Black Hat 2017熱點之資料取證與事件回應

更多全球網路安全資訊盡在E安全官網www.easyaq.com

E安全7月24日訊美國黑帽大會（Black Hat USA）創辦於1997年，被公認為世界資訊安全行業的最高盛會，也是最具技術性的資訊安全會議。大會每年吸引全球來自100多個國家的超過1萬5千名專業觀眾參與、250多家展商進行產品展示和商務交流，同期更有180多位知名演講嘉賓帶來技術乾貨以及主辦方精心策劃的幾十場專業培訓。黑帽安全技術大會始終保持中立和客觀的態度，通過不同的現場活動，著眼於最快最好地提出問題的解決方案和操作技巧，始終引領安全思想和技術走向，

成為資訊及網路安全、電腦/電信、金融服務、民用及軍用防禦系統，行業機構，企業以及政府每年必參加的資訊安全行業活動首選。（E安全注：Jeff Moss 在1993年創辦 Defcon， 1997年創辦Black Hat並於2005 年將Black Hat以1400萬美金賣給 CMP Media。）

Black Hat USA 2017

今年的黑帽大會在美國內華達州拉斯維加斯曼德勒海灣度假酒店舉行。

會議包含幾大特色：

簡報（Briefings）：瞭解資訊安全風險和最新趨勢。安全專家將分享開創性研究、開源工具、零日漏洞，此外還會發佈最新的攻擊和防禦研究。

工具庫（Arsenal），獨立研究人員和開源社區將展示最新的開源工具和產品。 Arsenal在開放的對話環境中現場演示工具，講解者能與參會者互動提供實踐經驗。

商業廳（Business Hall），超過1.5萬名資訊安全專業人士齊聚一堂評估Black Hat主辦方提供的一系列工具和產品。 2017年開辦的商業廳將會為參與者、供應商等提供更多機會。

據Black Hat官網發佈的資訊顯示， Black Hat USA 2017將通過四天的技術培訓（7月22日-7月25日）拉開帷幕，此後會舉辦為期兩天的主要會議（7月26日-7月27日）。

更多Black Hat USA 2017相關資訊請關注E安全

7月22-24日

7月25日

7月26日

7月27日

培訓

培訓+首席資訊安全官（CISO）峰會+Day Zero

論壇演講+展覽+Arsenal+職業發展論壇+Pwnie Awards頒獎典禮

論壇演講+展覽

為期六天的大會將提供培訓、演講、業務拓展和人才招聘等眾多機遇，滿足不同參會人士的實際需求。

其中，首席資訊安全官（CISO）峰會將邀請全球最知名的網路資訊安全專家和領導者，從執行層的角度和觀點去闡述關於安全技術、資源和技術的發展和需求，來滿足商業發展的步伐。隨著商業領袖需求應用發展週期的加速，隨著客戶和雇員對數位裝置需求的提高和多元化，如何提升安全技術和資源顯得越來越重要。作為企業首席資訊安全官，也必須全面、精細地瞭解，以此來更好的為企業創造價值、保駕護航。

Arsenal，將是世界上唯一能夠為用戶提供與最厲害的駭客交流的機會，

並能見到客戶一直以來很依賴的安全設備的作者。在主辦方指定的現場區域，將見識到多名獨立研究者和開源社區的演示。職業發展論壇是為了幫助一些個人擁有他們在資訊安全領域職業生涯快速發展的更好機會，並作出關於職業發展更精准的決策，對於如何利用自己的技術優勢去強化自己的職業發展作出更好的引導。

數位取證與事件響應課程與產品

強大的資料取證和事件回應能力對檢測和緩解網路攻擊至關重要。多個訪問點、移動和聯網設備融合以及海量資料使得這項工作十分艱巨。今年的黑帽大會將呈現資料取證與資料響應跟蹤相關培訓、介紹和Arsenal工具。以下為今年黑帽大會幾大備受期待的數字取證與事件響應課程與產品：

數位取證與事件響應

這次黑帽大會將通過“數位取證與事件響應”培訓深入探究基本取證方法。培訓者使用現實世界的調查補充理論解釋，並廣泛瞭解程式，提升技能。在為期四天的培訓課程（7月22日-7月25日）中，培訓者可以綜合瞭解檔案系統理論、應用分析、電子郵件和照片取證、事件日誌審查等知識，並瞭解Windows 8、Windows 10和其它作業系統的數位取證與事件回應。

Windows企業事件回應

“Windows企業事件回應”（7月22日-7月23日）將介紹最新的Windows調查工具。實驗室和類比攻擊提供操縱Windows系統和伺服器的直接體驗，同時提供能用於任何系統的自我調整技術。培訓將初始分析和查詢轉移到單個系統和企業環境中的發現與回應。課程覆蓋了入侵過程和緩解的分析、記錄與宣傳，從而以全面的視角瞭解威脅形勢。

網路取證：持續監控與測量

“網路取證：持續監控與測量”培訓（7月22日-7月25日）將介紹相關工具，並幫助培訓者瞭解如何提取並保存安全、隔離環境中的網路證據。課程依賴培訓者對TCP/IP網路和Linux系統的瞭解防止社會工程攻擊，並接收網路取證專家專為網路取證培訓者設計的全負荷取證工作站。

撤銷-混淆：借助學科實現PowerShell 混淆檢測（與規避）

“撤銷-混淆：借助學科實現PowerShell 混淆檢測（與規避）”（Revoke-Obfuscation: PowerShell Obfuscation Detection (And Evasion)：7月27日|5:00pm-6:00pm）將解決PowerShell漏洞，以及逃避嵌入式安全和惡意利用的機會。雖然PowerShell配備了反惡意軟體檢測工具，但多個規避途徑仍能使攻擊得逞。研究人員介紹了撤銷-混淆---利用統計分析、字元分配和命令調用檢查的PowerShell框架，並發佈了檢測混淆的新技術。

Ochko123---美國政府如何抓捕俄羅斯駭客羅曼·謝列茲尼奧夫

“Ochko123---美國政府如何抓捕俄羅斯駭客羅曼·謝列茲尼奧夫”（Ochko123 - How the Feds Caught Russian Mega-Carder Roman Seleznev：7月26日| 4:00pm-4:50pm）將分享追蹤謝列茲尼奧夫的方法。這名俄羅斯駭客因參與一系列網路計畫導致美國企業損失逾1.69億美元被判27年監禁。安全專家將通過該主題介紹調查人員獲取證據使用的工具和過程，並類比追蹤數位足跡，以及美國聯邦政府具備的許可權以及NSA使用的工具。

海量資料使事件檢測與回應複雜化。黑帽大會Arsenal將通過開源工具提升取證分析和回應能力。

CyBot---開源威脅情報聊天機器人

CyBot---開源威脅情報聊天機器人（7月26 | 4:00pm-5:20pm）：以低於35美元的價格匯總多個端點的資料。

DefPloreX---大規模網路犯罪取證的機器學習工具

DefPloreX---大規模網路犯罪取證的機器學習工具（7月27 | 1:00pm-2:20pm）：使用機器學習和視覺化技術匯總開源庫的資料，從而提供事件、攻擊和漏洞的即時資訊。

Yalda---自動批量智慧收集工具

Arsenal還將介紹一款工具Yalda---自動批量智慧收集工具（7月26日 | 10:00am-11:20am）：説明使用者借助自動化掃描、測試和編目檔擴展資料採擷。

E安全推薦文章

官網：www.easyaq.com

2017年7月

培訓者可以綜合瞭解檔案系統理論、應用分析、電子郵件和照片取證、事件日誌審查等知識，並瞭解Windows 8、Windows 10和其它作業系統的數位取證與事件回應。