時代的機遇與脈動：FreeBuf 2017互聯網安全創新大會（FIT）首日精彩全記錄

新聞 12-29

機遇是什麼？當電子科技行業不再像從前那樣一路高歌，甚至連全球經濟形勢都不夠景氣的當下，任何一個逆勢上揚的行當都是「機遇」。這樣的機遇，在整個時代的大背景下，顯得更為突兀，猶如心跳般一張一翕地表現出脈動。

「脈動與機遇」實際上就是這一屆FIT2017（FreeBuf 2017互聯網安全創新大會）的主題。所以我們聽到斗象科技創始人兼CEO袁勁松說，斗象科技目前已獲得7000萬元B輪融資，其中1000萬將用於啟動「戰車計劃」，專註安全人才培養、項目資助和安全研究。在國內經濟形式下行的大形勢下，安全行業的發展卻在逆勢上漲，澎湃的行業生態就是安全行業的「脈動與機遇」。

合縱連橫的安全事業

作為FreeBuf的主場，本屆FIT 2017自然也是整個斗象（FreeBuf所屬公司）團隊耗費大量精力打造的年度盛會。這種脈動和機遇就是從袁勁松《打造安全新生態的理想國》開始的。不止是拿出1000萬做戰車計劃，還在於斗象科技與FreeBuf的進一步戰略布局。

近一年的安全事件真可謂高潮迭起，所以FreeBuf的編輯們也是忙得不亦樂乎——尤其這下半年一浪高過一浪的攻擊事件，Shadow Brokers盜取NSA內部工具事件剛剛唱罷，Mirai殭屍網路立刻登場致美國半個互聯網癱瘓，雅虎不甘示弱——相繼宣布兩波5億和10億用戶數據被竊。

斗象科技創始人兼CEO 袁勁松

這是一個真正將原本在很多常人看來，「黑客還很遙遠」的想法帶往「這已經是近在咫尺，與每個人息息相關」的時代。莫說FreeBuf原本常年關注安全行業的媒體，如華爾街日報、BBC、USA Today這樣的社會媒體都無法對這些事件莫不關注。FOX News都已經在美國互聯網遭遇攻擊後向普羅大眾普及什麼是DDoS了。

這原本就是安全行業在向前推進，足以被社會大眾關注的表徵。這種脈動和機遇早就不是行業內一群人自High的遊戲了。所以我們聽到斗象科技和機智雲合作，共同建立了物聯網安全聯合實驗室，為物聯網設備安全保駕護航；所以我們也聽到，漏洞盒子平台這兩年來的成果，白帽子技能提升。

就好像萬物互聯時代，你家裡的不少傢具都需要承載安全屬性——將安全拓展到日常生活中，這大概是未來一段時間內所有人都需要思索的話題。所以FIT2017首日的演講議題也幾乎涵蓋了安全的方方面面。

思科大中華區安全業務總經理莊敬賢

就像思科大中華區安全業務總經理莊敬賢（Victor Chong）說的，「50年前，錢在銀行，搶錢的是劫匪；現在，數據就是錢，搶錢的是黑客」。這是實實在在的轉變，關乎每個人切身利益的轉變，而不是遙遠的神話。所以「新時代，需要全面地去看安全」——當然這也是思科現如今立足在網路邊界安全產品中就從攻擊前、攻擊中、攻擊後，以威脅防護為中心，建立全方位架構的原因。

代表未來，也在你身邊

用聯想全球CISO Richard Rushing的觀點來看，現如今的企業安全問題已經變得越來越複雜，需要從各種不同的角度做充分考量，不管是網路還是端點。防火牆、WAF都有技術繞過方式，端點部分的瀏覽器、沙箱技術、白名單機制要繞過也是稀鬆平常。即便如此，面對安全也不該持悲觀態度，從各種切分維度的各個層面注重安全才是FIT2017探討的重點。

聯想全球CISO Richard Rushing

怎樣關注安全？誰來關注安全？上海市經濟和信息化委員會信息安全處副處長劉山泉在開幕致辭中談了對此的看法，他認為：「互聯網融合發展，大量企業不斷湧現，在建設上海智能城市過程中具有不可替代的作用。但網路安全問題不斷出現，互聯網企業是應對網路安全問題的中流砥柱。」

上海市經濟和信息化委員會信息安全處副處長劉山泉

而中國互聯網協會網路與信息安全工作委員會秘書長何能強也提到：國家網路安全層面，提倡信息共享——這原本也是安全走入尋常百姓家，走上國家層面的佐證，或者各安全廠商和安全專家的發言，更在於小到手裡的手機、大至人工智慧的未來，都在一步步加大向安全的偏移。

中國互聯網協會網路與信息安全工作委員會秘書長何能強

IBM全球首席資訊安全架構師李承達分享《認知時代的安全體系》，這是IBM一直致力於人工智慧方向之後，將之應用到安全領域的典型。科技最前沿已經為安全所用，這是安全在世界當下位置的很好說明。

IBM全球首席資訊安全架構師李承達

這是IBM Security現如今一直在宣揚的「認知安全」概念——將深度學習應用到安全中。就好比如FreeBuf這樣的安全媒體、安全專家的安全博客每天都在更新，而這些資訊如果能夠集結為有意義、能夠為企業安全所用的威脅情報，價值自不可同日而語。如李承達所說，企業安全人員無法時時刻刻關注每一刻的安全動態，這項工作若由機器完成，由機器消化互聯網上大量「未組織過的」安全資訊，最終內化成自身的知識體系。這種認知技術即達成了在安全領域的絕佳應用方式。

這樣的深度學習，包含了對圖片、視頻資料，威脅資料庫、研究報告、安全教材、安全熱門網站的全面搜集。安全專家過往的積累也就不會付諸東流。這種認知計算或許會成為許多威脅情報提供商，以及傳統安全產品的重要補足——這種

面向未來的技術也正著眼安全

。

斗象科技聯合創始人兼CTO 張天琪（Pnig0s）

斗象科技聯合創始人兼CTO張天琪（Pnig0s）在談《「機器」如何推動漏洞檢測革命》則對機器學習做了深究。我們的小P同學饒有興趣地談到了風險檢測發展的三階段：基於規則->基於統計方法->機器學習。整個議題既論述了風險檢測引入機器學習的原因，也談到了機器學習的一般流程、和機器學習的風險識別流程，以及機器學習需要突破的難點。

這亦是著眼未來的技術，解決現如今實際問題的範例。但與此同時仍是安全行業的一致課題：協同合作，因為「機器學習需要結合其他專業知識、統計學知識，才能發揮最優效果」。

若論及立足當下

，基本都在下午的X-TECH技術派對了。

娜迦信息科技CTO 閻文斌

來自娜迦信息科技的閻文斌則從移動軟體保護原理的技術沿革入手，糾正了人們對殼的錯誤認識：其實，殼、加花、亂序混淆沒有想像中那麼簡單；被神化的虛擬機保護沒那麼複雜。並且向大家介紹了一種「投機取巧」的So自定義Linker技術和能夠在編譯期間提供保護的llvm安全編譯器。

安天移動安全公司副總經理陳家林

而來自安天移動安全公司的副總經理陳家林則從Android系統本身分析了威脅和可能的防護方案。從近年來Android系統漏洞趨勢和安卓系統漏洞研究數據，安天認為，下一個系統安全的主戰場是系統內核。那如何根治系統漏洞的頑疾呢？安天對此提出一種設想——智能檢測+智能防護，這種方法基於可信域的晶元級別的運行時安全防禦。將核心的檢測主邏輯和相應檢測規則放於高安全等級的可信域中，避免被惡意者攻擊從而喪失防護功能。

平安科技銀河實驗室信息安全研究員高亭宇

比較有趣的是首日大會將近結束時，平安科技銀河實驗室信息安全研究員高亭宇帶來的議題《淺談人臉識別技術的移動端應用風險》。這是個尤為深入現代人生活的議題，因為刷臉登錄、刷臉放貸、刷臉支付似乎已經成為很多人移動生活的組成部分。

但實際上，通過一些有趣的方式是完全能夠做到欺騙人臉識別的。即便有些人臉識別方案要求各種檢測，比如要求你在刷臉的時候眨眼睛，轉頭——然而要繞過這些刷臉過程也輕而易舉，且能用的方法不止一兩種。比如通過注入應用來繞過這種所謂的「活體檢測」；甚至使用一些軟體來製作照片的動圖，也能欺騙人臉識別方案；還有3D建模繞過雲端檢測；再不濟還有臉模攻擊方案。

像人臉識別這樣深入生活、原本為安全而生的技術卻如此脆弱，這也可算是安全在你身邊的代表了。

仍是一場極客技術盛宴

如果說上面這些或可歸結於把握安全脈絡的行列，那麼FIT2017首日的很多議題分享還是著眼於極客的。比如說半小時的Hack Demo一下子把現場與會者的情緒提升到了最高點。

哈爾濱理工大學機器人安全研究者薛恩鵬（燒雞）

哈爾濱理工大學機器人安全研究者薛恩鵬（燒雞）現場演示了《突破物理隔離的竊密方式》。大會舞台上，燒雞的機器人以竊取辦公室中電腦內的考試答案為目標，一步步讓裝載了攝像頭和各種感測器的機器人一路「偷偷」走近那台PC，隨後插入U盤，啟動——拷答案一氣呵成。

白澤安全團隊成員付山陽

而白澤安全團隊成員付山陽則演示了《機器人如何變身竊聽專家》。他利用未公開的漏洞遠程入侵併控制了一款時下流行的機器人，令其能夠被攻擊者利用，就好像你家裡的監控攝像頭被劫持一般，機器人能夠被更為靈活地用來監視你的一舉一動。

騰訊科恩實驗室研究院劉令/聶森

騰訊科恩實驗室研究院的安全研究員劉令/聶森給我們帶來了主題為《特斯拉網關的逆向揭秘》的演講。他們認為汽車網關在車聯網中是連接各汽車服務的橋樑，是黑客侵入汽車最為關鍵的一環。演講中，兩位研究員詳細地介紹了他們是如何通過多種渠道/工具對特斯拉汽車網關完成逆向分析，最終加以利用成功使一輛行駛中的特斯拉汽車在駕駛者未操作的情況下打開了後備箱。

除此之外，FreeBuf Live分論壇上的議題也同樣精彩繽紛。Freebuf年度作者bt0sea梁洋洋分享了《Web應用防火牆競品分析》——這也是他先前在FreeBuf發表之後引起廣泛關注的文章。梁洋洋從行業現狀、產品功能、交互設計、產品運營等多個角度分析了目前市面上常見的Web應用防火牆產品。

Freebuf年度作者bt0sea 梁洋洋

接著，漏洞盒子產品經理來勇為大家介紹了漏洞盒子4.0中的大量新特性，包括新引入的評級、積分和新的賽季制度，讓白帽子們愉快地玩轉漏洞盒子。

漏洞盒子產品經理來勇

火絨科技聯合創始人周軍帶來的《終端安全和威脅情報的雙重變奏》則從多個案例分析了當前的網路安全環境，也分享了自己對於目前的安全軟體行業的看法。

火絨科技聯合創始人周軍

WitAwards 2016三大獎項揭曉

除此之外，最為值得一提的是WitAwards 2016互聯網安全年度評選部分獎項的公布：

思科Firepower 4100新一代防火牆摘取了年度品牌力量獎項；東巽科技的鐵穹高級可持續性威脅預警系統拿下了年度技術變革獎；還有騰訊科恩實驗室摘取的年度安全團隊。另

一部分獎項預計會在第二天的FIT2017揭曉。

3名得獎代表發表感言

這次的WitAwards 2016為了提高專業性，首次引入了專業評委，優化了大眾評委、專業評委和專家評委的決策權重。大眾評委投票佔比20%，20天收到了超過25萬次投票；行業評委投票佔比30%；專家評委投票佔比50%（是由40名安全行業大牛組成的）。WitAwards是FreeBuf期望鼓勵安全從業者、研究人員、安全企業、產品和項目的評選活動，更希望通過擴大行業影響力，讓安全行業受到全社會的關注。

實際上，就如文首所述，安全得到全社會的關注已經是趨勢。這是互聯網的發展，以及人們生活方式轉變，脈動與機遇即在此刻凸顯。高峰圓桌環節，各嘉賓從各自角度闡述了自己對於安全趨勢的認識：國家信息技術安全研究中心金融安全處副處長曹岳說，現如今的數字錢包很多人認為不安全，但實際上這至少比帶現金安全——這就是對安全思維的轉變。

應當改變的並不是從互聯網生活中徹底解脫出來，而是如何在這樣的生活下提升安全性；上海互聯網應急中心運行部主任戴沁芸博士從《國家安全法》的角度，展望了一個更加安全，企業更加負責的未來；思科的Victory Chong則是代表了安全廠商的角度，他認為，威脅情報領域需要創新和突破；作為更偏重硬體的廠商，Panasonic產品安全中心亞太區負責人林永熙表示：平衡IoT設備成本和計算能力是Panasonic未來需要面對的問題；來自平安科技的陳建認為，一些新技術如大數據中的安全風險是企業需要面對的重大轉變和挑戰。

而在所有這些觀念、行業環境和技術的改變中處處都是我們未來要尋找的機遇。

更多大會精彩花絮：