17世纪中叶，，，，，，，法国路易十四的军队中首先出现了照拂长这一职务，，，，，，，重要掌管网络、把握与军事工作有关的谍报，，，，，，，为军事行动提供领导。。。。。。。。

    随着战争烈度的不休加大，，，，，，，军事谍报的网络与研判工作变得愈加沉要，，，，，，，照拂长一职在世界列国的军队中盛行开来。。。。。。。。

    说起照拂长，，，，，，，让所有中国人印象最为深刻的，，，，，，，应该非左权莫属了。。。。。。。。

    1942年5月，，，，，，，时任八路军副总照拂长的左权，，，，，，，在指挥队列得救的过程中不幸中弹就义，，，，，，，年仅37岁，，，，，，，是抗日战争中八路军就义的第一流此外将领。。。。。。。。

    为留想左权将军，，，，，，，原山西辽县也因而改名为左权县。。。。。。。。

    作者刘白羽在文章中说：“左权同道简直是个最忙乱的人，，，，，，，除了沉大的事由朱德总司令、彭德怀副总司令决定之表，，，，，，，通常的工作都由他来处置。。。。。。。。他的军事理论修养、作战经验、指挥能力，，，，，，，都是我们队列照拂工作中不成多得的人才。。。。。。。。”

    由此可见，，，，，，，一位优良的照拂长辅导的照拂工作，，，，，，，对于一支队列有多么沉要。。。。。。。。

    刚好就在前不久，，，，，，，红（防守方）蓝（攻击方）双方进行了一场轰轰烈烈的实战攻防演习。。。。。。。。在照拂长的统一指挥下，，，，，，，红方总参某部里的四位“照拂”可谓是八仙过海各显神通。。。。。。。。

    只不外这场实战演习，，，，，，，产生在赛博空间。。。。。。。。

    01

    攻击者谍报照拂——白泽平台

    与通例战争分歧的是，，，，，，，通例战争的敌手看得见摸得着，，，，，，，所以谍报工作能够很有针对性；；；；；；；赛博空间可不一样，，，，，，，敌手是谁、长啥样、来自哪里、实力若何，，，，，，，这些统统都不知路。。。。。。。。

    不把握这些情况，，，，，，，防守方很难从若干个告警中，，，，，，，正确判断背后的真实意图，，，，，，，也就不好针对性安插下一步应对措施。。。。。。。。

    同样一个攻击作为，，，，，，，其背后的攻击者很可能各怀鬼胎。。。。。。。。

    例如一个勒索组织，，，，，，，他们的重要主张很可能是通过勒索病毒来勒索金钱；；；；；；；一个有政治布景的谍报组织，，，，，，，则很可能为了窃取敏感数据；；；；；；；而一个安全厂商的白帽子，，，，，，，则可能重要是为了进行安全测试；；；；；；；甚至部门齐全正常的行为，，，，，，，也会在某些特定场景下，，，，，，，触发检测设备的告警规定。。。。。。。。

    这给防守方带来了巨大的研判压力。。。。。。。。

    为了能更正确判断攻击者背后的真实能力和意图，，，，，，，作为专门钻研攻击者谍报的照拂，，，，，，，白泽平台必须可能对攻击者进行全面、持久地跟踪。。。。。。。。

    好在ca88登陆平台的探针助了大忙，，，，，，，它们就像是网络空间的窥伺员一样，，，，，，，被部署在了大大幼幼数十万个互联网利用及蜜罐节点上，，，，，，，可能从每天数亿的数据量中，，，，，，，获取超过10万条攻击者信息。。。。。。。。

    这些信息具体纪录了攻击者在历次攻击中，，，，，，，使用了哪些IP、哪些样本、哪些缝隙等等，，，，，，，甚至十多年前的谍报都能被检索到。。。。。。。。

    有了这样一个丰硕的攻击者谍报库，，，，，，，白泽就能够跳出行为之表，，，，，，，直达网线那头的威胁主体——到底是人畜无害的白帽子，，，，，，，还是穷凶极恶的网络犯罪团伙。。。。。。。。

    为此，，，，，，，白泽平台专门设计了一套研判逻辑：检测设备掌管分析威胁行为产生告警，，，，，，，白泽平台则将这些告警网络起来后，，，，，，，天生一条条事务，，，，，，，同时基于自身数据库对这些事务进行攻击者分析，，，，，，，并将最终分析了局输出。。。。。。。。

    在本次实战攻防演习中，，，，，，，白泽平台立了大功。。。。。。。。

    攻防演习期间，，，，，，，ca88登陆平台检测设备屡次捕获到来自统一IP地址段的高频度攻击。。。。。。。。

    经初步研判，，，，，，，该IP地址段并没有呈此刻象征过的攻击IP中。。。。。。。。

    显然，，，，，，，这个IP地址段是新出现的。。。。。。。。

    但仔细的分析师通过白泽平台对背后的攻击者分析时发现，，，，，，，在数万个告警IP中，，，，，，，其中少量攻击IP的同源资产，，，，，，，在演习起头后就出现了针对防守方的攻击行为，，，，，，，并被象征为演习攻击队。。。。。。。。

    显然，，，，，，，这是一伙人使用分歧IP地址针对分歧指标的一系列攻击行为。。。。。。。。

    在获取该谍报后，，，，，，，某企业驻场分析师利用NGSOC（态势感知与安全运营平台）对该IP地址进行回溯，，，，，，，发显熹中一个IP地址曾向该企业发过一封以求职简历为主题的邮件。。。。。。。。

    经验通知分析师，，，，，，，特点的功夫来自特定的IP，，，，，，，这封邮件十之八九有问题。。。。。。。。

    但令人意表的是，，，，，，，通例的安全检测伎俩，，，，，，，并没有发现异常。。。。。。。。

    出于对邮件内容的疑惑，，，，，，，分析师再次对邮件附件进行了深度分析。。。。。。。。

    不出所料，，，，，，，这份附件是攻击者利用某办公软件0day缝隙，，，，，，，可能让用户在特定情况下打开附件时，，，，，，，悄无声息地下载预先编写好的木马。。。。。。。。

    因而乎，，，，，，，这封邮件立马在企业内部被节造了起来，，，，，，，并没有造成企业内部机械的大量习染。。。。。。。。

    02

    设备谍报照拂——补天缝隙响应平台

    除了针对攻击者自身表，，，，，，，网络攻击者可能会使用什么设备的谍报也至关沉要，，，，，，，这样就能够针对性的研发一些克造敌手的设备。。。。。。。。

    毫无疑难，，，，，，，缝隙就是攻击者手中最犀利的进攻兵器。。。。。。。。尤其是0day缝隙，，，，，，，若是使用切当，，，，，，，他们能够达到任何他们想达到的处所。。。。。。。。

    为了克造缝隙，，，，，，，美国当局可谓是不遗余力：就在前几天曝出的《2023财年国防授权法案》划定，，，，，，，对于新签和现有当局合同，，，，，，，软件供给商应保障“提交软件物料清单中列出的所有项目，，，，，，，均不存在影响最终产品或服务安全性的已知缝隙或缺点，，，，，，，并给出证明。。。。。。。。

    只管该项法案已通过了多议院审议，，，，，，，但在安全圈却鼓受品评：固然启程点是好的，，，，，，，但在现实过程中却很难执行，，，，，，，没有任何一家厂商能确保自己的产品不蕴含任何已知缝隙。。。。。。。。

    所以，，，，，，，该项法案也给出了肯定的回旋余地：若是厂商可能给出建复或者缓解的步骤，，，，，，，则采购能够持续进行。。。。。。。。

    这些步骤就是防守方对付缝隙攻击最有效的兵器。。。。。。。。

    当然，，，，，，，想要找到建复或者缓解步骤的前提，，，，，，，就是知路缝隙到底在哪，，，，，，，而这正是补天平台最善于的事件。。。。。。。。

    白帽子能够把挖到的缝隙提交到补天平台上，，，，，，，补天平台再凭据缝隙评级，，，，，，，赐与白帽子肯定的现金嘉奖，，，，，，，并把缝隙提交给对应的机构，，，，，，，协助他们实现建复。。。。。。。。

    凭据补天平台官网的最新数据显示，，，，，，，目前平台已经汇集了超过十万名白帽子，，，，，，，累计向上级监管单元和有关组织报送缝隙超过九十万枚，，，，，，，为超过六千家入驻企业提供了缝隙SRC、渗入测试等有关服务。。。。。。。。

    有人测算了一下，，，，，，，经由补天报送的缝隙，，，，，，，企业缝隙均匀空窗期降低了约90%，，，，，，，为接下来的缝隙建复，，，，，，，预留了充足的功夫。。。。。。。。

    补天平台的使命还不止于此，，，，，，，他们但愿有着更多身怀绝技的白帽子，，，，，，，可能参加到这项伟大的事业中，，，，，，，并且可能在平台上不休成长。。。。。。。。

    校园专项、攻防社区、白帽沙龙、白帽大会……补天为白帽子打造了一个接着一个的进建场所，，，，，，，让“菜鸟”能够随着“老鸟”一路飞。。。。。。。。

    这些为网络安全带头冲锋的的人，，，，，，，也在补天平台上获得了一个亲切的称号——带头大哥。。。。。。。。

    在实战攻防演习期间，，，，，，，带头大哥们在补天平台上也是“大杀四方”，，，，，，，提交了不少缝隙，，，，，，，为领导防守方进行缝隙防护，，，，，，，作出了巨大贡献。。。。。。。。

    补天运营的ca88登陆平台攻防社区截图

    03

    作战谍报照拂——Alpha威胁分析平台

    好几年前，，，，，，，驰名安全厂商卡巴斯基已经颁布了一份网络安全应急响应指南，，，，，，，其中明确指出，，，，，，，IOC是触发应急响应流程的最主题起源，，，，，，，没有之一。。。。。。。。

    IOC作为最常见、利用最宽泛的威胁谍报，，，，，，，全称IndicatorsofCompromise，，，，，，，中文翻译为失陷批示器，，，，，，，这也就是说一旦和IOC匹配，，，，，，，就意味着已经有机械失陷了，，，，，，，组织必然会启动应急响应流程——针对攻击方的一系列反造作战行动。。。。。。。。

    好比当你发现一台办公电脑频仍和一个攻击IP产生通讯，，，，，，，那很可能就代表该电脑已经被攻击者节造了，，，，，，，必要实时将其隔离起来，，，，，，，预防批量习染其他电脑。。。。。。。。

    从这一点来看，，，，，，，IOC类的威胁谍报正确展示了敌手的攻击起源、重要攻击指标等攻击态势。。。。。。。。

    在ca88登陆平台提出的威胁谍报金字塔模型中，，，，，，，IOC位于最下面两层，，，，，，，重要蕴含攻击者使用的恶意文件、IP地址、域名等。。。。。。。。

    威胁谍报金字塔模型

    把所有这些谍报整合到一个平台上，，，，，，，并依照肯定的规定进行关联分析，，，，，，，这正是Alpha威胁分析平台一向在做的事件。。。。。。。。

    该平台汇集了全球数百个威胁谍报源和ca88登陆平台多个安全钻研团队的网络攻击事务发现、跟踪成就，，，，，，，为威胁发现、反造作战提供谍报凭据。。。。。。。。

    任何干于攻击者的蛛丝马迹，，，，，，，都能够在Alpha平台上进行查问，，，，，，，并通过不休的关联拓展，，，，，，，形成一条齐全的谍报链条。。。。。。。。

    当分析师发现一个可疑样本之后，，，，，，，很或许率可能通过DNS解析纪录，，，，，，，追踪到该软件表连的域名，，，，，，，再通过检索到的域名注册信息，，，，，，，进一步关联到其他有关的域名，，，，，，，而这些有关的域名又能够通过DNS解析信息，，，，，，，追踪到更多尚未被捕获的恶意软件……最终将所有攻击活动查个真相毕露。。。。。。。。

    举个极度形象的例子：当你发现一张桌子的时辰，，，，，，，你能够通过技术伎俩找到这张桌子的主人是谁；；；；；；；再通过询问主人，，，，，，，发现他不仅有其他桌子，，，，，，，还有不少椅子，，，，，，，并且这些桌子和椅子都有谁用过。。。。。。。。

    找到了这些信息之后呢？？？？？？敌军的动向都摆在这里了，，，，，，，该包抄包抄，，，，，，，该打援打援，，，，，，，全军出击就完事了。。。。。。。。

    04

    反特谍报照拂——猎鹰平台

    除了正面匹敌之表，，，，，，，防守方还要随时不安对方渗入进来的“特工”，，，，，，，预防攻击者通过终端的防御幽微点或利用人道的弱点用垂钓、社工等方式攻下终端打入企业内部，，，，，，，而后再以此内网终端为跳板直捣指标系统。。。。。。。。

    多所周知，，，，，，，特工是最善于假装自己的。。。。。。。。在电视剧《风筝》里，，，，，，，国共双方的高级奸细影子微风筝，，，，，，，各自埋伏在对方堡垒数十年之久，，，，，，，穷尽半生才最终发现了对方的真实身份。。。。。。。。

    在攻防演练和黑客攻击中，，，，，，，攻击者构建的攻击工具和恶意代码肯定是过杀软免杀的，，，，，，，通常的防病毒产品还真发现不了。。。。。。。。告警？？？？？？不存在的。。。。。。。。

    更让人头疼的是，，，，，，，不少参与攻防演习的单元，，，，，，，动辄拥罕见万甚至十数万台办公终端，，，，，，，总有一些防护相对幽微的直接露出在互联网上。。。。。。。。

    因而，，，，，，，“特工”能够从容选择幽微点进行渗入，，，，，，，而后以此为跳板去往想要达到的地位。。。。。。。。想要第一功夫在这么大领域内把他找出来，，，，，，，是一件极度难题的事件。。。。。。。。

    但是狐狸终于会漏出尾巴，，，，，，，就看猎人的本事是不是足够精路。。。。。。。。

    猎鹰平台就是来解决这个问题的：所有终端上的行为日志都能够接入到猎鹰平台上，，，，，，，结合多维度的分析模型进行智能研判，，，，，，，最终输出一条条安全事务，，，，，，，也就是什么功夫、在哪台终端上、都有什么特工干了什么可疑的事件。。。。。。。。

    猎鹰这个名字，，，，，，，听起来就很犀利。。。。。。。。并且它和老鹰也有着共通点：眼睛出格暴虐，，，，，，，别人看不外来的日志，，，，，，，我来看我来分析。。。。。。。。

    据统计，，，，，，，整个攻防演习期间，，，，，，，仅ca88登陆平台天擎终端安全治理系统接入猎鹰平台的日志量，，，，，，，均匀每天就超过了200亿条，，，，，，，峰值更是突破了300亿条。。。。。。。。

    如此海量的终端日志，，，，，，，猎鹰平台仍旧维持了安稳高速运行，，，，，，，而运维人员也不外寥寥数人。。。。。。。。当然猎鹰也不负多望，，，，，，，两周的攻防演习，，，，，，，猎鹰总共抓到了超过500名“特工”，，，，，，，没有一个是被冤枉的。。。。。。。。

    猎鹰平台已经在后盾默默服务了近1年，，，，，，，发现了1151起攻击事务并援手客户溯源了315起安全事务。。。。。。。。目前猎鹰平台还只接入了天擎自动防御和六合引擎的行为日志，，，，，，，所以其承担的重要工作还是清除潜藏在终端上的特工。。。。。。。。随着接入的数据越来越多，，，，，，，猎鹰平台的舞台也会越来越宽大。。。。。。。。

    05

    “无处不在”的照拂长

    至此，，，，，，，ca88登陆平台防守队总照拂部四大照拂已悉数亮相。。。。。。。。有人会有疑难，，，，，，，照拂长是谁呢？？？？？？

    其实，，，，，，，照拂长无处不在。。。。。。。。任何精明的安全设备，，，，，，，都离不开优良的安全专家，，，，，，，网络攻防最终还是人与人之间的较量。。。。。。。。

    所以，，，，，，，优良的安全分析师步崆总照拂部的照拂长。。。。。。。。