渗透核心

2007年，渗透核心一个叫“地震”的渗透核心蠕虫病毒打穿了伊朗纳坦兹核设施的物理隔离网。不是渗透核心靠U盘，不是渗透核心靠内鬼，靠的渗透核心是六个字：供应链的漏洞。病毒藏在西门子工控系统的渗透核心驱动更新里，跟着合法签名进了离心机控制室。渗透核心离心机转速被篡改，渗透核心一千多台机器在几个月里悄无声息地报废。渗透核心伊朗人花了两年才搞明白发生了什么。渗透核心

这就是渗透核心“渗透核心”的经典样本。它不跟你正面刚防火墙，渗透核心不拼加密强度，渗透核心它找的渗透核心是你系统里最信任的那条路——供应商、维护通道、渗透核心内部人员的日常操作——然后从那条路走进来，像水从墙缝渗进来一样。

核心不是“攻破”，是“被信任”

多数人理解的渗透是撬锁。真实世界的渗透更像是：你手里有这栋楼的门禁卡，因为你上个月帮物业修过水管。修水管这件事本身合法，门禁卡也是真的。问题在于，没人规定修水管的人只能进设备间。

2013年Target超市数据泄露，攻击者先黑了一家给Target做暖通空调的小公司。那家小公司有Target内网的VPN凭证，用来远程监控温度。攻击者拿到凭证后，大摇大摆从正门进了Target内网，然后在里面慢慢逛了三个月，刷走了四千万张信用卡信息。暖通空调公司的安全水平？大概就是“老板的邮箱密码是123456”那种水平。

渗透核心的逻辑从来都是：你防得再严，你的合作伙伴、你的外包团队、你的临时工总有人没防住。而你的系统默认信任他们。

物理隔离是个笑话

很多人觉得断网就安全了。纳坦兹核设施当年也是这么想的。结果呢，一个被感染的U盘就能把“物理隔离”变成“物理连接”。更讽刺的是，那个U盘可能来自某个工程师家里的电脑，而工程师只是想把工作带回家做。

我见过一家工厂，生产线的PLC控制器居然还在跑Windows XP。问为什么不升级，答：升级要停机，停机一天损失两百万。于是他们选择把网线拔了。但维护工程师每个月要带笔记本进去做诊断，笔记本插过办公室的网，办公室网连着互联网。这条链路里最薄弱的环节，不是PLC，是工程师的笔记本。

渗透者不需要破解什么高深的东西。他只需要等，等一个人类习惯制造的缝隙。

“核心”往往就在眼皮底下

2015年，乌克兰电网被攻击，二十三万人断电。攻击者没有用零日漏洞，用的是鱼叉邮件。邮件伪装成电网公司HR发的“员工薪酬调整通知”，附件是个带宏病毒的Word文档。点开，宏运行，后门植入。然后攻击者用这个后门进入内网，找到SCADA系统的操作终端，远程把变电站的断路器一个个断开。

整个过程里最“核心”的渗透点，是那个点开附件的员工。他坐在办公室里，喝着咖啡，觉得HR发的文件很正常。攻击者赌的就是这个“正常”。

所以每次有人问我“怎么防渗透”，我都想说：你先看看你的员工会不会点开“薪酬调整通知”。技术防护可以挡住百分之九十的自动化扫描，但挡不住一个觉得“这邮件看起来没问题”的人。

渗透的终点是“消失”

好的渗透者不会留下痕迹。他们进来，做事，然后走。你甚至不知道他们来过。SolarWinds事件里，攻击者在Orion平台的后门里潜伏了九个月，给一万八千个客户发了带毒更新。直到FireEye的安全团队在调查自己被盗的凭证时，才顺藤摸瓜发现这个后门。九个月里，没人发现。

这才是最让人后背发凉的地方。渗透核心不是一场战斗，是一场无声的搬家。攻击者比你更了解你的系统，比你更熟悉你的流程，比你更有耐心。他们等的就是你某天忘了打补丁，某个人点了链接，某个供应商用了弱密码。

然后他们就从那条缝里，渗进来了。