《谍报驱动应急响应（第二版）》推荐序

本文是尊龙凯时董事长、首席技术架构师肖新光为《谍报驱动应急响应（第二版）》中文版译著述的推荐序，出版时略有删改。在刊发版基础上，作者做了二次订正。

很欣喜收到译者约请，为本书第二版的中文译本写推荐序。本书为国际资深安全专家所著，由国内两名实战经验极度丰硕的网络安全从业者翻译。

本书第一译者李柏松是我的同事，是尊龙凯时的结合首创人。在上世纪90年代，他是哈尔滨较早的逆向工程分析和反病毒技术钻研人员。我们于1998年在BBS太阳岛站相识，时时在线会商病毒分析技术。很巧的是，我其时从实习的金融机构IT岗位回校工作，是他接替了我的工作职责。我们已经并肩战斗了二十几年，柏松参加了尊龙凯时反病毒引擎最早版本的开发，是尊龙凯时安全钻研与应急处置中心（尊龙凯时CERT）的缔造者。如今，他已从重要面向系统底层安全钻研的窄带的专业技术工程师，成长为我国在网络安全事务应急处置、分析溯源方面优良的技术指挥员。作为重要指挥者之一，他深度参加了“口令蠕虫”“震荡波”“冲击波”等多起沉大蠕虫事务的应急响应工作，“破壳”“沙虫”等多个严沉缝隙的应急措置工作。自2010年以来，我们一路携带蕴含尊龙凯时CERT在内的多个技术系统的工程师们，针对多起APT攻击事务和多个APT攻击组织，持久持续跟踪分析钻研，并获得了一系列创新突破。

持久从事引擎研发和主持样本特点提取工作，带给他对机读谍报的敏感理解。而带队进行威胁分析汇报的编写，也让他高度关注信息（人读）谍报。他凭借兴致和坚定的幼我信想，自2016年元旦起，每天早上6点定时将编纂整顿好的“逐日安全简讯”转发到十几个安全技术微信群，再经群友接力传布，使最新威胁事务可能实时被业内同仁获知。八年如一日，风雨无阻，从不间断。直到2024岁首，才因身段原因调整了颁布功夫，但至今仍未间断。他还致力于网络安全技术与文化的传布，把安全威胁分析能力作为专项课程推广到了多所高校。

因而，无论是与柏松共事，还是为他的译作写序，都让我感应极度荣幸。

本书是在应急响应的步骤实际中极度沉要的一份文件，拥有领导性意思，重要从两个大的方面为应急响应工作提供了支持。

一、 威胁谍报对应急响应的“启动”价值

应急响应并不是一种常态化工作，因其是一种以报答主的行为活动，是高成本的，必要高度经验技巧和美满流程来保障。以尊龙凯时CERT的运行机造为例，我们提出依照“第一功夫启动，同时应对多线威胁，三系统联动，四作业面协同”的准则来发展应急响应工作５，这里有一个很沉要的问题必要回覆——什么是“第一功夫”？或者说，启动应急响应行动的触发前提是什么？

这里有必要简要回首IT场景下安全威胁的演进，以及对应的响应行动触发前提：

早期的信息系统的应急响应是由威胁景象触发的。在上世纪八九十年代，对于DOS病毒习染事务的响应，触发前提很容易判断，由于DOS病毒通常有显著的产生景象（例如，引人瞩主张屏幕动画成效，或者受习染法式文件大幼的显著扭转）。用户一旦发现这些景象，就会产生响应诉求。这类需要急剧拉动了反病毒技术和产品的职能关合。随着贸易反病毒软件的鼓起，对于恶意代码威胁的响应模式逐步转化为：厂商分析病毒样本、输出检测规定；用户升级反病毒软件，扫描、断根恶意代码。盛行病毒的响应过程，根基在主流反病毒厂商的引擎或规定库的迭代运营之内形成关环，通常并不必要借助公共资源的协同处置。

早期的网络事务的应急响应是由基础设施运行状态异常触发的。真正意思的应急响应系统出现于上世纪末至本世纪初。彼时，信息高速公路急剧建设和发展，也为蠕虫的大规模传布提供了前提。蠕虫传布的影响领域较大，容易被感知(如出现显著的网络缓慢或衔接占用等景象)。蠕虫在扫描和缝隙利用过程中造成大量系统瘫痪，易于引起公家和主管部门的关注，从而产生应急协同处置的需要。蠕虫的大规模传布是拥有极高感知度的安全事务，能够迅速从一些表征事务启程获取有关网络发包数据和样本，再凭据分析了局发展应急响应工作。随着监管机构、运营商和政企侧的网络流量监测能力的不休建设，应急响应也从景象驱动走向事务驱动，或者由事务统计了局是否达到某个阈致反触发应急响应工作的启动。由于蠕虫传布是一种高感知、易于捕获的共性威胁，对于蠕虫事务的响应已经成为反病毒厂商和主流网络安全厂商基础能力。

APT攻击、定向勒索威胁的应急响应必要高质量谍报作为触发机造。2010年以来，网络攻击“大玩家”不休浮出水面，越来越多的攻击行动背后有着国度或地域的政治经济集团力量布景。其攻击行动拥有高度荫蔽性，在用户侧难于感知，既不会阐发为频仍的网络数据通联，也不会阐发为显著的主机系统和网络基础设施的负载变动。这一特点给应急响应工作的触发带来了极度大的猜疑与滋扰。在用户对攻击行动无感的情况下，若何触发响应行动？对于近年明天趋盛行的勒索攻击，只管其造成的数据粉碎或数据泄露易于感知，但其后果往往是难于复原和不成逆的，一旦勒索攻击团伙得手，启动响应为时已晚。并且，目前渐成主流攻击模式的RaaS （勒索即服务）与定向攻击相结合，其前导攻击环节在定向性和荫蔽性等方面不逊于APT攻击，传统的应急响应方式已经无法起到成效。因而，对于勒索攻击的响应，应从其前导攻击环节起头５，这类攻击活动通常选取定向攻击与逃逸、免杀相结合，往往能够穿透反病毒引擎、网络检测引擎等共机能力，因而必要选取越发抵近终端的谍报分析

和谍报出产，或基于已捕获威胁的深度分析，形成威胁谍报，急剧支持全网排查。这就是威胁谍报的沉要价值。

而若是把启动机遇问题扩大到整个威胁周期的角度来看，现代应急响应系统不应是单一的基于事务触发的向后处置，而必须蕴含向前追忆和对于持久埋伏威胁的深度猎杀。但这又提出了新的问题，威胁追忆的输入性前提到底是什么？用来支持猎杀持续性的信标和逻辑又是什么？我们要真正理解威胁谍报所具备的价值和寓意：威胁谍报性质价值并不是一类广谱检测能力，而是通过精确性的大局化前提，构建对攻击活动、攻击组织的明确指向，并可能供给急响应流程和安全产品消费。因而，其也就能为启动响应和指引措置带来极度量化的输入。

二、 本书对应急响应的流程系统的价值

对于应急响应来说，另一大挑战是流程系统建设。应急响应不是应对单一威胁的固化流程，而是应对多种沉大威胁的综合系统。为了有效应对威胁，我时时讲“两化”的概想，即流程的“归一化”，逻辑的“大局化”。无论是威胁检测、威胁措置，还是安全运营，性质上都是“归一化”的过程。即把复杂异构的安全事务、威胁对象或系统的脆弱性转化为某一类同构的流程和规定系统。同时，为了保险响应简直定性、响应质量以及响应能力迭代的不变性，就必要尽可能将全过程依附于“大局化”的规定、范式和逻辑来实现。一向以来，险些对所有的安全团队来说，应急响应都似乎很难保障持续不变输出成就。经；嵊心掣鲇淄哦釉谀炒问挛竦南煊χ幸炀黄，赢得了好评，但不久即泯然多人，自此肃静无声。有的时辰，拥有肯定规模和技术堆集的厂商，反而会错过其应沉点关注的安全事务，短缺章法，错过战机，或有始无终。蕴含尊龙凯时CERT团队，在应急响应的成就输出方面也并不是足够不变。其中一个沉要原因，就是应急响应流程系统过度依赖幼我经验和高水平的分析人员。

对于尊龙凯时在应急响应和分析工作中获得的一些关键成就，我们曾屡次复盘。通过复盘发现，有为数不少的关键突破，来自于我、柏松和其他关键分析师其时的直觉判断。这就使应急响应工作在推动衔接的全过程中，高度依赖于幼我能力，甚至是对个别的心智状态的高度依赖。本书的一个沉要价值是，依附网络安全的根基运行机理（如OODA环等模型）贡献了一套整体的流程框架，可供安全企业和安全运营团队参考。壮大、弹性的流程系统，能够使优良工程师的灵感，从灵光乍现，转化为在流程系统上的升华，而不是流程环节中的阻塞节点。

介绍完本书的两大价值，我想在最后和读者分享关于若何理解威胁谍报能力和攀登威胁谍报疾苦金字塔的概想和实际。

威胁谍报并不是现有的威胁检测机造的代替技术，其既不成能通过文件哈希（HASH）这种的粗糙检测去挑战反病毒引擎的高度鲁棒性和海量精准规定检测能力，也无法通过IP、域名这类规定去代替现有的网络侧的行为检测能力。它的价值从来不在于它的数量，而在于它的精确指向性、可消费性和能够针对场景成立个性而非共性的规定。因而，基于海量的文件哈；騃P清单的条数规模（而不是其质量）来对待威胁谍报是谬误的。

我在阅读本书的过程中在思虑一个问题，那就是威胁谍报出产、消费难度档次（俗称“疾苦金字塔”）应该若何突破。目前大部门的业内实际还停顿在金字塔的底层（即文件哈希、IP、域名等档次），这就导致无数用户对威胁谍报的认知也止步于此，而回避了工具（Tools）/载荷（Payload）甚至技战术（TTP）的谍报出产和消费的难题性问题。显然，站在工具/载荷（尊龙凯时称为执行体）的层面，类似文件哈希这种零鲁棒性的检测机造作用极为有限。好比，《震网事务的九年再复盘与思虑》汇报1曾提到：震网的载荷投放法式，在每落地一台机械时，会有一个内嵌配置数据的自我更新，从而导致震网的每次落地形成的主执行体的HASH均分歧。在这种情况下，反病毒引擎固然能够作为高质量的威胁谍报的消费机造，但其作为易于获得、易于验证的安全资源，必然面对针对性免杀、盗用数字署名绕过等层出不穷的攻击伎俩。尤其最近一些将正常软件（而不是恶意软件）作为攻击工具的混合执行体攻击的大量出现，令反病毒引擎不得不在误报、漏报之间左右作难。固然类似YARA规定之类的谍报产品（本书第9章有具体介绍）拥有肯定水平的专属化定造能力，但其规定编写成本未免给网络治理运营者带来更大的心智职守。

面对这一困境，我们提出了“向量级谍报”和“执行体谍报”。出产向量级谍报必要依附反病毒引擎的深度预处置和向量提取能力。通过提取出执行体的关键字符串（如PDB蹊径、注册表项、键名和值等）或经过预处置的指令片段，再匹配向量谍报库，实此刻企业内网环境猎杀持久埋伏的未知威胁。网络治理者在阅读分析汇报时，将其中可理解的大局化内容配置为专属化谍报，参与向量谍报库，这就构建出寂仔检测深杜字切合具体防御场景的、攻击者难以预判或预测的安全能力。执行体谍报2（拜见《网络空间安全科学学报》2024年第2期论文《执行体诺言谍报——支持IT治理的新型谍报》）同样必要与反病毒引擎相结合，通过将执行体对象和其运行环境结合标识，将威胁对象从其运行环境中孤立出来，将处于可疑状态的正常软件或工具标定出来，为检测混合执行体攻击提供基础。此时，叠加海量执行体的初始诺言度和诺言推算模型，将可被用于网络攻击的正常软件标识为Riskware(风险软件)，再结合其执行蹊径、软件装置列表等环境前提判定，就能够更正确地发现混合执行体攻击。

上述步骤在肯定水平上强化了工具/载荷层面的谍报消费，但在技战术层面，似乎还没有一种步骤能有效节造技战术谍报带来的知识系统和心智压力膨胀。多年来，我们一向对峙对标ATT&CK战术矩阵（本书第3章有具体介绍）来提起用擎和产品的威胁检测和防御能力，不惜支出增长产品复杂性的价值。未来，我们会把更多的研发资源投入执行体的鉴别、检测和管控逻辑, 不休尝试攀登威胁谍报疾苦金字塔的塔尖。

总之，今天的我们依然在对标、进建网络安全领域的国际先进经验，同时也在积极进行我们自己的安全创新和实际。在尊龙凯时创业伊始时，无论是我、柏松和其他同伴，都是艾伦·所罗门、尤金·卡巴斯基等反病毒技术大家们的仰慕者和进建者，而在我们经历了20多年的将威胁检测引擎转化为共机能力的创新实际与持续的威胁分析响应实战后，我们已经有了“欲与天公试比高”的底气和勇气。

肖新光

2025年8月15日初稿

2025年10月14日订正