网络安全中一直在追寻的溯源能力到底是如何理解？为什么需要溯源能力？做个科普

    溯源是指探明定位恶意行为的路径来源，发起者身份等信息，目的是为了更好的去进行行为的追踪和确认，能够精准定位到“人”。当前我们理解的恶意行为主要是两种类型，也就是针对网络信息系统的恶意行为和利用网络信息系统的恶意行为。简单理解就是我要利用系统还是要破坏系统的意思。对，其实我们已经有很多实际的例子，比如像针对网络信息系统的恶意行为，对新系统进行侦查渗透，扰乱破坏，最常见的就是像d道s攻击，让你这个服务没法正常使用，这是针对于系统本身而言，那另外一个维度的，那就是通过系统我去得到什么，比如说像数据的窃取，泄露。当前我们非常火热的个人隐私的一些灰产买卖等等。

    没有溯源会造成的一些威胁主要是什么呢？缺乏恶意行为的溯源能力在发生威胁或者是破坏的情况下，几乎没办法去进行实时追踪和定位，这会让违法者逍遥法外，伤害的是网络空间安全，损害的是网络空间上的利益。这个说到比较代表性的，就是当前比较火的勒索病毒勒索软件，因为它的隐蔽性，分散性和不确定性，导致了在整个过程中溯源难，无法进行精准有效的追踪，也就没法去遏制当前勒索的扩散。

    所以，溯源对打击遏制网络恶意行为具有非常重要的作用。在当前恶意行为非常猖獗的重要时期，没有，溯源，就给，当前网络匿名，或者部分的，水晶，提供了天然的保护屏障，让他们的行为，无法追查，最终也导致了网络恶意行为的操作者有恃无恐，铤而走险。溯源能力将有效的揭示恶意行为的行踪将有助于改变这种不利的局面，同时及时精准的溯源，也是响应网络恶意行为的重要一环，是决定后续行动的重要因素。

    其实，网络安全存在的同时，也就必然奠定了溯源能力的存在。目前，溯源能力也因为网络安全以及现有互联网环境的发展面临的一些相应的技术挑战。

    一，恶意行为轨迹选取效能与开销的平衡问题

    这个简单理解就是溯源在收集恶意行为轨迹的基础上，通过某种推理机制来进行，以目前推理的机制，我们主要是基于IP网络的信息系统，对它的行为记录和计算不足以支撑所原需要采取额外的手段留存恶意行为的轨迹，再通过其他外部的技术手段进行分析，这对系统本身是一种资源占用，所以在此就产生了一个资源平衡的问题。其次，当前溯源从现有技术上也逐步走向了AI人工智能化，但人为的介入程度相对还是比较高。通过这种方式才能够完成相对复杂的一些推理和分析，这就制约了在整个溯源过程中的时效性和效能。

    二，收集恶意行为痕迹时的权限不足和缺乏协同的问题

    我们做安全的人员都知道，为了保证安全，我们都是以最小权限去进行划分和管理，为了去追踪溯源，我们需要在网络上去进行一定的信息收取和改造，这就涉及到相应权限的问题，仅凭自身的能力难以完成对外部这一行为的精准溯源，特别是涉及到一些专项的应用场景，比如说运营商，互联网运营提供方，这就需要我不同的场景下，我成信息共享以及协同相关的机制才能保障网源的完成。

    三，网络基础设施对溯源技术支撑不足

    怎么理解这个意思呢，因当前我们主要是通过IP网络设计，在此基础之上没有原地址检验能力，因为IP网络目的是传输无法完全去进行有效的地址检验，比如说中间人劫持地址冒充等等。此外，当前网络还受限于IPV4的体制网段划分过宽，通过地址回溯往往无法定位到具体的设备，因为虚假IP往往只有单向通信功能，网络中充斥着大量的NAT设备，也对溯源工作造成了很大的困难。

    对此，我们相应的解决思路，其实当前当前已经在随着技术的演变而发生改变，我们这里面经常听到的行为轨迹，行为画像，关联分析，态势感知等等，都是基于此衍生出来的产品，就我个人而言，只是方向不同，展示不同，从底层考虑上有很多是有相似的基础的。

    目前的溯源技术可以分为两类，一种是在恶意行为劫持期间，通过某种措施进行溯源，包括特定的报文分析技术，日志记录溯源技术，链路测试溯源技术等。提到以上这几种类型，相信大家也基本有所了解，对于链路测试是溯源可能不太清楚，这里主要是通过场景测试的方式来进行攻击路径判断等。我们目前接触的比较多的一个是日志记录溯源，现有的日志分析系统已经相对比较成熟，除此之外是报文分析技术，我们了解的比较多的像科来，或是审计类厂家等。

    衡量溯源能力的指标主要有溯源所需的时间和溯源结果的精准度。溯源所需的时间只从检测并确认恶意行为，实施溯源行动开始到完成预定溯源目标所需的时间。目前在时间方面还没有做到实时或者是没有接近实时这一点。大家在hvv和各大重保等活动场景中已有发现，当前的技术日新月异，已经在追赶这一时间的实时目标。对于溯源结果的精准度，目前还没有明确的衡量指标，包括衡量方法。我们从现有的市面产品中可以看到，误报率一直存在，如何降低或者是规避误报是一直一直在一直在技术课题。相信通过广安人不断的技术进步，更新迭代，这个目标也必将实现。

以上整理的内容来源于《网络空间安全问题分析与体系研究》

【注：以上作者学习摘录，仅作为参考】

来源：安全壹壹肆 【关注公众号或是加入知识星球（安全114）】

声明：文章中部分展示图例来源于网络，版权并不属于作者