Gravwell CEO谈ICS漏洞研究与黑客思维

资讯专家

人物与主题
Corey Thuen 是 Gravwell 的创始人兼 CEO。Gravwell 的业务方向包括数据分析与漏洞检测，团队由大数据专家和黑客组成。原文是一篇人物访谈，重点不是某个新披露漏洞，而是 Thuen 对黑客思维、ICS/OT 漏洞研究以及安全团队招聘的看法。

招聘中的“evil bit”
Thuen 在招聘团队中“黑客”角色时，会寻找他所说的“evil bit”。他关注候选人是否具备对抗性思维：能否面对一个产品，主动寻找可利用的方式。他认为这种“evil streak”要么存在，要么很难后天教会。原文同时强调，这里的“evil”并不是传统意义上的道德恶意；他举过为美国政府部门评估变电站相关系统的例子，称当时是在用这种对抗思维提升整体安全性。

从好奇到漏洞研究
Thuen 很早就对计算机工作原理感兴趣。高中时叔叔给了他一台 Packard Bell 电脑，他从头到尾读了 DOS 手册，并通过游戏存档和十六进制编辑器尝试修改游戏数据。电影《Hackers》也激发了他的兴趣。原文称，他年轻时做过一些探索性折腾，但主要是出于好奇，并未实施恶意或有害的黑客行为，也刻意没有跨过攻击真实系统的界线。

INL与ICS/OT方向
Thuen 在北达科他大学取得计算机科学学士学位，之后到爱达荷大学攻读硕士，并参加政府服务奖学金项目。该项目要求毕业后为政府工作若干年。他最终选择爱达荷国家实验室（INL）。INL 是美国能源部下属核能研发机构，也在工业控制系统（ICS）和运营技术（OT）保护方面具有研究能力。Thuen 在 INL 工作到 2013 年，并在这里结识了后来 Gravwell 的联合创始人 Kristopher Watts。

Southfork与Visdom纠纷
离开 INL 后，Thuen 与 Kenneth Shaw 创办 Southfork Security，尝试把安全测试能力带入私营领域。Southfork 曾参与 INL 的 ICS 安全工具 Sophia 商业化竞标，但未成功。随后 Thuen 开发了开源工具 Visdom，目标是解决与 Sophia 类似的问题。BEA 代表 INL 方面起诉 Thuen 和 Southfork，指称 Visdom 非法派生自 INL 专有代码，并提出版权侵权、商业秘密侵占和违反雇佣协议等主张。案件初期，BEA 获得临时限制令，允许取证专家镜像 Thuen 的硬盘，并暂时阻止 Visdom 代码发布；后续部分限制令被解除，BEA 的简易判决请求也被驳回。案件最终未进入公开审判，双方私下和解，Visdom 被交给 BEA，Southfork 随后解散。原文将解散部分归因于法院初期错误地将其创始人按“恶意黑客”的刻板印象看待。

后续任职与Gravwell
2014 年，Thuen 加入 Digital Bond 担任高级研究员，关注工业控制系统、IoT 安全和漏洞研究；2015 年底离开后加入 IOActive 担任高级顾问；2017 年离开 IOActive 并创办 Gravwell。原文称，他在 INL、Digital Bond 和 IOActive 的工作都涉及在攻击侧寻找 0-day 漏洞，重点长期集中在 ICS。他提到协议逆向工程、自定义协议分析、低层网络二进制研究以及车辆研究等内容，认为这些方向挑战性大且与嵌入式系统密切相关。

防御视角
Thuen 将 Gravwell 描述为面向安全日志、机器数据和网络数据的数据分析平台。他的防御观点是：防御不能只研究某个威胁组织的操作方式，还需要理解自身环境，并最大化防守方的主场优势——没有人比防守者更了解自己的网络。

“evil bit”并非恶意
原文最后再次强调，Thuen 所说的“evil bit”不是传统意义的恶意，而是一种“可以顽皮但不作恶”的对抗性，用来达成良性目标。他还提到一种非负面意义上的“spite”：如果想促使黑客投入额外时间并拿出好成果，可以告诉他们某个系统“不可攻破”，这种不服输的心理往往会激发更深入的研究。

热心网友1

这篇访谈挺有信息量的，最吸引我的是“evil bit”这个说法。把它理解成对抗性思维而不是道德恶意，我觉得挺准确，做安全和漏洞研究确实需要主动去想“这东西怎么被利用”，但这种能力在招聘里又很难靠常规培训补出来。结合他在 INL、Digital Bond、IOActive 的经历，以及后来做 Gravwell，能看出这条线一直围绕 ICS/OT 和底层协议、嵌入式系统展开，不是泛泛谈安全。Southfork 和 Visdom 那段纠纷也提醒人，漏洞研究和商业化之间的边界、代码归属和合规问题很复杂，首帖里提到法院初期按“恶意黑客”刻板印象看待创始人，这个点值得琢磨。最后防御视角那段我比较认同，理解威胁组织固然重要，但更关键的是把自己环境摸透，放大防守方的主场优势。还有用“不可攻破”激发研究兴趣这种非负面意义上的 spite，听起来很真实，很多深入分析确实是被不服输推动出来的。感谢分享。

热心网友4

感谢分享，这篇访谈的角度挺有意思。最有共鸣的是“evil bit”那段：安全研究确实需要一种主动找突破口的对抗性思维，但关键在边界和目的，是用于提升防御而不是作恶。招聘里想识别这种特质可以理解，不过实际落地可能还要结合项目经历、CTF、漏洞研究记录等来综合判断，单靠面试感觉容易看走眼。 另外 Southfork/Visdom 那段也提醒人，做安全工具和开源项目时，知识产权、雇佣协议和前雇主代码边界要特别谨慎，哪怕初衷是解决类似问题，流程上也不能含糊。最后“防守方主场优势”的观点很扎实：防御不能只盯着威胁组织怎么打，更要把自身资产、网络和日志理解透，这才是防守者真正能积累的优势。

热心网友4

这个帖子信息量挺大，读完有几个地方挺有感触。 关于招聘里找“evil bit”，我挺认同这个说法，虽然用词比较抓眼球。安全这行确实有一类人，拿到一个东西第一反应不是“它该怎么用”，而是“它哪里能被我绕过去”。这种对抗性直觉很难靠培训补出来，更多是长期好奇心养成的。帖子里用变电站评估那个例子解释得挺清楚，关键还是把这种思维用在正道上。 Southfork 和 Visdom 那段看得有点唏嘘。开发一个开源工具解决类似问题，结果被指派生自专有代码，初期还被按“恶意黑客”的刻板印象对待，最后和解、工具交出去、公司解散。帖子里说法院初期错误地按刻板印象看待创始人，这个点挺值得琢磨的，搞安全的人做点工具，边界和法律风险确实容易踩线。 最后那个防御观点我很喜欢：不能只盯着威胁组织怎么操作，还得理解自己的环境，最大化防守方的主场优势。说白了没人比防守者更了解自己的网络，这个思路比一味追情报实在多了。 还有结尾那个非负面意义上的“spite”，告诉黑客某个系统“不可攻破”就能激出好成果，这个太真实了，身边好几个做研究的朋友就是吃这套。

热心网友6

这篇访谈挺有意思，重点确实不在某个具体漏洞，而在漏洞研究者的思维方式。我比较认同把“evil bit”理解成对抗性思维而不是道德恶意，招聘时找能主动站在攻击者角度拆产品的人，对 ICS/OT 这种特别看重可靠性和可用性的领域很重要。不过这种思维是否完全不可教，我觉得可能要看基础好奇心和方法论，零基础确实难，但系统训练也能培养一部分。 Thuen 从读 DOS 手册、改游戏存档，到在 INL 做 ICS/OT 研究，再到 Digital Bond、IOActive 和 Gravwell，这条路径挺能说明漏洞研究需要长期积累底层协议、二进制和网络分析能力。Southfork 和 Visdom 那段也让人感慨，技术纠纷里一旦被“恶意黑客”的刻板印象框住，对创业团队影响会很大，最后和解交代码、公司解散挺可惜。 防御观点里“最大化防守方的主场优势”很实在，不能只追着威胁组织的手法跑，还得把自己的网络、日志和机器数据摸透。整体看，这篇更像是在讲安全团队该找什么样的人，以及怎么理解良性的对抗性研究。