Equifax 数据泄露与 WannaCry 勒索软件爆发暴露出现有事件响应体系在检测时效、取证深度与跨组织协作上的系统性短板。2017 年 9 月 9 日至 11 日，FIRST 亚太区域研讨会在台湾台中举行，作为 APNIC 44 会议的一部分由 APNIC 主办，汇聚约 50 名安全响应团队成员与分析师，旨在建立可信论坛共享实战经验、探讨攻击根因对策，推动响应流程从被动处置向主动溯源与智能化转型。
网络取证实战与基础能力建设：
会前两天由 JPCERT/CC 讲师主讲的“面向事件响应者的网络取证”研讨会，系统传授网络包捕获分析的最佳实践。参与者通过实操掌握流量重组、异常会话识别与证据保全技术，夯实事后溯源的数据基础。全会环节遵循保密原则，多数技术细节不公开披露，但这种“楚塔姆宫规则”下的小范围交流，确保了敏感攻击指标与处置细节在可信圈层内高效流转，弥补了公开情报源的滞后性。
邮件认证与基础设施防护机制：
全球网络联盟（GCA）的 Adnan Baykal 介绍了 DMARC 推广进展。该机制通过校验邮件发送域与 SPF、DKIM 记录的对齐状态，判定消息真伪；对未通过对齐检查的邮件，接收方可依策略拒收、隔离或标记。Baykal 同时推荐 GCA 免费 DNS 服务，利用威胁情报实时屏蔽与恶意软件、钓鱼活动关联的域名解析，在终端接入层前置阻断已知恶意基础设施，降低钓鱼邮件落地概率。
威胁演变与响应范式转型：
CSIS Security Group 的 Yurii Khvyl 梳理了 Dyreza、Ramnit、Shylock 等银行木马的迭代脉络，揭示模块化、服务化趋势下传统特征匹配失效的现状。Team T5 Research 通过 APT 攻击案例复盘，指出传统“检测-遏制-清除”线性流程难以应对长周期潜伏与横向移动。CyCarrier 的 Jeremy Chiu 强调需引入人工智能辅助异常行为建模，缩短未知威胁的发现窗口。Trend Micro 的 Lenart Bermejo 则披露中东地区威胁行为体的目标选择与攻击技战法，为区域性威胁画像提供参考。TWNCERT 的 Charming Lin 概述了区域安全形势加剧下的应对工作重心。
对网络与运维工程师而言，这场研讨会传递的核心信号明确：必须在骨干网与接入层部署全流量留存与自动化取证能力，强制推行 DMARC 与受信 DNS 解析，将 AI 辅助分析纳入 SOC 日常运营，并主动加入 FIRST 等可信社区获取一手攻击指标。唯有补齐取证技能、固化基础设施防线、重构智能化检测流程，才能在下一波规模化攻击到来前完成防御体系的代际升级。
原文: APNIC Blog（2017-09-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog