信安
第一章 信安概述
网络安全基础
网络信息安全基本概念
信息社会的主要特征：数字化、网络化、智能化。
网络信息安全（狭义）：网络信息系统祖成符合安全属性，即机密性、完整性、可用性、抗抵赖性、可控性。
网络信息安全（广义）：涉及国家安全、城市安全、经济安全、社会安全、生产安全、人身安全在内的大安全。
网络安全保障维度包括网络空间域，物理空间域，社会空间域。网络安全保障措施从单一性想综合性转变。网络安全没有战时和平时之分。
网络安全主要面对的12大问题：1.网络强依赖性及网络安全关联风险凸显；2.网络信息产品供应链与安全质量风险；3.网络信息产品技术同质性与技术滥用风险；4.网络安全建设与管理发展不平衡、不充分风险；5.网络数据安全风险；6.高级持续性风险；7.恶意代码风险；8.软件代码和安全漏洞风险；9.人员的网络安全意识风险；10.网络信息技术复杂性和运营安全风险；11.网络地下黑产经济风险；12.网络间谍与网络战风险。
网络信息安全基本属性（CIA）
机密性（Confidentiality）：指网络信息不泄露给非授权的用户、实体或程序，能够防止非授权者获取信息。攻击和防范：窃听–加密。
完整性（Integrity）：指网络信息或系统未经授权不能进行更改的特性。攻击及防范：修改–HASH/签名。
可用性（Availability）：指合法许可的用户能够及时获取网络信息或服务的特性。攻击及防范：DOS–冗余/清洗。
抗抵赖性：防止网络信息系统相关用户否认其活动行为的特性。攻击及防范：数字签名。
可控性：信息系统责任主体对其具有管理、支配能力的属性。
其他：真实性、时效性、合规性、公平性、可靠性、可生存性、隐私性。
网络信息安全的目标与功能
宏观目标：网络信息系统满足国家安全需求特性，符合国家法律法规政策需求，如网络主权、网络合规等。
微观目标：网络信息安全系统的具体安全要求。
具体目标：保证网络信息及相关信息系统免受网络安全威胁，相关保护对象满足网络安全基本属性要求，要求网络行为符合网络法律法规要求，网络信息系统能够支撑业务安全持续运营，数据安全得到有效保护。
网络安全基本功能：要实现网络安全基本目标，网络应具备防御、检测、应急和恢复的功能。
防御：采用各种手段和措施，使得网络系统具备阻止、抵御各种已知网络安全威胁的功能。
检测：采用各种手段和措施，检测、发现各种已知或未知的网络安全威胁的功能。
应急：采用各种手段和措施，针对网络系统中的突发事件，具备及时响应和处置网络攻击的功能。
恢复：采用各种手段和措施，针对已经发生的网络灾害事件，具备恢复网络系统运行的功能。
网络信息安全技术需求
网络安全管理
网络安全信息管理
安全管理是指对网络资产采用合适的安全措施，以保证网络资产的可用、完整、可控性等。涉及物理安全、网络通信安全、操作系统安全、网络服务安全、网络操作安全以及人员安全。管理方法主要有风险管理、等级保护、纵深防御、层次化保护、应急响应以及PDCA方法等。安全评估：等保评测（通过技术加管理综合评估，保障系统安全），信息安全管理体系认证(ISMS)（通过应用风险管理来保持信息的保密性、完整性和可用性），系统安全工程能力成熟度模型（SSE-CMM）（通过组织过程、工作过程、项目过程等来实现昔日安全能力评估）
网络安全管理要素有网络管理对象、网络威胁、网络脆弱性、网络风险、网络保护措施组成。
| 安全功能 | 内容 |
|---|---|
| 管理对象 | 硬件、软件、存储介质、网络信息资产、支持保障系统 |
| 安全威胁 | 自然威胁：地震、雷击、洪水、火灾、静电、鼠害、电力故障等 人为威胁：物理安全威胁、网络通信威胁、网络服务威胁、网络管理威胁 |
| 安全脆弱性 | 计算机系统中与安全策略相冲突的状态或错误。它将导致攻击者非授权访问、假冒用户执行操作及拒绝服务。 |
| 网络安全风险 | 网络安全管理实际上是对网络系统中网管对象的风险进行控制。风险控制包括： 避免风险，转移风险，减少威胁，消除脆弱点，减少威胁的影响，风险检测。 |
| 保护措施 | 后面内容。 |
网络安全管理流程
确定安全管理对象->评估对象价值->识别对象威胁->识别脆弱性->确定风险级别->指定防范措施->实施和落实防范措施->运行维护
网络信息安全法律和政策
《国家安全法》–>2015.07.01
《网络安全法》–>2017.06.01 确定网络安全负责人，采取防范技术措施，留存的网络日志不少于6个月，数据备份和加密。
《网络安全等级保护2.0》 –>2019.12.01
《密码法》 –>2020.01.01
《数据安全法》 –>2021.09.01
网络产品和服务安全审查办法
中国网络安全审查技术与认证中心（CCRC）是负责实施网络安全审查和认证的专门机构
国家密码管理制度
网络安全等级保护
定级（确认定级对象、级别）–>备案（准备备案材料，到公安机关备案） –>建设整改（差距分析，不符合要求的整改，建设符合等级要求的）–>等级测评（对对象进行测评，出具证书）–>运营维护（运营主体按照要求进行监督管理）
网络信息安全部门
网络安全四大顶级学术会议：S&P,CCS,NDSS,USENIX Security
网络安全信息术语
网络信息安全术语是获取网络安全只是和技术的重要途经，常见的网络安全属于可以分为基础技术类、风险评估技术类、防护技术类、检测技术类、想要恢复技术等。
第二章 网络攻击原理与常用方法
网络攻击基础与模型
攻击树模型：使用AND-OR形式的树结构对目标对象进行网络安全威胁分析。
优点：能够利用专家头脑风暴法，并将融合到攻击树；能够进行费效分析或者概率分析；能够建模非常复杂的攻击场景。
缺点：不能建模多重常识攻击、时间依赖和访问控制等场景；不能用来建模循环事件；对于现实中的大规模网络，攻击树方法处理起来将会特别复杂。
MITRE ATT&CK模型：根据网络攻击数据形成的攻击矩阵模型。主要应用场景有网络红蓝对抗模拟、网络安全渗透测试、网络防御差距评估、网络威胁情报收集
网络杀伤链（kill Chain）模型：将网络攻击活动非为目标侦察、武器构造、载荷投送、漏洞利用、安装植入、指挥和控制、目标行动等七个阶段。
网络攻击发展趋势
网络攻击一般过程
网络攻击常见技术方法
1.端口扫描 2.口令破解
3.缓冲区溢出 4.恶意代码
5.拒绝服务 6.网络钓鱼
7.网络窃听 8.SQL注入
9.社交工程 10.电子监听
11.会话劫持 12.漏斗扫描
13.代理技术 14.数据加密
TCP三次握手建立连接
一次握手：客户端发送带有SYN标志的连接请求数据包给服务端
二次握手：服务端发送带有SYN+ACK标志的连接请求和应答数据包给客户端
三次握手：客户端发送带有ACK标志的应答数据包给服务端(可以携带数据了)
端口扫描
逐个尝试与TCP/UDP端口连接，然后根据端口与服务的对应关系，结合服务器的反馈，推断目标系统上是否运行了某项服务。
ID头扫描
口令破解
弱口令、爆破。
网络攻击者常常以破解用户的弱口令作为突破口，获取系统的访问权限。
缓冲区溢出
向缓冲区写入超长的、预设的内容，导致缓冲区溢出，覆盖其他正常的程序或者数据，然后让计算机去运行这行预设的程序，达到攻击的目的。
恶意代码
恶意代码是指为达到恶意目的而专门设计的程序或代码，指一切旨在破坏计算机或者网络系统可靠性、可用性、安全性和数据完整性或者损耗系统资源的恶意程序。
常见恶意代码类型：计算机病毒，网络蠕虫，特洛伊木马，后门，逻辑炸弹，僵尸网络等。
网络蠕虫特点：具有复制传播能力，代表：红色代码、震网。
拒绝服务攻击（DOS Denial of Service）
攻击者恶意消耗系统资源（CPU，内存，硬盘，网络带宽等），导致目标不能为正常用户提供服务。
典型DOS攻击：同步包风暴（SYN Flood），UDP Flood，Smurf攻击，垃圾邮件，消耗CPU和内存资源的DOS（比如HASH DOS），Ping of Death攻击，Teardrop泪滴攻击，DDOS分布式拒绝服务攻击，Winnuke攻击，Land攻击。
网络钓鱼
假冒可信方提供网络服务，以欺骗手段获取敏感个人信息。
…
APT攻击（高持续性威胁）
技术高级，持续时间长，威胁性大。
防范措施：通过安全沙箱、安全大数据和态势感知等平台，联动全网安全设备，进行统一分析，及时检测和预防APT攻击。
第三章 密码学基本理论
密码学基础
密码学概念和法律
密码学主要由密码编码学和密码分析学两个部分组成。
密码编码学：研究信息的变换处理以实现信息的安全保护。
密码分析学：研究通过密文获取对应的明文信息。
《密码法》发布于2020年1月1日。
密码安全分析
密码机制分类
密码机制分为私钥和公钥密码机制，还有混合密码机制。
私钥密码机制（对称密码机制）：加密和解密使用相同的密钥。消息的收发双方必须实现通过安全渠道交换密钥。
优点：加解密速度快、密文紧凑、使用长密钥时的难以破解。
缺点：密钥分配问题、密钥管理问题、无法认证源。
常见的对称加密算法：DES,3DES,AES,RC4/5,IDEA。
公钥密码机制（非对称加密机制）：对数据加密和解密的密钥不同。
优点：密钥分发方便、保管量少、支持数字签名。
缺点：加密速度慢、数据膨胀率高。
公钥公开，私钥自己保存。
公钥加密，私钥解密，可以实现保密通信。
私钥加密，公钥解密，可以实现数字签名。
常见的非对称加密算法：RSA(512位或者1024位密钥，计算量极大，难以破解)，Elgamal，ECC(椭圆曲线算法)，背包算法，Rabin，DH等。
混合密码机制：发送方把消息堆成加密，再把密钥非对称加密，接收方用私钥解密得到对称密钥，再用对称密钥解密。
对称加密算法
国产加密算法–SM系例
非对称加密算法
基于大素数因子分解困难性：RSA。
基于离散对数问题困难性：DH、Elgmal、ECC（椭圆曲线密码）。
RSA算法
RSA算法提供了一种保护网络通信和数据存储的机密性、完整性、真实性和不可否认性的方法。
SSH、OpenPGP、S/MIME和SSL/TLS都依赖RSA进行加密的数字签名功能。
公钥密码思想是将传统的密钥k分为两个，分为加密密钥Ke和解密密钥Kd，Ke控制加密，Kd控制解密。
RSA加密模式（公->私）
加密模式，确保数据的秘密性。
发送方：A根据PKDB查找到B的公钥KeB，A用KeB加密明文M得到密文C：C=E(M,KeB),A将密文C发给B。
接收方：B接收密文C，B用自己的私钥KdB解密C，得到明文M=D(C,KdB)。
RSA认证模式（私->公）
认证模式，确保数据的真实性。
发送方：A用自己的私钥KdA加密明文M，得到密文C：C=E(M,KdA)，A发密文C给B。
接收方：B接收C，根据PKDB查找A的公钥KeA，用KeA解密C得到明文M：M=D(C,KeA)。
RSA混合模式
混合模式，同时保证秘密性和真实性。
发送方：A用私钥KdA加密M，得到中间密文S：S=E(M,KdA)，再用B的公钥KeB加密S得到密文C：C=(S,KeB)，A发送给B。
接收方：B用B的私钥KdB解密C得到S：S=D(C,KdB)，在根据PKDB查找到A的公钥KeA，用A的公钥解密S得到明文M：M=D(S,KeA)。
RSA的相关数学基础
欧拉函数
欧几里得算法
RSA计算
RSA的安全性
HASH算法
HASH函数，也叫杂凑函数，散列函数，能将任意长度的信息转换成固定长度的哈希值。
哈希函数特性：不可逆、无碰撞性、雪崩效应。
常见的hash算法：
HASH应用：文件完整性校验、账号密码存储、用户身份认证。
MAC（身份校验码）
hash、mac和hmac对比
hash能验证数据完整性、不能进行用户身份认证，计算过程无密钥参与。
数字签名
数字签名是签名者使用私钥对待签名数据的哈希值做密码运算得到的结果，这个结果只能用签名者的公钥进行验证。
数字签名具有不可否认性、真实性、可鉴别性、不可篡改性。
典型的数字签名算法：RSA,Rabin,ELGamal签名机制和DSS标准。
数字证书
数字证书示例
数字证书按类别可分为个人证书、机构证书和设备证书，按用途可分为签名证书和加密证书。签名证书是用于证明签名公钥的证书，加密证书是用于证明加密公钥的数字证书。
为了更好的管理数字证书，一般是基于PKI技术建立数字证书认证系统（简称CA），CA提供数字证书的申请、审核、签发、查询、发布以及证书吊销等全生命周期的管理服务。
数字证书认证系统的构成包括目录服务器、OCSP服务器、注册服务器、签发服务器等。
PKI体系结构
PKI与Kerberos服务器
密钥管理与安全协议
密钥管理分为三个内容：密钥管理，密码管理政策，密码测评。
安全协议
SSH是基于公钥的安全应用协议，基于TCP22端口，包括SSH传输层协议、SSH用户认证和SSH连接协议三个子协议，实现加密、认证、完整性检查等多种安全服务。
第四章 网络安全体系与安全模型
网络安全模型
网络安全体系概述
网络安全体系是网络安全保证系统的最高层概念抽象，网络安全体系包括法律法规政策文件、安全策略、组织管理、技术措施、标准规范、安全建设与运营、人员队伍、教育培训、产业生产、安全投入等多种要素。
网络安全体系特征：整体性，协同性，过程性，全面性，适应性。
网络安全模型 -BLP模型
Bell-LaPadula模型（BLP机密模型）用于防止非授权信息的扩散。
两个特性：简单安全特性和*特性。
BLP模型只能保障机密性，不能保障完整性。
BLP机密性模型可用于实现军事安全策略。
策略规定：用户要合法读取某信息，当且仅当用户的安全级大于或等于该信息的安全级，并且用户的访问范畴包含该信息范畴时。
Biba模型
Biba完整性模型，主要用于防止非授权修改系统模型，以保证系统的信息完整性。
Biba三个特性：简单安全特性、*特性、调用特性。
信息流模型
信息流模型是访问控制模型的一种变形，简称FM，该模型不检查主体对客体的存取，而是根据两个客体的安全属性来控制从一个客体到另一个客体的信息传输。
信息保障模型
信息保障模型：PDRR模型，P2DR模型，WPDRRC模型
PDRR模型：保护Protection、检测Detection、恢复Recovery、响应Response
P2DR模型：安全策略Policy、防护Protection、检测Detection、响应Response
WPDRRC模型：预警Warning、保护、检测、反应、恢复、反击Counterattack
能力成熟度模型
能力成熟度模型CMM是对一个组织机构的能力进行成熟度评估，有五级：
成熟度模型主要有SSE-CMM系统安全工程能力成熟度模型、数据安全能力成熟度模型、软件安全能力成熟度模型等。
软件安全能力成熟度模型主要分为五级
其他安全模型
纵深防御模型：安全保护，安全检测，实时响应，恢复
分层防护模型：对保护对象进行层次化保护。
等级保护模型：将信息系统划分位不同安全保护等级，采取相应的保护措施。
网络生存模型：系统遭受入侵时网络信息系统仍然可以持续提供必要服务的能力。遵循“三R”原则，抵抗（Resistance），识别（Recognition），恢复（Recovery）。
网络安全体系框架和建设内容
网络安全体系架构
网络安全组织
网络安全组织主要包括领导层、管理层、执行层以及外部协作层等。
网络安全等级保护2.0
等级保护分为五级：第一级（用户自主保护级）、第二级（系统审计保护级）、第三级（安全标记保护级）、第四级（结构化保护级）、第五级（访问验证保护级）。
等保项目流程
等保标准变化
等保2.0变化
等保2.0的新增内容
第五章 物理与环境安全技术
物理安全概述
传统物理安全包括环境、设备和记录介质在内的所有支持网络信息系统运行硬件的总体安全。
物理安全威胁
1.硬件木马：通常指在IC（集成电路芯片）中被植入的恶意电路。
2.硬件协同的恶意代码：可以使得非授权的软件访问特权的内存区域。
3.硬件安全漏洞利用：根据已有的漏洞对内存或者CPU进行读取或者篡改，实现攻击目的。
4.基于软件漏洞攻击硬件实体：如“震网”病毒。
5.基于环境攻击计算机实体：利用外部环境缺陷，恶意破坏环境，导致计算机系统出现问题。
机房等级划分
数据中心建设与设计要求
数据中心是实现对数据信息的集中处理、存储、传输、交换、管理以及为相关的电子信息设备运行提供运行环境的建筑场所。
数据中心强制规范
互联网数据中心（IDC）
IDC机房分为R1，R2，R3三个级别。
物理安全保护
网络通信线路威胁：线路被切断、电磁干扰、线路泄露信息
线路安全防护：设备冗余、线路冗余
设备物理安全、环境物理安全、系统物理安全。
方法：安全合规、访问控制、安全屏蔽、故障容错、安全检测与预警、供应链安全管理和容灾备份。
硬件木马检测：
第六章 认证技术原理与应用
认证技术基础与原理
认证概述
认证一般有标识（Identification）和鉴别（Authentication）两部分组成。
鉴别的凭据/认证凭据：所知道的秘密信息，所拥有的实体信息，所具有的生物特征，所表现的行为特征。
认证原理
认证机制由验证对象、认证协议、鉴别实体构成。
认证分类
单项认证
验证者对声称者进行单方面的鉴别，而声称则会不需要识别验证者的身份。
单项认证技术：基于共享秘密和基于挑战响应。
基于共享秘密认证
基于挑战响应的认证
双向认证
双方互为验证者。
第三方认证
两个在鉴别过程中通过可信的第三方来实现。
认证技术方法
Kerberos认证协议
Kerberos包括四个基本实体：
1.Kerberos客户机，用户用来访问服务器设备
2.AS（Authentication Server，认证服务器），识别用户身份并提供TGS会话密钥。
3.TGS（Ticket Granting Server，票据发放服务器），为申请服务的用户提供票据。
4.应用服务器（Application Server），为用户提供服务的设备或系统。
AS和TGS统称为KDC（Key Distribution Center）
票据是用于安全的传递用户身份所需要的信息的集合，主要包括客户方实体名称、地址、时间戳、票据生存期和会话密钥等。
Kerberos优缺点分析
优点：可以显著减少用户密钥的密文的暴露次数；具有单向登录（SSO）的优点。
缺点：要求解决主机节点时间同步和低于拒绝服务攻击。
PKI体系结构
其他认证技术
认证主要产品
认证产品形态有硬件实体模式、软件模式和软硬结合模式。
认证产品主要技术指标
三类：安全功能要求、性能要求和安全保障要求。
认证技术应用
认证技术是网络安全保障的基础性技术，普遍用于网络信息系统保护。
常见应用场景：用户身份验证、信息来源证实、信息安全保护。
第七章 访问控制技术原理与应用
访问控制概述
访问控制是指对资源对象的访问者授权、控制的方法和运行机制。
访问者又称主体，可以是用户、进程、应用程序等。
资源对象又称客体。及被访问的对象，可以是文件、应用服务、数据等。
授权：访问者可以对资源对象进行访问的方式。
控制：对访问者是否允许访问资源对象做出决策。
访问控制目标
1.防止非法用户进入系统。
2.阻止合法用户对系统资源的非法使用，即禁止合法用户的越权访问。
实现访问控制目标
通过访问控制与认证机制、实际机制的协同，实现访问控制。
访问控制参考模型组成要素
主体、客体、参考监视器、访问控制数据库、审计库
常见访问控制模型
访问控制模型–DAC自主访问控制
自主访问控制（Discretionary Access Control，DAC）指客体的所有者按照自己的安全策略授予系统中的其他用户对其的访问权。
1.基于行的自主访问控制：能力表、前缀表、口令。
2.基于列的自主访问控制：保护位、访问控制列表ACL。
自主访问控制是最常用的一种对网络资源进行访问约束的机制，优点是访问机制简单、灵活，缺点是不能满足高安全等级的安全要求。
MAC强制访问控制
强制访问控制（MAC）是根据主体和客体的安全属性，以强制方式控制主体对客体的访问。
RBAC基于角色的访问控制
RBAC是目前国际上流行的先进的安全访问控制方法。通过分配和取消角色来完成用户权限的授予和取消，并且提供角色分配规则。RBAC包括用户（U），角色（R），会话（S）和权限（P）四个基本要素，
ABAC基于属性的访问控制
ABAC：访问控制方法是根据主体的属性、客体的属性、环境的条件以及访问控制策略对主体的请求操作进行授权许可或拒绝。
访问控制过程
访问控制的目的是保护系统的资产，防止非法用户进入系统及合法用户对系统资源的非法使用。
实现访问控制的五个步骤，明确资产–>分析需求–>指定策略–>实现控制–>运行维护。
访问控制安全管理
最小特权管理
最小特权原则是指系统中每个主体只能拥有完成任务所必要的权限集。特权的分配原则是“按需使用”。
用户访问控制
包括用户登记、用户权限分配、访问记录、权限检测、权限取消、撤销用户。
口令安全管理
访问控制产品
4A系统
安全网关
系统安全增强
访问控制技术应用
访问控制系统-unix/Linux系统
访问控制技术–Windows系统
第八章 防火墙技术原理与应用
防火墙概述
为了应对网络威胁，将内部信任网络与公共的不可信任的网络进行隔离。
防火墙区域划分
根据网络的安全信任程度和需要保护的对象，人为划分若干安全区域，包括：
公共外部网络，比如Internet
内联网（Intranet），公司或组织内部的专用网络
外联网（Extranet），内联网的拓展延申，组织与合作伙伴间通信
军事缓冲区域（DMZ），介于内部网络和外部网络之间的网络段，通常用来放置公共服务设备，向外提供信息服务。
防火墙工作原理
防火墙是由一些软。硬件组成的网络访问控制器，根据一定的安全规则来控制过防火墙的网络包，比如禁止或者转发，能够屏蔽被保护网络内部的信息、拓扑结构和运行状况，从而起到网络安全屏障的作用。一般用来将内部网络与因特网或者其他外部网络互相隔离，限制网络互访。
华为防火墙对流量的操作：permit、deny
Linux对流量的操作：Accept、Reject、Drop
防火墙安全策略
防火墙安全策略有两种类型
1.白名单策略：只允许符合安全规则的包通过防火墙，其他通信包禁止。
2.黑名单策略：禁止与安全规则相冲突的包通过防火墙，其他通信包都允许。
防火墙功能：过滤非安全网络访问、限制网络访问、网络访问审计、网络带宽控制、协同防御。
防火墙安全风险：
防火墙发展：防火墙控制粒度不断细化、检查安全功能持续增强、产品分类更细化、智能化增强。
防火墙类型与实现技术
包过滤防火墙
包过滤：在IP层实现的防火墙技术，根据包的源IP地址、目的IP地址、源端口、目的端口以及包传递方向等包头信息判断是否允许包通过。
优点：低负载，高通过率，对用户透明。
缺点：不能再用户级别进行过滤，不能识别不同的用户和防止ip地址的盗用。
包过滤规则由“规则好、匹配条件、匹配操作”三部分组成。
根据源IP地址、目的IP地址、源端口号、目的端口号，协议类型（TCP/UDP/ICMP）、通信方向、规则运算进行匹配
匹配操作有拒绝，转发，审计三种。
状态检测技术
状态检测技术：通过利用TCP会话和UDP“伪”会话的状态信息进行网络访问机制。
防火墙首先会建立并维护一张会话表，当有符合一定义安全策略的tcp连接或者UDP流时，防火墙会创建会话项，然后一句状态表项检查，判断是否允许通过防火墙，主要步骤如下：
应用代理服务
代理服务器按照所代理的服务可以分为FTP，Telnet，Http，Socket、邮件代理等。
优点：不允许外部主机直接访问内部主机；支持多种用户认证方案；可以分析数据包内部的应用命令；可以提供详细的审计记录。
缺点：速度比包过滤慢；对用户不透明；与特定应用协议相关联，代理服务器并不能支持所有的网络协议。
下一代防火墙技术
下一代防火墙技术除了集成传统防火墙包过滤、状态检测、地址转换等功能外。还具有应用识别和控制，监测隐藏的网络活动、动态快速响应攻击、支持安全策略部署、智能化安全管理等新功能。
其他防火墙技术
Web防火墙技术
数据库防火墙技术
工控防火墙技术
防火墙防御体系结构类型
基于双宿主主机防火墙结构
基于代理防火墙结构
基于屏蔽子网的防火墙结构
防火墙技术应用
防火墙安全功能指标
防火墙性能指标
防火墙部署
第九章 VPN技术原理及应用
VPN分类
按照VPN在TCP/IP协议栈的工作层次，可以分为
链路层VPN：PPTP，L2TP（基于PHP），ATM，Frame Relay，多协议标签MPLS。
网络层VPN：IPSec，RGE。
传输层VPN：SSL/TLS。
VPN实现技术
密码算法：VPN的核心就是密码算法，实现对需要传递的信息进行加密变换，包括国外的DES，AES，IDEA，以及国内的SM1，SM4，SM3等。
密钥管理：密钥的分发有两种方法。
认证访问控制：VPN中包括两种认证：
1.用户身份认证。在VPN连接建立之前，核查其是否为合法的授权用户，如果使用双向认证，VPN客户机和VPN服务器都需要验证彼此的身份。
2.数据完整性和合法性认证。检查传输的信息是否来自可信源，并且确认在传输过程中是否被篡改。
IPSec与SSL
IPSec技术
IPSec（IP Security）是IETF定义的一组协议，用于增强IP网络的安全性。
IPSec协议集提供如下安全服务：
IPSec组成架构
IPSec功能分为三类：认证头（AH）、封装安全负荷（ESP）、Internet密钥交换协议（IKE）。
1.认证头（Authentication Header，AH）：用于数据完整性认证和数据源认证，不提供加密服务。
2.封装安全负荷（Encapsulating Security Payload，ESP）：提供数据保密性，能防止重放攻击。
3.Internet密钥交换协议（Internet Key Excahnge，IKE）：用于生成和分发密钥。
IPSec两种封装模式
SSL协议
SSL是传输层安全协议，用于构建客户端和服务端之间的安全通道，包含两层协议：
上层是SSL握手协议、SSL密码规格变更协议和SSL报警协议。
·SSL握手协议（Handshake Protocol）：认证、协商加密算法。
·SSL密码规格变更协议（Change Cipher Spec）：保客户端和服务器双方都应该每隔一段时间改变加密规范。
·SSL报警协议：通信过程中一方发现异常，就需要给对方发一条警示消息通告。
下层为SSL记录协议：为高层协议提供基本的安全服务，比如分块、压缩、计算添加MHAC、加密等。
SSL协议功能
SSL提供三种安全通信服务：
SSL记录协议的数据处理过程：
PPTP和L2TP
PPTP：点到点的安全隧道协议，基于UDP 1723，主要是给电话上网的用户提供VPN安全服务。
L2TP：基于UDP 1701端口，用在客户端和服务器直接建立VPN通道，不提供加密服务。
PPTP和L2TP都是二层VPN，都采用PPP封装，但存在一些区别。
VPN主要产品与性能指标
VPN技术应用于网络通信安全和网络接入控制。
商业产品有IPSec，VPN网关，SSL VPN网关，或者集成IPSec，SSL安全功能的防火墙和路由器。
开源产品有StrongSwan、OpenSwan、OpenSSL。
VPN产品性能指标
Aaccess VPN远程用户访问
总分机构互联
第十章 入侵检测技术原理及应用
入侵检测概述
判断是否为入侵的依据：对目标的操作是否超出了目标的安全策略范围。
入侵检测通过收集操作系统、系统程序、应用程序、网络包等信息，返现系统中违背安全策略或危及系统安全的行为。
具有入侵检测功能的系统成为入侵检测系统，简称IDS。
入侵检测模型
早期入侵检测模型根据审计记录数据，生成系统的轮廓，并检测轮廓的变化，发现入侵行为。
通用入侵检测模型CIDF，把入侵检测系统分为：事件生产器、事件分析器、响应单元和事件数据库。
入侵检测作用
入侵检测系统扮演“预警机”或者“安全巡逻人员”的角色，不是阻止入侵事件的发生，而是通过检测技术来发现系统中企图或已经违背安全策略的行为。
入侵检测技术还常用于安全态势感知，以获取网络信息系统的安全状况。
入侵检测技术原理
误用检测：基于特征的入侵检测方法，是指根据已知的入侵模式检测入侵行为。
分类：基于条件概率（贝叶斯定理）、基于状态迁移、基于键盘监控、基于规则
缺点：高度依赖特征库，检测不出新的攻击。
异常检测：通过统计分析，建立系统正常行为的“轨迹”，定义一组系统正常数值，然后将系统运行时的数值与定义的“正常”情况相比较，得出是否有被攻击。
分类：基于统计、基于模式预测、基于文本分类、基于贝叶斯推理
缺点：存在较多误报，但可以检测出新的攻击。
入侵检测系统组成与分类
入侵检测系统组成
入侵检测系统组成：数据采集模块、入侵分析引擎模块、应急处理模块、管理匹配模块（提供配置服务，是模块和用户的接口）和相关的辅助模块（为入侵分析引擎模块提供信息）。
入侵检测分类
根据IDS的检测数据来源和它的安全作用范围，可以分为三类：
基于主机的入侵检测系统（简称HIDS，分析主机的信息）
基于网络的入侵检测系统（简称NIDS，扫描网络通信数据包）
分布式入侵检测系统（简称DIDS，多台主机、多个网段采集数据综合分析）
HIDS
HIDS基于主机的入侵检测系统通过收集主机系统的日志文件、系统调用以及应用程序的使用、系统资源、网络通信和用户使用等信息，分析这些信息是否包含攻击特征或者异常情况，并依次来判断主机是否收到入侵。CPU利用率、内存利用率、磁盘空间大小、网络端口使用情况、注册表、文件的完整性、进程信息、系统调用等常作为识别入侵事件的依据。
HIDS软件
SWATCH（实施监视日志的程序）
Tripwire（文件和目录完整性检测工具软件包）
网页防篡改系统（防止网页文件被入侵者非法修改）
NIDS
NIDS基于网络的入侵检测系统通过侦听网络系统，捕获数据包，并依据网络包是否包含攻击特征，或者网络通信流是否异常来识别入侵行为。
NIDS能够检测：同步风暴（SYN Flood）、分布式拒绝服务攻击（DDoS）;网络扫描；缓冲区溢出攻击；协议攻击；非法网络访问
NIDS通常分为两部分：探测器和管理控制器
NIDS的优点：可以监控大型网络的安全状况；对网络影响很小，通常属于被动型的设备，他们只监听网络而不干扰网络的正常运作；很好的避免攻击，对于攻击者甚至是不可见的。
NIDS的缺点：在告诉网络中，NIDS很难处理所有的网络包，因此可能存在漏检现象；…
DIDS
分布式入侵检测系统：基于主机检测的分布式入侵监测系统和基于网络的分布式入侵检测系统。
基于主机检测的分布式入侵检测系统（HDIDS）：主机探测器和入侵管理控制器
基于网络检测的分布式入侵检测系统（NDIDS）：网络探测器和管理控制器。
入侵检测产品
1.主机入侵检测系统。
2.网络入侵检测系统。
3.统一威胁管理。
4.APT高级持续威胁检测。
入侵检测相关指标：可靠性、可用性、可扩展性、时效性、准确性、安全性。
入侵检测系统部署方法
NIDS网络入侵检测部署
第十一章 网络物理隔离技术原理及应用
网络物理隔离技术
网络物理隔离概述
网络物理隔离是既满足内外网数据交换需求，又能防止网络安全事件出现的安全物理隔离技术。基本原理是避免计算机之间直接联通，以阻断在线网络国攻击。
网络物理隔离安全风险：
物理隔离机制和实现技术
专用计算机上网：指定一台计算机，这台计算机至于外部网相连接，不与内部网相连，用户必须到指定的计算机才能上网，并且要求用户离开自己的工作环境。
多PC：桌面部署两台PC，分别连接两个分离的物理网络，一台用于外网，一台用于内网。
外网代理服务：在内网设置代理服务器。
内外网线路切换器：在内部网中，上外网的计算机连接一个物理线路A/B交换盒，通过交换盒的开关设置控制计算机的网络物理连接。
单硬盘内外分区：将单台物理PC虚拟成逻辑上的两台PC，使得单台计算机在某一时刻只能连接到内部网或者外部网。
双硬盘：在一台计算机上安装两个硬盘。
协议隔离技术：处于不同安全区域的网络在物理上是由连线的，通过协议转换的手段保证受保护的信息在逻辑上是隔离的，只有被系统要求传输的、内容受限的信息可以通过。
单项传输部件、信息摆渡技术、物理断开技术…。
网络物理隔离产品
终端隔离产品
终端隔离产品用于同时连接两个不同的安全域，采用物理断开技术在终端上实现安全域物理隔离的安全隔离卡或安全隔离计算机。
网络隔离产品
网络隔离产品用于连接两个不同的安全域，实现两个安全域之间的应用代理服务、协议转换、信息流访问控制、内容过滤和信息摆渡等功能。
网络单向导入产品
网络单向导入产品位于两个不同的安全域之间，通过物理方式（可基于电信号传输或者光信号传输）构造信息单向传输的唯一通道，实现信息单向导入，并且保证只有安全策略允许传输的信息可以通过，同时反方向无任何信息传输或反馈。
网闸
网闸是一种利用GSP技术，使两个或者两个以上的网络在不连通的情况下，实现他们的之间的安全数据交换和共享。
网闸安全风险：入侵者可以将恶意代码隐藏在电子文档中，将其发送到目标网络中，通过具有恶意代码功能的电子文档触发，构成对内部网络的安全威胁。
网络物理隔离应用
电子政务网闸应用
政务外网/内网/政法专网
公安：信息网、视频专网、互联网
第十二章 网络安全审计技术原理及应用
网络安全审计概述与组成
网络安全审计概述
网络安全审计是指对网络信息系统的安全相关活动进行获取、记录、存储分析和利用的工作。
网络安全审计的作用在于建立事后安全保障措施，为网络安全事件分析提供线索和证据，以便于发现潜在的网络安全威胁行为，开展网络安全风险分析及管理。
等保五个级别审计要求
网络安全审计系统组成
网络安全审计系统一般包括审计信息获取、审计信息存储、审计信息分析、审计信息展示及利用、系统管理等组成部分。
网络安全审计系统类型
按照审计对象不同，分为：操作系统审计、数据库安全审计、网络通信安全审计、应用系统安全审计、网络安全设备审计、工控安全审计、移动安全审计、互联网安全审计。代码安全审计等。
操作系统审计一般是对操作系统用户和系统服务进行记录，主要包括用户登录和注销、系统服务启动和关闭、安全事件等。
数据库审计通常是监控并记录用户对数据库服务的读、谢、查询、添加、修改以及删除等操作，并可以对数据库操作命令进行回放。
网络通信安全审计通常一般采用专用审计系统，通过专用设备获取网络流量然后分析。
通过审计范围可分为综合审计系统和单个审计系统
网络安全审计机制和实现技术
技术分类：基于主机的审计机制、基于网络通信的审计机制、基于应用的审计机制。
网络流量数据获取技术：常见的有共享网络监听、交换机端口镜像（Port Mirroring）、网络分析器等。
网络审计数据保护技术
网络审计数据涉及系统整体的安全性和用户的隐私性，通常的安全技术措施包括：
网络安全审计主要产品
日志安全审计产品：日志安全审计产品时有关日志信息收集、分析与管理的系统
主机监控与审计产品：有关主机行为信息的安全审查及管理的系统
数据库审计产品：是对数据库系统活动进行审计的系统
网络安全审计主要产品
工控安全审计
运维审计
第十三章 网络安全漏洞防护技术原理及应用
网络安全漏洞概述
网络安全漏洞又称脆弱性，简称漏洞
安全漏洞的影响：机密性受损、完整性破坏，可用性减低、抗抵赖性缺失、可控制性下降、真实性不保等。
安全漏洞可分为普通漏洞和零日漏洞。
解决漏洞的方法：漏洞检测、漏洞修补、漏洞预防等。
网络安全漏洞分类与管理
分类
OWASPTop10、CVE、CNVD等等
漏洞发布相关组织
网络安全漏洞管理过程
网络安全漏洞扫描技术与应用
具有漏洞扫描功能的软件或设备，叫做漏洞扫描器（漏扫）。
漏扫分为三种：主机漏洞扫描器、网络漏洞扫描器、专用漏洞扫描器。
漏扫一般用于网络信息系统安全检查和风险评估。
漏洞的发现方法主要有：人工安全性分析、工具自动化检测、人工智能辅助分析。
漏洞发现技术主要有：文本搜索、词法分析、范围检查、状态机检查、错误注入、模糊测试、动态污点分析、形式化验证等。
漏洞防范技术
漏洞防护主要产品与指标
第十四章 恶意代码防范技术原理
恶意代码概述
恶意代码分类
恶意代码的英文是Malicious Code，他是一种违背目标安全策略的程序代码，会造成目标系统信息泄露、资源滥用、破坏系统的完整性和可用性。
恶意代码攻击模型
攻击步骤：1.侵入系统；2.维持或提升自己的权限；3.隐蔽；4.潜伏；5.破坏；6.重复攻击。
恶意代码生存技术
反跟踪技术、加密技术、模糊变换技术、自动生产技术、变形技术、三线程技术、进程注入技术、通信隐藏技术、内核级隐藏技术、超级管理技术、端口反向连接技术、缓冲区溢出攻击技术。
恶意代码分析技术
恶意代码分析分为静态分析和动态分析
静态分析
动态分析
恶意代码防范策略
1.组织管理上必须加强恶意代码的安全防范意识，明确安全责任、义务和注意事项。
2.通过技术手段来实现恶意代码防御。
计算机病毒分析与防护
计算机病毒概念和特性
计算机病毒是一组具有自我复制、传播能力的程序代码。它常常依附在计算机的文件中，如可执行文件或Word文档等。计算机病毒的主要症状如下：
计算机病毒都具有四个特性：隐蔽性、传染性、潜伏性、破坏性。
计算机病毒组成与运行机制
病毒由三部分组成：复制传染部件（replicator）、隐藏部件（concealer）、破坏部件（）。
计算机病毒的生命周期主要有两个阶段：1.计算机病毒的复制传播阶段；2.计算机病毒的激活阶段。
计算机病毒常见类型与技术
常见病毒特征码
计算机病毒防范策略和技术
计算机病毒防护方案
基于单机计算机病毒防护、基于网络计算机病毒防护、基于网络分级病毒防护、基于邮件网关病毒防护、基于网关防护。
特洛伊木马分析与防护
特洛伊木马概念与分类
特洛伊木马（Trojan Horse，简称木马），是具有伪装能力、隐蔽执行非法功能的恶意程序。
特洛伊木马不具有自我传播能力。
特洛伊木马分为本地特洛伊木马和网络特洛伊木马*（主流）。
特洛伊木马运行机制
木马攻击过程：1.寻找攻击目标；2.收集目标系统的信息；3.将木马植入目标系统；4.木马隐藏；5.攻击意图首先，激活木马，实施攻击。
特洛伊木马植入技术
特洛伊木马植入是木马攻击目标系统的最关键的一步，是后续攻击活动的基础。
特洛伊木马的植入方法分为：被动植入和主动植入。
特洛伊木马隐藏技术
特洛伊木马为了逃避安全检测，要设法隐藏木马的行为或痕迹，其主要技术目标就是将木马的本地活动行为、木马的远程通信进行隐藏。
本地通信过程隐藏技术：文件隐藏、进程隐藏、通信连接隐藏。
远程通信过程隐藏技术：通信内容加密技术，通信端口复用技术、网络隐蔽通道。
特洛伊木马存活技术
特洛伊木马防范技术
防范木马监测与预警、通信阻断、系统加固及修复、应急管理等技术综合使用。
Rookit
Rookit源于UNIX系统。获取管理员权限的工具，利用其越权。
Rookit是一种通过修改操作系统内核或更改指令执行路径，来隐藏系统对象（包括文件、进程、驱动、注册表项、开放端口和网络连接等），以逃避或者规避标准系统机制的程序。
网络蠕虫分析与防护
网络蠕虫是一种具有自我复制和传播能力、可以独立自动运行的恶意程序。
蠕虫有四大功能模块：
网络蠕虫的运行机制
网络蠕虫运行机制分为三个阶段：
1.已经感染蠕虫的主机在网络上搜索易感染目标主机。
2.已经感染蠕虫的主机把蠕虫代码传送到易感染目标主机上。
3.易感染目标主机执行蠕虫代码，感染目标主机系统。然后继续感染新的主机系统。
网络蠕虫常见技术
网络蠕虫的防范技术
僵尸网络分析与防护
僵尸网络是指攻击者利用入侵手段将僵尸程序（bot or
zombie）植入目标计算机上，进而操纵受害机执行恶意活动的网络。
僵尸网络的构建方式主要有远程漏洞攻击、弱口令入侵扫描、邮件附件、恶意文档、文件共享等。
其他恶意代码分析与防护
逻辑炸弹、后门、细菌、间谍软件。
恶意代码防范技术应用
第十五章 网络安全主动防御技术与应用
入侵阻断技术与应用
入侵阻断是网络安全主动防御的技术方法，通过对目标对象的网络攻击行为进行阻断，从而达到保护目标对象的目的。
软件白名单技术与应用
软件白名单技术方法是设置可信任的软件名单列表，以阻止恶意的软件在相关的网络信息系统运行。
构建安全、可信的移动互联网生态环境
恶意代码防护
白环境保护
网络流量清洗技术原理
网络流量清洗系统的技术原理：通过异常网络流量检测，将原本发送给目标系统设备的流量牵引到流量清洗中心，清洗完毕后，再把留存的正常流量转送到目标设备系统。
流量检测–>流量牵引与清洗–>流量回注。
网络流量清洗技术应用
畸形数据报文过滤、抗拒绝服务攻击、Web应用保护、DDoS高防IP服务。
可信计算技术
可信计算技术原理
早期可信研究主要集中于操作系统的安全机制和容错计算。
可信计算机系统：可信根、可信硬件平台、可信操作系统和可信应用系统。
TPM是可信计算平台的信任根，是可信计算的关键部件。
TCG定义可信计算平台的信任根包括三个根：可信度量根RTM，可信存储根RTS、可信报告根RTR。
中国基于自主密码算法建立起以TCM为核心的自主可信计算标准体系。
可信计算应用
数字水印
数字水印技术原理
数字水印的嵌入方法分为空间域方法和变换域方法。
空间域方法：将水印信息直接叠加到数字载体的空间域上。
变换域方法：利用扩展频谱通信技术和Hash函数。
数字水印技术的应用
网络攻击陷阱技术与应用
网络诱骗技术是一种主动的防御方法。
网络攻击诱骗技术：蜜罐主机技术和陷阱网络技术。
蜜罐主机技术
蜜罐主机技术包括空系统、镜像系统、虚拟系统。
陷阱网络技术
陷阱网络由多个蜜罐主机、路由器、防火墙、IDS、审计系统共同组成，为攻击者制造一个攻击环境，供防御者研究攻击者的攻击行为。
陷阱网络要实现蜜罐系统、数据控制系统、数据捕获系统、数据记录、数据分析、数据管理等功能。
三代陷阱技术
网络陷阱技术应用
恶意代码检测、增强抗攻击能力、网络态势感知。
入侵容忍及系统生存能力
入侵容忍及系统生存技术是网络安全防御思想的重大变化，技术目标是实现网络安全弹性，确保信息系统具有容侵能力、可恢复能力，保护业务持续运营。
生存性3R方法
入侵容忍及系统生存技术主要有：分布式共识、主动恢复、门限密码、多样性设计等。
入侵容忍及系统生存技术应用
弹性CA系统和区块链。
隐私保护技术与应用
隐私可以分为身份隐私、属性隐私、社交关系隐私、位置轨迹隐私等。
隐私保护技术
隐私保护技术的目标是通过对隐私数据进行安全修改处理，使得修改后的数据不会遭受隐私攻击。
隐私保护技术应用
应用场景：
1.匿名化处理个人信息。2.对个人信息去标识化处理
网络安全前沿技术发展动向
网络威胁情报服务、同态加密技术、域名服务安全保障。
第十六章 网络安全风险评估技术原理及应用
网络安全风险评估概述
网络安全风险评估：聘雇威胁者利用网络资产的脆弱性，造成网络资产损失的严重程度。
网络安全风险评估要素：涉及资产、威胁、脆弱性、安全措施、风险等各个要素。
网络安全评估模式：
自评估、检查评估、委托评估。
网络安全风险评估过程
网络安全风险评估工作主要包括：网络安全风险评估准备、资产识别、威胁识别、脆弱性识别、已有的网络安全措施分析、网络安全风险分析、网络安全风险处置与管理等。
风险评估准备
资产识别
资产识别包括“网络资产鉴定”和“网络资产价值估算”两个步骤。
网络资产鉴定：确定网络资产种类和清单，常见网络资产：网络设备、主机、服务器、应用、数据和文档资产。
网络资产估算：确定具体资产在网络系统中的重要程度确认。
网络安全风险评估中，价值估算不是资产的物理实际经济价值，而是相对价值。一般以资产的保密性、完整性和可用性为基础衡量的。价值估算的结果是由资产安全属性为满足时，对资产自身及其相关联业务的影响大小来决定的。
资产完整性和可用性赋值
威胁识别
威胁识别是对网络资产有可能收到的安全危害进行分析，一般从威胁来源、威胁途径、威胁能力、威胁效果、威胁意图、威胁频率等方面来分析。
首先标记潜在的威胁，形成一份威胁表，列出被评估的网络系统面临的潜在威胁源。
威胁源一般分为自然威胁和人为威胁。
!
脆弱性识别
脆弱性识别：通过各种测试方法，获得网络资产中所存在的缺陷清单，这些缺陷会导致对信息资产的非授权访问、泄密、失控、破坏或不可用、绕过已有的安全机制，缺陷将危及网络资产的安全。
脆弱性以资产为核心，针对需要保护的资产，识别可能被威胁利用的缺点，并对脆弱性严重程度进行评估。
脆弱性识别方法：漏洞扫描、人工检查、问卷调查、安全访谈和渗透测试等。
脆弱性严重程度赋值：
脆弱性评估工作分为技术脆弱性评估和管理脆弱性评估。
·技术脆弱性评估：主要从现有安全技术措施的合理性和有效性方面进行评估。
·管理脆弱性评估：从网络信息安全管理上分析评估存在的安全弱点，并标识其严重程度。安全管理脆弱性评估主要是指对组织结构、人员配备、安全意识、教育培训、安全操作、设备管理、应急响应、安全制度等方面进行合理、必要性评价，其目的在于确认安全策略的执行情况。
网络安全风险分析
网络安全风险值的计算方法主要有：定性计算方法、定量计算方法、定性和定量综合计算方法。
风险处置与管理
网络安全风险评估技术方法及工具
资产信息收集、网络拓扑发现、网络安全漏洞扫描、人工检查、渗透测试、问卷调查、访谈、审计数据分析、入侵检测…
网络安全风险评估项目流程和工作内容
网络安全风险评估项目流程包括评估工程前期准备、评估方案设计与论证、评估方案实施、评估报告撰写，评估结果评审和认可等。
第十七章 网络安全应急响应原理及应用
网络安全应急响应概述
网络安全应急响应是指为应对网络安全事件，进行检测、预警、分析、响应和恢复等工作。
《中华人民共和国网络安全法》关于网络安全应急响应的要求
网络安全应急响应组织建立与工作机制
网络安全应急响应组织类型
安全事件类型及分级
安全事件基本分类：恶意程序事件、网络攻击事件、信息破坏事件、信息内容安全事件、设备设施故障、灾害性事件和其他信息安全事件。
根据影响程度，网络安全事件分为四级：特别重大网络安全事件、重大网络安全事件、一般网络安全事件。
网络安全应急处理场景
常见的网络安全应急处理场景
网络安全应急处理流程
应急事件处理一般包括安全事件报警、安全事件确认、启动应急预案、安全事件处理、撰写安全事件报告、应急工作总结等步骤。
网络安全事件应急演练
网络安全事件应急演练是对假定的网络安全事件出现情况进行模拟响应。以确认应急响应工作机制及网络安全事件预案的有效性。
网络安全事件应急演练流程：制定应急演练工作计划、编写应急演练具体方案、组织实施应急演练方案、评估和总结应急演练工作、优化改进应急响应机制及应急预案。
应急演练类型
信息系统容灾恢复
入侵取证过程
入侵取证是指通过指定的软件和工具，从计算机及网络系统中提取攻击证据。分为两大类：
1.实时信息和易失信息。
2.非易失信息。
网络安全取证六个步骤：
第十八章 网络安全测评技术与标准
网络安全测评概述
网络安全测评是指参照一定的标准规范要求，通过一系列的技术和管理方法，获取评估对象的网络安全状况信息，对其给出相应的网络安全情况综合判定。网络安全测评对象通常包括信息系统的组成要素或信息系统本身。
网络安全测评类型
基于目标分类：等级测评、验收测评、风险测评
基于实施方式分类：安全功能测评、安全管理测评、代码安全审查、安全渗透测试、信息系统攻击测试。
基于测评对象保密性分类：涉M信息系统测评，非涉M信息系统测评。
基于测评目标分类
网络信息系统安全等级测评、网络信息系统验收测评、网络信息系统安全风险测评。
基于实施方式分类
安全功能检测、安全管理检测、代码安全审查、安全渗透测试、信息系统攻击测试。
基于测评对象保密性分类
涉M信息系统测评
非涉M信息系统测评
网络安全等级保护测评内容
网络信息系统安全等级测评主要包括技术安全测评、管理安全测评。
网络安全测评流程和内容
根据等保2.0规范，等级测评过程：测评准备活动、方案编制活动、现场测评活动和报告编制活动。
网络安全渗透测试可分为：委托代理、准备、实施、综合评估和解题五个阶段。
网络安全测评技术与工具
漏洞扫描：网络安全漏洞扫描器、主机安全漏洞扫描器、数据库安全漏洞扫描器、Web应用安全漏洞扫描器。
安全渗透测试：通过模拟攻击者对测评对象进行安全攻击，以验证安全防护机制的有效性。
代码安全审查：按照C、JAVA、OWASP等安全编程规范和业务安全规范，对测评对象的源代码或二进制代码进行安全符合性检查。常见的代码安全缺陷类型：缓冲区溢出、代码注入、跨站脚本、输入验证、API误用、密码管理、配置错误、危险函数等。
网络安全测评质量管理与标准
第十九章 操作系统安全保护
操作系统安全概述
操作系统安全概念
操作系统分为五个等级：用户自主保护级、系统审计保护级、安全标记保护级、结构化保护级、访问验证保护级。
狭义上说，操作系统的安全可控侧重于产品安全。广义上说，操作系统安全可控侧重于产业可控。
操作系统安全目标和需求：
操作系统安全机制
Windows操作系统安全分析和防护
windows系统架构
Windows系统分为三层：
最底层是硬件抽象层，为上面的一层提供硬件结构的接口，有了这一层可以使系统方更方便移植。
第二层使内核层，为底层提供实现执行、中断、异常处理和同步的支持。
第三层是由实现基本系统服务的模块组成的，例如虚拟内存管理、对象管理、进程和线程管理、I/O管理、进程通信和安全参考监督器。
UNIX/LINUX操作系统分为三层：硬件层、系统内核、应用层。
Windows安全机制
认证机制、访问控制机制、审计/日志机制、协议过滤和防火墙、文件加密系统、抗攻击机制。
Windows系统安全增强基本步骤
UNIX/LINUX操作系统安全分析与防护
UNIX/LINUX操作系统分为三层：硬件层、系统内核、应用层。
UNIX/LINUX是一种多用户、多任务的操作系统，具备以下安全机制：
1.UNIX/LINUX认证、2.UNIX/LINUX审计机制、3.UNIX/LINUX访问控制
UNIX/LINUX系统安全增强技术
Linux安全增强配置参考
国产操作系统安全分析与防护
国产操作系统：中科方德、中标麒麟、北京凝思科技、普华、深度Linux、华为鸿蒙操作系统、阿里飞天云操作系统、统信UOS
国产操作系统安全分析：
国产操作系统安全增强措施：
第二十章 数据库系统安全
数据库安全机制与实现技术
数据库安全概况
数据库安全是指数据库的机密性、完整性、可用性能够得到保障。主要涉及数据库管理安全、数据库安全、数据库应用安全以及数据库运行安全等。
数据库安全威胁
数据库安全隐患
数据库加密
数据库加密方式
1.数据库网上传输的数据：通常利用SSL协议。
2.数据库存储的数据：通过数据库存储加密实现。
存储加密的两种方式：
库内加密、库外加密。
数据库存储加密的常用技术方法：
基于文件的数据库加密技术、基于记录的数据库加密技术（行）、基于字段的数据库加密技术（列）。
数据库防火墙
数据库防火墙的主要作用：
1.屏蔽直接访问数据库的通道、2.增强认证、3.攻击检测、4.防止漏洞利用、5.防止内部高危操作、6.防止敏感数据泄露、7.数据库安全审计。
数据库安全机制与实现技术–数据库脱敏
数据库脱敏：利用数据脱敏技术将数据进行变换处理，在保持数据按需使用目标的同时，又能避免敏感数据外泄。
主流数据库安全分析与防护
Oracle
mysql
第二十一章 网络设备安全
网络设备安全概况
交换机安全威胁
1.MAC地址泛洪（Flooding）、2.ARP欺骗、3.口令威胁、4.漏洞利用
路由器安全威胁
1.漏洞利用、2.口令安全威胁、3.路由协议安全威胁、4.DoS/DDoS威胁、5.依赖性威胁
网络安全增强技术方法
交换机
路由器
网络设备漏洞解决方法
1.及时获取网络设备漏洞信息。
2.网络设备漏洞扫描。
3.网络设备漏洞修补。
第二十二章 网络安全需求分析和安全保护工程
网站安全需求分析
网站安全需求涉及多个方面，主要包括：物理环境、网络通信、操作系统、数据库应用服务器、Web应用服务器、Web应用程序、数据等安全威胁防护。
网站运行维护需要建立一个相应的组织管理体系以及相应的安全运维工具和平台。
…
第二十三章 云计算安全需求分析与安全保护工程
云计算服务类型
云计算四种部署模式：私有云、社区云、公有云、混合云。
云计算安全威胁分析
1.云端安全威胁
2.云管安全威胁
3.云计算平台安全威胁
云计算技术安全需求
云计算个人数据安全隐私保护要求：
1.数据采集、2.数据传输、3.数据存储、4.数据使用、5.数据维护、6.数据安全事件处置。
云计算安全等级保护框架：首先要求云计算基础设施位于中国境内，“一中心，三重防护”：安全管理中心；安全计算环境、安全区域边界、安全通信网络。
常见云计算网络安全机制
1.身份鉴别认证机制、2.数据完整性机制、3.访问控制机制、4.入侵防范机制、5.安全审计机制、6.云操作系统安全增强机制。
云计算安全运维的安全措施
第二十四章 工控安全需求分析与安全保护工程
工控安全威胁与需求分析
工业控制系统概念及组成
工业控制系统是由各种控制组件、检测组件、数据处理和展示组件共同构成的对工业生产过程进行控制和监控的业务流程管控系统。简称ICS。
工控系统通常分为离散制造类和过程控制类两种。
常见工控系统：
工控系统安全威胁
主要来源：
安全隐患：
工业控制系统安全除了传统IT安全外，还涉及控制设备及操作安全。
传统IT网络信息安全要求侧重于“保密性-完整性-可用性”的需求顺序，工控系统网络信息安全要求侧重于“可用性-完整性-保密性”的需求顺序。
工控系统的网络信息安全要求：
技术安全要求：安全物理环境、安全通信网络、安全区域边界、安全计算环境、安全管理中心
管理安全要求：安全管理制度、安全管理机构、安全管理人员、安全建设管理、安全运维管理
工控系统的安全保护需求要根据工控业务的重要性和生产安全，划分安全区域，确定安全防护等级，然后持续提升工控设备、工控网络和工控数据的安全保护能力。
工控安全典型产品技术
主要工控安全产品技术：
第二十五章 移动应用安全需求分析与安全保护工程
移动应用安全威胁与需求分析
移动应用的安全威胁
1.移动操作系统平台安全威胁（安卓/IOS/鸿蒙）
2.无线网络攻击（4G/5G假冒网站+WIFI钓鱼，通信内容监听）
3.恶意代码。
4.移动应用代码逆向过程。
5.移动应用程序非法篡改。
Android系统架构
Android系统在内核层、系统运行库层、应用程序框架层以及应用程序层都采取了相应的安全措施。
IOS系统组成概要
IOS平台是苹果公司封闭的生态系统，分为四个层次：核心操作层、核心服务层、媒体层、可触摸层。
IOS平台的安全架构可分为硬件、固件、软件。
IOS平台主要安全机制：
移动应用App安全加固
一般方式：
防反编译、防调试、防篡改、防窃取。
第二十六章 大数据安全需求分析与安全保护工程
大数据安全威胁与需求分析
大数据概念：
4V特性：海量的数据规模、快速的数据流转、多样的数据类型和价值密度低等特征。
大数据技术包括大规模数据分析处理、数据挖掘、分布式文件系统、分布式数据库、云计算平台、互联网和存储系统。
大数据安全威胁分析
1.“数据集”安全边界日渐模糊，安全保护难度提升。
2.敏感数据泄露安全风险增大。
3.数据失真与大数据污染安全风险。
4.大数据处理平台业务连续性与拒绝服务。
5.个人数据广泛分布于多个数据平台，隐私保护难度加大。
6.数据交易安全风险。
7.大数据滥用。
大数据安全需求分析
1.大数据本身安全。
2.大数据安全合规。
3.大数据跨境安全。
4.大数据隐私保护。
5.大数据处理平台安全。
6.大数据业务安全。
7.大数据安全运营。
大数据安全保护机制
大数据安全保护是一个综合的、复杂的安全工程，涉及数据自身安全、数据处理平台安全、数据业务安全、数据隐私安全、数据运营安全以及数据安全法律政策与标准规范。
大数据安全保护技术
包括：
大数据自身安全保护技术、大数据平台安全保护技术、大数据业务安全保护技术、大数据隐私安全保护技术、大数据安全标准规范。
