InForSec学术论坛@清华大学
互联网人身攻击、漏洞挖掘与白帽黑客的未来
主办：清华大学网络科学与网络空间研究院
协办：网安国际论坛（InForSec）
时间：3月22日（周五）上午9:00~12:00
地点：清华大学FIT楼二层多功能厅
会议日程
演讲人及演讲内容摘要
1.演讲人： 王若愚 亚利桑那州立大学（Arizona State University）助理教授
演讲主题： 为什么挖洞这么难？兼谈如何利用抽象信息提升漏洞挖掘效率
内容摘要：在二进制程序分析领域，漏洞挖掘是一个经久不衰的关键问题。现有的自动化漏洞挖掘技术多种多样，但很多技术都有一定的不足，主要体现在以下三个方面：分析速度慢、程序状态空间覆盖率低、自动化程度差。这些不足之处影响了自动化漏洞挖掘技术在现实中的广泛应用。因此，漏洞挖掘在可见的未来仍将是二进制程序分析领域的重点和难点。
目前大部分二进制程序分析技术都聚焦于底层代码。我们认为，一个潜在的研究方向是利用抽象信息引导底层代码分析以提高分析速度和状态空间覆盖率，这些抽象信息有些可以通过自动化的程序分析获得，有些可以利用人的先验知识由分析人员提供。本报告将首先介绍当前自动化漏洞挖掘技术的主要不足，并探讨这些技术应用在现实目标时的主要难点和挑战。随后，本报告将讨论自动分析结果、抽象信息及人类提供的先验知识有机结合，以提升漏洞挖掘效率的可行性。最后，本报告将展望未来的研究方向。
演讲人简介:王若愚是亚利桑那州立大学（Arizona State University）的一名助理教授，主要研究方向是二进制程序分析，包括漏洞挖掘、漏洞利用、程序修补等。他是二进制分析平台 angr 的共同创始人与核心开发者之一。他的论文曾发表在 Security and Privacy、USENIX Security、CCS、NDSS 等会议上，并获得过两次会议最佳论文奖。他是一位非著名 CTF 赛棍，曾经是 Blue-lotus 的一员，现在是 Shellphish 的核心成员，专攻逆向工程类题目。他还是 Shellphish CGC 团队的成员，在 2016 年 DARPA Cyber Grand Challenge 决赛上夺得了第三名。
2.演讲人：Damon McCoy 纽约大学工学院助理教授
演讲主题：互联网上的仇恨、骚扰与滥用——问题、挑战与研究成果
内容摘要：互联网将人们“连”在了一起，这对人的影响既有积极的一面、也有消极的一面。网络连接所带来的负面影响正变得越来越明显，并受到了学术界的高度关注。过去对这些的负面影响的研究多为社会科学家发起，仅限于定性分析。其中，多项研究成果强调了在线骚扰和仇恨团体所带来的危害。但是，对该类问题的定量分析却鲜有进行。本次分享中，Damon Mccoy教授将介绍利用数据分析了解在线骚扰现象的方法，并就大规模分析该类问题所面临的挑战，及在工业界真实部署所得到的反馈进行重点分析。
演讲人简介：Damon McCoy是纽约大学（New York University）Tandon工程学院计算机科学系的助理教授，于科罗拉多大学波尔得分校获计算机科学博士学位。他的研究主要集中在网络测量与数据驱动安全，近年来的研究方向包括互联网地下产业监测、匿名通信。他的多项研究成果发表在国际网络和系统安全四大顶级学术会议上，曾获得IEEE S&P最佳应用论文奖、ACM MobiSys最佳论文奖。他还是美国国家科学基金会杰出青年教授奖得主（NSF CAREER Award），曾入选计算机创新人才研究员项目（CRA/CCC Computer Innovation Fellow）。
Damon McCoy: http://damonmccoy.com/
3.演讲人： Yan Shoshitaishvili 亚利桑那州立大学助理教授
演讲主题：如何成为一名“白帽”黑客？共话网络空间安全的现状及未来
内容摘要：信息时代的高速发展使我们进入了一个全新的，互联的，未知的世界。 在这里，我们能够通过数据包穿越数字海洋，与大洋彼岸的另一端陌生人建立联系。通常来说，我们相信所在的网络空间是安全的。 但与其他未知的领域一样，网络空间也面临很大“不确定性”。
黑客既是数字时代的不确定因素，有维护安全的“白帽子”，也有进行破坏的“黑帽子”。 如何招募和培训“白帽”黑客，是当前网络安全社区面临的一项艰巨挑战。本演讲将与大家探讨非专业人士学习安全技术的方法，就安全领域现有的资源及未来发展进行探讨——是用智能的AI算法取代我们所有人、还是会有全新的、未知的自主黑客系统……与其他未知的边界一样，存在“不确定性”。
演讲人简介：Yan Shoshitaishvili是亚利桑那州立大学（Arizona State University）的助理教授，主要研究领域为自动化漏洞挖掘。基于开源二进制分析平台angr（Yan是共同创始人），他搭建了一套全自动黑客系统。并将该研究成果应用于黑客竞赛中，带领Shellphish团队参加DARPA举办的CGC人机漏洞挖掘对抗赛。在研究之余，他还活跃在黑客竞赛中，曾担任Shellphish（世界上最早的黑客比赛队伍之一）的队长。近期，他还参与成立了oooverflow团队，负责举办世界上最著名的黑客竞赛DEFCON CTF。此外，他还定期回答安全技术爱好者的问题，帮助他们成为一名合格的黑客。
