2015阿里安全峰会

catalog

0. 会议相关 
1. 起航-远望
2. 沈昌祥院士议题: 云模式下等保体系建设
3. 安全的未来是态势感知
4. 网络安全的北回归线
5. 互联网+时代的移动安全实践
6. 政企安全之云化 
7. 制高点、雷区和火力支援-纵深防御体系中的能力点思考
8. 其他议题
9. 参会感受

0. 会议相关

2015-07-09~10(持续两天)
北京JW万豪酒店
主题: 天下无贼

1. 起航-远望

0x1: 演讲者

阿里安全技术副总裁: 杜跃进

0x2: 技术背景

1. 新形势的互联网安全包括业务安全、生产安全、技术安全
2. 新形式下的机会: 利用不同的理念，打破行业格局，制定行业规则才是最重要的制高点
3. 互联网+: 快速迭代 
4. 国际化

0x3: 议题中的关键技术 / 技术难点

挑战/焦点

1. 业务/数据安全
    1) 生产稳定性
    2) 安全是依托于业务。要在维持业务稳定性下开展安全
    3) 数据必须一直大量使用，在互联网+模式下，数据的边界将变得不可控，例如google的去内网化
2. 云/移动
    1) 在互联网+下，一个网站、业务系统、APP可能就代表了一整个公司，云业务系统的安全就是整个公司的安全
3. 国际/农村
    1) 产品在面对不同人群的时候，产品形态应该是不同的，在不同的法规、用户使用习惯下，安全服务于业务的形式都是不一样的 
4. 信用/大数据

安全还需要兼顾"体验"，安全就像水、空气一样润物细无声，用户的业务是透明接入的，无感知的，当发生安全威胁的时候，安全防御体系会自动出现，帮用户解决安全问题

0x4: 类似原理相关的技术

0x5: 攻防思考

2. 沈昌祥院士议题: 云模式下等保体系建设

国家级的院士讲的太理论化、高大上了，我并不能完全听懂院士的议题，而且现场还出现了"啪啪啪"事件，氛围挺不错的
三重安全防护

1. 计算环境
2. 网络区域边界
3. 网络通信

3. 安全的未来是态势感知

0x1: 演讲者

阿里巴巴安全研究员: 吴翰清

0x2: 技术背景

1. 安全从业者最大的痛点在于，客户花了钱，还被黑
2. FireEye、Mandian研究发现97%使用传统网络安全产品的企业无法抵挡现今的网络攻击

木桶原理: 黑客总是从意想不到的地方(0DAY)入侵，安全解决方案不能解决全部问题，黑客只要找到一个点就能入侵

1. 员工信息安全
2. 资料泄漏
3. 社工
4. 钓鱼欺骗
5. 第三方服务

安全市场分析，目前市场上对安全有需求的用户群里大致可以分为以下几类

//以下2类是目前运市场上占比较大的群体，主要以防入侵、数据防泄漏为刚性需求
1. 互联网行业、创业者
2. 小站长、个人

//以下2类是传统安全厂商重点关注的群体，主要以等保为刚性需求
3. 银行、电力、央企
4. 地方政府

0x3: 议题中的关键技术 / 技术难点

态势感知理论基础: 提出一个问题，比解决一个问题重要，全面、快速、准确的感知过去、现在、未来的安全威胁

1. 安全产生的数据可能比正常业务还多
2. 让数据在线
3. 连接不同的数据，从而创造新的价值

SIEM、SOC的失败

1. 部署难
2. IT信息维护难
3. 数据标准不统一
4. 计算能力弱
    1) 传统安全设备受限于单机性能，所以工作模式是: 过滤，即特征库匹配模式
    2) 因为存储不下来

三大关键数据源

1. 镜像流量数据
2. 主机Agent数据
3. 情报数据

0x4: 类似原理相关的技术

0x5: 攻防思考

Relevant Link:

https://www.fireeye.com/index.html

4. 网络安全的北回归线

0x1: 演讲者

启明星辰首席战略官: 潘柱廷

0x2: 技术背景

北向技术包括

1. 战略
2. 架构
3. 咨询智库
4. 基础方向
5. 人才
6. 效益经济
7. 生态环境
8. 心智

0x3: 议题中的关键技术 / 技术难点

1. 北向给内向以指导作用，一个产品不能解决所有问题，但不能代表这个产品就没有价值
2. 纵深防御的本质就是，所有的产品都有可能失效，当一个产品可能失效，但并不能代表这个产品就没有价值
3. 大数据实现的价值一定是在充分实现小数据的价值基础上，才能发挥大数据的违例，安全对抗的本质是成本的资金的对抗，大数据对抗是需要成本的
4. 北向的极端是战略

0x4: 类似原理相关的技术

0x5: 攻防思考

5. 互联网+时代的移动安全实践

0x1: 演讲者

阿里移动安全首席架构师: 潘爱民

0x2: 技术背景

1. 无线信号安全
    1) 各种无线信号的保密和真伪
2. 无线链路安全
    1) 接入internet、ap接入
3. 端的安全
    1) 操作系统、root、系统0day漏洞、厂商、app应用漏洞

移动业务面临的安全需求

1. 系统不安全，缺乏基本的可信执行环境
2. 应用分发渠道不可控，存在应用被冒用、篡改
3. 业务风险
    1) 帐号被盗、垃圾注册、信息泄漏
    2) 虚假交易、营销作弊、信用炒作

0x3: 议题中的关键技术 / 技术难点

APP模式挑战

1. 目前尚处于漏洞频发阶段
2. 漏洞修复的到达率取决于用户升级意愿和场景
3. APP版本长期处于新老版本混杂

阿里移动安全体系

1. 威胁感知
    1) root检测，手机root破坏了操作系统原有的保护机制，容易引发针对app攻击和业务风险
    2) 模拟器检测，app运行在模拟器中，容易受到逆向破解，抓分分析网络协议
2. app加固
    1) 针对app安装包进行加固，无需修改源代码或者二次开发
3. app风险扫描
    1) 应用漏洞扫描
    2) 恶意代码检测，对APK进行可疑代码段静态检测，恶意行为动态分析，特诊及黑名单匹配，查找隐藏在代码中

针对移动漏洞的方案

1. 流层保障: 安全测试、漏洞响应规范
2. 技术与架构
    1) 核心逻辑提供热补丁的能力: 适用于基础模块
    2) 模块级的升级/隔离方案: 特别是第三方模块
    3) 服务端的逻辑控制: 适合于业务逻辑模块
    4) 接入层控制: 适合于接口层/通讯层的逻辑

0x4: 类似原理相关的技术

0x5: 攻防思考

6. 政企安全之云化

0x1: 演讲者

安恒信息技术有限公司总裁: 范渊

0x2: 技术背景

1. 业务安全/应用安全依然是安全威胁的主要源头
2. 内部安全威胁趋势未减
    1) 各单位管理员
    2) 第三方代维人员
3. 政务通信安全

政企安全之大数据

1. 传统政企内网中的大量数据独立存放、独立分析
2. 数据在线存储最多为1~3个月
3. 难于深入挖掘和深入分析
4. 个数据之间无法联动
5. 各类安全数据需要集中存储、关联分析，形成安全分析综合平台

0x3: 议题中的关键技术 / 技术难点

数据库审计

1. 全面审计、分析数据库操作行为
//最重要、最关心的是: 变化，即通过一段时间的学习之后，而因为攻击/入侵产生的突变

政企内网等保安全建设落地

1. 技术安全建设
    1) 物理安全
    2) 网络安全
    3) 主机安全
    4) 应用安全
    5) 数据安全
2. 安全管理建设
    1) 安全管理制度
    2) 安全管理机构
    3) 人员安全管理
    4) 系统建设管理
    5) 系统运维管理
3. 指导建设
    1) 安全设计
//等级保护是做虚还是做实，在进行安全建设的时候要明白合规等保需要实现的价值

0x4: 类似原理相关的技术

0x5: 攻防思考

7. 制高点、雷区和火力支援-纵深防御体系中的能力点思考

0x1: 演讲者

安天首席架构师: (肖新光)江海客

0x2: 技术背景

海客在议题中重点讲到了沙箱技术，沙箱技术是一种很古老的安全对抗技术，虽然现在Sandbox被广泛运用在了高级威胁APT的防御中，但我们也要看到，以邮件、chm、PDF为代表的APT攻击，因为本身受限于攻击载体自身的限制，导致恶意代码不得不通过"文本转换为代码"这个过程实现攻击环境的初始化，而这个过程很容易遭到Sandbox的劫持，对Sandbox这种技术，我们需要理性看待，如果放在纯粹的二进制级别的Sandbox、Anti-Sandbox对抗中，沙箱技术是很难占上风的，因为这是在进行源码对源码的对抗

1. 一种必须部署的基本能力
2. 一种能够杀伤普通对手的能力
3. 一种高级攻击者必须绕过的能力
4. 传统的AV等基础检测能力才是"制高点"
5. 不要神话制高点
//制高点并不是说比基础防御就有效，而仅仅只是防御体系中必须的一个环节

沙箱:反思

1. 沙箱的核心优势是针对攻击中的数据->指令转换的弱点
2. 在复合鉴定器中，绝大多数检查率是静态机制贡献的，FireEye的检测引擎中也集成了开源AV检测系统ClamAV
3. 沙箱针对对PE对抗没有必然的优势，FireEye使用沙箱对抗的效果是因为在以PDF为代表的攻击路径中，受限于文本空间有限，而不得以借助于文本向代码转换

0x3: 议题中的关键技术 / 技术难点

1. 安全性与保密性的平衡
2. 用户端和云端检测能力的平衡，在客户端也需要有一定的检测能力

沙箱没法解决的问题

1. 完整性
2. 有效性
3. 准确性
4. 信息淹没

在安全攻防产品中，安全防御者还会面临的一个大问题是，即可探测性

1. 产品的能力是提供给用户的，但也是暴力在攻击者面前的，黑客者可以利用类似于SQL注入中的盲注技术思想，对安全产品的能力进行推理探测，从而逐步画出目前产品的防御能力谱线，针对性的制定Bypass措施，这也是免杀攻防对抗激烈的根本原因
2. 产品能力来自于更大的支撑纵深
//反馈是一种微秒的东西，它有可能导致黑客成功尝试获取目标产品的能力范围

0x4: 类似原理相关的技术

0x5: 攻防思考

Relevant Link:

http://card.weibo.com/article/h5/s#cid=1001603856252865263245&vid=5197078982&extparam=&from=&wm=0&ip=60.247.114.162
http://www.cnblogs.com/LittleHann/p/4460954.html
http://www.programlife.net/sandbox-detecting-tricks.html

8. 其他议题

电子商务业务与安全 趋势、挑战与应对: 郭睿
脱茧: 腾讯安全平台部负责人 杨勇 coolc
网络空间的信任模型-现状与挑战之--DNS信任体系: 段海新

9. 参会感受

总体来说，不论是甲方、乙方、还是融合了甲乙方特性的互联网公司安全部门，业内都基本形成了几个共识

1. 安全是一个纵深防御体系，在体系化结构下，没有哪个产品比哪个产品高端、先进，就像塔防游戏一样，只有在正确的位置/场景部署最合适的攻防产品，让产品的能力发挥最大的极限，才能真正解决安全问题
2. 安全是一个持续对抗，迭代升级的过程，传统的三大件(防火墙、IDS、IPS(Intrusion Prevention System))并不是说一定会淘汰，而是需要根据新形式下的攻防作出改进
3. 市场对安全最大的诉求在于"感知入侵、防入侵、反入侵"，要实现这个目的，需要有以下几个体系和人才的搭建
    1) 态势/威胁感知
    需要有传统的Agent产品完成基础数据的收集，以及依托云计算平台进行交叉关联的运算，实现情报->威胁的产出
    2) 安全漏洞(尤其是0DAY CVE)的原理性研究团队，在当前，WEB/系统/基础软件库的0DAY漏洞爆发，依然是导致用户资本被入侵的主要原因，当然这里并不包括APT攻击，但诚如海客说的，APT的防御一定是搭建在基础/常见漏洞已经极大程度、甚至完全消失之后的基础之上的，APT的防御相当于最后一张极细的过滤网
    3) 漏洞修复/Hotfix
    当漏洞出现的时候，不管是云厂商，还是传统甲方厂商，在尽可能的情况下，都需要帮助用户完成漏洞的修复，例如源码修复重编译、配置项的动态修改、内核打补丁，而漏洞修复是建立在完成了漏洞细节的研究的基础之上的
4. 安全产品虽然不是安全攻防的唯一形态，但是却是一个很好、很有效的形态，依托于安全产品，可以实现安全研究、漏洞修复、SDL的服务器输出
5. 系统层的安全加固、检测能够对用户的机器起到"安全基线"的作用，相当于一个简单、原始的"等保措施"