搜索

[9123] 2015-07-13_2015阿里安全峰会“天下无贼”纪实（下）：谁与争锋

文档创建者：s7ckTeam
浏览次数：27
最后更新：2025-01-17
2015-07-13_2015阿里安全峰会“天下无贼”纪实（下）：谁与争锋 2 0 1 5 阿 里 安 全 峰 会 “ 天 下 无 贼 ” 纪 实 （ 下 ） ： 谁 与 争 锋 F r e e B u f   2 0 1 5 - 0 7 - 1 3 微 信 号 微 信 号 : f r e e b u f 阿 里 安 全 峰 会 的 第 一 天 可 谓 是 阿 里 安 全 峰 会 的 第 一 天 可 谓 是 “ 各 路 神 仙 显 神 通 各 路 神 仙 显 神 通 ” ， 而 第 二 天 的 阵 势 与 嘉 宾 阵 容 则 同 样 庞 大 ， 设 置 了 ， 而 第 二 天 的 阵 势 与 嘉 宾 阵 容 则 同 样 庞 大 ， 设 置 了 “ 云 与 端 安 全 云 与 端 安 全 ” 、 、 “ 电 商 金 融 业 务 安 全 电 商 金 融 业 务 安 全 ” 以 及 以 及 “ 白 帽 子 与 安 全 技 术 白 帽 子 与 安 全 技 术 ” 三 个 分 论 坛 ， 这 也 着 实 小 难 为 了 下 我 们 这 些 分 身 无 术 的 普 通 人 类 。 三 个 分 论 坛 ， 这 也 着 实 小 难 为 了 下 我 们 这 些 分 身 无 术 的 普 通 人 类 。 以 下 是 小 编 游 走 于 三 个 论 坛 之 间 吸 收 的 不 完 全 精 华 ， 详 略 不 当 之 处 ， 敬 请 见 谅 。 云 与 端 安 全 分 论 坛 云 与 端 安 全 分 论 坛 《 阿 里 云 安 全 生 态 》 《 阿 里 云 安 全 生 态 》   阿 里 巴 巴 资 深 安 全 专 家 阿 里 巴 巴 资 深 安 全 专 家   方 兴 （ 网 名 方 兴 （ 网 名 f l a s h s h y 、 闪 空 ） 、 闪 空 ） 著 名 白 帽 子 方 兴 （ f l a s h s k y ） 临 时 上 阵 ， 代 替 同 事 聂 万 泉 讲 《 阿 里 云 安 全 生 态 》 ， 深 夜 时 分 ， 他 发 出 一 条 微 博 预 告 ： “ … … 晚 上 挑 灯 写 P P T ， 终 于 写 完 了 这 版 专 业 拍 砖 P P T ， 前 拍 @ t o m b k e e p e r 后 砸 @ 潘 柱 廷 ， 明 天 一 早 ， 大 家 都 来 万 豪 看 打 架 了 。 ”
而 他 为 什 么 这 么 说 呢 ？ T o m b k e e p e r 曾 表 达 了 一 个 观 点 ： 曾 表 达 了 一 个 观 点 ： 传 统 安 全 企 业 在 互 联 网 企 业 中 有 近 忧 有 远 虑 ， 近 忧 是 奇 虎 ， 远 虑 是 阿 里 。 但 当 整 个 行 业 处 于 一 个 比 较 好 的 发 展 机 会 时 ， 传 统 安 全 企 业 是 有 可 能 和 近 忧 远 虑 一 起 过 日 子 的 。 方 兴 认 为 这 是 方 兴 认 为 这 是 t k 对 阿 里 云 安 全 的 误 解 与 偏 见 。 对 阿 里 云 安 全 的 误 解 与 偏 见 。 他 从 “ 认 识 阿 里 云 ” 讲 起 ， I T 云 化 给 传 统 安 全 厂 商 带 来 了 挑 战 也 带 来 了 机 会 ； 云 的 安 全 是 阻 拦 云 发 展 的 重 要 因 素 ； 阿 里 云 在 积 极 推 动 云 安 全 生 态 体 系 。 阿 里 云 云 安 全 的 目 标 是 夯 实 云 平 台 底 层 基 础 安 全 ， 打 通 专 有 云 专 有 域 市 场 ， 让 阿 里 云 成 为 流 量 入 口 ， 向 所 有 安 全 伙 伴 开 放 。 阿 里 云 安 全 关 注 点 ： 云 平 台 安 全 、 完 善 云 用 户 安 全 体 系 （ 自 身 开 发 + 引 入 第 三 方 ） 、 应 用 市 场 体 系 （ 方 便 用 户 、 统 一 管 控 ） 、 基 于 大 数 据 提 供 知 识 与 能 力 、 基 于 大 数 据 提 供 威 胁 情 报 信 息 。 D T 时 代 ， 用 户 安 全 开 放 体 系 ， 阿 里 云 安 全 做 部 分 ， 但 不 会 独 占 ， 给 用 户 选 择 权 利 。 云 平 台 自 身 安 全 由 阿 里 自 己 做 ， 能 力 与 知 识 中 心 提 供 给 其 他 厂 商 ， 软 件 及 服 务 这 层 可 严 锁 ， 因 为 这 里 会 对 用 户 安 全 形 成 影 响 。 从 产 品 到 服 务 、 再 到 知 识 能 力 中 心 ， 都 开 放 。 方 兴 又 是 怎 么 方 兴 又 是 怎 么 “ 砸 砸 ” 大 潘 的 ？ 大 潘 的 ？ 他 在 这 里 套 用 了 历 史 事 件 ： 他 在 这 里 套 用 了 历 史 事 件 ：
1 、 传 统 攻 防 类 产 品 的 困 境 ： 安 全 产 品 不 能 比 作 裤 子 ， 应 该 是 有 对 抗 的 如 武 器 ， 随 着 技 术 变 革 越 快 （ 像 义 和 团 ） 2 、 合 规 刚 开 始 推 动 了 安 全 的 发 展 毋 容 置 疑 ： 但 随 着 形 势 的 发 展 ， 就 在 改 变 。 当 情 形 变 化 导 致 合 规 僵 化 成 一 种 对 情 势 的 阻 碍 时 ， 合 规 就 有 需 要 变 革 的 时 候 。 （ 如 同 慈 禧 ） 3 、 边 界 不 断 变 动 导 致 无 法 感 知 ： 消 失 除 了 不 存 在 ， 还 有 看 不 到 、 感 知 不 到 的 含 义 。 边 界 不 断 推 动 导 致 感 知 不 到 ， 就 是 感 知 上 的 消 失 。 《 《 L T E 网 络 环 境 下 的 云 管 端 安 全 》 网 络 环 境 下 的 云 管 端 安 全 》   恒 安 嘉 新 解 决 方 案 部 总 监 恒 安 嘉 新 解 决 方 案 部 总 监   何 文 杰 何 文 杰 介 绍 ： 介 绍 ： 1 、 、 L T E 带 来 的 安 全 挑 战 ； 带 来 的 安 全 挑 战 ； 2 、 、 L T E 环 境 下 的 业 务 安 全 体 系 ； 环 境 下 的 业 务 安 全 体 系 ； 3 、 、 “ 云 管 端 云 管 端 ” 安 全 解 决 方 案 。 安 全 解 决 方 案 。 移 动 、 电 信 、 联 通 都 积 极 推 进 L T E 网 络 基 础 设 施 建 设 ， 加 强 覆 盖 的 广 度 和 深 度 。 工 信 部 开 放 了 虚 拟 运 营 商 ， 使 得 民 间 资 本 打 破 垄 断 。 L T E 网 络 特 点 ： 4 G L T E 带 来 的 业 务 安 全 挑 战 ： 无 线 侧 智 能 终 端 面 临 木 蠕 、 恶 意 代 码 等 攻 击 ； 成 为 D D o S 攻 击 源 对 整 个 L T E   E P S 网 络 发 起 的 D D o S 攻 击 L T E 安 全 保 障 — 隐 私 （ 资 产 ） 安 全 ： 2 0 1 3 年 网 民 信 息 安 全 状 况 研 究 报 告 。 5 亿 手 机 网 民 中 ， 个 人 信 息 泄 露 和 账 号 密 码 被 盗 的 发 生 比 例 分 别 为 1 3 . 4 % 和 8 . 9 % ， 并 呈 上 升 趋 势 。 白 帽 子 与 安 全 技 术 分 论 坛 白 帽 子 与 安 全 技 术 分 论 坛
本 次 峰 会 汇 集 了 很 多 白 帽 子 的 参 与 ， 其 中 也 有 不 少 白 帽 子 慕 名 而 来 ， 为 的 就 是 近 距 离 接 触 一 下 排 行 很 高 、 传 说 中 的 本 次 峰 会 汇 集 了 很 多 白 帽 子 的 参 与 ， 其 中 也 有 不 少 白 帽 子 慕 名 而 来 ， 为 的 就 是 近 距 离 接 触 一 下 排 行 很 高 、 传 说 中 的 白 帽 子 。 白 帽 子 。 G a i n o v e r （ 二 哥 ） 诙 谐 风 趣 地 给 大 家 了 讲 了 个 他 “ 当 医 生 的 故 事 ” 。 他 治 疗 了 五 位 病 患 ， 他 们 分 别 是 ： 百 度 浏 览 器 、 傲 游 浏 览 器 、 搜 狗 浏 览 器 、 猎 豹 浏 览 器 和 Q Q 浏 览 器 。 [ 1 ] 小 米 安 全 专 家 吕 伟 （ 网 名 ： 呆 子 不 开 口 ） 讲 得 则 是 《 G e t 带 来 的 漏 洞 和 风 险 》 。 [ 2 ]
老 马 的 出 现 引 得 现 场 掌 声 不 断 。 网 名 i c e y e s 、 老 马 ， X m d 5 解 密 网 站 站 长 ， 曾 任 职 多 家 安 全 公 司 ， 在 信 息 安 全 技 术 服 务 领 域 有 丰 富 的 经 验 ， 现 在 为 阿 里 安 全 应 急 响 应 中 心 负 责 人 。 他 与 在 座 的 白 帽 子 们 分 享 了 自 己 的 故 事 ： 做 自 己 （ 菜 鸟 ） 、 帮 人 做 （ 安 全 工 程 师 ） 、 教 人 做 （ 安 全 顾 问 ） 、 做 自 己 他 与 在 座 的 白 帽 子 们 分 享 了 自 己 的 故 事 ： 做 自 己 （ 菜 鸟 ） 、 帮 人 做 （ 安 全 工 程 师 ） 、 教 人 做 （ 安 全 顾 问 ） 、 做 自 己 （ 安 全 运 营 ） 。 （ 安 全 运 营 ） 。 曾 经 下 过 马 、 撸 过 站 、 拜 过 师 、 收 过 徒 的 他 ， 梦 想 就 是 当 个 黑 恶 ， 而 他 常 思 考 ， 能 用 技 术 实 现 什 么 价 值 呢 ？ 后 来 他 便 开 始 做 了 信 息 安 全 咨 询 顾 问 ， 做 安 全 培 训 、 安 全 规 划 、 安 全 体 系 … 光 线 的 外 表 下 掩 饰 不 住 一 颗 屌 丝 的 心 。 白 帽 子 是 一 种 黑 客 文 化 ， 也 是 一 种 “ 茶 ” 文 化 ， 曾 经 因 爆 漏 洞 被 请 去 喝 茶 。 “ 国 内 所 有 大 的 广 告 联 盟 都 可 以 被 劫 持 ” 。 这 是 一 个 拼 人 品 的 圈 子 。 会 议 太 多 了 ， 会 棍 不 够 用 ， 漏 洞 太 多 ， 白 帽 子 不 够   用 ， C T F 太 多 ， 赛 棍 不 够 用 … … 《 永 别 了 《 永 别 了 S Q L 注 入 》 注 入 》   长 亭 科 技 实 习 生 长 亭 科 技 实 习 生
这 位 “ 实 习 生 ” 陈 宇 森 向 大 家 介 绍 了 S Q L 注 入 攻 击 ， 并 一 步 步 引 出 公 司 的 “ 神 器 ” 。 剑 指 安 全 宝 、 3 6 0 、 腾 讯 ， 经 测 试 结 果 显 示 国 内 三 家 云 W A F 误 报 率 与 漏 报 率 均 不 尽 人 意 ， 而 他 们 的 团 队 则 在 苛 刻 的 条 件 中 达 到 了 很 高 的 标 准 。 因 为 这 位 实 习 生 说 会 尽 快 写 一 篇 更 详 细 的 文 章 和 P P T 一 起 放 出 来 ， 所 以 小 编 在 这 里 就 不 多 做 介 绍 ， 要 P P T 的 小 伙 伴 可 以 暂 时 先 等 一 等 。 《 天 罗 地 网 《 天 罗 地 网 — W A F 漏 洞 挖 掘 及 安 全 架 构 》 漏 洞 挖 掘 及 安 全 架 构 》   安 全 狗 资 深 网 络 安 全 专 家 安 全 狗 资 深 网 络 安 全 专 家   黄 登 黄 登
演 讲 中 ， 黄 登 通 过 对 案 例 的 具 体 分 析 ， 针 对 性 的 提 出 了 当 前 W A F 防 御 所 面 临 的 的 困 境 ， 展 示 了 安 全 狗 提 出 的 W A F 模 糊 测 试 框 架 ， 并 且 通 过 对 业 务 与 安 全 之 间 平 衡 的 陈 述 ， 分 析 了 安 全 防 御 今 后 的 发 展 方 向 并 讲 述 了 安 全 狗 在 这 一 方 面 做 出 的 努 力 。 黄 登 通 过 一 个 案 例 为 我 们 清 晰 的 展 现 了 当 前 黄 登 通 过 一 个 案 例 为 我 们 清 晰 的 展 现 了 当 前 W A F 防 御 存 在 的 主 要 问 题 ： 防 御 存 在 的 主 要 问 题 ： 1 、 P H P - D D O S   C V E - 2 0 1 5 - 4 0 2 4   这 个 漏 洞 将 一 直 存 在 ， 而 类 似 的 问 题 很 普 遍 。 2 、 架 构 、 策 略 以 及 规 则 复 杂 度 之 间 存 在 着 必 然 联 系 ， 当 架 构 无 法 弥 补 的 情 况 下 ， 规 则 越 复 杂 就 陷 的 越 深 。 3 、 安 全 性 与 业 务 量 之 间 的 平 衡 同 样 是 需 要 考 量 的 。 在 谈 到 业 务 与 安 全 之 间 的 关 系 时 ， 黄 登 表 示 ： 所 有 不 给 予 业 务 的 安 全 都 是 耍 流 氓 。 在 谈 到 业 务 与 安 全 之 间 的 关 系 时 ， 黄 登 表 示 ： 所 有 不 给 予 业 务 的 安 全 都 是 耍 流 氓 。 最 后 ， 黄 登 提 出 了 他 对 于 安 全 防 御 的 看 法 ， 他 认 为 安 全 的 纬 度 才 能 决 定 其 高 度 ， 立 体 防 御 、 动 态 对 抗 , 、 端 云 合 一 ， 方 为 正 道 。 传 统 端 安 全 防 御 思 路 存 在 很 多 局 限 性 ， 片 面 、 独 立 、 非 动 态 并 且 不 顺 应 业 务 。 [ 3 ] 电 商 金 融 业 务 安 全 分 论 坛 电 商 金 融 业 务 安 全 分 论 坛 《 不 可 忽 视 的 电 商 业 务 安 全 问 题 》 《 不 可 忽 视 的 电 商 业 务 安 全 问 题 》   唯 品 会 业 务 安 全 团 队 负 责 人 唯 品 会 业 务 安 全 团 队 负 责 人   傅 奎 傅 奎 傅 奎 致 力 于 捍 卫 电 商 平 台 业 务 安 全 ， 共 建 电 商 安 全 联 盟 。 他 所 带 领 的 团 队 长 期 奋 战 在 对 抗 “ 黑 灰 产 ” 一 线 ， 在 欺 诈 检 测 、 账 户 安 全 、 交 易 风 险 控 制 等 业 务 安 全 领 域 有 丰 富 的 实 战 经 验 。 [ 4 ] 《 非 传 统 安 全 的 路 》 《 非 传 统 安 全 的 路 》   岂 安 科 技 联 合 创 始 人 岂 安 科 技 联 合 创 始 人   刘 明 刘 明
曾 在 魔 兽 世 界 、 1 号 店 、 携 程 等 公 司 负 责 账 户 、 业 务 安 全 体 系 与 产 品 建 设 的 刘 明 ， 介 绍 了 业 务 、 账 户 、 交 易 安 全 方 面 的 研 究 ， 大 规 模 实 时 计 算 、 机 器 学 习 算 法 、 筛 选 引 擎 等 。 “ 做 安 全 ， 即 放 弃 成 为 百 万 富 翁 。 ” 账 号 安 全 问 题 9 0 % 可 以 通 过 3 0 分 钟 或 者 一 个 小 时 看 出 来 。 就 不 需 要 历 史 数 据 。 本 地 策 略 的 瓶 颈 ： 本 地 策 略 与 安 全 情 报 ， 例 如 恶 意 注 册 （ 本 地 策 略 ： 注 册 频 率 、 同 密 码 注 册 个 数 、 注 册 后 行 为 、 手 机 号 码 归 属 地 、 i p 归 属 地 、 注 册 名 相 似 度 、 设 备 指 纹 ； 外 部 情 报 ： 访 问 i p 是 否 为 机 房 / 代 理 组 织 出 口 ， 手 机 号 码 是 否 为 自 动 短 信 收 发 平 台 手 机 号 码 ， 邮 箱 是 否 为 临 时 邮 箱 ） 。 未 来 未 来 & 挑 战 挑 战 ·   基 于 G P U 运 算 的 快 速 回 归 ·   坏 样 本 的 定 义 、 收 集 ·   联 防 联 控 ·   无 监 督 模 型 侦 测 异 常 ·   基 于 内 网 流 量 的 风 险 分 析 阿 里 巴 巴 安 全 专 家 许 文 奇 和 大 家 分 享 《 非 法 信 息 管 控 在 云 计 算 领 域 的 实 践 》 ， 聚 焦 在 如 何 有 效 及 时 发 现 各 种 违 法 信 息 ， 为 云 计 算 创 造 一 个 健 康 向 上 的 网 络 氛 围 。 那 么 如 何 在 云 计 算 环 境 下 发 现 违 法 信 息 ， 进 行 黄 图 识 别 ， 以 及 违 法 视 频 识 别 呢 ？
《 从 高 危 漏 洞 看 电 商 金 融 安 全 》 《 从 高 危 漏 洞 看 电 商 金 融 安 全 》   F r e e B u f & 漏 洞 盒 子 高 级 安 全 研 究 员 漏 洞 盒 子 高 级 安 全 研 究 员   曾 裕 智 （ 曾 老 师 ） 曾 裕 智 （ 曾 老 师 ） 曾 老 师 作 为 “ 电 商 金 融 业 务 安 全 分 论 坛 ” 上 压 轴 嘉 宾 ， 最 后 一 个 出 场 。 [ 5 ] 正 当 互 联 网 金 融 犹 如 雨 后 春 笋 般 地 发 展 时 ， 安 全 问 题 也 日 益 突 出 。 根 据 漏 洞 盒 子 团 队 整 理 分 析 了 大 量 金 融 安 全 案 例 ， 截 止 2 0 1 5 年 6 月 底 ， 有 上 百 家 平 台 遭 受 不 同 程 度 的 黑 客 攻 击 ， 造 成 了 严 重 的 用 户 信 息 泄 露 ， 数 据 库 被 恶 意 篡 改 ， 甚 至 是 系 统 瘫 痪 等 安 全 事 故 。 漏 洞 攻 击 趋 势 则 由 普 通 漏 洞 向 业 务 逻 辑 漏 洞 转 变 ； w e b 应 用 漏 洞 向 A P P 漏 洞 、 各 类 A P I 接 口 、 微 信 接 口 漏 洞 发 展 ； 变 一 次 性 攻 击 为 A P T （ 高 级 持 续 性 威 胁 ） 攻 击 。 而 它 们 的 核 心 则 是 盗 取 用 户 数 据 ， 获 得 金 钱 利 益 。 曾 老 师 总 结 了 下 目 前 面 临 的 问 题 主 要 来 自 两 个 层 面 ： 技 术 层 面 与 管 理 层 面 。 接 着 ， 曾 老 师 用 几 个 鲜 活 的 案 例 给 大 家 展 示 了 金 融 行 业 的 漏 洞 与 危 害 。 其 中 不 乏 越 权 查 看 、 越 权 修 改 、 权 限 绕 过 、 密 码 重 置 漏 洞 、 支 付 漏 洞 等 等 。 最 后 ， 曾 老 师 总 结 说 ： 最 后 ， 曾 老 师 总 结 说 ：
有 人 的 地 方 就 有 江 湖 ， 有 江 湖 就 有 漏 洞 。 人 永 远 是 安 全 威 胁 中 最 薄 弱 的 环 节 。 受 利 益 趋 势 ， 金 融 及 电 商 行 业 被 更 多 黑 客 “ 盯 上 ” ， 厂 商 越 早 地 主 动 客 观 对 待 安 全 问 题 ， 才 能 避 免 更 多 的 损 失 。 网 站 安 全 ， 内 外 兼 修 。 解 决 网 站 本 身 安 全 漏 洞 ， 防 止 黑 客 攻 击 ； 加 强 内 部 研 发 运 维 人 员 安 全 意 识 与 知 识 。 参 会 小 感 参 会 小 感 在 阿 里 峰 会 举 办 的 两 天 ， 有 幸 结 识 了 各 路 豪 杰 。 无 论 是 在 台 上 演 讲 的 嘉 宾 ， 还 是 台 下 认 真 聆 听 的 安 全 工 作 或 者 爱 好 者 ， 无 疑 都 是 抱 着 对 安 全 行 业 的 极 大 热 忱 而 来 。 会 后 小 编 在 与 白 帽 子 的 交 流 中 发 现 ， 这 次 阿 里 提 供 的 不 只 是 一 个 名 家 传 授 知 识 经 验 的 百 家 讲 坛 ， 而 是 一 个 开 放 、 自 由 的 交 流 平 台 ， 参 与 者 在 茶 歇 时 刻 轻 松 自 如 地 沟 通 ， 微 信 群 中 实 时 传 递 的 直 播 图 片 ， 台 上 台 下 观 点 的 碰 撞 . . . . . . 这 些 点 滴 把 每 个 人 都 牵 扯 其 中 。 这 不 再 只 是 阿 里 的 峰 会 ， 而 是 圈 里 所 有 人 的 大 派 对 。 阿 里 峰 会 ， 再 见 ！ < 点 击 最 下 方 的 “ 阅 读 原 文 ” 有 大 会 的 P P T 分 享 哦 ！ > * 现 场 报 道 ： b a n i s h 、 明 明 知 道 ， 感 谢 每 个 为 本 篇 报 道 提 供 图 文 信 息 的 朋 友 ， 转 载 须 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ）
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理