咖啡时间第四期：让我们来聊聊威胁捕获
2020-08-27
用一杯咖啡的时间，聊聊安全那些事儿
“bbin宝盈集团君的咖啡时间”作为bbin宝盈集团科技首个访谈类节目，我们的初衷是借由访谈的形式，从专业的视角，用浅显易懂的语言，去挖掘、碰撞出那些未曾曝光但又极具特色的内容。
之前的三期，我们聊了安服中的关键先生，聊了烈鹰战队，还聊了如何安全地拥抱云。第四期，我们决定把镜头转向bbin宝盈集团科技的五大实验室。“对抗”是bbin宝盈集团科技基因。本期，我们邀请到五大实验室中最贴近这一根源的伏影实验室负责人吴铁军，从审视威胁的角度，以威胁捕获为话题，和我们聊聊他们的看家本领。
关于伏影实验室：
伏影实验室专注于安全威胁研究与监测技术，包括但不限于威胁识别技术，威胁跟踪技术，威胁捕获技术，威胁主体识别技术。研究目标包括：僵尸网络威胁，DDoS对抗，Web对抗，流行服务系统脆弱利用威胁、身份认证威胁，数字资产威胁，黑色产业威胁及新兴威胁。通过掌控现网威胁来识别风险，缓解威胁伤害，为威胁对抗提供决策支撑。
//拒绝剧透，请直接跳转到哔哩哔哩，一键三连后观看完整视频。
//视频BV号：1CT4y1w7qd
//提示：结尾有彩蛋~
伏影实验室大揭秘！
伏影，伏即降伏，影则指互联网中的暗黑势力。取意发现、追踪、对抗网络中瞬息万变暗黑力量。
直指互联网黑暗势力的伏影实验室，有哪些不为人知的秘密？
秘密1：不只关注攻击 更关注行为背后的意图及团伙
吴铁军：五大实验室各有所长，但是伏影比较特殊。它代表着从bbin宝盈集团科技2000年创立之初到现在，这种对抗内涵的积累、沉淀。而且是和真实的威胁，在赛博空间的包括技战术以及心理层面的博弈。
赛博空间中，攻击和威胁都是多变的。如果你依赖检测、发现 ，无论策略同步的多快，都要做好比威胁慢半拍的准备。在某些情况下，是致命的。如果你还要对抗，要反制，甚至是安全前置，就要搞清楚他们的意图，背后攻击团伙擅长的手法和工具、攻击特点等，才有可能实现。
秘密2：APT捕获后 难点和价值在于第一时间完整的复原
吴铁军：敌已在内，即表示APT往往已经突破了网络边界的这些防护设备。它经常隐藏在常规的通讯协议中，使用0day 漏洞进行攻击，有成体系的社工组织配合进行前期的情报收集，目的明确，长周期的潜伏，最小化的暴露自己，这都是 APT 往往极具隐蔽性的重要原因。
可以说，APT 如果驻留在企业内网中，就是一个定时炸弹。
伏影捕获到新型威胁后，我们会追踪并复原整个攻击链，并以知识的形式，输出到bbin宝盈集团的仿真平台。通过仿真靶场，客户可以更深入了解这些真实发生过的攻击行为，甚至是当前攻击团伙仍在广泛使用的高级攻击手段，结合到日常的对抗演练中，让包括技术、人和流程的安全体系能力能在近乎实战中得到验证。这种真实性不仅是攻击工具、攻击活动和攻击行为的真实性，还包括真实的攻击心理，那种压迫感的体验。
这种快速、具体的真实性，同时也是bbin宝盈集团科技在威胁情报生产方面的有力保障。
秘密3：重视客户利益 也重视分享的价值
吴铁军：伏影实验室诸如文章、报告的产出，我们十分注重传播的时效性，主要有三方面考量。一是本着对客户负责，让客户信赖的原则，第一时间通过各种渠道提醒bbin宝盈集团的客户，尽力确保客户的安全性得到有效保障。二是和攻击者赛跑，在安全事件大规模发生前，提醒其它安全研究员，互相支持。三是出于维护bbin宝盈集团科技自身技术品牌的考虑，在威胁发现和应对时效性方面，会有竞争。
网络安全对抗的本质是信息不对称情况下的攻防博弈。这种信息不对称可以通过共治生态在一定程度弥补。bbin宝盈集团科技一直在其中积极的做着自己的贡献。比如说威胁分析报告、安全响应手册、以及通过bbin宝盈集团科技技术博客、技术内刊等渠道发表的技术文章，这种技术给养，已经在潜移默化地影响着全行业的从业者。
秘密4：真实对抗中形成并验证的伏影之力
吴铁军：威胁及其主体的识别、跟踪和捕获，是伏影实验室重要的三个能力。伏影试图通过识别表象的威胁行为，挖掘深层次的威胁意图，进而锁定这些攻击背后的团伙。掌握这些知识后，才可以谈得上对抗和反制，甚至是打击。
在威胁捕获方面，伏影的感知节点覆盖全球30余个国家和地区。以全端口模拟为基础，智能交互服务为辅的混合感知架构，紧跟全球漏洞态势，构造逼真的诱捕陷阱。目前，已捕获到的探测攻击超过亿万次，日攻击行为近上万次，高价值鲜活样本10万余。在威胁跟踪方面，目前已经上百个威胁家族在伏影的监控下，70%在跟踪过程中接收到过更新指令。其中日攻击可达4000余次，攻击总目标超过5万。
“伏影实验室是一个有激情、有梦想、有内涵，敢于挑战的安全技术团队。我们不拘一格，欢迎各类人才的加入，一起奋战，一起成长。”
——吴铁军
这样的伏影，会有人不想参与其中，亲身体会这种在赛博空间真实对抗中充斥的激情与挑战？
