0
看了這個標(biāo)題，你又懂雷鋒網(wǎng)宅客頻道的套路了。
畢竟，我們是寫過《30個黑客向某運營商內(nèi)網(wǎng)發(fā)起攻擊，結(jié)果對方拿出了對抗 NSA 級的武器……》和《近百名黑客向貴陽真實網(wǎng)絡(luò)發(fā)起攻擊，政府居然還給他們頒獎？》的人啊！
好的，我又坦白了：這是一場攻防演練，但是一家頭部互聯(lián)網(wǎng)用車平臺（眾所周知的那一家，以下簡稱 D）確實拿出了自己的真實互聯(lián)網(wǎng)應(yīng)用來“操練”。
以前有人一打開就吐槽“又不是真實攻擊有什么好看的”，還好后來有宅友評論正了名：
每一場攻防演練都有一個目標(biāo)。
這次雷鋒網(wǎng)要說的這場比賽名為“ X-NUCA 企業(yè)安全眾測靶場挑戰(zhàn)賽”。
NUCA 我懂，就是全國高校網(wǎng)安聯(lián)賽（ National University Cybersecurity Association），加上“X”也許是為了顯得神秘和酷炫吊炸天吧（據(jù)猜測，俗稱zhuangbility ）
這次目標(biāo)是什么？作弊被抓又是怎么回事？
這場比賽吸引了 112 支戰(zhàn)隊，501 人報名。11 月 25 上午 9：00，各戰(zhàn)隊魚貫而入，對永信至誠搭建的靶場環(huán)境展開全面的攻勢。
所謂“靶場”，就是還原了互聯(lián)網(wǎng)企業(yè)內(nèi)網(wǎng)場景的一個平臺，為參賽選手提供了一次內(nèi)網(wǎng)安全檢測仿真演練的機(jī)會。參賽者需要在獨立的靶場環(huán)境中，與隊友共同探索黑暗，不斷地搜集線索，繞開死胡同，逐步完善大腦中對這個區(qū)域的地形圖，只有最早走出靶場的團(tuán)隊才能發(fā)現(xiàn)寶藏。
說白了，就是仿真了一個小型企業(yè)內(nèi)網(wǎng)的典型場景，讓參賽者嘗試攻擊，找出漏洞。
你要懷疑了，“仿真”和“真”還是有區(qū)別嘛，白云世界皮具城的名牌包能都是真的嗎？
首先，這個“靶場”還是很接近真實內(nèi)網(wǎng)場景的，對于安全行業(yè)練兵而言，可能已經(jīng)比 CTF 等做題類競賽更滿足企業(yè)的需求。
再者，為了讓攻擊“更真”，本次比賽在靶場仿真環(huán)境中引入了真實業(yè)務(wù)網(wǎng)站的測試，測試目標(biāo)為 D 旗下的某一真實互聯(lián)網(wǎng)應(yīng)用。
參賽者在靶場內(nèi)網(wǎng)安全檢查模式中，只需答對簽到題，即可觸發(fā)隱藏關(guān)卡，進(jìn)入“有信眾測”模式。參賽隊伍需在比賽時間內(nèi)對該應(yīng)用進(jìn)行滲透測試，發(fā)現(xiàn)漏洞并按照指定報告的格式提交審核。
苦戰(zhàn) 8 小時后，來自暨南大學(xué)的 Xp0intFresh 戰(zhàn)隊榮登榜首，拿下了本場比賽的第一名，廣東外語外貿(mào)大學(xué)的 GWHT 戰(zhàn)隊以微弱分差拿下比賽第二名，南京郵電大學(xué)的X1cT34m戰(zhàn)隊斬獲了本場比賽的第三名。
蛤？D 居然敢拿出真實互聯(lián)網(wǎng)應(yīng)用來給大家“眾測”？對，這就是之前提到的“有信眾測”，有幾個前提條件：
第一，有名有姓，不能亂來。所有的參賽者都實名注冊，要求必須是中國注冊的大學(xué)的學(xué)生，有指導(dǎo)老師，一個大學(xué)最多有兩支隊伍參賽。
“這個虛擬場景是我們濃縮的大多數(shù)典型的中小互聯(lián)網(wǎng)企業(yè)的網(wǎng)絡(luò)架構(gòu)，到了眾測，則是選手們作為一個眾測團(tuán)隊挖掘 D 的全域漏洞，只要是在 D 域名下，找到它的漏洞就可以提交得分?！庇佬胖琳\ CTO 張凱說。
由此，引出第二個要求：D 與永信至誠約定，所有數(shù)據(jù)不存儲在靶場的服務(wù)器上，漏洞都經(jīng)過接口在 D 的 SRC 上提交。也就是說，只有 D 才能知道有什么漏洞。
第三，為了不影響 D 的業(yè)務(wù)，規(guī)定了比賽時間。
這樣一來，D 就愿意參與這場“游戲”了。
事實上，這場比賽有一個重要原因：吸引大家挖漏洞，發(fā)現(xiàn)人才。這也是之前雷鋒網(wǎng)提到的，每場比賽都有目的。
為了通過比賽甄選人才，張凱等人做了兩件事。
第一，抓作弊，保證公平公正，展現(xiàn)選手真的有“實力”。
要強(qiáng)調(diào)一下，這是一場線上攻防賽，這意味著請“外援”代打、參賽團(tuán)隊之間“串題”、“串思路”等都是可以實現(xiàn)的。
雷鋒網(wǎng)曾采訪過一些頂尖 CTF 戰(zhàn)隊的選手，發(fā)現(xiàn)一個默認(rèn)規(guī)則：如果比賽沒有明令不可請援手，一些戰(zhàn)隊會請場外隊友助攻。
在這場比賽中，主辦方明令“不許這樣”。
但是，光規(guī)定不行，還得真發(fā)現(xiàn)。張凱稱，于是，比賽平臺上線了“烽火臺反作弊系統(tǒng)”，配套多種手段來遏制作弊行為。
看上去有點像“烽火戲諸侯”有木有？不過，跟美女無關(guān)。張凱表示，“烽火嘛，大家一聽就覺得很形象，烽火就是信號，我們要來抓作弊的信號?！?br/>
“即使相同一道題，你拿到的答案和他拿到答案應(yīng)該是不同的，如果我發(fā)現(xiàn)了這個答案是你的，然后被他提交了，這就是一個很危險的信號——這個答案怎么漏出去？
只有一種可能，就是有些人把信息傳遞出去了，而他嘗試，就是他希望作弊，在這樣的游戲規(guī)則下，就算把答案稍微修改也不行，因為每一個答案的字符串隨機(jī)生成，而且非常長，不是你能爆破得了的。
如果你爆破的話，系統(tǒng)也會直接提示把它接口封一段時間，這相當(dāng)于你在攻擊平臺?！睆垊P說。
在本次競賽中，烽火臺反作弊平臺共監(jiān)測到了 84 次異常操作。
第二，“搶 HR 的活”，評測選手的行為和能力。
靶場上線了一款綜合人才能力評定系統(tǒng)——“安全對抗能力體系”，可以理解為游戲中的個人綜合能力評分，根據(jù)戰(zhàn)隊與單個選手在比賽中的表現(xiàn)給出安全能力評級，從多個維度綜合評定每支戰(zhàn)隊、每名隊員在信息收集、漏洞利用、痕跡清除等多方面的技術(shù)優(yōu)勢和短板，生成屬于個人的“安全能力優(yōu)勢雷達(dá)圖”。
“我們未來會持續(xù)跟蹤每個學(xué)員的成長軌跡，為未來信息安全人才培訓(xùn)和篩選提供強(qiáng)有力的素材。”張凱說。
“非官方說法就是，你們搶了 HR 的活？”雷鋒網(wǎng)問。
張凱說：“應(yīng)該說我們給了參賽選手和 HR 一個更好的工具。這種在真實比賽中的能力圖譜（未來可能還會結(jié)合這個人在i春秋上學(xué)習(xí)的行為）幫我們更加清楚的定義了選手們的能力專長。我們總說企業(yè)找不到想要的人，安全人才培養(yǎng)找不到施力點，現(xiàn)在以上帝視角來看，就可以有針對性地設(shè)計比賽過程，讓更符合企業(yè)能力需求的人參與比賽，或者引導(dǎo)選手去向企業(yè)更真實的需求成長?！?/p>
張凱：我們一直提的方案是我們要模擬一個場景，這個場景一定是在我們這種工業(yè)化的情況下比較常見的典型場景。
我們一般都會模擬，比如互聯(lián)網(wǎng)的企業(yè)，或者一些小型的工業(yè)企業(yè)，這個場景里不僅有 web 類的，或者瀏覽器攻防、二進(jìn)制攻防類的，我們是要搭建一個什么都有的典型場景。
它要有一個Web類區(qū)域作為入口進(jìn)來，然后你再進(jìn)入內(nèi)網(wǎng)。這可能要分成幾個層級，比如比較低數(shù)據(jù)權(quán)限的這種內(nèi)網(wǎng)區(qū)域和比較高數(shù)據(jù)權(quán)限的數(shù)據(jù)區(qū)域，模擬一家企業(yè)，一般企業(yè)的網(wǎng)絡(luò)就是以這樣的規(guī)模來存在，即使是現(xiàn)在在云上部署的那些企業(yè)的網(wǎng)絡(luò)基本也是這個架構(gòu)。
我們希望讓這些互聯(lián)網(wǎng)安全圈內(nèi)的人都能理解，一個黑客到底是如何對網(wǎng)絡(luò)進(jìn)行這樣的攻擊，在攻擊過程中你就會知道自己在哪一個環(huán)節(jié)上設(shè)定相應(yīng)的安全設(shè)備、規(guī)則、加固等，就能網(wǎng)絡(luò)安全做好。
我們模擬了這樣的一個企業(yè)內(nèi)網(wǎng)，在四臺虛擬機(jī)的情況下把它分割成了三個不同的網(wǎng)絡(luò)，然后內(nèi)置了 12 道題，一個戰(zhàn)隊登錄平臺后，隊員首先看到的這個場景是黑暗的，他只看到了一個入口，那個地方有一個Web網(wǎng)站，我們告訴他，已知的這個故事是——我們知道了這個目標(biāo)企業(yè)網(wǎng)站被黑客進(jìn)行了攻擊，我請來這些隊伍的目的就是請他們能重現(xiàn)或復(fù)現(xiàn)一下這個網(wǎng)絡(luò)場景里都有哪些漏洞，如何能夠找到遺失的關(guān)鍵信息。
每個戰(zhàn)隊通過這個入口一步一步尋找相應(yīng)的情報信息來完成這個網(wǎng)絡(luò)的探索，找到相應(yīng)的漏洞，最后拿到最危險的、最重要的資產(chǎn)信息。
在靶場中部署高度仿真的場景，是網(wǎng)絡(luò)安全競賽的發(fā)展方向。我希望未來靶場能夠融合交通運輸、通訊、水利、供電等基礎(chǔ)設(shè)施應(yīng)用場景。
我們做了一場比賽后，又覺得說我們只是在靶場里模擬這樣一個場景，是不是真實性不夠好？所以，我們加入了i春秋的有信眾測的部分。
這個眾測部分的目標(biāo)就是一個真實的互聯(lián)網(wǎng)企業(yè)。和我們這個靶場的不同之初在于，它是互聯(lián)網(wǎng)上的一個開放入口，后面確實有一個企業(yè)那么大的網(wǎng)絡(luò)，這個隊伍可以同時體驗虛擬的濃縮的典型場景和在互聯(lián)網(wǎng)上的真實企場景，同時發(fā)起攻擊，展現(xiàn)隊伍的能力。
另外，我覺得“有信眾測”是有市場的。我們“網(wǎng)絡(luò)空間安全智能仿真和眾測關(guān)鍵技術(shù)與服務(wù)北京市工程實驗室”是2017年北京49個工程實驗室中唯一一個眾測關(guān)鍵技術(shù)實驗室，獲得了北京市發(fā)改委的正式批復(fù)，這意味著“有信眾測”邁入了一個全新的階段。
張凱：可能我們確實低估了眾測的難度，一般情況下眾測應(yīng)該提前多少天放出來，但因為和主辦方溝通了以后，主辦方認(rèn)為，既然我們說是一場靶場比賽，最好還是比賽過程中再把信息透露出去，所以這個時間又太短了，造成的后果就是有些戰(zhàn)隊并沒有準(zhǔn)備好，也確實夠難。
就 D 的全域而言，它已經(jīng)被挖了好多年，一直不斷在搞，但是至少我們把這種模式介紹給了這些隊伍，他們也知道了這家公司有 SRC 這樣的地方。
就 D 自己的白帽子而言，其實也算是比較難挖的。這次算是拓展出來一個新模式。我們跟 D 聊的時候，D 其實也對于這次眾測沒有一個數(shù)量的預(yù)期，而是都想說進(jìn)行嘗試，看看這種形式可不可以。這算是滴滴第一次引入眾測模式。
張凱：嗯對。我們做了從 CTF 到 RHG（機(jī)器人自動攻防比賽）等一系列線上線下賽事平臺，就是希望可以讓參賽者的能力轉(zhuǎn)變成網(wǎng)絡(luò)安全的原動力，讓安全競賽的價值回歸互聯(lián)網(wǎng)安全。但還沒有說做成了一個業(yè)務(wù)，這只是一個開始。
最后，來個小調(diào)查吧，你覺得怎樣才是高校的小萌新引起企業(yè)的重視，順利入職搞安全的最佳路徑？
A.打 CTF，畢竟獎金豐厚，很多企業(yè)也有自己的 CTF
B.邊上學(xué)邊到目標(biāo)企業(yè)的 SRC 挖洞，近水樓臺先得月
C.去目標(biāo)企業(yè)實習(xí)，接受大佬的實打?qū)嵖简?/strong>
D.我是企業(yè)的，我就來看看這群小萌新怎么想的
E,組隊參加上述仿真型攻防挑戰(zhàn)賽，刷一波簡歷
F.給宅客頻道打電話，拿門票參加安全類活動，引起大佬的關(guān)注（別想了，湊數(shù)）
本文作者：雷鋒網(wǎng)網(wǎng)絡(luò)安全頻道專欄作者，李勤。
想了解更多網(wǎng)絡(luò)安全信息？歡迎關(guān)注雷鋒網(wǎng)旗下微信公眾號“宅客頻道”（微信ID：letshome）。
雷峰網(wǎng)原創(chuàng)文章，未經(jīng)授權(quán)禁止轉(zhuǎn)載。詳情見轉(zhuǎn)載須知。
