全国网络空间安全“英才计划”集训营课程笔记

贵阳国家大数据安全靶场于2018年8月举办了首期全国网络空间安全“英才计划”集训营,为期六天的集训课程中十余位网络空间安全领域的前辈们分别进行了特定方向的主题演讲,此为笔记。

目录
DAY 1
 1-1 安全通论@田有亮(贵州大学教授)
 1-2 密码学@彭长根(贵州大学教授)
DAY 2
 2-1 电子数据取证和司法鉴定@丁丽萍(中科院软件研究所研究院/博士生导师)
 2-2 威胁情报体系@金湘宇(君源创投)
 2-3 网络空间安全的系统化思想@石文昌(中国人民大学信息学院) 
DAY 3
 3-1 国家关键信息基础设施网络安全威胁分析与对策建议@郭晓雷(国家信息技术安全研究中心)
 3-2 网络空间行为原理与规律@王清贤(信息工程大学网络空间安全学院教授)
 3-3 下一代主动防御理论与实现@张长河(解放军信息工程大学教授)
DAY 4
 4-1 人工智能在网络安全的应用实践@王智云(北京六方云科技有限公司)
 4-2 区块链与数据安全@谈建(博士/国家千人计划特聘专家/爱立示公司)
 4-3 让世界听懂中国声音-《三视角下的网络主权》与《新安全威胁下的战略稳定之道》@郝叶力(中国国际战略学会高级顾问/国家创新与发展战略研究会副会长/ISC“观潮”论坛主席)
 4-4 量子信息前沿进展@王旭(贵州大学大数据学院)
DAY 5
 5-1 我对网络空间安全的理解@陆宝华(贵阳大数据安全专家)

latest edition 2018.08.18

1-1 安全通论@田有亮(贵州大学教授)

1-1-1 《安全通论·刷新你的安全观》书籍简介

网络空间安全曾经的软肋:

  • 没有统一的基础理论
  • 不重视“兵书”,只重视“武器”

《安全通论》2018年1月1日正式出版
全球信息安全界的现状:无人做安全,大家都在做不安全。

1-1-2 各种领域的“安全通论”
  • 社会学:《易经》
  • 医学;《黄帝内经》
  • 军事:《孙子兵法》
  • 经济学:《国富论》
  • 生物界:《进化论》
  • 完全由抽象数学公式写成的“安全通论”:《博弈论》(相关资料:电影《美丽的心灵》)
  • 信息通信:香农——《信息论》
  • 系统控制:《控制论》
1-1-3 为什么要刷新安全观?
  • 观念很重要。爱因斯坦:”不改变制造问题的那些观念,就无法解决问题”
  • 国内外网络安全界的许多观念:要么是错误的,要么是片面的
1-1-4 几种安全观:

安全到底有几个状态?
并非只有你死我亡的两种状态,安全通论严格证明了“安全对抗的纳什均衡存在性定理”。
纳什均衡:囚徒困境、核战争中的平衡
网络空间安全有“水涨+船高+纳什均衡状态”
目前为止:网络攻防对抗中还未出现过“纳什均衡状态”。
追求局部绝对安全对吗?
实际操作中,很多追求局部绝对安全的办法都激发了整体不安全熵的增加。
什么是安全?
有限系统存在经络图。
绘制经络图绝非易事。
攻防有极限吗?
什么是黑客?
经济黑客、政治黑客、时间黑客
安全态势的本质
信息论、博弈论与安全通论融合后的结果

1-2 密码学@彭长根(贵州大学教授)

1-2-1 贵州的几张名片
  • 气候舒适
  • 茅台酒
  • FAST天文望远镜
  • 大数据战略:
    • 贵州将大数据汇集到一个平台上:“云上贵州”(物理集中,储存在两个数据中心)
    • 贵州成立了第一个大数据学院
    • 首个大数据交易所在贵阳
    • 苹果的数据中心也在贵州(2017年7月13日,苹果中国宣布,在贵州建立国内的第一个数据中心,根据协议,苹果将投资10 亿美元,在贵州贵安建立数据中心)
    • 大数据的聚、通、用三方面,贵州已经做到了聚。通与用则需要共享数据,甚至是公开数据。而目前各个部门不愿意提供数据,拒绝共享数据公开数据,理由是“安全问题谁来负责?”
    • 安全是大数据发展的基石。解决安全问题迫在眉睫。
1-2-2 再谈大数据
  • 大数据应用中的隐私问题
  • 大数据分析之现状:盲人摸象
  • 大数据分析之框架:从IT到DT变迁
  • 大数据分析之方法:统计与AI担当大任
    • 统计方法=》人工智能基础=》机器学习=》模式识别=》自然语言处理=》知识处理
  • 大数据之基础问题:大数据计算问题
  • 大数据之双刃剑:安全与隐私
1-2-3 密码学

《现代密码学趣味之旅》彭长根©编著

  • 香农:现代密码学的奠基人。、
  • 密码学是什么:
    • 密码编码学(密码设计):对信息进行编码,实现对信息的隐蔽。
    • 密码分析学(密码破译):加密信息的破译或消息的伪造。
  • 信息安全的七个目标:
    • 机密、完整、认证、……
  • 现代密码学的主要研究内容:……
  • 主要的对称密码体制型标准
    • 国际标准:DES\IDEA\AES
    • 国内标准:SM*

2-1 电子数据取证和司法鉴定@丁丽萍(中科院软件研究所研究院/博士生导师)

哪里有数据,哪里就有可能有证据。

2-1-1 提纲
  • 前言
  • 电子数据取证的一些问题
  • 电子数据取证的司法鉴定
  • 我们做的一些事情
2-1-2 前言
网络安全面临的困境
  • 老三样行吗?
  • 基于白名单?黑名单?
  • 基于行为?
  • 可信计算?
  • 拟态防御?
    让入侵变得困难了一些而已
没有绝对安全的系统,所以要建立多重保护机制
  • 安全防护
  • 应急响应
  • 取证追责

全国计算机取证技术研讨会

2-1-3 电子数据取证的一些问题
  • 云计算取证的技术挑战
    • 云环境中的数据不能断网断电、断电断网后数据完整性不能受到保证
  • 移动取证的技术挑战
    • 智能手机中数据的提取速度
    • 智能汽车中的数据获取
  • 大数据取证的技术挑战
    • 大海捞针==》盆里捞针
  • 非传统软硬件取证的技术挑战
    • IT行业的软硬件变化速度如此快
    • 保持你的好奇心。
  • 取证与反取证的技术博弈
    • 保密检查中的博弈,理论上可以恢复覆盖七次的数据,实际中成本技术限制,一般只能恢复未覆盖的数据
    • 点对点通信,腾讯数据的获取
    • AES加密算法整盘加密
  • 法律法规与技术的结合
    • 对500次转发定罪的质疑
    • 法律人与技术人之间的矛盾
  • 舆论和社会关注
    • 快播案的分析
    • 雷洋
  • 法律的永远滞后
    • 法律就是滞后的。遇到新情况来修订,修订不行的话重新制定,而不是一开始考虑到左右情况。刑法285、286条。
2-1-4 电子数据取证的司法鉴定
  • 广州中科司法鉴定所
    • 介绍
  • 司法鉴定关键词
    • 第三方:公平公正
    • 技术和法律:合规合法,可实现
    • 可采用性:“三性”————真实性、相关性、合法性
  • 司法鉴定报告的声明
    • 讲认真:“我曾经以为没有病句没有错别字就是认真,现在我觉得标点也很重要。”

####### 经典案例

  • 刑事案件:217(20170217)案件:高检、高院关于办理侵犯公民个人信息形式案件适用法律若干问题的解释。
  • 刑事案件:微信红包案件。
  • 民事案件:录音数据侵权案。
  • 行政案件:某学会侵权案。

2-2 威胁情报体系@金湘宇(君源创投)

2-2-1 提纲
  • 自我介绍
  • 网络安全现状
  • 威胁情报
  • 威胁情报驱动的下一代防护体系
2-2-2 自我介绍

成长路程分享。巴拉巴拉巴拉巴拉,
想想自己的人生,你想要的是什么?

2-2-3 网络安全现状
  • 当前的网络安全防护体系已经落后于攻击技术发展:没有未被攻陷的系统
  • 网络安全对抗进入新的时代
    • 安全威胁极度爆发
    • 国家黑客行为泛滥
    • 黑产从窃取数据、到绑架数据、进而转向窃取企业计算能力,模式极度演进
  • 对网络安全防护体系提出了更高的要求
    • 海量安全事件中真正有价值的攻击事件的发现
    • 识别传统安全产品难以发现的APT定点攻击
    • 解决组织间以及组织内部对攻击事件的快速协同
    • 提供安全设备和解决方案中跨产品、跨厂家的协同
2-2-4 威胁情报
  • 威胁情报是解决网络安全现状的一种手段。
  • 威胁情报的目的是知彼
  • 安全威胁情报具体的内容:
    • 威胁源:APT29,Sofacy,Dark Seoul,Unit 8200……
    • 攻击目的:Operaton Iron Tiger,Operation Russian Doll,Stuxnet……
    • 攻击对象/与那些事件关联:XX国家,政府金融,军队,高科技,电厂……
    • 攻击手法:鱼叉,钓鱼,水坑,WEB渗透,网络植入……
    • 利用漏洞:CVU-2014-6352,CVE-2016-0167……
    • IOCs:样本HASH,C2域名/IP,邮箱,跳板IP,……
    • COA:预警、阻断……
    • ……
  • 威胁情报的应用场景
    • 攻击:
      • 反溯源
      • 攻击技术完善
      • 攻击发现躲避
      • 黑吃黑
      • 假旗行动
      • 污染
      • ……
    • 防御:
      • 溯源分析
      • 快速分析响应
      • 行为异常发现
      • 攻击预测
      • 日志分析辅助
      • ……
  • 网络安全威胁情报是一种可能改变攻防态势的技术:促使攻击的成本大于防御的成本
  • 攻防对抗在战略上是人的对抗,但在战术上是情报的对抗
  • 威胁情报已经形成了相对完善的国际标准体系(大部分为美国制定的)
  • 威胁情报格式标准之STIX 1&2
  • 威胁情报已经广泛应用
  • 防御方利用威胁情报收获明显
  • 目前市场常见的威胁情报服务
    • 结构文档
      • 漏洞通告
      • 样本分析报告
      • TTP分析报告
      • 组织分析报告
      • COA
    • 界面交互
      • 溯源交互
      • 回溯展现
      • 设备互动
      • 工作流
    • FEED包
      • 域名IP
      • 扫描IP
      • DDoS IP
      • TOR Exit-Add
      • 样本Hash
      • Snort规则
      • YARA规则
      • SCAP/OVAL规则
      • PoC
      • 工具Hash
    • API
      • IP地理位置
      • Whois
      • PDNS
      • 域名/IP/文件信誉
      • 帧数
      • 端口/服务/组件
      • 样本行为分析
      • 高级漏洞信息
      • 人员信息
      • 比特币信息:
      • 社工库
      • 备案
      • 舆情
      • ……
2-2-5 威胁情报驱动的下一代防护体系
  • 网络安全威胁情报的实质:将产品制造能力与攻防对抗能力解耦
  • 连接协同是新一代信息安全的重要方向
  • 下一代防护体系不仅是看见,更是执行
  • 建设基于安全情报生态的弹性防护系统已经成为趋势

2-3 网络空间安全的系统化思想@石文昌(中国人民大学信息学院)

2-3-1 提纲
  • 错综复杂的安全事件
  • 复杂性与系统化的思想
  • 系统化思想之于网络空间
  • 系统化思想的培养
  • 系统安全工程
2-3-2 错综复杂的安全事件
  • wanna cry勒索案
  • 美国网络瘫痪案
  • 伊朗核设施案:2009年底到2010年初,纳坦兹的离心机受“震网”病毒攻击纷纷出现故障。
  • 乌克兰电网供电中断事件
  • 苏联输油管道爆炸案(1980年代初,逻辑炸弹:增大输入端泵入压力,关闭输出端的出口)
  • 智能门锁非法打开案
  • 徐玉玉被骗案
  • 阿拉伯之春(网络传播促发一系列连锁事件)
如何透过现实事件案例看安全?
安全威胁来自何方?
  • 网络犯罪
  • 黑客主义
  • 网络恐怖主义
  • 网络间谍
  • 网络战争
2-3-3 复杂性与系统化的思想
  • 热带雨林复杂系统:物种繁多,物种间的相互作用,由普通的,如行军蚁吃沿途各种生物,也有极其特殊的,如彗星兰智能由长喙蛾授粉。
  • 复杂系统的整体性:整体大于部分之和。1+1=H,H>2,H-1=0;
  • 复杂系统的涌现性:“湿”是一种涌现属性,一个水分子不会把物体弄湿,一定量的水分子聚集起来之后物体就变湿了,至于多少个水分子,就很难说了。涌现性。
2-3-4 系统化思想之于网络空间
  • 部分式与系统化思想
    • 整体论:整体大于部分之和
    • 还原论:简单是复杂的源头(危机:人类大脑活动形成的意识)
  • 部分式思想到系统化思想的过度
  • 系统化思想的两类技术体系
    • 系统的系统
      • 大规模并发分布式系统,其组成部分本身也是复杂系统
    • 复杂适应性系统
      • 由大量成为代理(agent)的组件构成,这些代理相互作用,具有适应性或学习能力
      • 对于不可预测的干扰和偶然事故,他们具有很好的弹性
  • 系统化思想运用规则
    • 所有系统均由相互关联的部分构成
    • 系统的结构决定系统的行为
    • 系统行为是一类涌现出来的现象
    • 反馈环控制系统的主要动态行为
  • 举例:智慧城市
2-3-5 系统化思想的培养
  • 马格里特作品启示:巨大的日子
  • 埃舍尔作品启示:天空与水Ⅱ
  • 敌对及系统化思想训练游戏:
    • 攻击者和防御者在模拟环境中进行对抗游戏
    • 拥有多样化技能和动机的攻击者试图攻击不同的目标,包括企业目标或国家目标。
    • 防御者利用他们的技能和资源阻止或阻拦攻击。
    • 社会-技术系统框架
      • 每个攻击和防御的扮演者由一个社会-技术系统表示,他拥有自己的文化和某种结构,文化由某种数值、传统和法律定义,结构表明其在组织或社会中的未知,他可以访问已建立的基础设施(机器),使用一些可用的工具(方法)。
2-3-6 系统安全工程
  • 安全的理论及工程启示
    • 桥梁安全:物理学+土木工程
  • 高铁系统的安全启示
  • 系统的一般概念
    • 系统构成:相互作用的元素
    • 系统元素包括:……不要忽略人这个因素
    • 系统的相关基础结构
  • 如何理解安全?
    • 安全是指能摆脱不安全的条件。
  • 什么是系统安全?
    • /
  • 系统安全工程
    • 定义
    • 工程框架
    • 标准:ISO/IEC/IEEE 15288:2015

######## 记住:设计任何系统的时候,考虑人的问题,考虑过程的问题。

2-3-7 学生提问
  • 如何看待术与道之间的关系?
    • 术是重要的,是解决问题的具体方法。道是指导术的。没有思想观,没有方法论。
  • 如何看待(国外)强势企业人才垄断的问题?
    • 国内企业亦在崛起。
  • 如何在高铁、桥梁系统上认识涌现性?
    • 涌现性是各种因素相互作用的结果
    • 高铁系统背后靠一套复杂的系统支撑
    • 高铁运转需要安全,在高铁这个复杂的系统中安全具有涌现性
    • 安全这个属性本身,就是具有涌现性的。

3-1 国家关键信息基础设施网络安全威胁分析与对策建议@郭晓雷(国家信息技术安全研究中心)

3-1-1 综述

截至2017年数据,中国网民数量:7.72,普及率55.8%,超过全球水平。
关键信息基础设施是国家重要战略资源。
建立正确的网络安全观,认识是行动的基础。
威胁无处不在。

3-1-2 案例分析

案例1:乌克兰电力系统遭受攻击事件分析

近些年来最典型的有预谋的对国家关键信息基础设施的攻击事件。
网络入侵攻击的过程:

    1.利用诱骗邮件入侵系统
        伪造了可信的收发关系。内容十分具有信服力。
    2.激活何以程序展开攻击
    3.瘫痪救援系统阻碍维修
        电力系统的报修系统被DDoS攻击,导致救援人员无法及时了解情况,手动模式下的维修过程极为艰难。
    4.完成攻击事故现场痕迹清理

攻击者主要采用的技术手段:

    利用漏洞:利用4114和0751漏洞
    植入木马:攻击者向HMI植入木马BlackEnergy
    破环数据致瘫系统:BlackEnergy成功植入后,释放并安装最主要的恶意程序Kill Disk

此次事件的主要特点:

    1.点穴式的打击:信息系统给电力系统带来了便利,但是同时也带来了信息系统的脆弱性。对信息系统的攻击直接导致了整个电力系统的瘫痪。
    2.定制式的打击:BlackEnergy木马工具成立之初就带有非常强烈的政治色彩。14年俄罗斯曾利用过这款工具攻击敌对国家。
    3.预置式的打击:在关键信息基础设施埋下地雷。(国家网络中:电子政务外网逻辑隔离物理连接,电子政务内网与外网是物理隔离的。)利用物理隔离网络单向传递的特点,利用邮件突破物理隔离。
    总结:具有信息战水平的攻击。

此次事件带给我们的警示:

    1.针对国家关键基础设施和重要信息系统的有预谋有组织的网络协同攻击————网络战近在眼前。此次乌克兰电力系统受到的攻击,不仅仅是由黑客完成的,还有电力系统人员的协作。
    2.现有安全防御体系难以抵御网络协同攻击。
    3.关键基础设施安全防护薄弱是致命问题。

案例2:奥迪轿车存在安全隐患
奥迪轿车在我们国内具有特殊的地位。
略讲……

案例3:国产RTU系统存在安全问题
* 部分RTU设备加密通讯密钥可以直接从注册表读取
* 部分设备中本地管理协议无身份认证机制
* 使用桌面级操作系统作为产品嵌入式系统,使得设备具有普通PC平台的受攻击面。
* ……

3-1-3 问答环节
  • 工业系统中的引进,是否对我国安全有较大影响,国产化之后是否能提升安全防护水平?
    • 不可否认,我国在一些基础设施上有很多设备是需要引进的
    • 引进设备由于系统的基本特性,不可避免的存在漏洞
    • 隔离是有效的安全防护方式
    • 国内企业仍在努力,国家对此大力支持
  • 我国是否有可能遭受到如乌克兰断电事件类似的攻击?
    • 从预警的角度,我国做过多次有可能发生重大事件的警报
    • 从预测的角度,会。甚至已经发生过,暂时是可容忍范围内的。
  • 中国没有互联网?是否受限于美国。我们能不能使用自己的协议。
    • 中国在根域名,IP地址等方面在做积极的努力。
    • 这不仅仅是技术问题,资金问题。更是涉及到国家间的政治问题。
  • 我们作为当代大学生,如何与国家政策接轨,切身的接触到国家战略建设中去?
    • 我连续多年参加全国大学生信息安全大赛决赛评审
    • 近几年学生的进步令人眼前一亮
    • 产学研管用测平台中,学校是非常重要的一个角色
    • 国家对学生培养很是重视,会给学生提供越来越多的一线机会。

3-2 网络空间行为原理与规律@王清贤(信息工程大学网络空间安全学院教授)

中国人们解放军战略支援部队信息工程大学介绍

3-2-1 从网络“数字大炮”谈起……
    互联网路由机制示意==>自治系统之间的路由==>BGP协议
    “数字大炮”攻击步骤:
        1.构建僵尸网络
        2.启动僵尸网络中的计算机之间流量发送,建立他们之间的“路径地图”(拓扑发现),找到众多路径公用的连接(关键链路)
        3.由僵尸网络对关键链路两端路由器BGP协议发动ZMW攻击,使得关键链路处于断开状态
        4.伏击路由器对此搓出回应,发送BGP更新消息
        5.很短的事件之后,两个被切断的路由器可能会重新连接,并发送BGP更新信息
        6.不断重复(3)~(5),最后互联网上每一台路由器都会受到超出自己处理能力的更新消息,最终造成网络瘫痪。
    “数字大炮”充分利用了网络空间具有级联效应(蝴蝶效应)。
3-2-2 网络空间三大规律:
规律一、小世界网络
    网络空间是“扁平结构”,技术上讲,它是六度分隔的(小世界现象)。
    在网络空间,个人作用得到充分发挥。
    小世界现象:任意两个人之间,只隔着六个人
    六度分隔:出自20实际90年代一部电影
    小世界的研究之路……
    一个简单的随机模型:
        假设一个人有100个朋友,5次拓展之后达到100亿
        你认识的两个人也认识的概率为:52%
    形成社交网络的两种基本力量:
        同质性:
            选择:物以类聚人以群分
            社会影响:近朱者赤近墨者黑
        弱联系
    《机会链Chains of Opportunity》,《找工作 Getting A Job》
    …………
    强联系……
    综上所述,可得社交网络结构的一个基本意像
        用桥连接起来的相对比较密集互连的节点群,其中,那些是多个桥的端点的节点值得特别讨论。他与群组内部的节点相比,具有信息优势、创新优势、权力优势。
    强联系的三度影响力原则:……
    如果有一天互联网上一个人的影响力超过三度,他将可能影响整个世界。
    弱联系:如何找到萨达姆。
    以数学家Erdos为中心的科研合作网络。
    如何有效的破环网络的连通性?
        不断删除重要的边来分裂图。
规律二、无尺度网络(幂律)
    幂律的基本特征
        Scale free
        平均行为不反映典型行为
        小花絮:平均斯坦与极端斯坦————黑天鹅的存在,寓言着不可预测的重大稀有事件。
    无尺度网络的健壮性与脆弱性:
        健壮性:无尺度网络可以随机删除大部分节点而不会引发网络分裂
        脆弱性:删除少量枢纽节点,就能让无尺度网络分裂成微小的孤立碎片
        对立统一:对故障的健壮性与对攻击的脆弱性交织在一起。
        案例:CDN Loop攻击————攻击枢纽,瘫痪全局
    用户口令问题:
        如何设置一个好记的强口令
        用户口令分布规律:黄欣?发现口令符合幂律
        如何利用?站在防御的角度:如何避免口令集中;站在攻击者的角度:构造比较小的口令字典可以猜出大多数用户口令。
        汪定:口令安全关键问题研究。
规律三、信息级联效应(蝴蝶效应)
    关于信息级联的认识:
    * 当个体数量趋于无穷时,发生级联的概率为1
    * 级联可能是错误的
    * 基于很少的信息,级联也可能开始
    * 级联是脆弱的,中间若有信息的微小扰动就可能终止甚至改变级联方向
    网络结构影响传播的一种级联模型————结构级联。
    聚簇是级联的唯一障碍
    结束语————实践必须有理论指导,否则只能是“安全民工”。
3-2-3 问答环节
  • 可否通过创造聚簇来预防数字大炮?
    • 很难。
  • 不同级别的网络中小世界互相连通么?
    • 小世界的现象无处不在
    • 自治系统之间的联系约为4级。
  • 舆论攻击…………?
    • 舆论攻击正是靠小世界的现象传播
    • 发动舆论攻击不难
    • 防范难。
  • ………………走神了,问了什么来着?
    • 给用户做标记等是一种很好的防御方式
    • 但是实际中用户只是调用系统的资源
    • 系统资源是由系统调用的,这个没法标记
    • 协议的更改不是一个人、几个人的事情

3-3 下一代主动防御理论与实现@张长河(解放军信息工程大学教授)

3-3-1 网络安全面临的威胁
  • 难以抵御专业渗透测试团队攻击
  • 难以抵御未知威胁(新的漏洞、木马、勒索蠕虫等)
  • 难以抵御国家级黑客攻击
    • 非自主的操作系统,系统不可控
    • 中国没有体系对抗的能力
  • 网络管理者对现有防御能力心里没底
  • 基于特征识别的被动防御技术:特征不可收敛,只能防已知,难以防未知
  • 入侵检测、防火墙、防病毒“老三样”
3-3-2 杀毒软件技术种类
  • 特征匹配:简单易用,减少误报
  • 行为分析:(eset:查询导入表,调用敏感API的行为都被视为威胁)
  • 沙箱主动防御
3-3-3 入侵检测
  • 主要思想就是特征匹配。
  • 如何逃过入侵检测?加密。
  • 特征匹配与行为分析中的误报问题。一套系统的误报太多,系统是不可用的。
3-3-4 威胁情报
  • 仍然没有逃离特征识别的根本
  • 输出特征
  • 脏数据问题
3-3-5 如何做到真正有效的防御?
  • 可信计算:目前无法实现真正的可信,全产业链无法统一可信。只能在部分情境下运用。
  • 拟态防御:略过。
  • 漏洞是挖不完的。挖漏洞可以是公司一项盈利的业务,但是不值得花一辈子的实践做这样一件事情。
  • 智能动态防御:转被动为主动。
  • 打破攻击经验累积

幻境内网动态防御系统。
场景推演:

    第一步:找跳板/目标(在目标网段内寻找,不跨越交换机)
        镜像世界:给每个终端构建镜像系统,普通用户不会访问镜像世界,攻击者误入则被捕获
        虚拟哨兵(不同于蜜罐)
    第二步:找目标(内部泄密,不用找跳板,已经知道IP段)
        全息伪装:全息虚拟大量与真实节点功能一致的伪装节点,让黑客无法分辨真假。
    第三步:找服务(直接知道了IP地址了)
        虚开端口,真正的端口只有一个。
  • 增加攻击者的攻击难度,变被动的防御为主动的防御。
  • 防御东西向渗透。
3-3-6 问答环节
  • 学习路线建议
    • 我遇到过两类人
      • 业务能力高,基础不扎实,前期工作能力强,后劲不足
      • 业务能力弱,基础扎实,学习能力强,前期工作能力弱,后期越来越强
    • 文化课一定要好,基础要扎实
    • 数学一定要好,基础文化课要过关。
    • 不要做脚本小子。脚本小子一抓一大把。
    • 多读书。量变引起质变。国外论坛。
    • 真正的高手不分方向。
    • 学会创新。攻击思想、防御思想的创新。

4-1 人工智能在网络安全的应用实践@王智云(北京六方云科技有限公司)

提纲
  • 十大网络安全难题
  • 六方云应用AI提升安全能力的尝试
  • 人工智能基础知识
十大安全难题
  • 未知威胁检测
  • 已知威胁检测的准确率不高,实时性不够
  • 安全事件漏报、误报、错报、重复上报
  • APT攻击检测(定向、有组织的攻击)
  • DDoS攻击检测与防御
  • 加密内容威胁检测
  • 攻击溯源
  • 攻防对抗博弈的智能化
  • 威胁预测(时间、威胁类型、威胁来源、攻击目标、攻击意图、攻击手段等)
  • 网络欺诈检测
    ####### 威胁防御的几个常见技术对比
  • MTD:构建一种动态的不确定网络来增加入侵难度/实施成本较高
  • 大数据分析/威胁情报:通过大量的数据探针搜集数据进行分析获取威胁相关的属性/部署实施难度较高
  • 蜜罐/沙箱:通过诱骗等技术模拟攻击目标/不确定性较高,不成功概率较高
  • 人工智能已经在多个领域取得良好成绩
    AI+网络安全成为资本的新宠
    ####### 人工智能与网络安全
  • 黑客利用人工智能实施网络工具或躲避检测
  • 利用人工智能提升网络安全防护能力
六方云应用AI提升安全能力的尝试
    网络安全防护技术发展三阶段:
    黑白名单==>
    传统方法:基于规则匹配==>
    创新方法:基于数据分析
        UEBA…………
        EDR+NDR:检测响应
    数据分析的五个关键因素:
        1.信息来源
        2.监测分析策略
        3.加入时间因子
        4.响应策略
        5.持续监控
    人工智能解决威胁检测与防御的两条路线
        1.基于黑客行为进行学习建模(Misuse):适合监督学习方式
            优点:对于已知威胁的变种适应能力较好
            缺点:模型的有效性与训练样本的质量有较大关系,且训练样本难找
        2.基于正常行为进行学习建模(Anomally):适合非监督学习方式
            优点:训练样本容易找,而且可以在线学习,可以有效进行异常检测
            缺点:无法有效判断异常是否属于攻击,误报率会比较高
    正常行为大多相似,异常行为各式各样
    六方云:“健康基线模型”
人工智能基础知识
  • 人工智能发展历史:跌宕起伏。
  • 人工智能六个分支领域:
  • 机器学习常用方法(7个):
  • 人工智能两大演进路线:
    • 大数据+大量计算+适当算法
    • 适当数据+适当计算+复杂算法
  • 人工智能常见的技术名词:
    • 监督学习
    • 非监督学习
    • 传统机器学习
    • 深度学习
    • 迁移学习
    • 主动学习
    • 演化学习
      ……
  • 四个相似度
    • 马氏距离
    • 欧氏距离
    • 余弦距离
    • 杰卡德学习
问答环节
  • 什么时候重新训练
    • 样本与环境偏离度大于阈值3倍以上的时候重新训练
  • 如何解决噪音问题
    • 加入时间因子。(工控系统中的事件是很规律的)
    • 也有阈值

4-2 区块链与数据安全@谈建(博士/国家千人计划特聘专家/爱立示公司)

  • 什么是区块链?
  • 分布式账本与区块链
    • 三大技术支柱:
      • 密码学(数据级)
      • 对等网络(系统级)
      • 共识算法(网络级)
  • 共识机制以及特性
    • POW(工作量)
    • POS(权益)
    • DPOS(代理)
    • PAXOS/Raft
    • PBFT(实用)
  • 工业级区块链需要考虑的问题:
    • 交易性能:并发数,每秒交易数,确认时间
    • 海量数据:一致性,升级,迁移,可平行扩展
    • 合规性:是否发行货币,身份认证,禁止匿名,监管审计
    • 安全性:保护隐私,防止篡改可能性,防攻击
    • 多样性:不同的资产,不同的交易规则
  • 区块链类型:
    • 公有链
    • 私有链
    • 联盟链
  • 区块链的本质:非信任环境中的信任服务基础设施
    • 去中心化是核心特征?还是技术手段
      • 去中心化在新阶段现实世界是矛盾的
  • 以数据为中心的安全模式
    • 数据安全三个维度
      • 完整性
      • 保密性
      • 可用性
  • 无钥签名|技术原理
    • 哈希算法
      • 防碰撞性
      • 输出长度唯一性
      • 不可逆性
  • 无钥签名区块链
    • 基于纯数学公理,彻底摆脱了对人/机构的信赖依赖,且没有人可以在这个体系内作弊
    • 以数据为中心的安全模式
      • 为每一份数据提供实时可持续的安全验证服务
      • 对整个数据的生命周期实时监护

★4-3 让世界听懂中国声音-《三视角下的网络主权》与《新安全威胁下的战略稳定之道》@郝叶力(中国国际战略学会高级顾问/国家创新与发展战略研究会副会长/ISC“观潮”论坛主席)

开场白:

40几年的军旅生涯,大部分时间研究网络安全。退休五年。2012年7月在郑必坚组织下研究形成《直面挑战、统筹经略,力争十年建成世界一流网络强国》报告。习主席批示:“……努力把我国建成战略清晰、技术先进、产业领先、攻防兼备的网络强国。”中国站起来,现在需要强起来。
走出国门的面对面交流:可以解决很多误解与矛盾。

中国到底怎样才能真正赢得国际话语权,三点思考

  • 中国应尽快以客观公正完整辨证的视角,构建关于网络主权为代表的系列问题的理论框架。从国家、国际、国民三个视角出发,多方面兼顾考虑来阐述网络主权原则,使其根植于科学的世界观和方法论。
  • 中国应尽快考虑建立一套能够通融中外话语体系的表达框架,根据受众的接受习惯,开展适应手中的传播,开展媒介的国际合作,开拓共通的话语空间,改善传播效果,让世界听懂中国声音,防止鸡对鸭讲。
  • 加快建立对外宣誓口径的论述框架,在提升应有的同名度上加强对策研究。

网络主权与国际舆论质疑

  • 关于网络主权的三个争议
    • 主权(国家)与互联网(国际)精神:强调网络主权有悖“互联互通”精神,由分裂互联网之忧
    • 主权与人权(国民):互联网应支持言论自由,主权介入阻碍了信息自由流动(GFW)
    • 主权与多利益攸关方治理:网络主权引发互联网治理模式之争,政府主导的多变治理挑战多利益攸关方治理模式。
  • 从二元对立走向三视角
    • 国家(利益诉求:发展与安全)————国际(追求开放与包容)————国民(追求自由与秩序)
    • 主权的三个性值:排他性、演进性、让渡性
    • 三视角下的网络主权特征(三层结构)
      • 物理层:网络基础设施
      • 应用层:经济和社会结构:科技、贸易、文化、社会、生活等人类活动
      • 核心层:意识形态和上层建筑————政权、法律、政治安全
      • 任何一个国家接入互联网的时候,让渡了很多主权。
      • 我们在融入互联网的同时,保住我们的核心层,核心利益不能让渡。有一些东西一定是要排他的。
  • 回答三个问题
    • 1.主权与互联网精神的质疑
    • 2.关于防火墙的问题
      • 防火请对中国来说是一种痛
      • 面对日益严峻的网络安全态势
      • 中国的力量还不够强大
      • 防火墙是不得已而为之
      • 当然防火墙不是永恒的
      • 当我们的技术达到能够精准的封堵有害信息时……
      • 防火墙的重要意义————封堵有害信息。舆情控制。(“★”符号标记个人理解)
    • 3.关于多边与多方治理

问答环节

  • 防火墙有它自己的意义,但是很多国民不理解,如何处理之?
    • 能思考这种问题的国民如果能多起来,大家便都能理解了
    • 但是现状是这样的
    • 我们需要多提一些建设性意见
    • 政策的制定者与执行者需要反思(★)
    • 国民也需要反思(★)
  • 谷歌准备返回中国,中国如何掌握好让渡与排他的力度?
    • 相信每个人都有自己的想法
    • 闭关锁国肯定是行不通的
    • 开放中谋发展
    • 开放,任重道远。(★)。
  • 您怎么看目前中国谈政色变的境况?
    • 让国民有更多的安全观
    • 政治应该更加开放
    • 现在中国处在一个特殊时期,但这不是常态
    • 每位国民需要一颗赤诚之心,去尝试建设国家
    • 而不是抱怨
    • 国家需要改变,需要一个更好的反馈机制
    • 总会变好的。(★)
  • 能不能撤掉防火墙。我们做研究的学生搭个梯子蛮麻烦。
    • 学生关注这些国家的痛点是好的
    • 但是需要大家提出建设性的建议
    • 而不是只提问题。(★)
    • 不能否认政治体系中的官员没有担当,不敢改革
    • 这些官员面对这些敏感问题采取回避的态度
    • 我们40年搞改革开放,未来也不会闭关锁国
    • 墙挡不住想翻的人。愚民太多。这样蛮好。
  • IPv9有没有在中国运用的可能?
    • 互联网是美国人给全人类贡献的一个产品
    • 九几年中国接入互联网,受到很多便利
    • 互联网对人类的贡献是不可否认的
    • 我们应该采取拥抱的态度
    • 自立门户,IPv9做出来只是一个局域网
    • 积极融入,携手共治是正确的态度
    • 中国是大国,去做出自己的贡献,这是大国胸怀
    • 较真的争强好胜,制造麻烦,这是小国姿态(★)
  • 如何看待中兴事件?
    • 核心技术总要自己掌握了才稳妥。

结语:学习需要沟通。沟通促进进步。

4-4 量子信息前沿进展@王旭(贵州大学大数据学院)

量子物理奠基人@尼尔斯·波尔:如果谁不对量子物理感到困惑,他就肯定没有理解它
2016年8月16号我国发射世界上第一颗量子科学实验卫星————“墨子号”

什么是量子?
  • 离散变化的最小单元
  • 离散变化是微观世界的本质
  • 光是一个个光子组成的,不能分出半个光子出来,所以光子就是光的量子。
  • 量子本身不是粒子

20世纪物理学两大支柱:量子力学,相对论
量子力学重大应用:原子弹、氢弹、中子弹
相对论+量子力学应用:粒子物理,探索宇宙起源

摩尔定律:经济学定律
目前摩尔定律几乎已经快要走到尽头了。
随着半导体晶体管的尺寸接近纳米级,点自的运动不再遵守经典物理学规律,半导体晶体管将不再可靠。

量子的特性
  • 叠加
  • 测量
  • 纠缠

5-1 我对网络空间安全的理解@陆宝华(贵阳大数据安全专家)

  • 什么是安全?
    • 安全是没有受到威胁的状态
      • 威胁:
        • 直接威胁
        • 间接威胁
        • 显露的威胁
        • 潜在的威胁
        • 人导致的威胁
        • 自然产生的威胁
  • 两大类安全问题:
    • securtity————人祸
    • safety————天灾
  • 对于Security安全的核心任务:
    • 保证正确的授权行为
      • 所有的行为是经过授权的
        • 包括默认的授权行为:法律和其他制度并没有明确的禁止的行为————这些行为不会对其他人的权益构成侵害
        • 能够执行的授权行为:法律和其他制度授权于你的行为(尤其是带有特权性质的行为,如持枪)
        • 必须执行的行为:法律和其他制度明确要求你必须执行的行为
        • 未授权的行为:法律和其他规章制度明确禁止的行为
      • 所有的授权行为都是正确的
        • 授权的行为不构成对其他合法主题的侵害
          • 依据最小授权的原则:授权仅仅满足授权主体为完成授权任务所需要的最小权力。
          • 分权制衡的原则
          • 符合被保护客体的安全需求
            • 安全属性的要求
            • 安全形态的要求
              • 数据形态有集中式的,有分布式的
            • 安全强度的要求(如分级保护制度)
      • 正确的授权机制是有保证的
  • PDRR模型
  • 安全保护的基本思路和方法
    • 隔离:对无关的主体进行隔离
    • 控制:对有关的主题进行细粒度的授权,并有响应的控制机制
    • 检查:对可能的非授权行为进行检查
    • 清除:对威胁源进行清除
    • 反制:对发生的侵害进行反制
    • 隐藏和诱骗:对入侵者
  • 授权的机制应该是有保证的
    • 不能出现绕过授权机制的可能性,包括对以上六种方法
  • 网络空间安全的讨论
    • 网络空间的安全问题
      • 针对网络目标的侵害
      • 利用网络实施对现实目标的侵害
        我们仅讨论针对网络目标的侵害
    • Securtity问题的本质是管理问题
      • 管理要有目标
      • 有手段:以技术优先。靠人管理不稳妥。
      • 有机制
      • 有过程
  • 网络安全的目标
    • 保护数据的安全
    • 保护网络服务功能的安全
  • 数据的三种基本形态
    • 静态:数据在外部储存器中
    • 动态:数据在信道中传输
    • 暂态:正在处理中的数据(内存中)
  • 数据安全属性的讨论
    • 属性是某些实体自身特有的性质
    • 能够保护的数据的安全属性
      • 机密性:不泄露给未授权实体的属性
      • 完整性:不被未授权实体改变的属性
      • 可用性:保证授权实体使用的属性
      • 机密性与完整性是可用性的基础
    • 不能够保护的数据的安全属性
      • 真实性:所表征的信息与实际相符合的属性
  • Securtity的基本方法
    • 保证正确的授权访问
      • 计算机系统中三大集合
        • 主体:行为人
        • 客体:操作对象
        • 操作
      • 访问控制
        • 自主访问控制:由用户自己主导的访问控制
          • 属主型:由客体的属主自己决定将访问授权赋予给相关的主体
          • 层次型:由更高一级权限的人员决定授权访问
          • 混合型:即由客体的属主,于更高一级的人员进行授权访问。
          • 自主访问控制的安全缺陷:
            • 网络身份与现实身份
            • 超级用户的存在(故事:社保系统,死人库)
            • 授权转移:读写权力在转移过程中失效
        • 强制访问控制:建立在对主客体进行安全标记的基础上的更高要求的访问控制机制,标记是强制访问控制的先决条件。
          • 标记:给系统中的主、客体打上的印记:包含属性、等级、范畴集
          • 要求:不易被删除
          • 读操作与写操作都有级别限制。不可以跨越级别限制读写。
  • 没有万能的策略。没有绝对的安全。

发表评论

电子邮件地址不会被公开。 必填项已用*标注