攻防有道｜《2021攻击技术发展趋势年度报告》—— 绿盟四大战队推荐篇

我国正全面推进数字中国建设，以数字化转型整体驱动生产方式、生活方式和治理方式变革，越来越多的设备、应用接入互联网，网络安全形势不容乐观。紧跟最新的攻击技术，最新的攻击趋势才能更好地做好防御，这份报告对八大重点方向的攻击趋势进行了研究解读，覆盖面较广，能使读者快速掌握前沿的攻击趋势。在年度攻击技术详解和年度高可利用漏洞章节中能让信息安全行业内的专业人士也收获颇丰。年度精选安全事件章节则时刻提醒我们要警惕网络钓鱼，一线攻防人员也不例外，同时也要关注到供应链的攻击及其造成的巨大危害。

非常有幸受邀得以提前阅读《2021年攻击技术发展趋势报告》，读完之后给我最大的感受莫过于“干货满满”、“受益匪浅”。作为一个技术出身，同样从事攻防对抗相关工作的读者，初瞥目录时我就知道：这是我的菜。
报告从Web对抗技术、社会工程学、C2及隐匿隧道技术等八大方向对攻击技术进行深入分析解读，无论是从近几年愈演愈烈的攻防演练视角出发，还是从无所不用其极的APT攻击事件来看，我们都不难发现这些攻击技术熟悉的身影，因此我认为作者提炼的攻击技术方向是极为精辟以及紧贴实战的。网络安全的本质是攻防双方之间的对抗，但是这个对抗本身就是不对等的。攻击方往往掌握着主动性，正所谓“道高一尺魔高一丈”，攻击方一直都在主动寻找防守方的弱点，攻击手法也日益精进，这对现有的一些防护手段提出了极大的挑战，防守方只有了解、掌握攻击方的攻击手法才有可能与之抗衡。攻防双方的对抗其实是一件非常有趣的事情，攻防技术的演进也是非常精彩的博弈过程，感谢作者为我们提供同样精彩的攻击技术分析报告。

读过文章已经是深夜了，抬眼看看夜空，微黄的路灯和去年的今天是那么像，跟着文中路线把我的2021细细的重新数了一遍。对于文中的技术或漏洞，作为该方向一线技术人员，应是着手过跟踪或复现，但回看文章，才明白遗漏之处也是甚多，原是管中窥豹，只见一斑。

1. 从技术迭代中看趋势

上云、高匿、分布式、自动化作为技术趋势已经被提出并实践了几个年头，但如何将新攻击面、新生代技术与团队既有能力整合，已经成为了一个新的课题，文中指出了几个接下来的队伍能力建设方向，可以总结为两个隐藏、一个扩大：

a) 隐藏攻击源

b) 隐藏攻击链路

c) 扩大攻击面

优秀的攻击者往往可以找到防守的盲区，而优秀的团队则可以将之发展为持续迭代的能力，在目标点撕开更大的口子。

2. 对高价值漏洞知其然，更知其所以然

如果把队伍常规能力类比为军事素养，那么0day这种高价值漏洞就是高精度战术导弹，是防不住的杀招。对0day的储备将成为团队间的能力壁垒，而对于系列漏洞的追踪及复现以及深度研究，自然成为重中之重。

3. 和最前沿的攻击事件学突防

在2021年，供应链攻击、鱼叉式钓鱼等安全事件频发，可以说是边界防守能力的提升倒逼突防手段进步，看似攻击手法回归传统，实则不然，新式的攻击更隐蔽、更精准，也更有效，而眼下边界突破的难度逐年以指数提升，这些旧瓶新酒的攻击，无疑暴露了防守方这几次技术迭代下仍旧存在的空白，指出了数个未来可能的攻击趋势。

围棋中常常被教导：抬头下棋。正是如此，百忙之中有必要抬眼看一看全局，方不至走入歧路。闭门造车，出门合辙这种事情，还是太难发生了。

长夜将尽，星空闪烁在黎明。

作为一名实战攻防人员，阅览全篇后，心潮澎湃。正所谓学海无涯，诚惶诚恐。这篇报告所介绍技术之多、价值之高，让我再次体会到上学时求知若渴的状态，让我再次认识到自己才疏学浅，仍需沉心静气、勤学苦练。该报告总结了八大重点攻击技术方向，基本实现了年度攻击技术的全覆盖，介绍了每一种先进技术的理论、发展趋势和优缺点，干货十足，含金量极高。虽然受篇幅所限，无法展示更为详细的技术细节，但是报告使用简短精炼的话语将相关核心技术点以及技术变化的趋势展示出来。当我们对日常搬砖工作厌倦、不知该向何方前进之时，推荐大家多多阅读像这样高价值的技术报告。这不仅能拓展我们的眼界，还能帮忙我们快速了解行业技术发展趋势，为我们指明学习成长的方向。如今的俄乌冲突让我们清楚地意识到，当国家之间发生冲突时，国家网络安全防线首当其冲。愿网络安全从业者们都能摆脱浮躁，将技术用于正道，只是向上走。能做事的做事，能发声的发声。