还网络世界一片阳光，安全大牛变身“机械战警”

，并不是自动化程序可以防御的。比如弱口令，黑客一旦掌握了网络口令，我们是没有办法阻止一个使用正确密码登陆的。另外，有一些漏洞在没有登录权限的情况下，是无法被自动化工具检查到的。

叶敏和团队总结了一百多种黑客入侵的奇葩方式，然后把这些方式的对抗方法做成自动化的规则输入到阿里云盾中。

当然，福尔摩斯不仅是能够发现案件，最大的功力在于：可以抓到凶手。

我们的工作是训练机器可以读取日志文件。针对一个 Webshell，根据日志的时间，查看 Webshell 产生前一秒，是否有某一个 Java 漏洞被利用，而这个漏洞被利用的同时，网络上产生了什么流量，这个流量是哪里发出来的。

这，就是叶敏训练"机器战警"的方法。

机器卫队

机器福尔摩斯，从某种程度上说是一个失败。因为福尔摩斯发现问题的时候，往往黑客已经成功植入后门。在一切都没发生之前，你需要一个"机器卫队"。

一个正常访问者和恶意访问者的动作和频率都是不一样的，这就让自动化判断成为了可能。

当然，世界上已经存在众多自动化的网络防火墙。不过叶敏想要用更加智能的方法改进防火墙。

以往的防火墙往往使用规则识别，我希望研发一个纯数学模型来识别web攻击。例如一段URL，有经验的安全员看到这些数字和字母就基本能够判断它的危险性。所以我希望机器也能做到。

我们把这些数字和字母的参数样本交给机器，让它自己去学习，这样它就可以学习出一个模型，用来识别攻击。

目前在阿里云上，基于规则的防火墙和基于数据的防火墙在同时运行，两个系统存在一些差异，互相可以检查出对方的误报和漏报。

改进这套系统，也是叶敏近期的重要工作之一。

机器鉴别师

现在，需要回答一个悬而未决的问题。那就是如何用自动化程序判断一个 IP 究竟是不是"撞库 IP"呢？

叶敏告诉雷锋网(搜索"雷锋网"公众号关注)，他和团队设计了一套系统。让所有的流量经过一个分析系统，把其中所有的登陆请求抽取出来，放到数学模型里计算。这个数学模型里，有诸多筛选条件：

登录频率的分布；

用户名、密码的特征；

IP的信誉度。

这些条件，恰恰可以筛选出一个 IP 究竟是出口IP、CDN IP还是个人 IP。这就为阻断撞库行为提供了非常精准的情报。

当然，尊崇技术的叶敏同样承认，机器判断会存在误判的可能。不过他表示，这个系统的准确率应该是非常高的。

我们用来判断准确率的一个重要指标就是用户的投诉率，虽然在系统开始运行的时候，会有用户投诉被"误杀"。不过最近几个月我们都没有接到误杀的投诉了。

独门必杀技--大数据

在偌大的云版图上，黑客武器和叶敏研发的"机器战警"上演着旷日持久的战争。

等等，好像还有一件事没有解决。你还记得文章开头的那些僵尸网络和它们背后的巫师吗？即使把黑客控制的服务器全部"解救"，仍然难以阻止黑客本人法外逍遥。

你别忘了，全网30%的网站都在阿里云上。

叶敏不无骄傲。这个数据是阿里云的必杀王牌。

由于使用阿里云服务的企业众多，所以这些被黑客控制的"肉鸡"很大概率也处在阿里云上。通过分析肉鸡的流量和行为，加上我们的秘密技术，就可以感知到控制方的来源。

叶敏告诉雷锋网，对于200G流量以上的 DDoS 攻击，已经有90%可以定位到控制端。这些都是通过自动化的工具完成的。"去年我们总共溯源了30起 DDoS 攻击，其中80%-90%都找到了背后具体的人。"

神秘巫师的面纱被无情地撕下，这是一场技术的胜利。

实际上，这是一个典型的大数据应用场景。每天有无数黑客攻防战争发生在阿里云的地盘上，这些数据可以被汇总，成为一个 IP 信誉库。在大数据库中，每一个 IP 都会有相应的黑白标签。

在这个"机械战警"心里，来人究竟是人是鬼是妖是魔，也许早就有了定论。

以上这些，都是叶敏和团队在进行的前沿研究，这些技术正在试错和完善中。

叶敏为雷锋网描绘了一幅场景：

当一个访问者出现，我们能立刻拿出一个IP画像，包含了他的所有属性，他历史上有没有过恶意行为，他的惯用攻击手法是什么。通过分析他的访问行为，再结合当前业务，我们能判断出攻击者的意图，他是想拉数据还是想控制服务器。并且及时阻止这种情况发生。

不需要太久的时间，我们就能实现，他说。为了网络世界的阳光普照，像叶敏一样的安全大牛任重而道远。