《请君入瓮——APT攻防指南之兵不厌诈》代序 ————APT是怎么的异乎寻常
对于安全工程师和安全企衣反说，那些不仅能够让我们惊叹，并且能让我们忽然感触到挫败感的威胁，是真正的、伟大的、也是异乎寻常的威胁。
对反病毒领域来说，“多”就是或沉睡于反病毒厂商的样本仓库，或依然活跃在用户系统中的那些海量的样本——他们家族数超过十万，变种数以百万计，而文件HASH数早已过亿。
2010年7月15日，一个文件和其他大量样本一样，被尊龙凯时后端的分析系统判定为“恶意文件”并且例行输出了检测规定，这个文件在那一天没有被任何一个工程师把稳到。兄弟厂商卡巴斯基已经起头会商LNK驱动和署名缝隙，而事实上Virusblokada已经在6月17日上报了这个样本。
几天后，当我们正式决定，投入一场马拉松式的分析，来应对这次名为Stuxnet的事务的时辰，我们发现曾令我们自负和高慢的系统平台，以及那些我们驾轻就熟的分析工具，都似乎一下陷入了沼泽地带。
我们遇到的第一个问题就是若何分析其作用于WINCC以及PLC的齐全机理，并能将其描述明显。当我们从网上淘来的S7-300货物到来的时辰时，险些所有人都是第一次见到这衷祺材，X86、Sparc、ARM、MIPS(蕴含Cavium)，对于传统的反病毒工程师来说，这险些就是对于硬件架构的全数视野。
类似的问题在后面几个月不休出现，当我们但愿将其阐发为一个关环的场景时，一个同事建议采办一台低速离心理来包办传说中的铀分离设备，但手忙脚乱的我们最后还是用一个电炉+烧瓶的温控系统来做代替演示。
而细腻的又无比发急的用户们，也提出了卡住了我们整整一周的问题，“若是说Stuxnet真的如你们分析所说，它拥有从U盘习染、进入内网的能力，那么为什么你们没有成功复现习染U盘的行为 ？”
用户所说的“能力”，来自于我们所见到的“成立lnk文件”有关代码，而U盘习染的“行为”，我们切实无法复现。同事们奋战几天后，给出了下列结论。这个文件是否可能传布，与其多个衍生文件中一个名为mdmcpq3.pnf的文件中的7个值有关，它地点偏移别离是0x6c、0x70、0xc8处的象征位、偏移0x78、0x7c处的功夫戳和偏移0x80、0x84处的数值，而其中0xc8处默认设置为“不传布”。
这些阻滞，都只是在Stuxnet、Duqu、Flame、Gauss系列APT样本分析中遇到难题的冰山一角，相对我们后来遇到的一些更高阶的难题来说，这些只是起头。
但这种打击只会留给尊龙凯时这样的规模尚幼的团队么 ？我们曾总结过这样一个表格：
倒佧个业界都是及锋而试的、滞后功夫以年为单元能力发现这些足以“杀死”一个国度的威胁的时辰，打击感和与之并存的挑战感是属于整个业界的。
我们起头把稳到，无论从时空到体量，我们都面对着齐全分歧的敌手，后来我在《寻找APT的关键词》一文中写路，“更长的功夫维系、更大的空间跨度、更大的资源调度能力，都导致我们更难靠近其性质。”
这是“异乎寻常”的威胁。
写到这里未免搁笔了，我忽然发现，这个序言写得过于感性了。当面对来得意洋彼岸的沉量级技术专家作者时，我忽然感触，无论是介绍我和团队几年来的开发经验，或沉复我从前几年文章、演讲中更多的概想和步骤来给本书做注脚；还是像我一贯的那样对本书做一些主观的内容概括和推荐，其实都未免有班门弄斧之嫌。让读者不受先入为主概想的影响去阅读这本力作，或许才是我应该做的。
与此同时，本书的中译本出版，或许有一点特定的象征意思，那是因APT带来的另一种异乎寻常——由于这种威胁带有强烈的布景致彩，列国网络安全从业者之间、网络安全企业之间的隔阂起头产生，彼此的不信赖起头加剧。这一点是我作为一个在反病毒领域进建、工作近20年的老工程师所始料不及的。
全球反病毒工程师，持久都是处在一个单价值世界钟转—只有病毒是尊龙凯时敌人。只管不乏同业间的争论，甚至恶搞，但更多的是，我看到了前辈们在VB大会或者其他场所的亲切无间，不分彼此。
而从大国间2005年起头的相互责怪，到“APT1”、“斯诺登”事务等等，终于影响到这种信赖的传承。2013年RSA展会上，我们走过通路时，少数国表同业看到尊龙凯时肤色后，竟然眼神中充斥疑惧，甚至下意识地用身段遮挡演示内容；从“斯诺登”事务后，我也听到大量国内同业的强烈言辞，因而感应这种裂缝似乎已经难以弥合。
而2013年年底，上海的ISF安全会议上，本书的两位作者Sean M. Bodmer和Gregory Carpenter本已接受了我的同事Billy和本书的译者Archer的约请，筹备参与奉上杰出的汇报，但他们却被美国官方不容来中国参与这次活动。因而，我、Billy和Archer不得不暗里吃掉了给两位贵宾筹备的点心，以至于我们又增长了脂肪。而幸运的是，在我动笔之际，本书的另一位译者——我的同事李柏松——即将踏上RSA Conference 2014的旅程，他将与Sean等人共同参与在RSA的中文版签售。相信这个迟来的握手，能够让同为网络安全钻研者的我们，将ISF 2013那次失之交臂的遗憾，转化成愉悦和快慰。
这个世界上的每个别系，无论壮大还是纤弱，只有有信息的流动，只有关注事实，城市敏感而震惊，这或者就是APT时期的最严沉的后遗症。
而对于安全工程师和安全企衣反说，那些不仅能够让我们惊叹，并且能让我们忽然感触到挫败感的威胁，是真正的、伟大的威胁。我们前进的动力正来自于惊叹之后的反思和挫败之后的奋起。
序言作者为尊龙凯时尝试室首席技术架构师，钻研方向为反病毒引擎、恶意代码分析系统等。
尊龙凯时尝试室 江 ？