美國舉辦世界首屆網(wǎng)絡(luò)攻防大賽,墨云完成數(shù)千萬元A輪融資
2016年8月,美國國防部下屬國防高級研究計劃局(DARPA),舉辦了世界首屆機(jī)器與機(jī)器對抗的網(wǎng)絡(luò)攻防大賽(CGC)。參賽團(tuán)隊需構(gòu)建自動化系統(tǒng),對有缺陷的程序做自動加固和相互攻擊,這些系統(tǒng)不僅要能夠抵抗外來攻擊,還需同時反擊對手。
CGC大賽的舉辦,所影射的正是當(dāng)下網(wǎng)絡(luò)安全領(lǐng)域的現(xiàn)狀。
研發(fā)虛擬黑客機(jī)器人,通過模擬黑客的攻擊手法及攻擊路徑,對系統(tǒng)進(jìn)行滲透測試,找出系統(tǒng)的安全漏洞。有效提高了漏洞發(fā)現(xiàn)的效率、成功率。在高水平網(wǎng)絡(luò)安全人員稀缺,互聯(lián)網(wǎng)邊際向物理世界(如IoT)擴(kuò)張的今天,極大程度上解決了用戶自身專業(yè)人員短缺、漏洞與風(fēng)險排查難的問題。
近期,墨云完成數(shù)千萬元A輪融資,由藍(lán)馳創(chuàng)投領(lǐng)投。
以下全文2650字,閱讀時間約7分鐘。
你的防御系統(tǒng)已不是百毒不侵
如果把時間軸拉開,我認(rèn)為,中國的信息安全行業(yè)可以以2010年左右為基準(zhǔn),分成前十年和后十年。
前十年,即2000年左右起,企業(yè)開始建立自己的IT系統(tǒng),安全市場也就應(yīng)運(yùn)而生。當(dāng)時的市場重點(diǎn)在安全防御,比如防火墻、IDS、IPS等。趕上這波浪潮的安全硬件公司基本都上市了。
后十年,強(qiáng)調(diào)安全檢測、安全分析,以及漏洞挖掘。在新的網(wǎng)絡(luò)環(huán)境下,安全防御系統(tǒng)的防御效果變得愈加有限。
新的市場需求應(yīng)運(yùn)而生——幫助企業(yè)檢查原有的防御系統(tǒng)哪里有問題,為什么疲于應(yīng)付最新的黑客攻擊手段。所以,這一市場周期內(nèi),出現(xiàn)了很多檢測分析類以及攻擊類的公司。
黑客攻擊下,防御邏輯的失靈
黑客的攻擊邏輯和安全公司的防守邏輯有本質(zhì)上的不同。
安全防御體系是基于之前總結(jié)出規(guī)律的攻擊手段累計的集合,一個攻擊進(jìn)來,系統(tǒng)匹配到防御策略,隨后進(jìn)行防御。但是,黑客的手法卻不同,是不斷變化或迭代的。
如果說防御系統(tǒng)是墻,漏洞是縫隙;那么黑客攻擊就是水,只要從墻中間找出一條縫隙,穿過墻就可以了。
在進(jìn)行攻擊的時候,黑客一般不達(dá)目的不罷休,會不斷地調(diào)整攻擊手段和方法,持續(xù)攻擊,直到防御系統(tǒng)無效為止。
AI支撐下的黑客帝國
近幾年AI技術(shù)越發(fā)成熟,在各行各業(yè)都有應(yīng)用。黑客作為對新技術(shù)最為敏感的一個群體,早已將AI技術(shù)融入到攻擊手段中。很多將AI與網(wǎng)絡(luò)安全攻擊相結(jié)合的方法已經(jīng)被實際使用,而且效果明顯。
有了AI,黑客的自動化攻擊能力得到了很大的加強(qiáng),可以像人一樣判斷前面的障礙,尋找辦法越過障礙,并發(fā)動新一輪攻擊。
整個過程一氣呵成,可以直接制造出完整的攻擊殺傷鏈。
例如在魚叉式釣魚攻擊中,黑客能夠利用AI技術(shù)更快、更精準(zhǔn)地確定目標(biāo),并自動發(fā)送郵件。
魚叉式網(wǎng)絡(luò)釣魚攻擊:當(dāng)進(jìn)行攻擊的黑客鎖定目標(biāo)后,會以電子郵件的方式,假借該公司或組織的名義向被鎖定郵箱發(fā)送難辨真?zhèn)蔚泥]件,誘使員工進(jìn)一步登錄其賬號密碼,攻擊者借機(jī)安裝特洛伊木馬或其他間諜軟件,竊取機(jī)密。此外,攻擊者還能夠進(jìn)一步地在員工時常瀏覽的網(wǎng)頁中置入自動下載器,持續(xù)更新受感染系統(tǒng)內(nèi)的病毒。
再比如圖像識別技術(shù),黑客已經(jīng)能夠很輕易地攻破圖像驗證碼這一防線,深入到系統(tǒng)中實現(xiàn)撞庫。
撞庫:黑客通過收集互聯(lián)網(wǎng)已泄露的用戶和密碼信息,生成對應(yīng)的字典表,嘗試批量登陸其他網(wǎng)站后,得到一系列可以登錄的用戶名和密碼組合。
此外,AI還可以提高指紋識別的效率和精準(zhǔn)度,進(jìn)而提高下一輪攻擊的精準(zhǔn)度。
指紋識別:識別在暗網(wǎng)中的主機(jī)、網(wǎng)絡(luò)、物聯(lián)網(wǎng)設(shè)備、Web系統(tǒng)等資產(chǎn)的技術(shù)。
安全公司的防守
神經(jīng)網(wǎng)絡(luò)的參與程度甚至連1%都不到
黑客與安全產(chǎn)業(yè)之間,是「魔高一尺,道高一丈」的較量。在AI技術(shù)的影響下,網(wǎng)絡(luò)安全已經(jīng)從傳統(tǒng)的「規(guī)則性被動防御」轉(zhuǎn)變?yōu)椤钢鲃影l(fā)現(xiàn)」,且已經(jīng)取得了巨大的效果提升。
現(xiàn)在,AI技術(shù)基本已經(jīng)進(jìn)入了網(wǎng)絡(luò)安全的每一個細(xì)分領(lǐng)域,比如安全攻擊、病毒檢測、安全服務(wù)等。幾乎所有的安全公司都在向AI轉(zhuǎn)型。
傳統(tǒng)的網(wǎng)絡(luò)安全產(chǎn)業(yè)分為三大領(lǐng)域——安全硬件、安全軟件、安全服務(wù)。
安全硬件領(lǐng)域,傳統(tǒng)的防火墻廠商和WAF廠商目前已經(jīng)將AI技術(shù)融合在其防御系統(tǒng)中。曾經(jīng)的防火墻或者WAF的運(yùn)行原理,是基于規(guī)則和正則表達(dá)式的。針對每一種攻擊手法,設(shè)置一種攔截規(guī)則。AI引入之后,系統(tǒng)就可以動態(tài)調(diào)整規(guī)則??梢葬槍Σ煌墓魳颖?,實時生成新的防御策略并攔截,使攻擊鏈斷裂。
安全軟件領(lǐng)域,現(xiàn)已經(jīng)在廣泛地通過語義分析、自然語言處理的方式,從海量的日志文件中抽取告警信息,并分析某個日志中的告警信息與其他日志之間的關(guān)系。當(dāng)有新日志產(chǎn)生,系統(tǒng)就會迅速關(guān)聯(lián)、匹配,做出告警。
安全服務(wù)領(lǐng)域,常常需要通過攻擊的方式檢測系統(tǒng)的漏洞所在,因此黑客正在使用的手段這類公司都會采用。例如,利用圖像識別技術(shù)跨過驗證碼,以及在模擬釣魚攻擊過程中利用語義分析技術(shù)進(jìn)行大量的用戶信息比對等。
盡管如此,現(xiàn)階段AI和網(wǎng)絡(luò)安全的結(jié)合還處在早期,更多地是一些小的結(jié)合點(diǎn)。在很多方面,神經(jīng)網(wǎng)絡(luò)的參與程度甚至連1%都不到。
我們坐以待斃了嗎?
在我看來,應(yīng)對AI加持的黑客攻擊,在目前的技術(shù)進(jìn)程下,我們可以抓住最核心的一點(diǎn)——提高業(yè)務(wù)自身的安全性。
隨著互聯(lián)網(wǎng)的發(fā)展,很多0-day漏洞出現(xiàn)。這些漏洞能夠輕松跨過防御直達(dá)系統(tǒng)本身,如果系統(tǒng)本身漏洞百出,被攻破后黑客能直接訪問系統(tǒng)底層進(jìn)行數(shù)據(jù)竊取。
因此我主張建立完善的攻擊檢測系統(tǒng),盡量減少業(yè)務(wù)的源代碼漏洞、邏輯漏洞;或者通過修復(fù)方案修復(fù)業(yè)務(wù)系統(tǒng)本身。依靠系統(tǒng)自身的堅實做防御,而不是依靠外部的防火墻。
AI能為攻擊檢測系統(tǒng)做什么?
攻擊檢測系統(tǒng)的運(yùn)作大體上可以分為三個步驟:
1)對程序的源代碼進(jìn)行審計;
2)對程序用到的中間件、數(shù)據(jù)庫等組件進(jìn)行攻擊測試;
3)審核系統(tǒng)本身的邏輯行為漏洞。
AI可以解決掉這三個環(huán)節(jié)中很重要的一些問題。
在源代碼審計環(huán)節(jié),傳統(tǒng)的代碼審計工具經(jīng)常誤報、漏報。通過一些樣本對AI系統(tǒng)的訓(xùn)練,可以降低誤報率,提升審計效率。漏洞分為通用漏洞和邏輯漏洞。當(dāng)前AI在對未知位置上的通用漏洞進(jìn)行檢測,已表現(xiàn)出了較強(qiáng)的優(yōu)勢;但邏輯漏洞的檢測目前AI還不能勝任。目前,我的團(tuán)隊正在研究通過流量代理的方式檢測邏輯漏洞。
在攻擊檢測方面,墨云提出了一個全新的與AI結(jié)合的解決方案——利用AI技術(shù)模擬黑客攻擊。
在真實環(huán)境中利用「黑客劇本」動態(tài)生成攻擊路徑鏈,主動并持續(xù)地進(jìn)行入侵模擬,從而在真正黑客入侵之前發(fā)現(xiàn)漏洞及攻擊手法,為用戶展現(xiàn)全鏈條脆弱性所在。
這種從「黑客」視角出發(fā)的方式,對于企業(yè)安全態(tài)勢的分析評估、風(fēng)險的量化,以及當(dāng)前安全控制手段有效性的驗證提供了全面可靠的指導(dǎo),也有利于企業(yè)進(jìn)一步定位需優(yōu)先處理的重要安全問題。
在大多數(shù)行業(yè),AI輔助人工的優(yōu)勢體現(xiàn)為效率更高、成本更低、效果更好,在網(wǎng)絡(luò)安全領(lǐng)域也是一樣。
效率更高:一臺機(jī)器可以并發(fā)64個黑客進(jìn)行持續(xù)的滲透測試,且可以24小時不間斷,持續(xù)迭代。但對于一間普通公司來說,請這么多個安全工程師不間斷地工作,基本是不可能的。
成本更低:目前一位高級安全工程師年薪動輒百萬,用AI代替部分工程師的工作能夠幫助企業(yè)節(jié)省相當(dāng)可觀的人力成本。
效果更好:人類工程師個體存在差異,水平有高低。但機(jī)器的水平是可量化的、可預(yù)知的,且機(jī)器的服務(wù)可以產(chǎn)品化地復(fù)制下去。
從百億到萬億
數(shù)據(jù)顯示,預(yù)計2018-2021年國內(nèi)信息安全行業(yè)復(fù)合增速接近25%,2021年行業(yè)整體規(guī)模(安全硬件,安全軟件與安全服務(wù)合計)將超過620億。當(dāng)IoT時代到來,我相信市場會擴(kuò)張到千億級或萬億級。
現(xiàn)在是安全公司進(jìn)行早期積累的階段。誰的內(nèi)功更扎實——訓(xùn)練的模型更好、方法更優(yōu)化、解放的人力更多,那么未來這片市場就是誰的。
未來,在這樣大的市場空間下,無論是防御類還是攻擊類的安全產(chǎn)品,都會變成以AI為主導(dǎo)的,通過交互式機(jī)器學(xué)習(xí),進(jìn)行主動識別的產(chǎn)品。