筆者大學剛畢業時候就進入了一家從事網絡安全產品研發的公司做前線技術支持。多年過去了，一直奔波于各色各樣的客戶現場，既去過又小又亂中小企業機房，也去過現代化程度非常高的大企業專業機房。聽過各種奇葩客戶需求，處理過形形色色各種網絡問題。不過，這一次以公司專家身份去某省公安廳抓“失陷主機”經歷卻讓我難忘。
事情起因，還要追溯到2015年中旬，接到公司一線銷售人員求助電話，通過電話簡單溝通了解到，原來是某省公安廳相關IT人員發現內網有主機發出訪問互聯網域名的“非法請求”，但是他們無法準確定位發出訪問請求的主機。
失陷主機惹的禍
在認真分析客戶問題之后，我們發現不僅僅是企業，其實很多像公安這樣機構單位也都被失陷主機這個問題困擾不已。由于失陷主機受控或發起惡意行為往往難尋規律、隱蔽性極強，絕大部分已存在失陷主機的組織根本無法感知，只能被動的等待問題發生后進行補救。因此，經常會發生內部主機被感染后，由于其隱蔽性極高，管理者無從知曉，直到內部服務器信息被篡改發生時，才被動響應，查找定位相關問題。
公安作為正義代表，也是信息化建設最先進的機構之一。但是仍然有很多黑客冒著犯法入獄的風險，在極端的心理驅使之下，鋌而走險去觸摸老虎胡須。在這樣的背景下，公安網絡成為眾多“黑客”的試金石。公安網和數據中心經常受到大量外部攻擊，同時也會受到內部滲透攻擊。而失陷主機成為了黑客攻擊目標過程中的一個個跳板，但是在眾多機器中尋找出失陷主機，卻是一件極其棘手復雜事情。面對尋找公安網中“失陷主機”這樣一個極具挑戰的問題，我們爭取到了一次去客戶現場解說“云管端”立體解決方案的機會，而這個方案思路也與該省公安廳信息中心領導的思路不謀而合，這為下面一個個精彩片段打了一個很好伏筆。
探針NGFW小試牛刀
通過分析，我們得出解決這個問題的核心思路就是要對公安內網進行深度檢測，先發現問題，再解決問題。通過對網絡行為、安全日志、流量日志進行空間和時間維度的關聯分析，發現內網中潛在的失陷主機，然后基于大數據溯源技術，幫助客戶找到問題發生的根本原因。
在此期間，我們跟客戶做了多次交流，了解到客戶內部多年以來一直存在一種蠕蟲病毒無法查殺，之前客戶使用的某殺毒軟件無法查殺，能查殺的某主動防御軟件誤殺率又太高一直不敢用。通過部署NGFW探針，采集到客戶內網中病毒樣本及其各種行為日志、安全日志、流量日志之后，并將這些日志實時發送到慧眼云上進行分析。探針上線當天10分鐘不到就抓到1000多條攻擊，之后提交給客戶才發現原來是客戶故意做的模擬攻擊來測試我們產品。
NGFW探針上線之后，跟其他同類產品相比優勢越發明顯，先后兩次獲得客戶的認可：其中一次是有幾臺機器中了病毒，NGFW立馬發出告警，客戶到現場查殺后，確認是中毒了，沒有誤報。第二次是：暴力破解告警，客戶現場確認，發現是因為管理員改了系統密碼，操作人員不知道頻繁操作輸入密碼才引起報警。
“云管端”立體解決方案終極考驗
如果說之前那些考驗對于NGFW是小試牛刀，那么接下來的可以算是一個終極考驗。在今年年初，公安部通報了該省公安廳被IPZ病毒感染的主機達到五六十臺，但是截至目前該省公安廳只查到三十多臺，客戶迫切希望我們NGFW探針可以發現剩余的失陷主機并且能夠追蹤溯源發現攻擊源以及能看到具體攻擊命令符。在交流過程中，看得出來客戶非常看重NGFW和大數據平臺（云）以及終端之間聯動，最大程度發揮NGFW防護效果。在這一點上，公司NGFW已經能夠跟大數據分析平臺“慧眼云”和“360終端天擎”進行聯動。NGFW抓取的網絡數據，天擎抓取的終端數據，都會實時發送到慧眼云上進行統一分析處理?；垩墼仆ㄟ^云和大數據技術構建了威脅情報系統，同時利用異常行為識別、機器學習等技術，主動、快速、持續的發現網絡中存在的問題主機，也就是失陷主機。找到了這些失陷主機，再通過大數據技術進行攻擊溯源，還原失陷全過程，就可以在沒有明顯行為特征、沒有檢測規則的情況下準確鎖定網絡中的風險點或風險鏈條，從而將安全隱患消滅在萌芽狀態。也正是憑借“云管端”立體解決方案，NGFW失陷主機檢測能力讓我們在該省公安廳擂臺上脫穎而出，產品得到了客戶極大認可，從省級到市、縣級都部署了公司NGFW產品。
作為一個技術人員，有幸能夠親眼見證公安廳抓“失陷主機”過程，讓人激動而又喜悅，同時也讓人感到惶恐?；蛟S，現在要找到一塊網絡凈土已經比當年哥倫比亞發現新大陸還艱難。因為有很多網絡攻擊者已經敢把觸角伸向執法者的領地，這是一種赤裸裸地挑釁和肆無忌憚地侵略。作為一個網絡安全從業者，我深感肩上的重任，我有一個夢想，那就是大眾人民能夠在網絡凈土上“安居樂業”，那里，沒有病毒，沒有木馬，沒有蠕蟲…..
京公網安備 11010502049343號