<mark id="oztn4"></mark>
0
看了這個標題，你又懂雷鋒網宅客頻道的套路了。
畢竟，我們是寫過《30個黑客向某運營商內網發起攻擊，結果對方拿出了對抗 NSA 級的武器……》和《近百名黑客向貴陽真實網絡發起攻擊，政府居然還給他們頒獎？》的人啊！
好的，我又坦白了：這是一場攻防演練，但是一家頭部互聯網用車平臺（眾所周知的那一家，以下簡稱 D）確實拿出了自己的真實互聯網應用來“操練”。
以前有人一打開就吐槽“又不是真實攻擊有什么好看的”，還好后來有宅友評論正了名：
每一場攻防演練都有一個目標。
這次雷鋒網要說的這場比賽名為“ X-NUCA 企業安全眾測靶場挑戰賽”。
NUCA 我懂，就是全國高校網安聯賽（ National University Cybersecurity Association），加上“X”也許是為了顯得神秘和酷炫吊炸天吧（據猜測，俗稱zhuangbility ）
這次目標是什么？作弊被抓又是怎么回事？
這場比賽吸引了 112 支戰隊，501 人報名。11 月 25 上午 9：00，各戰隊魚貫而入，對永信至誠搭建的靶場環境展開全面的攻勢。
所謂“靶場”，就是還原了互聯網企業內網場景的一個平臺，為參賽選手提供了一次內網安全檢測仿真演練的機會。參賽者需要在獨立的靶場環境中，與隊友共同探索黑暗，不斷地搜集線索，繞開死胡同，逐步完善大腦中對這個區域的地形圖，只有最早走出靶場的團隊才能發現寶藏。
說白了，就是仿真了一個小型企業內網的典型場景，讓參賽者嘗試攻擊，找出漏洞。
你要懷疑了，“仿真”和“真”還是有區別嘛，白云世界皮具城的名牌包能都是真的嗎？
首先，這個“靶場”還是很接近真實內網場景的，對于安全行業練兵而言，可能已經比 CTF 等做題類競賽更滿足企業的需求。
再者，為了讓攻擊“更真”，本次比賽在靶場仿真環境中引入了真實業務網站的測試，測試目標為 D 旗下的某一真實互聯網應用。
參賽者在靶場內網安全檢查模式中，只需答對簽到題，即可觸發隱藏關卡，進入“有信眾測”模式。參賽隊伍需在比賽時間內對該應用進行滲透測試，發現漏洞并按照指定報告的格式提交審核。
苦戰 8 小時后，來自暨南大學的 Xp0intFresh 戰隊榮登榜首，拿下了本場比賽的第一名，廣東外語外貿大學的 GWHT 戰隊以微弱分差拿下比賽第二名，南京郵電大學的X1cT34m戰隊斬獲了本場比賽的第三名。
蛤？D 居然敢拿出真實互聯網應用來給大家“眾測”？對，這就是之前提到的“有信眾測”，有幾個前提條件：
第一，有名有姓，不能亂來。所有的參賽者都實名注冊，要求必須是中國注冊的大學的學生，有指導老師，一個大學最多有兩支隊伍參賽。
“這個虛擬場景是我們濃縮的大多數典型的中小互聯網企業的網絡架構，到了眾測，則是選手們作為一個眾測團隊挖掘 D 的全域漏洞，只要是在 D 域名下，找到它的漏洞就可以提交得分。”永信至誠 CTO 張凱說。
由此，引出第二個要求：D 與永信至誠約定，所有數據不存儲在靶場的服務器上，漏洞都經過接口在 D 的 SRC 上提交。也就是說，只有 D 才能知道有什么漏洞。
第三，為了不影響 D 的業務，規定了比賽時間。
這樣一來，D 就愿意參與這場“游戲”了。
事實上，這場比賽有一個重要原因：吸引大家挖漏洞，發現人才。這也是之前雷鋒網提到的，每場比賽都有目的。
為了通過比賽甄選人才，張凱等人做了兩件事。
第一，抓作弊，保證公平公正，展現選手真的有“實力”。
要強調一下，這是一場線上攻防賽，這意味著請“外援”代打、參賽團隊之間“串題”、“串思路”等都是可以實現的。
雷鋒網曾采訪過一些頂尖 CTF 戰隊的選手，發現一個默認規則：如果比賽沒有明令不可請援手，一些戰隊會請場外隊友助攻。
在這場比賽中，主辦方明令“不許這樣”。
但是，光規定不行，還得真發現。張凱稱，于是，比賽平臺上線了“烽火臺反作弊系統”，配套多種手段來遏制作弊行為。
看上去有點像“烽火戲諸侯”有木有？不過，跟美女無關。張凱表示，“烽火嘛，大家一聽就覺得很形象，烽火就是信號，我們要來抓作弊的信號。”
“即使相同一道題，你拿到的答案和他拿到答案應該是不同的，如果我發現了這個答案是你的，然后被他提交了，這就是一個很危險的信號——這個答案怎么漏出去？
只有一種可能，就是有些人把信息傳遞出去了，而他嘗試，就是他希望作弊，在這樣的游戲規則下，就算把答案稍微修改也不行，因為每一個答案的字符串隨機生成，而且非常長，不是你能爆破得了的。
如果你爆破的話，系統也會直接提示把它接口封一段時間，這相當于你在攻擊平臺。”張凱說。
在本次競賽中，烽火臺反作弊平臺共監測到了 84 次異常操作。
第二，“搶 HR 的活”，評測選手的行為和能力。
靶場上線了一款綜合人才能力評定系統——“安全對抗能力體系”，可以理解為游戲中的個人綜合能力評分，根據戰隊與單個選手在比賽中的表現給出安全能力評級，從多個維度綜合評定每支戰隊、每名隊員在信息收集、漏洞利用、痕跡清除等多方面的技術優勢和短板，生成屬于個人的“安全能力優勢雷達圖”。
“我們未來會持續跟蹤每個學員的成長軌跡，為未來信息安全人才培訓和篩選提供強有力的素材。”張凱說。
“非官方說法就是，你們搶了 HR 的活？”雷鋒網問。
張凱說：“應該說我們給了參賽選手和 HR 一個更好的工具。這種在真實比賽中的能力圖譜（未來可能還會結合這個人在i春秋上學習的行為）幫我們更加清楚的定義了選手們的能力專長。我們總說企業找不到想要的人，安全人才培養找不到施力點，現在以上帝視角來看，就可以有針對性地設計比賽過程，讓更符合企業能力需求的人參與比賽，或者引導選手去向企業更真實的需求成長。”
張凱：我們一直提的方案是我們要模擬一個場景，這個場景一定是在我們這種工業化的情況下比較常見的典型場景。
我們一般都會模擬，比如互聯網的企業，或者一些小型的工業企業，這個場景里不僅有 web 類的，或者瀏覽器攻防、二進制攻防類的，我們是要搭建一個什么都有的典型場景。
它要有一個Web類區域作為入口進來，然后你再進入內網。這可能要分成幾個層級，比如比較低數據權限的這種內網區域和比較高數據權限的數據區域，模擬一家企業，一般企業的網絡就是以這樣的規模來存在，即使是現在在云上部署的那些企業的網絡基本也是這個架構。
我們希望讓這些互聯網安全圈內的人都能理解，一個黑客到底是如何對網絡進行這樣的攻擊，在攻擊過程中你就會知道自己在哪一個環節上設定相應的安全設備、規則、加固等，就能網絡安全做好。
我們模擬了這樣的一個企業內網，在四臺虛擬機的情況下把它分割成了三個不同的網絡，然后內置了 12 道題，一個戰隊登錄平臺后，隊員首先看到的這個場景是黑暗的，他只看到了一個入口，那個地方有一個Web網站，我們告訴他，已知的這個故事是——我們知道了這個目標企業網站被黑客進行了攻擊，我請來這些隊伍的目的就是請他們能重現或復現一下這個網絡場景里都有哪些漏洞，如何能夠找到遺失的關鍵信息。
每個戰隊通過這個入口一步一步尋找相應的情報信息來完成這個網絡的探索，找到相應的漏洞，最后拿到最危險的、最重要的資產信息。
在靶場中部署高度仿真的場景，是網絡安全競賽的發展方向。我希望未來靶場能夠融合交通運輸、通訊、水利、供電等基礎設施應用場景。
我們做了一場比賽后，又覺得說我們只是在靶場里模擬這樣一個場景，是不是真實性不夠好？所以，我們加入了i春秋的有信眾測的部分。
這個眾測部分的目標就是一個真實的互聯網企業。和我們這個靶場的不同之初在于，它是互聯網上的一個開放入口，后面確實有一個企業那么大的網絡，這個隊伍可以同時體驗虛擬的濃縮的典型場景和在互聯網上的真實企場景，同時發起攻擊，展現隊伍的能力。
另外，我覺得“有信眾測”是有市場的。我們“網絡空間安全智能仿真和眾測關鍵技術與服務北京市工程實驗室”是2017年北京49個工程實驗室中唯一一個眾測關鍵技術實驗室，獲得了北京市發改委的正式批復，這意味著“有信眾測”邁入了一個全新的階段。
張凱：可能我們確實低估了眾測的難度，一般情況下眾測應該提前多少天放出來，但因為和主辦方溝通了以后，主辦方認為，既然我們說是一場靶場比賽，最好還是比賽過程中再把信息透露出去，所以這個時間又太短了，造成的后果就是有些戰隊并沒有準備好，也確實夠難。
就 D 的全域而言，它已經被挖了好多年，一直不斷在搞，但是至少我們把這種模式介紹給了這些隊伍，他們也知道了這家公司有 SRC 這樣的地方。
就 D 自己的白帽子而言，其實也算是比較難挖的。這次算是拓展出來一個新模式。我們跟 D 聊的時候，D 其實也對于這次眾測沒有一個數量的預期，而是都想說進行嘗試，看看這種形式可不可以。這算是滴滴第一次引入眾測模式。
張凱：嗯對。我們做了從 CTF 到 RHG（機器人自動攻防比賽）等一系列線上線下賽事平臺，就是希望可以讓參賽者的能力轉變成網絡安全的原動力，讓安全競賽的價值回歸互聯網安全。但還沒有說做成了一個業務，這只是一個開始。
最后，來個小調查吧，你覺得怎樣才是高校的小萌新引起企業的重視，順利入職搞安全的最佳路徑？
A.打 CTF，畢竟獎金豐厚，很多企業也有自己的 CTF
B.邊上學邊到目標企業的 SRC 挖洞，近水樓臺先得月
C.去目標企業實習，接受大佬的實打實考驗
D.我是企業的，我就來看看這群小萌新怎么想的
E,組隊參加上述仿真型攻防挑戰賽，刷一波簡歷
F.給宅客頻道打電話，拿門票參加安全類活動，引起大佬的關注（別想了，湊數）
本文作者：雷鋒網網絡安全頻道專欄作者，李勤。
想了解更多網絡安全信息？歡迎關注雷鋒網旗下微信公眾號“宅客頻道”（微信ID：letshome）。
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
