低調潛伏鷹，高調保安全
責編：admin ｜2014-09-25 20:23:49我們非常熟悉僵尸網絡，說不準在座某些人家里的電腦就是肉雞，就是某個僵尸網絡中的一個節點。僵尸網絡在目前的狀態下會受到更多的青睞，可能會有更大范圍的普及。我們采訪過一些云服務商，他們特別關注，因為他們的公有云特別注重自己的安全，否則他們給客戶開一堆的虛擬機，有可能很快被黑客攻成肉雞。未來公有云的普及可能會給僵尸網絡帶來更大的生存空間。如何在未來的僵尸網絡環境中生存呢？
APT技術防御論壇的接下來，談的是APT的典型攻擊手法。獨立研究者、工程師潛伏鷹為大家講解了先進持久對抗條件下降時網絡的數據化生存。
潛伏鷹主要演講了在APT條件下，僵尸網絡如何利用數據挖掘及統計手段，使它的生存能力更高。
我國從1949年建國以來的主要防御方針是積極防御，僵尸網絡作為有效和有利的攻擊手段，我們可以把它種植到我國的法律和技術手段不能部署的地區，及時獲取敵方可能采取APT的策略。
僵尸網絡需要部署在前端的bot肉機，即所謂部署在VPS上的，也有路由器上的，只要需要監測和檢查的地方都需要部署。其次，我們的僵尸網絡需要安全、隱蔽、可靠的回傳。我們發現可以利用社交網絡，還可以利用DNS基礎設施。最后，這些信息傳遞到指控控制端。這就是我們見到的傳統僵尸網絡。這些的傳統僵尸網絡，不管是采用普通的殺蟲模式，都會遇到危險，而如何提升它的生存能力呢？
以美國為首的北約集團發起的棱鏡門，我們還采取過去的那種游擊隊手法，只有死亡。根據僵尸網絡使用的樣本和回聯信息，他們給我們畫了這么多的圈圈，我想其中部分圈圈是在座某些同志的，也有可能是國外的，我們都不希望自己的僵尸網絡上這個圈圈。
在去年的XCon上，潛伏鷹提出作為一種可靈活運用于資源搶占、輿論引導、逆命通信、隱蔽滲透等積極防御業務的僵尸網絡。美國人很多年前已經做到了這一點，他們的僵尸網絡不是單打獨斗的，希望我們的僵尸網絡可以合在一塊，團隊作戰。我們希望在使用僵尸網絡的時候不再是界面上的簡單的哪些僵尸回聯。我們希望僵尸網絡能夠用數字和數據手段，實現聯合作戰。
從業務的角度談一談目前僵尸網絡應用中廣泛存在的問題。
很多專家在國內外發了很多文章，也公布了很多樣本，我們看到更多的是先進的免殺、加殼、匿名的通訊手段。開發和使用的是兩批人，開發者并不一定會用，用的人又不了解如何將僵尸網絡很好的保護起來。一方面是在運維中，另一方面是在升級中，另一方面是應急處理中。我們制造了非常先進的僵尸網絡，使用以后很快死掉，痛心疾首不已。
先進的僵尸網絡就像先進的工具，需要成熟和有經驗的團隊去使用。很多團隊花了很多錢做了很多僵尸，死的很快，買的也很快。我們的人才隊伍不足，很多優秀的一線人員已經到了公司或者是出國，他們的豐富經驗不能留存下來。他們在多次對抗中獲得的各種方法也逐漸消失。這些問題怎么解決呢？
根據僵尸網絡全生命周期的運行，在什么時候用什么樣的漏洞或者是工具種植僵尸網絡。使用僵尸網絡的時候用哪一個跳板。面對某些目標和業務，上哪個方向、什么時間上。新版本的僵尸開發出來，新的免殺和協議出來，是不是第一時間部署到前沿去。
帶著這些問題，進入到第二環節，如何使用數據挖掘構建基于中小規模的態勢感知和輔助平臺。一個巨大的地球上放了很多點，這些點有時間亮，有時候黑，翻譯成常說的話是領導喜歡看閃一閃的東西。
我們理解僵尸網絡全生命周期的運維，時間、僵尸的運行環境、僵尸的位置、僵尸在生存和業務過程中使用的結果。我們的僵尸網絡應該成為成熟的工具，有必要把僵尸網絡的業務指揮、運維、內審、內控、數據分析分為四個團隊、四個模塊、四個系統，獨立控制使用。我想重點給大家介紹一下內審團隊。近幾年，僵尸網絡消失的非常快，很大原因就是先進的反僵尸網絡手段滲透到我們的僵尸網絡中，很多的虛假服務器和虛假證書滲透到僵尸控制節點，我們需要利用成熟的僵尸網絡集團對原有的僵尸網絡進行內審內控，即所謂的自我行為分析。
我們有四個數據來源和四套不同的系統，分別將數據進行綜合回傳進行統一的數據處理。依托這些數據可以完成僵尸生存狀態感知、僵尸對抗能力感知、全球對抗風險評估、僵尸網絡分析總體對抗預測，主要目的是為了實現僵尸網絡集群的協同業務自控和智能運維。
我們的僵尸網絡只采與僵尸網絡有關的。我們采目標的區域情況，包括用戶使用規律、安全素質、安全防護水平和信息網絡情況。我們還會采僵尸的種植方式的有效性、時間區域的有效性及不同版本的生存能力。我們可以按區域運用資源、按區域進行投放以及業務和升級管理方法。總體來說，將這些數據采集回來進行第一次處理，即所謂的特征提取。分成目標特征、木馬特征，將它數字化，引入到真正的工程。進行目標價值評估、防御模式的識別、敵方工作規律和防御規律的預測、基于關聯分析的輔助決策手段，最終目的是能夠集成、傳播和不斷增量學習的知識庫系統。
進行數據采集、單一化數據標識、同一數據格式，后面三個步驟需要專業的數據處理團隊，包括進行統計分析、數據融合、聚類、預測、關聯分析和異常檢測。最后使用經濟手段，通過樣本的增量不斷進行培訓，選擇出最優的反復使用的智能系統。
我們使用僵尸網絡進行數據化管控和數據化業務指揮。最簡單的，對僵尸網絡傳回的目標情況進行綜合判斷，分析出目標所屬區域的價值。基于僵尸網絡，通過回傳信息，對僵尸網絡使用的域名、博客、微博、僵尸帳號等等資源進行統計，分析出單個資源的可用性評估，找到最佳、最長時間可用的優質節點。通過僵尸網絡的運行業務計算，找出最適合僵尸此次投入使用的最佳的通信協議、最佳的回聯地址、最佳加密手段、最佳的配置文件手段。上一個是單個資源統計，下一個是集合資源統計，這決定了第三步采取何種策略。運維團隊可以根據傳輸結果分析出不同僵尸之間的相互連接關系，構建本地的僵尸網絡的拓撲架構圖。一般的社交網絡中會有自己的中級機群，也是敵對方的攻擊重點所在，我們要做到的是提前改變連接方式，使之無法實現單點失敗單點攻擊的效果。
我們根據全方防御能力圖的數據進行評判，預測對方的升級時間、升級區域和對方可能采取的埋設虛假代理服務器、主動攻擊等等策略，提前預測、布防，避免我們的僵尸受到高級滲透。
我們近年來看到國外用機器學習的方法，針對部分國家和部分團隊使用的僵尸網絡特點，如采用的0day傳播手段、樣本，構建了這樣的行為模式。為了提高我們僵尸網絡的隱蔽能力，有必要將我們的僵尸自行提取出來。
在反復的攻防對抗中，我們是攻擊方，也是防御方，我們也希望了解到對方的攻擊集團對我國僵尸網絡的主要攻擊手段、攻擊方法和資源調配。通過長期對其攻擊資源的分析，我們可以了解到對方的資源來源或者是位置來源，提前讓攻擊團隊進行分類處理，將其目標區域分析出來，避免投放過程中的錯誤。
我們的僵尸網絡運用不要再像過去一樣拍腦袋指揮，或者老經驗指揮，我們希望用現在的資源和智慧搭建最好、最智能、自動化運維的輔助決策系統，在輸入目標節點和資源的情況下，自動選出最佳的漏洞利用或者是僵尸類型，采取最佳的升級和業務策略，使得我們的僵尸在對抗過程中經久不衰。
人不犯我，我不犯人，人若犯我，我必犯人。我們是積極防御，除非人家打上門來，否則我們的僵尸網絡永遠是和平的。