360 Quake面向广大用户开放订阅服务以来，对全球IPv4和IPv6网络空间进行7*24小时持续性测绘，立志于成为用户的第二双眼睛。

360 Quake 能够实时感知网络空间中的各类资产并监测其安全风险，具备全网测绘、漏洞感知、多维画像、区域监测、空间探索等多项能力，可广泛用于资产发现、风险管理、情报挖掘以及漏洞研究等安全业务领域。

以下是本次版本的主要更新内容：

    产品设计团队秉持着 “简洁至上” 的理念，摒弃了繁杂的线条与冗余的装饰，让您的视觉焦点直击核心功能，信息层次分明，操作路径一目了然，从此告别视觉疲劳与操作迷茫。

我们深入分析了用户的工作流程和使用习惯，将产品功能划分成不同层级进行了重组，以更好地贴合您的使用场景。无论是进行网络资产发现、安全分析还是数据可视化，您都能在新版本中更加高效地找到目标。

 全面的资产和风险探测能力，360 Quake能够扫描互联网上几乎所有连网设备的开放端口和服务，新版本更全面增加了各类数据维度：证书、图像、全球网情信息、网络安全情报等。

 实时资产和风险监测能力，360 Quake同时提供全量数据和最新数据，包括最新的设备和服务状态信息。正是这种实时性的优势，能够帮助用户在安全运营工作中从静态管理升级为动态监测。

 关联更多的数据信息并提供新服务，从图像、证书数据再到组织机构单位数据，Quake全面提供更多的资产数据分析和拓展功能，请移步进入网页查看更多。

 全新的设计理念和架构，所有设计的优化，都围绕一点：成为用户的第二双眼睛。我们从用户视角出发，将收集，分析，研究和应用的过程融合拆分为熟悉的功能模块，提供了更灵活友好的服务入口，并期待在线上全程为用户提供人性化的有温度的订阅服务。

 AI驱动的智能测绘平台，全面融合360多个AI大模型，在探测采集，数据检索，数据标注，资产分析等各业务场景中通过智能体广泛应用大模型能力，并且以订阅服务方式降低用户使用成本，支撑用户开展精准的风险应对和防范。

    我们始终相信，用户的声音是产品进步的源泉。因此，我们邀请您在使用新版本的过程中，积极提出宝贵的意见和建议。您的每一条反馈都将被我们认真对待，并用于指导产品的持续改进。360测绘云 Quake邀请您与我们共同打造一个更强大、易用的网络空间测绘产品。

360 Quake 10.0，独有的实时资产动态探测能力

360 Quake 10.0，集成丰富信息和AI驱动的目标拓展和分析

360 Quake 10.0，新设计语言带来更明确的高效率检索

因为看见，所以安全

360QUAKE

MSRC漏洞信息

全球可能受攻击的影响面（QUAKE）

中国可能受攻击的影响面（QUAKE）

添加管理员微信号：quake_360

备注：进群     邀请您加入 技术交流群

奖品为终身会员体验卡；若已是会员中奖者可沟通兑换积分或奖品哦～

第一步和第二步需要全部完成哦！！！

获奖用户审核通过后免费寄送或发放奖品

审核须知如下：

1）参与活动需是quake的注册用户或会员用户

2）审核时朋友圈权限全部可见;转发文章审核前删除无效

3）获奖用户未按要求参加和审核的视为自动放弃

引言

（网络空间测绘技术的实践与思考 系列之四）

这两年，传统网络安全领域，或者说这个行业面临时代发展所带来的一些风险和挑战，我们也看到了一些调整，其中一个方向就是安全能力的产品化的问题，进一步说，应该是安全能力工程化所面对的问题。

过去的二十年中，从经验看到，国内各级组织对于整体安全体系架构，并不完全都是由上而下的。换言之，一个安全体系的顶层设计往往并没有实际指挥和带动其以下各层面的安全措施和能力设计，反而是被底层安全技术能力牵引的。具体来说，

1. 境外强国底层安全能力创新

2. 通过境外最佳实践转化

3. 进而被国内C2C引进

4. 国内先进行业落地

5. 转化为合规政策

6. 通过合规要求和措施在国内全面落地

也就是说境外底层的一些安全技术能力的发展带动了整个安全体系的方向，包括我们的顶层设计。

这些底层的安全能力中，大概在2000-2010间，整个领域最重要牵引力的安全技术能力，从密码学技术能力转移为漏洞挖掘和攻防能力，这一点是客观存在的。也正是因为这个背景，漏洞一直被视为最重要的安全资源，漏洞挖掘和攻防能力一直被视为技术研究的尖端领域。然而，尽管这些能力在技术上取得了显著成就，但在工程化，产品化，商业化道路上却常常面临挑战。许多安全研究人员往往陷入“曲高和寡”的困境，他们的高超技能在未能找到合适的市场应用时，往往难以转化为实际的商业价值。

前几日，在与某用户的综合交流中，我司某核心能力团队的安全专家提出的观点值得学习和理解：

安全能力工程化的方向是技术与业务的深度融合，仅仅研究技术或业务是远远不够的。但就深度攻防而言，最高级的攻坚能力很难形成产品化工程化，还是需要人去做的。

测绘应用于网络安全领域，工程化是其最主要的特点。因此技术和业务的深度融合，对于网空测绘领域的深度应用，就显得尤为重要。

举一个例子，如果错误的将无状态扫描技术，简单粗暴的按传统漏洞扫描类产品来用，就违背了其技术的原理，也不符合业务的需求，更不能发挥其价值和作用。

从某种意义上说，测绘技术的工程化是由两个工程化阶段构成的，分别是流水线式数据采集，以及服务数据利用和分析

所谓流水线式采集，是全网测绘的特有的路径，也是其更接近搜索引擎而与漏洞扫描不同的主要特点：数据是不间断的在生产的。相对于传统的扫描系统，用户不必以任务为核心进行监测，每一次结果需要一次任务执行完成后再统一分析。测绘的工程化赋予了用户常年随时进入查询调用数据，且随时获得分析结果的能力，即不间断的动态分析能力。所以测绘的工程化是最适合做数据订阅类SaaS服务的安全技术产品，可支撑用户持续不间断的常年订阅和数据查询分析。

正是由于这一点，探测资源是测绘系统的基础支撑，如果用户对数据的生产效率和覆盖面缺乏信心，那么所谓的“网络空间攻防地图“，也就是安全情报的能力，就缺乏详细且准确的数据支撑。

此外，探测是流水式的，并不代表探测不能定向，探测任务实际上是可以随时调整的，但必须异步，也就是用户不能期待所有的探测调整能够得到实时反馈，应当预留出反馈的时间窗。

为什么说：就深度攻防而言，最高级的攻坚能力很难形成产品化工程化呢？

因为，从另一个角度来看，漏洞挖掘和攻防能力为代表的安全能力实际上代表着一种打破常规的“超能力”。这种能力不仅可以让研究者们在技术领域取得突破，更重要的是，它具备着巨大的商业价值和社会影响力。

例如，一个被成功挖掘的漏洞，不仅仅是一个获得“漏洞奖金”的机会，更是掌握了一种打破互联网和内网屏障的关键能力。

这种“超能力“就是藏在测绘能力背后的能力。

例如在360 Quake系统中输入语句 app:"DVWA漏洞演练环境"，可以直接找到互利网上所有开放的DVWA靶场。输入语句 app:"Acunetix Web Vulnerability Scanner" 则可以查询到所有的AWVS扫描器。这些都是测绘数据基础上，根据用户个人对技术和产品的理解所找的的一些重要服务，其重要不重要取决于用户自身头脑里面的既定知识或印象，这样就会形成一种现象，即测绘的工具化，同样一个系统，不同的用户使用，就会有天差地别的效果和价值。

应当指出的是：这样的工具化使用现状，是不符合我们心目中安全能力工程化的目标的，工程化的目标是让任何人都享受技术带来的价值，而不是将人区分对待。

例如：通过特征聚类，从服务之间找出更多的共同特征，就形成了服务数据之间的联系，通过这种技术上的联系，我们就可以打通社会信息关联之间壁垒，进而形成组织—服务—服务—组织的数据关联。这样的关联，一方面可以为组织找到更多的新的服务，另一方面，也可以找到组织和组织在社会空间中未曾发现的关联关系。结合终端数据，就能做到组织和组织，人员和组织，人员和人员的关联性分析，从而将业务和技术深度融合。如图所示：

此外，在漏洞攻防方面，测绘系统也能依据漏洞与产品之间的必然关系，进而构建起服务—漏洞—产品—环境—行业的数据链条，从而挖掘更多的安全情报和情报关联的知识，为用户带来更多了单一漏洞攻防之外的能力和价值。

在深入探讨测绘领域的工程化革新时，我们不得不提及大模型的引入如何深刻地影响了这一领域，特别是如何利用大模型深度挖掘和利用测绘数据的潜在价值。这一变革不仅是对测绘数据的简单加工或处理，更是一种全新的思维模式和操作范式的转变。

在以往，测绘数据的处理和分析往往局限于特定的领域或行业，其关联性和应用价值受到诸多限制。然而，考虑到大模型的引入，我们得以有机会系统性地串联起测绘信息，并与多维度、多层次的外部关联信息进行融合。这种跨界的整合不仅突破了传统测绘数据关联的维度和方法，更是实现了碎片化知识的统一串联。

想象一下，过去那些分散在业务和技术各个角落、难以形成有效知识体系的数据碎片，如今在大模型的助力下，被巧妙地串联起来，形成了一个完整、清晰、有价值的知识网络。这不仅解决了知识碎片化和难沉淀的问题，更为我们打开了一个全新的世界大门，让我们能够更深入地挖掘和利用测绘数据的价值。

这种变革不仅仅局限于技术领域，更涉及到了业务逻辑、安全策略等多个方面。通过大模型的引入，我们能够将业务专家对于业务的深入理解、安全专家对于技术的精湛研究，以及数据运营人员对于数据的精准把控，都紧密地结合在一起。这种跨领域的合作与融合，不仅提高了工作效率，更为我们提供了全新的思路和解决方案。

最终形成碎片化知识的统一串联，重塑过去知识碎片化和难沉淀的情况，真正打开了激活测绘数据价值的新世界大门。

这样就真正形成了“能力背后的能力“，把业务专家对于业务的理解，安全专家对于技术的研究，都通过数据的运营将其结合到一起，从而在网络空间之间，利用技术之间的数据关联，构建起对现实空间信息和情报分析的桥梁。

综上所述，我们认为安全能力工程化的必须遵循的路径是业务与技术的深度融合，而测绘技术能力工程化的路径需要注意以下两点：

一是深度理解测绘的技术特点，采用符合其工作方式的流水线式数据生成和加工流程，以此为基础构建对应的应用体系和安全体系；

二是需要注意业务数据和测绘数据的关联和融合，实现物理空间和网络空间的强连接，进而通过测绘数据的技术关联，作用于物理空间的业务需求，提供能力背后的能力。

引言

（网络空间测绘技术的实践与思考 系列之三）

网络空间测绘是一种工程化的技术，名义上是汇集了网络技术、协议分析技术、大数据技术、应用安全技术、可视化技术的综合性创新性技术，实际上测绘工程化的落地和实践，都围绕着核心一点：数据。

数据不仅是一种资源，更是一种生命的体现。

通过广泛而迅速的采集、深度的分析和及时的应用，我们能够为数据赋予价值，让其焕发出生命的光芒。我们深信，数据是有生命力的。

通过与互联网上的开放服务构建连接，我们将协议，地址和端口信息构建为一个组合，这个组合定义了一个互联网上开放服务的入口，因此得以统计，分析和评价这一入口的属性、状态和安全性。

在上述测绘的过程中，会产生大量的过程数据和结果数据。这些数据包括但不限于数字资产识别与脆弱性侦测业务、面向特定区域的网络情报分析挖掘业务、关基监管、挂图作战和态势感知业务、实战攻防演练和靶场业务，以及对网络空间新风险的定义和分析等。通过对这些数据进行分析，可以得出很多有价值的结论，例如网络空间资源的状态变化、网络行为和上层人类意图等。

360 Quake基于独创的Vscan网络空间测绘引擎技术，以及360安全大数据中的漏洞/威胁情报/DNS/IP等安全数据和基础数据，面向网络空间进行资产测绘，感知漏洞所影响的风险，协助追踪和分析高级威胁攻击，通过数据关联和分析最终形成多维度可视化的网络空间地图，进一步结合人工智能算法模型显著提升识别率，并配合多种任务策略与计算基础设施组合，实现全网动态资产测绘，全方位地发现测绘资产的漏洞风险。

我们的远期目标是与网络空间中所有的开放服务都构建一个连接关系。

从技术角度来看，传统的数据采集方式，主要来源于终端采集或流量采集。

1. 终端采集可视为低位来源的数据，如同网络空间中的侦察兵，其优势是数据精细，准确，质量好，有细节且可以灵活采集；劣势在于终端依靠终端数据采集探针的覆盖量，如果没有覆盖到就存在部分终端数据的缺失风险，并且面向境外采集的终端数据探针的留存存在一定的对抗风险。

2.流量采集可视为中位来源的数据，如果网络空间中的无线电侦听，其优势在于掌握了数据通道就掌握了源头的所有通联数据，其准确性和及时性都比较好；但劣势在于加密通讯的比例越来越高，虽然也有一些先进的技术手段可以从密文通讯中获取到一些信息和分析，但对大多数的明文信息缺乏解密解析的手段。另外流量采集只有国家级有关单位可以进行，并不是一种普遍性的采集手段。

3.测绘数据采集相比前两种方法，可以视为一种高位数据采集能力，好比预警雷达或遥感卫星。其优势在于可以主动实时的采集数据，并且数据是真实且客观的。但劣势在于测绘技术受限于资源的投入，需要大量的数据治理工作，否则精细度不高。

原来有种说法叫做云管端，某种意义上，正好对应了高中低三个方位的数据，这里需要重点指出的是：数据的来源方位有高低，并不代表数据能力的高低之分。

理想的数据采集是集合了高中低位的优势，获得全面，准确，及时的所有数据。

在网络安全领域，网络空间测绘数据的分析可以帮助我们了解网络攻击的特点和趋势，从而更好地防范和应对网络攻击。例如，通过对网络空间资产的探测和分析，可以发现潜在的安全隐患和漏洞，进而采取相应的措施进行修复。此外，网络空间测绘数据还可以用于评估网络安全政策的效果，为网络安全政策的制定和调整提供依据。

全球安全服务资产分布的地区TOP10如图所示。其中，美国、中国、加拿大分别位列前三。我们看到美国部署了这个世界上78%的各类安全防护设备和服务，远远高于其他任何国家。

国内安全服务资产的地区TOP10分布如图所示。其中，香港、北京、浙江分别位列前三。我们看到香港部署了比北京还多的安全设备和服务。

在数字化管理应用领域，网络空间测绘数据的分析可以帮助企业和政府更好地管理其数字资产。例如，通过对物联网和工业互联网资产的监控管理，可以提高生产效率和降低安全风险。此外，网络空间测绘数据还可以用于评估数字化转型的效果，为企业和社会的数字化转型提供决策支持。      

全球数据库资产分布的地区TOP10如图所示。其中，中国、美国、土耳其分别位列前三。我们看到中国的数据库资产比美国还多，那是因为中国大量采用了开源的数据库服务，而第三名是土耳其，土耳其的数据资产增速值得注意。

国内数据库资产分布的地区如图所示。其中，香港、北京、上海分别位列前三。我们看到香港依旧是中国数据库资产最多的地区，主要是因为很多跨国企业和国内企业在香港均有开放服务，机房数量多，所以IT资产也多。

我们同样能够看到全网暴露出来的疑似风险的状况，例如疑似数据泄露风险。

全球疑似暴露数据泄露风险的资产所在国家分布如图所示。其中，中国、美国、德国分别位列前三。中国暴露出来疑似有数据泄露风险的资产远远超过其正常数据库的占比。

全国疑似暴露数据泄露风险的资产所在地区分布如图所示。其中，北京市、浙江省、台湾分别位列前三。北京市的占比要高过其正常数据库资产的占比，而香港仅排名第七，这是因为香港大多数为跨国企业和国内大企业的开放服务，因此会遵循相对严格的风险控制要求，公开漏洞和数据泄露的占比相对较少。

在测绘定义网络领域，网络空间测绘数据的分析可以帮助我们实现对网络空间的更精细管理和控制。例如，通过对网络空间资源调度的分析和优化，可以实现灵活实时的联网资源调度和网络路径选择，以及弹性的可任意复制或折叠的自组织网络及其资源。

虽然测绘采集数据的方式是主动的，但测绘数据的核心价值在于其客观真实。

可以预计，在未来的十数年内，生成式人工智能（GANs）会得到全球范围内，各行业的大规模应用。这种趋势将为数字世界和现实世界不可避免的带来一些问题，包括大规模的真实数据匮乏的问题，这种情况具体可能表现在，

l  数据合成：生成式模型可以用于合成各种类型的数据，包括图像、文本、音频等。但是，由于生成式模型是基于已有数据训练得到的，生成的数据可能与真实数据存在一定的差异，尤其是在模型训练不充分或者训练数据不足的情况下。

l  数据偏差：生成式模型可能会学习到训练数据的某些特定特征或偏差，导致生成的数据偏离真实数据的分布。这可能会影响到生成数据的质量和真实性，使得生成的数据不够真实。

l  数据稀缺：在某些领域，真实数据可能比较稀缺或者难以获取，这可能限制了生成式模型的应用。特别是在一些新兴领域或者涉及到隐私敏感信息的场景下，真实数据的获取可能受到限制。

面对可以预计的未来真实数据困境，网络空间测绘技术可能是打开真实空间大门的一把钥匙。

通过与互联网上的开放服务构建连接，我们将协议，地址和端口信息构建为一个组合，这个组合定义了一个互联网上开放服务的入口，因此得以统计，分析和评价这一入口的状态和安全性，那么这个评价很大程度上是基于真实状态和实时获取的，也就保证了探测采集数据的客观真实性和实时性。

例如，如果对某种类型的服务真实部署数量做一市场调研，相比生成式数据或采样，测绘技术可以列出在某一时间段，或某一区域范围内，该类型真实开放服务的具体数量和统计。举一个例子，对于WAF防火墙，硬件、软件、云WAF一起算，我们测绘探知当前中国实际应用最多数量的WAF防火墙厂商的前三名，分别是：阿里云，华为云和安全狗，并没有一些传统安全厂商，与机构市场调报告也并不相符。

如果说物理空间中传统测绘技术的发展，是来自于人们对于耕地，出行和战争的需求，那么网络空间测绘技术的发展，则是为了方便在互联网上找到服务资源，获取数据以及这个空间的对抗或战争。测绘技术就是应对这一系列需求的最有价值的工具之一，其核心价值就是客观真实的数据。而测绘的意义也不仅仅限于网络安全，对于指导网络基础设施的部署，提高网络运行的效率，都有重要的作用。随着进一步的发展，网络空间测绘也将和实体空间测绘交相辉映，成为人类了解世界、了解自我的一面镜子。

（网络空间测绘技术的实践与思考 系列之二）

网络空间测绘通过系统全面的网络测量，绘制网络空间全息全景地图，建立网络空间的真实映像，形成网络空间可知、可控、可管的基础支撑，保障国家网络安全。网络空间测绘涉及网络空间各个层面，需要建设大规模测绘基础设施，形成庞大和精准的网络空间信息库。在这个过程中，主动测绘的应用是网络空间测绘系统的突出特点，通过主动探测，特征识别和数据关联等流程建立了目前广泛且成熟的测绘方法。之前《网络空间测绘技术的实践与思考》简单介绍了网络空间测绘技术应用方向和一些建议，下文将介绍主动测绘中的部分特征分析技术，并对其应用场景提出思考。

某种意义上来说，网络空间测绘是人类“观察-映射-描绘-建设”世界的范式在Meta时代（元宇宙）应用途径之一。它通过对超大规模空间目标的探测与映射，帮助我们准确全面的认识和理解这个空间，进而能够开启对数字世界的刻画和改造。

图1 360 Quake网络空间测绘系统部分截图

网络空间测绘领域的一些关键技术思路来源广泛，不仅仅从传统网络安全攻防领域总结而来。例如我们可以从一些传统产业的技术领域中如何主动观测物理空间的方法中得到借鉴和思考，下面以能源行业的油气地震勘探领域技术应用举例，来说明其与网络空间测绘技术的类比关系。

首先，Quake是360网络空间测绘系统的英文名称，也是一款老游戏的名称。Quake的本意就是震动或地震（earthquake）的简写。

其次，地震的应用在能源产业领域早已普及，地震勘探是地球物理勘探中最重要、解决油气勘探问题最有效的一种方法。地震勘探是利用人工的方法引起地壳振动（如炸药爆炸、可控震源振动），再用精密仪器按一定的观测方式记录爆炸后地面上各接收点的振动信息，利用对原始记录信息经一系列加工处理后得到的成果资料推断地下地质构造的技术。该方法的主要特点是：

1、利用专门仪器并按特定方式观测岩层间的波阻抗差异，进而研究地下地质问题；

2、通过人工方法激发地震波，研究地震波在地层屮传播的规律与特点，查明地下的地质构造，为寻找油气田或其他勘探目标服务；

3、地震勘探的投资回报率很高，几乎所有的石油公司都依赖地震勘探资料来确定勘探和开发井位；

4、三维地震勘探的成果能提供丰富的地质细节，极大地促进了油藏工程的发展。

在初步了解了地震勘探的应用思路之后，我们看到网络空间测绘技术应用与地震勘探的应用思想惊人的一致，都是利用人为构造的主动性探测方式，对空间进行全方位响应收集，再结合其他广泛的关联大数据对勘探结果进行深度分析，最终探明未知资源，进而绘制全息全景地图。

图2 油气地震勘探与网络空间主动测绘的类比

如同三维地震勘探成果能提供丰富的地质细节，极大的促进油藏工程的发展一样，按照图示的类比来思考，超大规模数据就是能源，对数据探测就是开采，对数据的挖掘就是炼化。

类似地震勘探的机制，也决定了网络空间测绘技术相比其他网络安全探测采集技术的几个特点：

综合性：网络空间测绘在包含被动测绘的基础上，突出了主动测绘；二者结合，既体现了数据采集的众筹性质也体现了报备性质，满足有目标和无目标情况下的综合应用场景需求。

动态性：网络空间测绘本身既能够积累较长时期的历史数据，主动探测采集能力也能够实现实时收集数据的特点。

多维性：网络空间测绘能够充分叠加地理、网络、资产、人物、语义、社会关系的相关信息，实现对网络空间数据的升维。

综上而言，网络空间测绘的特点决定了测绘应用能够极大丰富安全数据的种类和细节，从而在新一代安全体系中提供各类安全能力的支撑。

因此，网络空间测绘在网络安全领域的应用不仅是做资产梳理和攻击暴露面排查，还包括对漏洞数据、威胁情报和相关的业务数据全面认识和分析，从而为整体的安全体系赋能，这也代表了未来应用网络空间测绘的丰富场景。

深度协议特征

• 技术简述

1948年香农在《通信的数学理论》中写道:“通信的基本问题是在一点精确地或者近似的复现在另一个点所选取的信息,这些信息往往都是有意义的。”

主动测绘就是构造请求，获得响应中的信息意义，从某种意义上说这点与主动构造的通讯、攻击、扫描等都没有区别。工程技术上的难点在于构造的请求越少越好，获取的意义越多越好。

因此，分布式测绘的请求不会像普通的通讯请求那么标准规范，应当尽量精简，但是这样就导致了响应少且不完整。我们又需要从响应中更准确真实的获得其信息意义。这种左右限制需要我们实现更好的深度协议特征分析和提取，并决定了对测绘特征分析识别的要求在于：

(一) 对主动探测的协议请求数据定制的仿真度高；

(二) 对协议响应数据的多维度特征提取的信息熵高；

(三) 对协议响应特征数据关联分析的数据维度高；

以上述三点，决定了深度协议特征技术能力的评价。

传统的网络空间测绘资产特征（或者称之为资产识别指纹）大多从TCP/协议栈或Web响应中提取单一静态特征，单一特征不仅请求的仿真度低，信息熵低，而且是基于规则的特征，识别深度很浅，其识别的往往是一类厂商/品牌的产品，缺乏个体信息。

深度协议特征技术基于对协议和网络应用的深刻理解，从构建仿真请求入手，收集更多高信息熵的响应，并可从Banner，特定文件/Hash，Response关键字，持续握手Hash，证书特征等提取到更多特征，从而把产品识别进步到个体特征识别，例如僵尸网络，攻击组织，关键设施等等，进一步体现了“指纹”所代表的个体性。

l  技术举例

以Http协议为例，通常单一静态特征往往只是把Header或Body里内容简单的用正则匹配，缺乏对其深度分析和归类。从深度协议的角度看banner中间的关键字段，DOM树相关信息，网页截图，页面关键文字，标签中的变量，link链接，响应状态码，附属文件的信息，特殊的处理方式等等，都可以作为特征的分析方向。这个过程中，我们引入了AI技术，包括Kmeans等聚类算法，可以大量节省人工工作量，达到一定程度上的智能协议特征分析。

图3 应用AI技术的http特征分析

再以RDP协议举例，远程桌面协议(remote desktop protocol, RDP)是一种构建于Windows系列操作系统的终端服务网络通信协议。它采用了C/S的架构，共分为两个部分：运行在远程设备上的客户端和运行在服务器上的终端服务器。作为Windows的标准组件，它可让用户可靠的使用远程计算机上的应用程序、文件和网络资源。由于RDP被广泛应用，以及其对计算机的远程控制能力，RDP成为安全研究者较为关注的一种协议。对RDP的深度识别也是深度协议分析的一种能力验证。

在建立加密的安全会话之后，RDP的下一步是进行网络层认证NLA。服务器会利用通常的认证方法（如ntmlssp, Kerberos）验证客户端是否拥有该用户凭据。在RDP协议深度识别中，需要关注的是服务端发送给客户端的NTML type2消息，里面包含了操作系统版本，主机名等信息。

此外，当打开远程管理客户端，然后连续按5下shift键。系统会直接调用粘置窗口的程序sethc.exe，很多黑客会用自己的后门文件来替换此文件。通过机器学习模拟5次点击和对应截图操作，提取图像特征，图像特征中有很多要素可以进一步提取，例如其中的账号文字可通过OCR识别提取，场景和人脸可以利用相应的机器学习算法，这些深度特征都可以帮助我们主动探测存在这类后门的开放RDP协议的服务属性，从而描绘出其背后的个体信息。

对安全应用场景赋能的价值

对仿真类安全系统的赋能价值

深度协议特征分析技术能够为靶场、蜜罐、蜜网等仿真类安全系统提供更多维度的仿真特征，首先可以模拟测绘特征所有支持的协议，并且可模拟设备和应用服务；然后可以能够模拟一个完整的网络，并且网络上每一个IP都能成一个完整的设备；最后，这样的测绘特征可以让这个模拟网络从更多的特征维度更加仿真，大大增加了拟真的维度。相信在不远的未来，通过多维度深度特征研究，在算力充足的前提下，甚至可以模拟一个城市，一个国家的整体网络空间和资源，构建全网仿真，实现完整沙盘。

对流量分析系统的赋能价值

当前的流量分析系统安全场景中，绝大多数是基于特征或模型匹配的监测，比较缺少对通信端点构建目标画像的分析。深度协议特征技术能够显著的提升这一方面的能力，体现在测绘应用的深度协议特征同样可以在流量分析中有效使用，第一可以利用协议识别和应用识别对流量进行筛选，这样大大降低了有效的分析数据量，减轻流量分析的计算资源消耗；第二可以通过深度协议特征对流量中的双向通讯端点进行画像分析，从而提升流量分析建模的数据维度；第三可以通过深度协议特征对流量中的通信行为和内容进行意义提取，从而帮助分析和映射流量中真实的网络空间行为。

由此可以看到，从深度协议特征分析的视角看，主动式的测绘与被动式的流量检测是一体两面、技术统一的，未来，主动与被动结合的安全体系将大大加强流量检测的效率和数据视角，从而为用户带来更加及时准确的预警响应。

对安全服务体系的赋能价值

深度协议特征分析能够对安全服务体系产生深刻的影响。现有的安全服务体系依赖于传统的攻防仿真的行为模型而构建，无论从渗透测试，风险评估还是到实网攻防对抗的仿真或培训，都极大的依赖人力资源和个体技能，缺乏自动化辅助和标准化评估。

与人工安服对比，深度协议特征在测绘方面的应用是一种自动化生产。首先，它能够对攻防模型下的传统安全服务形态极大的提升生产效率和生产力，例如以goby、Xray、Burp为代表的自动化攻击测试平台越来越多的与测绘系统直接对接，大范围的提供测绘目标，能够大大减轻人工工作量，从而降低人工技术门槛，实现测试规模化，并把珍贵人力资源从普遍性对抗节省出来，准确的投入到高价值对抗领域。其次，深度协议特征面向全网测绘的特点，能够为培训服务或仿真对抗服务提供更多实网的资产信息和漏洞定位数据，从而帮助它们提升其服务效果和价值。

由此我们可以预测，未来与测绘系统联动的攻击测试工具/平台的应用将越来越广泛，自动化计算将大大减少人员的工作量，普遍性安全服务也更多将依赖于测绘的数据能力而非个人技能，少部分高技能技术人员将更多的投入到高价值对抗领域。

对漏洞分析体系的赋能价值

深度协议特征分析在测绘方面的应用也将对传统的漏洞挖掘和运营产生巨大的变革。使用测绘系统对一个新暴露的漏洞在全网普查是这类系统典型的传统应用方式，这一方案的基本思路是基于漏洞，设计调度，发送利用程序，分析响应，从而找到真实影响的活跃资产。然而我们升级一个思考维度，可以看到默认前提是漏洞已知而资产未知。

然而实际的网络空间中，资产是更容易找到并分析的，漏洞往往是未知的。我们能不能倒转之前的前提，在已知大范围资产的，并掌握深度协议特征的前提下，来寻找未知的漏洞？实践证明这条路径是可行的，利用大数据的智能深度协议特征分析，不断的用全网资产来验证，是具有发现漏洞的可行性的。

要说明的是，这种应用不同于传统的漏洞扫描，因为传统漏洞扫描系统仍然是基于已知漏洞库的，而更近似于漏洞研究人员的fuzzing思路在测绘场景下的大数据自动化计算赋能。基于上述分析，我们可以预测，未来将可以利用测绘系统的技术，未来可以大规模自动化分析资产漏洞特征，从而改进现有漏洞研究的流程并提升效率。在高级别漏洞仍然需要高水平研究人员的基础上，部分实现真实网络空间中大规模自动化的资产未知漏洞发现，并减少此类业务场景对人力资源的依赖。

主动性数据关联

技术简述

网络空间测绘系统不仅仅是一个大数据分析系统，它的分布式节点和调度也决定了其本身也是一个大规模数据采集系统。那么在做数据关联分析的时候，广泛应用其主动采集数据的能力，能够方便实现数据采集+数据分析的迭代模型，通过持续测绘补充数据分析维度，从而提升数据关联的效率。相比传统的数据关联分析体系中，采集与分析割裂的现状，测绘系统有助实现采集分析全场景融合的业务流程。

l  技术举例

在很多场景中，往往需要在已有信息线索的基础上，进行进一步的分析和拓线，而主动性数据关联分析就给这类需求一个很好的方法。

在很多国外的安全文章中，都会给出某个具体IP或产品名用于佐证。安全研究人员经常会对这些文章中提到线索进行追溯、分析。以近期某国外工控平台为例

IP被作者隐藏了，那么如何通过信息线索进行挖掘找到真正的系统呢？通过观察，可以从图4中提取出3点要素作为线索：

图4 某开源数据线索

ASN为 16116；

同时开放80端口、502端口；

协议分别是http协议和modbus协议。

基于上述信息，在 "主机数据"中 使用Quake搜索语法如下：ports:"80,502" AND services:"http,modbus" AND asn: "16116"可以得到IP地址，搜索这些IP在Quake服务数据中的502端口，可以看到modbus协议解析内容。同时发现了同网段另一个新的供水设施工业控制系统。

另外，基于上述相关线索，进行扩展发现，该系统对应的指纹如下：

response:"" AND response:"<iframe src="\"index.xhtml\""" and="" response:"content="\"text/html;" charset="utf-8\"/">"

对分布情况进行统计如下：

可以看出该系统主要是欧洲各国使用较多，国内不存在该系统。

图5 系统中统计截图

访问后可以看出该工控系统涉及电力、能源、水利等等领域。

对安全应用场景赋能的价值

对企业安全管理体系的赋能价值

企业安全管理体系与安全技术体系脱节是长期现象，分析其原因如下：

一方面，企业管理工作是普遍以责权、资源和工作内容为核心的过程控制，现有企业安全技术体系往往依赖于P2DR流程的构建，并不能有支撑企业管理的要求。

另一方面，安全技术方向的数据视角较窄，往往束缚了技术体系支撑的管理范围，导致现有的技术产品往往围绕的检测-响应-处置单一流程，缺乏对企业风险管理的全面支撑。

测绘带来的主动性数据关联技术，可以帮助用户在整个安全管理框架下的多个安全管理流程任务中，持续性的收集数据，分析数据，从而建立统一视图，并对安全策略产生全周期的反馈，能够帮助用户建立覆盖更广泛流程的全视角安全管理体系。

对城市级安全运营体系的赋能价值

城市级安全运营体系一个比较普遍的问题在于宏观运营与微观运营缺乏衔接，从而导致宏观以态势观察为主，微观以单点事件为主，一旦单点事件暴增，就对运营体系提出了很大的效率问题。

测绘系统的主动性数据关联分析技术，能够为城市级安全运营体系带来若干切片效果的“面”一层的视角，例如，资产攻击面，漏洞面，国产化应用面，关键基础设施面，某行业安全面等等。

将单点事件的安全运营放大为城市某一个切面的安全运营，为微观到宏观的聚类递进和态势感知提供量化支撑。

主动性情报挖掘

技术简述

现在很多威胁情报厂商都纷纷利用网络空间测绘系统这一工具，为威胁情报的生产加工赋能。主动式的采集数据能够在威胁情报的分析和挖掘全生命周期中持续提供新的数据补充，这种技术就是主动性威胁情报挖掘。

传统的威胁情报的分析和挖掘，往往依赖于流量数据和终端数据，因此威胁情报分析的能力很大程度上要依赖于终端打点数据上报的覆盖量和质量，或者流量覆盖度及流量分析的能力。但这些场景往往存在一些限制性因素，终端打点量要取决于项目数量和实施的效果，还不一定能获得高质量的打点数据；流量分析受限于硬件等物理条件，处理大流量数据的成本目前还是过高，而且人工分析的运营成本也高居不下。这些问题很大程度上是由从被保护系统或网络着手的被动性获取数据的方式决定的，造成了目前威胁情报数据容易分析获取的价值不高，高价值的威胁情报其原料数据获取难的现状。

网络空间测绘为威胁情报的分析和挖掘提供了主动性的方法，那就是在被保护系统和网络的视角之外，主动探寻威胁源或威胁性服务的方式。

l  技术举例

可以通过网络空间测绘系统来查找Cobalt Strike Beacon Staging Server服务，从而实现威胁情报分析和挖掘的持续迭代。

Beacon是Cobalt Strike运行在目标主机上的payload，Beacon在隐蔽信道上提供服务，用于长期控制受感染主机。是包括APT组织在内的攻击者经常使用的基础攻击平台。

图6 Beacon工作原理

Beacon Staging Server的作用是防止Payload过大或者适应不同的攻击场景，可以分阶段进行payload投递。通过投递一个被称为stager的小巧的payload，然后去Beacon staging server下载体积较大更复杂的stage，并且访问stage的URL通过checksum8进行校验。

主动测绘手段可以发现暴露在公网上的存储着Beacon配置和payload的stage服务器。我们也对Beacon的配置也进行了深度解析，这一点也使用了深度协议特征分析技术。

对安全应用场景赋能的价值

对威胁情报生产运营体系的赋能价值

测绘系统对威胁情报生产运营体系的赋能，主要体现在大规模的自动化威胁情报生产，利用主动测绘广泛获取IOC目标资产已经是威胁情报的重要落地方式之一，最典型的例子就是各类漏洞普查，或者僵尸网络的影响范围等等，在此基础上，通过对威胁情报IOC目标资产的分析和聚类，就可以自动化的情报金字塔上层的关联指标，达到底层情报信息升级为高层情报信息的效果。

图7 威胁情报金字塔

对威胁情报消费体系的赋能价值

威胁情报的消费除了通常的检测、响应和处置之外，追踪溯源和情报画像是难度较大的业务场景，一个重要的问题就在于对外部威胁源的信息获取难度较大。主动性测绘为此提供了一个外部数据的获取来源，能够利用测绘系统构建持续获取威胁源和建模分析威胁源特征的迭代循环，继而与已有威胁情报相关联，有助于对威胁的追踪溯源、测绘数据的多维度特点，能够帮助威胁情报画像实现更多的数据维度关联，从而对威胁情报消费体系提供全面赋能。

基于多会话特征的测绘分析

技术简述

面向时空维度的业务场景，测绘系统可以定制特殊的请求数据，通过对多个请求数据的定制组合，或者是不同时间的请求和响应的定制建模，形成特定的协议或设备的探测，来进行发现和识别。因此，首先可以利用多个时间探测同一目标数据来分析目标变化过程和实时状态，其次，还可以通过多次探测的变化性特征提取进一步分析其个体性。

在这个方法中，改变了传统测绘的静态思路，即通常只是测绘到一个状态，通过时空建模思路把状态进行分级提取，从状态特征转化为过程信息特征建模，并利用过程特征建模探测提取，再回溯还原为状态数据，从而发现特定的协议或者资产。

l  技术举例

TLS协议加密传输的特性使其在流量中很难进行深入的分析，那么根据TLS协议客户端请求参数的不同，经过定制修改，可以通过发送多个请求包获取其对应的特殊响应数据，从而构造成特征模型，这就是构建JARM特征指纹主动性探测的原理。

JARM通过主动向TLS服务器发送10个TLS Hello数据包并对Server Hello中的特定字段进行分析，以特定方式对10个TLS服务器响应进行哈希处理，最终生成JARM特征指纹。

JARM中的10个TLS客户端Hello数据包经过特殊设计，目的就是提取TLS服务器中的唯一响应。例如：

JARM以不同的顺序发送不同的TLS版本，密码和扩展；

TLS Clint将密码从最弱到最强排序，TLS Server将选择哪种密码？

......

总之JARM与在进行流量分析威胁时常用的JA3、JA3/S不同：JA3、JA3/S主要基于流量、JARM则是完全主动的扫描并生成特征指纹。

对安全应用场景赋能的价值

对安全态势感知系统的赋能价值

当前大多数交付的安全态势感知系统，主要是以流量和终端探针作为数据获取渠道，从采集方式上来说，这些被动式的探针采集有一定的局限性，表现在时间维度上，采集数据往往覆盖攻击过程（例如洛克希德马丁七步攻击链或MITRE ATT&CK框架）的事中，但缺少事前和事后的数据来源，一些威胁或攻击事件不能只能在进行时被监测，而不能有效感知事件前或事件后的风险。基于历史数据和实时性探测的能力，多会话的测绘数据技术能够很好的补充这些短板，从而使安全态势感知系统可实现覆盖重点目标或事件的全周期监测，及时及时掌握攻击行为的过程，进而实现基于态势感知的安全预测或提前防御。

对安全能力定量评估体系的赋能价值

安全能力的定量评估一直有很多技术上的难点，首先就是安全措施作用的资产价值不明，测绘系统虽然不能独立解决对资产价值评估的问题，但通过持续性多会话的测绘数据分析，可以为安全能力的资产价值、风险变化、威胁影响评估等方面提供量化数据。这种应用场景不但有助于监管机构开展合规自报之外的定量评估工作，而且有助于网络安全能力外部审计，网络安全保险，网络安全投资评估等网络安全金融类工作的开展。

数字化转型带来的结果必然使数字化网络和资源成为企业、机构运营发展的核心，数字化安全也必然有相应的深层次变化。从合规导向到能力导向、从被动防御到主动防御，从刚性架构到柔性架构，从战术视角到战略视角……网络空间测绘不仅仅为安全体系从高层面绘制一张多维的战略地图，也能够从底层为漏洞、情报、管理、攻防、规划等传统安全防护领域带来内外改变。

利用主动测绘的方式向目标发送各类数据包，根据不同的返回进而发掘、分析、提取目标特征，这就是主动性测绘技术的典型应用思路。除了深度协议特征分析、主动性数据关联分析、主动性威胁情报挖掘、动态测绘分析之外，网络空间测绘还可以进一步创新基线感知，突变感知，关系拓线，基于图谱拓线，动态同源性，标签同源性，图谱聚类感知等技术，并结合相关联的安全大数据进一步拓展应用场景。绝不仅仅只限于这些方法自身，未来更需要的是根据应用场景设计不同的技术组合。通过对主动测绘数据各个维度的统计、分析信息，能够提供新的安全建设思路。

这种基于主动测绘的技术应用，可落实在丰富的业务需求场景中，进而为传统安全防护提供一系列全新赋能价值。在宏观上看，借助测绘技术采集的网络空间真实数据及其分析，将补充或更新传统网络安全体系，也将参与构建新一代安全架构基础模型，助力网络安全从理想范式走向现实客观认识。

添加管理员微信号：quake_360

备注 您的账号 邀请加入技术交流群

360QUAKE

据报道，XZ Utils的5.6.0和5.6.1版本中被植入了恶意代码，该代码可能允许未经授权的远程访问受影响的系统。这一后门漏洞被赋予为CVE-2024-3094。安全研究人员发现，这段恶意代码极其复杂难解，且与主机的公钥绑定，使得一个主机上的有效签名不能在其他主机上使用。

攻击者通过多次提交代码变更的方式，将恶意代码植入到了XZ Utils项目中。这位名为Jia Tan的用户，是XZ Utils项目的主要开发者之一，对该项目贡献良多。然而，这次事件暴露出他可能涉及的恶意行为。

虽然证据显示，这些软件包只存在于Fedora 41和Fedora Rawhide中，并不影响主流Linux版本，但Red Hat和Debian已经报告称，最近发布的测试版中使用了这些被植入后门的版本。此外，macOS的HomeBrew包管理器中包含的多个应用也依赖于被植入后门的版本，目前已经将该工具回滚至安全版本。

根据runzero的文章可知，部分Debian unstable 和 Kali Linux 滚动版本和OpenSUSE 的特定 openssh 版本可能受到影响。我们根据runzero的版本语法在 360QUAKE上进行了全网探测，结果如下：

debian系openssh受影响的全球资产

debian系openssh受影响的全国资产

opensuse 系openssh受影响的全球资产

opensuse 系openssh受影响的全国资产

各大Linux发行版和软件维护者已经开始采取措施，以防止潜在的安全风险。用户和开发者被建议将XZ Utils降级到未受影响的版本，并检查任何恶意活动。

这一事件再次提醒了开源社区和用户，软件安全是一个不断挑战的领域。随着技术的发展，保持警惕和更新是保护系统安全的关键。

关注公众号可获取更多消息哦

添加管理员微信号：quake_360

备注：进群     邀请您加入 技术交流群

网络空间测绘的定义和重要性

网络空间测绘，或称为网络空间地图制作，是一种技术过程，它通过收集、分析和可视化网络空间的数据来创建网络资源和服务的详细地图。这个过程可以被看作是网络世界的地理信息系统（GIS），它帮助我们理解和导航复杂的数字环境。

网络空间测绘的核心在于对网络空间的全面理解。

l  网络探测：使用各种技术手段探测网络中的设备和服务。

l  数据采集：收集网络设备和服务的相关信息，如IP地址、端口号、服务类型等。

l  信息汇聚：将收集到的数据汇总，形成更加完整的网络空间数据集。

l  深度分析：对汇聚的数据进行深入分析，以识别网络空间的结构和行为模式。

l  可视化：将分析结果以图形或图表的形式展现出来，使人们能够直观地理解网络空间的状态。

网络空间测绘的重要性体现在多个方面：

l  网络安全：它帮助安全专家发现网络中的弱点和潜在威胁，从而提前防范和响应网络攻击。

l  网络管理：网络管理员可以利用网络空间测绘来优化网络架构，提高网络效率和稳定性。

l  应急响应：在网络攻击或故障发生时，准确的网络地图可以帮助快速定位问题并采取有效措施。

l  政策和规划：网络空间测绘为政策制定者提供了宝贵的数据支持，有助于制定更加合理的网络政策和规划。

l  研究和教育：它为学术研究提供了丰富的数据资源，同时也是网络空间教育的重要工具。

网络空间测绘在现代社会中的应用是多方面的，它不仅对网络安全领域产生了深远的影响，也在其他许多领域发挥着重要作用。

网络安全

l  资产发现：通过网络空间测绘，组织可以识别和管理其网络中的所有资产，包括未授权或遗忘的设备。

l  漏洞管理：网络空间测绘有助于发现系统中的安全漏洞，从而允许及时修补，减少安全风险。

l  威胁情报：它可以提供关于网络威胁的详细信息，帮助安全团队更好地理解和防御潜在的攻击。

l  态势感知：网络空间测绘提供了一个实时视图，使安全专家能够监控网络状态，识别异常行为，并迅速响应。

网络治理

l  政策制定：网络空间测绘为政策制定者提供了数据支持，帮助他们制定有关网络治理和网络空间行为的政策。

l  法律执行：执法机构可以使用网络空间测绘来追踪非法活动，如网络诈骗、黑客攻击等。

城市和基础设施规划

l  智能城市：网络空间测绘可以帮助城市规划者设计更高效的交通系统，优化公共服务，以及提升城市管理水平。

l  关键基础设施保护：网络空间测绘有助于保护关键基础设施，如电网、水系统等，确保它们免受网络攻击。

教育和研究

学术研究：研究人员可以使用网络空间测绘来进行网络科学和社会学研究。

教育资源：网络空间测绘可以作为教育资源，帮助学生理解网络技术和网络安全的基本概念。

网络空间测绘作为数字世界的地理信息系统，对于现代社会的发展至关重要。我们今天总结了一下网络空间测绘系统的重要性和在社会中的应用方面。下回我们从基础技术要求、具体应用领域以及网络空间的挑战与未来这三个方向来解析网络空间测绘系统。

添加管理员微信号：quake_360

备注 您的账号 邀请加入技术交流群

因为看见 所以安全

10月16日，思科Talos发布了一篇文章，警告思科IOS XE软件的Web用户界面（Web UI）功能中存在0day漏洞，该漏洞已被未知的攻击者在野利用。思科警告说，成功的利用可能允许攻击者创建一个具有15级访问权限的帐户，这是能让用户完全控制路由器的最高权限。

9月28日调查的一个客户支持案例引起了思科Talos的警觉。在调查期间，思科发现了早在9月18日的证据，表明一个未知的可疑IP地址创建了一个新的用户帐户。10月12日观察到了额外的威胁活动，一个用户帐户被创建，同时一个配置文件被上传，以允许攻击者执行命令并保持对受影响设备的长期访问。

验证

Cisco Talos 提供了如下命令检查植入是否存在，其中systemip是待检查系统的IP地址。这个命令应从有待检查系统访问权限的工作站发出：

curl -k -X POST "https://systemip/webui/logoutconfirm.html?logon_hash=1"

如果请求返回了一个16进制字符串，表明植入是存在的。

注意：如果系统已配置只允许HTTP访问，则使用http://发出上述命令

参考链接：

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-iosxe-webui-privesc-j22SaA4z

互联网的分布情况

使用360Quake搜索启用了 Web UI 的思科IOS XE设备，目前显示有超过 170,000 个暴露在互联网上的设备，语法为app:"Cisco IOS XE"。

已被威胁行为者植入的设备超过42000个，且在持续发现中。

处置建议

目前思科还未修补此一安全漏洞，思科强烈建议客户应在所有接入公开网络的设备上，关闭 HTTP Server 功能。

360QUAKE

9月27日—10月10日

Quake文章征集

1、撰写Quake相关文章 发送邮箱quake@360.cn ，留下联系微信哦

2、审核通过的文章会在Quake官方公众号发布

3、据文章“质量”和阅读量赠送对应礼品

礼品奖池有Quake终身会员、 高级会员、积分、定制礼品等～

幸运奖    1人    “小红红“T恤

惊喜奖    9人    Quake星空水杯

第一步：将本文活动转发至微信朋友圈（全部可见） ，并附言：我在quake.360.net 领取双节好礼，快来一起参加哦～

第二步：扫码参加抽奖

第三步：开奖后管理员进行审核，符合要求的统一快递寄送礼品

添加管理员微信号：quake_360

备注：进群     邀您加入技术交流群

网络空间测绘产品是一种可以帮助用户发现、识别、管理和保护网络上的各种资产的产品。网络资产是指网络上可以访问或者控制的任何实体，如主机，服务器，设备，服务，网站等。网络空间测绘产品可以通过主动或者被动的方式对目标网络空间进行探测和扫描，收集和分析资产的信息，如域名，IP地址，端口，服务，协议，应用程序，指纹，地理位置，所有者等。网络空间测绘产品还可以对资产的安全风险进行评估和监测，发现和修复潜在的漏洞和威胁。

在360Quake当中，我们提供了一些特殊的关键词或者语法来实现更加细致的资产聚合筛选：

例如：使用district字段进行搜索，可以更加精细地定位某个市区或县的相关网络资产。通过添加district:"朝阳区"等关键词，可以将资产限定在特定地区范围内，实现更精确的搜索结果。这样的功能可以帮助在网络空间测绘中快速定位和获取特定地区的网络资产信息。

在Quake中，可以使用catalog、type和app等关键词进行资产设备的筛选和分类。其中，catalog关键词对应于产品页面中的第一层级大类，例如移动设备、区块链等。通过指定相应的catalog关键词，可以快速筛选出特定类型的资产设备。

此外，type和app也是用于资产设备的分类和筛选的关键词。type关键词可以细分资产设备的类型，例如服务器、路由器、交换机等。而app关键词则用于指定特定的应用程序或软件，以便筛选出与该应用程序相关的资产设备。

通过结合使用catalog、type和app等关键词，可以更加精确地筛选和定位所需的资产设备，便于在网络空间测绘中获取特定类别或应用相关的信息。

如：catalog:"区块链"

type是catalog下大类展开的第二层类名，如：type:"户外广告"。

最后的app是对最底分类的产品的集合搜索，如 app:"Sunny-Matrix"

可以利用证书进行资产排查和筛选，以查找包含特定证书信息的IP资产数据。例如，通过使用cert:"奇虎科技"可以搜索包含"奇虎科技"证书的IP资产数据，而cert:"360.cn"可以搜索包含"360.cn"域名的证书的资产。这样的筛选方法可以帮助发现一些没有域名信息但具有证书的IP边缘资产。通过分析这些资产，可以获取更多关于特定证书持有者的信息，进一步了解其网络部署和使用情况。

使用证书进行资产排查筛选的方法可以提供更全面的网络空间测绘数据，帮助识别和理解与特定证书相关的资产，从而加强网络安全和风险管理。

在搜索框中输入favicon:"0488faca4c19046b94d07c3ee83cf9d6"时，可以搜索与Spring Boot相关的系统资产。Favicon可以通过网站的ico文件的MD5值计算得出，可以使用终端命令curl http://xxx.com/xx.icon | md5sum来获取。

同时，Quake还支持对图标进行相似度计算和匹配。通过使用相似度计算功能，可以比较和匹配不同图标之间的相似程度。点击网站搜索栏下面的相似度计算按钮。

使用默认相似度算法匹配可得出多个相似图片供选择合并搜索结果。

在搜索栏中使用tls_subject_CN:"360.cn"可以搜索与360相关的TLS证书中的资产IP。

这样的搜索方法可以快速找到与360相关的资产IP，因为TLS证书通常包含了与特定域名（在这种情况下是"360.cn"）相关联的资产信息。

通过分析这些TLS证书，可以获取更多关于与360相关的资产IP的信息，进一步了解其网络部署和使用情况。

在Quake帮助手册的协议深度识别大类中，实际上已经包含了许多数据库的深度识别语法，例如Elasticsearch、Hive和MongoDB等。其中，像MongoDB和Hive这样的数据库，使用service.mongodb.authentication:false语法可以搜索出存在未授权登录漏洞的MongoDB服务器，而使用service.hive.hive_dbs.dbname:"default"语法可以搜索出Hive中未授权访问默认数据库名称（dbname）的IP服务资产。

使用icp_keywords:"奇虎"搜索语法可以对网页含有"奇虎"的icp备案网站进行筛选，可以比较快的筛选出含有一些企业关键词的 ip 服务资产。

360网络空间测绘产品在网络安全、情报收集、竞争情报分析等领域具有广泛的用途，我们可以提供包含以下几个方面的功能：