导图社区 信息安全框架大全
- 192
- 0
- 0
- 举报
信息安全框架大全
包括信息安全体系建设、分层防护、安全防护技术、安全建设最佳实践等几个部分。全面覆盖安全策略、防护机制与合规性管理。
编辑于2024-08-23 23:11:47- 信息安全体系
- 安全分层防护
- 安全防护技术
- 安全建设最佳实践
- 攻击防护
- 瑞·达利欧《原则》第一部工作学习方面原则总结
这是一篇关于瑞·达利欧《原则》第一部关于工作学习相关原则的读书笔记，通过构建创意择优的思维底座，结合自己的实际工作学习现状进行裁剪，你也可以做到和瑞卡利欧一样做到极度透明的生活工作理念。对职场人来说，如果能拥有这样一套按照原则来工作的法则，将会很大提升你的工作效率。需要提醒的是，这本书讲的观点比较极端，在中国人情社会下，对应原则需要针对性裁剪以适应本地化。否则就会出现读来很有道理但不能落地的尴尬境地。切忌！
- 瑞·达利欧《原则》读书笔记
这是一篇关于瑞·达利欧《原则》萃炼500条的思维导图，主要内容包括：工作原则，生活原则，工作原则，生活原则。
- 系统规划和管理师学习笔记
这是一篇关于理论框架要点的思维导图，主要内容包括：团队管理，服务营销，监督管理，持续改进，运营管理，部署实施，服务规划。
信息安全框架大全
社区模板帮助中心，点此进入>>
- 瑞·达利欧《原则》第一部工作学习方面原则总结
这是一篇关于瑞·达利欧《原则》第一部关于工作学习相关原则的读书笔记，通过构建创意择优的思维底座，结合自己的实际工作学习现状进行裁剪，你也可以做到和瑞卡利欧一样做到极度透明的生活工作理念。对职场人来说，如果能拥有这样一套按照原则来工作的法则，将会很大提升你的工作效率。需要提醒的是，这本书讲的观点比较极端，在中国人情社会下，对应原则需要针对性裁剪以适应本地化。否则就会出现读来很有道理但不能落地的尴尬境地。切忌！
- 瑞·达利欧《原则》读书笔记
这是一篇关于瑞·达利欧《原则》萃炼500条的思维导图，主要内容包括：工作原则，生活原则，工作原则，生活原则。
- 系统规划和管理师学习笔记
这是一篇关于理论框架要点的思维导图，主要内容包括：团队管理，服务营销，监督管理，持续改进，运营管理，部署实施，服务规划。
- 相似推荐
- 大纲
信息安全框架
安全概述
挂马
通过各种手段（SQL注入、网站敏感文件扫描、服务器漏洞、网站程序0Day）等方法获得管理员账户，登陆网站后台，或者webshell。修改网站的内容，上传木马等。
安全策略
定义
针对那些被允许进入某一个组，可以访问网络技术资源和信息资源所规定、必须遵守的规则
目的
决定一个组织机构如何来保护自己
阐明架构安全政策的总体思想
让所有用户、操作人员和管理员清楚，为了保护技术和信息资源所必须遵守的原则
提供一个可获得、能够配置和检查的用于确定是否与计算机和网络系统的策略一致的基准。
必要性
强调了策略的核心作用
强调了检测、响应、防护的动态行
检测、响应、防护必须遵循安全策略进行
基本原则
适用性
可行性
动态性
简单性
系统性
安全体系
网络安全体系概述
概念
特征
用途
安全体系框架
组织体系
管理体系
技术体系
基础设施&网络安全服务
信息科技&产业生态
安全教育&培训
安全标准&法律规范
《计算机信息系统管理标准》
《关键信息基础设施安全保护条例》
简称关基安保
《中华人民共和国个人信息保护法》
《中华人民共和国数据安全法》
《中华人民共和国网络安全法》
安全运营
安全管理组织机构的管理标准
应急响应机制
安全投入和建设
分层防护
业务连续性 BCM&BCP管理
子主题
子主题
子主题
物理安全&网络通信安全
环境安全
自然灾害防护
人为破坏
鼠虫害防护
电磁防护
供电安全防护
设备安全
通信线路安全防护
设备实体安全防护
存储介质安全
安全分析
安全防护
机房安全
机房组成内容
机房安全等级
机房场地的选择
大数据安全
why：威胁分析
概念特点
5v，也就是： 1、数据来源多源 2、数据类型多样 3、数据海量 4、数据价值密度低 5、数据流转快速
安全问题
1、源头越来越多，安全边界越来越模糊。比如说云计算平台的大数据服务 2、敏感数据泄露的话，威胁风险大大增加 3、数据失真以及数据源被污染等威胁 4、数据业务处理平台遭受的业务连续性威胁 5、个人数据分散多个平台，隐私安全保护难度增加（个人敏感数据已经成为黑市上的黄金数据。同时数据的收集，传输，存储，处理，发布和使用环节都伴随数据随时泄露的风险） 6、数据交易产生的风险（交易汇聚数据可能推导出客户敏感信息） 7、大数据的滥用（生物病毒，自然人的身份信息攻击等）
法律法规
从出台的法律法规规范来看，基本几点： 1、确保用户消费者有对自己信息使用存储的知情权和使用权 2、关于国家安全，人民安全，社会安全，经济安全的所有数据都保留在境内。存储时间也有规定。 3、切实提出具体措施来保护信息的安全
需求分析
大数据自身的安全：数据要可靠。 数据安全的基本安全需求（真实性，可用性，机密性，可靠性，完整性，实时性，可以追溯性等）
大数据的安全合规，满足各个区域地区的法律规章制度
大数据跨境安全，比如说欧盟的GDPR（一般数据保护法）
大数据隐私保护，个人敏感信息的处理
大数据处理平台的安全（物理环境，网络通信，操作系统，数据库，应用系统，数据存储）
大数据的业务安全，防止数据滥用，数据扩散等
大数据的运营安全
How：安全保护机制和技术
数据：大数据自身安全保护
数据源认证
数据溯源保护
数据用户标识和鉴别
数据资源访问控制
平台：大数据平台安全
边界安全
网络通讯安全
用户身份认证和权限管理
大数据计算安全
应急灾备
审计和监控
业务：大数据业务安全
业务授权，基于RBAC
业务逻辑安全，业务流程不存在缺陷
合规性安全（敏感数据安全检查）
隐私安全保护
数据身份匿名
数据差分隐私
数据脱敏
数据加密
数据访问控制
运营安全
大数据处理系统的安全维护
大数据处理系统安全策略更新
大数据处理系统的安全设备配置
安全事件监测和应急响应
入侵检测和网络安全态势感知
网络攻击取证
安全审计，安全堡垒机
容灾备份
软件开发安全SDLC
子主题
子主题
子主题
子主题
计算环境安全
操作系统OS安全防护
数据库安全防护
web安全防护
恶意代码安防
网络安全防护
漏洞扫描
入侵检测
入侵阻断
软件白名单
网络流量清洗
可信计算TPM
数字水印技术
蜜罐&网络陷阱
隐私保护
主动防御
云计算安全防护
威胁来源
云计算用户安全威胁（端）
用户弱口令威胁
用户终端被木马病毒攻破，获取到权限，假冒用户访问导致的数据泄露等威胁（包含用户隐私保护考量）
云计算平台安全威胁（云）
GuestOS镜像污染威胁：云服务商提供的镜像存在漏洞问题，没有及时的防护方案会导致镜像污染问题，并有可能扩展范围到整个数据中心
最低层的物理环境威胁：比如说自然环境条件带来的威胁（风雷电等）导致云计算服务无法正常提供
云计算服务资源的滥用威胁：比如说做为肉鸡，僵尸网络等。以及通过购买大量云平台EIP资源做恶意爬虫业务等等。
对CSP的过度依赖威胁：客户业务的严重依赖CSP，迁移多云的困难性障碍
云服务的中断带来的服务不可用风险（SLA）
利用不安全的接口进行攻击，比如说sql注入类等获取到管理权限
云用户和计算平台之间的网络连接（管）
网络窃听
拒绝服务攻击
中间人攻击
网络数据明文传输导致的数据泄露等
虚拟机安全威胁（操作系统）
共享隔离机制的失效带来的威胁：租户之间的互相攻击和窃取数据安全（在租户级别隔离机制失效前提下，这个攻击理论是可行的）
虚拟机逃逸威胁：云计算管理操作系统的漏洞会导致攻击者通过虚拟机漏洞攻击，获得平台管理员的权限。比如说vmware，openstack，kvm等
云平台运维安全威胁（运维行为）
云计算平台运维和操作不当带来的威胁，比如说数据泄露和服务的终止等
数据残留威胁：云上数据删除销毁方式不可见，存在数据被还原利用的风险
存储的数据等遭受攻击，或者运维手段失误导致的数据丢失，无法还原等威胁
防护需求
云计算技术安全需求
按照云计算安全等级保护2.0的规定，分为端-管-云三大部分。
云计算的合规合法需求
国际规范：CSA 云安全联盟最佳实践4.0
国内规范：很多规范。
云计算的隐私安全需求
数据采集：采集需要明确告知用户具体采集的目的和使用的风险
数据传输：采用加密方式传输，防止数据传输过程外泄
数据存储：采用加密，认证，访问控制和备份等综合手段保证存储安全
数据使用：实行特权管理，数据标记来源，最小权限分配。防止访问人员权限滥用
数据维护：制定数据生命周期管理流程规范，对参与人员签订保密协议，敏感数据及时清除销毁
数据安全事件处置：针对安全事件制定应急响应预案，快速消除事件恢复业务
加固方案
安全等级保护框架
云计算保护对象安全等级划分
依然按照5级划分标准 1、用户自主保护级 2、系统审计安全级 3、安全标记保护级 4、结构化安全保护级 5、访问验证保护级
设计框架（等保2.0）
1中心：安全管理中心
3重防护
安全通信网络防护
安全计算环境
安全区域边界计算防护
云计算安全防护
物理环境安全，包括传统的物理环境安全，以及云计算平台所在物理位置的安全
网络通信安全，以及网络边界安全等。涉及到基础设施即服务 IAAS 安全
设备和计算安全，比如资源控制，镜像和快照保护等，涉及平台即服务 PAAS 安全
应用和数据安全，比如软件容错，资源控制，接口安全，数据完整性，数据保密性，数据备份还原机制，剩余信息保护，个人信息保护等，涉及到软件即服务 SAAS安全。
云用户安全保护，比如云用户身份标识与鉴别，云用户访问控制等。
云计算的安全管理
安全策略和管理制度的设计
安全管理机构和人员
安全管理对象
云计算安全运维
云计算环境和资产运维管理
安全漏洞检查和风险的分析
安全设备及策略维护
安全监管
安全监测和应急响应
安全运维安全措施（比如说特权管理，远程访问安全，运维审计，容灾备份等）
云计算隐私保护
CSP隐私保护
个人信息的备份保管
严格的管理制度和流程保障个人信息安全
合规和安全认证
强化身份验证和访问控制
限制个人信息存储服务器所在物理位置（国内）
个人信息留存管理，时间不能过长
个人隐私保护
加强个人保护意识
个人信息收集符合性监督
个人信息更正的权力
个人性服务选择：有权力选择允许或者拒绝
应急响应机制
制定应急响应方案，发现安全事件后，按照规定及时上报同时通过告警手段触达客户，并给出安全建议。协议进行安全事件的处理和干预
工控行业安全防护
工控系统构成和组件
系统
SCADA系统：数据采集与监视控制系统
DCS：分布式控制系统，是区别于SCADA的另外一套系统
PCS：过程控制系统，process control system
组件
MTU:SCADA的控制中心单元，叫做主终端控制单元
RTU：scada系统的终端设备，叫做远程终端单位。
PLC：可编程逻辑控制器，programmable logic controller
HMI：人机交互界面
通信网络
OPC
modbus
DNP3
TCP/IP
威胁来源
自然灾害和现场恶劣环境
内部安全威胁
设备功能安全故障
恶意代码入侵
网络攻击
安全隐患类型
工控协议安全：Modubus设置时候没考虑安全问题，通信采用明文方式进行
工控系统所用产品的安全漏洞
工控系统软件的安全漏洞
工控系统的安全算法漏洞
工控系统的设备固件漏洞
工控系统的硬件漏洞
工控系统的开放接入的接入漏洞
工控系统的供应链安全
安全保护机制及技术
物理及现场环境的保护，包括专人值守，视频操作监控等手段
安全分区和边界保护手段，包括安全分区，工控防火墙隔离，隔离和信息交换系统（也即网闸设备）
身份认证和访问控制的保护，包括多因素认证，最小特权原则，避免使用缺省的口令或者弱口令等。
远程访问的安全，比如禁用高风险服务，安全加固，虚拟专用网络VPN，安全审计
工控系统的安全加固措施，包括安全策略配置，身份认证增强，强制访问控制，程序白名单控制
工控的安全审计，包括安全审计设备的部署，审计数据的备份，审计数据分析利用等
恶意代码的防范，包括防病毒软件测试和部署运行，重大工控漏洞信息获取和补丁升级修复等措施。
工控数据安全层面，包括工业数据管理办法，对数据的安全保护措施（安全隔离 / 访问控制 / 加密传输和存储 / 定期备份等）
工控安全监测及应急的响应措施，包括监测设备的安装和使用 & 工控安全事件的应急响应预案制定，演练等
工控的安全管理，包括资产清单的建立 / 关键设备的冗余配置 / 安全软件的选择和管理（软件白名单机制） / 配置和补丁管理 / 供应链管理 / 落实到责任等方面。
应用产品形态
防护类产品：工控防火墙 / 工控加密设备 / 工控的用户身份认证 / 工控的可信计算 / 工控系统安全加固等
物理隔离类产品：网闸 / 正反向隔离装置等
审计监测类产品：工控安全审计产品 / 工控入侵检测系统
安全检查类产品：工控漏洞扫描 / 工控的漏洞挖掘 / 工控安全基线检查等。
运维和风险管控类：工控堡垒机 / 工控风险管理系统等
移动应用安全
安全分析
移动操作系统安全分析
操作系统OS上的漏洞和缺陷
移动通信网络安全分析
wifi钓鱼等网络监听，身份盗用等威胁
移动应用 app 安全分析
恶意代码，比如计算机病毒，木马等
应用代码逆向工程，可以分析到源代码的关键算法和窃取敏感数据
应用程序的非法篡改
android 系统安全和保护机制
系统组成
系统内核
系统运行库层
应用程序框架层
应用程序层
安全系统结构
内核层：文件系统安全（ACL权限位），地址空间布局随机化（ASLR），SElinux
系统运行库层：安全沙箱，SSL
应用程序框架层：应用程序签名机制
应用程序层：权限声明机制
系统安全机制
进程沙箱隔离机制
SQLite 数据库安全：采用加密机制维护数据的存储安全
应用程序签名机制
权限声明机制，属于应用程序层
网络传输加密
iOS 系统安全和保护机制
系统安全体系
硬件和固件
1、apple根证书，应用秘钥，组秘钥 2、加密引擎 3、内核
软件
文件系统 操作系统分区 用户分区 应用沙箱 数据保护类
系统安全机制
安全启动链
权限分离机制
代码签名机制
DEP技术
地址空间布局随机化 ASLR
沙箱机制
数据的加密和保护机制
网络传输加密
系统组成
核心操作系统层
核心操作系统层
触摸层
媒体服务层
安全保护机制和技术方案
app 安全风险
逆向工程风险
篡改风险
数据窃取风险
app 安全加固
防逆向编译（通过文件加密方式）
防调试，设置调试检测的功能。调试时候触发安全防护行为
防篡改，采用签名和多重校验方式，保证数据完整性
数据防泄露，采用本地数据加密技术
传输数据防护，传输采用SSL加密传输
app 安全检测
身份认证机制检测
通信会话安全机制检测
敏感信息保护机制检测
日志安全策略检测
日志安全策略检测
服务端鉴权机制检测
访问控制机制检测
数据防篡改能力检测
防 SQL 注入能力检测
app 安全漏洞检测
安全模型
BLP机密性模型
基本安全特性：向下读
*特性：向上写
访问策略：安全集和范畴集。用户的安全级高于信息安全级，同时范畴包含信息都范畴，才具有访问权限。
Biba完整性模型
基本安全特性：不能向下读
*特性:不能向上写
调用特性：主体完整性小于另外一个主体的完整性级别，无法调用主体
信息流FM模型
目标是用来发现那些通过隐蔽通道泄露信息都可能性。 尤其是低安全级别通过隐蔽通道到高优先级别的信息流动，可以防止信息的泄露。
信息保障模型
PDRR
预防
检测
响应
恢复
P2RR
策略
预防
响应
恢复
WPDRRC
预警
保护
检测
响应
恢复
反击(溯源+加固)
能力成熟度模型
SEC-CMM
系统安全工程能力成熟度模型
模型组成
工程过程类
组织过程类
项目过程类
数据安全能力成熟度
人员
组织
制度
技术
软件安全能力成熟度
补丁修补
渗透测试
安全代码评审
漏洞评估，代码分析，安全编码标准
软件安全风险识别，SDLC 实施不同安全检查点
改进软件安全风险覆盖率，评估安全差距
纵深防御模型
分层防护模型
分层抵御
层层防御
保护、监测、响应、恢复
等级保护模型
OSI七层模型
网络生存模型3R
识别
抵抗
恢复
最佳实践
总原则
分层防御
预防为主
操作系统安全
windows 系统安全增强方案
linux系统安全增强方案
数据库系统
MySQL安全实践
Redis安全实践
国产数据库安全实践
网络设备及通信安全
网络设备安全增强方案
路由器
交换机
网络边界安全防护方案
IDS
部署和安装
配置和使用（iptables）
IPS
部署和安装
配置和使用（snort）
Firewall
部署和安装
配置和使用（iptables）
物理网闸
电子政务网闸
能源领域的隔离装置
漏洞扫描
nmap
nessus
网络通信安全保护方案
VPN
IPSec VPN
SSL VPIN
L2TP VPN
开源类
strongswan
openswan
网络安全
网络安全日志数据分析方案
网络安全运维管理方案（审计）
应用系统安全
网站web安全
网站安全主要是指网站的机密性，完整性，可用性和可控性
威胁来源
非授权访问
网页篡改
数据泄露
恶意代码
网站假冒
拒绝服务
网站后台管理的安全威胁（可控性的具体体现）
web部署方案
apache
nginx
防护加固
文件权限设置
chmod
groupmod
chattr
为web服务设置专门的用户和组来运行
模块扩展机制
启用.htaccess 文件保护网页
不必要的模块默认不安装
删除不必要的目录
设置隐藏目录列表
禁止用户重载（防止修改配置）
访问数据流防护
jail 增强 chroot 沙箱环境
openssl 增强https通信安全
配置tcp_wrappers增加安全
host.deny
hosts.allow
认证/授权
basicauth
连接管理
通过设置超时&连接客户端实现连接并发数管理
同时限制单个IP的连接数量
通过UA判断多线程客户端禁用掉
自带限制防护
deny from
allow from
防范DDOS
扛D防护
探针流量检测
软件版本
及时更新软件补丁
隐藏 apache web 版本号
审计和监控
日志审计
访问日志
accesslog
错误认识
errorlog
监控监测
日常运行状态
异常指标发现
性能指标
木马监测
数据安全
IDS
IPS
内容安全
WAF
网页防篡改
应急响应机制
流程制度
备案
防伪标志
等保测评
网站维护权责利明确
漏洞管控
OWASP
SQL 注入漏洞分析和防护
1）对程序的输入进行安全过滤
2）设置应用程序最小化权限原则，采用独立的用户来执行操作；
3）屏蔽应用程序返回的错误信息。防止攻击者通过反馈信息猜测数据库的结构等信息。
4）对开源的web应用程序做安全适应性改造。比如说discuz或者wordpress等有名的web程序，对应的后端数据库默认库和表都是有规律的。这就是有风险。
遭受破坏的认证机制，认证机制薄弱
遭受破坏的访问控制机制
安全配置错误
敏感数据暴露的风险
无法加密存储和加密传输的数据，攻破后可以获取到明文数据进行攻击
XML外部实体引用漏洞
XSS 漏洞分析和防护
xss允许在受害者的浏览器中执行脚本（请求中带了恶意脚本），并劫持用户会话，破坏网站或者把用户重定向到恶意网站中去。
非安全的反序列化会导致源端代码执行
如果是恶意代码，就是很大的漏洞
使用了含有不安全或者漏洞的组件或者框架
非充分的日志记录和日志审计
使得攻击活动无法及时发现和阻止，造成更大的破坏和入侵。
目录遍历类漏洞
含义
目录遍历攻击是指攻击者通过技术手段，跳出允许访问的根目录，可以获取到其他目录下的文件和资料路径的攻击方式。
防护方案
1）确保web服务器软件版本最新，并且已经安装所有补丁
2）有效过滤任何用户输入，防范参数中的转义字符。 通过utf8编码后只要发现参数包含可能引发目录遍历攻击的非法字符，直接拒绝请求，如果合合法再将用户输入提交到服务器。
3）确保权限控制到位。 谨慎处理传向文件系统API的参数【与第二点差不多】
4）对文件类型进行白名单控制 【只允许请求html文件、css文件、js文件等这些】，对包含恶意字符或者空字符的参数进行拒绝。【windows现在已知的文件名非法字符有 \ / : * ? " < > | 】【 linux文件名非法字符 "/ " 】
使用全面的web漏洞扫描，把网站安全可能涉及的各种漏洞都进行检查。
文件上传类漏洞
定义
文件上传漏洞利用了程序对上传的文件不做严格检查和过滤的缺陷，导致上传文件存在被远程执行的可能性。比如webshell 攻击
防护方案
1）把上传的目录权限修改为不可执行；
2）增加上传文件的安全检查的逻辑，阻断恶意文件的上传，比如说.sh .PHP .py 等程序类的后缀名文件，应该直接不允许上传
防护工具
商用漏扫工具
开源类防护工具
nmap
snort
服务器安全监控
终端安全防护方案
HIDS
NIDS
数据安全
数据安全防护方案
物理安全
门禁
分区分权
监控摄像
机房风火水电类
大数据安全防护
大数据安全平台及解决方案分析
阿里的大数据管理平台：业务闭环&数据闭环&生态闭环
阿里提出的大数据生命周期管理模型： 1、产生/采集数据 2、存储数据 3、数据的使用 4、数据的传输 5、数据的共享/传播 6、数据的销毁
数据交易平台
京东万象数据交易平台，采用区块链技术，对数据来源进行溯源和确权，完成数据保护的前提下实现数据有效交易
上海数据交易中心安全保护
总的原则是交易规则+技术保障来形成数据交易规范。
规范
个人数据保护原则
数据互联原则
流通数据处理原则 1）保护个人权益 2）诚实守信原则 3）保护正当数据权益原则 4）数据安全原则
流通数据禁止清单：针对关系国计民生，社会安全稳定，指定行业的数据禁止进行交易的清单
交易要素标准体系
数据交易平台
京东万象数据交易平台，采用区块链技术，对数据来源进行溯源和确权，完成数据保护的前提下实现数据有效交易
数据安全管理解决方法理解
1、涉及到国家安全，社会稳定的数据，原则上不允许对外开放访问。如特别需要访问的，需要加强审查和控制访问范围。 2、涉及到国家秘密的数据生命周期采用国家保密规定执行。如有法人单位提出数据使用的，需要报备主管部门后审批决定。并签订保密协议。 3、加强数据生命周期安全管理，建立安全保密审查制度。 4、建立网络安全保障体系，包括网络防护措施和安全措施。 5、建立有效的容灾备份和应急响应管理机制。对重要数据进行异地备份
PCI-DSS 支付卡行业数据安全规范
适用于支付行业，按照交易量把商家划分为4类，有不同的规范和安全要求。适用所有涉及信用卡支付的企业。 6大类要求： 1）构建和维护安全的网络 2）保护持卡人的数据 3）维护漏洞管理程序 4）实施严格的存储控制措施 5）定期监控和测试网络 6）维护信息安全策略
移动办公防护BYOD
一般采用C/S架构，分成终端上的安全管理终端，以及后端的安全管理中心 1、终端的外设管理 2、配置的推送和更新 3、系统参数调整 4、针对性的安全策略 典型：H3C EAD端点注入解决方案，结合了认证+访问控制+安全监测+实时响应
日志采集&分析
syslog日志数据收集
syslog
virsual syslog server
操作系统日志安全分析
数据库系统日志安全分析
网络设备日志安全分析（命令）
网络设备日志安全分析（命令）
网站日志安全分析
网络协议分析器安装和使用（wireshark）
网络协议数据安全分析
安全管理
安全测评工作
风险评估工作
成果
风险评估报告
应急响应机制
防护技术
渗透测试
审计监测
web&应用日志审计实战
网络扫描
工具nc使用技巧
子主题
网络探测
工具curl
木马查杀
木马查杀rootkit
案例
安全入侵事件木马信息排查
webshell检测
子主题
移动应用SQLite加固
暴力破解技术
密码学
防火墙技术
概述
概念
安全区域之间的信息流量，通过一种网络设备，可以实现会话和数据流的有效访问控制。这种设备叫做防火墙设备。
工作原理
按照设置的安全规则进行包检测，控制通过防火墙的数据流量，包括拒绝，放行和审计三种行为
安全隐患
旁路数据访问
防火墙自身的安全缺陷，比如说设备的漏洞等
容易形成单点故障和性能瓶颈
无法有效的防范内部的攻击
防火墙的效用受限于安全规则的设置。
防火墙的几代发展
包过滤防火墙
安全会话防火墙
NFG下一代防火墙
分类
产品形态划分：软件防火墙/硬件防火墙
使用类型：网络防火墙/工控防火墙/数据库防火墙
应用技术
包过滤技术
应用服务代理技术
网络地址转换技术
web防火墙技术
按照提前设置好的过滤规则和安全防护规则，对所有访问web服务器的http请求和服务器响应，进行http协议和内容的过滤。
开源：modsecurity
数据库防火墙技术
工控防火墙技术
下一代防火墙NGFW 技术
技术指标和产品
技术指标
性能指标
安全指标
应用场景
防火墙部署过程
1、根据组合和公司安全策略的要求，对网络划分成几个安全区域； 2、在安全区域之间设置网络通信的访问控制点 3、针对不同的访问控制点之间的访问需求，制定不同的访问控制策略； 4、依据控制点的边界安全策略，来选择合适的防火墙技术和防范结构。 5、在防火墙上，配置实现对应的网络安全策略。 6、测试验证边界安全策略的有效性，是否能正常执行。 7、运行和维护防火墙
恶意流量流量过程
网站保护应用
网络安全区域隔离
防御体系结构
双宿主防火墙
基于代理型防火墙结构
基于屏蔽子网的防火墙结构
接入认证和访问控制技术
身份认证
认证概述
概念：主体对客体的访问，需要提供自己的标识和鉴权身份。客体验证后决定主体是否是合法身份
依据：依据自己的秘密信息，行为特征，生物特征，实物凭据（智能卡&U盾等）
原理：由验证对象，认证协议和鉴别实体构成。
认证类型
单向认证
第三方认证
挑战响应
单向认证
验证对象同时又是鉴别实体
第三方认证
TTP第三方认证认证过程。比如描述基于挑战响应的第三方认证过程
认证技术
基于口令的认证技术
口令的安全策略规则设定，同时对设置内容进行实时监测
基于智能卡认证
生物特征认证
虹膜认证
Kerberos 认证原理流程
1、kerberos 发送认证请求到AS 2、AS发送TGT给客户 3、用户发送TGT和应用服务票据申请到TGS 4、TGS回复应用票据申请信息给用户 5、用户发送应用票据信息给对应的应用服务器 6、应用服务器响应请求
优势：减少了认证次数，减少密码暴露风险。同时具有SSO单点登录特性，一次认证多次登录。 缺点在于对于时间戳有强制要求，NTP出现错误网络认证瘫痪
PKI 公钥基础设施认证技术
公钥证书的意义：你拿着一个公钥，无法证明你就是公钥的合法拥有者。但是如果由CA签名后的公钥证书，就能证明使用者是公钥的合法拥有者
CA是对证书身份进行合法化验证的可信机构。PKI是指对于证书的生命周期进行管理的基础技术设施的统称。实体主要有CA,RA,终端实体，客户端，目录服务器等
单点登录 SSO
single sign on，一次认证多次登录
产品技术指标
技术指标
认证准确率
用户支持数量
加密认证算法支持
安全保障级别
产品形态
认证增强产品，比如说U盾，智能卡等
网络准入控制
认证网关
生物认证产品
电子认证服务，比如说SSL.CA，证书等
认证应用场景
用户身份认证
信息来源证实：证明验证访问者的合法身份
信息安全保护：防止不被授权的人滥用
访问控制
概述
概念
信息系统的信息资源不是无限制对访问对象放开的。对访问对象访问资源的行为进行限制和控制的所有行动，统称为访问控制
目标
两种目标: 1、不合法的用户无法通过访问 2、合法用户无法越权访问，获得超过自己访问的权限。
访问控制模型
主体：发起验证访问的角色；
客体：验证访问控制权限，决定是否授予资源访问的角色
参考监视器：是访问策略的决策单元和控制单元的集合体
访问控制数据库：汇总主体访问客体的所有安全策略和规则集的总和。也叫访问控制策略库。
审计库：访问控制结果的记录汇总，比如说访问成功，访问失败等。
分类
自主访问控制
基于行的访问控制
口令：每个客体都有一个口令，通过访问前主体向系统提交对应的口令决定是否可以拥有访问客体的权限。
能力表：能力是访问客体的钥匙。有能力表决定了主体可以对客体进行访问，以及用何种方式模式进行访问。比如说读，写和执行。
前缀表：包括了受保护的客体，以及主体对它的访问权限。
基于列的访问控制
权限位（保护位），也就是unix/linux中用的9bit位控制；
访问控制列表，比如ACL
强制访问控制
基于角色的访问控制
俗称RBAC，四个基本要素：用户，角色，会话和权限。由用户-角色，角色-权限相映射绑定，实现用户和权限的绑定关系
访问控制策略的设计和实现
访问控制策略
定义:规定用户访问资源的权限，防止资源损失，泄密和非法使用等
访问控制管理实现步骤
策略类型
机密性访问策略
BLP访问策略模型
完整性访问策略
Biba策略模型
访问控制规则类型和实现
基于用户
基于地址
基于时间
基于状态
基于服务数量
基于异常事件等
访问控制过程中的安全管理
最小特权管理
用户访问管理
口令管理（长度&强度&复杂度等）
访问控制管理过程
1、明确要防护的资产。 2、分析安全管理资产的安全需求，比如机密性，完整性和可用性要求等 3、制定访问控制策略，确定访问控制规则和用户权限的分配 4、实现访问控制策略，建立用户身份认证系统，根据用户身份来授予用户访问资产的权限。 5、运行和维护访问控制系统，及时调整访问策略。
访问控制产品指标
访问控制机制
功能指标
性能指标
访问控制应用
UNIX/linux访问控制，采用对文件的9bit权限位控制
windows访问控制（windows2000访问模块）
web服务器访问控制（多层过滤访问）
网络通信访问控制（防火墙,vlan技术）
VPN技术
概述
vpn概念
Virtual Private Network：在不可信的公网环境下采用安全隧道机制，提供一个安全可信的通信线路。提供 机密性/完整性/认证服务（采用验证头可以验证来源）
工作原理
安全服务功能
VPN类型
链路层VPN：pptp/l2tp
L2TP需要额外客户端软件，端口UDP 1701
PPTP一般是复用电话线ISDN线路，为家庭用户提供一个接入网络的方式
网络层VPN：ipsec vpn
应用VPN：ssl vpn
实现技术
密码算法
通过密码的多次加密变换，对内容进行安全加密传输
秘钥管理
对数据加解密的秘钥的协商和分发交换叫做秘钥管理。常见方式有两种： 1、手工方式，两端配置一致； 2、采用秘钥交换协议（SKIP,ISAKMP/Oakley）等 IPSec协议就用到了秘钥管理技术
认证访问控制
1、两端的用户身份认证，确认为正确的传输方 2、对传输的信息进行校验，检验数据来源合法性
IPSec协议
协议设计目标：为了解决IP包在公网传输被攻击，被泄露不安全的短板。IEFT制定了IPSec工作组。解决安全问题。包括3个协议。
AH:验证头协议，用来解决IP包的完整性和源认证问题。
ESP:解决数据的机密性问题。
两种协议的工作机制有两种：透明模式和隧道模式。 1、其中透明模式只对IP的真实数据域做保护 2、隧道模式对IP头和数据域都做保护
SSL协议
协议组成 1、ssl 记录协议（record protocol），对应用层协议进行封装 2、ssl 握手协议 3、ssl 密码规格变更通知协议 4、ssl 告警协议 以上三个协议，进行会话的秘钥参数规格协商，以及必要的告警触发
加解密过程 1、SSL协议对数据进行分组分割 2、对分组进行数据压缩 3、对压缩后的数据打上MAC，也就是消息验证码，用来做分组的完整性校验使用 4、对分组进行加密，然后发送出去（通过TCP传输层发送） 5、对端接收到之后，一次进行解密，校验MAC，以及拼装。得到最终的数据。
技术指标
技术指标
性能指标
IPSec 1、吞吐率，64&1428字节前提下 2、丢包率，64&1428字节前提下 3、延迟率，64&1428字节前提下 4、每秒新建连接数
SSL vpn 1、新建并发用户数 2、新建并发连接数 3、最大用户数 4、最大连接数 5、吞吐率
安全指标
应用场景
远程安全访问 Access VPN
适合远程或者在家办公的员工通过客户端接入到公司内网中
外部网络安全互联 ExtranetVPN
适合第三方合作伙伴通过internet接入到公司内部，实现信息资源的共享和访问控制
构建内部安全专网 intranetVPN
适合分散在全国各地的办事处分公司等通过intranetVPN方式，连接成为一个虚拟整体，共享总部网络资源。
操作系统防护技术
ACL
SUID
SGID
sticky位
chattr位
selinux
iptables
入侵检测技术
概念
概念
判断是否为入侵的标准是访问者对于目标资源的访问是否超出了安全策略的规定。对于检测入侵的系统，统称为入侵检测系统。也就是IDS
模型
通过的CIDF模型，把入侵检测抽离成四个组件： 1、事件产生器 2、事件分析器 3、事件响应器（响应单元） 4、事件数据库
作用
IDS的作用，不是为了阻断攻击访问。而是在检测到或者已经发生的入侵攻击事件后，可以及时的记录告警给到安全管理员。类似预警机&安全巡逻员的角色。
技术
基于误用
基于概率学的误用检测（贝叶斯）
基于状态迁移的误用检测（初始和完成中间状态）
基于键盘行为的误用检测，不准确
基于规则库的误用检测，最常用。典型snort
基于异常
基于统计的异常检测
基于模式预测的异常检测
基于贝叶斯的概率统计异常检测
基于文本分类的异常检测
基于规范
基于生物免疫
基于攻击诱骗
基于入侵报警的关联检测
技术指标
功能技术指标
可靠性，可用性，时效性，准确性，可扩展性（比如说及时更新检测策略等），安全性
性能技术指标
安全技术指标
系统组成部分
数据采集模块
入侵分析引擎模块
应急处理模块
管理配置模块
相关的辅助模块
系统分类
基于主机的入侵检测HIDS
SWATCH
tripwire
网页防篡改系统
基于网络的入侵检测系统 NIDS
snort
基于主机的分布式入侵检测系统 DHIDS
基于网络的分布式入侵检测系统 DNIDS
应用场景
主机入侵检测，基于主机终端的入侵检测
网络系统内部入侵检测，基于NIDS网络的入侵检测
网络系统外部入侵检测 （UTM统一威胁管理，部署在网络边界处）
部署系统步骤
1、根据组织和公司制定的安全策略，确认IDS要检测和保护的对象或者保护网段 2、在要保护的对象和保护网段处，部署安装IDS的采集器，收集信息 3、针对安全需求，制定合适的安全监测策略； 4、根据检测策略，选择合适的IDS结构类型。 5、在IDS中，配置入侵检测规则； 6、测试验证IDS中策略是否有效正常的执行。 7、运行和维护 IDS。