安全分析与研究

专注于全球恶意软件的分析与研究

红队和蓝队的兄弟们都辛苦了，趁夜深人静的时候写了一点东西，算是一点心得与体会，谈谈安全对抗的本质，仅供大家参考。

今年的活动，笔者和去年一样，镇守公司，运筹帷幄之中，决胜千里之外，记得去年笔者写过一篇文章《攻防演练后的一点随记》，里面有段内容，如下：

今年笔者团队的工作与去年基本一致，主要处理各个兄弟团队和各渠道提交过来的样本以及一些应急响应分析溯源的工作，笔者团队需要对样本进行快速的分析输出分析报告，因为样本太过集中，量也比较大，不可能每个样本都人工分析，那样效率太低，而且太浪费资源和时间成本了，而且笔者预测今年的样本肯定比去年更多，而且技术手段会更高，我们需要留出时间和精力去应对那些高极复杂对抗型的样本，普通样本我们需要自动化处理帮我们节省时间。

为了提升团队的整体分析效率，也基于上面的需求点，笔者团队从去年就开始进行自研沙箱的开发与研究工作，主要工作就是基于开源沙箱，进行二次的开发，再增加一些样本反调试反沙箱以及样本威胁情报提取关联等功能，同时在原有沙箱的基础之上，增加了样本定制化分析报告的快速产出能力，通过攻防演练实战很好的验证沙箱自动化分析和产出能力，团队的分析效率获得了客户以及兄弟团队的大力认可，对于一些对抗型沙箱解决不了的样本，再去人工详细分析，整体而言今年团队的整体分析效率以及应急响应的能力又进步了不少，人力成本大幅度降低，沙箱能力也在平时不断分析样本的过程中相比去年年初搭建起来的时候也提升了不少，一些无法使用沙箱分析的样本，在经过专业的分析人员人工分析之后，能迅速将分析能力赋能到咱们自研沙箱上面，可以极大的提升了沙箱的自动化分析能力。

沙箱是安全分析团队最重要的工具之一，同时安全分析能力也是一家专业安全公司最核心能力之一，分析能力是解决问题的关键，沙箱能快速生产样本威胁情报，能自动化关联，提升团队的安全分析效率，使大部分简单的样本能迅速通过沙箱输出威胁情报以及分析报告，提供给需要的客户，可以满足一部分客户的基本需求，对于一些沙箱跑不出来的高端样本，需要安全分析人员对样本进行分析找到具体原因，再将相应的分析能力赋能给沙箱，不断提升沙箱的能力，但是也并不是所有的样本，沙箱都能解决，对于一些高端复杂攻击活动的样本，基本只能通过安全分析人员人工进行详细分析再产出报告，这类分析报告也是成本最高的，同时也是价值最高的，可能并不是每个客户都需要，只针对有高端需求的客户进行输出，经过笔者团队人员对沙箱的持续改进和运营，大部分普通样本都可以通过沙箱快速输出相关的威胁情报以及分析报告，从拿到样本到输出报告只要几分钟的时候不到，还可以制定化报告的相关内容，通过沙箱的自动化输出及时有效的反馈给客户，获取客户的认可，同时也减少专业安全分析人员的工作量，在真实的黑客攻击活动当中，专业的安全分析人员需要给客户提供样本的更详细分析报告，里面包含：样本的攻击技术、免杀技术、感染传播技术、漏洞详情、样本家族及黑客组织关联信息等，同时还需要提供样本的清除、检测、防御解决方案等，这就需要专业的安全分析人员进行详细分析了。

沙箱不是什么高深莫测的东西，更不是什么新鲜的玩意，都十几年前的东西了，记得笔者十几年前在某杀毒安全公司工作的时候，就已经有专门的团队在研发沙箱，然而几年之后就没有专业的人去维护了，逐渐也就消失了，国外很多专业的安全公司都有自己的沙箱，这些沙箱有些可能已经持续运营了十几年了，其中比较有名的沙箱JOE、Intezer、Hybrid-Analysis等，还有最近几年发展速度非常快的Any.Run沙箱，国内也有一些安全公司在研发自己的沙箱，虽然任何安全公司和安全分析团队都可以搭建自己的分析沙箱，然而目前国内能做好沙箱的公司和团队并不多，主要的原因就是因为没有专业的安全分析人员去分析改进，也没有真正懂安全的人去持续运营，搭建一个沙箱很容易，然而能持续运营好又是一回事了，就跟现在安全行业出现的各种各样的概念、平台和框架一样，这些新概念说起来很容易，平台和框架要搭起来也很容易了，难的是怎么样持续赋能给这些平台和框架，并让这些平台和框架能帮助客户解决实际问题，很多团队做不成其中一个主要的原因就是对安全的认知和理解不够深，又不愿去花时间去深入学习和研究，没有透过表层现象去研究事物的本质，仅仅停留在很表层的东西上面，没有去深入理解安全的核心到底是什么。

很多人可能不明白为啥一些专业的安全公司都要做自己的沙箱，就想知道要做沙箱，也不明白该如何去做好沙箱，不理解做好沙箱的关键因素又是什么？其实这些说白了就是对安全的认知水平还不够，就像现在很多人都会说安全的未来可能是做服务，但又有多少人真正懂应该如何做或者做好服务呢？企业最需要的安全服务又究竟是什么呢？不太懂安全的人可能会去天天追着问客户，你需要什么？我做什么才能满足你？其实真正理解安全的人，不会天天去追问客户，它会主动去帮助客户发现安全问题，帮助他们解决可能遇到的或者已经发生的安全问题，这就像以前扁鹊见蔡桓公，只要一见面就知道问题所在了，安全厂商一定比客户对安全的理解更深，走在客户的前面，做安全真正要研究的是每天全球发现的各种安全问题，要从这些安全问题中去找解决方案，去找答案，这些答案正是客户需要的，而不是你整天去追问客户想要什么？安全厂商要做的是能解决各种各样的安全问题，然后客户有需求了，自然就会过来找你买产品，买服务了。

笔者团队的自动化分析沙箱也才开始运营一年多的时间，深知未来的路还很长，真正想做好安全分析要学的东西还有很多，也并不仅仅只是做沙箱，就像笔者之前说的，沙箱并不能解决所有问题，专业的安全分析能力是必不可少的，这和沙箱一样都需要长时间的积累，通过不断的分析和研究，才能对安全理解更深，认知水平也会提升，这是一个长期的过程，做安全绝对不是短期搞几个什么大新闻，做做宣传，忽悠一下就可以的，是需要长期坚持才能做好的，未来你的客户会越来越懂安全，对安全的需求也会越来越高，遇到的安全事件会更复杂，你需要比客户更懂安全，更踏实，更靠谱，客户才会相信你，做生意其实跟做人一样信任永远是基础，安全之路，路漫漫其修远兮 吾将上下而求索。

很多事情并不一定都是非常高深莫测，不是造原子弹导弹等高精尖科技，更多的是看你能不能坚持去把它做的更好，做到与时俱进，不断学习，自我成长，这才是最重要的。笔者的团队并不是在做什么高深莫测的东西，也没啥高上大可言，不会去吹嘘各种什么新名词，新概念，沙箱就是十几年前的东西，我们其实做的都是一些很基础性的安全分析研究工作，安全分析能力是团队的核心能力，在我看来其实不管做什么事，只要是正确的事，就一定要坚持到底，可能坚持才是最重要的，其它东西并不重要，很多事情之所以没有做成，很大的一部分原因可能就是没有坚持去做正确的事，总是被表象或者眼前的一点点利益蒙蔽了双眼，这里搞搞，那里搞搞，最后才发现到头来一场空，因为只有坚持才能做到厚积薄发，只有坚持才能比别人走到更远，只有坚持才能比别人对某个方向的理解更深，认知也会更高，这种坚持可能需要十几年，几十年坚持，才会有一点点积累，人生起起浮浮，能专心做好一件事就已经很不错了，做安全更是如此，安全就是一条“不归路”，没有终点，永远都在攻防对抗的路上，就看你能走多远了。

此处删除两千字......送大家一张图（本图片相关内容娱乐为主，纯属虚构，如有雷同，纯属巧合），自行体会，因为每个人对安全的认知和理解程度不同，体会也会不同，我们更多的是要学会透过一些表层的现象，去看事物的本质，攻防演练常态化。

目前全球每天发生的各种真实安全攻击事件主要还是通过钓鱼社工以及一些0day/1day/Nday等漏洞作为攻击的入口点，再通过各种恶意软件或黑客工具进行更深入的攻击活动，威胁情报的准确性及时性以及终端安全对抗能力的强弱在真实的安全攻击事件当中就显得尤为重要了，安全厂商能不能通过自己的产品捕获到各种最新的安全攻击事件，并及时通知客户进行安全防御，各种终端安全产品能不能防住已经被黑客突破的边界防御体系，在终端上帮助客户守住安全的最后防线，成为了安全的核心。

有时候我常常会想，客户为啥会中招？也有很多朋友不理解安全的核心为啥是对抗？当安全厂商的产品遇到一个未知的C2地址的时候到底是拦还是不拦？一般情况下只有当这个C2地址匹配到厂商的威胁情报库，才会被标黑，如果这个C2地址不在厂商的威胁情报库，没有及时拦截的话，很有可能会从这个C2上下载安装了恶意软件或者通过这个C2执行了某个漏洞，这个时候就只能靠终端安全产品来拦截可疑的操作和行为了，网络解决不了的问题，也只能交给终端解决了，然而大部分的恶意软件都使用了免杀技术，终端安全产品可能并不能第一时间识别出这个样本是不是恶意的，所以就需要基于样本的行为做进一步的分析和预判，这就需要有一些常用的恶意样本规则来判断哪些行为可能是恶意的，才能第一时间拦截和识别可疑样本，再基于可疑的样本行为来标记这个样本可能是恶意样本，如果产品最终还不能完全确定的情况下，还得由人工进行二次确认和分析。

上面所说的C2威胁情报库以及恶意样本行为规则又从哪里来呢？其实就是从样本中提取出来的，没有样本就没有这些精确的C2威胁情报信息和行为检测规则，而这些样本又是从哪里来的呢？在真实的安全攻击事件中，这些恶意样本不就是黑客组织开发的吗？黑客组织不断开发和研究各种免杀的恶意软件家族样本及最新变种，以逃避安全厂商终端安全的检测，再通过这些样本对受害者进行攻击行为，安全厂商通过不断捕获这些可疑样本，再由专业的安全分析人员进行详细分析，提取样本里面的威胁情报和规则行为，赋能给安全产品，不断提升自身的安全产品能力以及威胁情报库数据，再去发现更多可疑的恶意软件家族最新攻击样本，是一个持续积累的过程。

针对恶意样本的攻防对抗已经讲了，下面我也来说说漏洞层面，很多人会问那我又怎么防0day/1day/Nday呢？很多人一提到漏洞就觉得好像很厉害的感觉，首先我们要弄清漏洞产出的原理是什么，利用过程又是什么，黑客能利用这些漏洞做什么，是RCE远程加载执行，还是提权，还是其他什么目的，只有弄清了漏洞的原理，我们才能做相应的检测和防御，其实跟我上面提到的检测最新的恶意样本一样，没啥区别，我们想一下漏洞是怎么发现的，也就明白漏洞需要怎么防御了，孙子兵法，知已知彼，百战不殆，有人问我为啥你每天都要不断的去研究各种恶意软件技术以及最新的恶意软件家族样本？我来告诉你，只有你不断的去研究各种新型的恶意软件，通过这些最新的恶意软件去了解黑客使用了什么最新的攻击和免杀技术，理解这些样本的底层原理，才能提升自己的安全分析能力，并将这些样本使用的安全技术转化为产品的检测防御能力，同样产品检测防御各种0day/1day/Nday漏洞的原理也是一样的，只有去研究这些漏洞产生的原理，漏洞触发执行过程，漏洞利用的目的才能不断的提升防御0day/1day/Nday漏洞的能力，这也是一个持续积累的过程。

上面从恶意软件和漏洞两个层面讲了安全对抗的本质，其实恶意软件和漏洞一样，你永远不知道黑客的会使用的下一个0day漏洞会在哪里，你也永远不知道下一个新型免杀恶意软件家族会被用于怎样的攻击活动当中，我们能做的就是不断的去研究最新的恶意软件攻击技术与漏洞技术，通过研究这些恶意软件和漏洞技术，不断的提升和弥补我们的安全检测和防御能力，就有可能会拦截到一些异常点，这些异常点可能就是某个新型的恶意软件，或者有可能是某个0day漏洞这类的，然后再由安全研究人员进行更深入的分析和调查，这就是以攻促防了，站在黑客攻击的角度去促进产品的安全能力，走在黑客前面。

防守方就是只会封IP？但是大家又有没有想这些IP从哪里来的呢？是怎么判断这些IP存在攻击行为的呢？又是如何发现各种0day/1day/Nday漏洞的呢？这背后其实是做了很多安全能力积累的，这些积累就是我上面所说的，专业的安全分析人员不断的去分析和研究各种安全事件的样本和漏洞，通过样本和漏洞提取出威胁情报和检测以及防御方法，再赋能给产品，不断提升产品的安全检测能力，会就在真实的攻击过程中产出各种威胁情报信息给客户，封IP仅仅是一种表层的现象，本质是产品的防御能力，产品的防御能力其实是平时不断建立起来的。

很多事情说起来都很容易，做起来难，能坚持不懈的持续做下去可能就更难，安全是一个持续的过程，没有哪个安全厂商会广告宣传自己的什么产品就能抵御未来所有的黑客攻击，现在的客户已经不像以前那么好忽悠了，安全认知在提升，客户不看广告，只看疗效，安全问题仍然会一直存在，要做到攻防演练的“常态化”。

全球所有安全攻击事件的背后其实都是人，安全对抗也就是人与人的对抗，各种新型的恶意软件是人开发的，各种0day/1day/Nday漏洞是人挖掘的，所有攻击活动背后的组织者也都是人，黑客组织在不断的研究新的攻击手法，开发新的免杀攻击家族样本，各种攻击平台和武器，挖掘各种各样的最新的0day利用漏洞，安全研究人员也需要不断的去研究各种新型的恶意软件攻击技术，新型的免杀利用技术，研究各种系统、软件平台组件中可能产生漏洞利用点，对系统中的可疑进程、网络、内存以及可能产生漏洞的攻击点进行安全检测和防御，还需要不断的提升自身的安全能力，提升安全应急响应的速度，只有比黑客跑的更快，也许才可能在最短最快的时间内检测和防御各种新型的恶意软件和0day/1day/Nday漏洞攻击吧。