安全419《高级威胁检测与响应解决方案》系列访谈——知道创宇篇

伴随着对云计算的拥抱、新的DevOps流程的普及、物联网设备的蔓延、供应链的复杂交织以及更多数字基建的涌现，新一代网络攻击手段也在持续演进，有效的威胁检测与响应能力作为重要的攻防手段，是提升实战化对抗能力的关键因素。

安全419推出《高级威胁检测与响应解决方案》系列访谈，邀请相关安全厂商分享主动感知、分析、防御、溯源高级威胁的成功经验，及其方案服务的能力和特色，为企业用户提升安全建设水平提供一定参考。

本期访谈的主角是业内知名的网络安全公司知道创宇，我们邀请了知道创宇404实验室APT高级威胁情报团队来分享自身在该领域的观察思考和实践。知道创宇——全称北京知道创宇信息技术股份有限公司，是一家立足攻防一线，与客户并肩战斗，拥有“实战对抗”能力的网络安全公司。知道创宇成立于2007年，由数位资深安全专家创办，以“AI+安全大数据”为底层能力，为客户提供云防御、云监测、云测绘产品与服务。

今年6月，西北工业大学表示，西工大电子邮件系统遭受网络攻击。9月5日，国家计算机病毒应急处理中心发布《西北工业大学遭美国NSA网络攻击事件调查报告》，揭露了境外黑客组织长期渗透控制中国基础设施核心设备，窃取中国用户隐私信息的事实。

这一安全事件让APT高级可持续性威胁这一行业用语走到台前，让社会各界加深了对活跃在网络阴暗面的网络攻击活动的认知。事实上，在大众视野之外，APT攻击、勒索攻击、超大规模数据泄露、波及范围极广的重大安全漏洞等类型众多的安全事件时刻都在发生，网络空间的安全形势日渐严峻。

● APT攻击频次剧增 攻击手段更加复杂

在采访中，知道创宇404实验室APT高级威胁情报团队的安全专家告诉我们，近两年来，知道创宇发现，APT攻击频次日益增多，仅今年上半年便发现了100多起APT攻击活动，数量远高于去年全年APT事件的总和，且攻击对象涵盖了政府、军工、能源、金融等众多领域。在攻防对抗中，漏洞利用攻击、无文件攻击、供应链攻击等各类高级攻击手法频频出现，0day漏洞攻击数量显著。

安全专家们谈到，知道创宇404实验室APT高级威胁情报团队在2021年末发布的APT攻击趋势报告总结中曾指出，以海莲花为首的一系列APT组织正在逐步放弃钓鱼邮件的传统攻击手段，转为采用漏洞攻击、渗透攻击等更高级的方式发起攻击活动，攻击目标也逐步转为优先攻击安全公司、终端软件管理公司、科技公司等，再通过上述攻击在供应链中植入恶意代码，实现供应链攻击，抵达攻击者的最终攻击目标。从不断爆发的大规模攻击事件中不难看出，APT组织越发猖獗，APT攻击活动也越发频繁，采取相应措施抵御威胁刻不容缓。”

● 攻防对抗日趋激烈 传统安全思维日渐式微

安全专家们进一步指出，随着攻防双方对抗手段的持续升级，漏洞利用攻击、无文件攻击、供应链攻击等各类高级攻击手段出现，其攻击手法隐蔽、破坏性强，给传统防护安全带来了极大挑战，传统的被动防护思维和技术手段已无法对层出不穷的新型攻击手法进行有效检测和识别，无形中降低了客户信息系统的安全防护能力。

“在某些案例里，我们发现海莲花组织专门针对国内某知名反病毒厂商的杀软做了免杀。在安装了某杀软的机器上运行后，杀软全盘扫描也无法识别该木马文件，这凸显了一线攻防对抗的激烈性。”

他们表示，为应对日益更新的攻击手法，业内主流的防护手段也逐步从传统特征、情报等单一检测手段，演变成多种检测手段融合的方式，通过对高级威胁全周期的不同攻击阶段利用不同的检测手段进行检测，进一步缩短对APT攻击的发现周期。同时，将AI技术引进网络安全领域也已成为新趋势，AI技术基于大数据对不同业务场景威胁进行建模分析，挖掘数据规律及目标特征，提升高级威胁及未知威胁的检出率，提高网络分析的效率及准确性。

404实验室APT高级威胁情报团队认为，当前业内主流防护手段更应注重向前防御理念打破被动防御，即在攻击者发起攻击前，就对可疑IP、域名进行持续追踪，确保攻击被扼杀在摇篮。作为一线攻防厂商，知道创宇在APT高级威胁检测与防御方面已经积累了大量经验和实践，利用全网独家的测绘情报，知道创宇已能帮助用户在APT发起攻击前就可识别到可疑IP、域名，有效进行提前监控，同时结合基因图谱检测、复杂位运算、沙箱检测等先进技术，实现对未知威胁的积极防御。

404实验室APT高级威胁情报团队表示，知道创宇在早期就意识到了APT攻击的严峻性，为了掌握APT攻击在全球的活动情况，以便快速高效地应对APT攻击，知道创宇与监管客户共同进行一线攻击跟踪，加强对APT组织的研究，并与国家单位进行深度的实战化合作，长期对全球范围内的APT组织进行深入的、持续化的跟踪和研究分析。

目前知道创宇已经形成了安全产品+专业服务一体化，通过APT测绘+APT防御的完整解决方案，帮助用户构建精准和高效的APT全面防御能力。

图：知道创宇APT检测与响应解决方案框架

404实验室APT高级威胁情报团队的专家介绍，在产品层面，知道创宇主要通过：创宇云图威胁检测系统、创宇猎幽APT流量监测系统、创宇云影内网主机安全监测系统、创宇威胁感知大数据平台（CIC）在内的四款安全产品，来帮助用户打好应对APT攻击的组合拳。

“创宇云图威胁检测系统、创宇猎幽APT流量监测系统实现了基于网络全流量的高级威胁检测。创宇云影提供了覆盖个人终端、主机侧的高级威胁检测和响应处置的能力。创宇威胁感知大数据平台（CIC）则可以收集多源的高级威胁检测数据，通过大数据建模和关联分析，实现全局视角的威胁态势感知和风险研判。”

在采访中，404实验室APT高级威胁情报团队的专家为我们分享了知道创宇成功帮助某央企构建APT检测与防御能力的成功案例。据介绍，此前该企业客户也曾部署过其他安全厂商旗下的NTA、NDR、EDR类型设备进行尝试，但经检测分析结果发现，其在未知威胁攻击防护方面效果仍然欠佳，无法实现精准检测和事后的溯源分析。因此迫切需要找到一套真正符合自身安全建设需求的系统性解决方案，更全面、及时地监测到各类APT攻击信息，增强对于重要系统的安全监控。

采访最后，谈及APT攻击未来攻防趋势以及知道创宇的应对思路时，404实验室APT高级威胁情报团队的专家谈到，“未来3-5年黑客会更加有针对性、有组织性地对关基单位、企业发起攻击，以达到窃取重要信息，非法盈利的目的。比如前段时间，勒索组织对国际知名安全厂商思科进行定向勒索。类似的这些攻击也往往具有强时效性，漏洞刚被披露甚至是未被察觉的时候，黑客就发起了攻击，让大家措手不及，难以及时应对。”

此外，未来高级威胁可能会更多地针对现有特征检测技术的对抗，实现对特征检测技术的绕过，如IDS类检测特征绕过、杀软特征绕过，也有研究利用人工智能技术，如强化学习，训练对抗现有检测手段的绕过能力工具或样本，以及更多地使用加密或隐蔽隧道方式，隐藏攻击行为和内容。

他们表示：“知道创宇404实验室APT高级威胁情报团队针对未来趋势，将依照向前防御理念，从国内领先的Seebug漏洞平台上提取实时披露的最新漏洞信息，在第一时间将最新高危漏洞转化为规则特征，确保N day漏洞攻击的优越检测性能。”

同时知道创宇404实验室也将持续深研测绘与情报结合的解决方案，增加APT情报提前获取的准确性、高效性。对于某些复杂攻击，知道创宇404实验室将专门定制模型算法，结合机器学习、大数据处理，有针对性地对其进行检测，目前已在实战中验证了隐蔽隧道检测模型针对加密流量进行检测的优越性。此外，知道创宇相关产品还将进一步的与云防御持续交火大数据融合，以数据情报为全线产品动态赋能，形成云地联动、多点协同的联防联控能力，协助客户构建积极防御体系。