黑產和黑社會到底還有啥區別？這是采訪完Check Point 中國區技術總監王躍霖，與Check Point大中華區Harmony產品經理王勵杰后產生的第一個直觀印象。黑社會綁架人進行勒索，而黑產的“肉票”則是數據；黑社會打、砸、搶，黑產則是DDoS攻擊、釣魚、滲透，非法竊取、加密目標客戶的數據，進而對客戶進行勒索。下面我們就先隨著王勵杰的介紹來看一下，黑產是如何一步步向黑社會的方向進行發展的。

Check Point大中華區Harmony產品經理王勵杰

從廣種薄收到矛頭釣魚

既然是綁票，自然要選擇更加有價值的目標，黑產的數據勒索也是一樣。王勵杰用網絡釣魚開始為我們舉例。網絡釣魚，是目前常見的、隱蔽性越來越強的一種安全威脅。以前黑產制作一個釣魚網站，會幾萬人、十幾萬人的大面積進行郵件分發。這么多人里，有幾個上當的人，就已經算達到目的，純屬就是廣種薄收。但是現在，釣魚網站越來越狡猾、更有針對性，甚至就是專門針對某個高管或者企業內部的關鍵人士。首先黑產會全面收集目標各種信息，然后有針對性的制作釣魚網站。這就是所謂的矛頭釣魚，或稱魚叉式網絡釣魚。針對個人定制，只用一次就不再用。如此一來，一些黑名單之類的安全防御方式就無法起到作用，目標對于釣魚網站很難進行判斷，上鉤的可能性也會大幅提升。

新世紀的網絡綁票

如果說矛頭釣魚只是針對個人的網絡詐騙活動的話，那么勒索軟件就是針對整個社會的綁架勒索了。最近幾年異常猖獗的勒索軟件也已經變成集團化的運作。有專業黑客團伙，首先會通過釣魚等方式攻破企業內網，然后伺機尋找高價值資源，釋放勒索軟件。整個攻擊過程相當復雜，耗時也會很長，會形成長期攻擊、長期威脅的態勢。

這種攻擊造成的危害也很嚴重，美國石油管道公司被勒索，有100G的企業數據外泄，最終導致整個美國東部地區的石油供應受到極大影響。由此可知黑客組織特別是勒索軟件，能夠對一個國家的經濟運行造成嚴重的影響。當然，這也確實引起了美國政府的極大關注，對這個黑客組織進行追殺，導致這個黑客組織要么被捕，要么被解散。這典型案例確實把黑客能造成的影響達到了最大化，引起了所有人的重視。但黑產伸向企業的黑手并未就此斬斷，反而變本加厲的伸向了一般性經營企業，一家全球肉類生產商也同樣遭受到了勒索威脅，無奈之下只能關閉分布在美國、加拿大、澳大利亞工廠，向黑產支付出高達1100萬美元。然而這還只是有勇氣站出來承認的企業，還有更多企業選擇了默不作聲，悄悄向黑產進行妥協。

端點安全防護能力的衰退

“黑產的日益猖獗，和當前日漸衰退的端點安全防護能力有著很大的關聯。以殺毒軟件為起點的端點安全防護功能，越來越難以滿足目前詭譎多變的釣魚、勒索、零日威脅的安全防護需求。”對此王勵杰繼續分析道：

在如今高度網絡化的時代，尤其是一些在家辦公或移動辦公的人員，他們只有對端點，比如自己的手機、電腦或云端的某個計算節點的控制權限，其他部分不在用戶的控制之下。確實對于端點安全的要求提到了一個很高的程度。

而對于殺毒軟件這種依據特征碼比對來進行安全防護的傳統端點安全產品而言，往往屬于亡羊補牢這一種類型，只能被動的在發現一種威脅之后，再進行相應的處理。雖然目前在端點上也會采用沙箱、AI等技術來對威脅進行預判，然而此類操作往往會占用端點上本不充裕的算力資源，造成系統卡頓、響應緩慢，嚴重用戶的應用體驗。

更主要的是，當前的網絡釣魚和勒索軟件中往往會采用很多零日威脅技術，讓傳統殺毒軟件無從查起，自然也就起不到阻攔與預警的作用。

端點安全的應對方案

傳統殺毒軟件對于端點安全防御疲軟，那么又應當如何對端點安全進行防護？Check Point中國區技術總監王躍霖為我們提供了如下三條安全建議：

Check Point中國區技術總監王躍霖

一、以預訪為主。殺毒軟件之所以成為事后諸葛亮，就是因為在很多情況下，都是病毒已經在我們的電腦上之后，再去進行檢測和查殺。與其讓病毒在造成破壞之后再去挽救，最理想的狀態是在病毒傳入電腦之前提前分析攔截。

此外，預訪不僅是由外向內，還需由內向外。黑產最希望得到就是員工在企業的登錄賬號和密碼，針對這些敏感信息是否可以預先進行攔截，讓釣魚網站無魚可釣，也是端點安全防護的重要一點。

二、以AI驅動多層次安全。實際上，黑產已經在很多入侵手段中用上了AI分析能力。從端點安全來講，如果用戶不具備這個能力，自然無法與黑產進行對抗。例如分析釣魚網站時，就可以利用AI技術從視覺相似度上進行分析，從而讓釣魚網站徹底現形。

此外，還有感染后的自動修復和恢復，這就是現在很熱門的概念EDR——端點檢測和響應。那前面講到勒索軟件，對勒索軟件進行偵測、自動修復，平時進行文件備份，那這個就是典型的EDR概念。

三、整合智能威脅情報架構。比如說用戶在端點收到Email郵件后，對郵件進行檢測，但Email是從哪里來？是從我們的Email服務器轉發而來。如果把端點安全跟郵件安全整合在一起，就能把威脅消除在最初的萌芽狀態。威脅就根本進不了用戶的郵箱，這樣的整合是能夠起到更好的效果。當然，整合還需要有一個強大的威脅情報庫在后面進行后端支援。這個威脅情報庫越豐富，威脅預防的能力也就越強

威脅情報庫如果只從端點的角度去收集，對于及時性和豐富性都有局限。如果能從各個不同的角度，比如說從安全網關上面也收集這安全威脅，如果有這樣的能力，安全威脅的視野就變得非常非常寬闊了。

最后一點，基于云做統一安全管理。云端將會在在未來的端點安全防護中，為用戶提供強有力的支撐。比如端點算力有限，進行沙盒、AI類的分析往往力不從心，這時可以借助云端的充足算力對威脅進行分析，客戶端上只需要部署一個輕量級的應用程序就可以完成端點安全防護工作。

此外還有面向端點檢測和響應的EDR，本身就是跨越企業內部所有的端點去做整體的安全分析。將EDR架構部署到云端，通過云端平臺實現大數據集成、統一進行關聯分析，就可以完全摸清黑客的入侵路線，得到威脅事件的完整鏈條。從而達到基于云的統一管理，實現最理想的端點安全防護效果。

最后，王躍霖強調：端點安全只是整個網絡安全中的一個部分。我們要綜合分析，從各個不同的維度進行統一的情報分析。在對用戶的網絡側、終端、云端等各個方面的威脅進行統一的情報分析，反過來提升整體的威脅防護能力，這樣才能更好的與黑色產業鏈進行對抗，保護好用戶的數據安全。