信息安全服务与攻防产品介绍-2020

本文包含三部份内容： 一、根据安全服务国标2019版整理的安全服务内容 二、根据某知名网络安全厂商2020最新攻防全景图整理的攻击手段及应对方式和产品解决方案 三、根据2019年12月的中国网络安全产业分析报告（2019年）整理的网络安全产品及服务分类

信息安全

• 国标GB/T 30283-2019
  • 安全服务类型和组件
    • A信息安全咨询服务
      • 服务对象
        • 面向组织的信息系统及其支持的业务和管理。
      • 服务供需
        • 服务提供方提供信息安全领域的知识传递、工作辅导、系统规划等服务内容，以满足组织对外部“专业知识”的需求，从而提高自身的信息安全管理、规划、分析和决策能力。
      • 服务特征
        • 基于组织整体的使命和业务，以人力的方式提供相关咨询，服务交付物通常是一些文档。
      • 服务质量
        • 首先取决于服务人员的专业知识、经验的丰富程度，其次取决于服务人员的理解、分析和沟通等综合能力。服务人员与组织内有关人员（尤其是信息安全责任部门人员）的有效交互过程是咨询服务成败的关键。
      • 服务组件
        • A1信息安全规划咨询
          • 信息安全规划咨询主要是从组织核心业务、核心价值出发，根据组织的发展战略，提取组织的安全需求，对相应的安全保障目标、任务、措施和步骤进行规划。信息安全规划咨询应站在组织整体的角度，从策略、组织、管理、技术、资源等多方面进行综合考虑，涉及综合管理、技术规范、工程建设、运行维护等多个层面。信息安全规划咨询的成果，是组织在一段时间内开展信息安全保障工作的依据。
        • A2信息安全管理体系咨询
          • 信息安全管理体系咨询主要是依照国际或国家信息安全管理体系相关标准，基于业务风险方法，通过定义范围和方针、业务分析、风险分析、设计、实施等步骤，面向组织建立、实施、运行、监视、评审、保持和改进信息安全的体系。信息安全管理体系是组织整个管理体系的一部分，应包括组织结构、方针策略、规划活动、职责、实践、规程、过程和资源等多个方面。
        • A3信息安全风险评估咨询
          • 信息安全风险评估咨询主要是依据有关政策、法律以及信息安全技术与管理标准，从风险管理角度，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。通过评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，并制定和提出有针对性的抵御风险的技术策略、防护对策和整改措施。信息安全风险评估咨询应贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段。
        • A4信息安全应急管理咨询
          • 信息安全应急管理咨询主要是针对各类各级信息安全事件，从应急管理角度，通过编制应急预案和指导应急演练，面向组织建立信息安全应急管理体系，并不断进行改进和提高。 a)应急预案的内容包括：建立组织的应急响应小组，制定应急响应流程，建立监测和预警机制，落实应急保障资源，制定子预案及相关支持文档，以及指导实施应急处理等。 b)应急演练是根据组织已有的应急预案，在设备、系统、业务、组织等不同层面进行测试和演练，从而提高组织的应对各类突发信息安全事件的能力，演练的方式可分为桌面演练、模拟演练和实战演练。
        • A5业务连续性管理咨询
          • 业务连续性管理咨询主要是为保护组织的核心业务、核心价值，从保障组织的业务持续开展出发，通过识别组织业务的连续性指标要求，识别潜在的威胁和相关影响，制订业务连续性计划和灾难恢复计划，最终帮助组织建立一套综合管理流程，形成组织的业务保持和恢复能力，提高组织的风险防范能力，有效的响应非计划的业务破坏并降低不良影响。
        • A6信息安全合规咨询
          • 信息安全合规咨询主要是为确保组织符合特定的国际或国家或行业信息安全标准规范要求以及遵循相关的法律法规，从合规角度出发，结合组织的内部制度、管理运作模式、业务要求等和相关外部政策、法律以及标准规范，识别组织需要满足的合规系列要求，通过专业工具、分析访谈、历史数据、相关文档收集等方法，发现合规差距，制定合规差距整改实施路线图，编制合规评估报告以供内外部审计监管部门进行控制有效性评价。
        • A99其他信息安全咨询服务
    • B信息安全实施服务
      • 服务对象
        • 面向具体的（组织）信息系统或（个人）信息设备。组织的信息系统可以部署在组织内，也可以部署在托管数据中心内，还可以部署在云平台的虚拟资源上，或者以前面集中形式混合部署。
      • 服务供需
        • 服务提供方提供与信息安全相关的技术保障、管理保障等直接支撑，以满足组织（或个人）对专业技能、专业人员、专业工具/设备/设施/资源的需求，从而保障信息系统整体或各层面的安全性。
      • 服务特征
        • 基于对信息系统全生命周期的信息安全保障，为系统的建设和运行提供相关的实现，具有较高的重复性。
      • 服务质量
        • 取决于服务提供方的整体专业能力和服务成熟度，主要包括：组织管理、专业知识、技术能力、人员素质、工具平台、服务经验、外部资源等方面。服务需求方的积极参与可以提高实施服务质量。
      • 服务组件
        • B1信息安全设计
          • 信息安全设计主要是针对信息系统的安全保障需求，对组织的安全规划进行落实，设计总体安全策略、制定信息安全建设方案和实施方案，并在此基础上形成安全架构、技术体系和管理体系的设计。信息安全设计一般可分为顶层设计、初步设计和详细设计等不同的服务交付物。信息安全设计还可以包含对信息安全产品的功能和性能设计，以及选型建议。
        • B2信息安全产品部署
          • 信息安全产品部署主要是根据信息系统安全设计方案，对已采购、租赁或开发的信息安全产品进行安装配置、功能调试和性能测试，以及对相关人员的必要培训等，以达到预期的安全要求。一般包括各类信息安全产品的独立部署、各自部署或者组合部署（集成部署）。 信息安全产品部署还可以包含对信息安全产品的采购，即按照设计方案中的要求，依据相关主管部门的管理要求，以产品性价比为原则，完成产品及其后续服务的采购。
        • B3信息安全产品租赁
          • 信息安全产品租赁主要是针对组织信息安全保障需求迫切，同时又缺乏信息安全建设经费等问题，由信息安全服务提供方（即出租人）以租赁的方式在规定的时间内（通常称之为租期）向组织（承租人）提供可满足组织信息安全保障需求的信息网络安全软件、设备和技术服务，承租人按照服务协议向出租人支付租赁费用。 出租人以在法律上拥有租赁设备所有权为前提，在租期内将该项产品的使用权出租给承租人；承租人则对租赁产品在经济上拥有使用权，在租期内有权占有，并正常使用该项租赁产品。租期结束后，由承租人和出租人按照服务协议或协商确定租赁设备的所有权。
        • B4信息安全产品定制开发
          • 信息安全产品定制开发主要是按照信息安全设计方案的安全目标和安全功能，对于一些不能通过采购现有信息安全产品来满足的安全需求，通过定制开发而予以满足。信息安全产品定制开发也可以基于已有的信息安全产品进行二次开发。
        • B5信息安全开发规范设计
          • 信息安全开发规范设计主要针对软件开发过程，从安全漏洞产生的根源上，通过对软件工程的控制，为组织的信息系统提供一个安全保证的过程和满足安全合规要求。信息安全开发规范设计应贯穿信息系统开发的需求分析与设计阶段、开发阶段与测试阶段，通常包括适当的安全培训，规范安全开发流程，确定安全基线要求，评估与审计代码安全，执行安全测试，制定事件响应计划，最终安全评析等过程。
        • B6信息安全监控
          • 信息安全监控主要是通过监测类工具、平台或感知节点设备，对信息系统的环境、网络、主机、系统和应用等进行实时监测和感知，查看各个系统组件的功能、性能、运行状况等，检查设备、系统和应用的日志，一旦发现威胁、告警、事件等异常情况或行为，可以采取措施解决，或者启动应急响应等。信息安全监控还可以包含对高级持续性攻击的监测、信息安全态势的研判、信息安全事件的预警等服务内容。 信息安全监控一般可以分为现场监控和远程监控两种方式。现场监控是由服务提供方的驻场人员为组织承担系统维护和管理的任务，对组织的信息系统实施监控。远程监控是由服务提供方在远程的安全运行或运营中心中进行，一般需要有加密的网络连接，并在组织的信息系统上安装一些监测类工具、平台或感知节点设备。
        • B7信息安全综合分析
          • 信息安全综合分析主要是通过专业化的分析设备、工具或平台，融合日志、流量、性能、漏洞、评测等多类型网络安全信息资源，采用多类专业智能化分析引擎、AI检测模型和信息资源库，对各类网络攻击、恶意代码、异常及违规行为等进行综合鉴定分析，并提出建议采取的解决方案或措施。信息安全综合分析也可协同实施事件响应和调查取证。信息安全综合分析通常采用大数据架构和技术以实现对海量数据的快速、高效、及时的分析与计算。 信息安全综合分析一般可以分为现场分析和远程分析两种方式。现场分析是由服务提供方的驻场人员完成综合分析。远程分析是由服务提供方在远程的安全运行或运营中心中进行，一般需要有加密的网络连接，并在组织的信息系统上安装数据收集软件或工具。
        • B8信息安全通报预警
          • 信息安全通报预警主要是在通报预警提供方与接收方之间，建立一种紧密、有序的信息发布和沟通渠道、信息通报预警工作机制，以便最新的信息安全通报信息或预警信息能够被组织或个人获知，并及时采取控制措施来预防自身信息安全事件的发生。通报预警内容包含但不限于：漏洞信息、威胁信息、病毒信息、预警消息、重大事件和问题通告等，以及相应的解决方案。
        • B9威胁信息共享
          • 威胁信息共享也称为威胁情报共享，主要是在威胁情报的提供方和接收方之间，建立一种有序的威胁情报的共享机制，以便最新的威胁情报能够被组织或个人通过主动查询、被动推动等方式获知，并及时采取控制措施来预防自身信息安全事件的发生。威胁信息共享常用于与信息安全综合分析工具或平台进行联动，协助组织快速、精准网络攻击研判、攻击者画像、溯源等。
        • B10数据安全保护
          • 数据安全保护主要是针对数据收集、传输、存储、处理、使用、删除以及销毁等数据生命周期中的相关行为和活动，从数据安全保护的角度出发，对整个数据生命周期进行控管，保证数据的机密性、完整性和可用性。数据安全保护通常采用隐藏（如水印、脱敏）、访问控制、密码、备份恢复、数据抢救和修复等技术。
        • B11反欺诈
          • 反欺诈主要是针对钓鱼网站诈骗、钓鱼邮件诈骗、电话诈骗、盗卡盗号等欺诈行为，从反欺诈角度，采取一定的手段或措施，协助组织建立针对各类欺诈行为的事前宣传防范、事中监控的闭环反欺诈体系，识别欺诈行为，制定处置措施，阻断欺诈行为，提高应对反欺诈防控能力。
        • B12运维管控
          • 信息安全运维管控主要是针对与安全运维有关的活动，从外部采取一定的手段和措施，制定安全运维基线，建立安全运维管控策略，规范安全运维活动，降低安全运维过程中可能出现的数据泄露、执行权限细粒度过大等问题所引发的风险，提升运维安全性。
        • B13电子认证
          • 电子认证主要是指为电子签名相关各方的真实性和可靠性验证提供证明的活动。电子认证服务机构面向证书订户提供实施层面的电子认证服务，包括证书申请、证书签发、密钥更新、证书变更、证书撤销和挂起、证书的有效性验证、秘钥生成、备份和恢复、证书口令解锁、证书补办等在内的各种服务，并提供必要的技术支持，涉及数字证书管理、使用，存储介质硬件设备使用，电子认证服务系统使用及各类数字证书应用（如证书登陆、加密、签名和安全邮件等）。
        • B14信息安全监理
          • 信息安全监理主要是指信息安全工程监理，即具有相关资质的监理单位受信息安全工程建设单位的委托，依据国家批准的信息化工程项目建设文件、有关工程建设的法律法规和工程建设监理合同及其他工程建设合同，尤其是依据信息安全方面的标准和要求，在工程建设各阶段向建设单位提供相关咨询，并协助建设单位对承建单位在工程建设中的信息安全实施服务，实施控制和管理的一种专业化服务活动。信息安全监理还可以包括对信息系统运维阶段的其他信息安全实施服务进行监理。
        • B15信息安全应急处理
          • 信息安全应急处理主要是根据国家的相关网络安全应急预案要求和组织信息安全应急管理体系，针对各类突发信息安全事件，提供实施层面的应急响应处置。应急响应是对已发生的各类信息安全事件做出快速响应，及时而有效进行事件处理，最大程度上减少损失和该事件造成的消极影响，响应的方式可以按事件特点和级别分为现场和远程两种。
        • B16调查取证
          • 调查取证主要是针对信息安全事件或网络犯罪，捕获、记录事件以发现攻击行为和作案特征或其他的问题事件的来源，提取电子证据，形成证据链以对信息安全事件或网络犯罪行为进行调查、分析、识别。调查取证通常需制定调查取证流程与预案，执行调查访谈，使用规范、可信、认证的取证工具，现场勘查，电子证据识别、收集、提取与保全，证据链分析以及编写调查取证报告。
        • B17信息安全加固和优化
          • 信息安全加固主要是针对组织在实施风险评估、安全检查和测试过程中发现的各种安全风险、系统漏洞和不符合项，依据既定的信息安全策略，采取措施予以弥补，消除已暴露的问题和可能的隐患。 信息安全优化主要是基于风险评估等方法，对现有网络和系统架构进行调整和优化，或对现有设备的安全策略进行设置和调整。 在实际服务中，信息安全加固和信息安全优化往往同时进行。
        • B18信息安全检查和测试
          • 信息安全检查主要是针对组织部署的信息安全技术措施及其运行记录进行检查或审查，验证安全措施的完整性和有效性，并及时发现异常活动和潜在风险。一般包括对信息系统各层面的运行状态检查、配置项检查、日志分析等，也包括借助专门的安全审计设备来实施检查。信息安全检查还可以包含对信息安全管理措施和相关人员的检查。 信息安全测试主要是针对信息系统及其产品的安全属性，采取动态的手段进行问题发现、符合性和有效性验证。一般包括信息系统测试、漏洞扫描和渗透性测试等。 a)信息系统测试是指将已经确认的信息系统组成元素结合在一起，进行各种组装测试和确认测试，发现所开发的系统与安全需求不符或矛盾的地方，从而提出安全整改方案。 b)漏洞扫描服务是指借助一些专业的漏洞扫描工具，发现信息系统各层面存在的安全漏洞，为信息安全加固提供支持信息。 渗透性测试是指信息安全服务提供者的专业人员模拟攻击行为，对目标系统实施渗透，意图找到“非法”进入目标系统并取得相关权限的途径，从而测试目标系统安全控制措施的有效性。
        • B19备份和恢复
          • 备份和恢复是为了防止信息系统及其应用和数据等，因信息安全事件或灾难而造成的丢失或损坏。将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态的过程。备份和恢复还应包括对备份介质和链路的定期测试、恢复的定期演练。
        • B20信息安全审计
          • 信息安全审计主要是针对与信息安全有关的活动，从外部独立进行相关信息的识别、记录、存储和分析，确保各项活动符合组织已建立的安全策略和操作过程，并评估它们的有效性和准确性，发现安全违规，掌握安全状态，提出改进建议。信息安全审计的具体对象是在组织的信息安全层面上，技术和管理、物理和逻辑等方面的控制措施，包括对数据中心物理安全、网络安全、信息系统脆弱性、应用系统安全、数据库逻辑安全，以及组织的信息安全合规性等进行审核。
        • B99其他信息安全实施服务
    • C信息安全培训服务
      • 服务对象
        • 面向信息系统相关人员。
      • 服务供需
        • 服务提供方提供信息安全意识、技术、管理、体系、工程、法律、政策和标准等方面的培训内容，以满足提高信息安全意识、完善信息安全知识、掌握信息安全技能的需求，从而提高相关人员的信息安全能力水平。
      • 服务特征
        • 基于培训目的，结合培训规模、人员基础知识、培训时间、培训条件等情况，对培训内容、培训方式、考核方式等做出针对性的培训计划，并通过授课、实操、考核等方式予以实施。
      • 服务质量
        • 取决于培训的针对性、科学性和实效性。对面向组织的统一培训，培训服务提供方还应在培训结束后，提供培训效果分析报告，以便组织掌握培训情况并对培训工作持续改进。
      • 服务组件
        • C1信息安全意识培训
          • 信息安全意识培训主要是面向组织内全体人员，采用课堂演示、案例剖析、宣传短片等多种方式教授、传递有关信息安全方面的常识，并对培训效果进行测评，使培训人员对不安全行为和不安全因素有辨别能力，树立起信息安全工作观念，提高自身的信息安全意识。
        • C2信息安全专业技能培训
          • 信息安全专业技能培训主要是面向信息系统的安全设计、开发、运维和管理人员等，通过知识传授、案例研究、实际操作等方式，使培训人员掌握与自身工作相关的某一专业领域的信息安全知识和技能。信息安全专业技能培训通常可分为认证类和非认证类。
        • C99其他信息安全培训服务
    • 其他信息安全服务
  • 信息安全服务采购要素
    • 采购时机
      • 信息安全工作是组织信息化工作的重要组成部分，贯穿组织信息系统整个生命周期，因此在整个信息系统的生命周期中，组织都会根据信息安全保障需求采购信息安全服务，见附录D。 根据业界实践：在信息系统规划、设计和运行阶段，采购咨询类服务较多；在信息系统建设、运行阶段，采购实施类服务较多；在每个阶段都有可能采购信息安全风险评估和信息安全培训服务。
    • 采购目录
      • 由于信息安全服务对服务质量、服务可信和服务可控的高要求，预算和采购政策的管理部门，应及时制定并发布相关的信息安全服务采购目录（采购目录的服务分类应按照本标准执行），以便于组织正确采购相关的服务。
    • 服务资质
      • 信息安全服务资质是服务提供方服务能力的一种体现形式。对同一类服务的不同服务商，如果分别拥有不同能力级别的服务资质，则会在服务质量和服务成本上有所差异。服务需求方应根据自身的信息安全需求，结合信息安全管理部门的相关要求，确定服务提供方的资质准入或认证要求。
    • 服务价格
      • 可以根据组织级别规模、信息系统规模、信息安全保护级别，信息安全保障需求和现有水平，根据不同信息安全服务的服务界面和服务特点，综合采用定额法和比率法，分别确定面向组织和面向信息系统的信息安全服务价格（结合计价单位，确定基准价格和浮动因素）。
    • 招投标规范
      • 采购部门应根据本标准的分类，针对不同服务类别，制定相关的采购招投标规范，规范应至少对如下内容做出规定： a) 服务资质（准入资质）的要求； b) 服务级别协议的承诺形式和度量方法； c) 服务的质量要求； d) 服务的保障措施（人员、过程、工具、资源等）； e) 服务自身的安全要求； f) 服务项目评标规则。
    • 服务协议（采购合同）
      • 信息安全服务的服务协议应至少包括： a) 服务原则：对服务提供方的原则性要求； b) 服务内容：服务提供方提供的服务组件，可参照本标准二级分类； c) 服务形式：服务提供方所提供服务的方式，如：现场、远程等； d) 服务级别协议：评价服务效果关键指标； e) 服务价格：服务提供方所提供服务的价格，含总价和分项计算依据等； f ) 服务交付物：服务过程中、服务结束后，服务提供方需要提供的文档、记录、数据、成果等； g) 服务安全要求：对服务人员、服务过程、服务工具、服务数据保护等做出明确要求。
  • 信息安全服务实例
    • 作为最常见的信息安全服务采购，信息安全服务实例是由信息安全服务类别及其服务组件所构成的，典型的信息安全服务实例与其可能包含的服务组件之间的关系如表C.1所示。 服务提供方会根据服务需求方的信息化现状和信息安全保障需求、结合自身的服务能力和服务特点，对服务组件进行组合（即：形成各个服务提供方的信息安全服务实例），供需求方采购，最常见的组合方式是“安全集成”和“安全运维”。 安全集成是按照信息系统建设的安全需求，采用信息系统安全工程的方法和理论，将安全单元、产品部件进行集成的行为或活动。典型的安全集成包括： a) 信息安全设计； b) 信息安全产品部署； c) 信息安全检查和测试； 安全运维是为满足信息系统运行的安全需求，综合采用检查、测试、监控、应急等手段，维持信息系统安全保障水平的行为或活动。典型的安全运维包括： a) 信息安全检查和测试； b) 信息安全监控； c) 信息安全应急处理； 有时在安全集成和安全运维服务过程中，还会涉及一些咨询类服务和第三方角色的服务。但由于这些服务与乙方角色的实施类服务的服务界面不同，服务需求方应尽可能将其分开采购，才可保证相关的服务质量。
    • 安全咨询
      • A2信息安全管理体系咨询
        • 信息安全管理体系咨询主要是依照国际或国家信息安全管理体系相关标准，基于业务风险方法，通过定义范围和方针、业务分析、风险分析、设计、实施等步骤，面向组织建立、实施、运行、监视、评审、保持和改进信息安全的体系。信息安全管理体系是组织整个管理体系的一部分，应包括组织结构、方针策略、规划活动、职责、实践、规程、过程和资源等多个方面。
      • C1信息安全意识培训
        • 信息安全意识培训主要是面向组织内全体人员，采用课堂演示、案例剖析、宣传短片等多种方式教授、传递有关信息安全方面的常识，并对培训效果进行测评，使培训人员对不安全行为和不安全因素有辨别能力，树立起信息安全工作观念，提高自身的信息安全意识。
    • 风险评估
      • A3信息安全风险评估咨询
        • 信息安全风险评估咨询主要是依据有关政策、法律以及信息安全技术与管理标准，从风险管理角度，对信息系统及由其处理、传输和存储的信息的保密性、完整性和可用性等安全属性进行评价的过程。通过评估资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，并制定和提出有针对性的抵御风险的技术策略、防护对策和整改措施。信息安全风险评估咨询应贯穿于信息系统的规划、设计、实施、运行维护以及废弃各个阶段。
    • 安全集成
      • B1信息安全设计
        • 信息安全设计主要是针对信息系统的安全保障需求，对组织的安全规划进行落实，设计总体安全策略、制定信息安全建设方案和实施方案，并在此基础上形成安全架构、技术体系和管理体系的设计。信息安全设计一般可分为顶层设计、初步设计和详细设计等不同的服务交付物。信息安全设计还可以包含对信息安全产品的功能和性能设计，以及选型建议。
      • B2信息安全产品部署
        • 信息安全产品部署主要是根据信息系统安全设计方案，对已采购、租赁或开发的信息安全产品进行安装配置、功能调试和性能测试，以及对相关人员的必要培训等，以达到预期的安全要求。一般包括各类信息安全产品的独立部署、各自部署或者组合部署（集成部署）。 信息安全产品部署还可以包含对信息安全产品的采购，即按照设计方案中的要求，依据相关主管部门的管理要求，以产品性价比为原则，完成产品及其后续服务的采购。
      • B4信息安全产品定制开发
        • 信息安全产品定制开发主要是按照信息安全设计方案的安全目标和安全功能，对于一些不能通过采购现有信息安全产品来满足的安全需求，通过定制开发而予以满足。信息安全产品定制开发也可以基于已有的信息安全产品进行二次开发。
      • B17信息安全加固和优化
        • 信息安全加固主要是针对组织在实施风险评估、安全检查和测试过程中发现的各种安全风险、系统漏洞和不符合项，依据既定的信息安全策略，采取措施予以弥补，消除已暴露的问题和可能的隐患。 信息安全优化主要是基于风险评估等方法，对现有网络和系统架构进行调整和优化，或对现有设备的安全策略进行设置和调整。 在实际服务中，信息安全加固和信息安全优化往往同时进行。
      • B18信息安全检查和测试
        • 信息安全检查主要是针对组织部署的信息安全技术措施及其运行记录进行检查或审查，验证安全措施的完整性和有效性，并及时发现异常活动和潜在风险。一般包括对信息系统各层面的运行状态检查、配置项检查、日志分析等，也包括借助专门的安全审计设备来实施检查。信息安全检查还可以包含对信息安全管理措施和相关人员的检查。 信息安全测试主要是针对信息系统及其产品的安全属性，采取动态的手段进行问题发现、符合性和有效性验证。一般包括信息系统测试、漏洞扫描和渗透性测试等。 a)信息系统测试是指将已经确认的信息系统组成元素结合在一起，进行各种组装测试和确认测试，发现所开发的系统与安全需求不符或矛盾的地方，从而提出安全整改方案。 b)漏洞扫描服务是指借助一些专业的漏洞扫描工具，发现信息系统各层面存在的安全漏洞，为信息安全加固提供支持信息。 渗透性测试是指信息安全服务提供者的专业人员模拟攻击行为，对目标系统实施渗透，意图找到“非法”进入目标系统并取得相关权限的途径，从而测试目标系统安全控制措施的有效性。
      • B19备份和恢复
        • 备份和恢复是为了防止信息系统及其应用和数据等，因信息安全事件或灾难而造成的丢失或损坏。将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态的过程。备份和恢复还应包括对备份介质和链路的定期测试、恢复的定期演练。
    • 安全运维
      • B6信息安全监控
        • 信息安全监控主要是通过监测类工具、平台或感知节点设备，对信息系统的环境、网络、主机、系统和应用等进行实时监测和感知，查看各个系统组件的功能、性能、运行状况等，检查设备、系统和应用的日志，一旦发现威胁、告警、事件等异常情况或行为，可以采取措施解决，或者启动应急响应等。信息安全监控还可以包含对高级持续性攻击的监测、信息安全态势的研判、信息安全事件的预警等服务内容。 信息安全监控一般可以分为现场监控和远程监控两种方式。现场监控是由服务提供方的驻场人员为组织承担系统维护和管理的任务，对组织的信息系统实施监控。远程监控是由服务提供方在远程的安全运行或运营中心中进行，一般需要有加密的网络连接，并在组织的信息系统上安装一些监测类工具、平台或感知节点设备。
      • B8信息安全通报预警
        • 信息安全通报预警主要是在通报预警提供方与接收方之间，建立一种紧密、有序的信息发布和沟通渠道、信息通报预警工作机制，以便最新的信息安全通报信息或预警信息能够被组织或个人获知，并及时采取控制措施来预防自身信息安全事件的发生。通报预警内容包含但不限于：漏洞信息、威胁信息、病毒信息、预警消息、重大事件和问题通告等，以及相应的解决方案。
      • B14信息安全监理
        • 信息安全监理主要是指信息安全工程监理，即具有相关资质的监理单位受信息安全工程建设单位的委托，依据国家批准的信息化工程项目建设文件、有关工程建设的法律法规和工程建设监理合同及其他工程建设合同，尤其是依据信息安全方面的标准和要求，在工程建设各阶段向建设单位提供相关咨询，并协助建设单位对承建单位在工程建设中的信息安全实施服务，实施控制和管理的一种专业化服务活动。信息安全监理还可以包括对信息系统运维阶段的其他信息安全实施服务进行监理。
      • B17信息安全加固和优化
        • 信息安全加固主要是针对组织在实施风险评估、安全检查和测试过程中发现的各种安全风险、系统漏洞和不符合项，依据既定的信息安全策略，采取措施予以弥补，消除已暴露的问题和可能的隐患。 信息安全优化主要是基于风险评估等方法，对现有网络和系统架构进行调整和优化，或对现有设备的安全策略进行设置和调整。 在实际服务中，信息安全加固和信息安全优化往往同时进行。
      • B18信息安全检查和测试
        • 信息安全检查主要是针对组织部署的信息安全技术措施及其运行记录进行检查或审查，验证安全措施的完整性和有效性，并及时发现异常活动和潜在风险。一般包括对信息系统各层面的运行状态检查、配置项检查、日志分析等，也包括借助专门的安全审计设备来实施检查。信息安全检查还可以包含对信息安全管理措施和相关人员的检查。 信息安全测试主要是针对信息系统及其产品的安全属性，采取动态的手段进行问题发现、符合性和有效性验证。一般包括信息系统测试、漏洞扫描和渗透性测试等。 a)信息系统测试是指将已经确认的信息系统组成元素结合在一起，进行各种组装测试和确认测试，发现所开发的系统与安全需求不符或矛盾的地方，从而提出安全整改方案。 b)漏洞扫描服务是指借助一些专业的漏洞扫描工具，发现信息系统各层面存在的安全漏洞，为信息安全加固提供支持信息。 渗透性测试是指信息安全服务提供者的专业人员模拟攻击行为，对目标系统实施渗透，意图找到“非法”进入目标系统并取得相关权限的途径，从而测试目标系统安全控制措施的有效性。
      • B19备份和恢复
        • 备份和恢复是为了防止信息系统及其应用和数据等，因信息安全事件或灾难而造成的丢失或损坏。将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态的过程。备份和恢复还应包括对备份介质和链路的定期测试、恢复的定期演练。
    • 应急处理
      • A4信息安全应急管理咨询
        • 信息安全应急管理咨询主要是针对各类各级信息安全事件，从应急管理角度，通过编制应急预案和指导应急演练，面向组织建立信息安全应急管理体系，并不断进行改进和提高。 a)应急预案的内容包括：建立组织的应急响应小组，制定应急响应流程，建立监测和预警机制，落实应急保障资源，制定子预案及相关支持文档，以及指导实施应急处理等。 b)应急演练是根据组织已有的应急预案，在设备、系统、业务、组织等不同层面进行测试和演练，从而提高组织的应对各类突发信息安全事件的能力，演练的方式可分为桌面演练、模拟演练和实战演练。
      • B15信息安全应急处理
        • 信息安全应急处理主要是根据国家的相关网络安全应急预案要求和组织信息安全应急管理体系，针对各类突发信息安全事件，提供实施层面的应急响应处置。应急响应是对已发生的各类信息安全事件做出快速响应，及时而有效进行事件处理，最大程度上减少损失和该事件造成的消极影响，响应的方式可以按事件特点和级别分为现场和远程两种。
      • C1信息安全意识培训
        • 信息安全意识培训主要是面向组织内全体人员，采用课堂演示、案例剖析、宣传短片等多种方式教授、传递有关信息安全方面的常识，并对培训效果进行测评，使培训人员对不安全行为和不安全因素有辨别能力，树立起信息安全工作观念，提高自身的信息安全意识。
      • C2信息安全专业技能培训
        • 信息安全专业技能培训主要是面向信息系统的安全设计、开发、运维和管理人员等，通过知识传授、案例研究、实际操作等方式，使培训人员掌握与自身工作相关的某一专业领域的信息安全知识和技能。信息安全专业技能培训通常可分为认证类和非认证类。
    • 灾难恢复
      • A5业务连续性管理咨询
        • 业务连续性管理咨询主要是为保护组织的核心业务、核心价值，从保障组织的业务持续开展出发，通过识别组织业务的连续性指标要求，识别潜在的威胁和相关影响，制订业务连续性计划和灾难恢复计划，最终帮助组织建立一套综合管理流程，形成组织的业务保持和恢复能力，提高组织的风险防范能力，有效的响应非计划的业务破坏并降低不良影响。
      • B19备份和恢复
        • 备份和恢复是为了防止信息系统及其应用和数据等，因信息安全事件或灾难而造成的丢失或损坏。将信息系统的数据、数据处理系统、网络系统、基础设施、专业技术支持能力和运行管理能力进行备份，并在灾难发生时，将信息系统从灾难造成的故障或瘫痪状态恢复到可正常运行状态、将其支持的业务功能从灾难造成的不正常状态恢复到可接受状态的过程。备份和恢复还应包括对备份介质和链路的定期测试、恢复的定期演练。
      • C1信息安全意识培训
        • 信息安全意识培训主要是面向组织内全体人员，采用课堂演示、案例剖析、宣传短片等多种方式教授、传递有关信息安全方面的常识，并对培训效果进行测评，使培训人员对不安全行为和不安全因素有辨别能力，树立起信息安全工作观念，提高自身的信息安全意识。
      • C2信息安全专业技能培训
        • 信息安全专业技能培训主要是面向信息系统的安全设计、开发、运维和管理人员等，通过知识传授、案例研究、实际操作等方式，使培训人员掌握与自身工作相关的某一专业领域的信息安全知识和技能。信息安全专业技能培训通常可分为认证类和非认证类。
    • 安全培训
      • C1信息安全意识培训
        • 信息安全意识培训主要是面向组织内全体人员，采用课堂演示、案例剖析、宣传短片等多种方式教授、传递有关信息安全方面的常识，并对培训效果进行测评，使培训人员对不安全行为和不安全因素有辨别能力，树立起信息安全工作观念，提高自身的信息安全意识。
      • C2信息安全专业技能培训
        • 信息安全专业技能培训主要是面向信息系统的安全设计、开发、运维和管理人员等，通过知识传授、案例研究、实际操作等方式，使培训人员掌握与自身工作相关的某一专业领域的信息安全知识和技能。信息安全专业技能培训通常可分为认证类和非认证类。
    • 安全测评
      • B18信息安全检查和测试
        • 信息安全检查主要是针对组织部署的信息安全技术措施及其运行记录进行检查或审查，验证安全措施的完整性和有效性，并及时发现异常活动和潜在风险。一般包括对信息系统各层面的运行状态检查、配置项检查、日志分析等，也包括借助专门的安全审计设备来实施检查。信息安全检查还可以包含对信息安全管理措施和相关人员的检查。 信息安全测试主要是针对信息系统及其产品的安全属性，采取动态的手段进行问题发现、符合性和有效性验证。一般包括信息系统测试、漏洞扫描和渗透性测试等。 a)信息系统测试是指将已经确认的信息系统组成元素结合在一起，进行各种组装测试和确认测试，发现所开发的系统与安全需求不符或矛盾的地方，从而提出安全整改方案。 b)漏洞扫描服务是指借助一些专业的漏洞扫描工具，发现信息系统各层面存在的安全漏洞，为信息安全加固提供支持信息。 渗透性测试是指信息安全服务提供者的专业人员模拟攻击行为，对目标系统实施渗透，意图找到“非法”进入目标系统并取得相关权限的途径，从而测试目标系统安全控制措施的有效性。
    • 安全监理
      • B22
    • 安全审计
      • B21
    • 安全运营
      • B1信息安全设计
        • 信息安全设计主要是针对信息系统的安全保障需求，对组织的安全规划进行落实，设计总体安全策略、制定信息安全建设方案和实施方案，并在此基础上形成安全架构、技术体系和管理体系的设计。信息安全设计一般可分为顶层设计、初步设计和详细设计等不同的服务交付物。信息安全设计还可以包含对信息安全产品的功能和性能设计，以及选型建议。
      • B3信息安全产品租赁
        • 信息安全产品租赁主要是针对组织信息安全保障需求迫切，同时又缺乏信息安全建设经费等问题，由信息安全服务提供方（即出租人）以租赁的方式在规定的时间内（通常称之为租期）向组织（承租人）提供可满足组织信息安全保障需求的信息网络安全软件、设备和技术服务，承租人按照服务协议向出租人支付租赁费用。 出租人以在法律上拥有租赁设备所有权为前提，在租期内将该项产品的使用权出租给承租人；承租人则对租赁产品在经济上拥有使用权，在租期内有权占有，并正常使用该项租赁产品。租期结束后，由承租人和出租人按照服务协议或协商确定租赁设备的所有权。
      • B4信息安全产品定制开发
        • 信息安全产品定制开发主要是按照信息安全设计方案的安全目标和安全功能，对于一些不能通过采购现有信息安全产品来满足的安全需求，通过定制开发而予以满足。信息安全产品定制开发也可以基于已有的信息安全产品进行二次开发。
      • B6信息安全监控
        • 信息安全监控主要是通过监测类工具、平台或感知节点设备，对信息系统的环境、网络、主机、系统和应用等进行实时监测和感知，查看各个系统组件的功能、性能、运行状况等，检查设备、系统和应用的日志，一旦发现威胁、告警、事件等异常情况或行为，可以采取措施解决，或者启动应急响应等。信息安全监控还可以包含对高级持续性攻击的监测、信息安全态势的研判、信息安全事件的预警等服务内容。 信息安全监控一般可以分为现场监控和远程监控两种方式。现场监控是由服务提供方的驻场人员为组织承担系统维护和管理的任务，对组织的信息系统实施监控。远程监控是由服务提供方在远程的安全运行或运营中心中进行，一般需要有加密的网络连接，并在组织的信息系统上安装一些监测类工具、平台或感知节点设备。
      • B7信息安全综合分析
        • 信息安全综合分析主要是通过专业化的分析设备、工具或平台，融合日志、流量、性能、漏洞、评测等多类型网络安全信息资源，采用多类专业智能化分析引擎、AI检测模型和信息资源库，对各类网络攻击、恶意代码、异常及违规行为等进行综合鉴定分析，并提出建议采取的解决方案或措施。信息安全综合分析也可协同实施事件响应和调查取证。信息安全综合分析通常采用大数据架构和技术以实现对海量数据的快速、高效、及时的分析与计算。 信息安全综合分析一般可以分为现场分析和远程分析两种方式。现场分析是由服务提供方的驻场人员完成综合分析。远程分析是由服务提供方在远程的安全运行或运营中心中进行，一般需要有加密的网络连接，并在组织的信息系统上安装数据收集软件或工具。
      • B8信息安全通报预警
        • 信息安全通报预警主要是在通报预警提供方与接收方之间，建立一种紧密、有序的信息发布和沟通渠道、信息通报预警工作机制，以便最新的信息安全通报信息或预警信息能够被组织或个人获知，并及时采取控制措施来预防自身信息安全事件的发生。通报预警内容包含但不限于：漏洞信息、威胁信息、病毒信息、预警消息、重大事件和问题通告等，以及相应的解决方案。
      • B9威胁信息共享
        • 威胁信息共享也称为威胁情报共享，主要是在威胁情报的提供方和接收方之间，建立一种有序的威胁情报的共享机制，以便最新的威胁情报能够被组织或个人通过主动查询、被动推动等方式获知，并及时采取控制措施来预防自身信息安全事件的发生。威胁信息共享常用于与信息安全综合分析工具或平台进行联动，协助组织快速、精准网络攻击研判、攻击者画像、溯源等。
      • B15信息安全应急处理
        • 信息安全应急处理主要是根据国家的相关网络安全应急预案要求和组织信息安全应急管理体系，针对各类突发信息安全事件，提供实施层面的应急响应处置。应急响应是对已发生的各类信息安全事件做出快速响应，及时而有效进行事件处理，最大程度上减少损失和该事件造成的消极影响，响应的方式可以按事件特点和级别分为现场和远程两种。
      • B16调查取证
        • 调查取证主要是针对信息安全事件或网络犯罪，捕获、记录事件以发现攻击行为和作案特征或其他的问题事件的来源，提取电子证据，形成证据链以对信息安全事件或网络犯罪行为进行调查、分析、识别。调查取证通常需制定调查取证流程与预案，执行调查访谈，使用规范、可信、认证的取证工具，现场勘查，电子证据识别、收集、提取与保全，证据链分析以及编写调查取证报告。
• 安全攻防
  • 科来2020最新网络安全全景信息整理
  • 信息收集
    • 基本信息收集
      • 包括目标网络的IP地址、域名信息、地址范围或子网掩码、活动的服务器和终端
    • 扫描
      • 通过端口扫描标识开放端口和入口点，常见的端口扫描工貝有：Nmap、Xscan、SuperScan、Shadow Security Scanner、MS06040Scanner
    • 1、在网络边界进行访问控制，关闭不必要的服务和端口，并定期核査策略，确保策略有效性 2、使用网络流量分析手段对于扫描行为进行发现和识别 3、使用防火墙禁止扫描IP的所有访问 4、在域名注册商处购买或设置隐藏域名Whois信息服务 5、使用CDN技术，隐藏真实源IP
      • 防火墙、 网络回溯、 CDN技术服务
    • 网络监听
      • 通过监听网络通信，获取攻击者所需的相关信息，为后续攻击奠定基础
      • 1、有关业务通信采用加密措施，防止中间人攻击 2、对网络行为进行安全检测,及时发现异常网络行为
        • VPN、 SSL加密网关、 加密机
  • 网络入侵
    • 口令攻击
      • 暴力破解
        • 攻击者通过信息搜集判断，获取了目标网络中的用户名、开放服务,操作系统类型等关键信息，实施穷举口令方式攻击
        • 1、在服务器或防火増中设置登录次数限制 2、采用数字证书登录 3、实施双因素认证策略 4、釆用统一身份认证平台 5、关闭不必要端口和服务
          • 防火墙、 身份管理与单点登录、 双因素认证、 CA数字证书
      • 社会工程学
        • 以交谈、欺骗、假冒或口语等方式, 从合法用户中套取口令
        • 1、加强员工网络安全意识培训，强化保密意识与安全意识 2、采用数字证书登录等双因素认证手段
          • 防火墙、 身份管理与单点登录、 双因素认证、 CA数字证书
      • 弱口令
        • 容易被别人猜测到或被 破解工具破解的口令均 为弱口令
        • 1、加强密码策略，如密码必须符合复杂性要求、提高密码长度最小值、减小密码最长存留期等 2、采用统一身份认证或者数字证书登录 3、定期进行漏洞扫描，发现弱口令
          • 漏洞扫描产品与服务、 身份认证与单点登录、 CA数字证书
    • 拒绝服务攻击
      • 计算机消耗
        • 使目标服务器忙于应付大量非法 和无用的连接请求，耗尽服务器 所有的资源，致使服务器対正常 的清求无法进行及时响应，形成 服务中断
      • 网络带宽消耗
        • 通过发送大量有用或无用的数据 包，占用全部带寛,使合法的用户 请求无法通过链路抵达服务器； 服务器对合法请求的响应也无法 返回给用户,形成服务中断
      • 1、优化系统自身架构与系统服务，避免因系统架构问题造成的DDoS攻击、 2、采用登录认证方式，减少外部带来的DDoS攻击 3、在网络边界部署抗DDoS设备，清洗恶意攻击流量 4、采用云端抗DDoS服务，过滤DDoS攻击 ,
        • 抗DDoS设备、 云端抗DDoS服务
    • 欺骗攻击
      • IP欺骗
        • 伪装成其他计算机的IP 地址，获術信息或特权
        • 1、实施双因素认证措施 2、采用健壮的交互协议以提高伪装源IP的门槛
          • 身份管理与单点登录、 CA数字证书
      • 电子邮件欺骗
        • 例如，給目标用户发送邮件 要求用户修改口令，或在看 似正常的附件中加载病毒或 其他木马程序
      • WEB欺骗
        • 攻击者伪装为合法网 页，在网页上提供虚假 信息,实施网络攻击
      • 1、在网络边界部署防病毒策略，提前发现病毒邮件 2、在PC端实施终端防病毒软件 3、利用内置网站值誉库的网络安全设备，阻断相关页面访问 4、加强员工安全意识培训，提高警惕应对网络欺诈攻击
        • 防病毒网关， 终端防病毒软件、 下一代防火墙（内置网站信誉库）、 上网行为管理（内置网站信誉库）、 威胁情报服务
    • 高级攻击
      • 后门程序
        • 系统提供商预留在系统中， 供特殊使用者通过某种特殊 方式控制系统的途径
      • APT
        • 高级持续性攻击(APT)为了商业或政治利益针 对特定实体(如组织、国家等)进行一系列秘密 和连续攻击的过程。“高级”指攻击方法先进复 杂；“持续”指攻击者连续监控目标对象,并从目 标对象不断提取敏感信息
      • 1、采取技术措施对网络行为进行分析，实现对网络攻击特别是未知的新 型网络攻击的检测和分析 2、使用网络回溯手段，将发现的异常与历史数据进行关联分析 3、使用沙箱手段对传输的文件（包括下载文件、邮件附件等）进行动态检 测，发现利用未知恶意代码的攻击 4、在PC和服务器端实施终端安全检测,发现异常行为 5、收集各类安全设备与服务器日志，引入第三方威胁情报,利用大数据技 术进行关联分析，及时感知未知威胁
        • 网络回溯、 抗APT (沙箱)、 终端安全检测(EDR)、 威胁情报服务、 SOC/SIEM、 大数据安全分析
    • 劫持攻击
      • 包劫持
        • 例如，攻击者通过包截 取工具，获得用户账户 密码等敏感信息
      • 会话劫持
        • 例如，在共享网段中A和B站点 的正常通信被攻击者C截获后, C冒充B与A进行会话，获取信任 或敏感信息
      • 1、对外发布网站业务使用SSL加密 通信 2、移动办公用户使用SSLVPN访问 内网应用，加密会话 3、分支机构使用专线或者IPSec VPN与总部互联
        • VPN、 SSL加密网关
      • 域名劫持
        • 例如，攻击者使一个域 名指向一个由攻击者控 制的服务器
        • 1、采用访问控制，攻击防护等手段 强化DNS服务器防护 2、保护域名管理账号，设置强口 令,定期更换口令 3、加强员工网络安全意识培训，防 止泄露管理密码
          • 防火墙、 下一代防火墙
    • 漏洞利用攻击
      • 配置不当
        • 包括使用默认配置、未关闭 多余端口、使用临时端口等
        • 1、使用漏洞扫描产品或服务以及网络回 溯等手段，定期核查安全策略的有效性， 修改多余、无效或逻辑错误的安全策略 配置 2、引入第三方对网络安全风险进行评估
          • 漏洞扫描产品与服务、 身份认证与单点登录、 CA数字证书
      • 应用程序漏洞
        • 利用各类应用程序所存在的问题 或技术缺陷实施攻击，如利用 FlashxAdobe Reader 、Office 软件
      • 服务漏洞
        • 利用某个服务中寻找缺陷或漏洞 进行了攻击，如CGI漏洞、缓冲区 溢出、SQL注入、CSRF攻击、XML 攻击、未受保护的API等
      • 协议漏洞
        • 利用网络协议的本身的缺陷，如 TelneL FTP 等
      • 操作系统漏洞
        • 利用操作系统本身所存在的问题或技术缺陷实施 攻击，如利用 Windows、Linux、AIX、HP-UX、 Solaris、BSD、macOS、Android、iOS、网络设备、 安全设备等操作系统的漏洞
      • 1、使用漏洞扫描产品或服务，定期对所有操作系统进行漏洞扫描, 及时修复漏洞 2、关注操作系统和应用软件供应商、安全评估机构（如中国国家信 息安全漏洞库、国家互联网应急中心），以及各网络安全设备和服务 提供商发布的最新漏洞信息、预警通报及处置措施 3、在网络关键节点处实施入侵防护、Web应用防护、防病毒、网络回 溯等系统或设备，检测、防止或限制从外部发起的网络攻击行为，并 定期进行升级和更新攻击特征库和恶意代码库 4、自行或通过第三方对网络安全风险进行全面评估 5、制定处置系统漏洞、计算机病毒、网络攻击、网络侵入等不同事件 的应急预案
        • 入侵检测系统、 入侵防御系统、 下一代防火墙（开启IPS模块）、 漏洞扫描产品与服务、 补丁管理、 网络回溯、 Web应用防火墙、 云WAF服务、 Web漏洞扫描、 网页防篡改、 网站安全检测产品与服务、 渗透测试产品与服务、 源代码审计、 数据库防火墙、 数据库审计
  • 提升攻击权限
    • 提升攻击权限
      • 通常而言，恶意攻击者侵入到某个系銃最初往往只能获 取到一个普通权限的账户。但这无疑给进一步的滲透带 来了阻碍，因此攻击者会开始尝试通过各种手段来提升 自己的账户权限。一旦提权成功攻击者就可以将目标转 移至其它基础架构，以便进一步的査找和破坏存储有价 值信息的网络上的系统
      • 1、定期进行漏洞扫描，发现注入、弱口令等应用漏洞 2、对应用与系统漏洞进行及时修复，防止利用漏洞提权 3、配置健全的安全策略并定期核査，在不影响使用的前提下，将相关应用权限降至最低
        • 漏洞扫描产品与服务、 主机安全加固、 防火墙、 下一代防火墙
  • 内网渗透
    • 内网反弹、域渗透、主机渗透
      • 内网反弹包括端口反弹、Socket反弹、幵Web代理、开VPN等;域渗透包括对域控制器 的攻击和监视，以及通过域集成DNS获取域内主机列表;主机渗透包括渗透管理主机、 交换机、路由器等
      • 1、在网络边界和区域之间进行访问控制，并保证最小化授权 2、在内网关键节点部署相关检测设备，对于内部横向攻击、 渗透等行为进行发现和阻断 3、在PC和服务器端实施终端安全检测,发现异常行为
        • 下一代防火墙、 网络回溯、 终端安全检测(EDR)
  • 安装系统后门
    • 系统后门与网页后门
      • 系統后门包括驱动隐藏文件、Windows粘键后门等，网页后门上传 WebShell, WebShell就是以ASP、PHP、JSP或者CGI等网页文件形式存 在的一种命令执行环境
      • 1、在网络边界实施网络行为分析，攻击防护、相关手段，阻 断相关攻击 2、在PC和服务器端杀毒软件，进行后门査杀
        • 网络回溯、 终端安全检测(EDR)、 防病毒软件
  • 清除入侵痕迹
    • windows\linux痕迹清除
      • 清除IIS日志、清除应用程序日志、清除安全日志、清除系銃日志、清除历史记录及运行日志 等等,不记录 SSH 操作:export HISTFI LE=/dev/null; export HISTSIZE=0;
      • 实施网络综合行为审计、网络流量分析、网络回溯等技术 措施，对网络系统中的网络设备运行状况、网络流量、用 户行为等进行日志记录，有关日志保留不少于六个月
        • 网络综合审计系统、 网络流量分析、 网络回溯
• 网络安全产品与服务分类
  • 根据(中国网络安全产业分析报告 （2019 年） --中国网络安全产业联盟 2019 年 12 月) 整理
  • 基础安全
    • 网络安全
      • 防火墙
      • 入侵检测与防御
      • VPN/加密机
      • 防病毒网关
      • 上网行为管理
      • 网络安全审计
      • 网络准入与控制
      • 网络隔离和单向导入
      • 抗拒绝服务攻击（设备）
      • 高级持续性威胁
      • 网络流量分析
    • 终端安全
      • 背景
        • 近年来 IT 信息化不断发展，数据加密、5G 商用、移动 和物联网终端等新技术和新应用不断涌现，在万物互联和万 物感知中对数据传输进行加密将逐渐成为现实。据 Gartner 预测，未来超过 80%的企业流量将被加密，而在 5G 的未来， 网络接口将支持至少 20Gbps 传输速率，核心网用户面将继 续下沉靠近终端。预计到 2030 年，全球移动通信设备总数 将达到 1000 亿量级，数据流量较 2010 年增长约 20000 倍， 移动终端和 IOT 终端产品也将加速从消费领域向服务领域和 工农业领域渗透。面对以上 IT 技术和应用的不断革新，传 统边界安全防护的效率将逐步减弱。目前市场上几乎所有可 用的边界防护设备（例如防火墙），在面对加密数据和大规 模网络流量检查时都存在明显的性能瓶颈，深度包检测和响 应时间大幅增加，因此网络安全也呈现了新的发展趋势。安 全战场已经逐步由对核心与主干的防护，转向网络边缘终端 的管理和保护。终端安全俨然已成为了企业信息安全保障工 作的重要环节。 随着终端安全理念的日益火热，我国终端安全技术的发 展也呈现出多元化趋势，各大安全企业陆续推出了各具特色 的终端安全解决方案，以满足特定场景下的个性化需求，其 主要技术包括：以终端防病毒为基础、通过融和终端安全检测与响应技术而形成的融合方案；将网络数据防泄漏技术延 伸至主机层面形成的主机数据防泄漏方案；针对云环境下主 机和服务器的微隔离和 CWPP 保护方案。 在未来很长的一段时间里，终端威胁仍将是信息安全的 最大潜在威胁，终端安全保护也将成为未来网络安全防护的重要手段和措施。其面临的技术挑战将包括：面对新兴的终 端安全威胁（例如采用新恶意软件变种、0Day 攻击手段，以 电子邮件、浏览器、应用程序作为入口向端点渗透）时，企 业如何抑制威胁扩散，解决端点设施的脆弱性；如何将终端 安全技术与 IT 基础架构深度融合以降低目前高额的实施成 本与复杂性；在人员和设备复杂多变的情况下，如何提高端 点可视化能力，以确定不可见或无法管理的端点设施的安全 有效性和漏洞状况。
      • 分类
        • 恶意软件防护
        • 终端安全管理
        • 主机/服务器加固
      • 技术热点
        • EDR
          • 以检测（Detection）和响应（Response）做为主要技术环节，可 满足持续监控和响应高级威胁的需求，它是端点安全技术的一个 子集，专注于通过正确的洞察力提供正确的端点可见性，以帮助 安全分析师发现，调查和响应跨越多个端点的高级威胁和攻击活 动，在 IT 端点部署轻量级代理采集终端信息并上传中心数据分析 平台，通过大数据、机器学习、威胁情报、UEBA 等新兴技术实现 对终端安全态势的研判分析，是针对日渐多变的网络攻击、零日 攻击等新兴威胁的主动性防御机制。EDR 与其他端点保护平台 （EPP）（如防病毒（AV）和反恶意软件）的不同之处在于，其主 要关注的不是通过在端点上预先执行检查来抵御威胁。
        • 防病毒
          • 重量级客户端的部署形式，依靠对已知病毒和威胁的特征比对来 识别端点潜在威胁。它是常见的端点防护手段。
        • 主机 DLP
          • 主机数据防泄漏方法主要以主机数据资产为中心，在统一平台之 上依据主机数据的特点，灵活采用加密、隔离、内容智能识别等 多种不同技术手段，例如正则表达式检测（标示符）、关键字和 关键字对检测、文档属性检测、精确数据比对 (EDM)、指纹文档 比对 (IDM)、向量分类比对 (SVM)等多种检测方法，防止在各种 具体应用场景下主机数据的泄露和扩散。
        • EMM
          • 一套实现企业员工安全使用手机、平板等移动终端进行移动化工 作的技术平台与管理方法。EMM 通过移动信息化技术和管理手段， 针对企业移动信息化建设过程中涉及到的企业移动设备、应用、 信息等内容提供信息化管理的解决方案与服务。面向移动终端领 域的 EMM 包括移动设备管理(MDM)、移动应用管理(MAM)、移动内 容管理(MCM)等平台产品。
        • MDM
          • 移动设备管理，提供从设备注册、激活、使用、淘汰各个环节进 行完整的移动设备全生命周期管理。MDM 能实现用户及设备管理、 配置管理、安全管理、资产管理等功能，还可以提供全方位安全 体系防护，同时对移动设备、移动 APP、移动文档三方面进行管 理和防护。
      • 典型企业及解决方案
        • 安天
          • 安天智甲终端防御系统（IEP）是安天研发的面向政企客户的端 点综合安全防护软件，产品为办公机、服务器、虚拟化节点、移 动设备、国产专用计算机、各类自助终端、工控上位机等各类端 点场景提供多层次、全周期的动态防护能力。智甲产品内置安天 自主研发的下一代威胁检测引擎，基于黑白双控模式的安全策 略，有效支撑终端检测与响应（EDR）。智甲具有恶意代码查杀、 实时主防监测、勒索病毒增强防护、溢出攻击和横向系统防护等 综合威胁防御功能；融合主机防火墙、终端管控、外设管控、漏 洞扫描、集中补丁修复等管理功能；支持对 Rootkit、感染式病 毒、宏病毒等内网顽固威胁的有效处置，结合安天独家的高级威 胁追溯包服务，可以实现全网威胁追溯。
        • 天融信
          • 天融信终端威胁防御系统（EDR）是一款集终端威胁检测、防御 和响应于一体的下一代终端安全防护产品。系统可以通过病毒族 群基因特征匹配和动态沙箱行为分析技术识别恶意软件未知变 种，有效的防御未知威胁攻击。同时，系统结合终端加固、行为 管控、全网一体化管理技术，构建完善的终端防御体系，实现全 面预防、有效检测。为了能够有效应对安全事件，系统可利用微 隔离、主动防御机制及时、高效地响应处置安全威胁，及时止损。 系统可与其他安全设备联动进行协同响应，自动处置，形成立体 防护能力，为用户提供主动、动态、自适应的安全保障。
        • 北信源
          • 主机安全类产品致力于内网终端安全管理，除传统的 Windows 操作系统的终端外，主机安全类产品已经全面覆盖多种自主国产 终端、虚拟化终端、移动终端和工控终端等。主机安全产品包括 主机监控审计与补丁分发系统、金甲防线、防病毒系统、虚拟化 综合审计系统等。随着安全管理理念的升级，内网安全产品从合 规管理逐步扩展成为包括主机防护、行为合规监管和终端安全运 维的新一代终端安全管理体系，为用户提供多位一体、统一管理 的解决方案。
    • 应用安全
      • Web应用防火墙
      • Web应用安全扫描及监控
      • 网页防篡改
      • 邮件安全
    • 数据安全
      • 背景
        • 近年来，全球各地数据泄露和数据滥用事件频发，各国 数据和隐私保护法规日趋严格并不断颁布实施。2018 年 5 月， 欧盟《通用数据保护法案》正式生效。随着我国相关法律规 范的相继颁布实施，数据安全开始逐步被纳入到合规性需求市场，针对数据层面的安全体系建设也愈发受到各大企业重 视，数据安全市场热度不断上升。未来用户将继续走向数字业务和采用云服务，数据的存 储形态将更加多样化，数据的流通也变得越来越频繁，数据 价值将逐步放大，数据也将会变得更加危险。随着网络威胁 的增加以及数据关键性和价值提升，企业需要对数据的访 问、可见性和监控使用更强控制的产品和工具，这也将是未 来数据安全的主要内容。
      • 分类
        • 数据库安全
        • 安全数据库
        • 数据脱敏
        • 数据泄露防护
        • 电子文档管理与加密
        • 数据备份与恢复
      • 数据安全技术创新
        • 企业数字版权管 理（EDRM）
          • Gartner 将 EDRM 描述为用于对某些类型的企业数据强制访问 和使用控制的技术，可结合 DLP、文件库、身份和访问管理（IAM） 服务等技术，提供更优工具组合。
        • 以数据为中心的 审计和保护工具 （DCAP）
          • DCAP 产品和技术特点能够集中监控用户、管理员与特定数据集 相关的活动。DCAP 供应商需要通过有机生长和收购来继续增加 技术能力，特别是在 UEBA、AI / ML 和区块链技术领域。
        • 数据丢失防护 （DLP）
          • 展望未来，终端用户组织有望越来越多地寻求集成的 DLP 功能， 而不是全面的 E-DLP 套件。
        • 用户和实体行为 分析（UEBA）
          • UEBA 已完成数据安全产品的集成，这项技术有望成长壮大，技 术战略规划者必须建立 UEBA /员工监控能力，以帮助终端用户 进一步提升其数据安全状态。
        • 特权访问管理 （PAM）
          • PAM 到 2020 年有望实现复合年增长率为 27％的显著增长，达 22 亿美元。集成 PAM 产品将增强数据安全产品，并向最终用户 提供多种功能。
        • 数据脱敏
          • 数据脱敏利用一种旨在防止滥用敏感数据的技术为用户提供 虚构而实用的数据，而非真实、敏感的数据，因此用户可以保 持其执行业务流程的能力。与加密和令牌化不同，数据脱敏技 术中，数据经历单向转换，不可逆，数据不能通过篡改操作被 透露。
      • 产品类型和技术方向
        • 数据库安全方向
          • 数据库审计
          • 数据库防火墙
          • 数据库脱敏
        • 数据防泄漏（DLP）方向
          • 主机数据防泄漏
          • 网络数据防泄漏
        • 数据加密方向
          • 文档加密
          • 磁盘/存储介质加密
          • 应用加密
        • 数据合规与治理
          • 敏感数据发现
          • 数据分级
          • 数据脱敏
          • 数据清理
      • 典型企业及解决方案
        • 安华金和
          • 安华金和始终专注于数据安全领域，作为国内“数据安全治理” 体系框架的提出者，安华金和提供涵盖人员组织、安全策略、流 程制定及技术支撑全方位的整体数据安全思路与方案；同时，安 华金和作为独立的第三方云数据安全服务商（CDSP）为国内外各 大云平台用户提供专业的数据安全保障，包括成为阿里云在数据 安全领域的战略合作方。安华金和主营业务方向分为三大部分： 围绕数据库安全，安华金和推出全线数据库安全产品及解决方 案；推进数据安全治理理念在各行业的方案落地和实践；面向公 有云和私有云环境特性，提供云数据安全全线产品，为公有云和 私有云用户提供数据安全整体解决方案。
        • 美创科技
          • 基于数据泄露的高风险性，美创科技聚焦“敏感数据”，创新实 践“零信任”安全理念，围绕数据产生、传输、存储、使用、共 享、销毁的全生命周期，构建了以“灯下黑”、“与毒共舞”、 “不阻断，无安全”、“知白守黑”为原则的由内到外主动式纵 深防御体系，从外部威胁防御、内部风险控制、数据追责溯源、 数据共享与交换、终端安全、云安全等多层面，打造了数据库防 水坝、数据库审计、数据库透明加密、数据库防火墙、数据脱敏、 诺亚防勒索、漏洞扫描、数据防泄漏等一系列市场化数据安全产 品，以及安全运营等专业服务，面向多行业提供数据安全全景式 解决方案。
        • 世平信息
          • 世平信息致力于智能化数据管理与应用的深入开拓和持续创新， 为用户提供数据安全、数据治理、数据共享和数据利用解决方案， 经过多年积累，公司形成了强大的数据抽取解析、数据智能识别 和数据水印标记专有核心技术，建立了在数据内容识别基础上的 敏感信息检查监测与泄露防护功能体系，其研发的数据泄露防护 系统可以实现用户信息系统中的数据资产及敏感信息的自动识 别，及其在生产（采集）、存储、使用、共享、传输、销毁等生 命周期各环节的发现、定位、监控、阻断、溯源、审计等数据泄 露风险管控，数据脱敏系统可以对跨部门、跨系统数据共享，开 发、测试、运维、分析、培训调用数据及数据外放外发等各类场 景中涉及的敏感数据，实现智能发现、自动分类、自动脱敏，并 以静态脱敏库或即时逐条返回的形式自动装载还原，消除被共 享、调用数据的敏感性，有效降低敏感数据泄露风险。
        • 上海观安
          • 上海观安是以大数据为基础的安全公司，在运营商数据安全、智 能制造安全领域拥有雄厚的技术储备，服务于广大运营商、工业 企业的网络和信息安全。其数据安全防护产品以数据为保护核 心，覆盖传统商用数据库、开源数据库、国产数据库、大数据数 据库等多平台的数据防护系统，包含数据运维、数据传递、数据 分析、数据共享等多个环节的数据管控套件和解决方案。
    • 身份与访问管理
      • 分类
        • 运维审计堡垒机
        • 身份认证与权限管理
        • 硬件认证
        • 数字证书
      • 背景
        • 在网络环境改变和攻击复杂度的影响下，原来可信的网 络不再安全，已经变得不可信任。零信任网络（亦称零信任 架构）模型的主要目的就是守护动态网络边界，阻止威胁在 网络内部传播。该模型由研究机构 Forrester 的前首席分析 师约翰·金德维格（John Kindervag）于 2010 年创建，现 已成为 IT 安全在国际上流行的一种替代架构。一些企业也 开始尝试在身份认证与访问管理中采用零信任网络架构，以 防止敏感数据外泄，提高抵御网络威胁的能力。 身 份 认 证 与 访 问 管 理 的 主 要 应 用 场 景 及 价 值 包 括 IAM/4A 和堡垒机/PAM。其中，IAM 可确保授权的员工、合作 伙伴和客户拥有适当的资源访问权限访问业务系统。IAM 自 动化的管理入职，离职，管理角色，身份验证，访问管理等 流程，对用户行为进行审计，并提供报告。堡垒机/PAM 则是 将身份认证与访问管理的原则和操作，简单应用到“超级用 户”账户和管理凭证上，主要用于后台管理。我国堡垒机应用较为广泛，堡垒机侧重解决运维审计问题，但目前我国堡 垒机厂商也在增强特权账号全生命周期管理能力。
      • 技术热点
        • 多重身份验证 （MFA）
          • 有些组织正在从双因素身份转变为三因素身份验证。多因 素身份验证（MFA）结合了用户所知道的信息（比如，密码）、 用户拥有的东西（如，智能手机、令牌）以及属性（生物 特征：如，面部识别、虹膜扫描或指纹传感器；行为特征： 如步态识别）。MFA 通常是一个分阶段的过程，如果检测 到了风险，则要求用户提供额外的识别因素。它通常与基 于风险的身份验证配对。
        • 上下文感知的访问控 制模型-CaRBAC （基于策略）
          • 它预先确定了一个基于各种属性的事件及其结果。例如， 如果 IP 地址未列入白名单，则可能会被阻止。或者，如果 没有表明设备受管理的证书，则上下文感知网络访问控制 可能会升级身份验证过程。
        • 基于风险的身份验证 （RBA）
          • 基于风险的身份验证根据当前风险配置文件动态地将各种 严格级别应用于身份验证过程。风险越高，认证过程对用 户的限制越严格。在用户可以访问公司的信息资源之前， 用户的地理位置或 IP 地址的更改可能会触发其他身份验 证要求。
        • API 安全
          • API 流量监控和身份认证技术的结合，目标是 API 流量可 视化，以及基于 AI 的行为识别模型快速检测、阻断威胁和 违规行为，并使用欺骗或者蜜罐的环境来识别真正的黑客 攻击。
        • 用户行为分析 （UBA）
          • UBA 技术检查用户行为模式，并自动应用算法和分析来检 测可能表明潜在安全威胁的重要异常。UBA 与其他安全技 术不同，后者专注于跟踪设备或安全事件。UBA 有时也与 实体行为分析组合在一起，称为 UEBA。
        • 特权账号管理 （PAM）
          • PAM 则是将身份认证与访问管理的原则和操作，简单应用 到“超级用户”账户和管理凭证上，主要用于后台管理。 Gartner 建议先对高价值、高风险的系统实施 PAM，监控对 其的访问行为。国内对应产品为堡垒机，目前国内企业也 在纷纷增强特权账号全生命周期管理能力。
      • 典型企业及解决方案
        • 格尔软件
          • 格尔软件是国内较早研制和推出公钥基础设施 PKI（Public Key Infrastructure）平台的厂商之一，公司拥有全系列信息安全产 品、安全服务和解决方案的提供能力，产品包括：“安全认证网 关”、“可信边界安全网关”、“无线安全网关”、“电子签章 系统”、“安全即时通系统”、“网络保险箱”、“终端保密系 统”、“签名验证服务系统”、“局域网接入认证系统”等产品”。 其政府行业统一认证解决方案可以实现 PC 端、移动端跨屏互动， B/S 与 C/S 应用状态共享，多个 APP 登录联动。并采用高强度密 码算法的安全协议技术，保障登录令牌的传输与存储。可以扩展 支持多种认证方式，包括数字证书，一次性口令，生物特征识别 等。解决了复杂应用环境下，不同应用，不同客户端，不同 APP， 不同平台的统一认证问题。
        • 芯盾时代
          • 芯盾时代基于信息安全、人工智能、身份认证等多维技术驱动， 依托于坚实的企业服务能力，目前已拥有具有自主知识产权的多 因素认证、统一身份管理、人工智能反欺诈、零信任安全等 4 个产品系列，公司已为政府、金融、互联网、运营商等行业提供 了数十种业务安全解决方案，覆盖金融账户及交易安全、企业用 户安全管理、智能风控反欺诈、用户和实体行为分析等领域。 芯盾时代持续自适应安全平台（ECP），对账户持有者采取“零 信任”的态度，在用户操作系统的全周期内，持续的通过规则引 擎对前端采集的信息进行风险评估，根据风险值自动匹配认证方 式。解决了账号拖库、撞库、账户共用等账号安全问题，可以最 大化的确保账户使用者身份的可信度。ECP 同时支持多种独立于 业务系统的认证方式，可快速增加新型认证方式。 芯盾时代身份管理与访问控制 Identity and Access Management (IAM)对企业复杂的账号和权限体系进行统一治理，提供统一账 号目录服务和授权服务，让管理更加科学高效。 芯盾时代开创 性的将身份认证迁移到人的“所持”--移动端，支持二维码、APP 一键登录、动态口令、临时授权码、短信认证、语音认证、人脸 识别、声纹识别、密码、微信认证等多种认证方式。
        • 九州云腾
          • 九州云腾是一家专门针对云计算与移动应用的下一代统一身份 认证和管理的解决方案提供商。公司专注于解决国家机构、事业 单位、各类企业机构的员工、合作方以及其服务对象、客户等人 群在访问私有云、公有云、内网自有业务、互联网及移动互联网 业务等多种复杂应用场景下的身份认证及业务安全问题。 九州云腾的产品分为生成令牌 IPG 和 解析令牌 SPG 两类。IPG 产品线支持多租户、分级管理，其模块包括 SSO、UD、PS、STS、 MFA、SM2 密码控件。SPG 产品线用于取代 VPN，起到堡垒机作用， 其模块包括 API、RP。所有产品模块均可独立工作，模块化部署， 实现按需供给。
    • 安全管理
      • 背景
        • 随着我国产业 IT 应用和信息安全管理水平的不断提高， 安全管理的理念越来越受到企业信息安全管理者的重视，面 对网络中海量日志和安全告警信息，如何提升安全管理效 率、如何辨识真正的安全风险成为摆在信息安全管理者眼前 的棘手问题。落地到具体应用和方案上，国内外企业采用了 各自不同的技术路线，国外大多采用 SIEM 类产品，在扩展 探针、终端代理等新型数据采集方式的基础上，实现广泛的 事件收集，并通过融入大数据采集分析和威胁情报、工单自 动化运维等特性后实现管理目标。国内则大多以 SOC 产品作 为安全管理的具体落地形式，其定位于信息安全产品市场的 金字塔顶端，是所有安全产品的集大成者。SOC 的推出并不 是取代原有安全产品，而是在这些安全产品之上，面向客户， 从业务视角构建一体化的安全管理运行技术集成平台。 在习近平总书记 4·19 讲话、网络安全法中，均明确了 以安全态势感知和安全管理的技术路线，具体落地形式可归 纳为安全管理产品和安全管理服务两个层面，在产品层面主 要包括以满足国家/城市级运营监管要求、用于跟踪区域内 整体网络安全态势的态势感知平台级产品和用于满足企业 自身安全运营管理需求的 SOC 单一产品，而在服务层面，启明星辰、安恒信息、绿盟科技等市场头部企业均在积极拓展 城市级安全运营服务新业务。 在数据冗杂、变幻莫测的网络空间，面对不断变化的安 全威胁，如何提升安全管理检测响应速度和效率是未来企业 安全管理的新方向，而从政府和网络安全监管的角度看，未 来城市级安全管理配套设施（如城市级安全运营管理中心） 的建设将是强化其安全监管力度的必要手段，随着安全管理 的应用范围和价值逐步扩大，安全管理产品化向安全运营服 务化转型，将会是未来比较明显的发展趋势，也将会带来新 的市场机遇和商业模式创新。
      • 分类
        • 安全管理平台
        • 日志分析与审计
        • 脆弱性评估与管理
        • 安全基线与配置管理
        • 合规检查工具
        • 网络安全资产管理
        • 威胁管理
          • 背景
            • 随着信息化程度的不断提升，传统的网络威胁例如病 毒、木马、端口等已逐步演变为社会工程、0day、APT 等高 级网络攻击方式，传统的安全产品在威胁检测和防御能力上 存在明显不足，面对日趋严峻的网络形势，应建立长效的以 威胁检测和威胁情报为核心，以威胁分析和威胁猎捕作为辅助研判手段、对新兴网络威胁进行全方位和全生命周期的监 测和防御体系 从我国情况来看，基于传统特征库检测技术的 IDS 产品 在检测 APT 攻击时有着明显的局限性，其依赖签名的检测机 制无法识别 APT 惯用的 0day 漏洞攻击行为，而基于会话的 实时检测技术亦无法实现以攻击链视角来追踪和溯源可能 长达数月的攻击过程。从国外情况来看，主流厂商则普遍采 用了无签名检测和保护技术，辅助以高级沙盒来进行恶意代 码检测、仿真和机器学习等技术来实现高级威胁检测和预 警，并由此形成威胁情报数据，亦可用于验证威胁检测体系 的有效性，最终构建良性的威胁管理闭环。
          • 典型企业及解决方案
            • 亚信安全
              • 亚信高级威胁发现系统 TDA 是一款 360 度的高级威胁检测产 品，可掌握全网络的流量来侦测并响应高级威胁与未知威胁。 TDA 采用三层式的侦测方法，第一层是静态分析，第二层是动 态分析及行为侦测，第三层是事件关联，目的就是为了发掘隐 匿的攻击活动。其独特的侦测引擎加上定制化沙箱动态模拟分 析，能快速发掘并分析恶意文档、恶意软件、恶意网页、违规 外连、勒索软件以及传统防护无法侦测到的内网攻击以及定向 式攻击活动。 亚信高级威胁分析系统 DDAN 提供定制化沙箱分析用以增强亚信 安全及第三方安全产品的威胁防护能力。DDAN 可以为网络安全 产品、Web 和邮件安全产品及服务器与终端安全产品提供集中的 动态沙箱分析，可疑威胁对象通过产品联动的方式自动提交给 DDAN 进行分析。 亚信安全高级威胁回溯分析系统 TRA 是一个集成大容量存储的 高性能数据包采集与智能分析软硬件一体化平台，凭借其大容 量存储能力，存储超过 6 个月的网络全流量，为网络回溯取证 提供依据。TRA 可以分布式部署在网络的关键节点，对物理网络 和云网络做全流量采集分析；亦可以以关键应用为目标，定向 收集网络流量，实现对应用的网络访问性能、系统访问性能、 应用相应性能等关键性指标的智能分析。
            • 中睿天下
              • 中睿天下专注于攻击溯源十五年，将多年一线攻防实战经验， 应用于网络安全领域，基于攻击链（Kill Chain），中睿天下 在攻击路径的每一个环节设置有效的检测和防御措施，全面覆 盖形成安全防护闭环，实时监测发现威胁，并还原溯源攻击过 程，实现精准防护目标，其攻击溯源解决方案从攻击者视角出 发，以强大的威胁发现能力、智能研判能力，和还原溯源能力， 解决了传统安全产品存在的“检测率低、误报率高、效率低” 等问题，其基于攻击溯源技术提供集威胁发现、威胁处置和攻 击溯源等于一体的综合解决方案，可以帮助用户知己知彼，有 效应对各类未知威胁。
            • 默安科技
              • 幻阵是默安科技自主研发的一款基于欺骗防御的高级威胁狩猎 与溯源系统。该系统从攻击视角出发，根据攻击者行为和资产 状态，实时构建动态沙箱，可在不同网络环境中自动化部署沙 箱、伪装代理、漏洞、诱饵等形成动态蜜网，实现对攻击者的 全链路欺骗，同时在攻击者必经之路上构造陷阱，从而混淆其 攻击目标，精确感知并溯源攻击者行为。它通过云密网将攻击 隔离，保护企业内部真实资产，构成了企业至关重要的一道安 全屏障。
      • 典型企业及解决方案
        • 安恒信息
          • AiLPHA 大数据智能安全平台（简称 AiLPHA）是以安恒首席科学家刘博为核心的研发团队创新智造的安全产品，旨在解决传统安全设备无法应对越来越复杂和隐蔽的安全威胁。AiLPHA以“AI 驱动安全”为核心理念，集成超大规模存查、大数据实时智能 分析、用户行为（UEBA）分析、多维态势安全视图、企业安全联动闭环等安全模块。具备全网流量处理、异构日志集成、核心数据安全分析、办公应用安全威胁挖掘等前沿大数据智能安 全威胁挖掘分析与预警管控能力。为企业客户提供全局态势感知和业务不间断稳定运行安全保障。致力于让安全更智能，更简单。
        • 奇安信
          • 奇安信态势感知与安全运营平台一方面可基于自有的多维度海 量互联网安全数据，进行情报挖掘与云端关联分析，提前洞悉 各种安全威胁，并将威胁情报以可机读格式推送到本地系统， 供本地威胁检测和分析时使用，另一方面，态势感知与安全运 营平台可对本地全量数据进行采集和存储，利用大数据技术在 本地进行安全数据分析和威胁溯源。整个设计将遵循发现、阻 断、取证、溯源、研判、拓展的安全业务闭环设计，使得用户 能通过产品各个功能模块完成威胁处置的全过程。
        • 绿盟科技
          • 绿盟科技重点针对异构安全设备的接入与日志的采集、存储， 多源日志的关联分析及可视化呈现，脆弱性综合管理，运维处 置流程的闭环等需求推出了绿盟企业安全平台。通过主/被动相 结合的获取手段，实时采集各类安全设备、网络设备、主机、 操作系统、以及各种应用系统的日志信息，通过内置规则或自 定义规则的方式进行范式化及存储，极大提高了平台接入设备 的覆盖度和操作便利性。除此外，还可提供智能威胁分析及安 全治理闭环能力，安全管理人员可以根据实际需要自定义事件 关联分析规则，同时对于告警进行便利的处置，在告警关闭后 进行事件失效化处置并重新评估安全状态，实现运维处置流程 的闭环。同时支持支持联动绿盟远程安全评估系统，进行扫描 任务下发和核查结果收集、分析，通过对资产的漏洞、配置基 线、弱口令以及网站的持续监控和管理，实现企业资产的脆弱 性综合管理工作。
        • 启明星辰
          • 启明星辰新一代安全管理平台 SOC3.0 以大数据分析架构为支 撑，以业务安全为导向，构建起以数据为核心的安全管理体系， 强调更加主动、智能地对企业和组织的网络安全进行管理和运 营。实现对海量安全信息进行全面的收集、整理、分析、审计， 并借助智能化的分析手段提取出关键的安全事件；对客户复杂 的 IT 系统从业务的角度进行全方位的可用性及性能监测、故障 定位和告警；主动地进行事前安全管理，在攻击发生之前就获 悉网络的安全态势；对客户重要业务系统进行量化的风险评估； 借助量化的分析模型实现全网的安全态势感知；符合并体现了 等级保护和信息安全管理体系的要求。
  • 场景
    • 云计算
      • 背景
        • 由于云计算的兴起，网络安全市场也开始呈现出与云技 术融合的发展态势。随着云环境中的网络攻击变得愈加复 杂，在云安全市场上，一些安全技术迅速成 为了热点。由于云服务提供商的存在，网络安全企业在云安全市场 中的地位略显尴尬。由于公有云客户对公有云基础服务的依 附粘性较强，公有云服务提供商通常会将安全解决方案捆绑 在云服务中，客户往往会直接按需购买这些安全服务来解决 安全需求，故而网络安全企业能够从公有云安全获得的市场空间和机会有限。在私有云安全和混合云安全市场，网络安 全厂商的参与方式主要有两种，一是为客户提供超融合的软 硬件一体化架构方案，并在方案中同时加入云安全产品，二 是作为独立提供商，提供云安全整体解决方案。
      • 分类
        • 云基础设施安全
        • 云负载保护平台
        • 云操作系统
        • 云身份认证
        • 云抗DDoS
        • 云WAF
      • 云安全技术热点
        • 微隔离 （Micro-segm entation）
          • 在云环境中，数据中心负载的动态化、容器化趋势促发了微隔离 技术的兴起。不同于虚拟本地网的粗粒度隔离，微隔离（亦称为 “微分段”）是一种针对流量的更细粒度的网络隔离技术。微隔 离一般面向虚拟化的数据中心，用于阻止攻击在进入网络内部后 进行的横向（东西向）平移。微隔离通常使用策略驱动的防火墙 技术或者网络加密技术来实现隔离。
        • CWPP
          • CWPP 即云工作负载保护平台，最初是源自主机安全的解决方案。 作为一种工具，它自动化了公有云工作负载的安全性，为组织带 来了业务的灵活性、风险的降低和成本效率的提升，同时减轻了 开发和管理负担。它解决了现代混合数据中心体系架构中，服务 器工作负载保护的独特要求。这些体系结构跨越内部部署、物理 和虚拟机（VM）以及多个公共云基础设施即服务（IAAS）环境。 理想情况下，它们还支持基于容器的应用程序体系结构。随着 CWPP 不断扩展到容器和容器化应用程序领域，CWPP 已经为多云世界的 到来做好了准备。
        • CASB
          • CASB 即云访问安全代理。根据 Gartner 的说法，CASB 是一个本地 或基于云的安全策略实施点。它位于云服务消费者和云服务提供 商之间，以便在访问基于云的资源时合并和插入企业安全策略。 即使云服务超出了组织的直接控制范围，越来越多的组织转向了 CASB 供应商，以解决云服务风险、实施安全策略和遵守法规。
        • CSPM
          • CSPM 即云安全态势管理，对应以前的云基础设施安全态势评估。 每个 CSPM 工具包括用于合规性评估、运营监控、开发集成的用例、 事件响应、风险识别和风险可视化。在理想的实现中，CSPM 应该 持续管理云安全风险。它应该提供检测日志记录和报告，以及云 服务配置和与云资源的治理、合规性和安全相关的安全设置。在 监控和自动化之间具有互操作性是 CSPM 的一个关键优势。对于处 理多云和容器环境的企业来说，知道错误配置是对云安全的最大 威胁，CSPM 工具是实现真正的云安全最佳实践的极好步骤。
      • 典型企业及解决方案
        • 深信服
          • 深信服为用户准备了一套云安全组件，其中包括下一代防火墙 （vAF 经纬系列）、SSL VPN（vSSL）、应用交付（vAD）、广域 网优化（vWOC）等，无论处于什么样的业务场景、使用何种底 层架构及平台，深信服都能安全、灵活、高效地完成云业务交付，让 IT 架构快步走向云化。 私有云安全解决方案可实现虚拟机之间相互隔离和流量可视 化，并提供业务负载和多种应用优化功能，保障服务可靠性； 保障用户远程安全接入，同时实现业务的 SSL 安全加固；提供 了 IPS、WAF、APT 防护等专业的安全功能，为业务系统提供完 整的安全防护。
        • 知道创宇
          • 知道创宇云安全云防御平台是知道创宇推出的为了解决互联网 时代的企业 Web 系统访问速度慢、安全状态严峻问题的平台产 品。目前知道创宇云安全在全国各地部署了数十个大型云计算 中心，储备了数百 G 的防御带宽，所有数据中心均部署有腾讯 宙斯盾流量清洗设备与知道创宇祝融攻击智能识别引擎，在保 证 Web 系统快速访问的前提下，知道创宇云安全一站式的安全 加速解决方案，以“零部署”、“零维护”、“云防御”的模 式，为客户阻止包括 XSS、SQL 注入、木马、0day 攻击、DDoS 僵尸网络、DNS 攻击等一系列针对 Web 系统的安全威胁。2015 年至今，知道创宇持续推出数十款安全产品，其云安全防御平 台由创宇盾、抗 D 保、加速乐、创宇信用等组成，形成了从网 站防护到加速，再到品牌线上商业保护的一整套解决方案；在 安全监测方面，也形成了从区域资产，到漏洞威胁，再到攻击 态势的全面获取能力。
        • 山石网科
          • 山石云·格是创新的分布式网络侧微隔离产品，通过专利引流 技术、虚机微隔离及可视化技术，能够为用户提供全方位的云 安全服务，包括流量及应用可视化，虚机之间威胁检测与隔离， 网络攻击、网络应用审计与溯源等，帮助政府、金融、运营商、 企业等搭建安全、合规的“绿色”云平台。 山石云·界是专门为云计算环境设计的虚拟化网络安全产品， 是可以运行在服务器虚拟机上的纯软件防火墙产品，适用于云 计算环境部署，为用户提供下一代防火墙的多种安全防护功能。 可结合云管理平台，实现快速部署和便捷管理，可为公有云租 户提供独立安全防护，根据业务需求进行安全隔离和流量过滤。
        • 厦门服云 （安全狗）
          • 厦门服云（品牌名：“安全狗”）依托云端安全技术和大数据 安全分析能力，为用户构建立体式的云安全防御体系，提供私 有安全云产品和公有安全云产品，其私有安全云产品云垒·私 有云一体化安全管理平台是面向私有化环境、混合云环境推出 的一体化云安全平台，可对私有云和公有云资产进行统一安全 管理。云垒提供了从宿主机环境、虚拟化资源池到虚拟机系统 一体化的纵深安全防御体系，同时提供了一个基于大数据分析 的云安全平台，对云环境的管理、安全风险、攻击威胁进行统 一分析和安全管控。公有安全云产品则以 SECaaS 为用户提供一 站式云安全产品与服务，包括（云）主机安全、Web 应用安全、 网站防篡改、抗 DDoS 云服务、安全大数据态势感知等产品。
    • 移动互联网
      • 移动终端安全
      • 移动应用安全
      • 移动设备管理
    • 物联网
      • 车联网
      • 视频专网
    • 工业控制网络
      • 工控安全
        • 背景
          • 工控系统广泛应用于能源、轨道交通、水利、工业、市 政等国家重要行业领域，是事关国家命脉的重要关键基础设 施。针对工业控制系统攻击甚至可引发灾难性事故，工控系 统已逐渐成为挑起政治争端和武力打击的新兴攻击目标。尤 其是自 2010 年“震网”事件以来，工控系统网络安全防护 问题成为社会关注的热点。由于现有工控系统在设计之初偏 重于功能实现而缺乏足够的网络互联互通规划和网络安全 考虑，其大量应用了私有通信协议来进行数据传输交互。而私有通信协议缺陷及软件安全漏洞在开放网络环境中会逐 渐暴露出来，并与传统互联网安全问题相叠加，从而构成了 工控系统解决方案的安全性和脆弱性风险。工业网络安全产 品和服务的市场正在持续发展和扩大。据统计，目前已有几 十家家网络安全企业提供工控安全产品和解决方案，工控安 全市场迅速升温。
        • 典型企业及解决方案
          • 卫士通
            • 卫士通公司作为国内知名密码产品、网络安全产品、安全运维 服务和行业安全解决方案综合提供商，从 2002 年开始接受国家重要控制系统安全任务，先后承担了财政部国有资本金、科技部“拟态空间安全重大专项工控漏洞挖掘专题”等重大专项。 公司围绕工控安全监管侧和防护侧需求，形成了工控安全监管、工控安全防护两大业务体系，重点发展工控协议盲识别与逆向解析、漏洞分析与挖掘、专用密码设计及密码应用、大数据安全分析模型构建四大专业技术；打造了“监评防融”核心 产品体系，以及轨道交通、石化、电力、钢铁等重要行业安全 解决方案，初步形成规模化发展；并与网信、公安、工信、国防科工等监管部门建立紧密合作关系。
          • 威努特
            • 威努特是一家专注于工控安全的厂商，其产品线丰富，可提供 边界安全、主机安全、监测审计、安全评估、安全管理等方面 的工控安全产品，支持产品集中管理平台，同时可提供培训、 咨询、评估、建设、运维等全流程的安全服务。
          • 六方云
            • 六方云在“工业互联网安全”领域拥有 LinSec 工业信息安全、 CSec 云安全、NSec 网络安全、 SSA 态势感知四大产品线，依 托人工智能、网络安全、工业控制等领域的技术优势，构建了 完整的”安全工厂”解决方案，并基于“AI 基因，威胁免疫” 的创新理念，将人工智能技术应用到全线产品中，实现了对未 知威胁的有效防范。
          • 长扬科技
            • 长扬科技除了具备工控防火墙、工控网闸、工控监测审计等企 业侧防护与审计产品，同时将工控安全数据协同感知与协同处 置作为核心技术理念，提供基于人工智能和大数据分析态势感 知平台和安全大数据平台解决方案。
  • 业务
    • 信息技术应用创新
      • 安全产品
      • 操作系统
      • 芯片
    • 业务安全
      • 舆情分析
      • 反欺诈与风控
      • 区块链安全
      • 电子取证
  • 服务
    • 管理安全服务
      • 网络安全系统集成
      • 安全运维
    • 管理检测与响应
      • 风险评估
      • 渗透测试
      • 应急响应等
    • 安全教育与培训
      • 人才培养
      • 网络靶场等