Contents 目 录 APT 专 题 /04 安 全 视 点 /43 从 RSA2103 看 厂 商 APT 检 测 道 /4 基 于 记 忆 的 APT 攻 击 检 测 系 统 /9 浅 谈 APT 攻 击 的 检 测 与 防 御 /13 新 型 威 胁 分 析 与 防 范 研

Transcription

1

2 Contents 目 录 APT 专 题 /04 安 全 视 点 /43 从 RSA2103 看 厂 商 APT 检 测 道 /4 基 于 记 忆 的 APT 攻 击 检 测 系 统 /9 浅 谈 APT 攻 击 的 检 测 与 防 御 /13 新 型 威 胁 分 析 与 防 范 研 究 /17 深 入 解 读 RSA2013 热 点 技 术 /44 大 数 据 : 高 端 安 全 检 测 的 必 由 路 /49 当 息 安 全 遇 上 应 用 交 付 /52 国 产 数 据 库 安 全 审 计 市 场 正 崛 起 /54 息 安 全 的 大 年 和 小 年 /56 非 常 安 全 /23 安 全 实 践 /58 息 安 全 2012 年 年 度 热 点 回 顾 及 2013 年 年 度 热 点 展 望 /24 金 融 机 构 如 何 建 立 内 部 应 用 系 统 安 全 测 试 体 系 /59 数 据 库 审 计 产 品 从 根 本 化 解 统 方 难 题 /64 论 息 系 统 安 全 四 化 建 设 /68 数 据 库 全 方 位 防 护 专 访 启 明 辰 滕 文 静 /71

3 辰 动 态 /31 安 全 研 究 /74 VenusTech 2013 年 月 TOP 10 安 全 漏 洞 /75 辰 文 化 /78 点 灯 /95 与 爱 同 行 传 递 正 能 量 启 明 辰 特 派 员 工 亲 赴 宝 兴 县 地 震 灾 区 /79 在 路 上 我 的 爱 心 行 /83 行 是 知 始 实 践 出 真 知 纪 2013 年 Q2 公 司 产 品 工 程 实 施 规 范 及 技 术 交 流 大 会 /84 听 苹 果 父 讲 生 命 中 的 三 个 故 事 /96 神 奇 的 中 药 ( 四 ) 夏 日 中 成 药 /100 轻 松 一 刻 唐 僧 师 徒 的 极 品 笑 话 ( 一 )/101 Venus, 我 来 啦 /85 致 不 可 重 新 来 过 的 青 春 / 总 结 - 工 作 篇 ( 入 定 )/89 读 来 读 往 万 物 静 默 如 迷 辛 波 斯 卡 诗 选 / 年 06 月 刊 总 第 53 期 出 品 : 北 京 启 明 辰 息 技 术 股 份 有 限 公 司 编 辑 : 编 辑 部 名 誉 主 编 : 严 望 佳 主 编 : 潘 重 予 副 主 编 : 赵 武 进 执 行 主 编 : 徐 杨 地 址 : 北 京 市 海 淀 区 东 北 旺 西 路 8 号 中 关 村 软 件 园 21 号 启 明 辰 大 厦 邮 编 : 电 话 : 传 真 : 网 址 :

4 A P T 专 题 APT 4 APT 是 当 前 网 络 安 全 业 界 最 为 热 门 的 话 题, 这 种 改 写 了 网 络 安 全 游 戏 规 则 的 攻 击 行 为, 组 织 严 密 目 标 明 确 手 段 高 超 危 害 巨 大, 其 受 害 者 中 不 乏 大 型 企 业, 国 家 机 构 面 对 APT 攻 击, 传 统 的 安 全 防 范 手 段 无 能 为 力, 本 次 APT 专 题 邀 请 了 几 位 专 家 从 各 自 专 业 的 角 度 出 发, 全 面 分 析 了 APT 攻 击 并 提 出 了 可 实 践 的 应 对 解 决 举 措, 有 助 于 各 位 加 深 对 APT 的 理 解

5 从RSA2103看 厂商APT检测道 文/叶润国 一些代表性厂商的APT安全解决方 问该网站时 就遭受到网页代码的 RSA2013于2月25日到3月1 案和产品 攻击 RSA公司去年发现的水坑攻 击 Watering hole 就是采用这种 日在美国旧金山召开 本次RSA峰 会主题是 掌控数据 安全世界 APT攻击过程分解 攻击方法 这些恶意代码往往攻击 Mastering the data, securing 整个APT攻击过程包括定向情 的是系统未知漏洞 现有杀毒和个 the world 本次RSA峰会共有 报收集 单点攻击突破 控制通道 人防火墙安全工具无法察觉 最终 350家安全厂商参展 参展厂家数 构建 内部横向渗透和数据收集上 结果是 员工个人电脑感染恶意代 超过了以往RSA年会 单从技术热 传等步骤 码 从而被攻击者完全控制 点来看 这两年的RSA峰会热点并 1 定向情报收集 即攻击者有针 3 控制通道构建 即攻击者控制 没有太多变化 依然还是围绕数据 对性的搜集特定组织的网络系统和 了员工个人电脑后 需要构建某种 安全 企业安全管理 合规性 应 员工息 息搜集方法很多 包 渠道和攻击者取得联系 以获得进 用程序安全 DLP等热点 而围绕 括网络隐蔽扫描和社会工程学方法 一步攻击指令 攻击者会创建从被 数据和企业安全的APT检测成为了 等 从目前所发现的APT攻击手法 控个人电脑到攻击者控制服务器 今年RSA大会的最热门 APT攻击 来看 大多数APT攻击都是从组织 间的命令控制通道 这个命令控制 是近几年来出现的一种高级攻击 员工入手 因此 攻击者非常注意 通道目前多采用HTTP协议构建 以 具有难检测 持续时间长和攻击目 搜集组织员工的息 包括员工的 便突破组织的防火墙 比较高级的 标明确等特征 传统基于攻击特征 微博 博客等 以便了解他们的社 命令控制通道则采用HTTPS协议构 的入侵检测和防御方法在检测和防 会关系及其爱好 然后通过社会工 建 御APT方面效果很不理想 因此 程方法来攻击该员工电脑 从而进 4 各安全厂商都在研究新的入侵检测 入组织网络 内部横向渗透 一般来说 攻 击者首先突破的员工个人电脑并不 单点攻击突破 即攻击者收集 是攻击者感兴趣的 它感兴趣的是 有幸亲临今年的RSA峰会现场 收 了足够的息后 采用恶意代码攻 组织内部其它包含重要资产的服务 集了各安全厂商所宣传的APT安全 击组织员工的个人电脑 攻击方法 器 因此 攻击者将以员工个人电 解决方案 他们所提出的APT安全 包括 1 社会工程学方法 如通过 脑为跳板 在系统内部进行横向渗 解决方案五花八门 但为了能从众 给员工发送包含恶意代码的文 透 以攻陷更多的PC和服务器 攻 多方案中梳理出一条清晰的主线 件附件 当员工打开附件时 员工 击者采取的横向渗透方法包括口令 我们有必要先回顾一下整个APT攻 电脑就感染了恶意代码 2 远程漏 窃听和漏洞攻击等 击过程 然后再对这些APT安全解 洞攻击方法 比如在员工经常访问 决方案进行分类 最后 我们介绍 的网站上放置网页木马 当员工访 和防御方法来抵抗APT攻击 笔者 2 5 今 年的全球著名息安全峰会 数据收集上传 即攻击者在内 部横向渗透和长期潜伏过程中 有 5

6 A P T 专 题 意识地搜集各服务器上的重要数据 不管攻击者通过何种渠道向员工个 储和深入分析 它可在发现APT攻 资产 进行压缩 加密和打包 然 人电脑发送恶意代码 这个恶意代 击的一点蛛丝马迹后 通过全面分 后通过某个隐蔽的数据通道将数据 码必须在员工个人电脑上执行才能 析这些海量数据来还原整个APT攻 传回给攻击者 控制整个电脑 因此 如果能够加 击场景 大数据分析检测方案因为 强系统内各主机节点的安全措施 涉及海量数据处理 因此需要构建 APT检测和防御方案分类 确保员工个人电脑以及服务器的 大数据存储和分析平台 比较典型 纵观整个APT攻击过程发现 安全 则可以有效防御APT攻击 的大数据分析平台有Hadoop 很 有几个步骤是APT攻击实施的关 很多做终端和服务器安全的厂商就 多做大数据分析和日志分析的厂商 键 包括攻击者通过恶意代码对员 是从这个角度入手来制定APT检测 都是从这个角度入手来制定APT攻 工个人电脑进行单点攻击突破 攻 和防御方案的 典型代表厂商包括 击检测防御方案的 典型的厂商有 击者的内部横向渗透 通过构建的 Bit9和趋势科技 RSA和SOLERA 控制通道获取攻击者指令 以及最 6 3 网络入侵检测类方案 该类 典型APT检测和防御产品 后的敏感数据外传等过程 当前的 方案主要覆盖APT攻击过程中的控 APT攻击检测和防御方案其实都是 制通道构建阶段 通过在网络边界 围绕这些步骤展开 我们把本届 处部署入侵检测系统来检测APT攻 恶意代码检测类代表 RSA大会上收集到的APT检测和防 击的命令和控制通道 安全分析人 FireEye的恶意代码防御系统 御方案进行了整理 根据它们所覆 员发现 虽然APT攻击所使用的恶 盖的APT攻击阶段不同 将它们分 意代码变种多且升级频繁 但恶意 FireEye可以说是本次RSA大 为以下四类 代码所构建的命令控制通道通模 会上最火的公司 它所推出的基于 1 恶意代码检测类方案 该类 式并不经常变化 因此 可以采用 恶意代码防御引擎的APT检测和防 方案主要覆盖APT攻击过程中的单 传统入侵检测方法来检测APT的命 御方案最引入注目 FireEye的APT 点攻击突破阶段 它是检测APT攻 令控制通道 该类方案成功的关键 安全解决方案包括MPS Malware 击过程中的恶意代码传播过程 大 是如何及时获取到各APT攻击手法 protection System 和CMS 多数APT攻击都是通过恶意代码来 的命令控制通道的检测特征 很多 (Central Management System) 攻击员工个人电脑 从而来突破目 做入侵检测网关的厂商就是从这个 两个组件 其中MPS是恶意代码防 标网络和系统防御措施的 因此 角度入手来制定APT攻击防御方案 护引擎 它是一个高性能的智能沙 恶意代码检测对于检测和防御APT 的 典型代表厂商有趋势科技 飞 箱 可直接采集网络流量 抽取所 攻击至关重要 很多做恶意代码检 塔等 携带文件 然后放到沙箱中进行安 大数据分析检测类方案 该 全检测 CMS是集中管理系统模 入手来制定其APT检测和防御方案 类方案并不重点检测APT攻击中的 块 它管理系统中各MPS引擎 的 典型代表厂商包括FireEye和 某个步骤 它覆盖了整个APT攻击 同时实现威胁情报的收集和及时分 GFI Software 过程 该类方案是一种网络取证思 发 FireEye的MPS引擎有以下特 2 主机应用保护类方案 该类 路 它全面采集各网络设备的原始 点 ① 支持对Web 邮件和文件共 方案主要覆盖APT攻击过程中的单 流量以及各终端和服务器上的日 享三种来源的恶意代码检测 ② 对 点攻击突破和数据收集上传阶段 志 然后进行集中的海量数据存 于不同来源的恶意代码 采取专门 测的安全厂商就是从恶意代码检测 4

7 可疑和禁止加载执行的 只有那些 获取文件哈希列表 从而可以识别 高检测性能和准确性 ③ MPS支持 符合安全策略定义的软件才被认为 更多的恶意代码和可疑文件 除可执行文件外的多达20种文件 可和允许执行 Bit9可以基于 类型的恶意代码检测 ④ MPS可支 软件发布商和可软件分发源等 持旁路和串联部署 以实现恶意代 息来定义软件的可策略 同时 入侵检测类代表 码的检测和实时防护 ⑤ MPS可实 bit9还使用安全云中的软件誉服 趋势科技的Deep Discovery 时学习恶意代码的命令和控制道 务来度量软件可度 从而允许用 特征 在串联部署模式可以实时阻 户下载和安装可度较高的自由软 趋势科技的Deep Discovery 断APT攻击的命令控制通道 CMS 件 这种基于安全策略的可软件 专门为APT攻击检测而设计 它采 除了对系统中多个MPS引擎进行集 定义方案其实是实现了一个软件白 用网络入侵检测技术来检测APT攻 中管理外 还可以连接到云中的全 名单 只有那些在软件白名单中的 击的命令控制通道 同时 还可以 球威胁情报网络来获取威胁情报 应用软件才可以在企业计算环境中 通过在入侵检测引擎上部署恶意代 并支持将检测到的新型恶意代码情 执行 其它则是禁止执行的 从而 码检测沙箱来弥补传统特征攻击检 报上传到云中 以实现威胁情报的 保护企业的计算环境安全 Bit9 测的不足 Deep Discovery方案包 广泛共享 此外 FireEye还可以和 解决方案还包括一个可安装在每个 括检测 分析 调整 响应四个步 其它日志分析产品结合起来 形成 终端和服务器上的轻量级实时检测 骤 产品形态上包括Inspector和 功能更强大的息安全解决方案 和审计模块 它是实现实时检测 Advisor两个组件 Inspector是个 FireEye被认为是APT安全解决方案 安全防护和事后取证的关键部件 网络入侵检测引擎 依据获取的威 的佼佼者 其产品被很多500强企 Bit9的实时检测和审计模块将帮 胁情报息来检测APT攻击过程中 业采购 助你获得对整个网络和计算环境的 的命令控制通道 Inspector可以通 全面可视性 通过它你可以实时了 过Advisor及时获取到趋势科技的 主机应用防护类代表 解到各终端和服务器的设备状态和 全球威胁情报息 以便及时检测 Bit9的可安全平台 关键系统资源状态 可以看到各终 到各种新型的APT攻击命令控制通 端上的文件操作和软件加载执行情 道 同时 Inspector还包括一个 Bit9可安全平台(Trust- 况 同时 实时检测和审计模块还 Virtual Analyzer组件 它是一个 based security Platform)使用了软 审计终端上的文件进入渠道 文件 智能沙箱 用来分析捕获的恶意代 件可 实时检测审计和安全云三 执行 内存攻击 进程行为 注册 码 Adivsor为一个管理组件 可 大技术,为企业网络提供网络可视 表 外设挂载情况等等 Bit9解决 以实现对各Inspector引擎的集中管 实时检测 安全保护和事后取证等 方案还包括一个基于云的软件誉 理 同时 它还包括一个可选的恶 四大安全功能 从而可以检测和抵 服务 它通过主动抓取发布于互联 意代码分析引擎 可以接收来自检 御各种高级威胁和恶意代码 Bit9 网上的软件 基于软件发布时间 测引擎的恶意代码 从而实现恶意 解决方案核心是一个基于策略的可 流行程度 软件发布商 软件来源 代码的集中分析 此外 Advisor还 引擎 管理员可以通过安全策略 以及AV扫描结果计算各软件誉 承担了威胁情报的实时收集和分发 来定义哪些软件是可的 Bit9可 度 Bit9解决方案还支持从其它恶 工作 以实现各Inspector引擎间 安全平台默认假设所有软件都是 意代码检测厂商 比如FireEye 处 威胁情报的广泛共享 MPS硬件进行专门处理 目的是提 7

8 A P T 专 题 大数据分析检测类代表 RSA的NetWitness RSA NetWitness是一款革 种内部威胁 检测零日漏洞攻击 有检测和实时防御能力 大数据 命性的网络安全监控平台 它可为 检测各种定向设计的恶意代码和检 分析和入侵检测防御技术相结合 企业提供发生在网络中任何时间的 测各种APT攻击事件和数据泄密事 大数据智能分析平台应该是APT安 网络安全态势 从而协助企业解决 件 3 可对所捕获的网络和日志 全解决方案的核心 实现对APT攻 多种类型的息安全挑战 RSA 数据进行实时上下文智能分析 从 击事件的事后分析和情报获取 同 NetWitness是一组软件集合 针 而为企业提供可行动的安全情报 时 还应该配合主机应用控制 实 对APT攻击的检测和防御则主要由 息 4 可以借助NetWitness监控 时恶意代码检测和网络入侵防御等 Spectrum Panorama和Live三大 平台的可扩展性和强大分析能力来 技术 以实现对APT攻击的时间检 组件实现 其中 RSA NetWitness 实现过程自动化 从而减少安全事 测和防御 各APT安全厂商也已经 Spectrum是一款安全分析软件 件响应时间 并对变化的安全威胁 注意到这个问题 开始通过合作或 专门用来识别和分析基于恶意软件 做出及时调整. 者完善自身技术方法来改进自己的 APT检测和防御方案 以弥补其不 威胁的优先级 RSA NetWitness 主流APT攻击检测和方案后发现 足 比如 Junior和RSA近期宣布 Panorama通过融合成百上千种日 目前各厂家所推出的APT检测防御 在威胁情报共享上达成合作协议 志数据源与外部安全威胁情报 从 方法都具有一定的局限性 主要表 Junior的安全产品可以使用RSA 而可可以实现创新性息安全分 现为 很多APT攻击检测和防御方 NetWitness Live提供的安全威胁情 析 RSA NetWitness Live是一 案都只能覆盖到APT攻击的某个阶 报息 从而提升其安全网关的检 种高级威胁情报服务 通过利用来 段 从而可能导致漏报 很多APT 测能力 Bit9的可安全平台可以 和FireEye产品集成 利用FireEye 自全球息安全界的集体智慧和分 安全解决方案只能检测APT攻击 析技能 可以及时获得各APT攻击 并没有提供必要的APT攻击实时防 高性能智能沙箱和上亿的恶意代码 的威胁情报息 极大缩短了针对 御能力 我们认为 理想的APT安 库识别恶意代码 从而更有效地保 的企业网络安全威胁 并确定安全 纵观RSA2013大会上参展的 潜在安全威胁的响应时间 RSA 全解决方案应该覆盖APT攻击的所 障主机终端的安全 FireEye的恶意 NetWitness具有以下特点 1 可 有攻击阶段 也就是说 我们的 代码防御引擎可以和第三方的安全 对所有网络流量和各网络服务对象 APT安全解决方案应该包括事前 事件分析平台 SIEM 进行集成 的离散事件进行集中分析 实现对 事中和事后三个处置阶段 从而 从而可以实现对APT攻击的事后分 网络的全面可视性 从而获得整个 可能全面的检测和防御APT攻击 析和取证 网络的安全态势 2 可以识别各 理想APT安全解决方案应该同时具 8

9 基于记忆的 APT攻击检测系统 文/周涛 前言 基于记忆的APT检测原理 高级持续性威胁 Advanced 出不穷 而传统的检测往往只注重 在探讨APT攻击检测前 Persistent Threat 是当前息 边界防御 系统边界一旦被绕过 我们先分析下检测的内涵 从本质 安全产业界的热点 在最近两年的 后续的攻击步骤实施的难度将大大 上讲 检测是将求检对象从其所依 RSA大会中 APT都成为了大会上 降低 附的环境中识别出来的过程 为 攻击持续时间长 APT攻击分 了识别求检对象 我们需要从检测 有目标 有组织的攻击方式 APT 为多个步骤 从最初的息搜集 环境中采样能体现求检对象特征的 在流程上同普通攻击行为并无明显 到息窃取并外传往往要经历几个 数据 形成被检测域 需要依赖特 区别 但在具体攻击步骤上 APT 月甚至更长的时间 而传统的检测 定的背景知识 形成判据库 需要 体现出以下特点 使其具备更强的 方式是基于单个时间点的实时检 采取一定的判定算法 形成判定机 破坏性 测 难以对跨度如此长的攻击进行 制 最终在被检测域 判据 判定 有效跟踪 机制的共同作用下 做出是否存在 最受瞩目的关键词一 作为一种 攻击行为特征难以提取 APT 普遍采用0 day漏洞获取权限 通过 正是APT攻击所体现出的上述 未知木马进行远程控制 而传统基 特点 使得传统以实时检测 实时 于特征匹配的检测设备总是要先捕 阻断为主体的防御方式难以有效发 以传统的入侵检测系统 获恶意代码样本 才能提取特征并 挥作用 在同APT的对抗中 我们 IDS 为例 求检对象是网络攻 基于特征进行攻击识别 这就存在 也必须转换思路 采取新的检测方 先天的滞后性 式 以应对新挑战 2 求检对象的论断 整个过程如图1 所示 单点隐蔽能力强 为了躲避 传统检测设备 APT更加注重动态 行为和静态文件的隐蔽性 例如通 过隐蔽通道 加密通道避免网络行 为被检测 或者通过伪造合法签名 检测环境 求检对象 机制 被检测域 的方式避免恶意代码文件本身被识 别 这就给传统基于签名的检测带 来很大困难 3 判据 攻击渠道多样化 目前被曝 论断 1 4 光的知名APT事件中 社交攻击 0day漏洞利用 物理摆渡等方式层 图1 检测逻辑模式 9

10 A P T 专 题 击行为 检测环境就是包含了攻击 测 另一方面要丰富判定机制 在 场景 对各类攻击报警进行关联 行为数据的网络流量数据 为了检 检测已知攻击的同时能够兼顾对未 识别报警间的攻击层语义关系 测攻击 我们需要实时采集网络流 知攻击的检测 为此我们提出了基 根据孤立报警中建立完整攻击场 量 形成IDS的被检测域 需要提 于记忆的新检测模式 共分为四个 景 通常的做法是以关联规则的方 取各类攻击行为的网络特征构造特 步骤 式建立攻击场景知识库 通过对报 征库 作为IDS的判据库 需要采 扩大 即拓宽被检测域 对全流量 警进行匹配和关联 完成攻击场景 用特征匹配算法 作为IDS判定流 数据进行存储分析 这样在检测到 的构建 量中是否包含攻击行为的判断机 可疑行为时 可回溯与攻击行为相 制 有了流量数据 特征库 特征 关的历史流量数据进行关联分析 匹配算法 我们就能检测网络中是 前已发生过 未能引起分析人员 否存在已知攻击行为 注意的报警 有可能隐藏着蓄意攻 传统IDS这种检测模式 在应 击意图 通过这种回溯关联分析就 对常规攻击曾发挥了巨大作用 但 有可能进行有效识别 有了全流量 对于APT却显得无能为力 主要原 的存储 就有可能回溯到任意历史 因在于 时刻 采用新的检测特征和检测技 1 10 术 对已发生的流量进行任意粒度 络流量 只判断实时网络流量中是 的分析 这是本系统最大的特点 否包含攻击行为 而APT整个过程 浓缩 对存储下来的大数据进行降 的时间跨度很长 从单个时间点的 解操作 删除与攻击无关的数据以 角度看APT无法了解全貌 也无法 节省空间 同时保留与攻击相关的 识别攻击者的真实意图 只有将长 数据以备后续分析 浓缩环节需要 时间的可疑行为进行关联分析才能 借助于攻击检测模块 可通过第 实现APT的有效检测 三方检测设备如IDS的报警进行降 传统IDS的判断机制是特征匹 解 也可直接对全流量数据进行异 配 只能检测出提取过攻击签名的 常检测产生可疑报警 基于报警事 已知攻击行为 而APT过程中往往 件进行降解 采用0day 特种木马 隐蔽通道传 精确 对产生的可疑攻击数据做进 输等未知攻击 无法通过误用检测 一步深入分析 产生对攻击行为的 的方式进行准确识别 只有通过异 精确报警 可通过多维数据可视化 常检测的方式才有可能识别出可疑 分析 定位可疑会话 再进一步对 的攻击行为 流量数据进行细粒度协议解析和应 2 传统IDS的被检测域是实时网 鉴于上述不足 要有效对抗 用还原 识别异常行为和伪装成正 APT 我们一方面要扩大被检测 常业务的攻击行为 本环节需要分 域 将基于单个时间点的实时检测 析人员的参与 通过人机结合的方 转变为基于历史时间窗的异步检 式提升分析效率和准确度

11 系统框架 按照数据 息 知识逐层提炼的模式 基于记忆的 APT攻击检测系统结构分为三级 系统整体架构图如下 分析层完成从原始流量数 展示层 图 2 攻击场景关联 多维数据可视化 分析层 存储层 异常流量检测 可疑行为识别 应用对象还原 统计分析 会话还原 应用识别 元数据提取 存储策略管理 基 于 记 忆 的 检 测 系 统 架 构 图 分析层 据中产生独立报警息的 工作 主要方法包括 对于能引起网络流量显著异常 的攻击 如DDoS 扫描 蠕虫传 播等 可通过异常流量检测和统计 分析的方式进行识别 通过建立全 面 完整的安全基准指标体系 可 以快速识别网络流量异常 通过统 计分析 可准确定位异常的位置和 原因 对于不引起流量异常的未知攻 击 可通过可疑行为建模的方式进 行识别 例如对于尚未提取特征的 存储层完成对从互联网直 对于全流量数据 进行窗口长 木马 其连接控制端的时候可能会 接获取的实时数据流的预 度为期级的存储 由于全流量数据 存在未知的加密传输 疑似心跳 处理和存储管理工作 会占用海量存储空间 不宜进行长期 号的间歇性连接 恶意域名访问 对实时数据流首先进行传输层的会 存储 但全流量数据对于后续的回溯 异常的上下行流量比等行为 通过 话还原 消除因网络条件造成的乱 分析又是必须的 为此采用折中的存 对这些可疑行为进行关联 就有可 序 重传 延迟等对后续分析的干 储策略 只存储最近几周 例如1-2 能检测到木马连接行为 扰 然后进行应用协议识别 判断 周 的全流量息 对于超期的数据 数据流上所承载的具体应用 最终 进行降解处理 对于通过异常检测模块产生 的各类报警 由于缺乏攻击签名 从非结构化的数据流中抽取结构化 对于元数据 进行年度级的存 息进行验证 其准确度往往低于基 的元数据息 以便后续的各类统 储 提取后的元数据只包含应用层会 于特征匹配的误用检测 为此还需 计和关联分析 话的关键息 其数据量大约相当于 要结合原始报文 对报警的有效性 预处理后的原始数据流 既包 全流量息的5% 这类息对后续 进一步确认 通过报文所承载的应 括完整的全流量数据 又包括提取 的统计 关联和数据挖掘具有重要的 用层对象做细粒度的协议解析和还 后的元数据 考虑到海量数据的存 作用 且占用的空间在可接受范围 原 可辅助分析人员判定会话内容 储压力 可对不同类型的数据采取 内 因此在平台中进行长期存储 是否包含攻击数据 从而进一步产 灵活的管理策略 生精确报警 存储层 11

12 A P T 专 题 展示层完成从孤立的攻 效检测 但对于APT这样的时间跨 疑报警 对相关主机的数据进行回溯 击报警息生成完整的 度长 攻击目标明确的攻击行为 分析 对相关的历史流量进行协议解 攻击场景的关联工作 在整个攻击过程中总会存在若干个 析 应用识别和还原 能够得到邮件 并提供可视化分析前端工具 帮助 攻击暴露点 以此为基础对相关的 附件 被植入的木马文件 分析人员 分析人员从存储的海量历史数据中 流量进行回溯关联 就有可能获取 再对还原后的内容做进一步的确认 获取知识 对于攻击场景关联 常 攻击者完整的攻击意图 就能够识别攻击者的真实意图和已经 展示层 发生的攻击行为 并评估自身的息 见的方法是基于关联规则匹配攻 以某个攻击过程为例 攻击 击场景 由于APT攻击手段的复杂 者试图获取某息系统中的重要数 性 在实际环境中往往会因为报警 据 为此 攻击者先搜集到了该 事件的缺失导致无法进行完整攻击 息系统部分用户的邮箱地址 然后 总结 路径图的匹配 进而导致建立APT 给这些用户发送了邮件 其附件中 APT的出现 既给传统检测技 场景失败 为此要解决基于不完整 包含了某个利用了0day漏洞的文 术带来了挑战 也为新兴技术的应 攻击路径的攻击场景匹配问题 对 件 导致用户打开附件时执行了恶 用带来了机遇 硬件技术的发展 于多维数据可视化分析 要提供给 意命令并被植入了未知木马 攻击 使得处理器运算能力不断增强 单 分析人员一套能从地址 端口 协 者通过加密的命令控制通道 对用 位容量存储成本不断降低 这为我 议类型等维度对数据进行统计展示 户主机实施远程控制 获取了息 们基于大数据进行APT检测提供了 的工具 并支持按照不同的粒度对 系统中的重要数据 在这个攻击过 必要条件 数据进行钻取 方便分析人员在大 程中 由于攻击者所利用的漏洞 对于APT攻击 我们的对抗策 数据中定位可疑行为 植入的木马都缺乏特征 采用的远 略是以时间对抗时间 改变传统基 程控制通道又是进行了加密 现有 于单时间点进行特征匹配的局面 基于攻击签名的检测方式很难进行 对长时间窗的数据进行关联分析 有效检测 并辅以异常检测算法 以解决现有 典型应用场景 资产损失状况 常包括息搜集 获取入口点 实 有了本文所述的基于记忆的 检测手段的不足 通过扩大检测 施远程控制 攻击目标横向转移 APT攻击检测系统 对整个攻击过程 域 丰富检测机制 形成了新一代 重要资产数据发现 数据泄露等环 的数据进行存储 辅以异常检测方 基于记忆的智能检测系统 随着大 节 对于攻击防御方而言 由于特 法 就有可能实现检测 例如 通过 数据技术的发展 各类检测算法的 征的时效性和检测手段的局限性 可疑行为识别 系统能检测到用户 丰富 基于记忆的智能检测系统将 未必能够在攻击的起始阶段实现有 主机上的可疑加密传输行为 基于可 在应对APT攻击中发挥更大作用 12 一次典型的APT攻击过程 通

13 浅谈APT攻击的检测与防御 文/陈彦伟 什么是APT攻击 光行动 2009年 Stuxnet 病毒攻击事件 2010年 到 McAfee公司公布的针对西方能 源公司的夜龙行动 2011 RSA SecureID遭窃取事件 2011年 以及近期的针对 韩国金融和政府机构的遭受的网 络攻击 2013年 相大家 对 APT攻击 这个概念并不陌 生 那么什么是APT攻击 我们 该如何进行正确的认识 有效的 防御呢 本文将从如下几个方面 进行介绍 APT即 Adavanced 的进行渗透 搜集 窃取有价值 Persistent Threat 是指针对明 的数据资料 攻击的过程往往具 确目标的持续的 复杂的网络攻 有极强的隐蔽性 使传统的入侵 击 这个概念最早是在2006年左右 检测系统 安全审计系统等安全 由美国波音公司 United States 产品不易察觉到 Air Force 提出的 在2010年 Threat: 威胁是指能够利用漏洞 Google公司承认遭受严重黑客攻击 或脆弱性对息资产造成破坏 损 后 APT攻击成为息安全行业热 失的事物或行为 APT攻击无疑对国 议的话题一 家 企业的息系统构成严重威胁 那么究竟什么是APT攻击 APT攻击又有哪些特点呢 下面让我 们从它的名字入手 一起来看看 APT攻击的主要特点 APT就像网络世界神秘莫测的 Adavanced 这里是指黑客攻 刺客 以其自身的特点威慑着目标 击的手段 技术复杂多样 既会利 系统的安全 用已知的漏洞 工具 也可能会利 针对性 与传统的网络攻击相 用一些未知的漏洞 工具 例如 比 APT攻击针对性很强 传统的 0DAY漏洞 特种木马等 同时还 网络攻击一般会选择相对容易的攻 会结合社会工程学的相关知识 技 击目标 而APT攻击在选定攻击目 能 此外 高级 还指攻击行为的 标后 一般不会改变 整个攻击过 目标明确 策划精密 有别于撒网 程都经过攻击者的精心策划 攻击 式的传统网络攻击 一旦发起 攻击者会针对目标网络 Persistent APT攻击往往 尝试不同的攻击技术 攻击手段 持续时间较长 1个月 1年 3 不达目的绝不罢休 年 甚至更长时间都有可能 攻 隐蔽性 APT攻击具有极强的隐 从针对Google等公司的极 击者在此期间会对目标系统不断 13

14 A P T 专 题 蔽性 攻击者往往会利用丰富的经 验 先进的技术 超凡的耐性来掩 内部威胁 盖自己的行踪 躲避常规安全产品 的检测 并且整个攻击过程时间跨 组合攻击 欺骗钓鱼 度较大 给APT攻击的防御带来极 大的挑战 复杂性 在APT攻击过程中 攻击者往往会利用多种攻击技术 攻击手段 不仅会利用已知安全 APT 木马后门 漏洞 木马后门 还可能会利用 跨站脚本 0DAY漏洞 特种木马 通常会结 合社会工程学的相关知识 并且攻 击路径复杂 如下为APT攻击可能 利用的攻击手段 SQL注入 僵尸网络 0DAY漏洞 APT攻击的一般过程 尽管每起APT攻击事件都有不同的企图 不同的攻击目标 但是准备和实施APT攻击有 一个通用的过程 一般可以划分为4个阶段 即搜索阶段 进入阶段 渗透阶段 收获阶段 收获阶段 APT攻击过程 搜索阶段 对攻陷的服务器进行远程 控制 设法躲避安全检测 预警设备的检测 将敏感 数据传送至黑客指定的服 务器进行存储 渗透阶段 14 搜索收集关于目标单位的 公司息 人员组织结构 特定人员个人息 与目 标单位有业务来往的单位 息 息系统应用软件 息 安全策略等等 进入阶段 通过购买 肉鸡 或结合 社会工程学进行欺骗 攻 击等多种方式获取目标单 位的第一个落脚点 后续 黑客将以此为跳板对目标 单位内网进行渗透 攻击 对目标单位内网实施进 一步的渗透 攻击 利 用口令猜测 漏洞溢出 特种木马等手段获取内 网大量服务器的访问控 制权限 搜集对攻击者 而言有价值的敏感数据

15 搜索阶段 APT攻击与普通网络 渗透阶段 攻击者利用已经控制的 攻击相比 在息搜索的深度和 计算机作为跳板 通过远程控制 们在每个阶段可以做些什么呢? 广度上有明显不同 APT攻击的 对企业内网进行渗透 寻找有价值 搜集阶段 攻击者在此阶段主要任 攻击者会花费大量的时间和精力 的数据 与进入阶段类似 本阶段 务是收集息 制定计划 在此阶 用于搜索目标系统的相关息 一样会考验攻击者的耐心 技术 段我们可以依托安全威胁检测 预 他们会了解企业的背景 公司文 手段 警系统 识别攻击者对企业网络的 化 人员组织 还会收集目标系 收获阶段 本阶段攻击者取得初步 嗅探 扫描行为 做到提前防范 统的网络结构 业务系统 应用 成就 他们会构建一条隐蔽的数据 加强对息系统的安全管理 例如 程序版本等息 随后攻击者会 传输通道 将已经获取的机密数据 定期进行安全检查 加固 尽量少 制定周密的计划 识别有助于攻 传送出来 其实本阶段的名字叫 的暴露系统息 提高初始攻击的 击目标达成的系统 人员息 收获阶段 但却没有时间的限 难度 定期对员工进行安全意识培 收集 开发或购买攻击工具 APT 制 因为APT攻击的发起者与普通 训 提高员工的安全防范意识 攻击可能会利用特种木马 0DAY 攻击者相比是极端贪婪的 只要不 进入阶段 攻击者在此阶段会想办 漏洞利用工具 口令猜测工具 被发现 攻击行为往往不会停止 法获取企业内部的计算机作为实施 以及其它渗透测试工具 持续的尝试窃取新的敏感数据与机 入侵行为的第一个落脚点 在本阶 进入阶段 攻击者会进行间断性的 密息 段我们可以依托安全威胁检测 预 攻击尝试 直到找到突破口 控制 方法如下 警系统识别正在进行的攻击行为 如何防御APT攻击 合理配置入侵防御系统 防火墙等 如果APT攻击是一把利剑 那 产品的安全策略 阻断常规的攻击 恶意文件 精心构造 并以邮 我们只有铸造一只坚实的盾牌 才 尝试行为 提高警惕 避免攻击者 件 IM软件等形式向内部员工发 能抵御它的寒光与威慑 结果社会工程学进行诱骗 一旦发 送的携带恶意代码的PDF Word 正所谓 知己知彼 百战百 现攻击事件 启动事件处置及应急 文档 胜 在我们对APT攻击有一定了 响应流程 恶意链接 以邮件 IM软件等形 解后 也要自省其身 了解企业的 渗透阶段 渗透阶段与进入阶段类 式向内部员工发送携带恶意代码的 安全现状 才能做好防护 例如 似 攻击者都会尝试不同的攻击技 URL链接 诱使员工点击 企业与哪些机构通讯交互 术 攻击手段对目标系统进行入 网站漏洞 利用网站系统的漏 企业的组织结构 侵 可以考虑通过合理规划安全 洞 例如SQL注入 文件上传 现有的安全策略有哪些 域 加强系统账户的安全审计 系 远程溢出等等 控制网站服务 哪些数据是机密数据 需要加 统账号及权限管理 系统安全策略 器作为跳板 对企业内部进行渗 强保护? 优化等手段提高攻击者继续渗透的 透 攻击 是否有检测APT攻击的技术手段 难度 此外 威胁监测和安全意识 购买 肉鸡 这是一种最便捷 是否有完善处理息安全入侵 同样是强化的重点 的攻击方式 即从地下黑市直接购 事件的应急响应流程? 收获阶段 在本阶段攻击者会设法 买企业内部已经被其它黑客攻陷的 员工的安全意识是否需要强化 将获取的机密数据息传送至企业 计算机 外部网络 因此对于敏感流量 非 企业内网的第一台计算机 常见的 回顾APT攻击的四个阶段 我 15

16 A P T 专 题 法连接的检测变得尤为重要 历过众多国家重点科研项目 息 M2S 2.0持续威胁监测服务有 APT攻击无法通过单一的安全 安全保障项目的洗礼 依托专业的 安全产品和安全服务有机结合 即以 产品和安全技术进行有效的检测 安全产品 安全服务 以及最佳实 专业的安全服务为粘合剂 将传统的 防护 企业只有建立以安全技术与 践 启明辰推出M2S 2.0持续威 入侵检测 蜜罐系统 异常流量检测 安全管理相结合的纵深防护t体系 胁监测服务 协助企业铸造APT攻击 等与敏感流量检测 恶意代码检测 才能抵御APT攻击的威胁 此外 防御的壁垒 以及其它新兴的安全产品和检测技术 APT攻击与防御的一般过程中 威 M2S 2.0持续威胁监测服务的 进行整合 实现对APT攻击的监测 胁检测贯穿始终 因为只有及时发 目标是通过专业的安全产品监测客 识别 告警 如下为部分监测及服务 现APT攻击 我们才能在第一时间 户息系统中的异常网络行为和恶 目标 阻止网络攻击事态的继续恶化 进 意攻击行为 例如0Day漏洞利用 目前 M2S 2.0持续威胁检测 而有的放矢的完善企业的安全防护 特种木马事件 间谍软件事件 服务已经陆续在公司部分重点客户进 体系 组合攻击事件等 依托启明辰 行试点部署和实施 并且已经取得了 ADLab专业的安全服务能力对安全 不错效果 在不到半年的时间里 已 产品的告警息 日志数据进行深 经检测到3起恶意网络入侵行为 ADLab APT检测防御 启明辰是诚的安全产品 入挖掘 分析 将异常网络行为和 在APT攻击检测防御的路上 安全服务 安全解决方案供应商 在 恶意攻击事件以分析报告的形式清 我们已经起步 并且我们会追求卓 安全服务方面具有多年的技术沉淀和 晰的展现出来 使客户能够对安全 越 做到更好 积累 ADLab安全服务团队更是经 事件进行及时处置 ODay漏洞威胁监测 特种木马威胁监测 16 M2S 2.0 组合攻击威胁监测 敏感流量威胁监测 内部攻击诱捕服务

17 新型威胁分析与防范研究 摘要 本文通过对以APT 什么是新型威胁 网络安全 尤其是Internet 性地进行的一系列攻击行为的整个 互联网安全正在面临前所未有的挑 过程 APT攻击利用了多种攻击手 战 这主要就是来自于有组织 有 段 包括各种最先进的手段和社会 特定目标 持续时间极长的新型攻 工程学方法 一步一步的获取进入 击和威胁 国际上有的称为APT 组织内部的权限 APT往往利用组 Advanced Persistent Threat 织内部的人员作为攻击跳板 有时 高级持续性威胁 攻击 或者称 候 攻击者会针对被攻击对象编写 为 针对特定目标的攻击 这些 专门的攻击程序 而非使用一些通 攻击统称为新型威胁 用的攻击代码 为代表的新型威胁的实例研究 2011年美国NIST发布了 此外 APT攻击具有持续性 分析了新型威胁的攻击过程 技 SP800-39管理息安全风 甚至长达数年 这种持续体现在攻 术特点 当前国内外的发展现 险 其中 对APT进行了定义 击者不断尝试各种攻击手段 以及 状 给出了新型威胁的基本定义 拥有高级专家和丰富资源的敌对方 在渗透到网络内部后长期蛰伏 不 和描述 以及应对新型威胁的总 使用多种攻击技术 包括网络的 断收集各种息 直到收集到重要 体思路和具体具体手段 最后 物理的 欺骗性的 为达成其一系 情报 本文还简要叙述了新型威胁自身 列目标而实施的一类威胁 通过在 更加危险的是 这些新型的 的技术发展动向 目标组织的IT基础设施中建立并扩 攻击和威胁主要就针对国家重要的 展落脚点 这些目标通常包括窃取 基础设施和单位进行 包括能源 息 破坏或抵制某项使命或任 电力 金融 国防等关系到国计民 务 或者潜伏起来以便在未来的某 生 或者是国家核心利益的网络基 个时候达成这些目标 APT为了达 础设施 成其目标会持续较长的一段时间 对于这些单位而言 尽管已经 会想方设法隐匿自己 会与外界保 部署了相对完备的纵深安全防御体 持一定程度的交互以执行其任务 系 可能既包括针对某个安全威胁 一般认为 APT攻击就是一 的安全设备 也包括了将各种单一 类特定的攻击 为了获取某个组织 安全设备整合起来的管理平台 而 甚至是国家的重要息 有针对 防御体系也可能已经涵盖了事前 文/叶蓬 17

18 A P T 专 题 事中和事后等各个阶段 但是 这 18 国内 样的防御体系仍然难以有效防止来 此外 国际上 尤其是美国着 根据CN-CERT发布的 2012 自互联网的入侵和攻击 以及息 重炒作来自中国的APT攻击 最典 年我国互联网网络安全态势综述 窃取等新型威胁 型的是Mandiant公司发布的 对 我国面临的新型威胁攻击的形势同样 APT1组织的攻击行动的情报分析 比较严峻 利用 火焰 病毒 高 新型威胁的国内外发展态势 报告 将APT1攻击行动的发起 斯 病毒 红色十月 病毒等实施 国际 者直接定位到中国军方 在美国旧 的高级可持续攻击 APT攻击 活动 2013年4月份Verizon发布的 金山举办的RSA2013大会上 直 频现 对国家和企业的数据安全造成 2013年数据破坏调查报告 分 接以中国APT攻击为主题的报告就 严重威胁 2012年 我国境内至少 析了全球47000多起数据破坏安 有6个多 有4.1万余台主机感染了具有APT特 全事故 621宗确认的数据泄漏案 以防范APT攻击为契机 各 例 以及至少4400万份失窃的记 国纷纷加强国家级的网络空间安全 录 报告 指出有高达92%的数 研究 相关政策制定与发布 美 据破坏行为来自外部 有19%的数 国 加拿大 日本 欧盟各国 北 据破坏行为来自国家级别的行为 约等国家和组织纷纷强化其网络空 利用脆弱的或者窃取到的用户身份 间安全的国家战略 其中就包括应 访问凭据进行入侵的行为占到了 对APT在内的国家级的敌对方的攻 76% 而各种黑客行为和恶意代码 击 ENISA 欧洲网络与息安全 依然是主要的息破坏手段 报告 局 北约CCDCOE 协作网络空 2010年的Google Aurora 将包括APT攻击在内的息破坏的 间防御卓越中心 兰德公司 欧 极光 攻击是一个十分著名的 敌对方分为了有组织犯罪集团 国 洲智库SDA公司都对世界主要国家 APT攻击 Google的一名雇员点击 家或国家资助的组织 黑客活跃分 的网络空间安全战略思想 安全威 即时消息中的一条恶意链接 引发 子三类 胁特征 安全防御水平等进行了较 了一系列事件导致这个搜索引擎巨 为深入的对比分析与研究 人的网络被渗入数月 并且造成各 FireEye发布的 2012年下半 击邮件都使用zip格式的附件 征的木马程序 新型威胁的实例说明 下面列举几个典型的APT攻击 实例 以便展开进一步分析 Google极光攻击 年高级威胁分析报告 详细分析了 各国对新型威胁的重视 种系统的数据被窃取 这次攻击以 APT攻击的发展态势 报告 指 也带动了整个网络空间安全市 Google和其它大约20家公司为目 出 平均一个组织和单位每三分钟 场的崛起 2012年6月份 标 它是由一个有组织的网络犯罪 就会遭受一次恶意代码攻击 尤指 MarketandMarket公司发布了一 团体精心策划的 目的是长时间地 带有恶意附件 恶意WEB链接 份市场分析报告 称到2017年 全 渗入这些企业的网络并窃取数据 或者C&C通讯的邮件 在所有遭 球的网络空间安全市场将达到1200 该攻击过程大致如下 受攻击的企业和组织中 拥有核心 亿美元的规模 而在2011年市场价 对Google的APT行动开始于刺 关键技术的技术类企业占比最高 值已经有637亿美元 报告明确指 探工作 特定的Google员工成为攻 在定向钓鱼邮件 spear phishing 出 网络空间安全未来将来首要应 击者的目标 攻击者尽可能地收集 中经常使用通用的商业术 对的问题就是APT 此外还包括僵 息 搜集该员工在Facebook 语 具有很大的欺骗性 92%的攻 尸网络 传统蠕虫和病毒等 Twitter LinkedIn和其它社交网

19 站 上 发 布 的 息 接 着 攻 击 者 利 用 一 个 动 态 DNS 供 应 商 来 建 立 一 个 托 管 伪 造 照 片 网 站 的 Web 服 务 器 该 Google 员 工 收 到 来 自 任 的 人 发 来 的 网 络 链 接 并 且 点 击 它, 就 进 入 了 恶 意 网 站 该 恶 意 网 站 页 面 载 入 含 有 shellcode 的 JavaScript 程 序 码 造 成 IE 浏 览 器 溢 出, 进 而 执 行 FTP 下 载 程 序, 并 从 远 端 进 一 步 抓 了 更 多 新 的 程 序 来 执 行 ( 由 于 其 中 部 分 程 序 的 编 译 环 境 路 径 名 称 带 有 Aurora 字 样, 该 攻 击 故 此 得 名 ) 接 下 来, 攻 击 者 通 过 SSL 安 全 隧 道 与 受 害 人 机 器 建 立 了 连 接, 持 续 监 听 并 最 终 获 得 了 该 雇 员 访 问 Google 服 务 器 的 帐 号 密 码 等 息 最 后, 攻 击 者 就 使 用 该 雇 员 的 凭 证 成 功 渗 透 进 入 Google 的 邮 件 服 务 器, 进 而 不 断 的 获 取 特 定 Gmail 账 户 的 邮 件 内 容 息 针 对 核 电 站 相 关 工 作 人 员 的 家 用 电 脑 个 人 电 脑 等 能 够 接 触 到 互 联 网 的 计 算 机 发 起 感 染 攻 击, 以 此 为 第 一 道 攻 击 跳 板, 进 一 步 感 染 相 关 人 员 的 移 动 设 备, 病 毒 以 移 动 设 备 为 桥 梁 进 入 堡 垒 内 部, 随 即 潜 伏 下 来 病 毒 很 有 耐 心 的 逐 步 扩 散, 一 点 一 点 的 进 行 破 坏 这 是 一 次 十 分 成 功 的 APT 攻 击, 而 其 最 为 恐 怖 的 地 方 就 在 于 极 为 巧 妙 的 控 制 了 攻 击 范 围, 攻 击 十 分 精 准 在 2011 年, 一 种 基 于 Stuxnet 代 码 的 新 型 的 蠕 虫 Duqu 又 出 现 在 欧 洲, 号 称 震 网 二 代 Duqu 主 要 收 集 工 业 控 制 系 统 的 情 报 数 据 和 资 产 息, 为 攻 击 者 提 供 下 一 步 攻 击 的 必 要 息 攻 击 者 通 过 僵 尸 网 络 对 其 内 置 的 RAT 进 行 远 程 控 制, 并 且 采 用 私 有 协 议 与 CC 端 进 行 通 讯, 传 出 的 数 据 被 包 装 成 jpg 文 件 和 加 密 文 件 始 的 网 路 通 讯 方 式, 直 接 寄 送 电 子 邮 件 给 特 定 人 士, 并 附 带 防 毒 软 体 无 法 识 别 的 恶 意 文 件 附 件 其 攻 击 工 程 大 体 如 下 : RSA 有 两 组 同 仁 们 在 两 天 中 分 别 收 到 标 题 为 2011 Recruitment Plan 的 恶 意 邮 件, 附 件 是 名 为 2011 Recruitment plan.xls 的 电 子 表 格 ; 很 不 幸, 其 中 一 位 同 仁 对 此 邮 件 感 到 兴 趣, 并 将 其 从 垃 圾 邮 件 中 取 出 来 阅 读, 殊 不 知 此 电 子 表 格 其 实 含 有 当 时 最 新 的 Adobe Flash 的 0day 漏 洞 (CVE ); 该 主 机 被 植 入 臭 名 昭 著 的 Poison Ivy 远 端 控 制 工 具, 并 开 始 自 C&C 中 继 站 下 载 指 令 进 行 任 务 ; 首 批 受 害 的 使 用 者 并 非 位 高 权 重 人 物, 紧 接 着 相 关 联 的 人 士 包 括 IT 与 非 IT 等 服 务 器 管 理 员 相 继 被 黑 ; RSA 发 现 开 发 用 服 务 器 (Staging server) 遭 入 侵, 攻 击 方 随 即 进 行 撤 离, 加 密 并 压 缩 所 有 资 料 ( 都 是 rar 格 式 ), 并 以 FTP 传 送 至 远 端 主 机, 又 迅 速 再 次 搬 离 该 主 机, 清 除 任 何 踪 迹 超 级 工 厂 病 毒 攻 击 ( 震 网 攻 击 ) 著 名 的 超 级 工 厂 病 毒 攻 击 为 人 所 知 主 要 源 于 2010 年 伊 朗 布 什 尔 核 电 站 遭 到 Stuxnet 蠕 虫 的 攻 击 的 事 件 曝 光 遭 遇 超 级 工 厂 病 毒 攻 击 的 核 电 站 计 算 机 系 统 实 际 上 是 与 外 界 物 理 隔 离 的, 理 论 上 不 会 遭 遇 外 界 攻 击 坚 固 的 堡 垒 只 有 从 内 部 才 能 被 攻 破, 超 级 工 厂 病 毒 也 正 充 分 的 利 用 了 这 一 点 超 级 工 厂 病 毒 的 攻 击 者 并 没 有 广 泛 的 去 传 播 病 毒, 而 是 RSA SecurID 窃 取 攻 击 2011 年 3 月,EMC 公 司 下 属 的 RSA 公 司 遭 受 入 侵, 部 分 SecurID 技 术 及 客 户 资 料 被 窃 取 其 后 果 导 致 很 多 使 用 SecurID 作 为 认 证 凭 据 建 立 VPN 网 络 的 公 司 包 括 洛 克 希 德 马 丁 公 司 诺 斯 罗 普 公 司 等 美 国 国 防 外 包 商 受 到 攻 击, 重 要 资 料 被 窃 取 在 RSA SecurID 攻 击 事 件 中, 攻 击 方 没 有 使 用 大 规 模 SQL 注 入, 也 没 有 使 用 网 站 挂 马 或 钓 鱼 网 站, 而 是 以 最 原 Lurid 攻 击 2011 年 9 月 22 日,TrendMicro 的 研 究 人 员 公 布 了 一 起 针 对 前 独 联 体 国 家 印 度 越 南 和 中 国 等 国 家 的 政 府 部 门 外 交 部 门 航 天 部 门, 还 有 科 研 机 构 APT 攻 击 Lurid 攻 击 19

20 A P T 专 题 人的电脑上的息上传 主要是帐号 的 很多企业和组织的网站在防范 和 CVE 这 相关的文件息 SQL注入攻击方面缺乏防范 两个已知的Adobe Reader漏洞 以 攻击者在获取了加密的帐号息 及被压缩成RAR文件的带有恶意代 后通过解密工具找到帐号的密码 然 0day漏洞的恶意代码 而企业和组 码的屏幕保护程序 后借助事先植入的木马在受害企业的 织目前的安全防御/检测设备无法识 网络寻找目标 伺机行动 不断收集 别这些0day漏洞攻击 攻击者的主要是利用了CVE- 用户一旦阅读了恶意PDF文件 4 初始的网络渗透往往使用利用 在攻击者控制受害机器的过程 或者打开了恶意屏幕保护程序 就会 企业的敏感息 被植入木马 木马程序会变换多种花 所有的敏感息会加密存储在网 中 往往使用SSL链接 导致现有 样驻留在受害人电脑中 并与C&C 络中的一台临时服务器上 并最终上 的大部分内容检测系统无法分析传 服务器进行通讯 收集的息通常通 传到公司外部的某个服务器上 从而 输的内容 同时也缺乏对于可以连 过HTTP POST上传给C&C服务器 完成攻击 接的分析能力 攻击者借助C&C服务器对木马下达 6 Nitro攻击 2011年10月底 Symantec发 攻击者在持续不断获取受害 企业和组织网络中的重要数据的时 各种指令 不断收集受害企业的敏感 息 5 新型威胁的综合分析 候 一定会向外部传输数据 这些 综合分析以上典型的APT攻击 数据往往都是压缩 加密的 没有 可以发现 当前的新型攻击主要呈现 明显的指纹特征 这导致现有绝大 以下技术特点 部分基于特征库匹配的检测系统都 1 攻击者的诱骗手段往往采用恶 失效了 布的一份报告公开了主要针对全球 意网站 用钓鱼的方式诱使目标上 化工企业的进行息窃取的Nitro攻 钩 而企业和组织目前的安全防御 统 日志分析系统 甚至是安管平 击 该攻击的过程也十分典型 体系中对于恶意网站的识别能力还 台 但是这些更高级的系统主要是 受害企业的部分雇员收到带有欺 不够 缺乏权威 全面的恶意网址 从内控与合规的角度来分析事件 骗性的邮件 库 对于内部员工访问恶意网站的 而没有真正形成对外部入侵的综合 当受害人阅读邮件的时候 往往 行为无法及时发现 分析 由于知识库的缺乏 客户无 还有的企业部署了内网审计系 攻击者也经常采用恶意邮件的 法从多个角度综合分析安全事件 一个类似文本文件的附件 而实际上 方式攻击受害者 并且这些邮件都 无法从攻击行为的角度进行整合 是一个可执行程序 或者看到一个有 被包装成合法的发件人 而企业和 发现攻击路径 密码保护的压缩文件附件 密码在邮 组织现有的邮件过滤系统大部分就 因此 在APT这样的新型威胁 件中注明 并且如果解压会产生一个 是基于垃圾邮件地址库的 显然 面前 大部分企业和组织的安全防 会看到一个通过文件名和图标伪装成 7 可执行程序 这些合法邮件不在其列 再者 邮 御体系都失灵了 保障网络安全亟 只要受害人执行了附件中的可执 件附件中隐含的恶意代码往往都是 需全新的思路和技术 行程序 就会被植入Poison Ivy后门 0day漏洞 传统的邮件内容分析也 程序 难以奏效 Poison Ivy会通过TCP 80端口与 20 C&C服务器进行加密通讯 将受害 2 3 还有一些攻击是直接通过对 目标公网网站的SQL注入方式实现

21 新型威胁的应对策 总体思路 2012年8月 RSA发布了著名 的报告 当APT成为主流 络转变为分隔式网络 使攻击者难 效 沙箱技术通俗的讲就是构造一 以在网络中四处游荡 从而难以发 个模拟的执行环境 让可疑文件在 现最宝贵的息 这个模拟环境中运行起来 通过可 参与情报交换 分享息安全 疑文件触发的外在行为来判定是否 威胁情报 利用其他企业积累的知 是恶意代码 识 沙箱技术的模拟环境可以是真 报告提及了现在组织和企业中现有 Verizon发布的 2013年数据 实的模拟环境 也可以是一个虚拟 的安全防护体系存在一些缺陷 破坏调查报告 中则更加简明扼要 的模拟环境 而虚拟的模拟环境可 导致很难识别APT攻击 现有的防 的概括了应对APT的最高原则 以通过虚拟机技术来构建 或者通 护体系包括FW AV IDS/IPS 知己 更要知彼 强调真正的主动 过一个特制程序来虚拟 SIEM/SOC 以及CERT和组织结 安全是料敌先机 核心就是对安全 构 工作流程等等 都存在不足 威胁情报的分析与分享 基于异常的流量检测技术 报告指出 应对APT需要采取一种 技术手段分析 传统的IDS都是基于特征 签 法 该方法更加注重对核心资产的 从具体的技术层面来说 为了 名 的技术去进行DPI分析 有的 保护 以数据为中心 从检测威胁 应对APT攻击 新的技术也是层出 也用到了一些简单DFI分析技术 的角度去分析日志 注重攻击模式 不穷 面对新型威胁 DFI技术的应用需 的发现和描述 从情报分析的高度 来分析威胁 报告提出了7条建议 进行高级情报收集与分析 让 从监测和检测的角度 为了识 要进一步深化 基于Flow 出现了 别APT 可以从APT攻击的各个环 一种基于异常的流量检测技术 通 节进行突破 任一环节能够识别即 过建立流量行为轮廓和学习模型来 可断开整个链条 识别流量异常 进而识别0day攻 根据APT攻击过程 我们可以 击 C&C通讯 以及息渗出 本 建立智能监测机制 知道要寻 从防范钓鱼攻击 识别邮件中的恶 质上 这是一种基于统计学和机器 找什么 并建立息安全与网络监 意代码 识别主机上的恶意代码 学习的技术 控机制 以寻找所要寻找物 识别僵尸网络 C&C 通讯 监测 重新分配访问控制权 控制特 网络数据渗出等多个环节入手 权用户的访问 而不论从哪个环节入手 都主 认真开展有实效的用户培训 要涉及以下几类新型技术手段 情报成为战略的基石 培训用户以识别社会工程攻击 并 迫使用户承担保证企业息安全的 基于沙箱的恶意代码检测技术 个人责任 全包捕获与分析技术 应对APT攻击 需要最好最 坏的打算 万一没有识别出攻击并 遭受了损失了怎么办 对于某些情 况 我们需要全包捕获及分析技术 管理高管预期 确保最高管理 要检测恶意代码 最具挑战性 FPI 借助天量的存储空间和 层认识到 抗击高级持续性攻击的 的就是利用0day漏洞的恶意代码 大数据分析 BDA 方法 FPI能 本质是与数字军备竞赛战斗 因为是0day 就意味着没有特征 够抓取网络中的特定场合下的全量 重新设计IT架构 从扁平式网 传统的恶意代码检测技术就此失 数据报文并存储起来 进行历史分 与以往不同的息安全策略及其方 21

22 A P T 专 题 析或者准实时分析 通过内建的高 析服务做支撑 通过专家团队和他 统的检测和阻止的手段 校索引机制及相关算法 协助分析 们的最佳实践 不断充实安全知识 高级隐遁技术是一系列规避安 师剖丝抽茧 定位问题 库 进行即时的可疑代码分析 渗 全检测的技术的统称 可以分为网 透测试 漏洞验证 等等 安全专 络隐遁和主机隐遁 而网络隐遁又 家的技能永远是任何技术都无法完 包括协议组合 字符变换 通讯加 全替代的 密 0day漏洞利用等技术 誉技术 誉技术早已存在 在面对新 型威胁的时候 可以助其他检测技 新型威胁的最新技术发展动向 术一臂力 无论是WEB URL 新型威胁自身也在不断发展进 誉库 文件MD5码库 僵尸网络地 化 以适应新的安全监测 检测与 新型的恶意代码设计越来越精 址库 还是威胁情报库 都是检测 防御技术带来的挑战 以下简要分 巧 想方设法逃避沙箱技术的检测 新型威胁的有力武器 而誉技术 析新型威胁采取的一些新技术 例如有的恶意代码只有在用户鼠标移 动的时候才会被执行 从而使得很多 的关键在于誉库的构建 这需要 一个强有力的技术团队来维护 沙箱逃避 精准钓鱼 自动化执行的沙箱没法检测到可疑行 为 还有的沙箱用到了虚拟机方式来 综合分析技术 精准钓鱼是一种精确制导的 执行 那么恶意代码的制作者就会想 钓鱼式攻击 比普通的定向钓鱼 办法去欺骗虚拟机 所谓综合分析 就是在前述所 spear phishing 更聚焦 只 有技术上的 并且涵盖传统检测技 有在被攻击者名单中的人才会看到 术上的 一个横向贯穿的分析 我 这个钓鱼网页 其他人看到的则是 们已经知道APT攻击是一个过程 是 404 error 也就是说 如果你不在 一个组合 如果能够将APT攻击最多 名单列 看不到钓鱼网页 如此 环节的息综合到一起 有助于确认 一来 一方面攻击的精准度更高 一个APT攻击行为 另一方面也更加保密 安全专家更 综合分析技术要能够从零散的 难进行追踪 攻击事件背后透视出真正的持续攻击 22 行为 包括组合攻击检测技术 大时 高级隐遁技术 间跨度的攻击行为分析技术 态势分 析技术 情境分析技术 等等 高级隐遁技术这个术语最初 源自2010年芬兰的Stonesoft公 人的技能 司 2013年5月被McAfee收购 的一个研究成果 高级隐遁技 最后 要实现对新型攻击的防 术 AET Advanced Evasion 范 除了上述新的监测/检测技术 Technology 是一种通过伪装和/ 外 还需要依靠强有力的专业分 或修饰网络攻击以躲避息安全系

23 安 全

24 非 常 安 全 息安全2012年年度热点回顾及2013年年度热点展望 中国息安全 杂志社在2013年初展开了一个中国息安全年度 热点的专家调研 经过热点征集 反馈整理 投票汇总 现发布 2012 年度热点回顾 事件人物类 2013年度热点展望 事件人物类预 测 2012年度热点回顾 安全视角类 2013年度热点展望 安全视角类预测 每条热点都是一个话题热点 只表示这个话题热度极高 而不表示各 个专家在这个话题下具有完全相同的观点 每个热点话题下的简述 基本 都摘录于被调研核心专家的描述 调研工作组只是尽力原汁原味地展现百 余位核心专家的群体观点和智慧 2012年度热点回顾 事件人物类 23号文 美调查华为中兴 5月9日国务院常务会议发布23号文 关于 10月8日 美国众议院情报委员会发布报 大力推进息化发展和切实保障息安全的若 告称 经过近一年的调查 中国两家公司华为 干意见 明确指出要健全安全防护和管理 和中兴被认为可能威胁美国国家通安全 从 保障重点领域息安全 是我国息安全保障 而将华为和中兴在网络设备层面 合法 地封 工作推进的纲领性文件 闭于国门外 有专家认为 以息安全为名 义的贸易壁垒会成为常态 火焰病毒Flame 5月火焰病毒Flame被卡巴斯基首次发 24 全国人大的决定 现 专家称为迄今最复杂的超级电脑病 12月28日 全国人民代表大会常务委员会 毒和间谍工具包 火焰病毒是继 震网 通过了 关于加强网络息保护的决定 该 Stuxnet 后又一个影响重大的APT攻击 决定共12条 包括保护公民个人电子息 治 事件 其目标再次指向中东 很可能是 某个 理垃圾电子息 网络身份管理 有关部门的 国家专门开发的网络战武器 网络安全事件 监管等内容 被认为是我国对公民个人息保 越来越多地体现出国家意志和国家行为 护法律体系的重大突破

25 3B大战 知名机构 电商的息泄露 8月21日360将其浏览器默认搜索引擎由 2011年末的CSDN泄露事件在2012年初 谷歌正式替换为360的自主搜索引擎 8月28 继续发酵 后 国内外知名网站 企业 公 日百度悄然对360搜索业务展开反制 用户通 共服务机构等连续发生的息数据泄密事件 过360综合搜索访问百度知道 百科 贴吧等 当当 淘宝 1号店 麦考林 京东商城等都 服务时 将会强行跳转至百度首页 8月29日 被爆出问题 Adobe数字证书签署被入侵 雅 360将网址导航搜索框中前默认的新闻 地 虎近45万账户密码被盗 看到国外著名厂商也 图 MP3等百度产品全部撤掉 替换成包括搜 难幸免 狗在内的其他产品 后双方动作不断 这是 中国互联网公司间恶性竞争的代表 12306网站 360被疑窃取用户隐私 2012年10月9日 方舟子在微博上发文称 360安全浏览器根本不安全 建议司马南这样 12306网站被确定为国家息安全等级 的特殊人士慎用 从此拉开了 方周大战 的 保护四级 12月7日又发布消息称因机房空调 序幕 随后 有关360软件涉嫌窃取用户隐私 问题停止服务 经过国内的某漏洞报告平台曝 的各种质疑及举证相继浮现 工部等主管部 光 12306网站存在XSS 绝对路径泄漏 门介入调查 此事因此在社会上引起了广泛热 SQL注入等多个高危漏洞 火车票订票系统面 议与关注 隐私安全问题成为社会关注焦点 对海量订票业务而不堪重负 服务质量和安全 成为了大众和媒体的焦点 金山猎豹等互联网 企业与12306还就抢票软件发生激烈矛盾 十八大报告 在中共十八大报告中强调了 高度关注海 洋 太空 网络空间的安全 在党和国家 级别的文献中 第一次明确采用术语 网络空 间 和 网络空间安全 上面列出2012年最受关注的10大事 件 人物 机构等 未能进 入前十的 高票热点还有 黑客组织匿 名者 英特尔芯片存在致命漏洞 等 网络舆情 社交网络等个人息发布平台对社会热点 产生了巨大的传播效应 对于舆情监控形成新 词的出现表明网络反腐成为互联网时代的一种 群众监督新形式 网络舆论正面负面兼有 真 真假假 虚虚实实 官民相争 同行互殴 异 己战 自由而诚的网络空间是网民的期望 的挑战 房叔 房嫂 表哥 等名 25

26 非 常 安 全 2013年度热点展望 事件人物类预测 中国黑客将继续被西方高度关注 所谓中国黑客活动将继续被西方媒体和研 究机构高度关注 中国黑客走出国门与世界对 话交流切磋 黑客自律公约再成话题 上海某 建筑被指黑客基地 网络安全将成贸易壁垒 各国将纷纷以确保国家息网络安全 维 护国家利益为由 引发的针对息技术产品的 贸易壁垒将日益加剧 我国网络空间安全国家战略将出台 中共十八大报告提出的网络空间安全问 题 国家相关部门将在年内推出我国新的 网 络空间安全国家战略 围绕国家战略将产生 许多重大课题和项目 法规政策依然是促进 息安全市场增长的主驱动力 重大息泄露事件还将爆发 重大用户息泄密事件可能再次爆发 数 据安全将持续成为热点而贯穿全年 数据防泄 漏DLP及相关加密技术值得关注 XX大战还将发生 带来的安全问题和商业纠纷将不断涌现 预计 2013年将发生若干起与云计算相关的安全事件 与纠纷 国内云服务商或电商将被攻击或出现 重大事故 各种攻击 威胁和脆弱性会愈演愈烈 出于各种目的 攻击者在新的一年里会变 本加厉 不择手段利用网络制造威胁 发动攻 击 系统自身的脆弱性更会层出不穷 但对于 民众会见怪不怪 即使会带来损失 网络舆情继续升温 借助社交网络所推波助澜的大范围舆情事 件还将多发 但整体网络空间并未见混乱 安全公司自身的安全 息安全公司自身的安全受到关注 安全 乌龙事件将会出现 比如 安全证书被盗用导 致的安全事件将增多 会引发民众对安全证书 的质疑 网络犯罪受到打击 相关执法机构将对网络上的地下黑色产业 链给予重大打击 国内互联网产业的竞争进一步加剧 还会 26 出现新的 XX大战 上面列出2013年被预测会发生的热点事 云服务事故将频发 随着各个云中心投入运行 各政府机构 企业等将业务迁移到云上 由 云服务 所 件 人物和机构 未进入前十的高票热 点还包括 黑客文化影响变大 息安全市场总量大幅增长

27 2012年度热点回顾 安全视角类 APT APT就是所谓高持续性安全攻击 常常 问题日益突出 而工业控制系统也成为APT攻 击的重要目标 运用了最新和最高级的0-day安全漏洞 攻击 自2011年11月工业和息化部下发了 技术 安全资源等等 通过多种多样的手段和 关于加强工业控制系统息安全管理的通 渠道 社会工程攻击常常是一个环节 APT攻 知 以来 工业控制系统息安全的重要性和 击愈加组织化 攻击针对重要对象 常常是政 紧迫性得到了充分意识 治 军事 商业等高影响目标 损失和影响常 常相当巨大 大型的数据窃取常常是APT造成 安全立法 的 震网Stunex 火焰Flame等等是典型代 息安全立法滞后问题在2012年的一些 表 目前针对APT还没有特别有效的针对性措 产业纠纷中有所暴露 12月28日 全国人民 施 代表大会常务委员会通过了 关于加强网络 息保护的决定 是近年来重要的息安全立 Android 在中国 Android手机的智能市场占有率 法 不过国内相关立法的进程还是难以满足业 界的需要 超过九成 而其整个生态环境的各个环节都安 全问题频出 国内安卓系统的应用程序泄露率 云计算安全 过半 八成软件过度要求授权 非法收集用户 云计算的认可和应用越来越甚 用户对 隐私息包括手机通讯录 身份息 地理位 于将自身的数据和运算放在云中的安全性的担 置息 诸多账号息以及邮件文件等数据 忧正在阻碍云计算的发展 云计算应用引发新 软件商店中app数量巨大 安全隐患众多 的安全问题 风险常来自于息泄露 数据丢 失 法规冲突等 2012年 针对虚拟化软件厂 商各种底层应用程序的安全漏洞 承载在虚拟 工业控制系统中的息安全性因涉及国 机上的多种应用程序的安全漏洞 用户身份 家重要基础设施 乃至国家安全而具有重要意 认证授权管理系统的安全漏洞等方面成为云计 义 但随着计算机和网络技术的发展 特别是 算环境下安全风险的研究重点 息化与工业化深度融合以及物联网的快速发 展 工业控制系统产品越来越多地采用通用协 隐私和个人息泄露 议 通用硬件和通用软件 并以各种方式与互 发生在2011年底的泄密门事件至今依旧 联网等公共网络连接 病毒 木马等威胁正在 让业界忌惮 其影响力贯穿于整个2012年 向工业控制系统扩散 工业控制系统息安全 泄密门事件余波未平 就又发生了多起电 工业控制系统 27

28 非 常 安 全 金融 电商等泄密事件 随着云计算和大数据 身份 资金等息的传输 安全问题是电子商 技术的发展 隐私和个人息安全问题更加突 务的主要技术问题 主要面临息篡改 息 出 破坏 身份识别 息泄密等安全威胁 手机病毒和恶意APP 各国国家战略 有数据显示 在Android应用500强热门 目前 美 欧 澳等各发达国家纷纷制定 榜单中 高风险应用的下载次数高达1.75亿 了自己的国家网络安全战略 2012年09月美 次 而且恶意APP数量日益激增 结合BYOD 国国防部高级研究计划局(DARPA)宣布将在未 日渐普及的今天 移动安全引起广泛关注 来五年内投入15.4亿美元在一项新计划Plan X 移动互联网行业 手机病毒急剧增加导致 近年来 欧盟加大了息安全工作力度 将其 360 腾讯 金山等企业纷纷加大投入 安全 列入 欧洲数字化议程 作为发展数字经济 成为移动互联网的争夺要地 的重要保障 随着美国国会对中国两家通企 业出的报告引发的争议 唤醒了国内业界对于 安全即服务 网站攻击 网页篡改 用户数据被拖库等 事件层出不穷 超七成网站存在安全漏洞 政 网络安全国家战略层面的考虑 网络战 府 高校网站安全性薄弱 而广大中小网站又 美国国防部开始正式确立相关Cyber War 不具备安全防护能力 基于SaaS模式的网站安 网络空间战 的作战规则 美DAPRA出台 全检测和安全防护服务出现并受到欢迎 Ｘ计划 加紧研发网络武器 在英国政府的 基于云的安全防护将从个人安全市场快速 有关公开文献中也看到这个语汇 印度也有所 向企业安全市场渗透 越来越多的安全厂商将 参与 英法俄德澳意美日等纷纷组建网军 似 会通过云端技术进行安全服务 乎大战在即 中国和西方国家间围绕网络攻 击的口水战继续增多 电子商务 中国息安全 2012年封面人物中有 随着电子商务网购的爆发 利用社会工程 五位是将军 足见息安全与国防和军事的密 学 综合多种技术手段的网购支付劫持木马大 切程度 中东地区成为网络战武器的竞技场 量出现 成为2012年最典型的木马 电子商务 从震网 火焰病毒Flame就看出来网络战正从 主要依托Internet平台完成交易过程中双方的 模拟到现实快速演进 上面列出2012年最受关注的10大安全视角 其中 28 第10是两项并列 这些视角有安全防护需求 有 安全威胁 也有安全措施和手段 有政策层面 也 有技术层面 未进入前十的高票热点视角还包括 DDoS 分布式拒绝服务攻击 移动智能终端 安全 安全标准和规范 等 安全视角类的得 票相对分散 在116项候选中有71项都有得票

29 2013年度热点展望 安全视角类预测 APT APT 高持续性安全攻击 继续成为 第 全云服务 同时本土厂商也在推动云监测以及安 全云 一些中小企业正尝试使用SaaS安全云 一 受关注的安全问题 这里聚集了所有热点 所需要的元素 最具影响的严重事件 最前沿 工业控制系统 的组合攻击技术 最困难的检测和防御方式 工业控制系统的安全问题继续成为高优先 最受关注的口水战 重大泄密和息泄露 网 级热点 在震网和火焰的威胁下 在2011年 络战等等 11月工业和息化部下发 关于加强工业控制 在2013年美国RSA大会上APT也同样受到 最大的关注 系统息安全管理的通知 以后的发酵中 工 业控制系统极度薄弱的安全防护将得到很大的 改善 SDN等软件定义环境 虚拟化的发展 SDN的出现 使得 Software Defined软件定义 近两年成为 不过今年还可能发生重大的工业控制系统 安全事件 传统息安全能力向工业控制系统 环境渗透还有一个过程 一个时髦的词汇 软件定义数据中心使IT服务 不再依赖底层硬件而被分离出来 硬件则将更 Android 加依赖智能的软件来定义和驱动未来数据中心 Android智能手机的安全性问题持续被广 的计算 2013年将是SDN技术初步应用的一 大用户关注 不过目前在如此复杂的Android 年 将与云计算技术相互渗透 生态环境下 要想安全性有质的突破还需要业 SDN将引导安全能力向 软件定义安全 界贡献出独到的突破性技术 这样的技术可能 转化 同时以SDN为代表的软件定义环境也带 不仅仅出现在手机客户端安全保护上 而很可 来新的更加复杂的安全问题 比云计算安全的 能是在 云 管 端 中的任何一个环节 也 问题将更甚 很可能是对移动互联网生态系统的一个小变革 所带来的 云计算安全将继续成为热点问题 排位的 提高也许说明云计算的实际落地更多 也导致 云计算安全更加受关注 云计算环境下虚拟化安全 数据安全 息传输安全 身份认证等继续是2013年的热 点 国外厂商正在积极与国内合作伙伴开展安 大数据安全 2012年到2013年是大数据风气云涌的爆 发期 大数据概念铺天盖地 甚至多次上到了 央视新闻联播 大数据带来大量经济价值和利 益的同时 也带来在数据处理 使用 保管和 安全等方面的巨大挑战 云计算安全 29

30 非 常 安 全 安全立法 国网络战和网络威慑力量的担忧和指责也会成 安全立法继续成为热点 在2012年12月 为常态 28日 全国人民代表大会常务委员会通过了 关于加强网络息保护的决定 后 业界呼 唤更多的息安全立法的出台 以解决我国相 关法律严重缺失和滞后的问题 DLP 息防泄露 维基解密 让全世界都对涉及国家秘 密的息泄露胆战心惊 每年愈演愈烈的重大 公共服务机构和企业的个人息泄露 让公众 安全即服务 感受到息泄露的切身危害 云计算服务的广 通过SaaS服务和云模式来交付安全能 泛认可 也将带来云中数据大规模泄露的可能 力 成为安全业界寄托产业拓展式发展的期 性 国家机构和民间机构都对DLP有切实而广 望 其背后有互联网产业 移动互联网 云计 泛的需求 算和大数据相关发展的支撑和推动 以内容检测技术为主和加密技术为主的两 大代表性解决方案 将以竞争 合作方式被企 业广泛的运用 网络战 两年一度的美国网络风暴演习没有在 2012年展开 那么是否会在2013年 上面列出预测在2013年最受关注的10大 2009年的震网造成损失 2012年的火 安全视角 其中有7项是2012年热点 未 焰被发现 下一次高影响攻击会出现在两年后 进入前十的高票热点视角还包括 钓 吗 还是就在2013年 鱼 关键息基础设施保护 社 国外针对中国的网络攻击日趋严重 加强 交网络安全 大数据用于安全 等 自身网络防御能力迫在眉睫 同时国外对于中 调研是在一个以国内息安全专家为主的核心专家圈中进行 包括院士 国家息安全 资深的老专家 学术圈教授 息安全企业的老总和技术副总 大型用户的安全负责 人 第三方权威机构安全专家 民间息安全著名人物等等 调研情况简述 30 调研共向271位专家发出了调研邀请 第一轮热点反馈共61位专家反馈了765条热点 息 经过调研工作组的整理 以保留专家原始意见的原则下 整理形成了事件人物类投 票候选项2012年44项 2013年17项 形成了安全视角类投票候选项116项 第二轮投票 共95位专家反馈投票 经过简单多数统计 形成了调研的四项票选结果

31 动 态

32 北京市委书记郭金龙 到中关村调研参观启明辰公司 32 5月4日上午 北京市委书记郭金龙围绕 优 全技术和产品展示 对公司依靠青年科技人才 发 化创新创业环境 服务青年成长发展 主题到中关 挥技术创新优势 成为国内安全专业服务市场领导 村调研并参观启明辰公司 在与首都优秀青年代 者表示赞赏 在座谈会上 郭金龙说 实践充分证 表座谈时 他勉励广大青年努力为实现伟大的 中 明 首都青年不愧为现代化建设最积极 最活跃 国梦 激情奉献 在首都现代化建设中建功立业 最有生气的力量 值得赖 堪当重任 大有希 北京市委副书记 市长王安顺一同参加 望 希望大家深刻领会实现 中国梦 对国家 民 会前 郭金龙 王安顺以及市委和各委办局领 族及每个人的重要意义 以满腔的热诚 创造的激 导亲切视察了启明辰公司 听取了公司董事长严 情 务实的态度 为中华民族伟大复兴奉献青春和 望佳女士的介绍 并观看了启明辰公司安全研究 力量 希望大家把实现个人理想同首都建设发展结 中心 ADlab 的攻防演示 合起来 努力在各自领域创先争优 创业成才 郭 位于中关村软件园的启明辰公司成立于 金龙要求各级党委政府高度重视青年创新创业工 1996年 由留美博士严望佳女士创建 是国内最 作 积极帮助青年解决难题 创造更好的创新创业 具实力的 拥有完全自主知识产权的网络安全产 环境 品 可安全管理平台 安全服务与解决方案的综 合提供商 在启明辰公司 郭金龙察看了网络安 市领导李士祥 赵凤桐 陈刚 苟仲文 市政 府秘书长李伟参加

33 启明辰获中国区数据库 安全审计与防护产品市场领导奖 近日 全球知名咨询机构Frost & Sullivan揭 晓了2012年度 最佳实践奖(BPA) 评选结果 启 明辰公司喜获 中国区数据库安全审计与防护产 品市场领导奖 Frost & Sullivan最佳实践奖 是对企业在领导力 技术创新 客户服务和战略产 品开发等方面取得的卓越表现及杰出成绩的综合评 定与认可 Frost & Sullivan经过对中国数据库安全审 计与防护产品市场进行深入调研 根据市场地位 增长速度与潜力 产品设计与竞争力等指标 最终 确认启明辰在中国市场日益凸显的领先和增长优 势 以及领先行业的产品功能与服务 Frost & Sullivan的数据显示 中国数据库安 全市场正处于高增长期 自2009年起 市场规模 始终保持20%左右的年增长率 2012年中国数据 库安全市场规模达到5亿人民币 相较2011年增长 24.1% 中国数据库安全审计与防护市场的参与者 主要有两大类 以IBM Imperva McAfee等为 代表的国际厂商 和以启明辰 安恒等为代表的 本土厂商 在众多主要市场竞争者中 启明辰不 仅具有雄厚的资本以及国际化标准的产品 同时能 够准确把握国内客户的需求 在中国市场拓展具备 9.5% 11% 本地化优势 2012年 启明辰以9.5%的市场份 年其市场份额将会进一步扩大至接近11% 并持续 保持市场领先地位 Frost & Sullivan认为 启明辰公司领先行 业的产品功能及服务 都是其能够在中国保持迅猛 增长速度的重要原因和坚实基础 ２０１２ ２０１３ 额领先于国内外厂商 占据榜首位置 预计

34 辰 动 态 启明辰天玥网络安全审计系统 独家获得IPv6金牌认证 近日 启明辰天玥网络安全审计系统获得由 的明产品一 在安全审计市场上表现卓越 产 IPv6权威机构 全球IPv6测试中心颁发的 IPv6 品功能和性能均处于业界领先水平 近日 天玥网 Ready Phase-2 认证 即IPv6金牌认证 天 络安全审计系统获得了全球知名咨询机构Frost & 玥网络安全审计系统是目前国内唯一获得IPv6金牌 Sullivan颁发的 中国区数据库安全审计与防护产 认证的安全审计产品 参考链接 品市场领导奖 ipv6ready.org.cn/index.php/news/index/ id/ 全自主知识产权的安全产品服务及解决方案提供 本次获得IPv6金牌认证 标志着天玥网络安全 商 启明辰在2003年开始进入安全审计市场 并 审计系统在IPv6一致性及互联互通方面符合IETF 推出第一款审计产品 2005年聚焦数据库审计 IPv6相关RFC标准 可进行商业部署 随着国家 通过近10年的经验积累 逐渐形成了以天玥网络安 下一代互联网 战略的快速推进 IPv6部署及商 全审计系统为代表的数据库安全审计与防护解决方 用已在某些行业开展 此次天玥网络安全审计系统 案 2012年 天玥网络安全审计系统成为国内首家 获证后 启明辰已先后在防火墙 UTM IPS 获得中国息安全测评中心颁发的EAL3级息技 WAF及网络安全审计系统五类息安全产品上获 术产品安全测评证书的产品 该级别的测评证书是 得IPv6金牌认证 作为中国息安全产业的领航企 目前为止国内同类产品中的最高安全级别 业 启明辰已率先为IPv6商用部署做好了准备 凭借着雄厚的技术研发实力 以及在息安全 并具备了为下一代互联网提供全面息安全保障的 领域的卓越进步 启明辰已成长为网络安全审计 强大能力 领域的领导企业 用户广泛分布于政府 电 金 启明辰天玥网络安全审计系统是启明辰 启明辰公司成立于1996年 是国内拥有完 融 能源 媒体 医疗等各个行业

35 启明辰独家发现 日前 启明辰公司安全事件部的高级工程师 发现了一个拥有合法数字签名的后门程序 该木马 APT 攻击 安全产品的安全事件库均已升级 用户只需及时下 载升级即可防范该病毒的攻击 病毒很可能已经存活了半年多的时间 由于样本具 在4月17日下午 启明辰在新浪微博 有合法的数字签名 因此可以躲过几乎所有主流病 发布了 毒检测产品的查杀 对该木马病毒的警告消息并引起了病毒检测厂商的 近日针对Adobe Flash漏洞 CVE 的APT攻击层出不穷 在研究这些攻 关注 截止到本稿件发布时已经有一家病毒检测厂 商能够对该病毒进行报警拦截 击时 启明辰发现了这个拥有合法数字签名 启明辰安全事件部正在对该样本进行详细 的后门程序 并将该病毒命名为 Backdoor_ 分析 后续会尽快发布该病毒的详细攻击行为及详 Fakesign 同时添加了事件 HTTP_ 细防护方法 欢迎随时关注启明辰公司的安全公 Backdoor_FakeSign_连接 目前启明辰各款 告 新浪微博 启明辰发现微软IE8高危 漏洞 理研究的最新进展 对网络漏洞与隐患攻击技术 在对微软较早前的一个漏洞进行分析研究时发现 防御与反攻击技术 实时入侵检测与监控 安全审 了一个新的漏洞 由于已经有了针对该漏洞的可用 计技术 快速应急响应 操作系统内核技术 缓冲 攻击代码 启明辰在第一时间将该情况通报给微 区溢出技术 数据库入侵与防御技术 移动终端安 软 并与其探讨了漏洞的一些息 全技术 工业控制系统安全技术 基于Web的入侵 经过确认后 微软在向全球用户发布的3月 与防御体系技术等进行了深入研究 建立了全面专 份安全补丁中即修复了此漏洞 该漏洞是安全公 业的漏洞库 攻击工具库 恶意代码库等 截至目 告 MS13-021中的微软IE浏览器的一个高危漏洞 前 启明辰已经发布了CVE漏洞近百个 持续保 CVE 是Microsoft Internet 持发布漏洞数量亚洲领先的地位 同时还针对网络 Explorer 8在CTreeNode的实现上存在use-after- 安全领域里的新技术和新方向展开了一系列的研究 free远程代码执行的漏洞 公告发布的同时 启明 工作 并在智能手机系统 工业控制系统安全方面 辰得到了来自微软的官方感谢 并获得了CVE编 获得了重大的技术突破 在操作系统安全研究方面 号 CVE 达到了国际一流水平 占有国际尖端网络安全领域 启明辰长期以来密切跟进国内 国际漏洞机 的核心地位 近日 启明辰研发本部的高级安全工程师 35

36 辰 动 态 启明辰天清WAF独家获得 IPv6金牌认证 36 近日 国内领先息安全厂商启明辰自主研 化Web应用访问和性能 提高Web应用的可用性和 发的天清Web应用安全网关 WAF 产品获得由 安全性 可以为电子商务 网上银行 电子政务及 IPv6权威机构 全球IPv6测试中心颁发的 IPv6 媒体网站提供全面的安全防护 Ready Phase-2 认证 即IPv6金牌认证 获 随着国家 下一代互联网 战略的快速推进 得标识编号为02-C 这标志着该产品在 IPv6部署及商用已在某些行业开展 此次天清WAF IPv6一致性及互联互通方面 符合IETF IPv6相关 获证后 启明辰已先后在防火墙 UTM IPS及 RFC标准 可进行商业部署 此认证为IPv6领域最 WAF四类息安全产品上获得IPv6金牌认证 作为 高级别的资质认证 启明辰天清Web应用安全网 中国息安全产业的领航企业 启明辰已率先为 关系统V7.0也成为目前国内唯一获此认证的Web应 IPv6商用部署做好了准备 并具备了为下一代互联 用防火墙类息安全产品 网提供全面息安全保障的强大能力 天清WAF是采用启明辰公司VXID专利算法 参考链接 启明辰天清Web应用安全网关系 技术的新一代Web安全防护与应用交付类应用安全 统获得IPv6 Ready Phase-2金牌认证 产品 能够对Web服务器进行HTTP/HTTPS流量 ipv6ready.org.cn/index.php/news/index/id/152 分析 防护以Web应用程序漏洞为目标的攻击 优

37 启明辰天清WAF市场份额名列前茅 金牌认证 这标志着该产品在IPv6一致性及互联 发布了2012年度 WAF Web应用防火墙 市 互通方面符合IETF IPv6相关RFC标准 可进行商 场报告 启明辰公司的天清Web应用安全网关 业部署 此认证为IPv6领域最高级别的资质认证 WAF 在销售收入方面增长最快 并且以25.2% 启明辰天清Web应用安全网关系统V7.0是国内第 的市场份额 在中国市场名列前茅 一家获此认证的Web应用防火墙类息安全产品 天清WAF是启明辰公司自主研发的 采用 2012年5月 启明辰在国内首家发布了万兆 VXID专利算法技术的新一代Web安全防护与应 WAF 其采用多核架构并行计算体系 实现超过 用交付类应用安全产品 能够对Web服务器进行 10G数据吞吐量 在2012年 天清WAF通过了 HTTP/HTTPS流量分析 防护以Web应用程序漏 国际安全组织CVE Common Vulnerabilities 洞为目标的攻击 优化Web应用访问和性能 提高 & Exposures 通用漏洞披露 严格的标准评 Web应用的可用性和安全性 天清WAF已经在政 审 获得最高级别的CVE兼容性认证 CVE 府 金融 运营商 能源 教育 电子商务等多个 Compatible 目前 天清WAF是国内厂商中唯 领域得到了广泛的应用 一获得CVE认证的WAF类产品 同样在2012年 2013年 启明辰天清Web应用安全网关系 天清WAF获得了OWASP颁发的 Web应用防火墙 统V7.0获得由IPv6权威机构 全球IPv6测试中 认证证书 成为国内首家获得OWASP组织颁发 心颁发的 IPv6 Ready Phase-2 认证 即IPv6 的最高级别的认证证书的WAF类产品 近日 全球知名咨询机构Frost & Sullivan 37

38 辰 动 态 启明辰WAF荣获多个奖项 日前 在多家媒体进行的2012年产品奖项评 万兆WAF 其采用多核架构并行计算体系和VXID 选中 启明辰天清Web应用安全网关 WAF 专利算法技术 是新一代Web安全防护与应用交付 凭借出色的产品性能 功能 以及优异的市场表 类应用安全产品 实现超过10G数据吞吐量的安全 现 获得了多个奖项 包括 IT168年度产品奖 防御 天清WAF已经在政府 金融 运营商 能 ZDNet最佳万兆Web应用防火墙 计算机世界 源 教育等多个领域得到了广泛的应用 2012年度优秀产品奖 38 在2012年 天清WAF通过了国际安全组织 随着网站受攻击事件的频繁发生 越来越多 CVE Common Vulnerabilities & Exposures 的企业和机构对于Web网站的安全更加重视 特别 通用漏洞披露 严格的标准评审 获得最高级别的 是一些对息安全保障水平要求较高的行业 纷纷 CVE兼容性认证 CVE Compatible 目前 天 采购WAF Web应用防火墙 来保护Web网站安 清WAF是国内厂商中唯一获得CVE认证的WAF类 全 产品 天清WAF内含基于国际标准建立的安全漏洞 天清WAF主要针对Web服务器进行HTTP/ 库 并通过网络升级与国际最新标准保持同步 HTTPS流量分析 防护以Web应用程序漏洞为目 同样在2012年 天清WAF通过了OWASP 标的攻击 并针对Web应用访问各方面进行优化 技术专家的详细评测 并获得了OWASP颁发的 以提高Web或网络协议应用的可用性 性能和安全 Web应用防火墙认证证书 天清WAF成为国内 性 确保Web业务应用能够快速 安全 可靠地 首家获得OWASP组织颁发的最高级别的认证证书 交付 在2012年5月 启明辰在国内首家发布了 的WAF类产品

39 启明辰IPS通过下一代 互联网息安全产品测试并获专项支持 启明辰公司很早就开始了IPv6架构下的产 御系统 IPS 顺利通过 2012年国家下一代互联 品布局 早在2006年 就开始在安全产品上实施 网息安全专项 产品测试并获得国家专项资金支 IPv6相关功能的支持 并完成了 基于IPv6 的入 持 启明辰公司成为唯一一家通过该产品测试并 侵检测系统 国家预研课题 天清入侵防御系统是 获得专项支持的入侵防御类产品厂商 为IPv6商用化做准备的下一代互联网核心安全产 为贯彻落实国务院关于加快我国下一代互联网 品 在测试中表现优异 获得了公安部下一代互联 发展的工作部署 在2012年2月 国家发展和改革 网产品销售许可证和国家息安全测评中心EAL3 委员会启动了国家下一代互联网息安全专项申报 认证 并获得国家专项资金支持 工作 并委托公安部计算机息系统安全产品质量 目前 国家下一代互联网工作正在快速推进 监督检验中心等国内多家权威测评机构对通过专家 根据相关工作部署 2013年底前要开展IPv6网络 评审的项目产品进行严格的功能和性能测试 根据 小规模商用试点 预计到2015年底 将有2001个 测试结果 最终确定立项项目 县级政务网 332个地市级政务网 34个省级政务 本次产品测试由国家发展和改革委员会委托 网 5000多个县级以上政府职能部门政务网 117 公安部计算机息系统安全产品质量监督检验中心 个中央企业网站 2138所高等院校网站 必须完 等多个权威机构进行 启明辰公司申报的下一代 成IPv6升级改造 入侵防御产品作为下一代互联网 互联网入侵防御系统 天清入侵防御系统 通 核心安全产品 将在下一代互联网过渡发展中发挥 过了严格的性能和功能测试 不仅有极高的处理性 重要的安全保障作用 启明辰天清入侵防御系统 能 而且能够适应下一代互联网环境 满足在IPv6 IPS 已为此做好了准备 环境下各种场景的网络息安全需求 日前 启明辰公司自主研发的天清入侵防 39

40 辰 动 态 启明辰荣获 中国软件创新力20强称号 近日 由中国版权保护中心主办的 纪念计算 机软件著作权登记制度实施20周年 2012 中国软件 40 意识作为评选标准 评选经过初评 复评 专家评 审等程序 最终评出 中国软件创新力20强 创新企业颁奖 在2013 CPCC中国版权服务年会开 凭借多年来的潜心研发 启明辰成为国家认 幕式上举行 启明辰 广联达 金山软件等国内 定的企业级技术中心 国家规划布局内重点软件企 一批优秀的软件企业 凭借突出的软件创新研发能 业 拥有最高级别的涉及国家秘密的计算机息系 力和领先的专业核心技术等优势荣膺 中国软件创 统集成资质 并获得国家火炬计划软件产业优秀企 新力20强 业 中国电子政务IT100强等荣誉 中国软件创新企业评选是中国版权保护中心 启明辰拥有我国规模最大的国家级网络安全 2012 CPCC软件服务年 活动的重要内容一 研究基地 创造了百余项专利和软件著作权 参与 是国内软件版权领域内首次进行的权威性 公益性 制订国家及行业网络安全标准 填补了我国息安 评选活动 评选以 鼓励创新 保护版权 服务企 全科研领域的多项空白 完成包括国家发改委产业 业 为宗旨 将企业的软件创新能力 软件技术创 化示范工程 国家科技部863计划 国家科技支撑 新产生的经济和社会效益 以及企业软件版权保护 计划等国家级科研项目近百项

41 启明辰成为 CISPA唯一息安全理事单位 企事业单位 以企业为主体 以平等互利 优势互 展联盟 China Industrial Software Promotion 补 资源共享 合作共赢为原则 整合产业发展资 Association CISPA 理事单位 启明辰是所 源 优化产业发展环境 协助政府实现行业自律 有理事单位中唯一的息安全企业 整体提升工业软件产业的技术研发水平 制造水平 中国工业软件产业发展联盟成立于2010年12 和服务水平 满足用户需求 促进工业软件产业的 月 是在工业和息化部软件服务业司指导下 北 经济增长 促进完整的产业链和成熟健康的市场 京市经济和息化委员会 上海市经济和息化委 启明辰作为国内领先的息安全企业 始终 员会 广东省经济和息化委员会等单位联合支持 关注工控系统领域的息安全发展态势 并且有针 下 由国内部分优秀工业软件企业共同发起 由从 对性的提出了对工控系统进行分层 分域 分等级 事工业软件产品与服务的制造者 使用者 研究 的安全体系架构思想 启明辰将积极参与工控系 者 社会中介组织和管理机构自愿参加组成的民间 统政策 规范 标准的制定 跟踪最新技术发展趋 团体 势 及时把握市场需求动向 为工业控制系统相关 联盟旨在联合国内致力于工业软件产业发展的 网络安全产品的推广打下坚实的基础 近日 启明辰受聘成为中国工业软件产业发 41

42 启明辰举办广西用户交流 近日 启明辰公司在广西举办了 启明辰 布的2012年度 WAF市场报告显示 启明辰公司 2013广西用户交流会 就企业息安全问题与广 的天清Web应用安全网关 WAF 在销售收入方面 西客户进行了全面深入的交流 增长最快 并且以25.2%的市场份额在中国市场名 启明辰公司高级副总裁吴俣介绍了公司的发 展状况 以及公司的主要产品 解决方案等 他表 天清Web应用安全网关 WAF 是启明辰 示 在过去的一年里 随着互联网技术的迅猛发展 公司自主研发的 采用VXID专利算法技术的新一 和广泛普及 用户所面临的息安全威胁与风险不 代Web安全防护与应用交付类应用安全产品 能够 断增大 息安全问题日益凸显 用户亟需专业的 对Web服务器进行HTTP/HTTPS流量分析 防御 安全解决方案来防范复杂多变的恶意攻击 来自外部的SQL注入 XSS攻击 Web恶意扫描 在会上 启明辰的WAF产品专家与用户分享 CSRF HTTP Flood XML Dos等各种恶意攻 了Web安全防护解决方案后 用户在休息期间详细 击 优化Web应用访问和性能 提高Web应用的可 了解启明辰公司的WAF产品和Web安全防护解决 用性和安全性 天清WAF已经在政府 金融 运营 方案 商 能源 教育 电子商务等多个领域得到了广泛 2013年 越来越多的客户开始部署Web安全 42 列前茅 防护产品 全球知名咨询机构Frost & Sullivan发 的应用

43 视 点

44 安 全 视 点 深入解读RSA 2013热点技术 文/叶润国 摘要 本次RSA峰会启明辰关注的热点技术包括 大数据和APT 安全事件分析 脆弱性管理 身份标识管理 Web应用安全 安全网关 无线网络安全 云计算安全 数据防泄密和智能沙盒 RSA 2013热点排名 RSA 44 identity management date loss prevention anti malware authentica tion mobile device security cloud computing application security ompliance interprise security anagement date security 峰会共有350 次RSA大会发现 RSA2012展会 本次RSA峰会启明辰关注的热点 家安全厂商参加 参 的支撑性厂商大部分是做硬件的 技术包括 展厂家数量超过了以往RSA年会 多强调产品性能 代表性产品是 大数据和APT 安全事件分析 脆 这两年RSA大会的关注热点并没有 UTM和NGFW RSA2013年展会 弱性管理 身份标识管理 Web 太多的变化 从图中可以看到 热 的支撑性厂商多强调安全功能 代 应用安全 安全网关 无线网络安 点依然还是数据安全 企业安全管 表性产品是安全监控和分析产品 全 云计算安全 数据防泄密和智 理 合规性 应用程序安全 DLP 比如 今年很多厂商都在宣传APT 能沙盒 下面是对一些技术热点的 等 但是通过对比2012和2013两 检测和防御产品 分析

45 大数据和APT检测 常变化 因此 可以采用传统入侵 功能上集成了文件完整性监控和主 大数据和APT检测绝对是 检测方法来检测APT通通道 典 机行为监控功能 目标瞄准APT攻 RSA2013大会的最热点 有很多 型代表厂商有趋势科技 飞塔等 击检测 我们还看到的另一个现象 厂商都提出了自己的APT安全解 决方案 我们可以把这些方案分 为四类 4 大数据分析检测APT类 是 很多SIEM厂商开始采用大数 该类APT攻击检测方案并不 据技术来做日志和安全事件分析 重点检测APT攻击中的某个步骤 恶意代码检测类 而是通过全面收集重要终端和服务 该类APT解决方案其实就是检 器上的日志息以及采集网络设备 测APT攻击过程中的恶意代码传播 上的原始流量 进行集中分析和数 步骤 因为大多数APT攻击都是采 据挖掘 它是一种网络取证思路 用恶意代码来攻击员工个人电脑以 它可以在发现APT攻击的蛛丝马迹 进入目标网络 因此 恶意代码的 后 通过全面分析海量数据 从而 检测至关重要 很多做恶意代码检 还原整个APT攻击场景 大多数拥 测的安全厂商就是从恶意代码检测 有大数据分析技术的厂商都采用这 入手来制定APT攻击检测和防御方 种思路来检测APT攻击 典型的厂 案的 典型代表厂商包括FireEye 商有RSA和SOLERA 1 代表厂商是splunk 和GFI Software 主机应用保护类 安全事件分析 SIEM 脆弱性管理 不管攻击者通过何种渠道发送 本次RSA大会参展的SIEM厂 今年的RSA大会同样吸引 给组织员工的恶意代码 必须在员 商较多 包括RSA Arcsight 了很多脆弱性管理厂商 包括 工的个人电脑上执行 因此 如果 LogRhythm Agiliance Qualys ncircle和secunia等 能够确保员工个人电脑的安全则可 AlertLogic AlienVault 今年这些厂商都在强调脆弱性管理 以有效防止APT攻击 主要思路是 SenSage等著名的SIEM公司 过程 Qualys公司推出了基于云 采用白名单方法来控制个人主机上 一些系统厂商也通过并购动作进 的脆弱性管理服务 该服务覆盖脆 应用程序的加载和执行情况 从而 入SIEM市场 比如HP收购了 弱性整个生命周期 包括漏洞挖 防止恶意代码在员工电脑上执行 Arcsight 从展会情况看 传统 掘 漏洞扫描 漏洞评估和漏洞补 很多做终端安全的厂商就是从这 SIEM厂商比如RSA和Arcsight等 丁管理等 从而可以实现集中脆弱 个角度入手来制定APT攻击防御方 依然实力很强大 但根据gartner 性监控 扫描和防护 ncircle也 案 典型代表厂商包括Bit9 魔力象限数据看出 新型SIEM 推出了基于云的脆弱性管理服务 厂商LogRhytm从2012年开始已 主要客户是大公司和企业 它提出 就是通过网络边界处的入侵检 经超过RSA和Arcsight 成为了 以补丁管理为中心的脆弱性管理概 测系统来检测APT攻击的命令和控 SIEM领域的领头羊 SIEM看点 念 Secunia本次不再宣传其漏洞 制通道 虽然APT攻击中的恶意代 是 这些SIEM安全产品提出了下 扫描器 而是强调脆弱性管理过 码变种很多 但是 恶意代码网络 一代SOC概念 LogRhythm提出 程 基于其脆弱性管理套件提出了 通的命令和控制通模式并不经 了SIEM2.0概念 它在传统SIEM 一个补丁管理过程 包括脆弱性挖 3 网络入侵检测类 2 45

46 安 全 视 点 掘 脆弱性扫描 补丁自动创建和 类 Web应用防火墙 WAF NGFW和UTM概念 各厂商的理 补丁部署等步骤 它部署在Web服务器端用来保护 解有所不同 NGFW代表厂商Palo Web服务器的安全 Web网关 Alto认为NGFW首要关注产品对应 部署在企业网边界 用来保护企业 用的识别与控制 传统防火墙功能 身份标识管理也一直是RSA 内部上网用户免受来自Web的网页 其次 UTM代表厂商Fortinet认 大会的热点 很多厂商涉足这个领 木马或恶意代码的攻击 或者规范 为NGFW产品是UTM产品的功能 域 以前的身份标识管理厂商只做 用户的Web访问行为 Imperva展 子集 NGFW概念是在UTM后 身份标识管理产品 现在 很多厂 出了其Web应用防火墙产品 除了 出现 因为有用户只关注NGFW功 商开始运营身份标识管理服务 包 可以为Web服务器提供传统的实时 能 不需要全功能UTM 因此诞 括基于云的身份标识管理服务 目 Web攻击防护外 还可以提供包括 生了NGFW概念 但我们看到 前提供身份标识管理的厂商多为小 访问审计 取证分析和数据防泄密 NGFW与UTM从产品角度来看呈 型创业公司 但伴随着云计算的日 等新型安全功能 Imperva WAF 现出趋同趋势 比如 Palo Alto 益普及 将会有很多大公司进入身 还具有环境感知能力 通过主动扫 在增强其NGFW产品的AV功能 份标识管理服务领域 在身份认证 描或者第三方扫描结果导入等方法 该功能在标准的NGFW定义中是 方面 目前带外认证技术已经非常 收集被保护Web服务器的一些脆弱 没有要求的 Fortinet在其最新 流行 包括Entrust Authentify 性息 包括漏洞和配置息 UTM产品中增强了抗DDoS功能 公司的移动电话号码 pin码 语 从而为Web服务器提供虚拟化补 安全网关的技术发展动态主要表现 音识别认证技术 同时我们也看到 丁等高级安全功能 WebSense是 在以下几点 采用智能沙箱 异常 了一些新型公司如HID和SPYRUS Web安全防护领域的佼佼者 其 检测等方法来弥补传统基于特征匹 在使用生物特征识别技术来实现 WAF可以提供分角色管理和应用 配的检测方法不足 开始融合大数 身份认证 身份标识管理方面的 加速等功能 此外 Websense的 据分析技术 并注重安全威胁情报 另一个趋势是 很多身份标识管 Web网关产品提供包括DLP 网 收集 注重网络流量的可视化 有 理厂商推出基于云架构的单点登录 络分类和细粒度访问控制等安全 些产品可以对全流量数据进行深度 SSO 服务 从而可以解决客户 功能 Barracuda也同时展出了 分析 可以实现网络流量的回溯和 的多系统 多Web应用间的一次 其WAF和Web网关产品 其中 关联分析 安全网关实现模式也在 性认证问题 WAF产品提供了缓存加速 连接 发生变化 由先前的集中网关模式 池 内容压缩 负载均衡等特性 变为前后端模式 前端仍然是安全 身份标识管理 IAM Web应用安全 应用安全一直以来是人们关 46 网关 而后端是云计算 安全网关 无线网络安全 注的重点 应用安全中最主要的 本次RSA峰会吸引了包 安全问题是Web安全 本次RSA 括Fortinet Cyberoam 无线网络安全也颇受关注 展会 著名的Web安全厂商包 Juniper Sourcefire 华为 本次展会上Motorola展示了一个 括WebSense Barracuda和 SonicWall Palo Alto在内的著 无线管理平台 AirDefense Imperva都展出了自己的Web安全 名安全网关厂商 NGFW与UTM 通过从AP端的传感器实时获取 产品 Web安全产品可以分为两 仍然是这些厂商的宣传重点 关于 检测号 发现问题 分析故障

47 2013年云计算安全威胁报告 列 位问题AP并立刻进行处理 包 出了9大云计算安全威胁 包括 括重启故障AP 增大AP功率或 1.数据泄露 2.数据丢失 3.账户 者端口问题终端等 RSA通过收 劫持 4.不安全的API 5.拒绝服 购Meraki进入无线安全领域 务攻击 6.内部人员的恶意操作 Meraki最早提供AP产品 后来 7.云计算服务的滥用 8.云服务规 发展UTM产品线 其低端UTM 划不合理 9.共享技术的漏洞问 在传统安全功能基础上提供无线 题 此外 针对虚拟化和云计算 接入及无线IPS功能 移动安全 基础架构 也有安全厂商展出其 和BYOD是无线网络安全中的热 相应的安全解决方案 趋势科技 点 典型厂商包括InfoExpress 针对VMware等虚拟化基础架构提 Fasoo PointSharp和华为 比 供基于Deep security的安全解决 如 Airwatch提供全面的移动安 方案 保证VMware等的安全 全解决方案 包括移动设备管理 checkpoint Fortinet等安全厂 移动应用管理和移动内容管理等服 商针对云计算多租户特点 将传统 务 Mocana提出了安全沙箱的移 安全产品转换为虚拟安全器件 从 动APP防护方案 可以为现有移动 而可以部署在VMware等虚拟化基 APP提供包括安全认证 数据加密 础架构上面 为多租户提供独立的 和位置隐藏等能力 通过对这些移 安全服务 VMware软件定义的数 动安全解决方案分析发现 使用的 据中心 将它的Vshied安全套件 技术不外乎是应用虚拟化 虚拟桌 包装到了VCD软件包中 从而实 面和沙箱技术 现虚拟数据中心的安全 云计算安全 数据防泄密 DLP 云计算安全和基于云计算模 数据防泄密是历届RSA大会 式的安全服务是本届RSA大会的 的热点 本届也不例外 且热度继 热点 微软在RSA大会上发布了 续上升 从2012年排名13位提升 免费CSRT工具 CSRT是一个调 为2013年第9位 本届RSA大会 查工具 可帮助企业组织审查和 有超过37家公司宣传重点DLP 了解他们的IT成熟度水平和他们是 有超过100家涉及DLP 我们可 否准备好将其业务迁移到云中 以将DLP厂商分为两类 1 侧 CSRT工具采用云控制矩阵 来考 重DLP终端的厂商 这主要是传 虑数据安全性 隐私和可靠性因素 统防病毒厂商 包括McAfee 以及关键的合规性因素 云安全联 Symantec Sophos和趋势科 盟 CSA 在RSA峰会上发布了 技等 侧重DLP网关的厂商 这 主要是传统的FW/IPS厂商 包 括Websense TrustWave WatchGuard Paloalto 这些 年来发生的一系列数据泄密安全事 件 使得越来越多的人重视数据安 全问题 不少安全厂商开始进入 DLP领域 DLP的三个变化是 出 现了ALL IN ONE趋势 典型代表 就是 一些网关厂商开始将DLP和 APT检测功能集成到其UTM或IPS 产品中 由于BYOD的升温 围绕 移动设备的数据防泄密成为热点中 的热点 有些厂商提出了基于云和 大数据的数据防泄密解决方案 和优化网络 AirDefense可以定 47

48 安 全 视 点 创新沙盒 48 题是移动安全 比较有代表性的创新为 Remotium Silent Circle Wickr PrivateCore 提供了移动应用虚拟 提供一个全球性的加 一款军用级加密的手 针 对 内 存 dump 化 技 术 在 公 共 或 私 密 通 服 务 为 移 动 机通应用 其特点 KVM 攻 击 速 冻 有云上运行移动应 设备提供了一整套 是 账户匿名不可追 内 存 断 电 保 持 用 并 将 可 视 化 数 既简单又安全的工 踪 可设置息时效 内 存 NVRAM 等 据 传 送 到 移 动 设 备 具 视 频 加 密 通 并能自动销毁息 可以从内存中获得敏 Remotium 被 评 为 话 加 密 文 本 加 密 和 自动清除隐私 如照 感 数 据 的 攻 击 方 法 2013 年 RSA 大 会 最 电子邮件加密 片的位置息 PrivateCore 公 司 在 佳创新公司 每年 RSA 峰会上的创新沙盒论坛都会吸引很多人关注 今年的创新沙盒主 RSA 峰 会 上 提 供 了 一 款 称 为 vcage 的 虚 拟 机 产 品 它 是 一 个 Hypervisor 通 过 实 现虚拟机内存全加密从 而有效防范上述攻击

49 大数据 高端安全检测的必由路 文 /Jordan 摘要 息安全的检测中有一部分是高端安全检测 高端安全检测涉及对检测模式的 重新认识 这就涉及到大数据 息安全的检测中有一部分 包过滤规则 这些检测都相对简单 算复杂度的作用 传统安全公司技 术能力的竞争 主要就是看你能获 是高端安全检测 高端安 第二种是 检测腰 基于单 全检测涉及对检测模式的重新认 一特征的检测 比如 漏洞特征 识 这就涉及到大数据 病毒特征 攻击特征 URL 黑白 第三种是 检测颈 属于高 名单等等特征库检测 单一特征强 端检测 包括 APT 检测或者宏观 探寻高端检测 调的是可表达 可处理和可操作性 态势感知等 另外 检测腰中部分 从检测方面来看 有三个境界 所谓特征 或者称某种模型 我 特征的提炼和分析其实也属于高端 第一种是 检测足 属于简 们使用它的计算复杂度要大大低于 检测的范畴 单检测 比如 有阈值限制 超过 提炼获取它的复杂度 这里比喻成 了什么值 系统就会告警 再比如 检测腰 就是因为它有一个收紧计 APT 检测 颈 宏观态势感知 高端 腰 单一特征 足 取和积累多少特征 简单规则 多点 / 长时 / 多类型 特征库检测 单点 / 短时 / 单项 包过滤规则 阀值限制 49

50 安 全 视 点 谈到高端安全检测问题 可 以简单地分为两类 一类是宏观安 怎么能够确定哪段数据值得怀疑并 个 被检测域 你并不确切地知 进行深入的分析呢 道你所要找的求检对象在哪里 于 全检测 典型问题就是网络宏观 试解高端检测中的大数据问题 能地多覆盖求检对象 也就是要先 典 型 问 题 就 是 APT Advanced 上面提到的这两种高端息安 扩大被检测域 被检测域变大了数 Persistent Threat 高级持续性 全检测问题 最终都导向了大数据 据变多了 自然而然就变成了大数 威胁 攻击发现 方法 据问题 APT 检测的出路可能就在 关于宏观态势感知 如城域 面对宏观态势感知和预测问 网的网络事件态势感知 目前方法 题 归结起来就是在海量的数据中 APT 有很大的空间不确定性 还相对较少 举个例子 启明 发现宏观的波动趋势 哪怕是细微 APT 攻击走哪条路径不得而知 这 辰实现了一个地址熵算法 熵是离 的波动 也是宏观问题 宏观态势 散度的一种评价 所谓地址熵就是 感知和预测 就是要发现这些波动 累积计算网络上的源地址的熵和目 并且判断出来哪些波动会演变成灾 的地址的熵 并对两条随时间变化 难性的网络风暴 以便及时加以遏 的地址熵曲线进行跟踪分析 如果 制 要发现和描述这样的态势 仅 目的地址熵突然下降 也就是目的 仅靠局部数据计算得出的简单统计 地址突然集中了 由此可以立即判 指标是非常不够的 即使是地址熵 断出来可能发生了分布式拒绝服务 这样的精妙指标也是不够的 在这 攻击 如果目的地址熵微升而源地 方面的研究中 可以类比的其他学 址熵下降 源地址相对较集中 意 科就是天气预报 股票期货金融品 味着有网址在密集地向外广泛地发 分析预测等等 这种分析活动 自 包 可以初步判断可能出现了扫描 然而然就是大数据 事件或蠕虫传播 这两个地址熵指 标就像天气预报中常用的温度 气 50 是检测者就希望 被检测域 尽可 态势感知 一类是微观安全问题 而面对 APT 攻击发现问题 最终也是大数据问题 大数据上 就是息不对称 防御者不知道攻 击者从哪条路径来进行攻击 这是 非常头疼的事情 但路是防御者的 路 攻击者一定会通过防御者的路 并靠近防御者 这就是防御者的优 势 我们讲从空间角度来扩展被检 测域 只要扩展更多的有效检测点 总能获得更高概率来截获攻击路 径 更多的检测点 更多样的检测 点 更多的数据 有利于解决 APT 问题 APT 有很大的时间不确定性 从时间角度来扩展被检测域 一个最 简单直接的思维突破就是 存储 压等这些衡量指标 目前 在城域 APT 的 A 高 级 不 仅 仅 是 某 网监控方面这样特别有效的既简单 些具体攻击手法隐藏很深 还包括 又精妙的算法并不多 APT 攻击在空间上的不确定性 而 如 0-day 问题 在没有特征的时候是 关于 APT 攻击 目前常见的 APT 的 P 所代表的时间上的长期持 难于检测到的 如果用一个网络录像 提出的 APT 应对方法 很多是在 续性或者断续性 更是 APT 的检 机把所有的网络流全录下来 回过头 APT 中 的 A 高 级 上 下 功 夫 测难点 来有了特征后再检测 就可能发现 也就是如何深入分析隐蔽性很深 攻击的空间拓展变化包括持续 说得更哲理一些 就是 记忆 比 攻击 有部电影名字叫 源代码 的恶意代码和行为 确实 当我们 性 蔓延性 传播性 渗透性等等 其情节就是这个感觉 能够运用存储 拿到一段值得怀疑的代码和数据 这一变化带来了安全模式的变化 运用记忆 形成一个时间机器 反复 集 对其进行深入分析是可行的 求检对象隐藏在一个检测环境里 的回溯分析 这就是所谓的时间领域 但是难的就是 从茫茫数据中 我 你采集过来进行检测计算的就是一 扩展 也就是用 P 来对抗 APT 中的 P

51 以考虑给被检测域数据提前打标签 将海量被检测域数据中的有用数据浓 数据 其数据性质和形态都与被检测 缩下来 域的数据大大不同了 可以称为轻干扰检测 轻破坏检 浓缩 筛选 抽样等等可以理 场景步骤是对于检测结果的组 测 这可以使其具有某种全息性 解为分析过程中的物理处理过程 所 合性分析 分析出的场景 可能来自 这种干扰的不同处理 都是分析目的 谓物理过程就是不改变被检测域数据 对于精确检测的细微时间的组合 也 和过程对于前端采集技术链条施加影 的原有性质和形态 就如同炼铁过程 可能来自于浓缩过程的提炼 响 当然 这样很可能会进一步增加 中的选矿筛矿 比如渲染 + 半衰的处 检测过程的复杂程度 也可能让检索 理算法 对于被检测域进行数据分块 变得更快捷 对数据块的疑似程度进行打分渲染 大数据通常分为两类 一类是 然后再一个周期中对所有数据块进行 天然大数据问题 如基因计算 矿 半衰式处理 后在进行打分再半衰 物勘测 空间探测等 这类是客观 原先我们的安全检测都是三步 低于某一个阈值的数据块被丢弃 如 存在的大数据问题 还有一类是人 检测 采集 分析 关联 而有了上 此循环下去 留下的数据块集合就是 参与的大数据问题 如购物数据 面阐述的 大 思路 就变成了一个 被浓缩的被检测域 社交网络数据等 这一类可以通过 新安全检测思路 四阶段检测 四步检测 扩大 浓缩 精确 场景 精确检测就是借助传统的误用 也就是将原先三步中的 采集 变 检测和异常检测来进一步分析 在这 成了 扩大 扩大被检测域以便更 个阶段我常常将比喻成分析过程的 可能覆盖求检对象 以及 浓缩 化学反应 这个时候提取出来的结论 息安全与大数据 检测目的对这些数据进行前端影 响 安全属于第二类 大数据相关思维和技术在安全 中的应用非常值得期待 在息安全检测的采集上 可 51

52 安 全 视 点 当息安全遇上应用交付 文 / 谭闯 2011 年 7 月 F5 推 载均衡 随着客户应用越来越复杂 出主打安全功能 需求越来越多 逐渐产生了应用层 的 BIG-IPv10.1 版本 应用交付产品在做 4 层负 两个因素 一是客户需求的提升 载 均 衡 时 协 议 IP 接 口 等 除了负载均衡 客户的应用需要在 息是其分担技术基础 而 7 层的 部署时更加灵活 更加适应应用本 负载技术同时也要求应用交付产 从负载均衡 应用交付到交付 身的特点 二是 SSL 加速技术 品能够完成对应用层协议 如 安全 在短短的十几年里 交付领 HTTP 压缩技术等一系列应用交付 HTTP SMTP 等协议的解析 这 域的变化可谓日新月异 从软件到 技术在不断发展和整合 这些都推 些技术为应用交付产品完成安全 硬 件 从 4 层 负 载 到 7 层 应 用 动着应用交付持续向前发展 从应 功能打下了技术基础 而这两年 F5 思杰这样的主流 用部署理念上来讲 负载均衡关注 交付技术在不断更新 但应 厂商又将应用交付的大旗指向了 业务流进入数据中心的过程 而应 用交付的部署位置却从未改变 服 息安全 用交付更加关注应用交付出去的效 务器负载 应用加速 卸载 通常 果 更加关注用户的使用体验 部署在服务器区前端 链路负载通 设备解决方案 2012 年 思杰发布安全 高 效的 WEB 应用云安全产品 这些仅仅是厂商的 噱头 么 事实并非如此 安全自需求而来 52 技术推动安全 应用交付的产生主要来源于 2012 年 F5 推 出 安 全 移 动 的负载均衡 技术的融合已经成为一个大趋势 应用交付技术正是从业务连续 常部署在多链路出口 而这些位置 性着手 从解决高可用性 逐渐发 本身也正是传统安全产品防火墙 展到解决应用优化 安全问题 一 IPS WAF 的部署位置 应用交付是从负载均衡概念延 步步的迈向用户的最终需求 对于 安全问题的日益突出 也使 伸而来 最初的负载均衡作为一项 提供应用交付的厂商而言 从最开 得应用交付产品设计人员注意到 分担技术 曾经是路由交换设备的 始的传统的网络厂商 慢慢的有更 通过应用交付产品构建第一道安全 基本技术 如链路负载 其主要 多关注于应用 关注于安全的厂商 防线的必要性 而 F5 思杰以及 目的在于解决大并发数据流量时的 加入进来 而传统的网络厂商也逐 国内主流安全厂商的跟进 则使得 压力分担 以及做 4 层的服务器负 步迈向安全 应用交付技术与安全 这种希望逐渐变为现实

53 应用交付身上的安全因子 全理念与攻击防护无法解决网上的 更进一步的 7 访问控制 应用攻击问题 典型的就是目前常 基 于 IP 协 议 端 口 的 4 层 见的防火墙 入侵检测和 IPS 等设 访问控制已经是防火墙产品的标 备的特征码技术在银行的 SSL 加密 配 对于应用交付来说 仅仅支持 流量下毫无用处 无法进行解密 4 层的访问控制还远远不够 如今 应用交付产品提供的 SSL 卸载功 网络攻击已经由传统的 3 4 层向 能 不单能减轻后台服务器的负担 4 7 层扩展 通过对应用层的协 更重要的是 可以对卸载后的数据 议解析 应用交付产品可以支持对 进行安全检测 阻断攻击报文 应用层数据的访问控制 因而使服 WEB 安全 务器得到更高的安全性 WEB 安全的核心是对 HTTP DDoS 攻击的第一道防线 报文的解析和处理 应用交付产品 服务器负载均衡是应用交付的 部署在服务器前端时 在优化 加 基本应用 应用交付负责将用户流 速业务的同时 也在并行处理各种 量分担到不同服务器上 可以想象 安 全 事 务 从 HTTP 协 议 合 规 性 一台没有任何安全功能的应用交付 检 查 到 防 息 泄 露 以 及 各 种 产 品 在 发 生 DDoS 攻 击 时 毫 SQL/XSS 的阻断 在保障应用安 无区分的将 DDoS 攻击的流量分 全性与畅通的同时 极大的减少了 配到用户服务器所带来的灾难性的 服务器群的负载 将服务器从大量 后果 通过在应用交付产品上合理 安全连接 数据加密中解脱出来 配置就可以很好的应对 DDoS 攻 更加专注在应用处理本身 目前主 击 应用交付产品自身工作在 TCP 智能 DNS 以及全局负载均衡部署 流的应用交付厂商都将 WAF 作为 代理模式 在这种模式下 通过代 中 可以很容易的扩展 DNS 服务 应用交付产品的一部分 甚至引申 理 cookie 等 技 术 可 有 效 识 别 攻 器的响应能力 通过对 DNS 报文 出专门的 WEB 安全产品来销售 击者身份 此外 应用交付产品相 的合规检查 以及 DNS 报文的速 由此可见 WEB 安全在应用交付领 比传统防火墙 IPS 具备更高的连 率控制 可以防止针对企业域名的 域的重要性 接处理能力 可以更好的保护后端 DNS flood 攻 击 而 对 DNSSEC 的服务器 的支持可以有效的防止 DNS 劫持 作为国内息安全市场的领航 者 启明辰认为 安全势必成为 应用交付领域中不可忽视的一环 越来越被重视的 DNS 安全 SSL 加密内容检测 用户在选择应用交付产品时 除了 DNS 是互联网中最基础又至 众所周知 银行的网上数据都 关注性能外 也需要更加关注交 关重要的一环 应用交付产品在做 是基于 SSL 加密的 传统的网络安 付的安全性 53

54 安 全 视 点 国产数据库 安全审计市场正崛起 文/苏畅 现 54 如今 无论国内外数据库 各种手段意欲在竞争中脱颖而出 方面 领先的产品核心技术 全面 厂商都在对安全性进行新 其中国外厂商依靠并购壮大自身 的销售渠道覆盖及启明辰自身上 的考量 新的数据库产品也增加了 例如 Oracle收购了数据库防火 市公司全方位的资源保障 更多地安全性能 如权限细分 传 墙厂商Secerno IBM先后收购了 据介绍 启明辰数据库安全 输加密等 而这些都让目前中国数 Guardium和Netezza 同时国内 解决方案采用了事前扫描+事中防护 据库安全市场正处于高增长期 以启明辰与安恒息未代表的涉 +事后审计的全方位安全防护解决 自2009年起 市场规模始终保持 足数据库安全与防护的供应商也达 方案 其中天玥数据库安全审计系 20%左右的年增长率 2012年 到了40多家 竞争愈加激烈 这 统 是启明辰结合多年在数据库 全球数据库安全市场约为13亿美 其中启明辰天玥数据库安全审计 安全方面的理论和实践经验积累 元 据Frost&Sullivan预测 到 系统在2012年以9.5%的市场份额 并参考各类法令法规对数据库安全 2015年中国的数据库安全审计与 在数据库安全审计与防护市场中占 审计的要求 自主研发的 国内审 防护市场可达到9.7亿人民币 据榜首位置 计数据库类型最全 且解析粒度最 对于高速增长的数据库安全 对于启明辰在数据库安全与 与防护市场 无论是服务商硬件商 防护市场的表现 启明辰审计产 还是原有的数据库供应商都在通过 品经理滕文静表示这主要取决于三 细的审计产品 能够帮助用户保护 数据库免于攻击 误用 窃取 相对于市场上其他产品而言

55 启明辰天玥数据库安全审计系统 Web服务器与数据库服务器进行关 控 同时 天玥的数据中心可以同时 主要具备以下特性 联 准确地锁定SQL语句所对应的 管理在线引擎和旁路引擎 从而对审 HTTP访问 提供了绝佳的安全事 计日志进行统一的收集和分析 高性能硬件平台 多核技术 件深度发掘与准确追踪能力 对于数据库安全审计与防护的 应用 用户需求逐渐从合规性要求的 的应用大大提升了硬件平台的性 依赖于 采购到如今自主需求的主动采购 滕 大容量的存储空间 以及日志数据 文静表示如今数据库安全产品行业化 支持多 缓冲和批量入库等技术 保证了每 特征十分明显 虽然电/金融/政 达12类数据库类型 通过对不同 秒30000条以上的日志入库速度 府用户一直是采购的主力用户 但其 数据库的SQL语义分析 提取相关 并且提供TB级海量日志中的精确 他例如能源/医疗/烟草等行业的应 的要素 用户 SQL操作等等 检索能力 用也在直线上升 随着行业用户需求 能 具备支持万兆网络环境能力 2 高协议解析精确度 4 海量事件处理能力 的上升 未来数据库安全与防护市场 实现对操作类型和对象等息的精 确审计 5 多级分布式管理 天玥采用多 层次网络管理架构 总部能够对二级 独创的前 公司的审计系统进行统一管理 上级 后台三层关联技术 将浏览器 可以对下级的运行状态进行统一监 3 准确追踪溯源 必将持续增长 文章来源 电脑商情在线 1 55

56 安 全 视 点 息安全的大年和小年 文/边歆 RSA 摘要 对于RSA 2013大 息安全大会 主线清晰 的主题是 伟大的密 和往年一样 今年的RSA大 码胜于利剑 今年大会的主题 会也提炼出了十大关键词 这十大 是 安全源于知识 Security in 关键词包括 数据安全 企业安全 Knowledge 对于后者 启 管理 合规 应用安全 云计算等 明辰产品管理中心总工沈颖赞赏 等 但纵观整个会议 最火的一个 有加 认为该主题很好地诠释了当 词莫过于APT 不论是演讲话题还 前息安全产业的发展态势 是现场展示 关于APT的话题是最 会 的 主 题 S e c u r i t y i n 沈颖表示 安全威胁的发展 Knowledge 启明辰产品管 变化对息安全厂商提出了更高的 理中心总工沈颖非常认同 他 RSA公司总裁亚瑟 科维洛在 要求 现在 我们需要让人脑中的 认为该主题很好地诠释了当前 去年大会上的一句话令人印象深 知识在息安全领域发挥更大的价 息安全产业的发展态势 刻 他说 现在看来黑客赢了 值 把知识产品化 工具化 算法 因为APT攻击在用户的网络中造成 化 把人的知识整合到安全产品 了破坏 而安全界在当时缺乏有 中 赋予安全产品更多的智能 就 效的应对手段 APT不但伤害了 能更加有效地分析安全问题 应对 用户 也刺痛了整个安全业界 云计算 大数据环境下的安全挑 沈颖认为 2012年 业界认识到 战 启明辰在今年大会上所展出 了APT攻击的严重性 而在2013 的APT检测 无线安全 数据安全 年 息安全厂商拿出了更好的表 等产品 就体现了 赋予产品更多 现 大家讨论的重点已经放在APT 智能 用创新的知识解决安全问 攻击检测技术 解决方案上 也就 题 这一思路 是说 2012年RSA大会谈的是挑 多的

57 战 2013年的大会则更偏重于实 对每年大会的感受和看法 沈颖提 术 凭借对产业技术发展趋势的准 战 出了一个有意思的说法 他认为 确把握 启明辰的技术战略方向 今年 有超过百分七八十 RSA大会有点像种庄稼 也是有 和整个安全界的技术发展节奏已经 的参会厂商都在谈APT检测 大家 大年 小年分 去年是对安全界 比较合拍 对此 沈颖有明显的感 的思路都是把更多的知识和安全架 不利的一年 会议的主题也分散一 受 2012年 到启明辰展台来 构进行结合 从而更有效 迅速地 些 而今年的会议比较有新意 而 就成熟产品洽谈商务合作的人很 发现APT攻击 这和整个大会的主 且主题比较具像 让沈颖感觉不虚 多 而2013年 很多人来了解 题 Security in Knowledge不 此行 用户也有这样的感觉 在会 探讨启明辰的创新技术 这里传 谋而合 上 一个美国息安全官员对沈颖 达出的息是 启明辰在跟着业 今年启明辰的参会主题是 表示 他看到去年有很多美国的用 界的潮流共同前进 并且可以把概 新挑战 新安全 展示了用于 户感觉有点忐忑不安 不清楚该如 念化的想法 知识落地 越来越多 发现APT攻击的检测引擎 并且就 何应对APT的挑战 而今年出现了 的人看到了启明辰拥有的独到技 APT检测与很多业内同行进行了深 各种解决方案 用户可以结合自己 术 并且越来越认可启明辰的技 入的交流 沈颖表示 启明辰一 的需求去考察这些方案 并且进行 术实力 启明辰正在国际息安 直在研究APT攻击 今后将加大这 部署 对于本次大会 沈颖表示让 全的舞台上 持续扩大中国息安 方面的投入 自己很有感觉 因此他给出了9分 全产业第一品牌的影响力 一个好年景 的高分 每年去参加RSA大会前 沈颖已经连续参加过多届 启明辰都有明确的目标 今年的 RSA会议 因此记者请他谈一谈 目标就是展示启明辰最前沿的技 57

58 实 践

59 摘要 在金融机构内部建立自身的应用系统 安全测试体系 可有效提升安全防范能力 减 少因应用系统安全问题带来的隐患 金融机构如何建立内部应用系统安全测试体系 文/李转琴 随着金融机构对计算机网络和 同年花旗银行证实受到黑客袭击 计或配置不当 缺乏敏感息保护 软件系统的依赖程度逐渐增加 以 约有1%的用卡用户受到了影 功能 导致可能发生源代码泄露 及电子金融产品的不断推出 新 响 客户的姓名 账号 联系方式 目录遍历等后果 攻击者利用泄露 息技术在给业务带来巨大方便 高 等息均被黑客获取 的息可以更容易的实施入侵 效的同时 也带来了潜在的巨大风 全问题主要归纳为以下六类 4 权限提升 应用系统的权限 管理功能不足 导致攻击者可能绕 评体系起步晚 发展也尚未成熟 应用系统的身份 过权限限制 进行未经授权或超越 性 所以目前在金融行业还没有一 认证措施不足 导致攻击者可能冒 授权的操作 使得攻击者获取系统 套体系化的测试方法 这使得金融 用他人的系统身份操作账号 从而 权限或访问系统中的重要数据 行业应用系统的安全风险防范工作 利用他人的权限获取相关息资 略显不足 因此在金融机构内部建 料 并进行资金盗取等操作 加金融应用系统有其自身的特殊 1 身份欺骗 应用系统安全问题带来的隐患 应用系统安全问题亟待解决 2011年某银行5万客户遭遇 应用系统安全保 应用系统的数据 能力 可能受到应用资源消耗等 保护措施不足 导致金额 密码 DDoS攻击 或由于任务调度死锁 联系方式等数据息可能被攻击者 等原因导致系统宕机或运行缓慢 恶意篡改 从而造成账户资金被盗 无法继续对外提供服务 2 篡改数据 等后果 6 网银升级骗局 造成客户资金巨大 损失 给银行声誉带来重大影响 拒绝服务 护能力不足 缺乏持续稳定运行的 立自身的应用系统安全测试体系 可有效提升安全防范能力 减少因 5 3 息泄露 应用系统开发设 行为否认 应用系统对用户 操作行为缺乏可的监查机制 导 险 由于我国的商业化应用系统测 无论是哪类事件 应用系统安 59

60 安 全 实 践 致无法提供有效证据 以证明该用 SQL注入 跨站脚本息泄露 越 仅是 头痛医头 脚痛医脚 未 户是否进行了某一操作 权操作等安全问题 包括众多大型 解决根本问题 启明辰分析存在 行业监管机构曾对应用系统 银行 同时过程中也发现不按编码 上述问题的根源如下 安全提出了具体要求 如银监会 规范执行和代码安全检查不足的问 2009年下发的19号文 息科技 题 这些都是开发环节控制不足的 风险管理 银监会2011年62号 体现 构在开发时优先关注功能 只能牺 文及人行121号文 网上银行应用 牲一定的安全 的安全通用规范 等 此外我国众 应用系统安全测试工作范围局限 大多机构 制银行及部分重要保险公司均在多 机构仅仅是在安全部门进行 整个 中 相关的安全规范由开发人员自 年前就开始了对应用系统的安全测 测试方法与理念未贯穿于系统开发 行制订 颁布 执行 检查 安全 试工作 从最初的对互联网应用系 全过程 需求和设计过程仍未涉及 测试未成为应用系统能否上线的关 统进行渗透测试到对安全控件的黑 较体系化的安全措施和控制点 键环节 盒测试再到后来对应用系统代码的 白盒测试等 这些都充分说明了应 外包开发和外购模块的风险控制不足 用系统的安全问题的严竣性和其重 多数机构外购的产品缺乏可 要性 赖的第三方评估机构 另外第三 方开发商不可能遵循金融机构自身 解决道 的开发规范 因此无法控制相关风 针对上述问题 虽然有些金融 辰发现目前总体仍存在如下不足 机构采取了一些相应的措施应对 如对网页敏感息加固 对新版本 需求方面安全考虑不足 进行安全测试 系统等保测评或外 的安全考虑不充分 如在需求阶段 对安全需求描述不够完整 对安全 风险场景设计较为简单 对安全边 界的统一规划不足 需求阶段对应 用系统敏感息防泄露考虑不足 3 分散管理的问题 机构各部 门分散管理应用系统及其各自的安 全 未形成统一管理 因此 要根本解决上述出现 的问题 必须将目前分散的测试工 作整合成一个整体 并建立起一个 险 做的大量的应用系统测试工作 启明 供咨询服务过程中发现 需求方面 制约机制不足 所有机 应用系统安全测试目前在大多 启明辰在为多数金融机构提 60 2 效率和安全性矛盾 多金融机构 如国有四大行 股份 通过仔细分析众多金融机构所 1 购模块安全测试等 但这些措施都 内部应用系统安全测试体系 这样 就能将安全测评整合于整个开发和 操作流程中 过程完全掌握 也能 够更好的把控开发质量 同时也 能够使更多的部门融入到测评工作 来 各业务部门对自身业务系统更 加熟悉 能从不同角度为安全测评 提供更全面的支持 借鉴国内外优秀经验 目前国内及西方大多数发达 国家在国家层面的第三方测评机 开发环节安全控制不足 构方面都建立了比较完善的应用 启明辰在为各金融机构进 系统安全测试体系 我国金融机 行白盒测试 渗透测试及安全测试 构在内部建设自身的应用系统安 的过程中发现应用系统安全存在 全测试可以借鉴其组织架构的做

61 过CC 此外很多电 金融的招 行系统息安全通用规范 121号 无论国际还是国内 目前 标要求里面也提及了CC认证的要 文 银监会下发的 网上银行安 在应用系统测试方面主要是以国 求 此标准目前已是针对应用系 全风险管理指引 和国家测评中心 际通用评估准则 CC 为主 统及产品安全测试的应用最广的 发布的 GBT 息 此标准是在多个国家的测评标准 标准 2011年国内已等同采用为 安全技术 网上银行系统息安全 基础上 由六国七方统一提出 GB/T18336 当然除此标准外 保障评估准则 的全球35个国家互认的针对产 在应用系统中涉及密码模块和密码 除了参考的优秀标准外 从 品及应用系统的息安全测评标 算法还会参考FIPS 140标准 或 国内外政府测评机构中还可以借鉴 准 在1999年已成为了国际标 者涉及具体某一类应用系统时也会 其组织架构模式 无论是国外还是 准ISO15408 且美国欧洲很多 参考相关的系统标准 如国内针对 国内 测评体系都应实现三权分 政府机构采购里面都要求必须通 网银系统安全有人行下发的网上银 立 国内的测评体系如下图所示 法和参考的标准 国务院 中国国家认证可监督管理委员会 CNCA 中国合格评定国家认可委员会 CNAS 认可 中国息安全认证中心 ISCCCC) 授权 依据ISO17025 测评实验室 从上图中可以看出 认证机构与测评实验室 即测评机构 均需获CNAS的认证认可 同时测评实验室还需要 得到认证中心的授权 测评实验室完成对某一系统的测评后 认证中心负责颁发相关认证证书 中国息安全测评认证体系组织层次 61

62 安 全 实 践 建立机构内部的应用系统测试体系道 借鉴体系化的标准和组织架 任何一项工作没有良好的组织 理的原因 直接纳入都会比较困 构 金融机构便可建立应用系统 保障就不能顺利开展 因为建立组 难 因此通常情况下虚实结合更容 测试体系 主要从以下几方面建 织体系是第一要事 组织体系要将 易落实 如下图所示 当然有了组 设 相关部门及相关岗位人员都纳入 织必须配备如下图所示的相关技术 这样才能将相关工作都深入到各自 工程师 建立内部测试组织体系 的岗位中 但大多机构由于行政管 测试领导小组 协调小组 业务部门 开发中心 测试中心 系 统 需 求 人 员 系 统 开 发 工 程 师 系 统 测 试 工 程 师 安全测试实验室 脆 弱 性 测 试 工 程 师 测试组织体系架构 62 明确内部应用系统安全测试的流程内容 有了明确的组织人员后 就 主要分四个大部分 即 准备测 要制定具体的应用系统安全测试 试阶段 预测试阶段 执行测试 的流程内容 通常一个较完善的 阶段 结束测评阶段 详细流程 基于CC的应用系统测试体系流程 及内容图如下所示 源 码 测 试 工 程 师 文 档 测 试 工 程 师

63 帮助开发人员更深入的 理解标准及测评过程 分析系统在预测级别成 功通过评估的可能性 编写ST 正式测评的准备 包括资源投入等 准备测评阶段 预测评阶段 文 档 收 集 开 发 人 员 培 训 文 档 初 步 审 阅 解 决 上 段 识 别 的 缺 陷 识 别 差 距 与 问 题 简要报告 准 备 S T 结束测评 经验积累 执行测评阶段 辅 助 开 发 缺 失 文 档 讨 论 确 定 级 别 检查与确定级别的符合性 按计划执行任务 建 立 测 评 计 划 证 据 S 安 收 T 全 集 评 架 与 估 构 评 生 估 成 功 能 描 述 评 估 T E O 设 计 评 估 输出ST 测评计划 确定的级别 各项子报告 资源投入 测评总报告 结束测评阶段 测 试 评 估 脆 弱 性 评 估 生 命 周 期 评 估 提 交 成 果 问 题 验 证 验证报告 验收报告 应用系统测评体系整体流程图 建设过程中要注意的问题 本体系建设不仅有很高的技术门槛 而且还需有很强的管 前功尽弃 另外各金融机构可依据自己公 司的规模 复杂度等具体设计实施计划 理措施 因此过程中要注意如下问题 1 必须领导重视 一个完善的体系建设不仅涉及财力而且涉 长远意义 及各部门的人力 需要领导将应用安全工作提升高度 要有推 虽然建立该体系前期投入较大 也需 动贯彻该体系的决心 过程中长期关注 并保证资源 包括人 要足够的人员储备 但适合金融行业安全 力 物力 财力 自主掌控的理念 鉴于目前各大金融机构 2 均未建立此测试体系 所以一旦有机构建 要有统一的组织体系并明确责任分工 内部应用系统测评 体系建立工作的顺利展开 离不开各部门的明确责任分工 例 如业务部门负责参与编写ST 提出安全策略等 立 将会有如下长远意义 使安全工作从开发源头抓起 实现良 性循环 提高应用系统安全性在企业内部 的可见度 需要相应的技术环境 一个完整体系必须有相应的技术支 能够提升整个机构整体应用系统安全 撑 如白盒测试工具 扫描工具等整套支撑该体系的技术和相 水平 在行业内树立标杆形象,为商业化 应产品 运作提供条件 4 建立内部应用系统测评体系应循序渐近 按计划分步实施 目前各大机构都在扩展海外业务 此 建立内部应用测评体系将会大大改变公司内部的管理及工作模 测试体系的建立可为实施全球业务战略奠 式 所以不能急功近利 否则可能会出现很多问题 甚至导致 定基础 3 63

64 安 全 实 践 数据库审计产品 从根本化解 统方 难题 文/杨志泉 摘要 启明辰拥有领先的数据库审计产品 并 专门推出了适合医疗机构的专用防 统方 版本和 解决方案 为保障医疗机构的数据安全提供了全新 的手段 医院息系统是以医院局域网为依托 以医院 统方 是医院对医生用药息量的统计 非 的财务管理为中心 以病人为数据采集线索 覆盖患 法的 统方 行为是形成医药回扣黑链的重要一环 者在医院就诊的各个环节的计算机网络系统 随着近 统方 破坏了医院良好的公众形象 减低了医院 年来国内数字化建设的快速从发展 医疗系统日常工 的社会满意度 是国家和媒体关注的重要社会焦点 作对息系统的依赖度越来越高 新建的医疗息系 问题 统方行为 既违反了 卫生部八项行业纪 统体系不断庞大 结构越来越复杂 管理难度剧增 律 同时触犯了中华人民共和国刑法第285条第2 因此核心敏感数据的泄密问题也逐渐显露出来 统 款 将构成非法获取计算机息系统数据 非法控 方 行为 正是伴随着医院息化发展进程不断发生 制 计算机息系统罪 的行为 64

65 传统设备难解困局 当前医院的HIS系统是一个统一的应用平台 集中了处方统计分析业务 处方查询 药剂科 以及挂号 病历 诊疗息管理等核心业务模块 这些模块共用同一个数据库用户 这种方案存在以 下几个问题 绕开应用系统直接访问数据库中的统方数 据 该数据库用户由于未采用有效的保护措施 可 以通过该用户直接访问数据库 从而造成数据库内 统方息泄密 利用处方查询业务中的合法数据库用户身 份 在应用中进行间接 统方 对于药剂科的处方 查询 处方打印操作 本身就需要具备查看处方中 的药品 医生名称 药品数量等关键息的权限 针对屡禁不止的统方事件 传统的安全设备显现 能返回特定处方的息 但如果应用系统的开发控 出了不足 如 防火墙 IPS等都是针对于边界或者 制不严 被人为篡改查询语句或植入按时间范围 外部的防护 防护的方向一般只对外而不对内 可实 按医生及药品名称进行批量查询的报表 则能够迅 际情况是 外部入侵行为造成的医疗系统数据泄密的 速地获取批量处方息 间接地完成 统方 的案例微乎其微 大量的泄密事件都是由合法接触医 疗息系统的人员造成的 同时 数据库自身日志审 无法进行有效授权 由于不同模块公用同 计的也显现出了不足 目前多数医疗应用系统采用客 一数据库用户访问数据 无法有效的限定数据库用 户端访问应用服务器 应用服务器再访问数据库的服 户的访问能力 特别是处方统计分析业务和处方查 务结构 即便开启数据库自身日志审计功能也无法具 询的区别管理 体定位到执行操作的用户 同时 开启数据库自身审 计后严重影响应用系统性能 会降低10%左右的应用 数据库维护人员也同样存在泄密风险 性能 影响了正常业务 另外 数据库自身审计存在 DBA及系统维护人员的权限过高 可以访问所有处 严重不足 数据库自身审计采用明文存储 授权用户 方数据 SYS等超级用户 DBA用户 以及维护人 可以随意修改和删除 无法保留证据 再者 在事件 员的数据库用户 具备了访问所有数据的权限 从 发生后 依靠数据库自身审计日志 检索费时费力 而使毫无业务需要的DBA及维护人员能够访问所有 查询和分析极为困难 对维护和管理人员的专业知识 处方数据 具备 统方 的最佳途径 水平要求非常高 难以帮助管理员发现和定位问题 合法的业务操作是基于处方编号进行精确查询 仅 65

66 安 全 实 践 存在数据库中 任何形式的 统方 操作都是对数 专业数据库审计产品治本 启明辰拥有领先的数据库审计产品 并专门 据库的访问 启明辰防 统方 产品根据这一特 推出了适合医疗机构防 统方 的解决方案 为保 点进行开发 从数据库层面对系统进行保护 实现 障医疗机构的数据安全提供了全新的手段 从根源上的保护 在医疗息系统中 全部的敏感数据最终都保 门诊大楼 住院大楼 检验中心 影像中心 行政大楼 WEB HIS LIS PACS OA EMR 防统方系统 66 DB DB DB 简易部署 轻松防统方

67 启明辰防 统方 系统采用旁路方式接入用 抗压能力 平均处理能力以及大数量级下的查询能 户网络中 通过监测及采集医疗息系统对数据库 力具有卓越的性能 为大中型医院海量数据处理压 发生的安全事件 用户登录行为 用户操作行为 力处理提供了有力保障 以及所有对数据库的使用情况等各类息 经过规 独有的统方事件翻译 启明辰防 统 范化 过滤 还原 归并 分析和告警等处理后 方 系统提供一个语句翻译功能 此功能可自动将 以统一格式的日志形式进行集中存储和管理 结合 原始的SQL语句转换成用户一目了然的中文业务操 丰富的日志汇总 分析 统计等关联分析功能 实 作事件 不仅方便数据库管理员 也方便非专业人 现对数据库系统状况的全面记录和分析 员使用 系统可实现 全面监测数据库超级账户 一般账户 临 时账户等各用户对数据库的所有访问 让管理者全 面了解全院对数据库的访问情况 防 统方 系统管理中心灵活部署 集中 管理 防 统方 系统管理中心可对用户网络框架 中的多个防 统方 引擎进行管理 管理人员全面 了解各个节点中数据库的使用状态 丰富的报表功能 系统提供多种统计报 通过预先设置的告警规则 实时监测对数 表 可根据用户需要完成各种情况的统计和分析 据库的异常操作和行为 发现 统方 操作及时告 多维度 多视角地实现对流量 操作 用户登录 警 防范统方事件的发生 报警等的统计 排名和分析 并提供表格 柱状 详细记录对数据库的所有操作息 并分 图 饼状图 折线图等多种展示方式 支持多种格 类整理 归档 在安全事件发生时 为事故的责任 式的导出和打印方式 如html PDF doc等 方 追查 故障定位提供有力的技术保障 便用户保存和查看 启明辰数据库审计产品防统方版本的特点包 数据库状态监控 启明辰防 统方 系 统提供数据库流量实时监控功能 可随时了解数据 括 不影响业务系统的可用性 系统采用旁路 库的运行状况 方式接入用户网络中 通过交换机镜像端口采集数 启明辰防 统方 解决方案真正解决了医疗 据 不需要改变现有的网络体系结构 不占用数据 系统普遍面临的严峻问题 一经推出便获得了医疗 库服务器的资源 不影响数据库性能 行业用户的高度认可 目前已在数十家三甲级医院 卓越的存储 查询性能 自主设计的日志 实际使用 存储和查询数据库管理系统在峰值处理能力 高峰 67

68 安 全 实 践 产品方案化 方案 业务化 论息系统 安全 四化 建设 业务 透明化 文/张晔 摘要 本文通过总结息系统安全建设 的经验 提出了息系统安全 四化 建 服务产品化 设的理念与方法论 即产品方案化 方案 业务化 业务透明化 服务产品化 国内息化建设起步于上世 统安全 四化 建设的理念与方 对息系统安全体系框架有一个 纪90年代 经过多年的发展 各 法论 即产品方案化 方案业务 清晰的认识 知道进行息系统 组织单位息化建设取得了突破 化 业务透明化 服务产品化 安全防护需要建设怎样的安全体 性进展 息系统顺利完成由局 部应用到全面覆盖 由辅助管理 系架构 而目前现状已经满足哪 产品方案化 些要求 还有哪些没有满足 从 到支撑生产经营 由分布处理到 产品方案化着重强调某个安 而明确该产品在安全体系架构中 数据集中的转变 开始步入成熟 全产品在整个息系统安全整体 的作用 以及该产品的重要性和 阶段 解决方案中的角色 以及所解决 紧迫性如何 在息化建设的过程中 同 的具体问题 对于息系统安全体系架 产品方案化以方案提供者的 构 在等级保护制度没有执行 息系统安全建设一般经过分散 角度提出 让用户明确安全产品不 前 一般按照IATF标准通过安全 建设阶段 系统化建设阶段 一 是解决所有的安全问题 而是满足 域的划分来构建息系统安全体 体化建设阶段 在不同的阶段 整体解决方案某一个点的问题 如 系架构 以及等级保护制度的执 采取不同的安全技术与解决方 防火墙主要解决内外网安全隔离 行 使国内政府 企事业单位进 案 但无论在哪一个阶段 息 或安全域的划分与隔离 网络审计 行息系统安全建设有所依据 时也进行了息系统安全建设 系统安全理念都不会发生根本性 主要对网络行为进行记录与追踪 等级保护从计算安全环境 边界 的变化 本文通过总结息系统 解决内网合规问题 安全 通安全 安全管理中心 68 安全建设的经验 提出了息系 产品方案化的前提是让用户 四个方面阐述了如何构建安全体

69 边 界 完 整 性 保 护 制 控 问 访 界 计 边 审 全 安 图示 定 鉴 份 身 安全管理域 访问 滤 控制 过 议 协 界 边 安全计算环境 网络与通安全 完整/保密性 物理 边 环境 界 安 全 审 计 业务系统-Ⅰ 边界安全 整 认 完 证 密 审 保 计 保 计 审 证 认 密 完 整 业务应用系统 护 保 保 性 性 整 完 界 边 业务系统-Ⅱ 审 计 物理 全 安 界 计 审 安 界 边 滤 过 议 全 完整/保密性 协 滤 过 议 协 界 边 界 边 完整/保密性 环境 环境 物理 控制 控制 访问 访问 认证审计保密完整 边 整 完 界 制 计 计 身 业务系统-Ⅱ 控 份 审 制 审 鉴 全 控 安 问 定 问 访 访 全 边 界 界 安 定 鉴 份 身 边 边 护 安全 管理中心 息系统安全等级保护体系架构 性和安全性 是进行息系统安全 失 息系统安全解决方案 一定 护架构图 可以非常清晰每个产品 建设的最终目标 同时 以业务系 是以业务系统为中心 从业务系统 在等级保护整体解决方案中的角色 统安全为目标 可以使解决方案的 的安全防护 业务系统的可用性监 与作用 从而很容易提供产品方案 工作目标更明确 具体安全措施的 控 业务系统的行为审计 业务系 化的解决方案 粒度更细 统的运维安全 业务系统的安全事 方案业务化 通过多年的息化建设 业务 件 以及业务系统的流量监控等多 系统已经成为组织单位中职能部门 维度来解决业务系统的安全问题 息系统安全是一个比较宏观 工作的平台 业务系统产生可用性 的概念 息系统安全的目的是业 事件或安全事件 直接关系到组织 务系统安全 保障业务系统的可用 单位的日常工作 甚至造成经济损 系架构 通过息系统安全等级保 69

70 安 全 实 践 因此 以安全解决方案业务 标明确 而且可以准确的判断业务 务系统安全防护是否到位 从而验 化的角度去解决安全问题 不仅目 系统是否是一个独立的安全域 业 证安全解决方案是否 落地 业务系统流量监控 业务系统行为监控 业务系统可用性监控 业务系统安全防护 业务透明化 息系统安全保障体系作为 理 安全服务三大方面组成 其中 业务系统安全稳定运行的基础 服 安全服务包括息系统安全咨询服 务于业务系统 但对业务系统的应 务 评估服务 应急服务 加固服 用需要透明 以不影响业务系统用 务 安全运维服务等 户使用习惯和业务系统的运行效率 为原则 70 安全服务需要产品化 才能 够形成标准 保证质量 安全服务 息系统安全建设如果做不 的产品化集中体现在安全服务文档 到业务透明化 在安全建设的过程 标准化 项目组织标准化 服务流 能够体现安全服务的专业性 而且 中 一定会遇到重重阻力 难以为 程标准化 能够提高安全服务的效率 降低安 全服务的风险 继 即使由于某种原因进行了不透 安全服务文档不仅需要标准 明的安全建设 后期也会导致弃 化 而且根据客户的不同要进行行 在息系统安全解决方案中 用 同时 业务不透明的安全建 业化 同时要及时更新 项目组织 以安全 四化 建设为理念 不仅 设 很容易因为息系统安全建设 标准化体现在安全服务的过程中 可以使安全解决方案目标明确 建 而导致业务系统的不安全 让专业的人做专业的事情 避免由 立符合用户使用习惯和企业文化 于人员的不专业而导致安全服务风 可落地的安全保障体系 而且可以 险加大 服务流程标准化体现在安 使安全技术和安全服务有机的融合 一个完整的息系统安全保 全服务要有计划 有步骤的进行 为一体 从而高效的为息系统安 障体系 由安全产品技术 安全管 总 安全服务产品化不仅 服务产品化 全稳定运行提供保障能力

71 数据库全方位防护 专访启明辰滕文静 文/王宪阁 么近期国内发生的另外一起恶性案 3 数据库平台漏洞类安全威胁主 个人用户帐户丢失 企业机密 件 就已经造成了巨额财产的损 要来在于数据库系统自身潜在的漏 息 财产被盗等数据泄露事件频 失 国内某IM互联网公司 内部 洞 发 让业界目光再次聚焦到核心的 二 技术员工非法盗取靓号 牟利达 4 数据库安全上面 日前 中关村在 40万被判入狱两年 线等媒体 就此问题采访了启明 辰审计产品经理滕文静女士 共同 探讨了数据库安全审计和安全防护 等问题 根据多年的行业经验 滕文静 对目前数据库所面临的威胁作了归 纳总结 滕文静认为数据库安全威 胁从类型上来看 主要分为两个方 面 二 数据库篡改问题 为各个数据库所使用的通协议都 包括内部 人员越权对数据进行篡改以期获取 利益 以及外部人员的恶意预谋攻 击 对于数据库篡改这种事件 也不少见 尤其内部员工发生离职 类似事件时 员工或出于个人情 绪 或出于利益 篡改公司数据 库 近日就有一起该类案件发生 一 数据库泄漏问题 包括个人 经过追查当事人被处赔偿损失 外部人员恶意攻击篡改数据 用户息的泄漏 企业机密 财务 息的泄漏 早先国内CSDN等大批网站 被 拖库 大量个人用户息被 库的事情就更多了 比如不久前发 生的学生侵入数据库修改成绩 都 属于此类 暴露在互联网上 给用户造成了损 滕文静还深入从技术角度 失 也给相关企业誉带来了不利 分析认为数据库安全威胁主要分为 影响 类似事件国外也不乏案例 以下7大类 许多互联网服务商 甚至安全公司 1 权限类安全威胁主要包括权 的息库都被黑客攻陷 造成了大 限滥用 权限提升 以及因为数据 范围的用户恐慌 而相关企业所能 库自身身份验证不足所导致的越权 做的只是紧急重置用户密码 访问 如果这些仅是用户帐户丢 失 还不能直接造成经济损失 那 2 通协议漏洞类安全威胁是因 拒绝服务类安全威胁主要是数 据库有时会遭受的拒绝服务攻击 不一样 每个通协议都可能或多 或少的存在某些安全漏洞 5 SQL注入类安全威胁是针对数 据库最常见的一类攻击 这类攻击 危害非常大 可能会导致数据的泄 漏甚至是篡改 6 审计记录不足 一般是因为对 数据库的各种访问没有进行有效及 时的记录 进而导致发生数据库安 全事故后 却无法追踪溯源 7 备份数据暴露更多来自于管理 上的风险 比如备份数据没有安全 存放 或者没有加密等等 这些都 会导致数据的泄漏 数据库全方位 分析了数据库安全威胁的主要 分类 滕文静还对数据库威胁来源 进行了多层次的剖析 她认为数据 库威胁主要来自以下四大方面 一 来自终端的威胁 各类PC终 端 移动终端对数据库的访问 都 会给数据库带来潜在威胁 数据库安全威胁分析 71

72 安 全 实 践 一 来自网络的威胁 数据库毕 国际厂商 并购凶猛 竟是一个对外提供服务的平台 数 2008年7月 SIEM厂家NirtoSecurity收购数据库审计厂商RippleTech 据的存储也是在网络里面进行的 2009年2月 数据仓库厂商Netezza以300万美元收购数据库审计厂商Tizor 这些来自网络的威胁会给数据库带 2009年12月 IBM以2.25亿美元收购Guardium 来安全风险 2010年9月 IBM公司出资17亿美元来收购Netezza 一 来自网络的威胁 数据库的 核心价值在于对数据的存储 而数 2010年5月 Oracle收购数据库防火墙厂商Secerno 2011年3月 Intel旗下Macfee收购sentrigo 据70%以上的作用是为应用服务 所以来自应用的威胁占数据库威胁 国内厂商 百花齐放 很大比例 已有40余家数据库安全厂商 一 来自网络的威胁 如果你的操 作系统不够安全 存在安全漏洞的 话 那么外围的某些 操作人员 7% 3.8 % 8.4 % 2.8% 了一系列的变动 对此 滕文静从 4. % 近年来数据库安全威胁日趋严峻 早已引起业内厂商的关注 并引发 % 8.0 数据库安全并非一个新概念 % 库进行高危操作 6.9% 就可以利用操作系统漏洞 对数据 国际和国内两个大环境为我们展示 2012 了数据库安全行业的现状已经近年 趋势 9.5% 中国数据库安全审计与防护 市场份额 42.9% 72 启明辰 IBM Imperva McAfee Oracle Fortinet 安恒 国都兴业 比蒙 其他

73 国内数据库安全审计与防护市 做具体细粒度的分析及检索追溯 场的参与者 主要也是国际和国内 命令级的访问控制 使其对数据库 这两大类 无论是从国际形势还是 的控制更加细致 而不会影响到对 从国内形势来看 数据库安全行业 网络的正常访问 竞争都非常激烈 据滕文静透露 根据Frost & Sullivan调研显示 2012年 启明辰占据了中国国内 数据库安全市场9.5%的市场份额 居榜首位置 对此 滕文静表示 主要因为 国内外厂商在数据库防护技术方面 差距已经不大 所以 在面对强势 的国外安全势力时 启明辰依然 能够立于不败地 另一方面 相 对于国内同行来说 启明辰起步 相对较早 启明辰从2003年研制审计 产品 2005年开始关注数据库审 计 并逐渐形成了以天玥网络安全 审计系统为代表的数据库安全审计 与防护解决方案 滕文静将数据库安全深入浅出 的概括为三个阶段 事前 事 在当前这个大数据时代 对 数据库扫描 对数据库进行漏洞检 海量数据的高性能处理能力十分 查 事中 即设置数据库防火 重要 一旦数据处理能力不足 墙 对数据库的各种访问进行实时 就会影响到数据库审计日志的记 细粒度访问控制 事后 即建立 录 启明辰通过搭建X86多核 数据库审计机制 做到追责明确 处理底层平台 高性能的协议解 启明辰数据库安全解决方案 提 析技术 审计日志高速入库 高 供事前 事中和事后的全方位安全 速检索技术 实现了对海量数据 防护解决方案 的高性能处理 为了满足用户需 此外 启明辰的数据库安全 求 启明辰的数据库安全防护 防护解决方案还具有很明显的技术 解决方案还支持大规模的多级分 优势 比如其数据库语义解析 能 布式管理 够精确到语义级别 对数据库操作 文章来源 中关村在线 中 和 事后 事前 即通过 73

74 研 究 74

75 VenusTech 2013年03-05月TOP 10安全漏洞 根据安全漏洞的受影响范围 严重程度 是否可稳定利用及 是否已经提供补丁等因素进行综合评定 VenusTech研究部 发布如下2013年03-05月安全漏洞TOP 10 仅供参考 1-Apache Struts2 includeparams属性远程命 2-Microsoft Internet Explorer 令执行漏洞(CVE ) CVE 释放后使用漏洞 危害 危害 远程攻击者可以通过提交特制的Ongl表达式 修改服务器端对象 远程执行任意命令 怎样免受影响 允许远程攻击者利用漏洞构建恶意WEB 页 诱使用户解析 可以应用程序上下文执行任 意代码 怎样免受影响 Apache Struts 已经修复此漏洞 建 议用户下载更新 struts.apache.org/2.x/ 可通过下载并安装最新的程序版本修正此漏 洞 security/bulletin/ms ANginx 'ngx_http_parse.c'栈缓冲区溢出漏 4-Microsoft Windows NT/2K/XP/2K3/ 洞(CVE ) VISTA/2K8/7/8 'Win32k.sys' 本地权限提升漏洞 危害 Nginx 'ngx_http_parse.c'在处理特殊的请求时 利用win32k!EPATHOBJ::pprFlattenRec 存在一个基于栈的缓冲区溢出 允许远程攻击者 中的一个缺陷 允许本地攻击者利用漏洞提升权 利用漏洞以应用程序上下文执行任意代码 限 并控制系统提供 怎样免受影响 Nginx 1.5.0, 1.4.1版本已经修复此漏洞 建议 用户下载更新 怎样免受影响 目前没有解决方案提供 危害 75

76 安 全 研 究 5-Linux Kernel CVE perf_ 6-TP-LINK TL-WDR4300远程任意 swevent_init本地权限提升漏洞 shell命令执行漏洞 危害 多个Linux内核版本包括Android版本存在 危害 允许远程攻击者利用漏洞提交 此漏洞 允许本地攻击者利用该漏洞提升权限 /userrpmnatdebugrpm /start_ 获得root权限 art.html脚本请求及恶意文件 在系统执行任意 怎样免受影响 shell命令 控制设备 可通过下载并安装Linux提供的安全补丁来 怎样免受影响 修正此漏洞 可联系厂商获得相应安全补丁来修正此漏洞 git/torvalds/linux-2.6.git;a=commit;h=8176 download_software_1_0.html cced706b5e5d e94e02f 关闭WAN管理接口或者设置任列表只允许可 IP进行访问管理 7-Adobe Flash Player和AIR远程整数溢出漏 8-Microsoft Internet Explorer OnResize 释 洞(CVE ) 放后使用远程代码执行漏洞(CVE ) 危害 危害 允许攻击者构建恶意SWF文件 嵌入到WEB页 允许远程攻击者利用漏洞构建恶意WEB页 诱使 或Excel中 诱使用户解析 可以应用程序 用户解析 可以应用程序上下文执行任意代码 上下文执行任意代码 漏洞影响IE 怎样免受影响 怎样免受影响 76 可通过下载并安装厂商提供的最新版本来修正此 可通过下载并安装厂商的安全补丁来修正此漏 漏洞 洞 security/bulletins/apsb13-11.html 不轻易打开不可用户的邮件或文件 security/bulletin/ms13-021

77 9-Oracle Java JDK / JRE四月修复多个安全漏洞 危害 10-Discuz X的后台执行任意代码的安全漏洞 危害 Java JDK和JRE中的多个子件中存在的多个安全 Discuz X存在一个任意代码执行漏洞 允许 漏洞 允许远程攻击者利用漏洞执行任意代码 拥有后台权限的用户以WEB权限执行任意PHP 获取敏感息 或提升权限等 命令 怎样免受影响 可通过下载并安装厂商提供的最新版本来修正此 漏洞 怎样免受影响 修改\source\function\function_core.php 文件文件添加过滤 topics/security/javacpuapr html 直接卸载Java应用 ADLab 启明辰积极防御实验室 1999年成立 是国内第一家 专门跟踪攻击技术的实验室 是启明辰在息安全领域保持强大技 术实力和持续创新的重要保证 其专注于网络安全基础性研究 密切 跟进国内 国际漏洞机理研究的最新进展 探寻各种操作系统与应用 软件的安全性特征 建立全面专业的漏洞库 提升取证 验证技术水 平 模拟审视网络环境 为客户提供全面响应服务 77

78 文 化 78

79 与爱同行 传递正能量 与爱同行 传递正能量 启明辰特派 员工亲赴宝兴县地震灾区 文/韦娟 到位 因此 公司决定选择宝兴县 点02分 四川省雅安地区遭受到了 进行资助 并委派公司团支部对宝 7级强烈地震 人员 财产损失惨 兴县学校的受灾情况进行了解 重 灾区群众的情况牵动着所有中 公司团支部通过四川省宝兴县人民 国人的心 更牵动着启明辰人的 政府 宝兴县教育局 获得了宝兴 心 党委迅速响应 号召公司全体 县下属7所中 小学校长的联系方 党员积极行动起来 经过几天的踊 式 并与每位校长联系 了解到每 跃捐款 共筹集到36万元 其中启 所学校详细的受灾情况以及援助需 明辰和网御云公司领导 党员 求 公司党委 基金会针对这7所 及其他员工捐款6万元 北京启明 学校的情况确定了援助方案 并委 辰慈善公益基金会捐款30万元 派启明辰成都分公司张晓东 董 由于雅安市宝兴县受灾非常 跃 邱丽萍 网御云公司徐军于 严重 地震后交通一度中断 成了 2013年5月8日将善款送到灾区学 一座孤岛 外界救援物资一时无法 校和孩子们的手中 北京时间2013年4月20日08 79

80 与 爱 同 行 传 递 正 能 量 辰 文 化 大 渔 村 小 学 灵 关 磨 刀 村 小 学 80

81 中坝小学 灵关小学 大溪小学 新兴小学 这7所学校分别为 一 大渔村小学 由于大渔村小学建在山上 教室全部被损 因此 捐赠事宜是让校长下山到灵关小学进行办理的 二 灵关磨刀村小学 由于磨刀村小学建在山上 教室全部被毁 因 三 中坝小学 四 新兴小学 五 灵关小学 六 大溪小学 此 捐赠事宜也是请校长下山到灵关小学进行办理的 七 灵关中学 目前已有包括磨刀村小学等一些学校的家长及学生发来短 表达对公司 以及同事们爱心捐赠的感谢 灵关中学 81

82 与 爱 同 行 传 递 正 能 量 辰 文 化 序 号 年 四 川 省 宝 兴 县 地 震 援 助 方 案 资 助 合 计 单 位 : 万 元 1 学 生 和 教 师 生 活 援 助 :17 人 学 校 校 长 灾 情 确 定 资 助 方 案 玉 加 文 : 灵 关 大 渔 村 小 学 12 黄 正 芬 : 灵 关 磨 刀 村 小 学 31 3 中 坝 小 学 4 新 兴 小 学 冉 明 刚 : 胡 光 能 : 该 学 校 一 共 15 名 学 生,2 名 老 师, *1000 元 / 人 =1.7 万 元 ; 学 校 和 师 生 家 庭 房 屋 以 及 硬 件 设 施 全 部 损 坏, 目 前 无 法 复 课 2 学 校 修 缮 费 用 :5 万 元 ( 合 同 ) 该 学 校 一 共 39 名 学 生,3 名 老 师, 1 学 生 和 教 师 生 活 援 助 :42 人 学 校 和 师 生 家 庭 房 屋 以 及 硬 件 设 施 *1000 元 / 人 =4.2 万 元 全 部 损 坏, 目 前 学 生 及 其 家 人 全 部 学 校 修 缮 费 用 :5 万 元 ( 合 转 移 至 政 府 安 排 的 帐 篷 暂 住, 无 法 同 ) 复 课 该 学 校 一 共 320 名 学 生, 教 室 全 部 1 学 生 生 活 援 助 1 万 元 ( 合 受 损, 其 中 农 村 学 生 家 庭 受 损 极 为 同 ); 4 严 重 2 学 校 修 缮 费 用 3 万 元 ( 合 同 ) 该 学 校 一 共 158 名 学 生, 学 校 房 屋 受 损, 硬 件 设 施 全 部 受 损, 无 法 复 1 学 校 修 缮 费 用 3 万 元 ( 合 课, 有 一 名 重 伤 学 生 转 移 至 成 都 救 同 ); 3.1 治 学 校 的 桌 椅 已 由 儿 童 基 金 会 捐 2 1 名 重 伤 学 生 援 助 1000 元 赠, 复 课 用 品 需 要 : 电 脑 5 灵 关 小 学 曹 立 平 : 1 5 名 重 伤 学 生 援 助 5000 元 教 室 和 教 师 宿 舍 全 部 损 毁, 无 法 复 ( 合 同 ); 3.5 课, 有 5 名 重 伤 学 生 90 2 学 校 修 缮 费 用 3 万 元 ( 合 同 ) 舒 乾 武 : 该 学 校 一 共 191 名 学 生, 教 室 全 部 6 大 溪 小 学 受 损, 昨 天 已 经 集 中 学 生 做 了 一 次 学 校 修 缮 费 用 3.5 万 元 ( 合 同 ) 心 理 辅 导 廖 书 明 : 校 长 一 直 联 系 不 上, 但 是 宝 兴 县 教 7 灵 关 中 学 育 局 局 长 亲 自 告 诉 我 该 学 校 和 灵 关 学 校 修 缮 费 用 6 万 元 ( 合 同 ) 6 35 小 学 受 灾 严 重 合 计 36 捐 款 来 源 说 明 : 1 北 京 启 明 辰 慈 善 公 益 基 金 会 :30 万 元, 详 见 7 份 合 同 ; 2 启 明 辰 和 网 御 党 员 及 员 工 捐 款 :6 万 元 ( 具 体 数 字 更 新 中, 如 有 超 过 作 为 机 动 捐 款, 根 据 当 地 情 况 再 额 外 发 放 ) 6.7 大 渔 村 小 学 捐 助 情 况 受 损 的 学 校 部 分 短 如 下 : 谢 谢 你 们 在 我 们 最 困 难 的 时 候 帮 助 我 们 资 助 我 们, 你 是 我 们 的 大 恩 人, 你 们 的 1000 元 给 了 我 们 很 大 帮 助, 我 们 会 永 远 记 住 你 们 的 大 恩 大 德, 你 们 是 大 好 人 学 生 : 李 雯 邱 女 士 您 好! 我 是 磨 刀 村 小 学 黄 梓 桓 的 家 长, 感 谢 你 们 对 我 们 的 关 怀 和 支 持! 祝 大 家 一 生 平 安 邱 阿 姨 您 好, 我 是 磨 刀 村 小 学 生 黄 淑 婷, 由 于 这 次 地 震, 你 们 冒 着 生 命 危 险, 来 到 我 们 磨 刀 村 小 学 资 助 我, 让 我 更 加 努 力 学 习, 我 衷 心 的 谢 谢 你 们 谢 谢 你 们 对 我 们 磨 刀 村 小 学 的 帮 助, 我 代 表 磨 刀 村 小 学 学 生 家 长 真 心 谢 谢 您, 祝 你 们 平 平 安 安 万 事 如 意 生 意 红 火 我 是 黄 聪 家 磨 刀 村 小 学 捐 助 情 况 82

83 在路上 我的爱心行 在路上 我的爱心行 文/邱丽萍 书包及本子赠送给了灵关镇大渔村 小学 15个书包 50个作业本 与灵关镇磨刀村小学 50个作业 本 随后 我们又与中坝小学的冉 校长取得了联系 此时已经是下午两 点 到他们学校时学生已经放学 在 得知我们还要去大溪小学及新兴小学 后 冉校长就主动帮忙联系两所学校 的校长 据冉校长介绍这两所学校的 季 受地震影响 路况 路很不好走 大溪小学在河对面 从 很差 危险性极大 所以去往四川 学校出来都要走铁索桥 由于受损严 雅安芦山宝兴县的道路还是受到了 重 他们的校舍也不能正常使用 学 部分交通管制 生目前还没有复课 5月8号早7点 张总当起了司 办理完所有捐赠手续已经是当 机 载着我们往雅安方向前进 到 天下午五点 为了赶在下午六点的 达雅安 经芦山县辗转再到宝兴县 交通放行时间前离开宝兴县 我们 灵关镇已经接近中午11点 一刻没有停留 这时灵关镇已开始 第一站是灵关中学 找到廖 下雨 大家冒着雨 车行驶在崎岖 校长办完相关手续后我们前往了第 的山间 直到晚上七点钟所有人才 二站 灵关小学 由于灵关镇大 平安返回成都 成都分公司总经理 张晓东 渔村小学与灵关镇磨刀村小学都建 据5月9日人民日报官方微博 在山上 地震中学校全部损毁 道 消息 5月8日芦山震区由于大雨 路也不好走 在灵关小学曹校长的 塌方 芦山至宝兴道路再次被阻 建议下 将这两所学校的校长及财 看到这一消息我才有点后怕 回到 表达他们对公司好心人的谢意 听 务人员都请到了灵关小学 在灵关 成都后灵关磨刀村小学的几位学生 到 看到这些朴实的话语 我的心 小学将捐赠手续办理妥当 同时将 及家长陆续给我打电话或发短 暖暖的 一切付出都是值得的 沿途危险的路况 5-8 月都是四川雅安的雨 83

84 辰 文 化 行是知始 实践出真知 纪2013年Q2公司产品工程实施规范及技术交流大会 文/向爱华 84 月的北京刚刚萌生一些春意 尚有 安全工程部 前线技术中心工程监 高了工程实施技术人员的安装调 些料峭的春风里万事万物酝酿着勃 理部 辰本部 云本部 泰合 试 排错技能 并通过考试 实验 勃生机 启明辰迎来了2013年 本部精心策划了具有丰富产品实施 的方式考察了技术人员的培训效 第二季度产品工程实施规范及技术 经验的讲师课程 上机实操 案例 果 一线实施技术人员与公司研 交流大会 分享等各层面多层次的交流活动 发 测试人员实施经验的分享交 流 建立起相互间很好的交流渠 行是知始 知是行成 公 公司总部的五位讲师将 司的产品层次丰富 型号多样 要 USG防火墙 P系列 TSOC 在工程中良好地融会贯通 灵活应 V30200 天玥产品的使用 纸上得来终觉浅 绝知此事 用实属不易 仅仅具有理论知识 维护经验以及在工程中应用的案 要躬行 只有我们不断地去尝试实 掌握原理规则 在面对复杂多变的 例 通过讲解的方式分享给大家 践 才能透彻地认识一个事物和明 工程实际时 往往是一筹莫展 面 分子公司的五位讲师把自己在项目 白一个道理 正所谓实践出真知 对不同的客户环境往往手足无措 实施中的案例经验及心得体会也进 只有当自己亲自去实践过才会发现 不经过较长时间的锻炼积累是不可 行了详细的分享和讨论 公司华 其中的奥妙 安全项目产品实施是 能熟练漂亮地完成一个项目的 东 山东 福兰区 西北 东北实 如此 做安全产品是如此 做安全 为提高公司各销售平台一线 施技术人员共40人左右参加了大 产业更是如此 我们在实践中运 骨干工程技术人员产品实施技能 会 大家专心致志地学习 兴致勃 用 又在实践中总结 充分交流 分享交流实施经验 促进实施规范 勃地交流 通过公司产品原理与实 积极思考 才能留下踏踏实实的一 化 人力资源部联合前线技术中心 施应用案例相结合的讲解方式 提 个又一个足迹 道 促进了实施规范化

85 Venus 我来啦 Echo 楔子 静修室 这是我第一次去静修 在职场江湖晃荡了一个纪 室 里面没有人 我安静地坐下来 2013年初 我有幸遇见了启明 环顾四周 有几副字画很素雅 几处 辰 掰着指头算算 我在这儿工作 可见的 上善若水 让我倍感温馨 刚2个月 然而从第一天入职起 呆呆地看了会后 我轻轻闭上眼 什 启明辰对于我 却有着莫名的亲 么都不想 试着放空自己 当我再 切 常常不经意间 我就被这儿的 次睁开双眼 我惊奇的发现浮躁不见 一个人 一句话 一件事 一个眼 了 我沉静了下来 神所感染 很快我再次回到座位上 迅 速进入到工作状态 电脑中的文字 和数字又再次变得可爱起来 我高 记得入职第一天 我刚办理 效地完成了当日给自己定的工作任 了我们下一步走得更好 我由衷 完毕新员工入职手续 领导就交给 务 自此 我养成了一个习惯 如 的喜欢 我一个培训项目 入职第二天 我 果中午吃完饭我还有点时间 我就 又接手了一个人才培养项目 两个 会去静修室看半个小时书 或闭上 友善是一种习惯 项目从项目需求沟通及分析 项目 眼睛想一想心事 作为一个新员工 最初的过渡 方案策划 项目内容细节的落实 工作十二载 我经历过的公司 期总是很忐忑的 各个部门人也不 项目各阶段的执行流程等我都需要 不少 但在启明辰 有些事儿让 熟 事也不熟 在陌生的环境中每 一一抓紧做出来 我印象深刻 例如 静修室 的设 每遇见一个友善的眼神 总是格外 由此 入职的前两周我异常忙 立 通知邮件中写的很明确 设立 记得牢 碌 每天不停地写方案 沟通 改 目的是 让员工可以自我安排一个 在启明辰 我惊奇地发现 方案 再沟通 有一天 我修改 不受任何打扰的自习自修时间 这种善意似乎是融入在空气中 完其中一个方案 又把另一个项目 规则也讲的很清楚 自修 自 让我处处感觉的到 无论是基建 的需求问卷收集完毕 进行数据录 理 止语 静音 勿扰 自净 的 辜工 还是行政部的 郄 入和汇总 并根据汇总结果进行需 要求既不影响正常工作 又能放空 帅哥 抑或是财务部的 仇妹 求分析 这样一直忙到了下午三点 自己 这样的制度不得不说是一种 妹 每次和他们打交道都让我如 钟 面对电脑中的那一堆数据 我 人文关怀 让员工在工作紧张繁忙 沐春风 尤其要说一说的是财务部 的头 嗡嗡 响 心中一片浮躁 余 能有空间停下来喘口气 看 门 因为项目关系 和财务部门前 再也没心思做分析了 看自己 后打过多次交道 接触过五个财务 于是 我起身去了地下一层的 我想 这种短暂的停留是为 走 静修去 部的同事 每个同事都如出一辙地 85

86 辰 文 化 认真 负责 高效 友善 这改变了我职场多年来对财务人 习惯 我们在讨论问题时哪怕吵翻 业文化不是讲出来的 而是做出来 了天 也总能化干戈为玉帛 的 进一步说 企业文化的塑造过 程就是企业意识和行为不断辩证统 员 的 印 象 到 哪 儿 都 要 多 拜 两 下的财神爷 86 后记 一的过程 渐渐的 新员工的拘谨在我 何为企业文化 在我理解看 回头再想想 为什么我来启明 身上很快消失了 和各个部门 各 来 一个企业就像一个人 企业也 辰才两个月 我会喜欢上这家企 个同事间的沟通都变得简单 高 有自己的价值观 性格 处事方式 业 我想不仅是企业文化中的六个 效 和谐 后来 我又逐步接触到 等 这些都是企业文化意识层面的 词语 中正 中和 自强 沉静 公司的各位VP 每次在电话中各位 内容 而内在的意识 是通过外在 责任 承诺 还是我在这段时间的 领导总是十分的谦和 就连偶尔去 的制度及行为表现出来的 反过 工作中 感受到了公司的确是在这 复印室 碰上的同事们 不管认不 来 如何来判断一家企业真正的文 么做 并且 这种做法我很认同 认识 我们也总是相互莞尔一笑 化是什么 我想对于新员工来说 那么 也许 我幸运地找到了职场 当友善变成一种习惯 我们团 并不是企业号称的文化内涵 而是 中与我血脉相连 能与其共进退的 队合作的时候 总是设身处地的为 企业的制度及行为让员工感受到什 企业 对方多着想一点 当友善变成一种 么 因此 从这个层面讲 我想企 Venus 我来啦

87 不可重新来过的 文/Allen 青春 近期 要数 小燕子 执导的 致我们终将逝 陈孝正说他要建造自己人生的一座大楼 他的 去的青春 最能引起大家热议 我也追悼一下 青 人生只有一次机会 所以绝不允许有一厘米的误差 春 本人虽是90后 但仍慨叹自己已不再青春 想 在青春的年纪 面对前程与爱情 毅然决然的放弃了 必此话一出势必引来四面八方的板砖 对于已入职场 爱人 但他又何尝不爱郑微 陈孝正 他已不是一个 的我来讲 似乎确与校园的青葱岁月say goodbye 人 他是一个化身 一个承载了好多希望的化身 一 那段青春一去不复返 个肩负着太多责任的代表 因此 他的人生 至少是 芸芸众生中, 我们只是沧海一粟 虽然我只是 这其中的普通一员 但我仍希望自己的生命能开花 结果 前几十年 他不能为自己而活 不然他实在太自私 了 他会受到良心的谴责 他的青春不只属于他自己 他的青春不应该只为 我可以平凡 但我绝不可以平庸 我可以跌倒 自己绽放 所以他选择了放弃爱情 哪怕那是他最渴 但我绝不可以不爬起来 我可以失败 但我绝不可以 望得到的 他最后疯狂的追求郑微 哪怕刀山火海 停滞不前 也会在所不惜 因为那时才是真正的他 不过青春一 陈孝正选择在青春中拼搏努力 郑微选择了在青 旦逝去是不会重来的 即使得到也弥补不了青春的缺 春中追求爱情 阮莞选择了在青春中独守爱人 林静 憾 正所谓断臂维纳斯才是最美的 正因为青春中有 选择了在青春中埋下仇恨 朱小北选择了在青春中放 着太多的选择 太多的舍弃 才更加的弥足珍贵 纵冲动 许开阳选择了在青春中风流潇洒 再议朱小北 由于一时的蒙冤受屈 作为执法机 不一样的青春构造不一样的人生 关的学校又没能及时给予她平反昭雪 她发疯地把小 十年后 陈孝正学成归来 名利双收 彻底摆 超市给砸了个彻底 最终被学校开除 终止了学业 脱了贫穷的烦恼 郑微在伤害中学会成长 活得有滋 她为的是什么呢 就是她的人格尊严受到侮辱 又得 有味 但惟独就是少了她的爱情 阮莞独守着自己忠 不到公正处理的愤恨与不满 学校与超市的相关人 贞的爱情 好言难劝 最终落得香消玉损 林静对仇 员的价值观 人生观与世界观 我们这里暂且不谈 恨久久不能释怀 放弃了亲情与爱情 默默承受着内 她这么做换来的后果是什么 美好的大学时光戛然而 心的煎熬 朱小北一时冲动酿成苦果 被学校勒令退 止 即使多年后她与当年的梦中情人相遇 也矢口否 学 与过去划清了界线 许开阳得过且过 最终选择 认 一走了 了同是天涯沦落人的曾毓出双入对 致 87

88 辰 文 化 如果当年韩在受到胯下辱的时候 奋起 反击 我觉得十有八九他会被那几个臭流氓不是打 死 就是给打残 或是他把那几个人给打残打死 以当时秦朝的严科厉律 他能逃得过法律的制裁 吗 估计不死也脱层皮吧 或是落荒跑路 四海皆 内满是缉拿文书 每天战战兢兢 试问韩还有何 时间习读兵书 那就不会有后来的率百万众 战 必胜 攻必取的初汉三杰一 那会不会有大汉 四百年的祖宗基业也是两说 可见韩在青春做了 不仅他认为自己该做的事情 而且他也顺利完成了 历史交给他的使命 生活本无尊卑 因为每一种状态都是生活 你 有理由去向往并追求高调地活着 但你没有理由去 作践卑微别人的生活 更没有理由卑贱自己 有一 句话叫做 在生命转弯的地方 其实这个生命转弯 的地方就是你的青春 所以还是在青春做一些有意 义的事情吧 青春是一支歌 青春是一首诗 青春是一幅画 想飞上天/和太阳肩并肩/世界等着我去改变/想做的梦/从不怕别人看见/在这里我都能实现 大声欢笑让你我肩并肩/何处不能欢乐无限/抛开烦恼/勇敢的大步向前/我就站在舞台中间 我相我就是我/我相明天/我相青春没有地平线 在日落的海边/在热闹的大街/都是我心中最美的乐园 我相自由自在/我相希望/我相伸手就能碰到天 青春就是用来追忆的 当你怀揣着它时 它一文不值 只有将它耗尽后 再回过头看 一切才有了意义 爱 过我们的人与伤过我们的人 都是我们青春存在的意义 青春 最终只不过是年久失修的陈黄纸画 轻轻一碰 就碎飘于风中 化于无痕 好好的享受你的青春吧 千万不要一不小心把自己慢慢变成了期待中相反的 曾经最厌恶的样子 逝去的青春 我怀念 纪念 唯独不说想念 晚安 88

89 一名应届毕业生的2012年工作总结 下 小鱼儿 2012年刚刚大学毕业就入职启明辰的小青年 热 血 青春 阳光 充满理想 笔者无意间看到了小鱼儿2012年 的工作总结 不同于网上疯传众多的模板 他有着自己的懵懂和收 工作时期 (11月 2013) 获 有着自己的奋斗和执着 作者不时调侃一下自己和同事 文章 俗话说的好 没吃过猪肉 情感真实 语句流畅 诙谐 相大家可以在他的总结中也看到青 还没见过猪跑 几经周转 我在短 涩的自己 短的时间里 也已换过三个部门了 其他的暂且不论 工作方法还是学到 2012总结-工作篇(入定) 了一些的 人生就是一场赌博 这次回到 文/小鱼儿 无线产品线 我也在进行着一次赌 博 只不过这次赌注是工作 把宝 每天刷功能 研产品 看资 年成了以加班为乐趣的工作狂 取 都压上了 押给了小崔哥 我的领 料 查论坛 按部就班的做着日常工 得 感悟 曾经不谙世事的我 有了 导 与其说是 我押宝给了小崔 作 本着 没有完美的产品 只有测 清晰的人生规划 懂得 生活 哥 其实我更愿意相 是小崔哥在 不完的Bug 因为产品中永远不会 感谢我受到的帮助 感谢我受 向我押宝 这也是事实 缺少Bug 缺少的只是一双发现Bug 到的挫折 感谢我受到的挑战 感 看过演唱会的人 也都知道 的眼睛 我们的工作是追求完美 也 谢得到与放弃的一切 感谢所经历 只要观众的掌声与呐喊声持续不断 许我们的产品永远不可能达到我们所 的正面与侧面的激励 终于在纠结 演员也会浑身精力充沛 不觉疲惫 想要的完美 但至少我们不能放弃追 的摸爬滚打中 看清了前进方向 话说大了 叫 士为知己者死 女为 求完美的梦想 找到了想走的路 明白了自己想要 悦己者容 往小了说 就是责任与 随后领导安排的两个任务 是 的生活 也终于知道什么才是自己 义务 从经济学角度 这是经营者必 好好的给我上了一课 一个是对公司 想要的 知道什么是现阶段自己要 须实现的承诺 当然了 我也不能负 无线网络不稳定性的排查 我从中 的 知道什么是以后才该有的 爱 了老崔 哎 压力好大 我现在又多 学会了产品与场景的最终结合 对 情 不好意思 我内心最想抓住的 背负了一个人 又多了一份责任 产品的理解上升了一层楼 另一个是 东西 但是现在不行 只能选择袖 既然人家瞧得上咱 咱就不能 与IDS的兼容性测试 从中明白了对 手旁观 工作 我想 我在即将到 扯人家后腿呀 平均线以下是绝对不 产品的认识不能仅停留在功能上 要 来的一年中 只能与你陪伴 没有 符合我性格的 这也违背我做人的原 理清其底层调用实现 达到不仅知其 面包的日子 我不敢想象 不对 则 人家给了我第一次选择机会 我 然 还要知其所以然 从侧面提示对 没有面包 那还叫日子吗 得努力呀 于是乎就有了我后连续 产品的准确把握 老印就说过呢 一旦做出选 择 一定不要轻易放弃 人生就像滚 就是牙疼 头痛 舌头生疮 嘴唇发 总结性发言 雪球 只有持续保持同一个雪球的转 干 耳朵冒火一系列的症状 切身体 2012年 不能用 得失 来概 动 才会越积越大 验了一把 失恋三十三天 的感觉 括 因为在每一个阶段 我看到的都 2013 请快乐 悲催呀 再一次验证了 饭是要一口 是 得 从一个稚嫩学生转变为职 2012 再见啦 珍重 口吃的 活是要一点点干的 戒骄 场菜鸟 变得 成熟 经过多次部 2013 我来了 加油 戒躁 稳扎稳打 怎么可能一口吃个 门调整 学到了不同产品的理念 莫道今年春将尽 明年春色 胖子呢 获得 知识 由不会工作的朦胧少 三十三天的工作记录 但是加班后 更撩人 89

90 辰 文 化 万物静默如迷 辛波斯卡诗选 作者 波 维斯拉瓦 辛波斯卡 译者 陈黎 张芬龄 维斯拉瓦 辛波斯卡 Wislawa Szymborska 一九二三年生于波兰小镇布宁 她擅长以幽默 诗意的口 吻描述严肃主题和日常事物 以诗歌回答生活 是波兰最 受欢迎的诗人 也是公认为当代最为迷人的诗人一 享 有 诗界莫扎特 的美誉 一九九六年获得诺贝尔文学奖 是文学史上第三位获奖女 诗人 二 一二年二月的一个晚上 辛波斯卡在住宅里安然去世 在她的葬礼上 波兰各地的人们纷纷赶来 向诗人作最后 的告别 陈黎 台湾著名诗人 翻译家 著有诗集 散文集 音乐评论 集二十余种 曾获时报文学奖 联合报文学奖 梁实秋 90 文学奖翻译奖 金鼎奖等众多大奖 张芬龄 台湾师大英语系毕业 著有评论集 现代诗启示 录 与陈黎合译书十余种 曾多次获得梁实秋文学 奖翻译奖

91 媒 体 评 论 辛 波 斯 卡 提 供 了 一 个 可 以 呼 吸 的 世 界 切 斯 拉 夫. 米 沃 什 (1980 年 诺 贝 尔 文 学 奖 获 得 者 ) 诗 集 我 看 到 了 一 见 钟 情, 它 所 表 达 的 意 念 和 红 这 部 电 影 十 分 相 近 于 是 我 决 定 留 下 这 本 基 耶 斯 洛 夫 斯 基 ( 蓝 白 红 三 部 曲 导 演 ) 辛 波 斯 卡 是 激 发 我 最 多 最 美 丽 灵 感 的 诗 人 几 米 ( 知 名 绘 本 作 家 ) 在 辛 波 斯 卡 的 诗 里, 我 知 道 少 女 的 力 量, 我 知 道 无 辜 的 杀 伤, 我 知 道 接 二 连 三 的 疑 问 可 以 组 合 成 一 首 停 不 了 旋 转 的 舞 码 陈 绮 贞 ( 知 名 歌 手 ) 几 十 年 来, 她 用 乐 观 对 美 和 文 字 力 量 的 仰, 鼓 舞 着 波 兰 人 波 兰 总 统 科 莫 罗 夫 斯 基 辛 波 斯 卡 的 作 品 对 世 界 既 全 力 投 入, 又 保 持 适 当 距 离, 清 楚 地 印 证 了 她 的 基 本 理 念 : 看 似 单 纯 的 问 题, 其 实 最 富 有 意 义 诺 贝 尔 文 学 奖 授 奖 词 她 的 诗 可 能 拯 救 不 了 世 界, 但 世 界 将 因 她 的 作 品 而 变 得 不 再 一 样 纽 约 时 报 辛 波 斯 卡 诗 选 : 万 物 静 默 如 谜 收 录 辛 波 斯 卡 各 阶 段 名 作 75 首, 包 括 激 发 知 名 绘 本 作 家 几 米 创 作 出 向 左 走, 向 右 走 的 一 见 钟 情, 收 录 高 中 语 文 教 材 的 底 片, 网 上 广 为 流 传 的 在 一 颗 小 下 种 种 可 能 等, 曾 获 得 洛 杉 矶 时 报 年 度 最 佳 图 书 辛 波 斯 卡 的 诗 取 材 于 日 常 生 活 的 事 物 和 经 验, 甲 虫 海 参 石 头 沙 粒 天 空 ; 安 眠 药 履 历 表 衣 服 ; 电 影 画 作 剧 场 梦 境 等 等, 在 她 的 笔 下 无 不 焕 发 出 新 的 诗 意, 让 人 们 重 新 认 识 生 活 中 常 见 的 事 物 洛 杉 矶 时 报 等 众 多 国 际 大 媒 体 年 度 最 佳 图 书 ; 她 的 诗 吸 引 了 红 白 蓝 三 部 曲 导 演 基 耶 斯 洛 夫 斯 基 的 注 目 ; 她 的 诗 激 发 了 几 米 创 作 向 左 走, 向 右 走 ; 她 的 诗 令 陈 绮 贞 着 迷 ; 她 的 诗 入 选 高 中 语 文 教 材, 深 受 学 生 喜 欢 ; 诺 贝 尔 文 学 奖 米 沃 什 波 兰 总 统 科 莫 洛 夫 斯 一 致 推 崇! 她 享 有 诗 界 莫 扎 特 的 美 誉 91

92 辰 文 化 书摘 在一颗小下 我为称为必然向巧合致歉 原谅我 虽然你已成为标本 倘若有任何谬误处 我向必然致歉 我为桌子的四只脚向被砍下的树木致歉 但愿快乐不会因我视它为己有而生气 我为简短的回答向庞大的问题致歉 但愿死者耐心包容我逐渐衰退的记忆 真理啊 不要太留意我 我为自己分分秒秒地疏漏万物向时间致歉 尊严啊 请对我宽大为怀 我为将新欢视为初恋向旧爱致歉 存在的奥秘 请包容我扯落了你衣裾的缝线 远方的战争 原谅我带花回家 灵魂啊 别谴责我偶尔才保有你 裂开的伤口 原谅我扎到手指 我为自己不能无所不在向万物致歉 我为我的小步舞曲唱片向在深渊里吶喊的人致歉 我为自己无法成为每个男人和女人向所有的人致歉 我为清晨五点仍在熟睡向在火车站候车的人致歉 我知道在有生年我无法找到任何理由替自己辩解 被追猎的希望 原谅我不时大笑 因为我便是我自己的阻碍 沙漠 原谅我未及时送上一匙水 噢 言语 别怪我借用了沉重的字眼 而你 这些年来未曾改变 始终在同一笼中 又劳心费神地使它们看似轻松 目不转睛地盯望着空中同一定点的猎鹰 92

93 种种可能 我偏爱狡猾的仁慈胜过过度可的那种 我偏爱猫 我偏爱穿便服的地球 我偏爱华尔塔河沿岸的橡树 我偏爱被征服的国家胜过征服者 我偏爱狄更斯胜过陀思妥耶夫斯基 我偏爱有些保留 我偏爱我对人群的喜欢 我偏爱混乱的地狱胜过秩序井然的地狱 胜过我对人类的爱 我偏爱格林童话胜过报纸头版 我偏爱在手边摆放针线 以备不时需 我偏爱不开花的叶子胜过不长叶子的花 我偏爱绿色 我偏爱尾巴没被截短的狗 我偏爱不抱持把一切 我偏爱淡色的眼睛 因为我是黑眼珠 都归咎于理性的想法 我偏爱书桌的抽屉 我偏爱例外 我偏爱许多此处未提及的事物 我偏爱及早离去 胜过许多我也没有说到的事物 我偏爱和医生聊些别的话题 我偏爱自由无拘的零 我偏爱线条细致的老式插画 胜过排列在阿拉伯数字后面的零 我偏爱写诗的荒谬 我偏爱昆虫的时间胜过的时间 胜过不写诗的荒谬 我偏爱敲击木头 我偏爱 就爱情而言 可以天天庆祝的 我偏爱不去问还要多久或什么时候 不特定纪念日 我偏爱牢记此一可能 我偏爱不向我做任何 存在的理由不假外求 我偏爱电影 承诺的道德家 93

94 辰 文 化 一见钟情 他们两人都相 是一股突发的热情让他俩交会 这样的笃定是美丽的 但变化无常更是美丽 阻挡他们的去路 既然从未见过面 所以他们确定 然后闪到一边 彼此并无任何瓜葛 有一些迹象和号存在 但是听听自街道 楼梯 走廊传出的话语 即使他们尚无法解读 他俩或许擦肩而过一百万次了吧 也许在三年前 或者就在上个期二 我想问他们 有某片叶子飘舞于 是否记不得了 肩与肩间 在旋转门 有某个东西掉了又捡了起来 面对面那一刻 天晓得 也许是那个 或者在人群中喃喃说出的 对不起 消失于童年灌木丛中的球 或者在听筒截获的唐突的 打错了 还有事前已被触摸 然而我早知他们的答案 层层覆盖的 是的 他们记不得了 门把和门铃 检查完毕后并排放置的手提箱 94 他们会感到诧异 倘若得知 有一晚 也许同样的梦 缘分已玩弄他们 到了早晨就变得模糊 多年 尚未完全做好 每个开始 成为他们命运的准备 毕竟都只是续篇 缘分将他们推近 驱离 而充满情节的书本 憋住笑声 总是从一半开始看起

95 点 灯

96 点 灯 点 灯 听苹果父 讲生命中的三个故事 文/斯蒂夫 乔布斯 译/杜然 第一个故事 关于串起生命中的点点滴滴 苹果公司CEO斯蒂夫 乔布斯在斯坦福大学毕业典 礼上的演讲 读后令人不禁动容 其文并无华丽 色 也无英文演讲范例中惯用的排比 译者 退学是我这一生所做出的最正确的决定一 我在里德大学待了6个月就退学了 但后仍作为 旁听生混了18个月后才最终离开 我为什么要退学 呢 故事要从我出生前开始说起 我的生母 是一名年轻的未婚妈妈 当时她还是一所大学的在 读研究生 于是决定把我送给其他人收养 她坚持 我应该被一对念过大学的夫妇收养 所以在我出生 斯坦福是世界上最好的大学一 今天 的时候 她已经为我被一个律师和他的太太收养做 能参加各位的毕业典礼 我备感荣幸 尖叫 好了所有的准备 但在最后一刻 这对夫妇改了主 声 我从来没有从大学毕业 说句实话 此时 意 决定收养一个女孩 候选名单上的另外一对夫 算是我离大学毕业最近的一刻 笑声 今 妇 也就是我的养父母 在一天午夜接到了一通电 天 我想告诉你们我生命中的三个故事 并非 话 有一个不请自来的男婴 你们想收养吗 什么了不得的大事件 只是三个小故事而已 他们回答 当然想 事后 我的生母才发现我 的养母根本就没有从大学毕业 而我的养父甚至 96

97 连 高 中 都 没 有 毕 业, 所 以 她 拒 绝 签 署 最 后 的 收 养 文 件, 直 到 几 个 月 后, 我 的 养 父 母 保 证 会 把 我 送 到 大 学, 她 的 态 度 才 有 所 转 变 17 年 后, 我 真 上 了 大 学 但 因 为 年 幼 无 知, 我 选 择 了 一 所 和 斯 坦 福 一 样 昂 贵 的 大 学,( 笑 声 ) 我 的 父 母 都 是 工 人 阶 级, 他 们 倾 其 所 有 资 助 我 的 学 业 在 6 个 月 后, 我 发 现 自 己 完 全 不 知 道 这 样 念 下 去 究 竟 有 什 么 用 当 时, 我 的 人 生 漫 无 目 标, 也 不 知 道 大 学 对 我 能 起 到 什 么 帮 助, 为 了 念 书, 还 花 光 了 父 母 毕 生 的 积 蓄, 所 以 我 决 定 退 学 我 相 车 到 山 前 必 有 路 当 时 作 这 个 决 定 的 时 候 非 常 害 怕, 但 现 在 回 头 去 看, 这 是 我 这 一 生 所 做 出 的 最 正 确 的 决 定 一 ( 笑 声 ) 从 我 退 学 那 一 刻 起, 我 就 再 也 不 用 去 上 那 些 我 毫 无 兴 趣 的 必 修 课 了, 我 开 始 旁 听 那 些 看 来 比 较 有 意 思 的 科 目 这 件 事 情 做 起 来 一 点 都 不 浪 漫 因 为 没 有 自 己 的 宿 舍, 我 只 能 睡 在 朋 友 房 间 的 地 板 上 ; 可 乐 瓶 的 押 金 是 5 分 钱, 我 把 瓶 子 还 回 去 好 用 押 金 买 吃 的 ; 在 每 个 周 日 的 晚 上, 我 都 会 步 行 7 英 里 穿 越 市 区, 到 HareKrishna 教 堂 吃 一 顿 大 餐, 我 喜 欢 那 儿 的 食 物 我 跟 随 好 奇 心 和 直 觉 所 做 的 事 情, 事 后 证 明 大 多 数 都 是 极 其 珍 贵 的 经 验 我 举 一 个 例 子 : 那 个 时 候, 里 德 大 学 提 供 了 全 美 国 最 好 的 书 法 教 育 整 个 校 园 的 每 一 张 海 报, 每 一 个 抽 屉 上 的 标 签, 都 是 漂 亮 的 手 写 体 由 于 已 经 退 学, 不 用 再 去 上 那 些 常 规 的 课 程, 于 是 我 选 择 了 一 个 书 法 班, 想 学 学 怎 么 写 出 一 手 漂 亮 字 在 这 个 班 上, 我 学 习 了 各 种 字 体, 如 何 改 变 不 同 字 体 组 合 间 的 字 间 距, 以 及 如 何 做 出 漂 亮 的 版 式 那 是 一 种 科 学 永 远 无 法 捕 捉 的 充 满 美 感 历 史 感 和 艺 术 感 的 微 妙, 我 发 现 这 太 有 意 思 了 当 时, 我 压 根 儿 没 想 到 这 些 知 识 会 在 我 的 生 命 中 有 什 么 实 际 运 用 价 值 ; 但 是 10 年 后, 当 我 们 设 计 第 一 款 Macintosh 电 脑 的 时 候, 这 些 东 西 全 派 上 了 用 场 我 把 它 们 全 部 设 计 进 了 Mac, 这 是 第 一 台 可 以 排 出 好 看 版 式 的 电 脑 如 果 当 时 我 大 学 里 没 有 旁 听 这 门 课 程 的 话, Mac 就 不 会 提 供 各 种 字 体 和 等 间 距 字 体 自 从 视 窗 系 统 抄 袭 了 Mac 以 后,( 鼓 掌 大 笑 ) 所 有 的 个 人 电 脑 都 有 了 这 些 东 西 如 果 我 没 有 退 学, 我 就 不 会 去 书 法 班 旁 听, 而 今 天 的 个 人 电 脑 大 概 也 就 不 会 有 出 色 的 版 式 功 能 当 然 我 在 念 大 学 的 那 会 儿, 不 可 能 有 先 见 明, 把 那 些 生 命 中 的 点 点 滴 滴 都 串 起 来 ; 但 10 年 后 再 回 头 看, 生 命 的 轨 迹 变 得 非 常 清 楚 再 强 调 一 次, 你 不 可 能 充 满 预 见 地 将 生 命 的 点 滴 串 联 起 来 ; 只 有 在 你 回 头 看 的 时 候, 你 才 会 发 现 这 些 点 点 滴 滴 间 的 联 系 所 以, 你 要 坚, 你 现 在 所 经 历 的 将 在 你 未 来 的 生 命 中 串 联 起 来 你 不 得 不 相 某 些 东 西, 你 的 直 觉 命 运 生 活 因 缘 际 会 正 是 这 种 仰 让 我 不 会 失 去 希 望, 它 让 我 的 人 生 变 得 与 众 不 同 第 二 个 故 事 关 于 爱 与 失 去 被 苹 果 开 掉 是 我 这 一 生 所 经 历 过 的 最 棒 的 事 情 我 是 幸 运 的, 在 年 轻 的 时 候 就 知 道 了 自 己 爱 做 什 么 在 我 20 岁 的 时 候, 就 和 沃 兹 在 我 父 母 的 车 库 里 开 创 了 苹 果 电 脑 公 司 我 们 勤 奋 工 作, 只 用 了 10 年 的 时 间, 苹 果 电 脑 就 从 车 库 里 的 两 个 小 伙 子 扩 展 成 拥 有 4000 名 员 工, 价 值 达 到 20 亿 美 元 的 企 业 而 在 此 前 的 一 年, 我 们 刚 推 出 了 我 们 最 好 的 产 品 acintosh 电 脑, 当 时 我 刚 过 而 立 年 然 后, 我 就 被 炒 了 鱿 鱼 一 个 人 怎 么 可 以 被 他 所 创 立 的 公 司 解 雇 呢?( 笑 声 ) 这 么 说 吧, 随 着 苹 果 的 成 长, 我 们 请 了 一 个 原 本 以 为 很 能 干 的 家 伙 和 我 一 起 管 理 这 家 公 司, 在 头 一 年 左 右, 他 干 得 还 不 错, 但 后 来, 我 们 对 公 司 未 来 的 前 景 出 现 了 分 歧, 于 是 我 们 间 出 现 了 矛 盾 由 于 公 司 的 董 事 会 站 在 他 那 一 边, 所 以 在 我 30 岁 的 时 候, 就 被 踢 出 了 局 我 失 去 了 一 直 贯 穿 在 我 整 个 成 年 生 活 的 重 心, 打 击 是 毁 灭 性 的 在 头 几 个 月, 我 真 不 知 道 要 做 些 什 么 我 觉 得 我 让 企 业 界 的 前 辈 们 失 望 了, 我 失 去 了 传 到 我 手 97

98 点 灯 上 的 指 挥 棒 我 遇 到 了 戴 维. 帕 卡 德 ( 普 惠 的 创 办 人 一 译 注 ) 和 鲍 勃. 诺 伊 斯 ( 英 特 尔 的 创 办 人 一 译 注 ), 我 向 他 们 道 歉, 因 为 我 把 事 情 搞 砸 了 我 成 了 人 人 皆 知 的 失 败 者, 我 甚 至 想 过 逃 离 硅 谷 但 曙 光 渐 渐 出 现, 我 还 是 喜 欢 我 做 过 的 事 情 在 苹 果 电 脑 发 生 的 一 切 丝 毫 没 有 改 变 我, 一 个 比 特 (bit, 字 节 译 注 ) 都 没 有 虽 然 被 抛 弃 了, 但 我 的 热 忱 不 改 我 决 定 重 新 开 始 我 当 时 没 有 看 出 来, 但 事 实 证 明, 我 被 苹 果 开 掉 是 我 这 一 生 所 经 历 过 的 最 棒 的 事 情 成 功 的 沉 重 被 凤 凰 涅 的 轻 盈 所 代 替, 每 件 事 情 都 不 再 那 么 确 定, 我 以 自 由 躯 进 入 了 我 整 个 生 命 当 中 最 有 创 意 的 时 期 在 接 下 来 的 5 年 里, 我 开 创 了 一 家 叫 做 NeXT 的 公 司, 接 着 是 一 家 名 叫 Pixar 的 公 司, 并 且 结 识 了 后 来 成 为 我 妻 子 的 曼 妙 女 郎 Pixar 制 作 了 世 界 上 第 一 部 全 电 脑 动 画 电 影 玩 具 总 动 员, 现 在 这 家 公 司 是 世 界 上 最 成 功 的 动 画 制 作 公 司 一 ( 掌 声 ) 后 来 经 历 一 系 列 的 事 件, 苹 果 买 下 了 NeXT, 于 是 我 又 回 到 了 苹 果, 我 们 在 NeXT 研 发 出 的 技 术 成 为 推 动 苹 果 复 兴 的 核 心 动 力 我 和 劳 伦 斯 也 拥 有 了 美 满 的 家 庭 我 非 常 肯 定, 如 果 没 有 被 苹 果 炒 掉, 这 一 切 都 不 可 能 在 我 身 上 发 生 生 活 有 时 候 就 像 一 块 板 砖 拍 向 你 的 脑 袋, 但 不 要 丧 失 心 热 爱 我 所 从 事 的 工 作, 是 一 直 支 持 我 不 断 前 进 的 惟 一 理 由 你 得 找 出 你 的 最 爱, 对 工 作 如 此, 对 爱 人 亦 是 如 此 工 作 将 占 据 你 生 命 中 相 当 大 的 一 部 分, 从 事 你 认 为 具 有 非 凡 意 义 的 工 作, 方 能 给 你 带 来 真 正 的 满 足 感 而 从 事 一 份 伟 大 工 作 的 惟 一 方 法, 就 是 去 热 爱 这 份 工 作 如 果 你 到 现 在 还 没 有 找 到 这 样 一 份 工 作, 那 么 就 继 续 找 不 要 安 于 现 状, 当 万 事 了 于 心 的 时 候, 你 就 会 知 道 何 时 能 找 到 如 同 任 何 伟 大 的 浪 漫 关 系 一 样, 伟 大 的 工 作 只 会 在 岁 月 的 酝 酿 中 越 陈 越 香 所 以, 在 你 终 有 所 获 前, 不 要 停 下 你 寻 觅 的 脚 步 不 要 停 下 第 三 个 故 事 关 于 死 亡 时 间 有 限, 所 以 不 要 把 时 间 浪 费 在 别 人 的 生 活 里 在 17 岁 的 时 候, 我 读 过 一 句 格 言, 好 像 是 : 如 果 你 把 每 一 天 都 当 成 你 生 命 里 的 最 后 一 天, 你 将 在 某 一 天 发 现 原 来 一 切 皆 在 掌 握 中 ( 笑 声 ) 这 句 话 从 我 读 到 日 起, 就 对 我 产 生 了 深 远 的 影 响 在 过 去 的 33 年 里, 我 每 天 早 晨 都 对 着 镜 子 问 自 己 : 如 果 今 天 是 我 生 命 中 的 末 日, 我 还 愿 意 做 我 今 天 本 来 应 该 做 的 事 情 吗? 当 一 连 好 多 天 答 案 都 否 定 的 时 候, 我 就 知 道 做 出 改 变 的 时 候 到 了 提 醒 自 己 行 将 入 土 是 我 在 面 临 人 生 中 的 重 大 抉 择 时, 最 为 重 要 的 工 具 因 为 所 有 的 事 情 外 界 的 期 望 所 有 的 尊 荣 对 尴 尬 和 失 败 的 惧 怕 在 面 对 死 亡 的 时 候, 都 将 烟 消 云 散, 只 留 下 真 正 重 要 的 东 西 在 我 所 知 道 的 各 种 方 法 中, 提 醒 自 己 即 将 死 去 是 避 免 掉 入 畏 98

99 惧 失 去 这 个 陷 阱 的 最 好 办 法 人 赤 条 条 地 来, 赤 条 条 地 走, 没 有 理 由 不 听 从 你 内 心 的 呼 唤 大 约 一 年 前, 我 被 诊 断 出 癌 症 在 早 晨 7:30 我 做 了 一 个 检 查, 扫 描 结 果 清 楚 地 显 示 我 的 胰 脏 出 现 了 一 个 肿 瘤 我 当 时 甚 至 不 知 道 胰 脏 究 竟 是 什 么 医 生 告 诉 我, 几 乎 可 以 确 定 这 是 一 种 不 治 症, 顶 多 还 能 活 3 至 6 个 月 大 夫 建 议 我 回 家, 把 诸 事 安 排 妥 当, 这 是 医 生 对 临 终 病 人 的 标 准 用 语 这 意 味 着 你 得 把 你 今 后 10 年 要 对 你 的 子 女 说 的 话 用 几 个 月 的 时 间 说 完 ; 这 意 味 着 你 得 把 一 切 都 安 排 妥 当, 尽 可 能 减 少 你 的 家 人 在 你 身 后 的 负 担 ; 这 意 味 着 向 众 人 告 别 的 时 间 到 了 我 整 天 都 想 着 诊 断 结 果 那 天 晚 上 做 了 一 个 切 片 检 查, 医 生 把 一 个 内 窥 镜 从 我 的 喉 管 伸 进 去, 穿 过 我 的 胃 进 入 肠 道, 将 探 针 伸 进 胰 脏, 从 肿 瘤 上 取 出 了 几 个 细 胞 我 打 了 镇 静 剂, 但 我 的 太 太 当 时 在 场, 她 后 来 告 诉 我 说, 当 大 夫 们 从 显 微 镜 下 观 察 了 细 胞 组 织 后, 都 哭 了 起 来, 因 为 那 是 非 常 罕 见 的, 可 以 通 过 手 术 治 疗 的 胰 脏 癌 我 接 受 了 手 术, 现 在 已 经 康 复 了 这 是 我 最 接 近 死 亡 的 一 次, 我 希 望 在 随 后 的 几 十 年 里, 都 不 要 有 比 这 一 次 更 接 近 死 亡 的 经 历 在 经 历 了 这 次 与 死 神 擦 肩 而 过 的 经 验 后, 死 亡 对 我 来 说 只 是 一 项 有 效 的 判 断 工 具, 并 且 只 是 一 个 纯 粹 的 理 性 概 念, 我 能 够 更 肯 定 地 告 诉 你 们 以 下 事 实 : 没 人 想 死 ; 即 使 想 去 天 堂 的 人, 也 是 希 望 能 活 着 进 去 ( 笑 声 ) 死 亡 是 我 们 每 个 人 的 人 生 终 点 站, 没 人 能 够 成 为 例 外 生 命 就 是 如 此, 因 为 死 亡 很 可 能 是 生 命 最 好 的 造 物, 它 是 生 命 更 迭 的 媒 介, 送 走 耄 耋 老 者, 给 新 生 代 让 路 现 在 你 们 还 是 新 生 代, 但 不 久 的 将 来 你 们 也 将 逐 渐 老 去, 被 送 出 人 生 的 舞 台 很 抱 歉 说 得 这 么 富 有 戏 剧 性, 但 生 命 就 是 如 此 你 们 的 时 间 有 限, 所 以 不 要 把 时 间 浪 费 在 别 人 的 生 活 里 不 要 被 条 条 框 框 束 缚, 否 则 你 就 生 活 在 他 人 思 考 的 结 果 里 不 要 让 他 人 的 观 点 所 发 出 的 噪 音 淹 没 你 内 心 的 声 音 最 为 重 要 的 是, 要 有 遵 从 你 的 内 心 和 直 觉 的 勇 气, 它 们 可 能 已 知 道 你 其 实 想 成 为 一 个 什 么 样 的 人, 其 他 事 物 都 是 次 要 的 在 我 年 轻 的 时 候, 有 一 本 非 常 棒 的 杂 志 叫 全 球 目 录 (The Whole Earth Catalog), 它 被 我 们 那 一 代 人 奉 为 圭 臬 这 本 杂 志 的 创 办 人 是 一 个 叫 斯 图 尔 特. 布 兰 德 的 家 伙, 他 住 在 Menlo Park, 距 离 这 儿 不 远 他 把 这 本 杂 志 办 得 充 满 诗 意 那 是 在 60 年 代 末 期, 个 人 电 脑 桌 面 发 排 系 统 还 没 有 出 现, 所 以 出 版 工 具 只 有 打 字 机 剪 刀 和 宝 丽 来 相 机 这 本 杂 志 有 点 像 印 在 纸 上 的 Google, 但 那 是 在 Google 出 现 的 35 年 前 ; 它 充 满 了 理 想 色 彩, 内 容 都 是 些 非 常 好 用 的 工 具 和 了 不 起 的 见 解 斯 图 尔 特 和 他 的 团 队 做 了 几 期 全 球 目 录, 快 无 疾 而 终 的 时 候, 他 们 出 版 了 最 后 一 期 那 是 在 70 年 代 中 期, 我 当 时 处 在 你 们 现 在 的 年 龄 在 最 后 一 期 的 封 底 有 一 张 清 晨 乡 间 公 路 的 照 片, 如 果 你 喜 欢 搭 车 冒 险 旅 行 的 话, 经 常 会 碰 到 的 那 种 小 路 在 照 片 下 面 有 一 排 字 : 物 有 所 不 足, 智 有 所 不 明 (Stay Hungry,Stay Foolish.) 这 是 他 们 停 刊 的 告 别 留 言 物 有 所 不 足, 智 有 所 不 明 我 总 是 以 此 自 省 现 在, 在 你 们 毕 业 开 始 新 生 活 的 时 候, 我 把 这 句 话 送 给 你 们 99

100 点 灯 神奇的中药 四 夏日中成药 中药是中医预防治疗疾病所使用的独特药物 也是中医区别于其他医学的重要标志 中 国人民对中药的探索经历了几千年的历史 相传 神农尝百草 首创医药 神农被尊为 药 皇 中药主要由植物药 根 茎 叶 果 动物药 内脏 皮 骨 器官等 和矿物药 组成 目前 各地使用的中药已达5000种左右 把各种药材相配伍而形成的方剂 更是数不 胜数 经过几千年的研究 形成了一门独立的科学 本草学 中国是中药的发源地 目前 中国大约有12000种药用植物 这是其他国家所不具备的 那么 常见的中药有哪些 它们又 有什么独特的功效呢 将分期为大家介绍一些常见中药的治病功效及作用 夏天到了 炎热的天气 早晚温度的反差 雷雨交加 的潮湿 这一切都是夏季常见病的高发原因 也使夏季常用 临床使用 藿香正气 时 应嘱患者饮食清淡 服药 药的代表 藿香正气 和 十滴水 应用大幅增加 然 期间也不宜同时服用滋补性中成药 对有高血压 心脏病 而 藿香正气 和 十滴水 在使用时同样需要辨证施 肝病 糖尿病 肾病等慢性病严重者 均应根据每人体质不 治 做到因人 因时 因地 因病用药 同用量不同 而 藿香正气 在夏末秋初时 症状相符者同 某先生患了 感冒 流涕 鼻塞 咽痛 咳嗽 不 样可以使用 此外 南 北方使用 藿香正气 应有一定区 烧 同事就说他是 热伤风 因为是在夏天 所以就应服 别 因为南方湿气较北方重 使用时还应配合祛湿的办法 藿香正气 服药三天 还未见效 随后到医院就诊 医 如采用食疗 用薏米粥即可 而北方热气比湿气重 所以北 生说 中医认为 你这是风寒感冒 根据病史是入夜睡觉着 方的暑湿感冒热重多 故而应加清热药配合治疗 如感冒 凉所致 暑湿证不明显 而且也没有胃肠症状 治疗应以 清热冲剂等效果更好 疏风散寒为主 所以用 藿香正气 效果不好 100 身重 胸闷 脘腹胀痛 呕吐泄泻 恶寒发热者 十滴水 属于经验方 主要成分有 大黄 生姜 藿香正气 出自中医名著 和剂局方 主要成分 鲜 丁香 辣椒 樟脑 薄荷冰等 功能是祛暑 散 有藿香 苏叶 陈皮 厚朴 法半夏 苍术 大腹皮 甘草 寒 健胃 主治因中暑引起的恶心 呕吐 腹痛 泄泻及胃 等 功能是解表化湿 理气和中 主治内伤湿滞 外感风寒 肠不适等症 除治疗中暑所致的以上病症外 外擦治疗痱子 引起的暑湿感冒证为主的头痛 身倦 畏寒 脘腹胀痛 呕 也有良好的效果 吐泄泻 在日常使用中 藿香正气 有水 丸 散 软胶 藿香正气 和 十滴水 均为夏季的常用药 日常生 囊四种 藿香正气水 用于暑天感寒 或伤湿所引起的泄 活中人们往往不好区分 其实 藿香正气 以解表化湿 泻 腹痛 呕吐症最为相宜 还可用于预防中暑 藿香正 理气和中为主 用于治疗暑湿感冒的头痛 身倦 畏寒 脘 气丸 治疗胃肠型感冒 急性胃炎 急性肠炎属于外感风 腹胀痛 呕吐 泄泻等 十滴水 以祛暑 散寒 健胃为 寒 内伤湿滞者 藿香正气散 治疗非特异性急性肠炎和 主 用于治疗中暑所致的头晕 恶心 腹痛 胃肠不适等症 流行性感冒以全身不适 发热恶寒 胃脘不舒 呕吐腹泻 状 使用时要加以区别 才能达到药到病除的目的 证 藿香正气软胶囊 最为常用 主治暑湿感冒 头痛

101 一 刻 唐僧师徒的极品笑话 一 4 唐僧取来真经 背着去见李世民 唐僧说 大 哥 我回来了 李世民 哦 唐僧说 真经 1 清晨 唐僧从梦中醒来 发现孙悟空 我取来了 李世民说 哦 放那儿吧 唐僧 跪在自己的床前 于是便问 悟空 你 说 大哥 我费了十几年工夫 辛辛苦苦办了这么 怎么了 孙悟空满脸泪水的说 师 大事儿 你咋还不高兴呢 嫌我差旅费高了 李世 傅 我求您了 下次说梦话 不念紧箍 民摘下耳机说 你那些经文 我用迅雷下了一小时 咒 行吗 就下完了 早知道电脑这么厉害 我当初还让你去干 吗呀 2 悟空因三打白骨精被唐僧贬回花果山 几个月后 猪八戒突然来访 进门就哭 悟空问 队伍到哪儿 了 八戒答 临汾 悟空又问 可是又遇见 妖精 八戒答 没有 悟空急 那你哭什 么 八戒更加伤心 大师兄 你快回去吧 师父 被人卖到黑砖窑去了 我们都找了仨月了 3 取经队伍到达贫困地区 几天化不到斋 悟空因为 要保护师父 只好让沙僧和八戒去远处城里找吃的 第 一天去 都空手回来 因为没有钱 第二天去 还是空 手 因为没有钱 悟空大怒 再找不到吃的 就别回 来 第三天傍晚 沙僧高高兴兴地背着一大袋子米 还剩了好多钱 悟空大喜 又问 八戒呢 沙僧顿 时伤心地哭道 大师兄 原谅我吧 咱们这么多人 就二师兄能卖到16块钱一斤 5 一大群小妖精扛着被捆成粽子的唐僧 兴冲冲走进洞内 高喊 大王 大王 我 们终于抓住唐僧了 老妖精从睡梦中被吵 醒 抬眼看了一眼 无精打采地说 送回 去吧 小妖精奇怪地问为什么 老妖精 说 报纸上说唐僧肉里含有致癌物质 轻 松 101

102

103

104