黑哥不黑，也没有想象中黑客的高冷，专访全程笑眯眯的黑哥极具亲和力和感染力。

　　采访黑哥的想法起源于近期网络资产测绘的火爆，而黑哥就职的知道创宇正是国内 早布局这个方向的安全公司，其404实验室打造的网络空间搜索引擎ZoomEye(“钟馗之眼”)在全球范围内赫赫有名。因此，探寻网络资产测绘这一话题，怎么都绕不开黑哥，绕不开ZoomEye，绕不开知道创宇及404实验室。

　　　　知道创宇“预知”了，网络资产测绘的今天

　　　　Q:知道创宇是国内 早布局网络资产测绘的安全公司，ZoomEye是如何萌芽的？

　　网络资产测绘是知道创宇在2010年开始萌芽启动的。而ZoomEye的产生跟知道创宇的创新基因相关，公司两位创始人赵伟和杨冀龙都是安全圈的技术大佬，对安全的理解相当深入，他们认为漏洞和数据是网络安全的两大基础，对此非常重视。

　　当时，知道创宇主导Web漏扫产品，主要服务于各地的监管部门，那时很多单位反馈不知道辖区有多少网站和服务器，为帮助客户普查资产，就想到做一款全网域名及IP探测的工具。这款工具 开始的主要关注点还是在知道创宇所擅长的Web上，他们做了大量的Web通用应用识别也就是wmap引擎，随后逐渐加入了IPv4及其他协议，逐步形成了今天ZoomEye的产品形态。

　　黑哥回忆，ZoomEye在2013年正式对外发布上线，到2014年心脏出血的漏洞一战成名：“心脏出血漏洞是一个很经典的案例，当时我们针对漏洞去进行动态测绘，经过多天的跟进并做了动态对比和分析后，得出了数据变化的趋势——心脏出血是SSL安全类协议，我们认为它的覆盖度能代表某个国家和地区对安全的重视程度和普及率，修复率能说明其应急能力有多强。根据数据分析结果我们做了一个全球国家安全能力的排名，我们国家当时排了102名。”

　　说这段的时候，黑哥的眼睛里有星星闪烁。

　　ZoomEye主页

　　　　获取更多的数据，并赋予数据灵魂。

　　　　Q:什么样的网络空间资产测绘产品算是一款好的产品？

　　黑哥认为网络空间测绘是一个数据类型的产品，这种产品有两个核心关键点：

　　　　一是，获取更多的数据。

　　　　二是，赋予数据灵魂。

　　“数据不是摆在这里，要让数据去说话，要表达出来数据背后的东西。”黑哥说。

　　　　核心能力一：获取数据

　　目前，网络资产测绘的测绘对象主要集中在IPv4、IPv6、域名、区块链等方面。其中IPv4的地址库数量是有限已知的，而IPv6、域名、暗网理论上是无限的，所以首要核心能力是如何去获取这些地址数据。知道创宇已经收集了接近30个亿的IPv6地址，黑哥说：“没有数据基础，后面的事情是无法继续下去的。”

　　虽然IPv6是未来的防线，但目前市场上的测绘重点还是在IPv4上面。黑哥为我们介绍了IPv4地址库的数据量，每个IP理论上可以开放的端口数为65535*2(包括TCP/UDP),每个端口可能有n种协议，然后每种协议可能包括n种探针。这些数据的获取需要进行协议分析、探针开发等，数据量也是非常庞大的。

　　获取数据的核心能力里面还包括很多细节，如：需要探针的数据那么多，必然影响你的探测频率，那么就需要大量的探测节点;存在各种“对抗”的问题，节点会被“ban”等，而解决这些问题正是“获取数据”能力的体现。

　　网络测绘主要关注的还是目标画像，所以需要其他多维度的数据关联，比如IP物理地址库、Whois数据、DNS相关数据、威胁情报数据等是较为核心的能力。

　　　　核心能力二：赋予数据灵魂

　　“获得了数据后，我们就需要去分析解读这些数据，让数据说话，也就是我说的‘赋予数据灵魂’了，这个才是测绘的真正价值所在，然而这也可能因为能力意识等因素而被忽视。”黑哥说。

　　对数据进行分析和解读，基础是将这些数据存储及结构化处理，目前这部分能力主要依赖互联网大数据技术的发展，比如Elasticsearch数据库这种相关技术的出现。数据存储后，是数据分析识别的能力，比如我们常说的设备、组件、指纹分析提取。还要考虑要用户体验层的问题，包括搜索引擎的平台的建立，数据的聚合、关联的能力，要方便用户进行检索。在以上基础上，还需要解读和思考的能力，才能真正让数据说话让数据拥有灵魂。这个说起来简单，实际上是个非常重要的核心能力。

　　　　矛盾在哪里，技术发展的方向就在哪里

　　　　Q:网络空间资产测绘产品未来在技术上会如何演进？

　　“我一直认为矛盾是技术发展原始动力，换句话说问题矛盾在哪里，那么未来就在哪里。”黑哥说。