明的應(yīng)用可以執(zhí)行，白名單阻止了所有無(wú)授權(quán)的應(yīng)用，包括與“震網(wǎng)”差不多的“0天”病毒，而它以前是未知的。這與黑名單處理病毒的方法不一樣，黑名單使用先前中毒的經(jīng)驗(yàn)，對(duì)其的特征進(jìn)行分析，然后開(kāi)發(fā)一個(gè)“簽名”來(lái)反對(duì)它；這個(gè)簽名之后下載到系統(tǒng)，防止將來(lái)出現(xiàn)相同的情況發(fā)生，用于反對(duì)特定的惡意軟件，而使系統(tǒng)得到相應(yīng)的保護(hù)。從這里可以看出，黑名單的方法比較被動(dòng)，是在病毒發(fā)生后才采取行動(dòng)，并且只針對(duì)一種病毒；而白名單只運(yùn)行已經(jīng)證明的程序，新的病毒根本沒(méi)有機(jī)會(huì)進(jìn)入系統(tǒng)，所以是一種主動(dòng)防御。
在2010年8月19日關(guān)于“震網(wǎng)”的網(wǎng)絡(luò)研討會(huì)中，工業(yè)防衛(wèi)者的安全方案副總裁提供了一個(gè)示范，演示了當(dāng)一個(gè)受感染的USB設(shè)備插入進(jìn)一個(gè)未保護(hù)的計(jì)算機(jī)時(shí)，成功阻止了“震網(wǎng)”蠕蟲(chóng)。“白名單要做的事情就是預(yù)防它”該副總裁說(shuō)。
雖然白名單概念已經(jīng)出現(xiàn)了很多年，工業(yè)網(wǎng)絡(luò)追趕IT的步伐還是有點(diǎn)慢，因?yàn)橐芾淼膯?wèn)題經(jīng)常變化。這包括在IT世界，需要頻繁的補(bǔ)丁程序和新病毒簽名的下載。每當(dāng)一種變化發(fā)生，這種變化必須加到白名單中。“如果在我的PC機(jī)上，經(jīng)常使用新軟件和新應(yīng)用，這對(duì)白名單是一種痛苦?！币粋€(gè)安保公司工業(yè)安全部的主技術(shù)官說(shuō)。
但白名單“實(shí)際上很好適應(yīng)了”工業(yè)控制系統(tǒng)，這位技術(shù)官提到，因?yàn)閭鹘y(tǒng)上ICS有嚴(yán)格的更改規(guī)則。事實(shí)上，控制應(yīng)用的改變比IT環(huán)境的變化要慢得多?！爱?dāng)你做好了像人機(jī)界面HMI這樣的畫(huà)面時(shí)，在6－8個(gè)月之內(nèi)是不會(huì)改變的，并且要改變也是非常慎重的，一般在升級(jí)和打補(bǔ)丁周期，這么說(shuō)來(lái)，使用白名單是比較適合的，” 技術(shù)官認(rèn)為。
[DividePage:NextPage]
緩慢變化
“在控制系統(tǒng)使用白名單的好處是控制系統(tǒng)的相對(duì)穩(wěn)定性。這是對(duì)它認(rèn)可的最佳描述，因?yàn)槊麊蔚淖兓浅＞徛?，所以你不?huì)遇到一天有若干個(gè)新（反病毒）簽名的問(wèn)題，”工業(yè)防衛(wèi)者的副總裁增加道，“你保佑你的軟件，并且運(yùn)行它，這就是全部。不需要變化。”
在對(duì)能源部門(mén)提供控制中心咨詢時(shí)，弗勞爾控制中心解決方案LLC主席－湯姆弗勞爾認(rèn)為，白名單特別適合用于控制環(huán)境，在分段網(wǎng)絡(luò)上實(shí)施，弗勞爾解釋道“當(dāng)你進(jìn)行了網(wǎng)絡(luò)的劃分，你可以真正得到白名單的詳細(xì)內(nèi)容。你可以說(shuō)，‘我僅想這5個(gè)應(yīng)用運(yùn)行在這個(gè)特殊網(wǎng)段?！绻渌魏螒?yīng)用試圖運(yùn)行在這個(gè)網(wǎng)段，那它會(huì)引起標(biāo)記變化，并且產(chǎn)生報(bào)警。這非常有效?！?BR>
弗勞爾以前是主設(shè)備控制系統(tǒng)經(jīng)理，知道白名單的方法早在2004年或者2005年就已經(jīng)用于領(lǐng)先的電廠設(shè)施中。他對(duì)市場(chǎng)出現(xiàn)更多的商用白名單產(chǎn)品并不感到驚奇，這些產(chǎn)品瞄準(zhǔn)了特定的領(lǐng)域。
艾默生過(guò)程管理與核心軌跡的合作，為公司提供白名單技術(shù)的產(chǎn)品，做為其Ovation安保中心（OSC）的一個(gè)部分，銷售到發(fā)電和水/污水處理行業(yè)。
“要實(shí)現(xiàn)縱深防御的理念，我們有多種解決方案做為OSC的一部分，強(qiáng)化整體安保形態(tài)。核心軌跡產(chǎn)品是其中的一種，用于防止惡意軟件。并且我們有其他工具針對(duì)補(bǔ)丁管理和安保信息管理，”O(jiān)vation的安保項(xiàng)目經(jīng)理解釋到。第一個(gè)OSC系統(tǒng)在2009年秋交付用戶, 并且艾默生現(xiàn)在已有大約十幾套OSC系統(tǒng)在北美的現(xiàn)場(chǎng)運(yùn)行。
較少補(bǔ)丁
在艾默生同一個(gè)部門(mén)的網(wǎng)絡(luò)和安保技術(shù)經(jīng)理指出，白名單方法已被證明對(duì)電力設(shè)施具有獨(dú)特的吸引力，可以滿足北美電力可靠性公司（NERC）的反惡意軟件需求—關(guān)鍵基礎(chǔ)架構(gòu)保護(hù)（CIP）標(biāo)準(zhǔn)，覆蓋了整個(gè)電力行業(yè)，這個(gè)行業(yè)是由北美電力可靠性公司管理的。
對(duì)于電力設(shè)施，在地方有一份白名單解決方案，可以減少安裝補(bǔ)丁程序和對(duì)防病毒軟件的頻繁升級(jí)。CIP－007要求新補(bǔ)丁和升級(jí)程序必須要有30天的評(píng)估和測(cè)試，然后才能用到現(xiàn)場(chǎng)。對(duì)于白名單，也要進(jìn)行30天在視窗下的評(píng)估，但白名單減少了用戶要進(jìn)行固定期限的維護(hù)、安裝和貯運(yùn)成本，有了更多的靈活性。
換個(gè)說(shuō)法，根據(jù)CoreTrace的市場(chǎng)副總監(jiān)提到，即使一個(gè)蠕蟲(chóng)、木馬或者其他惡意件擺脫防衛(wèi)并且滲透到一個(gè)設(shè)備中，白名單軟件仍可以防止它的執(zhí)行。“因?yàn)樗辉诎酌麊紊?，所以它無(wú)法運(yùn)行，這給了用戶回應(yīng)NERC的能力，并且說(shuō)‘是的，我們知道那里的漏洞，我們有對(duì)策和測(cè)試步驟，’”。
不令人驚訝，核心軌跡的市場(chǎng)副總監(jiān)聲明：他的公司看到白名單做為“反病毒的未來(lái)?！彼c縱深防御的概念一致，他也相信兩種技術(shù)會(huì)共存?！鞍酌麊未蛩阌糜诘谝坏婪烙鶛C(jī)制，而“防病毒”黑名單將用于報(bào)告和清除?！?/FONT>
艾默生的網(wǎng)絡(luò)和安保技術(shù)經(jīng)理同意?！拔覀?cè)诂F(xiàn)場(chǎng)看到的問(wèn)題是：如果某人正把一套OSC加入到一個(gè)現(xiàn)存系統(tǒng)，而該系統(tǒng)可能已經(jīng)有一個(gè)惡意件或者一個(gè)病毒在那里，他們不知道。并且如果你的白名單有那臺(tái)設(shè)備，你正好把那個(gè)惡意件或者病毒加入到你的允許的應(yīng)用中，”他說(shuō)?！八杂幸粋€(gè)非常明確的目的，使用一個(gè)或者多個(gè)黑名單應(yīng)用，確保你自己要保護(hù)的設(shè)備，事實(shí)上，是干凈的?！睆那皟H使用防病毒掃描清理一臺(tái)設(shè)備，因?yàn)镮CS禁止在實(shí)時(shí)運(yùn)行模式執(zhí)行掃描，用戶就可以擺脫傳統(tǒng)的黑名單方法，避免系統(tǒng)性能降低。
可信任誰(shuí)?
白名單的支持者主張白名單對(duì)系統(tǒng)性能的影響可以忽略，特別比較傳統(tǒng)的黑名單防病毒產(chǎn)品時(shí)。核心軌跡的市場(chǎng)副總監(jiān)說(shuō)他的公司已經(jīng)克服了早期白名單產(chǎn)品與變化管理相關(guān)的問(wèn)題。核心軌跡產(chǎn)品，知名的是保鏢（Bouncer），使用一種“信任的改變”功能，用戶可以指定那些信任的人員做改變或增加應(yīng)用。同樣，諸如補(bǔ)丁管理系統(tǒng)或視窗升級(jí)等應(yīng)用，可以在用戶的判斷下，信任其自動(dòng)變化。
盡管認(rèn)識(shí)到白名單的優(yōu)點(diǎn)，艾默生的網(wǎng)絡(luò)和安保技術(shù)經(jīng)理報(bào)告說(shuō)艾默生的OSC客戶已經(jīng)在他們的控制系統(tǒng)平臺(tái)在實(shí)時(shí)模式運(yùn)行白名單和防病毒軟件有三個(gè)季度了。這只是一部分，因?yàn)橐恍┛蛻粼诎惭bOSC白名單之前已經(jīng)有防病毒軟件，他說(shuō)。另一個(gè)因素是對(duì)CIP標(biāo)準(zhǔn)中詞匯的混淆，那里需要“簽名”升級(jí)－術(shù)語(yǔ)有些解釋成防病毒軟件，他解釋到。即將發(fā)布修訂的CIP標(biāo)準(zhǔn)會(huì)消除這個(gè)混淆，除去的“簽名”術(shù)語(yǔ)會(huì)用簡(jiǎn)單的“軟件升級(jí)”取代。
不管怎樣，目前需要遵從NERC的CIP標(biāo)準(zhǔn)是一個(gè)在電力設(shè)施中使用白名單的驅(qū)動(dòng)力?！拔覀儾粫?huì)把白名單加入系統(tǒng)而不遵守法規(guī)，”控制系統(tǒng)安保經(jīng)理在一個(gè)主電力設(shè)施確認(rèn)，他拒絕透露姓名。
無(wú)論如何，這位經(jīng)理已經(jīng)看到這項(xiàng)技術(shù)做為深度防御工具的價(jià)值?！拔覀兺瑫r(shí)使用防病毒（AV）和白名單，但如果不得不選擇其中一個(gè)，我大概會(huì)選擇白名單，”他說(shuō)，“因?yàn)槲覀冋诖蜓a(bǔ)丁，并且我們有一個(gè)非常堅(jiān)固的電子邊界，這意味著可能沒(méi)有區(qū)域劃分，這里的病毒每天都會(huì)被AV所查殺。”并且對(duì)于“0天”病毒，諸如“震網(wǎng)”，他說(shuō)，“白名單有最好的機(jī)會(huì)來(lái)阻止它?！?
數(shù)據(jù)二極管（Data diode）
當(dāng)白名單吸引更多的眼球時(shí)，另一項(xiàng)技術(shù)也正在成為頻繁討論的話題，包括單向或單行的通信，典型地采用硬器件，就像我們熟知的數(shù)據(jù)二極管?！拔覀冋诤穗娬景惭b和使用它們，并且對(duì)某些大電廠（燃煤發(fā)電）是否可用進(jìn)行評(píng)估，”同一個(gè)設(shè)施的安保經(jīng)理說(shuō)道。
這個(gè)概念很簡(jiǎn)單：做為確保安全的一個(gè)方法，單向數(shù)據(jù)二極管用于網(wǎng)絡(luò)中，只允許數(shù)據(jù)流按一個(gè)方向流動(dòng)。單向流不是用軟件操作完成，如像防火墻，而是由物理的方法。連接的一端僅有發(fā)送器，但沒(méi)有接收器；而在另一端，只有接收器而沒(méi)有發(fā)送器?！斑@是個(gè)單向數(shù)據(jù)流，可以允諾它不可能被黑。沒(méi)有返回通道。信息包只能單方向移動(dòng)，”瀑布安保解決方案公司銷售總監(jiān)宣稱，這是一家以色列的單向系統(tǒng)供應(yīng)商，在2008年進(jìn)入了北美市場(chǎng)。
在傳統(tǒng)的領(lǐng)域中建立高安保環(huán)境，諸如國(guó)防部和政府機(jī)密應(yīng)用，單向技術(shù)正在由少數(shù)供應(yīng)商推動(dòng)，再轉(zhuǎn)移到控制系統(tǒng)的安保領(lǐng)域。有些企業(yè)聲稱已經(jīng)取得了成功，特別是在電力設(shè)施市場(chǎng)，這個(gè)市場(chǎng)要遵從NERC的CIP標(biāo)準(zhǔn)是一個(gè)重要的驅(qū)動(dòng)因素。
據(jù)貓頭鷹計(jì)算技術(shù)公司的副總裁報(bào)告，在該公司單向系統(tǒng)的新業(yè)務(wù)中，大約百分之三十來(lái)自于電力設(shè)施。而兩年前的這項(xiàng)業(yè)務(wù)還是零。成立于1999年，貓頭鷹計(jì)算技術(shù)公司提供單向數(shù)據(jù)傳輸技術(shù)，經(jīng)某個(gè)國(guó)家實(shí)驗(yàn)室許可，據(jù)說(shuō)總共已有超過(guò)1,000套系統(tǒng)在現(xiàn)場(chǎng)使用，主要在政府和國(guó)防部領(lǐng)域。
在控制系統(tǒng)領(lǐng)域，最常見(jiàn)的應(yīng)用包括：數(shù)據(jù)流按一個(gè)方向從一個(gè)安全的控制系統(tǒng)網(wǎng)絡(luò)到一個(gè)商業(yè)或工程網(wǎng)絡(luò)。這使商業(yè)和工程人員只接收來(lái)自控制網(wǎng)絡(luò)的需要信息，而減少了來(lái)自外部對(duì)ICS網(wǎng)絡(luò)攻擊的可能性。
工業(yè)網(wǎng)絡(luò)安保顧問(wèn)們確認(rèn)，最近對(duì)單向技術(shù)的興趣有所增加?！拔覀兎浅ｊP(guān)注它的發(fā)展，并認(rèn)為它建立了一種保護(hù)，”拜爾斯公司的安保說(shuō)?！八且环N圍墻。技術(shù)的原理是很容易理解，而做為結(jié)果還需要驗(yàn)證。證明數(shù)據(jù)流是單向的非常容易。這是一個(gè)好消息，”安保說(shuō)道?！暗珘南⑹窃诂F(xiàn)實(shí)的情況中，我們使用的所有協(xié)議幾乎都是雙向的?！?
[DividePage:NextPage]
繼續(xù)探討
為了提供傳統(tǒng)的雙向協(xié)議，單向技術(shù)供應(yīng)商要在數(shù)據(jù)二極管的每個(gè)端使用專用的軟件和代理服務(wù)器。在企業(yè)端的代理服務(wù)器仿效了接收端的服務(wù)器，使用雙向工業(yè)協(xié)議，諸如像 Modbus或OPC，從控制端應(yīng)用獲得數(shù)據(jù)，然后把數(shù)據(jù)按照專有的單向協(xié)議通過(guò)單向鏈接發(fā)送。在控制端，另一臺(tái)代理服務(wù)器把數(shù)據(jù)翻譯成適當(dāng)?shù)碾p向協(xié)議，并且模仿工廠應(yīng)用發(fā)送數(shù)據(jù)至企業(yè)端服務(wù)器。采用復(fù)雜的核對(duì)、包編號(hào)和其他方法，使得企業(yè)端和控制端確保接收和發(fā)送的數(shù)據(jù)是完整和無(wú)誤的。
貓頭鷹和瀑布公司都聲稱支持不同的工業(yè)協(xié)議和應(yīng)用。根據(jù)瀑布公司的文獻(xiàn)，比如，公司支持Modbus、OPC、DNP3和ICCP協(xié)議，并與工業(yè)領(lǐng)先的應(yīng)用/歷史數(shù)據(jù)庫(kù)公司合作，包括OSISoft PI、通用電氣iHistorian、通用電氣iFix和西門(mén)子WinTS等。
單向技術(shù)是否能阻止“震網(wǎng)”滲透到控制網(wǎng)絡(luò)中呢？答案是：不能，如果蠕蟲(chóng)通過(guò)USB棒插入一臺(tái)機(jī)器而引入，而機(jī)器又連接在控制網(wǎng)絡(luò)中的話。貓頭鷹公司的專家指出：使用他公司的技術(shù)，由于疏忽或者策略不嚴(yán)，在一個(gè)安?？刂骗h(huán)境內(nèi)，“震網(wǎng)”和其他惡意軟件傳入，不能夠“回傳”到外部的命令－和－控制計(jì)算機(jī)。那是因?yàn)樨堫^鷹公司系統(tǒng)在把數(shù)據(jù)單向傳送之前，剝?nèi)ヂ酚尚畔ⅲㄒ蛱鼐W(wǎng)協(xié)議（IP）地址。
雖然單向數(shù)據(jù)傳送系統(tǒng)有許多的優(yōu)勢(shì)，它們好像沒(méi)有證明在普遍工業(yè)控制環(huán)境應(yīng)用的魅力，至少在近期，比如對(duì)工業(yè)顧問(wèn)公司。這個(gè)技術(shù)昂貴。并且很多現(xiàn)代企業(yè)，今天很強(qiáng)地依賴在商業(yè)和控制系統(tǒng)網(wǎng)絡(luò)之間的雙向通信，維持運(yùn)行效率和商業(yè)利益。
盡管如此，隨著將來(lái)網(wǎng)絡(luò)安保威脅的增加，一些人看到了數(shù)據(jù)二極管所起到的一個(gè)重要角色。這個(gè)技術(shù)為ICS網(wǎng)絡(luò)提供了按深度防御策略的另一個(gè)選擇，特別是高端應(yīng)用，或網(wǎng)絡(luò)攻擊會(huì)帶來(lái)毀滅性災(zāi)難的場(chǎng)合。
“震網(wǎng)”病毒是有史以來(lái)最高級(jí)、最有進(jìn)攻性的惡意軟件。有些人認(rèn)為，它一定用了好幾年來(lái)開(kāi)發(fā)，這是通過(guò)代碼分析而得出的結(jié)論，因?yàn)榭刂葡到y(tǒng)的代碼有15000行，數(shù)量巨大。這個(gè)證據(jù)可以得出結(jié)論，它不是黑客創(chuàng)造的，一定是國(guó)家制造的。甚至可以說(shuō)：即使一個(gè)國(guó)家都沒(méi)有能力獨(dú)自做到這點(diǎn)。
（原創(chuàng)）
