“撒旦”在人间.docVIP

“撒旦”在人间 　　曾经有某机关单位的计算机被黑客入侵，但黑客没有窃取价值重大的敏感信息，而是植入了挖矿程序。这件看起来有点好笑的事情，原因其实很简单――无关“盗亦有道”，只是攻击者根本不知道这是哪里的计算机。 　　对这一攻击方式，华顺信安CSO邓焕解读说，攻击者是得知了一个漏洞后，在全网进行搜索，然后攻击有这个漏洞的所有计算机，注入挖矿程序。这种情况下，他并不清楚攻击的是哪里的机器，也不关心，做好“薄利多销”就够了。 　　但对受攻击的企业和组织来说，这件事却一点也不好笑。新的漏洞被发现，黑客可能只需要几个小时就能发动攻击，这么短的时候很少有谁来得及打上相应的补丁。新的漏洞总是层出不穷的被发现，就像邓焕所说：“互联网只要开放，那么被黑是必然的。” 　　华顺信安是成立于2015年的一家网络安全公司，CEO赵武在黑客圈有一个响亮的名字“Zwell”;他开发的安全工具“Pangolin”在2009年的时候，全球日活数就达到了10万，后来他受邀加入了360，补天漏洞平台就是他的杰作。 　　从大学开始对技术着迷而走上了攻防之路的赵武见证了网络攻击的发展，从2000年前后蠕虫肆虐的黑客狂欢时代，到之后纷纷转向针对网站的脚本漏洞时代，再后来，大集成化的框架平台出现，如斯诺登事件，体系化的漏洞平台开始变成一种武器，MIRAI病毒颠覆性的将漏洞集成为自动化攻击平台，网络攻击从恶作剧、商业利益行为上升到了国家安全。 　　一个明显的变化是，发现一个漏洞越来越难，但其价值，或者说可以造成的危害却也越来越大。“现在一个漏洞卖上百万元太正常了。”赵武说，以前发现漏洞就无偿地“秀”出来――那个时代一去不复返了。 “撒旦”降临 　　在2009年?e办的全球黑客大会DEFCON上，黑客约翰?马瑟利发布了一款名为“Shodan”的搜索引擎，不久后就获得了“世界最可怕的搜索引擎”的称号。 　　Shodan可以搜索网络设备的信息，比如服务器、路由器、交换机、打印机、摄像头等，并根据其所属国家、操作系统、品牌等属性进行分类，而其危险性显而易见。某个漏洞被发现后，以前黑客需要对想要攻击的对象进行扫描，确认是否有这个漏洞。而现在，只要在Shodan搜索对应的软件或是设备，就能找到全网的结果，然后进行攻击，效率极大提升，也难怪会被翻译成“撒旦”（Shodan原是游戏《网络奇兵》中邪恶主机的名字）。 　　对黑客来说，这无疑是打开了新的思维。“他们原来会盯着某一个企业进行攻击，近两年越来越多的事件是针对通用的漏洞发动大规模的入侵，只要是受漏洞影响的资产都可能被入侵，然后数据遭到窃取。”邓焕提到，作为Shodan起源地的美国，不久前的选民数据泄露事件便和这个平台有关，而在全球引起恐慌的永恒之蓝，同样是针对Windows主机的漏洞进行大范围的勒索。 赵武 漏洞出来后，同样用网络测绘的技术且比黑客更快，在黑客进攻前就通知有漏洞的资产小心防护，和黑客打时间差对攻 　　赵武从2013年开始跟踪UpGuard的风险分析师克里斯?维克利，他曾经先后爆料过2017年共和党2亿选民数据泄露事件和墨西哥9300万选民数据泄露事件，甚至还有美国军方的数据泄露。“他的敏感性非常强，可以将全球的数据采集过去，有记者来采访，他拿着一个硬盘，里面储存了几个T的数据，包括公民、军队和商业公司的。”赵武曾专门为他写过专题，但其实维克利“黑遍天下”的技巧并不复杂，就是通过漏洞加搜索。 　　解释这类搜索引擎的原理并不复杂，其核心技术就是网络空间测绘。全球大概有42亿的IP，而网络空间测绘就是进行不间断地扫描然后记录，因此可以对搜索快速响应。“以前黑客想要了解一个漏洞影响全球多少数据资产是不可能的，但现在平台可以提供数据，比如只要几秒钟就能告诉你全球有多少摄像头。”赵武做过统计，这种模式下，从一个漏洞出现到黑客完成一次大规模攻击，只需要一个小时。 　　然而对企业来说，传统的安全体系难以跟上这样的速度，假如企业有10万台资产，漏洞扫描器扫描一台资产需要一个半小时，那么全部扫完就是一个季度。而由于漏洞是全新的，以前的防火墙和安全软件防不住，而黑客“广撒网多捕鱼”的攻击方式，企业早晚会有中招的时候。那时还在360企业安全的赵武，长期在一线研究攻防，他有了一个新的想法：既然防是防不住的，那只有打一个时间差，和黑客对攻。在漏洞出来之后，同样用网络测绘的技术，而且比黑客更快，在黑客进攻前就通知有漏洞的资产小心防护。 速度与安全 　　最初赵武在360企业安全做了一个Demo（原型），但那更多是属于部门使用的工具产品。“360太大了。”赵武告诉《IT经理世界》，网络安全有很多细分的领域，网络空间测绘只是其中之一。彼时360企业安全在产品方向上需要考虑收入，产品不但要市场清晰，更重要的是，需要有行业内的销售