绿盟君的咖啡时间第四期：让我们来聊聊威胁捕获

吴铁军：五大实验室各有所长，但是伏影比较特殊。它代表着从绿盟科技2000年创立之初到现在，这种对抗内涵的积累、沉淀。而且是和真实的威胁，在赛博空间的包括技战术以及心理层面的博弈。

赛博空间中，攻击和威胁都是多变的。如果你依赖检测、发现 ，无论策略同步的多快，都要做好比威胁慢半拍的准备。在某些情况下，是致命的。如果你还要对抗，要反制，甚至是安全前置，就要搞清楚他们的意图，背后攻击团伙擅长的手法和工具、攻击特点等，才有可能实现。

吴铁军：敌已在内，即表示APT往往已经突破了网络边界的这些防护设备。它经常隐藏在常规的通讯协议中，使用0day 漏洞进行攻击，有成体系的社工组织配合进行前期的情报收集，目的明确，长周期的潜伏，最小化的暴露自己，这都是 APT 往往极具隐蔽性的重要原因。

可以说，APT 如果驻留在企业内网中，就是一个定时炸弹。

伏影捕获到新型威胁后，我们会追踪并复原整个攻击链，并以知识的形式，输出到绿盟科技的仿真平台。通过仿真靶场，客户可以更深入了解这些真实发生过的攻击行为，甚至是当前攻击团伙仍在广泛使用的高级攻击手段，结合到日常的对抗演练中，让包括技术、人和流程的安全体系能力能在近乎实战中得到验证。这种真实性不仅是攻击工具、攻击活动和攻击行为的真实性，还包括真实的攻击心理，那种压迫感的体验。

这种快速、具体的真实性，同时也是绿盟科技在威胁情报生产方面的有力保障。

吴铁军：伏影实验室诸如文章、报告的产出，我们十分注重传播的时效性，主要有三方面考量。一是本着对客户负责，让客户信赖的原则，第一时间通过各种渠道提醒绿盟科技的客户，尽力确保客户的安全性得到有效保障。二是和攻击者赛跑，在安全事件大规模发生前，提醒其它安全研究员，互相支持。三是出于维护绿盟科技自身技术品牌的考虑，在威胁发现和应对时效性方面，会有竞争。

网络安全对抗的本质是信息不对称情况下的攻防博弈。这种信息不对称可以通过共治生态在一定程度弥补。绿盟科技一直在其中积极的做着自己的贡献。比如说威胁分析报告、安全响应手册、以及通过绿盟科技技术博客、技术内刊等渠道发表的技术文章，这种技术给养，已经在潜移默化地影响着全行业的从业者。

吴铁军：威胁及其主体的识别、跟踪和捕获，是伏影实验室重要的三个能力。伏影试图通过识别表象的威胁行为，挖掘深层次的威胁意图，进而锁定这些攻击背后的团伙。掌握这些知识后，才可以谈得上对抗和反制，甚至是打击。

在威胁捕获方面，伏影的感知节点覆盖全球30余个国家和地区。以全端口模拟为基础，智能交互服务为辅的混合感知架构，紧跟全球漏洞态势，构造逼真的诱捕陷阱。目前，已捕获到的探测攻击超过亿万次，日攻击行为近上万次，高价值鲜活样本10万余。在威胁跟踪方面，目前已经上百个威胁家族在伏影的监控下，70%在跟踪过程中接收到过更新指令。其中日攻击可达4000余次，攻击总目标超过5万。