高峰对话“火花四溅”| 360携众大咖齐聚2020“天府杯”漏洞攻防博弈论坛

如果说，广阔无垠的网络空间是一个大型博弈场。那么，漏洞则是攻击对垒之下的最强武器。正所谓，漏洞无处不在，攻击无孔不入。极具破坏性的漏洞“导弹”一旦被黑客所操纵，将瞬间解构整个“0”与“1”的网络世界，甚至现实世界的安危也将被撼动，其后果更是不堪设想。

着眼数字信息发展之当下，全球网络空间正面临前所未有的漏洞威胁挑战。鉴于此，11月8日，由360政企安全集团承办的2020天府杯国际网络安全大赛「“洞”悉实战视角下的漏洞攻防博弈分论坛」正式启幕，同时，一年一度的360安全应急响应中心（SRC）年度白帽颁奖盛典也火热来袭，以回馈一年来与360SRC平台并肩战斗的“幕后英雄们”。

360集团首席安全技术官&首席技术官郑文彬，国家密码管理局专家组专家、国家密码管理局商用密码检测中心安全顾问、成都商用密码技术研究院院长吴震教授，四川大学教授、Web攻防实验室负责人黄诚，四川大学安全研究员王丛双，系统架构师、数据安全架构师 TOGAF企业架构咨询师高守贵，北京红山瑞达科技有限公司创始人朱代祥，成都愚安科技安全专家程赛，360政企安全集团助理总裁、市场与品牌中心负责人卜思南，360集团信息安全中心负责人张睿，360政企安全集团市场与品牌中心ISC部总监吴妙然等嘉宾出席论坛。聚焦实战视角下的漏洞挖掘与攻击防御，共商解决方案，共谋合作之道。

技术篇：聚焦漏洞技术领航安全新征程

众所周知，芯片安全是网络空间安全的基石之一。芯片安全出现问题，网络难连接，雷达、通信恐遇瘫痪，机械设备也会失控。在本次论坛中，国家密码管理局专家组专家、国家密码管理局商用密码检测中心安全顾问、成都商用密码技术研究院院长吴震教授以“芯片物理攻击-Cache计时攻击篇”为主题，全面分析针对密码实现的计时攻击的Cache技术基础和Cache计时攻击的“熔断”与“幽灵”两大CPU漏洞攻击原理，并指出了一些关于芯片安全性的探索方向。

特别是在“熔断”、“幽灵”的分析上，吴震强调：“熔断的基本原理是乱序执行，几条指令放在一块，没有数据关联性可以并行执行，谁先谁后无所谓。同时执行会出现问题，肯定有非法指令。但是同时跑，跑完说是非法的才会打断。”而当这两个漏洞点在Cache计时中时，Cache则是透明的，无法直接读取的。这时，就可以利用Cache计时攻击，把所有用户进程刷一遍。而留在Cache里面的非法指令所对应的地址或者数组下标就是从远程访问地址反馈的内容。利用这种方法敏感信息就从乱序执行中成功被获取出来。

正所谓，网络安全无小事，小到芯片安全问题大到服务器安全皆不能忽视。鉴于此，成都愚安科技安全专家程赛带来以“自动化狩猎MSRPC与COM中的跨服务器交叉引用”为主题的演讲，主要介绍跨服务器交叉引用的场景以及针对自动化搜索方法——Metasm的Backtrack功能与其缺陷。程赛特别强调，寻找COM客户端调用是最具挑战的一部分，与RPC可以获得极其精确的结果不同。COM基本上用于解析进程类的IPID，通过这种方式来进行。这种方式的缺点就是依赖微软的符号，还有使用ETW，用于提供对每次调用的方法，一些参数的记录。截止目前开发COM的发展还在进行之中，程赛也表示愿意和各安全行业大咖一道，共探技术创新，为大安全保驾护航。

场景篇：穿透场景迷雾洞悉漏洞攻防奥义

伴随着数字化时代的演进，人类社会生活与网络世界紧密相连。网络技术的运用成为各类生活应用场景的“刚需”。至此，网安技术在应用场景的使用也变得尤为重要。

正如此次论坛中，四川大学教授、Web攻防实验室负责人黄诚，四川大学安全研究员王丛双就“办公网横向渗透中的攻防与对抗”这一话题展开深入探讨。所谓办公网横向渗透，就是在已经攻占部分内网主机的前提下，利用既有的资源尝试获取更多的凭据、更高的权限，进而达到控制整个内网、拥有最高权限、发动 APT攻击。而黄诚、王丛双也给出了办公网横向渗透中的攻防与对抗建议：横向移动检测中最有意义的，就是行为关系。使用不同时间周期来做行为建模，同时利用丰富的数据源，更精细的规则，可以建立更加全面的行为关系图；而利用更全面的攻击路径可以联合运营和告警关联降低误报。

除了办公场景下的网络安全问题外，此次「“洞”悉实战视角下的漏洞攻防博弈分论坛」更是将目光聚焦于开放式计算机环境中，特邀系统架构师、数据安全架构师 TOGAF企业架构咨询师高守贵就“开放式计算机环境下基于容器沙盒的安全攻防应用技术”这一话题展开精彩演讲。高守贵表说：传统架构通过防火墙这类安全架构，逐步向未来增强安全架构演进。特别是开放式计算机等应用场景的激增，这些架构也是随着安全需求不断深入，不断的发展。但是由于本身和应用程序之间还是有一个概念。应用程序如何与传统架构完美结合，才是关键。而通过构建物理层可信和网络可信基础上，构建一个安全的策略引擎，可以满足不同应用场景、合规性的要求。

不仅如此，伴随着5G、人工智能、区块链、物联网为代表的新技术的崛起，各类新场景，包括新基建、智慧城市、产业互联网等都为网络安全带来全新挑战。而透过不同场景，也需要具体问题具体分析，以寻求最佳安全解决之道。

核心篇：专注网安攻防内核——“人的漏洞”

纵观网安世界，至关重要的不是技术而是人。人自身网络安全意识的“漏洞”或将成为“安全最薄弱环节”。也就是说，网络技术矛与盾是永恒的游戏，而决胜的关键在于人的意识。

正如北京红山瑞达科技有限公司创始人朱代祥在此次论坛中所阐释的“网络安全中人的漏洞”这一主题。以网络安全意识现状为背景，充分证明人的漏洞是网络安全最大的威胁与挑战。朱代祥表示，在每个业务流程和信息系统中，人是最基本但也是不可预测的因素。而目前，利用“人的漏洞”，绕过层层安全技术防御手段，试图实现网络攻击的行为已屡见不鲜。无疑，只有形成理论化、标准化的网络安全意识评价的体系，建立“人力防火墙”这道安全之防线，才是网络安全防御的上上策。

网络博弈的战场上，除了培养人的安全意识外，更要鼓励为安全建设挥洒热血的“白帽战士”。在众安全专家“天府论道”后，360 SRC年度白帽颁奖盛典如期举行。360集团首席安全技术官&首席技术官郑文彬、360集团信息安全中心负责人张睿分别为最佳年度个人白帽奖、年度最佳团队颁奖，与安全行业人士一同见证白帽高光时刻！

360 SRC最佳年度个人白帽奖

360 SRC年度最佳团队奖

步入大安全时代，“漏洞”早已成为最具威胁的网络武器之一。不管是技术层面的安全漏洞，还是人为层面的“意识漏洞”都极有可能遭受着前所未有的安全挑战。一旦被黑客利用，人身安全、企业安全乃至政府、国家的安全都将面临巨大威胁。

正因如此，如何做好网络安全中的漏洞挖掘工作，如何全方位保障网络防御，如何奖励壮大安全白帽队伍，需要更多如“天府杯”这样为各大厂商、企业以及众多研究人员筑起交流探讨的平台。也只有各方协同联动，全面提升安全能力，方能建设更完善的网络安全新屏障，以应对网络安全大挑战。

来源 360政企安全