内容摘要：凌晨两点十七分，Norse的威胁地图上突然炸开一片猩红。从圣保罗到新加坡，从开普敦到雷克雅未克，代表攻击轨迹的弧线像血管破裂一样向北美和西欧汇聚。那不是演习。值班的威胁分析师后来在内部Slack里写了

凌晨两点十七分，全球黑Norse的客实威胁地图上突然炸开一片猩红。从圣保罗到新加坡，时攻从开普敦到雷克雅未克，全球黑代表攻击轨迹的客实弧线像血管破裂一样向北美和西欧汇聚。那不是时攻演习。值班的全球黑威胁分析师后来在内部Slack里写了一句：“感觉像有人同时拧开了所有水龙头。”

Norse这家公司不太一样。客实别的时攻安全厂商卖防火墙、卖订阅、全球黑卖“零信任”PPT，客实Norse卖的时攻是“实时攻击流”——把全球蜜罐网络抓到的恶意流量直接可视化，投到一块大屏上。全球黑你看到的客实每一条线，背后都是时攻一个真实IP在真实地扫描、爆破、注入。没有模拟，没有回放。我第一次进他们旧金山机房的时候，那块屏上每分钟闪过两万多次攻击事件。工程师管它叫“鱼缸”。

那天晚上的鱼缸几乎溢出来。攻击源分布很怪：往常大头是俄罗斯、中国、巴西，那晚前十里有六个是之前排不上号的ASN——罗马尼亚的、印尼的、甚至有一个来自格陵兰的ISP，总共就几千个IP，突然对挪威一家海事卫星通信公司发起了每秒四万包的SYN洪水。格陵兰。你品品。那地方全境人口不到六万，宽带出口就那几条，能打出这种流量，只有一种可能：有人租了僵尸网络，而且故意挑了这些“干净”的ASN来绕地理封锁。

更细的东西藏在payload里。Norse的蜜罐抓到的样本显示，攻击者用了一个三天前才在GitHub上出现的PoC，针对某款企业VPN的预认证RCE。补丁还没推全，扫描器已经全网跑了。这不是脚本小子的节奏。脚本小子用现成工具，流量特征粗糙，时间上也不会这么紧凑。这波攻击的间隔、目标排序、甚至失败后的重试延迟，都带着一种手动的、有节奏的克制。像有人在键盘后面一边喝咖啡一边按回车。

我盯着地图看了半小时，发现一个有意思的细节：攻击流量在UTC 02:40左右突然集体“换手”。前一秒还在打智利的教育网，下一秒全部转向德国的工业控制协议端口502。这种切换不是自动化的——自动化会留下爬虫式的均匀分布，而这次切换有大概九十秒的空白，像操作员起身去拿了杯水。Norse的CTO后来跟我说，他们内部把这种模式叫“人肉调度”。

Norse的蜜罐网络本身也值得说两句。他们不放在云上，而是散在各地的小机房、居民宽带、甚至一些大学实验室的闲置IP段里。有些节点就藏在一台老式戴尔PowerEdge上，跑着伪装成Windows Server 2008的容器。攻击者以为打的是某家物流公司的内网，其实进了Norse的陷阱。这种“脏”部署让Norse抓到的样本比很多云端蜜罐更真实——云端IP段早就被攻击者拉黑了，没人会上钩。

那晚的攻击持续了四小时十一分钟。峰值时Norse的采集集群丢了大概百分之七的数据包，因为写入速度跟不上。工程师临时把冷存储的NVMe盘拔过来插进热节点，才勉强把原始pcap存下来。第二天早上分析报告出来，攻击目标清单里有十七家能源公司、九家港口运营商、还有一家做卫星电话加密的挪威小公司。最后那个最可疑。格陵兰的流量、海事卫星、预认证RCE——拼在一起，像是有人在测试对北极航道的通信干扰能力。

Norse后来没发公开报告。客户名单里有几个政府机构，不想声张。但那张地图的截图在内部流传了一阵。我存了一份。每次看到那些弧线，就想起CTO说的那句话：“攻击不是数字。是某个人，坐在某把椅子上，决定按下那个键。”凌晨两点十七分，有人按了。而且不止一个。