读《漏洞》（齐向东）（二）

续上一篇。

利用人工智能发起鱼叉式钓鱼攻击：把用户发布的贴子作为训练测试数据，使钓鱼帖子更有可能被点击。

CGC(Cyber Grand Challenge)是第一个在没有人类参与、完全由计算机完成的CTF竞赛。

人工智能用于杀毒软件，无需频繁升级特征库。从大量“黑/白”样本中找规律。要求样本具有代表性，且标记正确。人工智能杀毒引擎的水平在于背后人类安全专家的水平。

以用户行为、系统日志为基础，确定正常用户的基线，从而找出异常。

网络舆论战成为推垮萨达姆政权的秘密武器。媒体报道称，很多伊拉克军官都收到过美军劝降的电子邮件。美国情报系统不断地向伊拉克国内具有社会影响力的主流阶层发送电子邮件，这些邮件列数了伊拉克总统萨达姆执政20年来的种种罪状，散布萨达姆及其两个儿子被“铲除”的消息，极力劝降社会主流人物。

俄罗斯与格鲁吉亚冲突时，在网络攻击期间，俄罗斯网民可以从网站上下载黑客软件，安装之后只要点击“开始攻击”按钮即可参与作战行动，进行网络攻击。（给人的启发是，如何利用民间网民的计算资源进行攻防。中国在这方面应该是有优势的。）

军民融合是国家重要发展战略。网络安全产业是网络国防力量的基础。军事需求反过来也会促进网络安全产业的发展。以色列”8200部队“里退伍的很多人成了高科技企业的精英。目前以色列是全球第二大网络安全产品和服务出口国。

在关键信息基础设施安装流量探针，就像安装摄像头一样。

态势感知，我的个人理解是对海量日志进行上下文分析、时序分析。黑客在攻击之前往往会通过扫描和多种攻击方法试探系统漏洞。

APT采用的攻击方法和技术都是未知的，依靠特征库匹配非常困难。

据补天统计，2018年1月漏洞平均修复时间为28.2天。WINXP、WIN2003等还有不少教育机构、政务办公系统、业务应用终端在使用。

病毒渗透内网的首要原因是员工私自搭建了网络。比如私自用网线把内网机和互联网插口连到一起，或者用手机开热点，然后将内网设备连接到wifi热点上，给内网带来了极大的风险。即使有严格的规定，也无法保证所有人都严格遵守。

业务安全网关SSG和用户行为实体分析UEBA是360提出的方法，专门用于发现内部人员的异常行为。

漏洞扫描，其实就是在检查版本号。

员工个人自带设备，尤其是移动设备，应该成为未来关注点。移动设备的漏洞修复过程不如windows成熟，运营商、手机厂商都是碎片化的，这些设备的漏洞评估和处置工作会很难展开。

构建低位数据能力（指架构防御和被动防御，主要作用是正确配置，收集日志，及时打补丁）需要很多运维人员；构建中位数据能力（指积极防御）需要很多分析师和调查员（比如恶意代码逆向工程师）；构建高位数据能力需要很多对抗的专家，比如漏洞挖掘、情报分析领域的专家。

关于《网络安全法》：
网络产品、服务的提供者发现其网络产品、服务存在安全缺陷、漏洞等风险时，应当及时告知用户并采取补救措施，并按照规定向有关主管部门报告。(漏洞防护责任)
网络运营者发现数据泄露、损毁、丢失时，必须及时采取有效措施降低危害，或采取技术等手段及时补救，及时告知用户，向有关主管部门报告；（数据保护责任）
采取监测、记录网络运行状态、网络安全事件的技术措施，并按照规定留存相关的网络日志不少于六个月。（日志记录责任）