Ben Bernstein，Huntress网络安全顾问经理 – 访谈系列

Ben Bernstein，Huntress网络安全顾问经理，是一位拥有十余年经验的网络安全专业人士，经验涵盖技术支持、系统管理、客户成功、技术客户管理以及安全咨询领导。 他在IT一线岗位开始职业生涯，从帮助台工作到系统管理，随后在Integris转向客户管理和客户成功。Bernstein随后在Red Canary工作了三年，担任技术客户经理和高级企业技术客户经理，负责与企业客户的关系。自2024年加入Huntress，担任创始技术客户经理以来，他在技术客户管理领导层晋升，并现负责公司网络安全顾问团队，凭借技术专长和面向客户的经验，帮助组织更好地理解和应对不断演变的网络威胁。

Huntress是一家网络安全公司，提供全托管的安全平台，旨在保护组织的终端、身份、日志和用户。其平台融合了包括托管端点检测与响应（EDR）、身份威胁检测与响应（ITDR）、安全信息与事件管理（SIEM）以及安全意识培训在内的技术，并配备由人工安全专家组成的24/7人工智能中心（SOC）。Huntress称其技术目前已保护超过500万台终端和1500万条身份信息，覆盖超过277,000家企业，其团队代表客户进行威胁检测、调查、响应和修复。

您在帮助台和系统管理岗位开始职业生涯，随后转向技术客户管理，最终在Huntress担任网络安全咨询领导。您亲手操作的IT背景如何影响了您今天对安全的思考，尤其是当管理员依赖的同样工具也可能成为攻击者的入口时？

我每天都深感自己的IT背景带来的恩惠，尤其现在我专注于网络安全领域。它让我拥有务实的视角。当你了解操作系统、应用程序和系统进程在正常运行时的行为时，异常和威胁便会显得格外突出。我在IT的经历也培养了排障和根因分析的思维方式。你会很快意识到必须追根溯源，确保对问题或威胁进行全面界定。

我记得曾大量依赖与今天被威胁行为者滥用的相同工具，例如RMM。亲自部署这些工具后，我深刻体会到它们在IT管理员和攻击者手中都具备的强大威力。由于RMM无处不在，这给安全团队带来压力，必须审视其执行过程中的所有活动。在机器上运行RMM本身并非邪恶。但如果该RMM突然开始投放额外工具或生成陌生脚本，防御者就必须摒弃对可信软件清单的依赖，转而专注于行为观察。

在网络安全领域，AI常被讨论为具备高度自主性的复杂攻击者，但AI的即时影响到底有多少是仅仅让普通网络犯罪分子更快更强？我们是否已经进入一个相对低技能的攻击者也能执行过去需要更深技术专长的攻击活动的阶段？

目前关于自主AI黑客系统的恐慌情绪甚高，但实际情况是这并非新颖的作战手法。这些模型并未使用高度复杂的技术侵入网络。它们所做的正是多年来人类脚本小子们一直在做的——扫描互联网暴露、未打补丁和配置错误的资产。之所以成为头条，是因为“自主AI”这一说法听起来既恐怖又诱人，视听者而定，但这些攻击的实际机制非常基础。

我们面临的实际问题是AI降低了网络犯罪的入门门槛。攻击者可以自动化利用的繁琐环节，并在无需深厚技术专长的情况下扩大规模。这使得低技能攻击者能够更快地发动攻击活动，给企业带来巨大压力。你已经不能再安装一个安全工具后置之不理。组织必须假设其网络始终受到探测。

Huntress观察到攻击者在RMM入侵过程中使用由大型语言模型生成的信息窃取脚本。这向我们说明了生成式AI如何改变网络犯罪的经济性和可及性？

这表明生成式AI正在简化网络犯罪的运营成本。编写信息窃取脚本本身并非新颖技术工作，但传统上需要大量开发者时间或在地下论坛购买专用工具。通过在受害者网络中使用大型语言模型，攻击者可以按需生成功能性、定制化脚本，而无需依赖预制的恶意软件。

虽然访问这些模型仍然需要一定成本，但进入门槛已降至历史最低。我们常见到普通攻击者利用这些工具加快工作速度，省去手动编码的步骤。这根本改变了攻击的经济学，使执行阶段变得极其易得，低技能的行为者无需深厚技术专长即可扩大规模。

Huntress 报告称，远程监控与管理（RMM）工具被滥用的同比增长率达 277%。为何合法的 RMM 平台会成为定制恶意软件的如此有吸引力的替代品？攻击者获得访问后又能获得哪些优势？

RMM 工具本身并没有固有的邪恶性。它们承担着重要职责，帮助 IT 管理员和 MSP 高效工作并支持用户。问题在于，定制恶意软件会被传统杀毒软件检测到，而 RMM 则已签名、受信任，能够绕过常规安全控制。对攻击者而言，更有利的是，RMM 代理天然拥有提升的管理员权限，并提供内置持久化功能，这意味着它们在系统重启后仍保持活跃，无需额外操作即可维持访问。

一旦攻击者在目标机器上运行自己的 RMM 代理，就相当于拥有了远程控制台。他们可以无缝地来回传输文件，并且通常会提前在 RMM 实例中部署好恶意脚本和工具，能够通过一次点击在多个终端上执行。由于该应用本身是合法的，防御者无法仅仅通过阻断该工具来防御。这迫使安全团队不再依赖受信任软件列表，而必须关注行为观察，这使得 24/7 监控成为捕获滥用管理软件的攻击者的关键。

Huntress 记录的一种技术是攻击者将多个 RMM 工具“菊花链”式连接，以碎片化遥测并创建冗余访问。能否为我们讲解此类入侵通常是如何展开的，以及为何防御者难以识别其背后发生的事情？

这里有一个特别有趣的案例，我们捕获后撰写了一篇博客 。入侵始于一封钓鱼邮件，使用了伪造的商务文档诱饵，例如“Network Solutions Agreement”。受害者点击邮件中的链接，进入一个被假 CAPTCHA 阻挡的页面，并下载他们以为是普通 PDF 或服务文档的文件。实际上，下载的是一个可执行的安装程序。当用户双击该文件打开协议时，悄然安装了一个合法但未经授权的远程访问工具——Tiflux RMM。

一旦威胁行为者让初始的 Tiflux 代理运行起来，他们立即利用其内置功能向同一台机器推送并侧载其他工具，如 Splashtop、ScreenConnect 和 UltraVNC。需要说明的是，这些同样都是合法的 RMM 工具。

攻击者这样做是为了建立超级持久性。他们知道如果 IT 管理员发现并卸载了一个未经授权的远程工具，攻击者仍然拥有另外两三个活跃的后门。此策略会碎片化遥测。安全平台只会看到多个已签名的管理应用同时运行并向合法供应商基础设施回报。除非防御者主动监控这些活动，并质疑为何单一终端在同一下午会突然需要安装多个不同的远程管理代理，否则这些行为就会混入日常 IT 维护的噪声中。

除了 24/7 行为监控之外，另一有效的控制手段是端点安全姿态管理和应用控制。如果组织明确规定哪些特定版本的 RMM 被授权在其机器上运行，就可以阻止未批准的工具执行，从而在链条形成之前就将其切断。

传统安全模型常将软件划分为可信和不可信，但 RMM 攻击利用的是可能合法、已签名且已获 IT 批准的工具。这是否意味着防御者需要摒弃“应用是否可信”的提问，转而关注其行为是否可信？

是的，绝对如此。传统的二元信任模型已经失效。二进制签名的初衷是验证应用来自合法供应商，而不是保证其行为安全。

如果攻击者使用已签名的 RMM 二进制文件或活体利用工具，执行文件本身是干净的，但背后的活动却是恶意的。防御者必须超越“此文件是否可信？”的提问，转而关注其行为在上下文中是否合理。RMM 在机器上运行本身并非本质邪恶。但如果该工具突然开始投放额外的实用程序、生成陌生脚本，或在凌晨 2 点以服务账户执行，这就成为妥协的指示。上下文和行为始终重要，而在攻击者如此依赖可信软件的当下，这一点比以往任何时候都更为关键。

随着 AI 缩短了发现漏洞或配置缺口到实际利用的时间，这将如何改变安全姿态管理的角色？组织在身份、端点和远程访问方面应优先解决哪些弱点，以防止攻击者有机会加以利用？

安全姿态管理现在比以往任何时候都更重要，因为它帮助组织主动关闭攻击者每天利用的常见安全漏洞。它通过持续识别和处理诸如错误配置、权限过度、未授权应用以及端点和身份中的其他弱点，来补充检测和响应。当漏洞披露与自动化扫描之间的时间窗口缩短到数小时时，在被利用之前缩小这些漏洞变得至关重要。组织需要在各环境中保持一致且加固的安全姿态，以降低遭遇的事件数量，并限制攻击者在突破防线后能够触及的范围。

虽然几乎所有网络安全供应商都会乐于“教育”（或吓唬）公众，针对他们所销售解决方案的任何威胁或安全领域，但实际的优先级列表只能由各个组织自行确定。每家企业对CIA三要素的不同组成部分赋予不同价值，且每家公司在不同地点存储或访问敏感数据。大多数企业真正需要的建议是评估哪些数据、资产或生产系统对其运营最为关键，然后从这些关键点逆向出发，保护最重要的内容。

人们越来越担心 AI 代理最终能够自主完成攻击生命周期的大部分环节。在自主网络攻击变得比当今的 AI 辅助攻击更具危害性之前，需要提升哪些能力，防御方的准备是否足够迅速？

对自主代理的担忧暗示这是一项未来问题，但我们已经看到它们今天就在执行攻击。然而，这些自主攻击远非完美。以最近的 JadePuffer 勒索软件活动为例。该活动完全由 AI 代理运行，但出现了明显错误。模型产生了幻觉，捏造了勒索信中的假比特币钱包地址。更荒唐的是，AI 忘记保存或传输加密密钥。它仅将随机生成的密钥打印到临时控制台输出后关闭会话，使受害者即使支付也在数学上不可能恢复数据。

从战术、技术和程序的角度来看，现实是自主 AI、自动化脚本和人类攻击者实际上在做完全相同的事。他们仍在利用相同类型的面向互联网的、存在漏洞和配置错误的资产。AI 仍需遵循标准的攻击链，需要先获取初始访问、提升权限、横向移动并执行载荷。在 JadePuffer 案例中，它仅利用已知且未打补丁的漏洞打开入口，然后在网络中蹒跚前进。

由于攻击的核心机制未改变，防御方无需抛弃现有的作战手册。仍然需要分层安全、基本的 IT 卫生以及强大的行为检测。变化在于防御者必须处理事件和分流警报的压力与速度。当 AI 代理出现错误、读取错误日志并在几秒内自我纠正以继续推进时，防御者只能适应如今网络攻击的高速节奏。

攻击者正在采用 AI，但防御者同样可以使用许多相同的技术。您认为 AI 在何处能提供最大的防御优势：检测异常行为、分析遥测数据、优先处理漏洞、自动化响应，还是完全其他方面？

首先，它对蓝队的关联分析极为有效。安全团队并非缺乏数据，而是噪声过多。AI 在从海量信息中挑出关键点、将看似不相关的事件整合起来，讲述完整入侵故事方面非常有用。

其次，AI 为防御者填补技能鸿沟，正如它对攻击者的作用。当初级 SOC 分析员面对高度混淆的脚本或复杂警报时，可以使用大型语言模型即时将其翻译成通俗易懂的语言。这消除了手动逆向工程的繁重工作，使防御者能够更快地进行分流和响应。

最后，超越被动防御，红队和紫队利用 AI 主动测试和验证防御措施的机会巨大。全面、由人工主导的渗透测试仍是必不可少的。但 AI 降低了运行更小规模、原子化测试以验证安全堆栈不同层面的技术门槛。组织无需等到年度渗透测试或在真实威胁出现时祈祷，而是可以利用 AI 安全且频繁地测试自身环境，了解实际会出现哪些破绽。

展望未来，您是否预期网络安全行业将进入一个攻击者和防御者都日益通过自主代理运作的环境？如果是，双方机器能够以机器速度识别并响应威胁时，最终决定优势归属的因素是什么？

AI 正在彻底冲击地下经济。网络犯罪即服务的暗网市场一直依赖出售恶意软件和脚本，因为这些传统上需要专业开发者技能才能制作。AI 通过让低技能的操作者按需生成自己的工具，改变了该生态系统的可及性和经济性。这可能会让大量传统的现成恶意软件供应商失去市场。为什么威胁行为者要在地下论坛上为通用的现成恶意软件付费，而他们可以直接提示大型语言模型按需生成定制工具呢？

当双方都装备了 AI 时，优势归结为基础设施、调优和监管。竞争变成了谁拥有更大的算力预算（谁有更多的 token 可消耗）以及谁拥有调校得更好的模型。对威胁行为者而言，关键是他们的 AI 能否在利用失败时迭代排查、读取错误日志并进行适当的转向。对防御方而言，关键是检测器是否真正调校到位，以及数据管道是否已正确连接，以实时向 AI 提供正确的遥测信息。但更重要的是，这取决于是否有具备业务背景的人类专家参与其中，做出关键判断，例如阅读 AI 对事件的解释并决定是隔离受感染的机器还是将生产系统下线以遏制威胁。

归根结底，AI 并未改变安全的基本原则。表现最好的企业是那些能够持续做好细节的公司。这归结为缩小攻击面、修补漏洞、加固配置、24/7 监控、假设已被攻破并定期主动测试防御。AI 只是加速器。谁能更快、更一致地执行这些基础工作，谁就会赢得竞争。

感谢这次精彩的访谈，想了解更多的读者请访问 Huntress。