DJ的札记

继续讨论创新沙盒入围者的产品特点。

RSAC即将到来，重新拾笔，按惯例先写写对创新沙盒入围清单的观感。

“人的因素”促使我们更深刻认识到参与网络安全链条中的人员个体的差异和作用，用新技术去弥补防御方弱点、固化人员安全能力推广、并限制攻击者活动空间。

创新沙盒比赛十强名单公布后，各家报道都纷纷加以分析，指出从榜单构成数目来看，应用安全和SaaS安全占据绝大多数。虽然赛事组织者不满固步自封，努力创新求变，套路明显发生改变也是正常的，但市场趋势真的是应用安全要占据半壁江山吗？

每年的圣杯文章预测两年后初见成功的新安全产品。今年笔者挑选的方向注定是个红海；初创公司要谨慎进入，因为必然会直面大厂发起的凶猛竞争。

单位经济效益是个充满争议的话题。有些人对它嗤之以鼻，有些人奉为最高准则。中学生都会计算；投资界大佬也时常挂在嘴边谆谆教诲；而有些创业者听到此问题会倍觉尴尬，常顾左右而言他。

RSAC2019已近余波消散，再回头看看会上的热点，并以此展开写创新，是个不错的选择。无论议题或大厂展台或初创博览，创新处处可见。如果参与者自己未曾留意或根本看不到，从而评论说缺乏创新，那未免大大委屈了此次业界盛会。

前天，Verizon宣布收购2016年创新沙盒入围公司ProtectWise。上周，PANW以5.6亿美元收

创新沙盒评论愈发难写，介绍入围者的文章多到汗牛充栋，读者并不感冒浅尝即止的内容，堆砌华丽词藻更会被嗤之以鼻，亟需找到一些独特的角度才能满足眼界变高的读者们的胃口：抛弃吹捧，透过花哨探究本质，试图不放过产品和业务的弱点。

随着ATT&CK被广泛认可，识别入侵行为TTPs而不是特征码，已成为新安全产品标配：行为是新控制，是应对高级威胁的关键安全控制，是xDR产品的基础能力。在主机和端点上识别持久化手段的效果明显且较容易入手，是甲方同学应优先考虑获取的能力。

本篇概述了笔者在设计NDR/NTA产品过程中参考的国外领先产品界面，讲讲如何在满足行业共识基本要求的同时，体现自身技术优势以突出亮点。笔者也希望借此一文分享心得，有助于业内厂商全面提升网络流量安全分析产品的水平。

每年的下一座圣杯观点文章，介绍笔者认为两年后将初步见证成功的产品方向。

安全的进步，并非只靠性感唬人的新名词。即便是最基础的概念，应用到极致，自然也是创新。RSAC纵然热点繁多，但对安全基础能力的探索却从未中断。从热议创新的喧嚣嘈杂中脱身，静下心来细细品味议题内容，寻找茫茫大海中被遗落的珍宝，必定收获良多。

横扫RSAC的中心议题便是GDPR，数据保护再次成为安全行业的关注焦点，对于未来商业社会有无可比拟的深远影响，是第一部全面完整规范数字经济根本基础"个人数据"使用的法律。即便业内对其严厉程度颇有微词，但无不盛赞其代表顶尖隐私保护监管水平。

连看了几年创新沙盒比赛，发现很多基本的安全产品思路还是会反复出现；在某一个细分领域，虽然不像国内市场呼啦啦十几家涌进来，但至少三家是肯定有的。入围公司质量参差不齐，有些明显因为赛道，或因创始团队光环，而候选公司本身并无特色。

新一届RSA展会日渐临近，之前的创新沙盒是否还记忆犹新？吹去泡沫，创新沙盒委实是检阅和发现未来技术发展方向的优秀渠道，下面就让我们一起来粗略探究各公司到底有哪些创新点引人关注。

使用dnscat2和dnscat2-powershell开源工具搭建利用DNS隐蔽隧道的C&C基础设施，并外传数据，绕过传统安全产品的检测，以及使用包含机器学习能力的DLP和NTA标准产品检测。

分步骤详细讲解广泛普及的商业渗透软件Cobalt Strike中DNS隐蔽隧道的设置和利用，带领读者fileless入侵后成功将目标系统数据外传，展示并分析其通信数据包，说明检测算法，最后演示使用现有DLP产品实现检测未知威胁。

创新是安全行业的永恒话题，无论是业界大佬还是刚入行新兵都会津津乐道；但对创业者来讲，创新难免是痛苦煎熬的抉择。

Doubt is not a pleasant condition, but certainty is an absurd one.