孙子曰“知己知彼，百战不殆”，话又说“知易行难”。知己 已是不易，各种开源软件涌入信息系统，各种 API 调来调去供应链 越来越长，各种微服务“一言不合”就上线。这种动态环境下，知己―― 清楚地了解洞悉自身网络中的资产、价值和安全属性、逻辑分布和 依赖关系等无疑很挑战。 但知彼是更难的挑战。“彼”的识别就是 个大问题。什么目标和动机?定向的，还是非定向的;什么技术水 平?高级的，还是一般的;当前什么趋向，什么漏洞和利用在流行? 数百万的安全告警背后分别是什么威胁?

　　从名义和定义上看，威胁情报是一个很好的“知彼”渠道。一 般来说，市场上可以获得的数十数百种威胁情报，包括免费开源的、 商业的，在实际安全运营活动中，有时候显得太多，数以千万的各 种威胁信息，需要占用大量资源才能加以分析利用;有时候又显得 太少，当重大或特定安全事件发生时，又发现诸多威胁情报“面面 相觑”，都不能提供有价值强关联的可行动信息。 几年的实践下来， 业界意识到威胁情报只有在消费分析闭环里的不断”提炼  中才能展 现价值，自身也才能越变越精准。 在这个闭环中，消费到分析的阶 段最为关键。威胁情报的消费过程本身也构成了新的“情报”，新 的情报再次加入新的“消费”环节，于是威胁情报的用户和提供商 一起构成了一种事实上的网络防护生态， 这种“生态”能带给成员最为鲜活的威胁动态和动力，实现一种可持续的、可运营的知“彼” 手段。

　　如果说 2016 年发生在 Dyn 攻击事件是物联网威胁的“叫醒”铃 声的线 年，物联网设备已经是网络攻击的常客。绿盟威胁情报中心数据显示，物联网设备 IP 已占有总恶意 IP 的 12%， 物联网设备中恶意 IP 所占物联网总 IP 数量的比例达到 4.8%， 是普通 IP空间相应恶意 IP 占比的 3 倍。不难预计，物联网设备带来的安 全威胁将继续不断升高，对物联网威胁的相应防护能力将会成为安 全防护体系的标配。

　　2017 年，在我们持续监控的超过 390 万个攻击源中，大约 20%的恶意 IP 曾对多个目标进行过攻击，0.39% 的攻击源对 90% 的攻击事件负责。对这些“惯犯”的针对性跟踪、分析、画像、对抗等可 以有效地提高安全防护的效率和效果，相应地，“惯犯”覆盖也将 成为最为核心的威胁情报能力之一。

　　如年中安全观察所报告的，我们发现恶意 IP 在一个国家总 IP 数 量中的占比与该国家的整体经济发展水平有非常明显的线性关联关 系，也就是说，经济程度发展较低的地区，互联网安全治理水平也 相对落后，安全防护提升跟不上电脑的普及速度，从而计算机被感 染成为被控主机、攻击其它系统的概率更高，例如，越南恶意 IP 占 比高达 17%， 印度高达 11%这些基础威胁统计信息可以作为UEBA/ 安全行为分析的重要输入，建立更智能的安全检测体系。同时， 我们应该看到，追逐利润的安全威胁越来越体现出全球化运作的特 点，这也要求威胁情报也具备全球化运作的监视、分析和响应能力。

　　反射放大型攻击依然占据了拒绝服务攻击类型的主流位置，值得注意的是，反射攻击武器库里又有新的致命武器。几天前，著名代码托管站点 GitHub 遭受高达 1.3Tbps 的拒绝服务攻击。这次攻击了利用 Memcached 的反射拒绝服务攻击漏洞。绿盟威胁情报中心NTI 数据显示，全球有 10 万多的 Memcached 服务器在互联网上开放， 考虑到这些服务器的大带宽、高在线时长，Memcached 有可能成为新的反射 DDoS 攻击大杀器。