行动开始前，如何利用威胁情报

今天很多小伙伴都开始HW行动了，在过去的一个月里面，我和几位售前工程师同行也为了今天的战役准备和筹备很多，在这个值得纪念的日子里，我也总结一下工作内容。

时间大约回到两个月前，某客户在筹备行动开始阶段，针对自己内部环境进行了一次有针对性的摸底排查过程。细节此处省略一万字。我们仅谈论安全相关的部分。

首先我的客户在2019年讨论了一个2006年开始讨论的问题，我的系统到底为啥要使用2048 bit的数字证书。他的强度如何呢？

The Lenstra group estimated that factoring a 1024-bit RSA modulus would be about 1,000 timesharder than their record effort with the 768-bit modulus, or in other words, onthe same hardware, with the same conditions, it would take about 1,000 times aslong.

They also estimated thattheir record achievement would have taken 1,500 years if they normalizedprocessing power to that of the standard desktop machine at the time -this assumption is basedon a 2.2 Ghz AMD Opteron processor with 2GB RAM. that standard desktopcomputing power would take 4,294,967,296 x 1.5 million years tobreak a 2048-bit SSL certificate. Or, in other words, a little over 6.4quadrillion years.

但是我也看到国外媒体在预测量子计算机对算力的贡献。

—NIST的美国国家标准技术研究所给出的规划是到2030年。

In case you’re curiouswhere we got the idea of 2048-bit keys being safe to use until 2030, check outthe NIST Special Publication800-57 Part1. In Table 2 of that document, it says 2048-bit RSA keysare roughly equivalent to a Security Strength of 112. Security strength issimply a number associated with the amount of work required to break acryptographic algorithm. Basically, the higher that number, the greater theamount of work required.

2048对应的安全长度是112

Thesame NIST document also has a table (Table 4) that shows the period over whicheach Security Strength is deemed acceptable. According to that publication, 112security strength (which corresponds to 2048-bit keys) is considered to beacceptable until 2030.

2016年修改的修订稿 SP800-57 Part 1 Rev. 4

Date Published: January 2016

看明白了吗？其实如果这个时候我们还沉寂于跟客户去讲，Bob 和Alice的爱情故事，再把那个贱人Spy拿出来搞破坏的事情，演绎一个很好的版本给我们的客户。我觉得客户压根不会感兴趣。

售前工程师都知道，这并不是一个好的选择，在火烧眉毛的时候，凭谁都需要在第一时间响应安全问题及安全漏洞。

既然事已至此，不如我们开始帮助客户进行有效的防守。

通常来讲，企业根本无法辨别威胁。企业经常花费太多钱在攻击发生之后对漏洞的修补和调查问题上，而不打算在攻击出现之前就修复它。我们的客户对内网进行了一次主机漏洞扫描，并把这份报告拿出来研究。

– – – 保密，报告就不发了。 – – –

一般来说，建议客户漏洞管理结合risk风险值来进行计算后，根据权重分配分值，再进行全面管理。可是现状真实的就是，大部分客户对自己的资产，尤其是数字资产中的软件资产不是很清楚，cmdb效果不佳。安全可视性当然就约等于几乎没有了；另外，没有专业的安全人员辅助进行风险度量，预测基本不可能了，大量依赖外部的威胁情报数据。