聊聊网络安全行业这十年（2010-2019）

尘埃落定后，我们几乎总会发现攻击者实际上并没有那么“精明”。或者，即使他们很精明，但实际上并未耗费九牛二虎之力就侵入环境。结合唾手可得的目标和 Living off the land(LotL) 技术让攻击者游刃有余地入侵公司。

Intel 和 McAfee 的并购掀起了网络安全市场长达十年的并购活动和资本涌入盛况。多数并购活动确实带来积极影响，但本案例除外。

• McAfee 被收编至 Intel 麾下的七年毫无建树。Intel 兼并 McAfee 好像是发生在多年以前的事，或者看起来似乎如此，但事实果真如此吗？实际上它发生在2010年中期。在落笔前，我本来要说这件事发生在上个十年，但实际上并非如此，它确实拉开了这个十年的序幕，它到底象征着什么呢？Intel 的愿景本来是利用 McAfee 将安全性嵌入硬件中，为Intel 带来独立的硬件和安全厂商无可比拟的独特的竞争优势。遗憾的是，这一愿景并未结出硕果，Intel 最后不得不将 McAfee 剥离出去。Forrester 公司曾预测到这一点，七年后它成为了现实。
• 荣誉提名：火眼公司和 Mandiant

• “震网 (Stuxnet)”具备一切：复杂性、地缘政治和工控系统。Stuxnet 不乏专门的书籍和纪录片介绍，而且一名美国陆军将军因揭露 Stuxnet 实际上是代号为 "Olympics Games" 的一项美国计划而受到纪律处分。输出 Stuxnet 要求结合技术能力、HUMINT 和足够的时间以便通过外交渠道解决问题。
• WannaCry 和 NotPetya 问鼎勒索软件冠军。这十年的后半段应该是勒索软件的天下，它使电信、物流、公共事业、市政等机构瘫痪。其它恶意软件和这两款勒索软件相比均黯然失色，尤其是从非网络安全从业人员的角度来看更是如此。尽管造成了破坏，但 WannaCry 和 NotPetya 也让网络安全对于互联企业的重要性得到宣传。
• 荣誉提名：PoisonIvy、Magecart、Anthem、Community Health Systems 和每种银行木马。

• 言必称Target：Target 沦为营销素材

• OPM 挫败美国的情报能力。2014年3月20日，美国人事管理局获悉黑客已经提取了用于对安全通关进行背调的敏感的 Standard Form 86 副本。
• 索尼影业连接演员 Seth Rogen、Aaron Sorkin 和朝鲜。人们最初对索尼影业遭受攻击的注意力主要集中在它是朝鲜因电影《访谈》而实施的网络安全报复上，索尼影业被攻击之后后背发凉：因为多位名人之间的邮件往来都被暴露在互联网上。这件事引发了人们对知识产权所有权以及谁能从被提取数据中获益的大讨论。而我们也获悉了各种爆料，如名人作家和娱乐节目主持人有时会通过写剧本支付私立学校的学费，以及索尼影业曾考虑聘请律师强迫明星出演但最终以失败告终的各种故事。
• 荣誉提名：RSA、Equifax、Yahoo、Marriott 和 SWIFT

• OpenSSL 被曝“心脏出血 (Heartbleed)”漏洞，现在仍受影响。我们有一些非常有名的 CVE 漏洞，但很多人挠破头也不知道 CVE-2014-0160 是什么。但如果你说“心脏出血”，他们马上就反应过来了。它的名气超过 MS08-067，确实也实至名归。这个漏洞命中所有一切：网站、工具设备（包括安全设备）、应用程序……无所不包。它会导致什么后果？一切后果：私钥、用户名、密码、邮件、数据……所有通过受影响的 OpenSSL 版本加密的一切东西均可被攻陷。如果你想找到能够破坏技术领域中一切东西的漏洞，那它非“心脏出血”漏洞莫属。
• “永恒之蓝(EternalBlue)”证实 NSA 真的非常善于开发 exploit。同时它证明网络武器落入不法之徒之手，真的非常危险。尽管2017年起就发布补丁，但“永恒之蓝”仍持续侵害企业。WannaCry、NotPetya和“坏兔子”也在攻陷初期阶段使用“永恒之蓝”，利用微软 SMB 协议中的缺陷用于横向移动。
• 荣誉提名：Meltdown 和 Spectre 以及 VPN 工具漏洞

• NIST 网络安全框架已成为安全程序的沟通语言。2014年2月，NIST CSF 作为一个全面的框架首次亮相，它确实值得赞扬：将识别、保护、检测、响应和恢复的概念纳入我们的共享词典中。Forrester 公司发现，经过网络力量的传播，NIST CSF 已成为讨论网络安全程序的董事会级别的语言。很多董事会成员任职于多个董事会，他们从一位 CISO 那里听到 NIST CSF 之后开始后询问其他人相关信息，从而使其在网络程序相关讨论中占据重要地位。
• MITRE ATT&CK 已成为网络安全威胁的沟通语言。ATT&CKruin已成为一种为业内广泛接受的标准，如 ATT&CK 网站所言，“ATT&CK 是关于网络对抗行为的知识库，也是对它们生命周期内网络对抗动作的分类。”Kill Chain 之于攻击阶段的做法就如同ATT&CK 在深层次之于攻击者的行为和动作。鉴于最终用户和投资者在检测公司投入大量资金，ATT&CK 开发了一种方法，用于理解供应商安全工具在各个类别中的性能。