腾讯安全对抗经验分享：数据逐步成为攻防G点#FreeTalk深圳站

　　在12月20日进行的FreeTalk深圳站活动上，腾讯安全专家 江虎（xti9er）已与小伙伴们分享了议题《网络军备竞赛》，小编在此对演讲精华内容做出整理，各位一睹为快。

　　数据匮乏导致对抗困境

　　恐惧来源于未知，从目前来看我们对于漏洞和入侵事件应急响应的困境就在于对攻击者攻击手法，攻击途径的未知。

　　当我们在受到攻击时，攻击者来自哪里？攻击所造成的影响有多大？攻击的范围是怎样的？这些都是当前亟待解决的问题。

　　数据分析驱动攻击方式

　　在很多网络安全事件中攻击者首先会收集大量元数据，然后再通过收集到的数据对整个网络架构的缺陷以及服务器的数据进行分析，并最终通过利用缺陷，抓取数据进行攻击。

　　在我们的生活中也不乏这样的例子。日常生活中入住酒店时的房卡（NFC卡）拥有一个全球唯一标识的四字节序列号，就是这样一个不起眼的房卡，当我们通过大量收集其序列号加以利用，就可以很清晰的利用该序列号对任何人的住址进行查询。

　　除了一般定义中的攻击者，还有另一类攻击者——攻击系统。目前比较常见的攻击系统有Zoomeye/Fofa/Shodan  前两种为国内的攻击系统，后一种为国外的。

　　攻击系统会对全世界的网站、网络进行持续的扫描，并对网站的版本信息，网络的架构，以及服务器开放的端口、服务甚至包括漏洞等全部进行记录。

　　通过这一方式，许多网站、系统的弱点，网络架构的缺陷，就会很清晰的暴漏出来，你的网络将没有任何遮羞布，即使你的网站现在未被攻击，网站的缺陷也已经一目了然，一旦出现漏洞，攻击者就可以第一时间发动攻击，这种方式也被称为全民APT。（APT： 高级持续性威胁。是指组织(特别是政府)或者小团体利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式。）

　　通过对攻击者们的分析得出，它们具有完备的风险数据、最新的攻击手法、自动化的攻击平台、零时差响应等优势.。

　　另外对于安全人员来说，数据运营只是一种手段，解决安全风险，得出定性结论才是目标。

　　腾讯在数据分析方面的实践

　　在腾讯的实际入侵对抗工作中，有两点十分重要：一是安全运营以我为主，即搞清楚自身的风险并进行加固，二是技术对抗要紧跟趋势，即做好漏洞攻击行为和入侵行为的检测。

　　另外在实际的入侵对抗工作中，对于攻击手法、扩散范围、攻击途径、追溯定损这四个方面的数据收集十分重要，这也是作为一个安全团队的优势关键所在。

　　在安全团队与攻击者们的竞争中，数据是十分重要的，风险感知的识别以及入侵的检测都离不开数据的支撑，而平台要想做到快速响应并且快速的分析风险更是离不开数据的及时性和完备性。