網絡安全江湖“百曉生”揭密僵屍網絡的江湖排名

　　桃李春風一杯酒，江湖夜雨十年燈。

　　看過古龍的人都知道，他的作品中有這麼一位人物，通曉江湖事，著有《兵器譜》，名喚百曉生。亂世出英雄，如今網絡安全江湖今非昔比，風雲變幻，也出了這樣一位“百曉生”。攻防較量日趨焦灼，許多網安義士想要“懲奸除惡”，與宵小一決高下，必然要做到：知己知彼，百戰不殆。而網安江湖“百曉生”——威脅情報，則早已成為攻防雙方決策的重要依據。江湖中早有妖風，黑客組織借僵屍網絡為禍人間，如跗骨之蛆，伺機而動。“百曉生”《兵器譜》中僵屍網絡排名幾何?綠盟科技近期發布的《2018年度BOTNET趨勢報告》已有著述。

　　黑客的拿手伎倆——僵屍網絡

　　在面對互聯網威脅的過程中，Botnet即僵屍網絡，作為互聯網領域中持續時間最長的一類威脅形式，以其泛用性、靈活性、高可操作性等特征，成為攻擊者的主要攻擊手段之一，因此對僵屍網絡進行研究是必不可少的獲取情報的途徑。

　　僵屍網絡的招數變化

　　綠盟科技伏影實驗室基于2018年持續追蹤和研究所獲得的數據，發布了《2018年度BOTNET趨勢報告》，從Botnet在程序結構、運維方式、經濟模式等多個層次上發生的顯著變化進行了闡述：

　　u Botnet程序代碼結構普遍趨向成熟，開始呈現高度的模塊化特征，其惡意行為從執行DDoS攻擊擴展為結合挖礦、勒索等模塊的多元化攻擊;

　　u 新平台安全性的羸弱使得Botnet擴散傳播更為主動，Windows平台老家族活躍度下

　　降，IoT平台家族則迅速成長壯大;2018年，Linux及IoT平台家族的C&C服務器數量在整體數據中占比從上年度的4.4%提升至31%，産生的攻擊數量占觀測量的92%;

　　u IoT平台家族控制的肉雞發出的攻擊與高倍數反射DDoS攻擊技術相結合，達到隐藏攻擊源，産生巨量攻擊流量的目的，加大了DDoS攻擊防禦難度;

　　u Botnet開始向少數成熟且功能完善的家族集中，黑産團夥傾向于使用穩定的Botnet家族版本及C&C服務器;

　　u 控制者更多地将Botnet的C&C服務器部署在互聯網基礎設施發達的國家和地區，借助這些區域低廉的部署費用降低Botnet的維護成本;

　　u 我們觀察到，價格低廉、審核寬松的VPS(Virtual Private Server)降低了非組織黑産人員架設Botnet網絡的成本;

　　u Botnet控制者在套現方面表現得更加激進，Botnet向BaaS(Botnet as a Service)方向發展，使得其攻擊目标擴大至在線服務消費者以及線上黑色産業等。

　　網安江湖“百曉生”之所以揚名立萬，就是因為他的情報是從數據中提煉而來，從情報中感知威脅，這也就是威脅情報的核心理念。

　　“招數”源頭

　　僵屍網絡如此兇險的招數究竟出自何門何派呢?僵屍網絡最早的曆史淵源可以追溯到 1993 年在 IRC 聊天網絡中出現的 Bot 工具——Eggdrop，它能夠自動地執行如權限管理、記錄頻道事件等一系列功能，幫助 IRC 網絡管理員更方便地管理聊天網絡。黑客受到這種工具的啟發，1999 年 6 月，在因特網上出現的 PrettyPark 使用了 IRC 協議構建命令與控制信道，從而成為第一個惡意僵屍程序。

　　招數特點及斑斑劣迹

　　僵屍網絡在江湖中又為何如此臭名昭著?主要還是由于來勢洶洶，殺傷面積大。從2010年起，僵屍網絡開始迅速發展;2016年Mirai僵屍網絡對美國的電信服務商Dyn進行攻擊，導緻美國1/3地區的人們無法連接到互聯網，此時僵屍網絡的影響力已逐步擴大;時間到了2018年，攻擊者利用upnp漏洞傳播的僵屍網絡，在短時間内就控制了10W多台路由器，如果結合高放大倍數的反射攻擊，造成的損失将是無法估計的，遠遠超越2010年前的僵屍網絡所帶來的危害，短短8年間，僵屍網絡的時效及影響範圍已經達到了聳人聽聞的地步。諸如此類的攻擊不斷的升級，在這些高威脅來臨時，對防護類設備提出了新的考驗，也影響了威脅情報在網絡安全領域的發展方向及落地方式。

　　“江湖通緝令”

　　在國際上，工業界和政府部門非常關注僵屍網絡對因特網帶來的嚴重安全威脅，微軟公司在2004年發起了國際反僵屍網絡工作組，2006 年 6 月，美國陸軍研究辦公室 ARO、國防研究計劃署 DARPA和國土安全部 DHS 等 3 個部門聯合在 GA Tech 舉辦了僵屍網絡專門研讨會，彙集學術界、政府部門和工業界的研究人員對這一安全威脅進行了深入探讨，并彙總出版了《Botnet Detection: Countering the Largest Security Threat》。

　　2014年11月，受法國軍方支持，由民間組織建立了名為BotConf的僵屍網絡對抗技術論壇，彙聚了全世界研究僵屍網絡的安全研究人員，在此會議上發布了包括DGA算法的檢測手段等衆多研究成果。

　　2018年，由各大國際網絡安全廠商及電信服務商組成的CSDE理事會發布了《INTERNATIONAL ANTI-BOTNET GUIDE》，用以研讨如何與僵屍網絡攻擊進行對抗。

　　“百曉生”的千裡眼和順風耳

　　百曉生《兵器譜》的背後是千千萬萬個數據來源織就的恢恢法網，跟蹤與監測着黑客家族的一舉一動。在2018年綠盟科技伏影實驗室共監控到攻擊命令10萬餘條，其中有效攻擊目标數量為40萬餘次，相較去年(20萬餘次)增長了66.4%，受影響的行業包括新聞、投資、影視、消費、雲服務、遊戲等，嚴重影響人們正常的工作生活。伏影實驗室依托綠盟威脅情報平台，輸出了大量的僵屍網絡控制、攻擊信息，能夠協助終端設備快速定位威脅來源，迅速截斷惡意請求的流量，加大惡意流量的辨識效果，有效的提升了僵屍網絡的檢測率和阻斷率，保證各類業務正常運行。

　　伏影實驗室通過對Botnet的整體監控與分析，獲取了活躍攻擊方式、主要攻擊目标、主流攻擊手法等第一手情報，對關聯組織進行分析與畫像，進而實現對網絡攻擊的告警與預防乃至對黑産組織的定位與打擊。

　　江湖小貼士：

　　結合2018年度觀察結果，為了有效打擊Botnet，我們建議充分利用各機構、各部門現有的網絡資源進行協同治理。确定需要防禦的資産以及可能暴露這些資産的攻擊面，從而更好地淨化網絡空間。