酷应用

绿盟在现场|不能错过的安全界奥斯卡——Blackhat2017

百家作者：绿盟科技 2017-07-28 09:24:22

一年一度的安全界顶级盛会——Blackhat2017——在拉斯维加斯如火如荼得进行着，各路安全界大咖都卯足精神，给世界展示着异彩纷呈的神兵利器。绿盟科技作为受邀嘉宾，也见证了这场盛事。下面我们就来看看绿盟科技首席技术官——赵粮博士在现场发回的第一手新鲜资讯吧！

扣篮诚可贵，盖帽价更高：行业应更加重视安全“基本功”

在过去的几年时间里，APT高级持续威胁和零日攻击、高精尖的各种PWN破解大赛占据了很多媒体的头版，眼球和掌声被新漏洞挖掘、未知威胁发现等不客气的统统收编。但是另一方面，各种数据表明，企业和组织中的绝大部分安全事件来自于账号口令补丁等传统项目，数以亿计的恶意软件背后的利用却集中在每年十几个顶多几十个已知漏洞上面。刚刚出炉的绿盟科技安全观察报告也以真实的监测数据印证了这个事实。这不能不给业者带来深深的思考。

Facebook的首席安全官Alex在他的演讲中展示了下面这个金字塔图，并强烈呼吁行业更加重视“基本功”，把焦点从0-day和定向攻击扩展到金字塔的中部和底部。呼吁安全团队，包括安全提供商的团队，承担起更为广泛的安全责任，关注并解决各种最为基本的滥用、误用，以更为有效、高效的技术手段为用户创造真正安全易用的应用和互联网环境，而不是指责或抱怨用户缺少安全意识，不遵守安全规则，不会保护自己等等。

在攻守之间，Alex认为攻方更为技术导向，只要技术上“一击而中”就高奏凯歌，而守方则需要考虑宽广的防护正面、平衡技术、资金、人力资源以及各种政治和冲突等。演讲中，Alex提醒安全研究者不要因为发现了开发者的漏洞而轻视、蔑视开发者，洋洋自得，真正的安全研究者应该是发现问题并且帮助开发者解决问题，使应用更安全。Alex提到多样性的团队、多样性的思考、多样性的背景等会帮助守方更为全面的思考、规划、设计、建设防护体系，有助于提高用户体验和真实的安全水平。

Alex呼吁业界更加重视守方的研究和提高，号召社区和商业组织加强协作。为此，Facebook参与设立了互联网防御奖金（Internet Defense Prize），奖励为互联网和共享软件等的安全防护提升作出贡献的研究者。

让互联网更安全是我们每个安全业者的使命，如何以更为有效、高效的方式来解决这些看似传统、基本、重复甚至乏味的“功课”、让安全变得更易用、消除天天发生在用户身边的威胁，和高精尖的破解同样“激动人心”，充满挑战，充满机遇。

兵者，诡道也——安全实践中的攻防博弈

兵者，诡道也！但，如何“诡”呢？道又在哪里？攻防双方是理性的，还是非理性的？是零和的、副和的、还是可以共赢的？今天美女演讲者Kelly分享了她对博弈论在安全实践中应用的研究。

尝试引入博弈论到网络安全理论和实践中已有多年的努力，但应该说并不成功。Kelly认为博弈论著名的纳什均衡基于先验推理，假定了博弈多方是理性独立决策人，相互了解，但这些假设在网络安全实践中并不成立。 Kelly总结网络安全具有以下特点：永无停歇、非零和、博弈方之间信息不完备、不完美、非对称，并且博弈方之间行动有顺序和动态的特点。考虑到上述特点，尝试用对方的视角审视自身的态势、预测对方的行动计划从而决策自己的行动计划是正确而理性的做法。

对于守方来说，思考攻击者会优先从那里绕过防守、对此针对性动作是什么、实施攻击的成本有多高、实施攻击的概率有多高…. 一般来说，可以假设攻方总是会选取成本最低的攻击路径。重复递归上述动作，可以做出攻击路径图示例如下。