设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [16245] 2020-12-24_聊聊APT的溯源分析
返回列表 发新帖
查看: 8|回复: 0

[16245] 2020-12-24_聊聊APT的溯源分析

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-54

积分

管理员

积分
-54
发表于 2025-1-18 18:04:09 | 显示全部楼层 |阅读模式
2020-12-24_聊聊APT的溯源分析 聊 聊 A P T 的 溯 源 分 析 p a n d a z h e n g z h e n g   F r e e B u f   2 0 2 0 - 1 2 - 2 4 阅 读 这 篇 文 章 之 前 ， 如 果 你 对 A P T 一 无 所 知 ， 可 以 先 了 解 一 下 A P T 三 个 字 的 英 文 ， A - A d v a n c e d ， P - P e r s i s t e n t   ， T - T h r e a t 。 S o l a r W i n d s   A P T 事 件 事 件 前 段 时 间 火 眼 发 现 了 一 个 基 于 供 应 链 攻 击 的 黑 客 组 织 攻 击 事 件 ， 并 将 黑 客 组 织 命 名 为 U N C 2 4 5 2 / D a r k   H a l o ， 看 到 这 个 名 字 ， 就 想 起 了 D a r k   H o t e l ， 国 内 外 各 安 全 厂 商 也 都 在 第 一 时 间 拿 到 了 A P T 攻 击 的 后 门 样 本 ， 并 对 样 本 进 行 详 细 分 析 。 之 后 又 有 国 内 外 的 一 些 厂 商 跟 踪 分 析 了 攻 击 样 本 中 使 用 的 D G A 算 法 ， 并 通 过 解 密 D G A 算 法 ， 找 到 了 一 些 受 害 者 客 户 的 数 据 ， 至 于 溯 源 到 的 这 些 客 户 里 有 没 有 误 报 的 ， 已 经 不 重 要 了 ， 反 正 是 溯 源 到 了 ， 接 着 又 有 越 来 越 多 的 国 内 外 安 全 厂 商 发 布 了 自 己 的 相 关 报 告 ， 报 告 基 本 内 容 就 是 大 同 小 异 ， 有 些 厂 商 加 了 自 己 的 一 些 猜 测 推 理 啥 的 ， 包 含 微 软 也 发 报 了 报 告 ， 也 对 后 门 进 行 了 详 细 分 析 以 及 D G A 部 分 ， 同 时 还 推 广 了 一 波 自 己 的 产 品 拦 截 技 术 等 。 我 研 究 了 十 几 个 国 内 外 不 同 的 安 全 厂 商 针 对 此 事 发 布 的 报 告 ， 能 分 析 的 基 本 都 分 析 了 ， 其 实 这 个 事 能 做 的 就 只 能 到 这 里 了 ， 作 为 一 个 专 业 的 安 全 厂 商 能 在 第 一 时 间 内 拿 到 攻 击 的 样 本 ， 并 做 出 快 速 响 应 ， 提 供 相 应 的 检 测 清 除 以 及 防 御 解 决 方 案 就 可 以 了 ， 如 果 真 的 需 要 进 行 下 一 步 的 溯 源 分 析 ， 也 只 能 联 系 S o l a r W i n d s 公 司 配 合 ， 进 行 内 部 的 调 查 取 证 分 析 了 ， 但 如 果 S o l a r W i n d s 不 配 合 ， 或 者 S o l a r W i n d s 不 找 你 做 溯 源 取 证 分 析 ， 各 大 安 全 厂 商 基 本 能 做 的 事 就 是 这 些 了 。 至 于 攻 击 者 是 如 何 攻 击 S o l a r W i n d s 恐 怖 也 只 有 曝 光 的 黑 客 组 织 D a r k   H a l o 或 其 他 攻 击 S o l a r W i n d s 的 黑 客 组 织 才 最 清 楚 了 ， 因 为 大 部 分 安 全 厂 商 是 没 办 法 去 找 S o l a r   W i n d s 进 行 溯 源 取 证 分 析 的 ， 所 以 溯 源 分 析 也 就 到 此 为 止 了 ， 至 于 其 他 的 一 些 什 么 分 析 就 是 纯 猜 测 了 ， 没 啥 意 义 ， 随 便 怎 么 猜 测 都 可 以 ， 而 且 就 算 S o l a r W i n d s 找 专 业 的 安 全 厂 商 进 行 溯 源 分 析 ， 最 后 的 报 告 也 不 会 对 外 发 布 ， 黑 客 的 攻 击 手 法 的 相 关 细 节 也 不 会 曝 光 ， 有 些 不 懂 的 人 还 会 说 ， 难 道 全 球 的 安 全 厂 商 能 做 的 就 是 这 些 ？ 是 怎 么 攻 击 的 ， 我 还 是 不 知 道 呀 ， 其 实 确 实 也 只 能 做 这 些 ， 或 者 说 能 报 道 的 也 只 能 是 这 些 了 ， 更 多 的 溯 源 分 析 大 部 分 安 全 厂 商 也 没 有 办 法 去 做 ， 因 为 S o l a r W i n d s 没 有 找 他 们 溯 源 ， 其 次 就 算 找 到 了 完 整 的 攻 击 链 ， 你 也 看 不 到 报 告 ， 就 说 到 这 里 了 ， 懂 的 人 自 然 就 懂 了 。 所 有 对 外 发 布 的 A P T 报 告 最 大 的 价 值 就 是 品 牌 宣 传 ， 说 白 了 就 是 ” 秀 肌 肉 ” ， 告 诉 客 户 我 有 能 力 帮 你 找 到 并 处 理 A P T 攻 击 事 件 ， 同 时 我 有 A P T 数 据 ， 我 还 有 产 品 能 检 测 和 防 御 ， 我 能 帮 助 你 发 现 企 业 中 可 能 存 在 的 A P T 攻 击 事 件 ， 因 为 现 在 全 球 还 有 多 少 政 府 或 企 事 业 单 位 已 经 被 黑 客 攻 击 了 ， 无 时 无 刻 不 在 监 控 和 盗 取 政 企 的 重 要 数 据 ， 其 实 是 未 知 的 ， 这 也
是 全 球 的 安 全 厂 商 做 安 全 的 意 义 ， 事 实 上 真 实 的 客 户 A P T 报 告 是 不 会 对 外 发 布 的 ， 都 是 定 向 发 给 客 户 的 ， 没 有 哪 个 安 全 厂 商 会 把 自 己 重 要 客 户 的 A P T 事 件 报 告 发 到 外 面 ， 这 样 做 没 有 任 何 意 义 ， 给 客 户 保 密 是 安 全 从 业 人 员 最 基 本 的 素 养 。 A P T 攻 击 解 读 攻 击 解 读 经 常 在 一 些 安 全 大 会 上 听 到 一 些 人 讲 A P T 攻 击 ， 以 及 A P T 溯 源 分 析 啥 的 ， 其 实 一 些 人 还 没 有 搞 清 楚 A P T 攻 击 是 啥 意 思 ， 就 在 谈 论 A P T 溯 源 分 析 ， 啥 是 A P T 都 不 知 道 ? 为 什 么 叫 A P T ? A P T 攻 击 的 目 的 是 什 么 ? 啥 是 A P T ： A P T 就 是 高 级 可 持 续 性 威 胁 攻 击 我 们 要 讨 论 某 个 攻 击 行 为 的 时 候 ， 为 什 么 称 这 类 攻 击 为 A P T ， 其 它 攻 击 不 是 A P T 呢 ： 为 什 么 火 眼 发 现 的 这 个 东 西 就 是 A P T 攻 击 事 件 ， 并 不 是 因 为 他 使 用 了 供 应 链 攻 击 技 术 ， 供 应 链 攻 击 仅 仅 是 A P T 攻 击 使 用 的 一 种 高 级 技 术 ， 所 以 供 应 链 攻 击 仅 仅 是 代 表 了 A ， 仅 只 有 A ， 是 不 能 叫 A P T ， 完 整 的 A P T 攻 击 一 定 是 ： A - 高 级 ， 使 用 了 一 些 高 级 的 攻 击 手 法 ， 比 方 供 应 链 攻 击 手 法 ， 利 用 了 一 些 系 统 或 应 用 的 0 d a y 漏 洞 ， 或 者 使 用 了 很 多 以 前 未 见 过 的 各 种 组 合 攻 击 方 式 等 ， 然 后 这 些 仅 仅 是 A ， 还 需 要 P 。 P - 持 续 性 ， 在 黑 客 组 织 攻 击 成 功 之 后 ， 一 定 会 在 受 害 者 机 器 上 驻 留 植 入 后 门 ， 以 达 到 长 期 监 视 受 害 者 ， 盗 取 重 要 数 据 的 目 的 ， P 就 是 A P T 攻 击 最 后 释 放 的 高 端 远 控 后 门 ， 也 称 为 A P T 特 马 ， 一 个 高 级 特 马 的 免 杀 效 果 在 一 定 程 度 上 决 定 了 一 个 A P T 组 织 技 术 的 高 低 。 只 有 满 足 了 这 两 点 才 能 叫 A P T ， 高 级 可 持 续 性 攻 击 ， 很 多 人 其 实 并 不 理 解 什 么 是 A P T ， 也 没 搞 清 楚 A P T 的 本 质 是 啥 ， 也 不 懂 为 啥 叫 A P T ， 还 有 A P T 的 重 点 是 什 么 ？ A P T 的 目 的 ： 黑 客 组 织 使 用 一 些 高 级 可 持 续 的 攻 击 方 法 和 手 段 ， 通 过 长 期 监 视 目 标 ， 获 得 目 标 的 重 要 数 据 ， 持 续 监 控 获 取 数 据 是 A P T 的 关 键 ， 具 体 强 烈 的 政 治 和 经 济 目 的 。 以 后 别 人 再 跟 你 谈 A P T 的 时 候 ， 你 就 先 问 他 啥 是 A P T ， 怎 么 定 义 这 个 事 件 是 A P T 的 ， 再 跟 他 聊 后 面 的 溯 源 分 析 ， 如 果 连 A P T 都 没 有 搞 清 楚 ， 就 没 有 必 要 聊 下 去 了 。 我 在 面 试 的 过 程 中 会 遇 到 不 少 人 在 自 己 的 简 历 中 写 A P T 啥 的 ， 也 遇 到 不 少 人 聊 A P T ， 其 实 很 多 人 连 A P T 是 啥 都 没 有 搞 清 楚 ， 有 些 人 说 A P T ： 使 用 一 些 0 d a y 漏 洞 攻 击 就 说 是 A P T ， 发 个 钓 鱼 邮 件 ， 使 用 鱼 叉 攻 击 ， 水 坑 攻 击 手 法 就 说 是 A P T ， 其 实 都 是 不 准 确 的 ， 这 些 只 能 叫 A P T 攻 击 的 一 种 手 法 ， 使 用 了 这 种 攻 击 手 法 的 安 全 事 件 ， 并 不 一 定 就 是 A P T 攻 击 事 件 ， A P T 攻 击 事 件 的 核 心 一 定 要 找 到 P ， 没 有 P ( A P T 特 马 ) ， 再 高 级 的 攻 击 手 法 ， 也 只 能 叫 A T 事 件 ， 这 次 攻 击 事 件 仅 仅 是 利 用 了 一 些 高 级 手 法 的 威 胁 事 件 而 已 ， 并 不 能 称 为 A P T 。 A P T 攻 击 思 考 攻 击 思 考 我 常 常 说 我 们 做 安 全 就 跟 当 警 察 是 一 样 的 ， 做 安 全 就 是 为 了 保 障 我 们 的 客 户 安 全 ， 当 警 察 是 为 了 保 障 人 民 群 众 的 安 全 ， 我 们 在 客 户 现 场 溯 源 分 析 的 过 程 ， 就 和 警 察 在 刑 事 犯 罪 现 场 推 理 案 件 的 过 程 是 一 样 的 ， 警 察 破 案 ， 一 切 的 根 本 是 基 于 证 据 的 ， 没 有 证 据 ， 如 果 一 切 仅 仅 都 是 猜 想 ， 猜 想 是 定 不 了 罪 的 ， 同 时 当 企 业 被 黑 客 攻 击 之 后 ， 我 们 需 要 从 客 户 的 机 器 上 进 行 溯 源 分 析 ， 获 取 相 关 的 证 据 和 数 据 ， 客 户 的 机 器 其 实 就 是 “ 犯 罪 现 场 ” ， 存 留 在 机 器 上 的 样 本 就 相 当 于 受 害 者 的 “ 尸 体 ” ， 我 是 很 喜 欢 看 刑 侦 类 电 视 剧 的 ， 比 方 《 法 证 先 锋 》 《 刑 事 侦 缉 档 案 》 《 插 翅 难 逃 》 《 神 探 狄 仁 杰 》 《 重 案 六 组 》 《 鉴 证 实 录 》 等 ， 基 本 都 看 了 好 几 遍 ， 相 信 很 多 朋 友 也 看 过 。 大 家 可 以 发 现 要 想 破 案 的 关 键 因 素 之 一 首 先 就 是 要 保 留 作 案 现 场 ， 如 果 作 案 现 场 被 破 坏 会 加 大 破 案 的 难 度 ， 同 时 最 后 大 家 会 发 现 ， 警 察 一 定 要 找 到 受 害 者 的 “ 尸 体 ” ， 不 管 是 不 是 一 具 完 整 的 “ 尸 体 ” ， 或 者 仅 仅 是 “ 尸 体 ” 的 一 些 残 留 物 质 ， 找 到 受 害 者 “ 尸 体 ” 是 定 罪 的 关 键 因 素 之 一 ， 有 些 极 端 的 犯 罪 份 子 会 “ 毁 尸 灭 迹 ” ， 警 察 会 通 过 各 种 技 术 手 段 找 到 “ 尸 体 ” 残 骇 ， 这 种 “ 毁 尸 灭 迹 ” 类 型 重 大 刑 事 案 件 一 般 是 比 较 难 侦 破 的 ， 往 往 需 要 去 收 集 和 寻 找 更 多 的 证 据 ， 有 时 候 甚 至 还 需 要 和 犯 罪 份 子 打 心 理 战 ， 通 过 心 理 战 突 破 他 的 防 线 ， 从 而 破 案 ， 但 是 不 管 是 哪 一 个 案 件 ， 一 切 都 是 拿 证 据 和 事 实 来 定 罪 的 ， 纯 凭 猜 测 是 没 有 办 法 定 罪 的 。
当 我 们 在 处 理 客 户 应 急 响 应 的 时 候 ， 存 留 在 客 户 机 器 上 的 样 本 就 是 我 们 要 找 的 “ 尸 体 ” , 只 有 先 找 到 “ 尸 体 ” 才 能 定 义 它 为 一 个 重 大 的 刑 事 案 件 ， 如 果 连 “ 尸 体 ” 都 没 有 找 到 ， 是 没 有 办 法 定 义 的 ， 从 “ 尸 体 ” 中 去 寻 找 证 据 和 答 案 是 最 有 效 也 是 最 直 接 的 方 法 ， 首 先 警 察 会 将 “ 尸 体 ” 移 交 给 专 业 的 法 医 人 员 进 行 检 测 和 分 析 ， 判 断 死 者 的 大 体 死 亡 日 期 ( 样 本 的 感 染 时 间 ) , 死 者 的 年 纪 ( 样 本 的 编 译 时 间 ) ， 死 者 此 前 是 否 有 受 到 过 侵 犯 和 死 者 的 死 亡 原 因 ( 样 本 的 静 态 和 动 态 行 为 特 征 ) ， 从 这 些 可 以 大 致 判 断 犯 罪 份 子 大 概 的 行 凶 时 间 ( 黑 客 攻 击 时 间 ) ， 行 凶 过 程 以 及 死 者 的 死 亡 原 因 。 A P T 溯 源 的 关 键 问 题 是 要 有 客 户 的 犯 罪 现 场 ， 如 果 没 有 犯 罪 现 场 ， 一 般 的 安 全 厂 商 能 做 的 事 就 是 通 过 从 犯 罪 现 场 找 到 的 受 害 者 的 “ 尸 体 ” ( 样 本 ) 进 行 溯 源 分 析 了 ， 所 以 如 果 一 个 安 全 厂 商 又 没 有 犯 罪 现 场 ， 又 没 有 拿 到 受 害 者 的 “ 尸 体 ” ( 样 本 ) ， 就 在 那 里 大 谈 溯 源 分 析 ， A P T 溯 源 分 析 ， 基 本 就 是 纯 扯 淡 ， 这 种 报 告 完 全 不 用 看 ， 可 以 看 国 内 外 各 大 安 全 厂 商 发 布 的 A P T 报 告 ， “ 尸 体 ” ( 样 本 ) 分 析 是 必 不 可 少 的 一 部 分 ， 不 管 有 没 有 客 户 现 场 ， 如 果 连 简 单 的 “ 尸 体 ” ( 样 本 ) 分 析 都 没 有 ， 就 跟 能 法 医 的 报 告 都 没 有 拿 到 ， 就 几 个 警 察 在 那 里 推 判 猜 测 ， 是 没 有 任 何 意 义 的 ， 一 切 的 犯 罪 都 是 要 基 于 证 据 的 ， 没 有 证 据 ， 推 论 和 猜 测 就 毫 无 意 义 了 。 A P T 攻 击 溯 源 攻 击 溯 源 A P T 攻 击 应 该 如 何 溯 源 ? 一 定 是 有 什 么 异 常 ， 先 从 异 常 入 手 ， 不 管 是 多 么 高 端 的 A P T 组 织 一 定 会 在 机 器 上 驻 留 信 息 ， 因 为 这 是 A P T 的 核 心 之 一 ， 没 有 P ， 不 能 算 是 A P T 攻 击 ， 仅 仅 是 A T 攻 击 或 普 通 的 T 攻 击 ， A P T 攻 击 一 定 是 有 P 的 ， 那 我 们 最 好 的 方 式 就 是 从 P 入 手 ， 从 而 溯 源 推 理 出 整 个 攻 击 事 件 。 P 就 是 “ 尸 体 ” ( 样 本 ) ， 所 有 的 A P T 攻 击 的 最 后 都 会 保 留 一 个 “ 尸 体 ” ( 样 本 ) ， 这 个 “ 尸 体 ” ( 样 本 ) 就 是 P ， 不 同 水 平 的 A P T 组 织 使 用 的 P 的 技 术 不 一 样 ， 判 断 是 一 个 A P T 组 织 技 术 的 高 低 标 准 之 一 就 是 P 能 存 留 多 长 时 间 不 被 安 全 厂 商 发 现 ， 如 果 一 个 A P T 组 织 的 P 在 十 年 之 后 都 没 有 被 全 球 的 各 安 全 厂 商 发 现 ， 那 这 个 A P T 组 织 一 定 是 最 厉 害 的 A P T 组 织 之 一 ， 一 般 的 P 的 存 活 时 间 不 到 一 天 ， 厉 害 的 一 周 ， 更 厉 害 的 几 周 ， 几 个 月 ， 顶 级 的 可 以 存 留 几 年 甚 至 更 长 时 间 不 被 发 现 。 当 然 判 断 一 个 安 全 厂 商 的 安 全 能 力 的 标 准 也 就 是 发 现 P 的 能 力 了 ， 不 管 你 用 什 么 方 法 ， 管 你 什 么 A I ， 大 数 据 ， 算 法 等 等 ， 只 要 你 能 第 一 时 间 发 现 客 户 机 器 上 的 P ， 分 析 出 黑 客 做 了 什 么 事 ， 同 时 能 追 踪 到 黑 客 的 攻 击 手 法 以 及 攻 击 流 程 ， 这 就 是 代 表 你 的 安 全 能 力 的 。 当 我 们 拿 到 P 之 后 ， 如 果 想 溯 源 ， 能 做 的 第 一 件 事 情 就 是 分 析 研 究 P ， 这 就 需 要 一 名 经 验 丰 富 优 秀 的 法 医 了 ， 一 个 优 秀 的 法 医 并 不 是 他 的 解 剖 技 术 有 多 好 ， 而 且 他 的 经 验 丰 富 ， 分 析 解 剖 的 “ 尸 体 ” 很 多 ， 见 过 的 “ 尸 体 ” 更 多 ， 一 般 的 “ 尸 体 ” 一 个 经 验 丰 富 的 法 医 在 很 短 的 时 间 内 就 能 大 概 判 断 出 “ 尸 体 ” 的 特 征 ， 这 和 我 们 在 分 析 样 本 的 时 候 是 一 样 的 ， 当 你 对 各 种 不 同 类 型 的 样 本 都 很 熟 悉 之 后 ， 分 析 过 的 样 本 越 来 越 多 之 后 ， 你 就 会 很 快 的 定 位 到 样 本 的 关 键 信 息 。 同 样 一 名 优 秀 的 警 察 也 是 他 的 Q 法 有 多 准 ， 而 且 他 的 办 案 经 验 比 较 丰 富 ， 能 快 速 的 推 理 出 案 件 的 关 键 信 息 等 。 其 实 P ( 样 本 ) 就 是 A P T 的 核 心 ， 没 什 么 好 辩 解 的 ， 针 对 样 本 的 分 析 就 是 A P T 分 析 的 关 键 ， 首 先 需 要 从 样 本 中 找 到 更 多 有 价 值 的 东 西 ， 如 果 一 次 A P T 攻 击 事 件 连 样 本 都 没 有 找 到 ， 就 纯 猜 测 没 啥 意 义 ， A P T 报 告 的 核 心 就 是 对 样 本 的 分 析 ， 如 果 一 篇 报 告 连 基 本 的 样 本 都 没 有 分 析 清 楚 ， 就 大 谈 A P T 攻 击 ， 攻 击 手 法 什 么 的 ， 就 是 纯 扯 ， 就 像 这 次 如 果 火 眼 不 公 布 样 本 ， 其 他 厂 商 能 分 析 啥 ？ 推 测 啥 ？ 其 实 啥 也 不 会 知 道 ？ A P T 攻 击 过 程 中 黑 客 能 留 下 的 最 实 在 最 有 价 值 的 东 西 就 是 样 本 ， 样 本 也 是 你 能 与 黑 客 组 织 ” 对 话 “ 最 直 接 的 桥 梁 ， 所 有 的 一 切 结 论 都 是 基 于 样 本 分 析 得 出 来 ， 然 后 再 通 过 获 取 到 更 多 的 样 本 数 据 推 论 出 更 多 的 结 论 ， 不 然 就 是 纯 猜 测 ， 没 有 任 何 事 实 依 据 可 言 ， 如 果 你 觉 得 对 已 知 或 未 知 的 A P T 事 件 的 样 本 逆 向 分 析 价 值 不 大 ， 只 能 说 明 一 点 ： 你 分 析 的 样 本 真 的 太 少 了 ， 你 见 过 的 样 本 太 少 了 ， 你 处 理 的 安 全 攻 击 事 件 太 少 ， 你 的 经 验 不 足 而 已 ， 对 安 全 的 理 解 不 够 深 入 。 A P T 溯 源 分 析 不 是 单 靠 数 据 就 能 解 决 的 ， 更 多 的 是 需 要 经 验 丰 富 的 安 全 人 员 进 行 定 向 的 取 证 分 析 ， 首 先 需 要 有 犯 罪 现 场 ( 客 户 ) ， 如 果 没 有 犯 罪 现 场 ( 客 户 ) ， 就 只 能 通 过 获 取 到 的 A P T 事 件 的 “ 尸 体 ” ( 样 本 ) 进 行 技 术 分 析 取 证 ， 然 后 再 通 过 自 家 的 数 据 进 行 跟 踪 分 析 了 ， 所 以 这 就 是 为 啥 大 部 分 安 全 厂 商 对 外 发 布 的 A P T 事 件 都 是 以 样 本 分 析 为 主 的 ， 有 些 顺 带 会 写 一 些 应 急 措 施 以 及 相 关 的 可 能 受 影 响 的 客 户 ， 真 实 的 A P T 攻 击 事 件 的 客 户 溯 源 以 及 提 供 给 客 户 的 A P T 报 告 是 一 定 不 会 公 开 分 享 的 ， 因 为 里 面 会 涉 及 到 客 户 的 重 要 的 数 据 以 及 客 户 产 品 中 重 要 的 安 全 问 题 ， 这 种 报 告 都 是 定 向 输 出 给 客 户 的 ， 对 外 输 出 的 A P T 报 告 基 本 都 是 为 了 宣 传 自 家 的 安 全 厂 商 有 这 种 安 全 分 析 能 力 以 及 数 据 能 力 ， 因 为 当 真 正 有 客 户 找 你 进 行 A P T 溯 源 分 析 的 时 候 ， 才 是 真 正 展 示 一 个 厂 商 安 全 能 力 的 时 候 ， 其 它 的 时 间 都 是 要 练 兵 ， 正 所 谓 ， 养 兵 千 日 ，
用 在 一 时 ， 平 时 没 事 的 时 候 ， 就 是 要 多 去 分 析 样 本 ， 研 究 漏 洞 原 理 ， 多 去 熟 悉 一 些 常 用 的 黑 客 攻 击 手 法 ， 见 的 多 了 ， 经 验 自 然 就 丰 富 了 。 如 果 连 样 本 都 不 去 分 析 ， 常 见 的 漏 洞 和 攻 击 手 法 都 不 知 道 有 哪 些 ， 平 时 也 没 有 机 会 接 触 一 些 A P T 攻 击 事 件 ， 那 如 何 锻 炼 自 己 的 A P T 溯 源 分 析 能 力 ， 如 何 能 快 速 的 定 位 问 题 ， 找 到 安 全 攻 击 事 件 的 关 键 信 息 ， 就 相 当 于 一 个 法 医 ， 从 来 不 解 剖 研 究 “ 尸 体 ” ， 一 个 警 察 从 来 不 去 犯 罪 现 场 调 查 取 证 ， 就 纯 靠 意 淫 ， 或 者 看 看 别 人 的 报 告 ， 就 凭 自 己 的 想 象 断 案 ， 基 本 就 是 扯 淡 ， 所 以 如 果 你 要 跟 我 讨 论 A P T 溯 源 什 么 的 ， 我 首 先 会 问 你 有 没 有 抓 到 A P T 事 件 的 样 本 ( P ) ， 有 没 有 分 析 过 事 件 中 的 样 本 ( P ) ， 从 P 中 找 到 了 什 么 有 价 值 的 信 息 没 有 ， 或 者 有 没 有 发 现 可 疑 的 日 志 信 息 ( 犯 罪 现 场 ) ， 如 果 连 基 本 的 样 本 ( P ) 都 没 有 拿 到 ， 也 没 有 去 犯 罪 现 场 ( 日 志 信 息 ) 分 析 过 ， 我 觉 得 咱 们 暂 时 没 啥 讨 论 的 必 要 ， 纯 意 淫 没 啥 价 值 ， 浪 费 时 间 和 精 力 。 这 里 还 说 一 点 ， 就 是 前 面 说 的 A P T 数 据 ， 因 为 现 在 做 安 全 的 人 喜 欢 说 数 据 这 个 词 ， 其 实 一 切 都 是 数 据 ， 代 码 是 数 据 ， 样 本 也 是 数 据 ， 特 征 是 数 据 ， 行 为 也 是 数 据 ， 网 络 流 量 还 是 数 据 ， 这 一 切 皆 为 数 据 ， 单 纯 的 说 A P T 数 据 也 是 没 有 啥 意 义 的 ， 一 定 要 有 具 体 的 东 西 ， 比 方 A P T   样 本 二 进 制 代 码 数 据 ， 漏 洞 规 则 数 据 ， 威 胁 情 报 I O C 数 据 ， A P T 攻 击 行 为 数 据 等 等 ， 安 全 厂 商 能 做 的 事 ， 就 是 基 于 现 有 的 A P T 历 史 数 据 和 最 新 的 A P T 事 件 攻 击 样 本 ， 建 立 A P T 数 据 库 ， 然 后 关 联 更 多 的 数 据 ， A P T 数 据 的 积 累 其 实 也 是 一 个 平 常 练 兵 的 过 程 ， 因 为 当 你 没 有 客 户 来 找 你 的 时 候 ， 或 者 你 没 有 受 到 A P T 攻 击 的 时 候 ， 通 过 收 集 和 整 理 之 前 的 一 些 A P T 事 件 的 数 据 ， 形 成 一 个 A P T 的 知 识 数 据 库 ， 积 累 自 己 的 办 案 经 验 ， 也 是 一 种 方 法 。 这 些 A P T 攻 击 事 件 文 档 其 实 就 是 警 察 办 案 后 的 案 卷 存 档 ， 通 过 整 理 这 些 案 卷 ， 进 行 标 准 化 的 保 存 ， 方 便 进 行 信 息 的 检 索 和 关 联 ， 从 而 可 以 对 案 件 的 侦 破 起 到 一 定 的 作 用 ， 所 以 现 在 安 全 厂 商 都 在 进 行 A P T 相 关 数 据 的 运 营 ， A P T 数 据 的 积 累 是 需 要 一 个 长 期 的 过 程 的 ， 但 这 种 方 式 对 一 些 关 联 的 A P T 组 织 是 有 很 大 的 帮 助 的 ， 但 是 对 于 一 些 新 型 的 A P T 组 织 帮 助 不 大 ， 不 过 A P T 数 据 的 收 集 和 整 理 是 必 不 可 少 的 一 部 分 ， 这 就 相 当 于 对 全 球 刑 事 案 件 的 档 案 管 理 一 样 ， 但 仅 仅 依 靠 A P T 数 据 是 没 办 法 溯 源 分 析 最 新 的 A P T 攻 击 事 件 的 ， 需 要 专 业 的 经 验 丰 富 的 安 全 专 家 对 客 户 进 行 溯 源 分 析 ， 调 查 取 证 。 A P T 溯 源 的 过 程 就 是 一 个 警 察 破 案 的 过 程 ， 警 察 怎 么 破 案 的 ， 我 们 做 安 全 的 就 怎 么 去 做 溯 源 分 析 ， 犯 罪 现 场 和 受 害 者 人 “ 尸 体 ” 是 所 有 重 大 刑 事 案 件 中 两 个 最 关 键 的 东 西 ， 一 切 的 一 切 都 是 需 要 证 据 的 ， 没 有 证 据 ， 利 用 什 么 数 据 来 扯 淡 ， 一 切 靠 猜 想 ， 是 没 有 任 何 意 义 的 。 如 果 一 个 人 跟 你 说 基 于 A I 技 术 、 大 数 据 技 术 ， 还 有 其 他 啥 技 术 ， 就 可 以 分 析 检 测 未 知 A P T 攻 击 ， 基 本 可 以 断 定 这 个 人 是 不 懂 A P T 的 ， 可 能 连 A P T 是 啥 都 不 知 道 ， 任 何 高 级 安 全 威 胁 事 件 的 溯 源 分 析 ， 都 不 能 仅 仅 依 靠 产 品 或 者 数 据 ， 实 战 经 验 丰 富 的 安 全 从 业 人 员 是 必 不 可 少 的 ， 只 有 这 些 经 验 丰 富 的 安 全 人 员 才 最 了 解 黑 客 ， 更 别 说 是 一 些 高 端 未 知 A P T 攻 击 了 。 总 结 总 结 未 来 网 络 安 全 事 件 ， 一 定 是 以 定 向 攻 击 为 主 的 ， 同 时 A P T 攻 击 手 法 也 一 定 为 成 为 未 来 安 全 攻 击 的 主 流 ， 通 过 A P T 攻 击 获 取 国 家 政 企 业 重 要 的 数 据 ， 并 长 期 对 国 家 政 企 业 进 行 监 控 ， 达 到 黑 客 组 织 攻 击 的 目 的 。 好 了 ， 就 写 到 这 里 了 吧 ， 真 正 深 入 研 究 并 理 解 安 全 的 人 ， 一 看 就 明 白 了 ， 看 不 懂 的 人 ， 也 没 办 法 ， 就 踏 踏 实 实 花 时 间 多 去 研 究 安 全 ， 提 升 一 下 自 己 的 安 全 能 力 和 对 安 全 的 理 解 ， 再 多 经 历 一 些 事 情 ， 经 历 多 了 自 然 就 明 白 了 ， 说 真 的 ， 虽 然 现 在 很 多 人 做 安 全 ， 但 并 不 是 每 个 做 安 全 的 人 都 懂 安 全 ， 也 并 不 是 每 个 做 A P T 研 究 的 人 都 懂 A P T ， 一 些 人 说 使 用 什 么 产 品 就 能 检 测 A P T ， 利 用 什 么 算 法 就 能 检 测 A P T 啥 的 ， 这 些 都 是 基 于 已 有 的 A P T 数 据 进 行 检 测 ， 真 正 的 未 知 A P T 攻 击 事 件 ， 基 于 现 在 这 些 已 知 的 数 据 肯 定 是 检 测 不 出 来 ， 不 管 你 用 什 么 算 法 ， 你 有 什 么 数 据 ， 基 本 都 没 用 ， 真 实 的 只 有 当 A P T 事 件 真 实 发 生 之 后 ， 有 某 些 异 常 产 生 ， 然 后 再 通 过 经 验 丰 富 的 安 全 研 究 人 员 基 于 这 些 异 常 所 在 的 环 境 对 异 常 进 行 跟 踪 溯 源 分 析 之 后 ， 确 认 为 A P T 攻 击 事 件 ， 再 快 速 应 响 ， 最 大 限 度 的 帮 助 客 户 减 少 因 为 A P T 攻 击 事 件 造 成 的 重 大 损 失 。 只 有 真 正 接 触 过 很 多 客 户 真 实 A P T 攻 击 案 例 ， 做 过 很 多 客 户 重 大 安 全 应 急 响 应 溯 源 分 析 ， 并 且 经 验 丰 富 的 基 础 安 全 研 究 人 员 才 是 发 现 A P T 攻 击 事 件 的 关 键 ， 这 是 一 种 非 常 强 的 安 全 分 析 研 究 能 力 ， 这 种 能 力 并 不 是 一 朝 一 夕 能 达 到 的 ， 需
要 经 过 长 时 间 的 训 练 ， 那 么 针 对 以 后 可 能 发 生 的 一 些 未 知 的 A P T 攻 击 事 件 ， 我 们 如 何 能 快 速 发 现 ， 以 及 我 们 现 在 能 做 什 么 呢 ？ 其 实 很 简 单 ， 就 是 不 断 的 积 累 安 全 分 析 与 研 究 经 验 ， 以 后 当 别 人 跟 你 讨 论 安 全 ， 或 者 跟 你 讨 论 A P T 的 时 候 ， 你 首 先 要 判 断 的 是 这 个 人 值 不 值 得 你 花 时 间 去 跟 他 深 度 的 探 讨 一 些 问 题 ， 如 果 大 家 都 不 在 一 个 层 次 ， 对 安 全 的 理 解 都 不 在 一 个 层 次 ， 点 到 为 止 即 可 ， 安 全 的 路 还 很 长 ， 不 管 未 来 时 代 怎 么 发 展 ， 不 管 平 台 如 何 变 化 ， 框 架 如 何 更 新 ， 概 念 如 何 炒 作 ， 安 全 问 题 总 是 会 一 直 存 在 ， 可 能 不 同 的 时 代 表 现 形 式 不 一 样 吧 了 ， 安 全 是 一 个 过 程 ， 并 不 是 开 发 个 什 么 新 平 台 ， 推 出 什 么 新 产 品 就 完 事 了 的 ， 是 需 要 长 期 的 运 营 的 ， 而 且 随 着 现 在 国 际 形 势 的 发 展 ， 未 来 这 种 定 向 有 目 的 未 知 的 黑 客 组 织 发 起 的 A P T 高 级 攻 击 事 件 在 国 与 国 ， 企 业 与 企 业 之 间 会 越 来 越 多 ， 安 全 发 展 的 这 么 多 年 ， 你 会 发 现 其 实 核 心 的 东 西 其 实 一 直 没 有 变 ， 做 为 一 名 安 全 从 业 人 员 ， 只 需 要 做 到 ： 坚 持 ， 不 忘 初 心 。 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-2-3 02:53 , Processed in 0.467173 second(s), 29 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表