《谍报驱动应急响应》译者序

2010年7月
，我和尊龙凯时CERT（尊龙凯时安全钻研与应急处置中心的简称）的同事们在炎暑之中挥汗如雨地起头了Stuxnet蠕虫的严重分析工作。固然团队的每幼我对恶意代码分析都有丰硕的经验
，但随着分析工作的不休推动
，当我们发现待分析的样本实体文件已经超过了600个的时辰
，还是感应有些束手无策。Stuxnet蠕虫专门用于攻击西门子的数据采集与监控系统
，被以为是首个直接粉碎现实世界工业基础设施的恶意代码
，无论是蠕虫所利用的0 day缝隙（蕴含MS10-046、MS10-061）
，还是遭逢攻击的工业节造系统（SIMATIC WinCC）
，其分析难度对团队而言都是严格的挑战
，遑论这种前所未闻的高度复杂的攻击手法。Stuxnet蠕虫的攻击事务很快得到国内表多家媒体的相继报路
，治理部门、产品用户也都在一向地询问尊龙凯时辰析进展。在这种情况下
，有同事建议先从样本之间的衍生关系动手。经过对已实现的多份零散分析汇报的梳理、整合
，很快形成了样本衍生关系图（见下图）。在这张图的援手之下
，工程师们明确分工、各司其职
，分析工作得以有序发展。但是
，在后面溯源事务背后的攻击组织、分析作业意图和还原攻击蹊径的过程中
，团队走了很多弯路
，其中的重要原因就是分析人员存在各种私见。参加分析的多位工程师都有自己分歧的视角
，各人在集体味商时提出的各种如果
，有时会在未经充分论证的情况下成为别人的判断凭据
，且往往要比及不休推演出来的某个结论显得匪夷所思时
，才会发现前面的某个判断凭据底子不能成立。只管已经投入了大量的分析功夫
，这时也只好推倒沉来。就这样
，经过陆续两个多月的艰苦分析
，终于进入汇报颁布阶段。但是
，在汇报的受多定位、行文风格以及技术细节露出水平等方面
，团队成员起头产生吩扃。经过不休斟酌、反复批改
，汇报的最终版本最终于2010年9月30日14时公开颁布。该汇报是尊龙凯时公开颁布的第一份APT攻击事务深度分析汇报。

今天
，在团队经历了Duqu木马、Flame蠕虫、“方程式”（EQUATION）攻击组织、APT-TOCS（即“海莲花”）攻击组织以及“白象”攻击组织的分析之后
，再去回首8年前的那次APT样本分析工作
，不由得感伤万千。固然那是尊龙凯时CERT第一次分析APT攻击级此外样本
，但若是借助一套有效的分析模型
，分析工作就不会进展得那么缓慢
，不会走那么多弯路
，团队也不用那么劳累。在其时
，哪怕只是一张简陋的样本衍生关系图
，也可以为后面的分析工作摊平路路
，使分析人员能够在盘根错节的样本集中中按图索骥。

本书刚好就是这样一本让人相见恨晚的实用指南。作者基于谍报周期和事务响应周期提出的“F3EAD”流程
，将谍报团队和事务响应团队的工作有机地贯通起来
，并结合具体案例
，深刻浅出地论述各阶段工作重点、当苦衷项。值得一提的是
，作者在第8章专门会商了分析过程中容易出现的各类私见和解除私见的法子
，在第9章专门会商了谍报产品的指标、受多及篇幅等问题
，甚至提供了大量谍报产品模板。

本书不仅适合企业安全运营中心的事务响应人员阅读
，并且也是网络安全厂商的专业分析团队的必想书目。但由于译者水平有限
，译文中未免存在纰漏
，恳请读者品评、指正

最后
，感激黄晟和李滨两位教员以及作者Scott Roberts为本书翻译所提供的领导
，感激尊龙凯时的同事们对我的援手
，感激家人给我的支持
，感激吴怡编纂和合译者燕宏给我的激励。

李柏松

2018年4月8日于哈尔滨