蝴蝶是美麗的, 你可知美麗的蝴蝶翅膀也會帶來意外的效應?一只南美洲亞馬遜河流域熱帶雨林中的蝴蝶，偶爾扇動幾下翅膀，可以在兩周以后引起美國德克薩斯州的一場龍卷風。是的，看似毫不相干的輕輕揮揮手, 卻有可能引起巨大反應。自然界如此，安全界亦如此，在所有讓全球震動的APT攻擊事件中，起因都是那些毫不起眼的一個個鏈接，通過輕輕一個鼠標點擊，為黑客打開了勝利之門。手滑帶來的結果卻遠超這個自然界的蝴蝶效應。

一個個看似平常的鏈接背后，說不定就隱藏著一個黑客大鱷。在APT攻擊中，有超過90%的惡意代碼是依靠WEB形式傳輸，而基于WEB流量承載惡意代碼的攻擊形式中，目前最大的風險在于精確釣魚網站攻擊和水坑攻擊。實現對WEB流量的檢測，尤其是對其中的“0-Day”漏洞的惡意代碼的檢測，其實就是控制住了WEB流量中“0-Day”漏洞的翅膀，這是防護APT攻擊的一個關鍵的制高點。

主動出擊，定制化的精準釣魚網站

此釣魚已經不是幾年前的釣魚了。釣魚人已經不遵循“愿者上鉤“的原則，上鉤者必須是自己看好的才會收線。攻擊者前期會通過正常的URL吸引對方，利用URL相關參數，收集用戶使用的操作系統、瀏覽器和版本等信息。并利用一些基本的技術，準確判斷用戶端應用環境，特別是安全防護軟件和一些常見的本地應用，實現對用戶環境精確收集，為指導定制化精確攻擊和繞開常規檢測打下基礎。

定制化的精準釣魚就是在前期精確的用戶信息收集基礎上，實施的一種釣魚攻擊，比普遍撒網式的釣魚更聚焦、更定制化。通過發送鏈接給用戶，只有在被攻擊者名單中的人才能看到這個釣魚網頁，甚至名單中不同的人看到不同的內容，而不在名單中的其他人看到的則是正常的網站或者是一個現實錯誤的網頁。也就是說如果你不在名單之列，就看不到釣魚網頁。依靠這些定制化的釣魚網頁，你能想象到攻擊者一邊收線，一邊唱到：“釣你，釣你，釣的就是你”。

靜默守候，精確的水坑式攻擊

所謂“水坑攻擊”，是指黑客通過分析被攻擊者的網絡活動規律，尋找被攻擊者經常訪問的網站的弱點，先攻下該網站并植入攻擊代碼，等待被攻擊者來訪時實施攻擊。這種攻擊行為類似《動物世界》紀錄片中的一種情節：捕食者埋伏在水里或者水坑周圍，等其他動物前來喝水時發起攻擊獵取食物。

水坑也同樣不是幾年前的水坑。除出現的單漏洞多水坑的新攻擊方法外，目前也出現精確式的水坑攻擊。安全人員認為，這種新型手段就是對特定人群進行攻擊的全新手段。這種手段被稱為路過登錄(Drive-by-login)。在路過登錄攻擊中，黑客在用戶可能登錄的網站中嵌入惡意代碼。這些惡意代碼被用于向特定目標注入惡意軟件，而并非所有網頁訪問者。路過登錄攻擊是非常危險的，因為實施攻擊并不需要任何社會工程學，同時很難被偵測到，因為它們只向特定用戶投放惡意軟件。路過式登錄攻擊意味著今后沒有網站會是百分百安全的。任何網站，不論它的大小和功能，都有可能成為復雜的針對性入侵的受害者。

華為Firehunter沙箱，WEB "0-Day"威脅的終結者

對APT攻擊防御而言，越早在攻擊鏈中實現有效的檢測和攔截，APT攻擊造成的損失就越小。在華為前期客戶的實施和測試過程中，有些客戶的互聯網出口，基于WEB的流量高端95%以上，只有對這些WEB流量進行有效攔截，才能真正實現占領APT檢測的制高點。華為Firehunter沙箱，是全球僅有兩家可以檢測WEB流量中“0-Day”漏洞代碼的安全產品。華為沙箱在檢測WEB流量時，先采用靜態檢測模式，采用了指令流檢測和信息熵檢測模式，實現對web網頁的惡意代碼進行檢測。對于未能檢測到惡意代碼的情況，通過提取調用的系統API方法、屬性、函數名稱、插件列表、DOM節點列表等信息多重判斷頁面的惡意與否，對于可疑的頁面，則將頁面送到WEB重量級沙箱中進行檢測。重量級沙箱系統是針對可疑頁面檢測定制的用于檢測WEB頁面的檢測環境，通過監視WEB重量級沙箱內IE訪問可疑頁面的整個過程，獲取到IE進程在訪問可疑頁面過程中對操作系統的所有行為，送惡意行為識別模塊進行惡意識別。華為沙箱采用“動靜”結合的技術模式，能高效地檢測WEB流量，有效地保護企業安全。