熊刚院士：蛛丝马迹识“僵尸”

聊天软件盗号诈骗事件层出不穷，如何辨别屏幕另一端是本人还是冒名顶替的“僵尸”？

有那么一群人的工作是专门找出这些“僵尸”。熊刚就是其中一员。

作为中科院信息工程研究所（以下简称信工所）研究网络行为分析与对抗的科研人员，熊刚与同事一起在繁杂数据中寻找蛛丝马迹，在众多重大网络信息安全场合挺身而出，用网络行为分析技术撑起网络空间安全的防护网。

面对日益隐蔽复杂的安全挑战，熊刚总结出“胜任秘诀”：“要有精湛的技术、快速掌握新知识的学习能力，以及好奇心、持续积累、饱满热情、健康体魄，更要有身为党员的责任和担当”。

没有硝烟的战场

中国有全球最大规模的网络用户，网络和人民生活的融合也越来越深，中国面临的网络信息安全问题也独一无二。

熊刚告诉《中国科学报》记者，网络空间已经成为国家间博弈的新战场。而网络信息对抗是网络空间安全中最重要、最具挑战的领域之一，网络行为分析技术能够很好地支撑网络信息对抗工作的需要。

然而，识别网络中的异常行为并非易事，具体工作庞杂而细碎。熊刚指出，以行为测量与分析为例，首先要建立行为基准，测量类型、规模、大小、时间、关联度等各种指标，通过长期积累的各种知识，利用人工智能的方法，找出异常行为，样本量越大精度越高。

熊刚告诉记者，要想识别盗号“僵尸”，可以通过登录行为区分——正常情况下，用户登录后会产生查看好友列表、点击对话框等行为，从而产生字节和数据包。而“僵尸”登录成功，会立刻退出，转而破解其他账号密码，产生的数据量就特别小。

有时候，检测异常行为还会被对方察觉，“僵尸”会再次伪装。把这些貌似正常的异常都找出来，就是熊刚与同事们的任务。

从打击“窃隐私、养小号、薅羊毛”网络黑产，到为国家重大网络安全场合保驾护航，面对层出不穷的网络安全事件，熊刚与同事们奋战在互联网前线已有16年。

“网络信息对抗的实质，已从国家间资源的对抗，过渡到人与人之间的对抗。”熊刚告诉记者，“黑客是一群人，检测黑客的是另一群人，这种对抗是没有硝烟的，人们想在网络上自由地购物、正常地交流，就得有人来做网络信息安全的工作。”

应对挑战的底气

成为网络行为分析与对抗专家并非一朝一夕之功，多年的网络行为分析与对抗经验让熊刚与同事屡次在重大安全场合“施展拳脚”。

参与国家信息安保工作时，熊刚经常负责设计并维护各类安全系统平台。APEC、全国两会、国庆60周年……这些举国瞩目的场合背后，都有熊刚与同事们防守在网络信息安全的第一线。

加密通信、数据云存储、云计算等技术能够帮助提高信息安全等级，但在加密条件下借助“云端”的网络攻击也更加隐蔽。为了更快、更准地在海量数据中寻找蛛丝马迹、排除安全隐患，他曾创下3个月内更新系统百余次的纪录。

熊刚告诉记者，信息安全领域永恒的热点就是“检测未知的危险”，因此比起被动防御，更需要主动感知，在发生大规模异常行为前，就主动发现威胁。

身为信工所网络行为分析与对抗团队负责人，熊刚长期承担国家重大科研任务，率领团队完成了80余项国家信息安全保障课题，获得了国家科技进步奖二等奖和信工所重大科技进展奖。

为什么敢解决他人无法攻克的难题？熊刚表示，首先要将实际需求和科研问题实实在在地结合起来，其次要永远保持学习态度。 “信工所作为网络信息安全的‘国家队’，我们的工作对知识的体系化要求很高，需要长期的积累和努力才能系统化地掌握网络行为学的知识体系；此外，出来新型网络架构和机制，我们必须第一时间研究和掌握。互联网快速迭代更新与演进，我们也要快速响应。”熊刚说。

“老党员”的坚持

很难把一个常年对着电脑的工程师，和一个户外定向越野“牛人”联系在一块儿，熊刚就是这样的存在。

在他的推荐下，信工所已连续多年举行“定向越野暨探寻革命历史遗迹”活动，熊刚带领的队伍多次拿冠军。

研究生崔明鑫告诉记者，每次组队，熊刚都“很抢手”：“他记忆力特别好，识图能力很强，每次他都会提前规划路线，比赛一开始就绝尘而去。”

熊刚认为，网络信息对抗的特点之一是拼时间、精力和体力，所以他积极鼓励学生参加体育活动。他自己能16年如一日奋战在网络信息安全的战场上，也得益于强健的体魄。

“遇到比较急的任务，熊老师能加班能熬夜。”熊刚的同事曹自刚告诉记者，有一年响应重大任务时，经常看到他凌晨三五点下班，早上9点多就又来上班了。

“有段时间我特别焦虑，熊老师有天陪我聊到夜里11点多，聊完我开开心心回去睡觉了，结果第二天早上看到他凌晨4点发送的工作邮件，那一刻真是又愧疚又敬佩。”崔明鑫说。

在网络信息安全科研工作中，会接触形形色色的观点，作为大二就入党的“老党员”，熊刚在平时工作中坚定党性，将党员的先锋模范作用贯彻到网络信息对抗中。“这份工作要打起十二分精神，充满了责任与担当。”熊刚说。