<mark id="oztn4"></mark>
1
“小時候我總是糾結要上清華還是北大，后來發現原來是我想多了。。。。”
長大后的我又發現，比這個段子更可怕的是——如何加入中國頂級黑客戰隊藍蓮花。
摸著良心說，這支黑客戰隊絕對不止“中國頂級”，用“世界知名”形容也不為過。
它的名字絕大多數安全從業者都聽過，百度百科上對它的收錄是“藍蓮花（Blue-Lotus）戰隊是一支源自清華大學的網絡安全技術競賽和研究團隊，是中國參與 CTF（Capture The Flag）網絡安全技術競賽成績最為突出的一支國際知名戰隊。2013 年成為華人世界歷史上首支成功闖入 DEFCON 黑客大會 CTF 全球總決賽的隊伍。。。”
因為這支戰隊太過厲害，百度想了想，又不能把戰隊買走，所以這幾年以贊助冠名的方式在其前面冠上了“百度－藍蓮花”的名號。
藍蓮花不只被一家互聯網巨頭盯上。藍蓮花戰隊最早由清華大學網絡與信息安全實驗室老師和學生組成，從這支戰隊“畢業”的隊員幾乎被安全圈哄搶，有的以“阿里星”的身份被阿里招入麾下，有的進入騰訊安全聯合實驗室，或者干脆組隊創業，幾年內搞出了頗有名氣的安全創業公司。
不過，人要是沒有夢想，和咸魚有什么區別。
最近，雷鋒網宅客頻道編輯遇到了藍蓮花戰隊的創建者之一、清華大學副研究員諸葛建偉，向他咨詢了這個問題——如何才能加入藍蓮花這種中國頂級黑客戰隊？
2012 年之后，藍蓮花戰隊吸收過浙大、上交、復旦、成信等國內其他高校學生，及阿里巴巴、綠盟等公司成員加入。
也就是說，只要技術足夠牛，加入藍蓮花不是夢。
比如，兩年前在知乎上也有這么一個提問：怎么才能進入清華藍蓮花戰隊？感覺只要在知乎上聯系隊員朱文雷、楊坤等人，并用技術征服他們就好（就這么說一下，要征服他們估計不容易）。
但形勢不一樣了，想通過上知乎聯系戰隊大牛加入藍蓮花應該是不可能了（僅為編輯猜測，歡迎已經畢業的朱文雷來打臉）。
現在由于 CTF 比賽很多，各大高校都組建了自己的 CTF 戰隊，藍蓮花戰隊也日漸趨向于由清華大學本校成員構成，而且諸葛建偉告訴編輯，一般是由“清華大學研究生”組成，正式隊員不到 20 人，因為“清華大學網絡安全學科申請了碩、博士點，本科專業屬于清華大學整個信息類學科中，沒有設立單獨的網絡安全本科專業”。
所以，要想加入藍蓮花，第一步是先考上清華的研究生？？？
不不不，在清華大學，有一個學生自發創辦和管理的學生社團，在“百團大戰”等活動中，會吸納學生入會，通過清華大學舉辦的校園賽，除了加入這個協會，還可能入選清華大學的“紫荊花”戰隊，這支隊伍主要參加國內信息安全類競賽，在紫荊花戰隊中表現優異的學生可加入藍蓮花戰隊，主打國際賽和國際外卡賽。
小小科普一下，所謂外卡賽，是指 DEFCON 黑客大會每年會給其認定的國際強隊派發進入 DEFCON 黑客大會 CTF 總決賽的資格，這些強隊會舉辦比賽來遴選參賽隊伍，尤其因為近年來 DEFCON CTF 不限制參賽隊伍的人數，很多參加外卡賽獲勝的隊伍可能以聯隊名義參加總決賽。
不過，就算是紫荊花戰隊的優秀隊員，基本上每年也只有兩個人可進入藍蓮花戰隊。
［諸葛建偉］
諸葛建偉的目標，不是把每個人送進藍蓮花。
2013 年，藍蓮花的創建者諸葛建偉與段海新等人創立了賽寧網安公司，賽寧網安的主要業務之一是承辦各類 CTF 賽事。
他有一個“播撒火種”的心愿。
“把自己限制在清華，我只能培養這部分最頂尖的人才，但是如果能把培養的經驗結合社會資源規模化地推廣，那么，我不僅可以服務于清華頂級的網絡安全戰略人才培養，還能面向整個教育行業，甚至向國家相關機構、企事業單位的網絡安全建設輸送人才。”諸葛建偉說。
如果把網絡安全人才結構比喻成一座金字塔，在塔尖的高水平人才是各方爭搶的關注點，但承載整座金字塔，能夠提升整體安全水平還靠基數大的“底座”。
甚至，像現在大家聚焦的智能化攻防人才，諸葛建偉認為，只有百分之一、千分之一的人有這種意識或者能力來指導、研究智能化攻防程序，包括諸葛建偉在清華的實驗室在內，每年對外能輸出的這種高技能攻防人才數量是極其有限的。
說白了，不是每個人都能成為楊坤、朱文雷。。。以及照片里的這些人。
［藍蓮花戰隊的最新一張照片，覺得有必要再放一次，畢竟畫圈圈的小哥還被稱為清華“霍建華”］
將網絡安全學科打造成一個成熟學科，構建創新能力實踐賽，吸引更多安全愛好者參與，培養其能力是這個“教育者”出于本能的選擇。
“在美國，已經有初中生參加 CTF 比賽，中國也組織了面向全國中學生的網絡安全的競賽，是以 CTF 解題的模式進行的，而且已經與大學的自主招生緊密聯系。”諸葛建偉希望，網絡安全學科可以下沉到更低年齡段，比如，今年他五歲的孩子已經接觸了硬件編程相關的課程。
對于 CTF 是否是選拔及培養網絡安全人才最好的方式，業界也有爭議。比如：
目前 CTF 太多了，普及價值大于真正的技術價值。
CTF 僅是技巧型的比賽，對網絡安全實戰意義不大。
他們為什么會這么認為呢？
雷鋒網曾經科普過（TK教主說的，詳情請見《白帽黑客教主 TK 告訴你，黑客的游戲 CTF 究竟是什么 | 硬創公開課總結文+視頻》），CTF 的比賽形式有以下幾種：
1.出“題目”的解題模式，包含逆向、漏洞（也稱攻防）、算法、審計、綜合……，難度不一，分值不一，越難的題目分值越多。
2.攻防模式。
第一種，每一支隊伍一同攻擊同一個目標，考驗攻擊能力；
第二種，所有參賽隊伍進行防守，遭受攻擊，考驗防守能力；
第三種，結合前兩種，綜合考驗攻防能力。這種模式對技術、戰術、策略要求更高。一般是回合制，一個回合五分鐘。可以按照自己的策略選擇優先攻擊或防守，打誰不打誰，隊伍自己決定，一個回合暫停一次。
第四種，大家同時攻擊一個服務器，比誰占領服務器的時間長，保持自己的控制權，不被別人干掉。
看上去，尤其如果比賽用的是出題模式，就可能有各種各樣的題庫，既然有題庫，題型也是固定的，大家只要把題目做熟了就好，不能考量真正的攻防能力。
諸葛建偉不這么認為，一味否定 CTF 這類比賽的價值是不可取的，一場 CTF 價值有多大，要看比賽設置方想要考察選手能力的維度。
說白了，種什么樣的種子，結什么樣的果子。
相較于傳統的CTF比賽，他更推崇創新型的 CTF 賽程設置。
傳統的攻防賽可能更注重選手攻擊的能力，但攻防賽應該“攻防兼備”。
以最近舉辦的第十一屆全國大學生信息安全競賽為例，這場比賽以各個選手隊伍命題的模式代替了組織方命題的模式，當然，這種模式借鑒了之前韓國 POC 大會以及世界黑客大師賽 WCTF 的命題方式，但不同的是，第一，結合業內實際業務安全需求構建靶標環境，培養參賽選手的創新開發能力。在半決賽的前兩周內，除了安全開發外，選手還需要在設計的應用中植入企業精心設計的安全挑戰，這種挑戰可能是一個預設的安全漏洞。
這不是最難的點，最難的點在于精心植入了這個漏洞，還要保證業務邏輯的正常運行，能夠對外正常提供服務。
“大家普遍認為，信息安全人才要有逆向思維，我給你一個程序，你要能逆向分析，找到漏洞，但這樣可能會忽視開發能力的培養，其實信息安全人才需要知道什么樣的開發過程是安全的，編碼時使用什么樣的函數、開發的規范等，才能確保不會有一些非預期的安全漏洞。”諸葛建偉說。
理解了安全開發的過程，安全人員和開發團隊才有共同語言和良好的合作基礎。
第二，為了解開別人的“謎底”，選手可能需要糅合密碼學等 CTF 中要考察的技術點，并將這些技術應用到業務需求中，需要有安全檢測能力和漏洞利用能力。
第三，選手需要有安全修復和加固的能力。
當然，上述比賽只是 CTF 的創新模式之一。諸葛建偉介紹，現在業內在推動各種真實場景的CTF，比如工業互聯網安全、防御體系共測等，甚至植入真實業務場景里的軟件讓大家“找茬”。
我們也預設了一個前提，對于網絡安全人才培養，尤其是高校學生，以 CTF 類競賽的方式來激發人對技術的學習熱情可能是目前應用得最廣泛的理論結合實踐的選擇。
CTF 的參加者可能從菜鳥級初學者延伸到職業安全研究員，假如 CTF 是丈量能力的尺子，你是什么樣的寬度，就會選擇什么樣的尺子。
藍蓮花的創建者曾提到了歌手許巍的《藍蓮花》中的一句歌詞：“沒有什么能夠阻擋，你對自由的向往”，以此來闡述“突破技術邊界的極客精神”，諸葛建偉等人不斷嘗試革新 CTF 的創新模式，從學界到業界，希冀將藍蓮花的火種播撒到更廣闊的基數上也是遵循了創建藍蓮花的初衷。
回到最開頭的那個問題，“如何加入中國頂級黑客戰隊藍蓮花”，當你發問并認真思考這個問題時，也許正是探索自由邊界的開始。恭喜你，你雖尚不在藍蓮花，但已接收到了它的火種。
本文作者：雷鋒網網絡安全專欄作者，李勤
雷峰網原創文章，未經授權禁止轉載。詳情見轉載須知。
