IceWindy's Blog

网络安全风险评估过程 网络安全风险评估概述 定义 评估依据：依据信息安全技术和管理标准（如等保2.0），对网络系统的保密性©、完整性(I)、可用性(A)等CIA三要素进行综合评价 核心内容：评估网络系统脆弱性、安全威胁及脆弱性被利用后造成的实际影响，通过安全事件发生可能性与影响大小确定风险等级 风险值计算 计算公式：风险值R=f(Ep,Ev)R=f(E_p,E_v)R=f(Ep​,Ev​)，其中EpE_pEp​为事件发生概率，EvE_vEv​为事件损失值 实例说明：当某攻击事件发生概率为50%（0.5），造成损失50万元时，风险值=0.5×50万=25万0.5×50万=25万0.5×50万=25万，属于需重点防范的高风险 决策参考：风险值计算结果直接决定防护优先级，25万量级风险需立即采取处置措施 评估要素 涉及资产、威胁、脆弱性、安全措施、风险等各个要素。 评估模式 自评估：由系统所有者自主开展 检查评估：监管机构依法开展 委托评估：第三方专业机构实施 模式对比：委托评估专业性最强但成本高，自评估灵活性好但可能缺乏客观性，检查评估具有强制约束力 网络安全风 ...

入侵阻断技术 入侵阻断（IPS）概念 本质特征：属于网络安全主动防御技术，通过阻断网络攻击行为来保护目标对象 与IDS关系：入侵检测系统（IDS）的扩展升级版，商业产品常将两者集成（如IPS同时具备检测和阻断功能） 核心功能：既能检测攻击特征又能实时阻断攻击流量，工作机制类似路由器或防火墙 IPS具备防火墙和入侵检测等多种功能 由于大多串行部署，IPS需要解决网络通信瓶颈和高可用问题。 IPS部署 商用IPS主要采用硬件设备实现，通常串行部署在网络主干，或者基于旁路阻断 旁路阻断（SPS，Side Prevent System）： 通过旁路监测流量，采用报文注入技术阻断攻击 需配合策略路由或SDN控制器进行流量牵引 优势：仅检测特定流量，对网络延迟影响较小 部署选择：关键业务系统推荐串行部署，大流量环境可采用旁路部署+智能引流方案 软件白名单技术 技术方法 移动生态构建（合规软件下载平台）： 建立三级审查流程（初审→复审→终审） 设置7个工作日的公示期+正式发布阶段 恶意代码防护： 传统黑名单：依赖病毒特征库，难以防范零日漏洞攻击 白名单优势：仅允许安装/执行经 ...

恶意代码Malicious Code 病毒Virus 蠕虫Worms 特洛伊木马Trojan Horse 逻辑炸弹Logic Bombs 细菌Bacteria 恶意脚本Malicious Scripts 间谍软件Spyware 恶意代码概述 分类 被动传播: 病毒、木马、间谍软件、逻辑炸弹 特点：需要用户交互触发（如运行带毒文件） 主动传播: 网络蠕虫（典型代表，具有自主传播能力） 现代病毒可能兼具主动传播特性 攻击模型 侵入系统 感染途径: 下载携带恶意代码的程序（如破解软件） 恶意邮件附件（如钓鱼邮件中的.doc文件） 移动介质传播（U盘/光盘自动运行） 系统预装植入（非官方系统镜像风险） 维持或提升权限 核心目标: 获取更高权限（如从普通用户提权至管理员） 实现方式: 利用系统漏洞或密码窃取技术 隐蔽 常见手段: 修改文件名/扩展名伪装（如.exe伪装为.txt） 删除原始感染文件 关闭安全软件（如禁用杀毒服务） 潜伏 触发条件: 时间触发（如60天后激活） 感染规模触发（如感染40%主机后爆发） 典型实例：勒索病毒的延迟 ...

网络安全漏洞分类与管理 分类 CVE漏洞分类 维护机构：美国MITRE公司 核心功能： 统一漏洞标识（如CVE-2019-1543） 规范化漏洞描述 促进漏洞数据共享 编号规则：CVE-年份-序列号 CVSS 评分维度： 基本度量：攻击向量、攻击复杂性、特权要求、用户交互、完整性影响、可用性影响、影响范围 时序度量：漏洞利用成熟度、修补等级、漏洞报告 环境度量：完整性要求、保密性要求、可用性要求、修订基本得分 应用场景：量化漏洞危险等级（0-10分） 我国信息安全漏洞分类 两大体系： CNNVD（国家信息安全漏洞库） 24类技术漏洞 CNVD（国家漏洞共享平台）（重点） 按成因：11类 按行业：分为行业漏洞和应用漏洞； 行业漏洞：电信、移动互联网、工控系统 应用漏洞：web应用、安全产品、应用程序、操作系统、数据库、网络设备等 漏洞分级：分为高、中、低三种 OWASP TOP10漏洞分类 针对领域：Web应用程序 最新版本： 注入攻击（首位） 失效访问控制 XSS跨站脚本 不安全的反序列化 安全漏洞发布 发布 ...

网络安全审计概述与组成 概念 核心定位：属于4A安全框架（认证、授权、账号、审计）中的最后一环，是项目实践中应用广泛的重要技术 基本定义：对网络信息系统的安全相关活动信息进行获取、记录、存储、分析和利用的工作 作用机制：建立**"事后"安全保障措施，为安全事件分析提供线索及证据** 技术价值：发现潜在网络安全威胁，开展风险分析及管理 我国审计安全机制标准 标准依据：GB17859《计算机信息系统安全保护等级划分准则》 级别要求：从第二级（系统审计保护级）开始强制要求审计机制 实施要点：可信计算机实施细粒度自主访问控制 等保审计要求： 二级（系统审计保护级）：基础审计功能，记录身份鉴别、客体操作等事件 三级（安全标记保护级）：审计记录包含客体名与客体的安全级别。此外计算机信息系统可信计算基具有审计更改可读输出记号的能力 四级（结构化保护级）：计算机信息系统可信计算基能够审计利用隐蔽存储信道时可能被使用的事件 五级（访问验证保护级）：计算机信息系统可信计算基包含能够监控可审计安全事件发生与累计机制，超过阈值时，能够立即向安全管理员发出警报，并且继续发生或累计，系 ...

网络物理隔离技术 概述 定义：网络物理隔离是既满足内外网数据交换需求，又能防止网络安全事件出现的安全技术。其基本原理是避免计算机之间直接连通，以阻断在线网络攻击。 典型设备：网闸是典型的物理隔离设备 安全风险： 非法外联：隔离网络用户私自连接互联网（如涉密网连接云桌面后远程控制） U盘摆渡：通过U盘作为介质传播病毒或窃取数据 产品漏洞：隔离设备存在DoS⁡/DDoS\operatorname{DoS}/\mathrm{DDoS}DoS/DDoS攻击风险或被构造恶意数据绕过 新型攻击：通过声波/热量/电磁波等模拟信号窃密（如Bitwhisper温度窃密技术） 网络物理隔离机制与实现技术 专用计算机：指定专用区域计算机仅连接外网，需离开工作环境使用 多PC方案：桌面部署两台PC分别连接内外网（政府单位常用方案） 外网代理：在内网指定服务器，负责专门搜集外网的置顶信息，然后把外网信息手工导入内网（U盘、光盘等），从而实现内部用户“上网”，又切断了内外网物理连接。 内外网网线切换器：通过物理开关盒切换网络连接 单硬盘分区：通过隔离卡划分逻辑分区控制访问权限 ...

入侵检测概述 判断依据：对目标的操作是否超出了目标的安全策略范围。例如只有读权限却进行写操作就属于入侵行为。 检测方式：通过收集操作系统、系统程序、应用程序、网络包等信息，发现违背安全策略或危及系统安全的行为。 系统定义：具有入侵检测功能的系统称为入侵检测系统（Intrusion Detection System，简称IDS）。 IDS只可以检测，不能阻断。IDS一般为旁路部署，IPS一般是串行部署 入侵检测模型 早期模型原理：根据审计记录数据生成系统轮廓（如正常行为基线），通过检测轮廓变化发现入侵。 CIDF模型组成： 事件产生器：从计算环境获取事件并进行标准化 事件分析器：分析数据并产生结果（判断是否为攻击） 响应单元：根据分析结果做出响应动作 事件数据库：存储中间和最终数据 模型特点：各组件协同工作，简单事件直接响应，复杂事件需经分析器处理。 入侵检测作用 核心角色：扮演**"预警机"或"安全巡逻人员"角色，不是阻止入侵事件发生，而是通过检测技术来发现**系统中企图或已经违背安全策略的行为。 六大功能： 发现系统中的入侵 ...

VPN概述 vpn概念 本质：Virtual Private Network（虚拟专用网）的缩写，通过在不可信任的公共网络上建立加密通道实现安全通信 核心机制：将需要传输的报文(packet)加密处理后通过公共网络传输，保证数据在公网上的保密性 vpn安全功能：保密性服务、完整性服务、认证服务 vpn实现功能 加密传输：如IPSec VPN对站点间通信数据进行加密，防止公网传输中被窃取 隧道技术：出差人员通过VPN隧道访问内网服务器，实现"虚拟内网接入"效果 三大安全服务： 保密性服务：防止数据被窃听（如AES加密） 完整性服务：检测数据是否被篡改（通过哈希校验） 认证服务：验证通信双方身份（如用户名/密码认证） vpn分类 链路层VPN： 典型协议：PPTP、L2TP（基于PPP协议） 其他技术：ATM、Frame Relay、MPLS 网络层VPN： 代表技术：IPSec、GRE 传输层VPN： 典型协议：SSL/TLS（如HTTPS使用的安全层） vpn实现技术 密码算法 国际算法： 对称加密：DES、AES（主流）、I ...

防火墙概述 边界隔离设备: 通过软硬件组合实现内网与外网隔离，既可隔离信任网络与不可信网络（如Internet），也可隔离内网不同区域（如教学区与宿舍区、应用区与数据库区） 流量控制机制: 根据安全规则决定网络包禁止（deny）或转发（permit） 防火墙区域划分 教材标准划分: 公共外部网络: Internet等不可信网络 内联网(Intranet): 组织专用网络（如公司内部网络） 外联网(Extranet): 内联网延伸（如医院与医保系统的互联网络） DMZ区域: 放置公共服务设备（如Web服务器）的缓冲地带 华为设备/其他安全厂商划分: Local区域: 防火墙自身（安全级别100） Trust区域: 内部可信网络（安全级别85） DMZ区域: 公共服务区（安全级别50） Untrust区域: 外部不可信网络（安全级别最低） 信任度排序：Local>Trust>DMZ>UntrustLocal > Trust > DMZ > UntrustLocal>Trust>DMZ>Untrus ...

访问控制概述 访问控制定义 核心要素：包含主体（用户/进程/应用程序）、客体（文件/服务/数据）、授权（访问方式）和控制（访问决策） 授权机制：明确访问者对资源对象的操作权限，如文件可读/写/删除/追加，邮件服务可接收/发送 控制决策：包含三种基本判断结果：拒绝访问、授权许可、禁止操作 访问控制目标 通过认证机制防止非法用户进入系统 通过权限管理阻止合法用户越权操作 实现访问控制目标 实现流程： 身份认证（前置条件） 权限授予（核心环节） 审计监控（事后保障） 协同机制：与认证、审计构成三位一体安全体系： 认证解决"你是谁" 访问控制解决"你能做什么" 审计记录"你做了什么" 访问控制模型 访问控制的组成要素 主体（Subject，操作的实施者） 客体（Object，被操作的对象） 参考监视器（Reference Monitor，访问控制的决策单元和执行单元的集合体） 访问控制数据库（记录访问权限及其访问方式，提供访问控制决策判断的依据） 审计库（存储主体访问客体的操作信息，如访问成功、失败等） ...