搜索

[14366] 2019-07-19_你真的了解病毒分析吗？反病毒专家深度揭密

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-07-19_你真的了解病毒分析吗？反病毒专家深度揭密 你 真 的 了 解 病 毒 分 析 吗 ？ 反 病 毒 专 家 深 度 揭 密 F r e e B u f   2 0 1 9 - 0 7 - 1 9 以 下 文 章 来 源 于 安 全 分 析 与 研 究   ， 作 者 p a n d a z h e n g z h e n g 已 经 有 不 少 朋 友 从 后 台 咨 询 我 怎 么 学 习 恶 意 样 本 分 析 ？ 有 做 渗 透 测 试 的 ， 有 做 大 数 据 分 析 的 ， 还 有 做 应 急 响 已 经 有 不 少 朋 友 从 后 台 咨 询 我 怎 么 学 习 恶 意 样 本 分 析 ？ 有 做 渗 透 测 试 的 ， 有 做 大 数 据 分 析 的 ， 还 有 做 应 急 响 应 、 安 全 服 务 的 ， 一 直 想 给 大 家 写 一 篇 关 于 如 何 学 习 入 门 恶 意 样 本 分 析 以 及 在 当 前 企 业 安 全 的 环 境 下 ， 做 恶 意 应 、 安 全 服 务 的 ， 一 直 想 给 大 家 写 一 篇 关 于 如 何 学 习 入 门 恶 意 样 本 分 析 以 及 在 当 前 企 业 安 全 的 环 境 下 ， 做 恶 意 样 本 分 析 到 底 有 什 么 作 用 ？ 因 为 只 有 知 道 它 有 用 ， 你 才 会 花 时 间 去 学 习 。 样 本 分 析 到 底 有 什 么 作 用 ？ 因 为 只 有 知 道 它 有 用 ， 你 才 会 花 时 间 去 学 习 。 事 实 上 很 多 人 对 恶 意 样 本 分 析 这 项 工 作 或 技 能 可 能 并 不 是 太 了 解 ， 国 内 一 般 招 人 就 叫 病 毒 分 析 工 程 师 什 么 的 ， 事 实 上 国 外 统 称 为 恶 意 样 本 分 析 ， 因 为 这 样 更 准 确 一 点 ， 恶 意 样 本 包 含 病 毒 ， 或 不 仅 仅 是 病 毒 ， 病 毒 只 是 恶 意 样 本 的 一 个 种 类 吧 了 ， 很 多 人 其 实 可 能 并 不 太 懂 这 个 行 业 ， 有 些 可 能 也 是 听 身 边 的 一 些 人 聊 起 过 ， 因 为 这 个 行 业 比 较 老 了 ， 现 在 的 一 些 9 5 后 大 多 数 从 事 移 动 安 全 或 漏 洞 研 究 ， 业 务 安 全 这 块 ， 对 病 毒 分 析 这 项 工 作 不 太 了 解 ， 有 些 以 前 也 做 过 ， 不 过 可 能 后 面 没 有 去 做 了 ， 对 这 个 行 业 也 没 有 过 多 深 入 的 了 解 。 我 一 直 从 事 这 个 行 业 有 十 年 了 ， 这 篇 文 章 帮 大 家 深 入 的 了 解 一 下 这 项 工 作 都 在 做 什 么 ， 以 及 从 事 这 项 工 作 在 现 在 企 业 安 全 中 起 到 了 什 么 作 用 ？ 是 否 有 价 值 ？ 然 后 再 教 大 家 如 何 入 门 学 习 恶 意 样 本 分 析 。 很 多 人 理 解 的 恶 意 样 本 分 析 就 是 点 样 本 ， 觉 得 没 啥 意 思 ， 很 枯 燥 无 味 ， 是 这 样 的 吗 ？ 你 真 的 对 点 样 本 了 解 吗 ？ 你 真 的 点 过 样 本 吗 ？ 你 知 道 样 本 的 价 值 吗 ？ 安 全 分 析 与 研 究 安 全 分 析 与 研 究   . 专 注 于 全 球 恶 意 软 件 的 分 析 与 研 究 ， 追 踪 全 球 黑 客 组 织 攻 击 活 动
事 实 上 你 真 的 一 无 所 知 ， 你 知 道 的 只 是 某 些 人 给 你 传 达 的 一 些 可 能 是 错 误 的 信 息 ， 事 实 上 这 项 工 作 是 任 何 一 家 真 正 的 安 全 企 业 核 心 的 部 门 之 一 ， 样 本 也 是 一 家 安 全 企 业 的 核 心 资 产 之 一 ， 任 何 一 家 专 业 的 安 全 公 司 都 会 一 个 专 门 恶 意 样 本 分 析 的 团 队 ， 以 前 叫 病 毒 分 析 团 队 ， 现 在 可 能 改 成 了 一 些 别 的 名 称 ： 叫 威 胁 猎 人 团 队 或 威 胁 分 析 团 队 ， 如 果 一 家 专 业 的 安 全 公 司 ， 连 样 本 分 析 人 员 都 没 有 ， 那 这 家 公 司 应 该 不 是 专 业 做 安 全 的 ， 或 者 这 家 公 司 比 较 小 ， 业 务 范 围 还 有 没 涉 及 到 这 块 知 识 ， 大 型 的 专 业 安 全 公 司 ， 一 定 会 有 自 己 的 安 全 分 析 团 队 ， 比 方 思 科 、 平 底 锅 、 飞 塔 ， 赛 门 铁 克 、 火 眼 等 等 。 我 先 从 传 统 的 安 全 公 司 说 起 吧 ， 病 毒 分 析 团 队 在 传 统 的 安 全 公 司 的 作 用 与 工 作 职 责 ， 传 统 的 安 全 厂 商 ， 也 就 是 以 前 的 T O   C 的 安 全 公 司 ， 像 瑞 星 、 金 山 毒 霸 、 江 民 ， 以 及 后 面 的 3 6 0 ， 事 实 上 这 些 公 司 都 有 自 己 的 恶 意 样 本 分 析 团 队 和 样 本 运 营 团 队 ， 3 6 0 后 面 为 了 去 误 报 ， 还 专 门 会 成 立 一 个 几 十 人 的 去 误 报 样 本 鉴 定 团 队 ， 在 国 内 这 些 人 有 一 个 大 家 更 熟 悉 的 名 字 ， 叫 反 病 毒 工 程 师 ， 主 要 从 事 公 司 样 本 的 运 营 与 分 析 ， 那 这 些 人 主 要 在 公 司 做 什 么 呢 ？ 1 . 恶 意 样 本 的 运 营 ； 2 . 流 行 病 毒 样 本 分 析 。 恶 意 样 本 的 运 营 ， 也 就 是 大 家 俗 称 的 ： 点 样 本 ， 安 全 公 司 里 面 有 一 批 人 专 门 从 事 这 个 工 作 ， 负 责 样 本 的 运 营 ， 安 全 公 司 从 各 种 渠 道 收 集 回 来 的 样 本 ， 先 加 入 到 自 己 的 病 毒 库 里 ， 然 后 通 过 一 些 扫 描 引 擎 进 行 分 类 处 理 ， 俗 称 样 本 的 分 类 ， 安 全 公 司 扫 描 引 擎 的 主 要 作 用 就 是 样 本 的 分 类 ， 但 是 不 管 是 任 何 一 家 公 司 开 发 的 引 擎 都 会 存 在 误 报 、 漏 报 的 问 题 ， 这 样 就 需 要 一 批 人 从 事 样 本 的 快 速 鉴 定 与 筛 选 工 作 ， 这 类 工 作 就 是 批 量 点 样 本 ， 快 速 鉴 定 样 本 ， 每 天 一 个 样 本 鉴 定 人 员 可 能 需 要 人 工 处 理 上 百 个 样 本 ， 有 一 些 样 本 运 营 团 队 还 会 开 发 一 些 自 动 化 的 工 具 ， 帮 助 人 工 分 析 入 库 ， 一 天 可 以 处 理 几 百 ， 几 千 甚 至 上 万 的 样 本 . . . . . . 上 面 的 工 作 需 要 有 一 些 快 速 鉴 定 样 本 的 能 力 ， 说 实 在 话 ， 如 果 一 直 从 事 这 样 的 工 作 ， 真 的 会 很 枯 燥 无 味 ， 像 流 水 线 上 的 机 器 人 一 样 ， 每 天 重 复 做 着 差 不 多 的 劳 动 ， 也 不 需 要 知 道 太 多 的 恶 意 样 本 分 析 知 识 ， 只 需 要 知 道 一 些 简 单 的 知 识 即 可 处 理 ， 有 些 甚 至 连 简 单 的 病 毒 知 识 都 不 清 楚 直 接 通 过 第 三 方 网 站 进 行 过 滤 ， 根 本 不 用 分 析 样 本 ， 后 面 很 多 安 全 公 司 后 面 为 了 节 约 成 本 都 会 找 一 些 外 包 公 司 ， 将 这 类 工 作 外 包 出 去 ， 或 者 请 外 包 人 员 从 事 这 类 样 本 运 营 的 工 作 ， 由 于 一 些 不 专 业 的 人 士 的 人 工 操 作 ， 会 导 致 一 些 人 工 误 报 的 情 况 时 有 发 现 ， 也 许 大 多 数 人 理 解 的 恶 意 样 本 分 析 就 是 这 样 的 吧 。
说 真 的 ， 这 样 的 样 本 运 营 工 作 ， 既 枯 燥 又 无 味 ， 而 且 可 替 代 性 非 常 强 ， 随 便 找 个 人 ， 可 能 一 两 个 月 就 可 以 上 手 ， 无 需 过 多 的 安 全 知 识 就 可 以 从 事 ， 前 期 如 果 你 对 病 毒 一 无 所 知 ， 可 以 从 这 些 简 单 的 工 作 做 起 ， 先 对 病 毒 有 一 个 大 致 的 了 解 ， 然 后 再 深 入 的 研 究 学 习 病 毒 知 识 ， 真 正 的 成 为 一 个 恶 意 样 本 分 析 员 ， 而 不 是 简 单 的 样 本 鉴 定 人 员 ， 其 实 任 何 一 个 行 业 都 是 如 此 ， 先 简 后 难 ， 真 正 要 成 为 一 个 行 业 某 个 领 域 的 专 家 ， 绝 不 是 一 两 天 的 事 情 ， 需 要 持 续 不 断 的 学 习 和 研 究 。 真 正 的 恶 意 样 本 分 析 师 ， 主 要 从 事 的 是 一 些 流 行 样 本 的 分 析 与 处 理 工 作 ， 不 仅 仅 需 要 很 强 的 专 业 安 全 知 识 ， 而 且 需 要 很 强 的 逆 向 分 析 能 力 ， 真 正 要 做 好 一 个 恶 意 样 本 分 析 师 ， 要 学 的 东 西 远 比 你 想 象 中 的 还 要 多 的 多 ， 最 后 的 产 出 包 含 两 样 ： 1 . 专 业 的 安 全 分 析 报 告 ， 给 客 户 看 的 ； 2 . 提 取 样 本 的 规 则 ， 给 引 擎 开 发 人 员 的 。 为 啥 我 说 样 本 是 一 家 安 全 公 司 的 核 心 资 产 呢 ？ 以 前 做 T O   C 安 全 产 品 的 时 候 ， 可 能 会 因 为 一 个 样 本 就 可 以 给 公 司 带 来 巨 大 的 用 户 量 ， 也 许 很 多 人 不 明 白 ， 为 什 么 ？ 因 为 你 压 根 也 没 有 经 历 过 那 个 时 代 ， 所 以 也 不 会 了 解 ， 今 天 我 就 给 大 家 说 一 下 为 啥 会 这 样 。 在 T O   C 的 时 候 ， 大 家 拼 的 是 客 户 端 安 装 量 ， 也 就 是 用 户 量 ， 3 6 0 以 前 最 高 的 时 候 的 用 户 听 说 达 到 几 个 亿 ， 这 也 就 是 为 啥 它 后 面 敢 和 腾 讯 叫 板 的 原 因 ， 也 就 是 大 家 都 知 道 的 3 Q 大 战 ， 同 样 你 看 看 现 在 的 今 日 头 条 ， 也 是 一 样 的 ， 它 同 样 可 以 跟 腾 讯 叫 板 ， 因 为 它 有 用 户 量 ， 以 前 我 们 做 T O   C 安 全 ， 如 果 发 现 了 一 款 流 行 的 病 毒 样 本 ， 哪 个 公 司 第 一 时 间 发 布 了 相 应 解 决 方 案 ， 马 上 就 会 发 布 出 来 ， 然 后 自 然 会 有 不 少 用 户 下 载 安 装 ， 因 为 软 件 都 是 免 费 的 ， 3 6 0 为 啥 安 装 量 一 下 子 上 来 了 ， 第 一 可 能 是 因 为 免 费 ， 还 有 一 个 原 因 是 因 为 几 个 流 行 病 毒 ， 它 处 理 速 度 比 其 它 安 全 公 司 的 快 ， 一 下 子 抢 占 了 先 机 ， 以 前 有 一 款 流 行 病 毒 叫 鬼 影 ， 鬼 影 的 变 种 一 共 从 一 代 到 六 代 ， 不 断 的 变 种 ， 感 染 了 无 数 多 台 机 器 ， 如 果 谁 能 先 发 现 变 种 样 本 并 进 行 快 速 的 分 析 和 处 理 ， 自 然 就 会 有 用 户 下 载 安 装 了 ， 也 就 带 来 了 巨 大 的 安 装 量 ， 有 了 安 装 量 自 然 就 会 给 公 司 带 来 收 益 了 。 捕 获 到 了 这 些 流 行 病 毒 样 本 ， 该 怎 么 办 ？ 谁 来 分 析 处 理 ？ 大 多 数 开 发 其 实 是 没 有 逆 向 能 力 的 ， 他 们 往 往 对 开 发 比 较 熟 悉 或 者 对 产 品 架 构 比 较 了 解 ， 对 病 毒 样 本 并 不 清 楚 ， 这 个 时 候 就 需 要 专 业 的 病 毒 分 析 人 员 了 ， 由 专 业 的 病 毒 分 析 人 员 对 样 本 进 行 详 细 分 析 ， 然 后 给 出 相 应 的 解 决 方 案 ， 然 后 协 助 开 发 人 员 进 行 专 杀 工 具 的 开 发 和 测 试 ， 然 后 再 根 据 病 毒 的 特 征 提 取 相 应 的 规 则 给 引 擎 开 发 人 员 ， 增 加 新 的 特 征 ， 从 而 不 断 的 能 过 运 营 提 高 安 全 产 品 的 安 全 能 力 。 当 时 安 全 公 司 的 病 毒 分 析 人 员 的 工 作 就 是 流 行 病 毒 的 分 析 与 处 理 ， 然 后 提 取 病 毒 规 则 ， 如 果 一 家 安 全 公 司 没 有 病 毒 分 析 人 员 ， 我 不 知 道 它 是 怎 么 做 终 端 安 全 软 件 的 ， 所 以 在 传 统 的 安 全 公 司 恶 意 样 本 分 析 人 员 是 必 不 可 少 的 ， 也 是 非 常 重
要 的 一 个 岗 位 . . . . . . 好 了 ， 说 了 传 统 的 安 全 公 司 ， 我 也 来 说 一 下 现 在 的 一 些 新 型 的 安 全 公 司 吧 ， 现 在 有 一 些 安 全 从 业 人 员 ， 动 不 动 就 说 什 么 传 统 的 安 全 不 行 了 ， 我 们 要 采 用 新 的 安 全 技 术 ， 要 创 新 ， 要 改 革 ， 说 传 统 安 全 方 法 解 决 不 了 新 的 安 全 问 题 ， 动 不 动 就 谈 人 工 智 能 、 大 数 据 、 机 器 学 习 ， 事 实 上 天 天 谈 这 些 的 人 很 多 都 不 是 真 正 做 安 全 的 人 ， 也 不 懂 安 全 研 究 ， 对 安 全 可 能 并 不 了 解 ， 这 又 是 一 个 话 题 了 ， 后 面 有 空 我 再 跟 大 家 扯 一 下 ， 事 实 上 真 正 做 安 全 的 都 了 解 ， 这 些 新 的 方 法 和 理 论 就 一 一 定 能 更 好 的 解 决 安 全 问 题 ？ 研 究 这 些 新 的 方 法 和 理 论 的 人 ， 真 的 懂 安 全 ？ 真 正 做 安 全 的 人 ， 不 管 是 渗 透 测 试 、 漏 洞 挖 掘 、 逆 向 分 析 ， 都 不 会 动 不 动 就 谈 人 工 智 能 、 大 数 据 、 机 器 学 习 之 类 的 ， 因 为 如 果 连 安 全 都 没 搞 明 白 ， 就 谈 这 些 方 法 和 理 论 有 啥 意 义 呢 ？ 现 在 大 家 都 在 说 做 企 业 安 全 ， 要 做 T O   B 市 场 ， 企 业 安 全 真 的 需 要 人 工 智 能 、 大 数 据 、 机 器 学 习 这 些 新 的 技 术 和 方 法 ？ 这 些 真 的 能 解 决 企 业 安 全 问 题 ？ 企 业 客 户 遇 到 的 安 全 问 题 ， 靠 这 些 真 的 可 以 解 决 吗 ？ 我 以 前 是 做 T O   C 的 ， 后 面 发 现 T O   B 的 机 会 来 了 ， 然 后 转 到 了 现 在 的 公 司 主 要 负 责 T O   B 安 全 ， 我 来 告 诉 你 现 在 做 企 业 安 全 ， 企 业 客 户 需 要 什 么 吧 ？ 他 们 需 要 的 是 好 的 安 全 产 品 + 好 的 服 务 人 员 ， 客 户 并 不 关 心 你 用 了 什 么 人 工 智 能 算 法 ， 机 器 学 习 ， 大 数 据 方 法 ， 客 户 需 要 的 是 你 帮 他 解 决 他 们 企 业 遇 到 的 安 全 问 题 ， 当 你 提 供 客 户 需 要 的 安 全 产 品 ， 而 且 当 企 业 遇 到 安 全 问 题 的 时 候 ， 客 户 需 要 你 的 时 候 ， 能 给 客 户 提 供 专 业 的 安 全 咨 询 和 服 务 ， 这 是 做 企 业 需 要 的 ， 也 是 客 户 需 要 的 。 那 说 了 这 么 多 ， 恶 意 样 本 分 析 人 员 怎 么 才 能 在 企 业 安 全 中 体 现 出 自 己 的 价 值 呢 ？ 我 就 从 上 面 两 个 方 面 来 给 说 一 下 ， 怎 么 最 大 化 恶 意 样 本 分 析 人 员 的 价 值 。 1 . 企 业 安 全 必 然 需 要 好 的 产 品 企 业 安 全 必 然 需 要 好 的 产 品 做 企 业 安 全 ， 如 果 还 是 一 味 的 忽 悠 客 户 ， 很 难 做 长 ， 因 为 做 企 业 安 全 你 一 是 做 一 天 两 天 ， 一 年 两 年 ， 而 且 未 来 企 业 安 全 的 竞 争 也 会 越 来 越 大 ， 怎 么 才 能 打 造 一 款 好 的 企 业 安 全 产 品 ， 我 之 前 写 过 一 篇 《 做 安 全 有 什 么 用 ， 价 值 何 在 》 ， 里 面 主 要 讲 解 了 如 何 做 好 几 款 企 业 安 全 产 品 ， 你 做 的 这 些 产 品 是 否 是 客 户 需 要 的 ？ 是 否 真 的 能 给 客 户 解 决 一 些 实 际 的 安 全 问 题 ， 有 兴 趣 的 可 以 去 阅 读 那 篇 文 章 ， 分 别 从 目 前 流 行 的 几 款 企 业 安 全 产 品 做 了 详 细 的 讲 解 ： 边 界 防 御 类 产 品 防 火 墙 、 终 端 安 全 产 品 E D R 、 内 网 感 知 类 产 品 态 势 感 知 。 事 实 上 这 三 款 企 业 安 全 产 品 ， 如 果 没 有 安 全 研 究 人 员 提 供 持 续 的 安 全 能 力 输 出 ， 这 三 款 产 品 啥 也 做 不 了 ， 安 全 产 品 跟 其 它 产 品 不 同 ， 它 是 一 个 强 运 营 的 产 品 ， 不 管 你 现 在 开 发 的 产 品 多 么 厉 害 ， 不 去 运 营 ， 最 后 的 结 果 都 是 开 发 出 来 的 产 品 基 本 解 决 不 了 任 何 安 全 问 题 ， 至 于 恶 意 样 本 分 析 人 员 ， 就 不 用 多 说 了 ， 这 三 款 产 品 的 核 心 都 是 特 征 ， 这 些 特 征 从 哪 里 来 ？ 引 擎 的 规 则 靠 谁 来 提 取 ， 其 实 引 擎 只 是 做 匹 配 罢 了 ， 没 有 原 始 的 规 则 ， 引 擎 根 本 无 法 匹 配 的 ， 至 于 现 在 说 的 一 些 人 工 智 能 、 机 器 自 动 学 习 ， 听 听 就 好 了 、 企 业 安 全 存 在 的 安 全 问 题 应 该 怎 么 防 御 ， 这 些 都 需 要 安 全 研 究 人 员 进 行 安 全 研 究 ， 然 后 再 给 这 些 产 品 输 出 安 全 能 力 ， 提 高 这 些 安 全 产 品 的 安 全 能 力 。
安 全 本 质 永 远 是 攻 防 对 抗 ， 不 要 扯 别 的 ， 为 啥 我 们 要 做 安 全 ， 企 业 需 要 安 全 ， 不 就 是 因 为 有 做 黑 产 的 ， 如 果 没 有 做 黑 产 的 ， 还 要 做 安 全 的 做 什 么 ？ 那 既 然 我 们 要 做 的 就 是 对 抗 黑 产 ， 那 不 去 研 究 黑 产 ， 不 去 研 究 安 全 对 抗 技 术 ， 怎 么 做 安 全 ？ 通 过 什 么 方 式 研 究 呢 ？ 事 实 上 样 本 就 是 最 好 的 切 入 方 式 ， 研 究 样 本 ， 你 就 可 以 从 样 本 中 得 到 最 有 价 值 的 东 西 ， 逆 向 分 析 样 本 ， 你 可 以 知 道 黑 产 运 用 了 哪 些 技 术 手 段 ， 使 用 哪 种 方 式 进 行 传 播 ？ 样 本 中 利 用 了 哪 些 漏 洞 ？ 采 用 什 么 免 杀 技 术 绕 过 安 全 软 件 ？ 然 后 再 通 过 分 析 ， 弄 明 白 应 该 怎 么 样 清 理 这 些 样 本 ？ 不 仅 仅 如 此 通 过 分 析 样 本 ， 还 可 以 得 到 各 种 有 价 值 的 最 新 的 I O C 特 征 ， 将 这 些 I O C 特 征 加 入 到 威 胁 情 报 系 统 里 ， 关 联 出 更 多 有 用 的 信 息 ， 提 供 给 企 业 安 全 的 客 户 进 行 参 考 ， 这 些 都 是 非 常 有 价 值 的 ， 也 是 做 企 业 安 全 最 重 要 的 ， 因 为 这 最 新 的 威 胁 情 报 就 是 企 业 安 全 客 户 想 要 的 ， 也 是 客 户 最 担 心 的 。 2 . 企 业 安 全 需 要 好 的 服 务 企 业 安 全 需 要 好 的 服 务 任 何 一 款 安 全 产 品 都 是 不 可 能 1 0 0 % 的 防 住 病 毒 的 ， 当 企 业 购 买 了 你 的 产 品 之 后 ， 他 们 其 实 需 要 的 是 一 种 配 套 的 安 全 服 务 ， 没 有 安 全 服 务 和 安 全 应 急 的 人 员 ， 想 做 好 企 业 安 全 ， 基 本 上 是 不 可 能 的 ， 也 许 有 些 大 厂 前 期 靠 一 些 关 系 和 资 源 可 能 会 有 一 些 客 户 ， 但 当 客 户 遇 到 安 全 问 题 ， 你 不 能 及 时 给 客 户 提 供 好 的 安 全 服 务 ， 基 本 后 面 就 很 难 做 了 ， 我 做 过 很 多 应 急 响 应 工 作 ， 接 触 过 很 多 客 户 ？ 其 实 现 在 企 业 安 全 的 最 大 问 题 ， 仍 然 是 恶 意 样 本 攻 击 事 件 ， 所 有 的 应 急 响 应 工 作 基 本 都 是 恶 意 样 本 攻 击 导 致 的 ， 需 要 对 企 户 遇 到 的 各 种 流 行 的 病 毒 样 本 进 行 详 细 分 析 。 特 别 是 现 在 勒 索 病 毒 攻 击 、 挖 矿 病 毒 和 各 类 A P T 攻 击 、 银 行 木 马 流 行 的 时 代 ， 网 络 安 全 事 件 也 大 部 分 是 基 于 恶 意 样 本 攻 击 的 ， 那 这 些 企 业 的 客 户 关 心 的 主 要 有 哪 些 问 题 呢 ？ 我 想 了 想 ， 大 致 就 是 两 类 ： 1 ) 我 的 企 业 中 了 什 么 病 毒 ？ 这 些 病 毒 什 么 危 害 ？ 会 不 会 传 播 ？ 该 怎 么 清 除 处 置 ？ 你 有 没 有 相 关 安 全 产 品 能 解 决 这 个 问 题 ？ 2 ) 这 个 病 毒 是 怎 么 进 来 的 ？ 后 面 怎 么 防 止 再 次 中 毒 ， 能 不 能 提 供 一 些 安 全 防 护 建 议 和 手 段 ？ 一 般 的 企 业 安 全 安 服 人 员 以 及 应 急 响 应 人 员 在 对 企 业 做 应 急 响 应 之 后 都 会 给 客 户 提 供 一 份 详 细 的 应 急 响 应 报 告 ， 报 告 里 面 就 是 包 含 了 上 面 的 这 些 东 西 ， 通 过 这 种 方 式 再 去 推 广 自 己 公 司 的 其 他 产 品 ， 扩 大 公 司 安 全 产 品 的 市 场 占 有 率 。 如 果 你 会 恶 意 样 本 分 析 ， 在 企 业 应 急 响 应 中 可 以 充 分 的 体 现 出 自 己 的 价 值 ， 应 急 响 应 人 员 可 以 通 过 分 析 病 毒 样 本 ， 可 以 得 出 这 是 什 么 类 型 的 病 毒 ， 这 个 病 毒 有 什 么 危 害 ， 会 不 会 传 播 ， 该 怎 么 清 理 ， 以 及 通 过 在 客 户 机 器 上 进 行 样 本 的 回 溯 和 查 找 ， 弄 清 这 个 病 毒 可 能 是 通 过 什 么 方 式 进 来 的 ， 然 后 再 输 出 详 细 的 应 急 响 应 报 告 ， 客 户 自 然 就 会 很 满 意 了 ， 客 户 满 意 了 自 然 就 会 买 单 了 ， 所 以 应 急 响 应 人 员 和 安 全 服 务 人 员 拥 有 一 些 简 单 的 恶 意 样 本 分 析 技 能 一 定 能 提 高 安 全 服 务 的 质 量 ， 以 及 能 得 到 客 户 更 多 的 认 可 。 如 果 不 分 析 病 毒 样 本 ， 你 怎 么 回 答 客 户 的 问 题 ？ 我 想 问 . . . . . . 如 果 你 想 做 安 全 ， 就 先 去 了 解 客 户 ， 客 户 需 要 什 么 ？ 不 管 你 做 哪 方 面 的 安 全 研 究 ， 最 后 都 是 需 要 创 造 价 值 才 有 意 义 ， 没 有 价 值 的 安 全 研 究 没 有 意 义 ？ 安 全 包 含 的 内 容 很 多 ， 现 在 做 企 业 安 全 能 给 企 业 客 户 解 决 安 全 问 题 ， 才 能 体 现 做 安 全 的 价 值 。 上 面 我 已 经 说 了 恶 意 样 本 分 析 对 企 业 安 全 的 价 值 ， 以 及 恶 意 样 本 从 业 人 员 具 体 都 在 做 什 么 ， 是 否 有 价 值 ？ 做 恶 意 样 本 分 析 一 定 是 有 价 值 的 ， 只 要 有 做 黑 产 的 存 在 ， 就 一 直 需 要 做 安 全 的 ， 就 一 定 需 要 深 入 研 究 和 了 解 样 本 的 安 全 人 员 ， 因 为 大 多 数 黑 产 的 表 现 形 式 就 是 攻 击 样 本 ， 做 安 全 接 触 的 最 多 的 也 是 样 本 ， 从 样 本 中 可 以 找 到 很 多 有 价 值 的 东 西 。
现 在 全 球 每 天 都 在 发 现 各 种 安 全 攻 击 事 件 ， 大 多 数 的 安 全 事 件 都 是 由 恶 意 样 本 攻 击 导 致 的 ， 安 全 研 究 人 员 一 定 要 多 关 注 国 内 外 大 多 数 的 安 全 公 司 发 布 的 安 全 报 告 和 安 全 事 件 ， 我 每 天 都 在 关 注 全 球 发 生 的 各 种 安 全 事 件 ， 真 的 太 多 的 样 本 需 要 去 分 析 研 究 了 ， 因 为 只 有 去 深 入 的 分 析 和 研 究 了 这 些 样 本 ， 你 才 能 更 加 了 解 安 全 ， 了 解 黑 产 ， 才 能 做 好 企 业 安 全 防 护 ， 并 给 企 业 的 安 全 产 品 输 出 强 大 的 安 全 能 力 ， 不 然 怎 么 提 高 企 业 安 全 产 品 的 安 全 能 力 。 那 怎 么 入 门 恶 意 样 本 分 析 呢 ？ 需 要 学 习 哪 些 知 识 呢 ？ 由 于 现 在 安 全 大 环 境 ， 黑 产 团 队 会 通 过 各 种 不 同 的 恶 意 样 本 攻 击 各 种 不 同 平 台 的 ， 但 是 现 在 做 企 业 安 全 ， 目 前 来 说 主 要 是 以 W i n d o w / L i n u x 平 台 为 主 ， 云 安 全 服 务 器 主 机 也 主 要 以 W i n d o w s / L i n u x 为 主 ， M A C 平 台 和 移 动 平 台 的 企 业 安 全 需 求 现 在 不 多 ， 我 这 里 先 以 W i n d o w s 平 台 为 主 进 行 讲 解 。 之 前 我 在 一 个 安 全 博 客 网 站 上 看 到 过 一 篇 文 章 ， 好 像 叫 十 分 钟 学 会 恶 意 样 本 分 析 ， 后 面 我 在 星 球 写 也 一 篇 文 章 《 恶 意 样 本 在 线 分 析 网 站 ， 你 想 要 的 都 在 这 里 》 ， 帮 助 一 些 没 有 安 全 分 析 能 力 的 朋 友 快 速 分 析 样 本 ， 也 是 为 了 可 以 让 一 些 没 有 安 全 分 析 能 力 的 安 全 应 急 响 应 人 员 和 安 全 服 务 人 员 对 病 毒 分 析 有 一 些 简 单 的 了 解 ， 后 面 有 空 再 进 行 深 入 的 学 习 。 为 啥 一 定 要 深 入 的 研 究 和 学 习 ， 因 为 这 些 在 线 分 析 网 站 并 不 能 解 决 所 有 的 恶 意 样 本 了 ， 大 多 数 高 端 的 样 本 都 可 以 轻 松 的 躲 避 到 这 些 在 线 的 分 析 网 站 ， 如 果 这 些 在 线 分 析 网 站 能 解 决 所 有 的 样 本 分 析 工 作 了 ， 那 还 需 要 恶 意 样 本 分 析 人 员 做 什 么 ？ 事 实 上 大 部 分 专 业 的 恶 意 样 本 分 析 人 员 ， 从 来 不 会 上 传 样 本 到 这 些 网 站 进 行 分 析 的 ， 就 像 我 之 前 说 的 样 本 就 是 一 个 公 司 的 核 心 资 产 ， 你 随 便 上 传 样 本 到 这 些 网 站 ， 相 当 于 上 传 了 公 司 的 资 产 ， 哈 哈 哈 哈 。 学 习 入 门 恶 意 样 本 分 析 ？ 我 列 举 了 一 个 学 习 线 路 ， 可 以 按 照 下 面 的 步 骤 进 行 学 习 ： 学 习 入 门 恶 意 样 本 分 析 ？ 我 列 举 了 一 个 学 习 线 路 ， 可 以 按 照 下 面 的 步 骤 进 行 学 习 ： 1 . 病 毒 形 为 分 析 病 毒 形 为 分 析 通 过 一 些 样 本 动 态 形 为 监 控 工 具 ， 对 样 本 的 基 本 行 为 进 行 分 析 ， 同 量 还 可 以 通 过 一 些 威 胁 情 报 网 站 进 行 查 询 分 析 ， 对 病 毒 了 有 一 个 基 本 的 了 解 。 2 . 逆 向 工 程 分 析 逆 向 工 程 分 析 需 要 学 习 P E 文 件 格 式 、 汇 编 语 言 ， W i n d o w s 程 序 设 计 ， 软 件 调 试 方 法 等 ， 通 过 对 样 本 进 行 静 态 分 析 与 动 态 调 试 ， 了 解 病 毒 的 核 心 技 术 原 理 ， W i n d o w s 上 一 般 的 调 试 工 具 主 要 有 O D 、 W i n d b g 、 X 6 4 D B G 等 。 学 习 一 些 逆 向 工 程 的 方 法 与 技 术 ， 对 二 进 制 样 本 进 行 逆 向 分 析 , 有 些 病 毒 样 本 可 能 加 壳 了 ， 这 个 时 候 需 要 对 一 些 常 用 的 壳 比 较 熟 悉 ， 能 手 工 脱 壳 。 如 果 样 本 利 用 了 漏 洞 进 行 传 播 ， 就 需 要 去 学 习 一 些 常 见 的 漏 洞 原 理 ， 可 以 去 看 一 些 漏 洞 分 析 与 挖 掘 方 面 的 书 籍 。
3 . 实 战 实 战 实 战 实 战 实 战 实 战 通 过 上 面 的 学 习 基 本 的 方 法 和 技 能 都 已 经 掌 握 了 ， 后 期 主 要 就 是 不 断 的 实 战 ， 去 分 析 各 种 不 同 类 型 的 病 毒 样 本 ， 了 解 各 处 不 同 病 毒 样 本 的 原 理 ， 包 含 ： 蠕 虫 病 毒 、 感 染 型 病 毒 、 勒 索 病 毒 、 挖 矿 病 毒 、 下 载 器 、 盗 号 木 马 后 门 、 A P T 攻 击 样 本 、 僵 尸 网 络 等 ， 通 过 分 析 这 些 样 本 ， 可 以 获 取 到 很 多 有 价 值 的 东 西 。 恶 意 样 本 分 析 是 一 项 非 常 复 杂 的 工 作 ， 需 要 学 习 的 东 西 很 多 很 多 ， 涉 及 到 的 知 识 面 也 很 广 ， 后 面 可 能 还 会 遇 到 各 种 不 同 平 台 的 文 件 需 要 分 析 ， 做 恶 意 样 本 分 析 工 作 真 的 需 要 不 断 的 学 习 ， 同 时 还 需 要 跟 各 种 恶 意 样 本 分 析 专 家 进 行 交 流 ， 学 习 别 人 的 一 些 分 析 经 验 和 技 巧 ， 不 断 的 提 高 自 己 的 安 全 分 析 能 力 ， 任 何 一 家 大 型 的 专 业 的 安 全 公 司 都 会 拥 有 一 支 强 大 的 安 全 分 析 团 队 ， 这 支 团 队 会 负 责 各 种 最 新 的 恶 意 样 本 的 捕 获 和 分 析 工 作 ， 像 威 胁 猎 人 一 样 ， 及 时 跟 踪 全 球 最 新 的 安 全 威 胁 事 件 。 做 安 全 的 首 先 要 懂 安 全 ， 然 后 才 知 道 需 要 做 什 么 ， 好 好 做 好 自 己 的 事 ， 坚 持 研 究 安 全 技 术 ， 研 究 黑 产 ， 从 样 本 中 去 寻 找 更 多 有 价 值 的 东 西 ， 帮 助 企 业 提 高 安 全 产 品 能 力 ， 帮 助 客 户 解 决 企 业 安 全 问 题 ， 才 能 做 好 安 全 ， 更 好 的 体 现 自 己 的 价 值 。 好 了 ， 已 经 七 千 字 了 ， 不 扯 了 ， 后 面 有 空 再 写 ， 还 是 那 句 话 ， 不 管 你 在 安 全 领 域 的 哪 个 方 向 ， 坚 持 很 重 要 ， 这 是 一 个 长 期 的 过 程 ， 并 非 一 朝 一 夕 的 事 ， 还 是 好 好 研 究 安 全 技 术 吧 ， 安 全 的 路 真 的 还 很 长 ， 要 做 的 事 还 有 很 多 . . . . . . * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： 熊 猫 正 正 ， 本 文 属 于 熊 猫 正 正 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理