0. 前言

意在提供一個安全廠商產品清單的概況，來開闊安全圈知識廣度，文中提到的知識簡介和技術框架，僅針對入門用。

1. ESM（終端安全管理系統）

Reference：https://www.h3c.com/cn/Products_And_Solution/Proactive_Security/Product_Series/Endpoint_Security/SecCenter_CSAP-ESM/CSAP-ESM/ESM_G/

企業信息系統免遭高級持續性攻擊和敏感數據免遭丟失或竊取已是當務之急，終端計算機是源頭，也是終點。

• 內核文件驅動和網絡驅動深度適配 Windows、Linux 操作系統 -> 有能力支持文件類型識別和網絡報文深度解析
• 輕量級本地特征庫檢測常見和流行的惡意軟件
• 惡意文件檢測引擎通過智能深度學習，真正洞察勒索和挖礦病毒的行為特征，有效檢測已知勒索病毒及其家族的未知變種，以高檢出率和低誤報率的算法模型，構建完整的勒索病毒和挖礦病毒的防御體系
• 客戶端可以自動將受感染文件或可疑文件隔離至本地隔離區
• 阻止策略下發，多個端點執行相應的對策
• 操作高清記錄 -》 內核態記錄“文件操作”、“進程事件”和“注冊表操作”，從用戶態采集“系統事件”，還通過 DPI（深度報文解析）功能識別并記錄超過 1000 種以上的網絡協議及應用
• 減少暴露面 -》 資產管理，補丁管理，USB 外設管控，進程管理，日志審計，違規外聯
• 統一管理 -》支持上萬點客戶端規模的部署，并實現策略統一管理，病毒特征庫統一下發和威脅日志匯總統一呈現

2. SOC（安全運營中心）

Reference：https://zhuanlan.zhihu.com/p/392186104

一切圍繞著提升安全能力開展的工作都屬于安全運營。安全建設僅僅是一個開始，只有運營才能有效提升企業安全防御效果。

安全運營整體框架可分為幾個小框架，分別是安全防護框架、安全運維框架、安全驗證框架和安全度量框架。

• 安全防護框架的目的是盡可能多的部署有效的安全感知器 Sensor，這些安全感知器構成了信息安全的一個天網。安全 Sensor 會產生大量的監測日志，作為安全運維框架的輸入。
• 安全運維框架落地時企業一般會部署像 SIEM 安全大數據平臺或類似平臺，來實現安全檢測信息的統一采集，分析、處理和存儲，并通過兩種方式進行異常檢測告警。-> 異常檢測規則 + 基于算法分析(top10、top100，然后再交由二線專家進行分析)
• 安全運維框架 -> 安全事件的流程化處理和定期的 review 匯報 / 安全事件的確認和溯源分析
• 安全驗證框架是指建立自動化的驗證平臺，對安全防護框架的管控措施實現百分百的全面驗證
• SOAR 一詞全稱是 Security Orchestration, Automation and Response，即安全編排和自動化響應，SOAR 的前提是 SOP，只有制定了足夠多、足夠細的 SOP，才能夠有希望實現 SOAR，因此，高質量 SOP 是一線發揮作用的基礎

3. EDR（端點檢測與響應（(Endpoint Detection and Response，EDR））

Reference:https://zhuanlan.zhihu.com/p/564398361

what：

端點檢測和響應是一種主動式端點安全解決方案，通過記錄終端與網絡事件（例如用戶，文件，進程，注冊表，內存和網絡事件），并將這些信息本地存儲在端點或集中數據庫。結合已知的攻擊指示器(Indicators of Compromise，IOCs)、行為分析的數據庫來連續搜索數據和機器學習技術來監測任何可能的安全威脅，并對這些安全威脅做出快速響應。還有助于快速調查攻擊范圍，并提供響應能力。

安全模型：

（1）資產發現：定期通過主動掃描、被動發現、手工錄入和人工排查等多種方法收集當前網絡中所有軟硬件資產，包括全網所有的端點資產和在用的軟件名稱、版本，確保整個網絡中沒有安全盲點。

（2）系統加固：定期進行漏洞掃描、補丁修復、安全策略設置和更新端點軟件清單，通過軟件白名單限制未經授權的軟件運行，通過主機防火墻限制未經授權的服務端口開放，并定期檢查和清理內部人員的賬號和授權信息。

（3）威脅檢測：通過端點本地的主機入侵檢測和借助云端威脅情報、異常行為分析、攻擊指示器等方式，針對各類安全威脅，在其發生前、發生中、發生后進行相應的安全檢測動作。

（4）響應取證：針對全網的安全威脅進行可視化展示，能夠針對安全威脅自動化地進行隔離、修復和補救，自動完成安全威脅的調查、分析和取證工作，降低事件響應和取證分析的技術門檻，不需要依賴于外部專家即可完成快速響應和取證分析。

主要技術：

• 沙箱(Sandbox)
• 機器學習
• 大數據分析：為應對 APT 攻擊的極強持續性和階段性，關聯分析過程中應盡量收集各層面、各階段的全方位信息，同時適量將時間窗口拉大，通過寬時間域數據分析提取具有內在關聯的若干屬性，識別出攻擊發生的時間、地點、攻擊類型和強度等信息。
• 數字取證：存在于計算機、網絡、電子設備等數字設備中的數字證據，進行確認、保護、提取和歸檔的過程。在 EDR 中，數字取證要克服云計算環境取證、智能終端取證、大數據取證等關鍵技術，自動定位和采集端點人侵電子證據，降低取證分析的技術門檻，提高取證效率及其分析結果的準確性，為端點安全事件調查、打擊網絡犯罪提供技術支持。

優點與局限性

• EDR 完整覆蓋端點安全防御全生命周期。對于各類安全威脅事件，EDR 在其發生前、發生中、發生后均能夠進行相應的安全檢測和響應動作。安全事件發生前，實時主動采集端 安全數據和針對性地進行安全加固；安全事件發生時，通過異常行為檢測、智能沙箱分析等各類安全引擎，主動發現和阻止安全威脅；安全事件發生后，通過端點數據追蹤溯源
• EDR 能夠廣泛適應傳統計算機網絡、云計算、邊緣計算等各類網絡架構，能夠適用于各種類型的端點，且不受網絡和數據加密的影響。
• EDR 的局限性在于并不能完全取代現有的端點安全防御技術。EDR 與防病毒、主機防火墻、主機入侵檢測、補丁加固、外設管控、軟件白名單等傳統端點安全防御技術屬于互補關系，并不是取代關系。

4. 安全U盤

Reference:https://www.seczure.com/newsinfo/2412136.html

1、U 盤可以實現數據防復制、防拷貝，不同身份使用不同權限

2、U 盤 100% 防病毒，所有數據均通過 api 讀寫

3、所有數據讀寫均有日志，可以通過管理員導出日志審計

4、可提供 U 盤策略修改、日志讀取接口

5、可以綁定公司內網，U 盤離開公司無法打開使用

防拷貝、防復制： 只能在 U 盤內部打開瀏覽，無法復制；不能另存為，不能刪除格式化；無法通過郵件、網絡等方式導出數據。獨立的文件系統為數據提供防病毒保護，且分區保護的特性具備完全杜絕數據拷貝竊取的行為。

防截圖、防錄屏： 禁止截圖、錄屏軟件使用；可設置禁止遠程。

多用戶管理： 通過新建用戶，對不同用戶進行不同的權限設置，可依據資料密級劃分及對應的使用人員去分配優盤及用戶賬號密碼，并為其配置好相應的權限，方便管理，且不易出錯。

可設置自動銷毀： 文件保管人需要對保管的文件進行定期清理時，可在策略管理中配置好使用時間、次數等，超過使用時間或次數時，優盤會自動銷毀所儲存的資料。

可設置綁定臺數： 可以通過綁定電腦 IP 地址的方式，進一步限制普通用戶的使用。

即插即用： 可以隨身攜帶，不需要安裝插件即可使用，無需花費大量時間跟精力對合作方進行使用培訓。

5. NAC（網絡準入控制）

定義：

只有合法的用戶、安全的終端才可以接入網絡，隔離非法、不安全的用戶和終端，或者僅允許他們訪問受限的資源。以此來提升整個網絡的安全防護能力。

為什么：

許多重大的安全漏洞往往出現在網絡內部，例如園區內部員工在瀏覽某些網站時，一些間諜軟件、木馬程序等惡意軟件也會不知不覺地被下載到電腦中，并在內網傳播，產生嚴重的安全隱患。因此，在園區網絡中，任何一臺終端的安全狀態（主要是指終端的防病毒能力、補丁級別和系統安全設置）都將直接影響到整個網絡的安全。另外，園區網絡出現大量非法接入和非授權訪問用戶時，也會導致業務系統遭受破壞、關鍵信息資產泄漏的風險。NAC 方案能夠有效的管理網絡訪問權限、及時的更新系統補丁、升級病毒庫，讓管理員更快捷的查找、隔離及修復不安全的終端，滿足園區網絡內部的安全需求。

安全能力：

• 身份認證
• 訪問控制：根據用戶身份、接入時間、接入地點、終端類型、終端來源、接入方式（簡稱 5W1H）精細匹配用戶，控制用戶能夠訪問的資源
• 安全性檢查：對終端的安全性（殺毒軟件安裝、補丁更新、密碼強度等）進行掃描，在接入網絡前完成終端安全狀態的檢查。對終端不安全狀態能夠與網絡準入設備進行聯動，當發現不安全終端接入網絡的時候，能夠對這些終端實現一定程度的阻斷
• 系統存在安全隱患，NAC 方案提供了系統自動和手動修復升級功能

架構：

• 安全終端：安全終端是安裝在用戶終端系統上的軟件，是對用戶終端進行身份認證、安全狀態評估以及安全策略實施的主體。
• 網絡準入設備：網絡準入設備是網絡中安全策略的實施點，負責按照客戶網絡制定的安全策略，實施相應的準入控制（允許、拒絕、隔離或限制）。華為 NAC 方案支持 802.1X、MAC 認證和 Portal 等多種認證方式。在各種認證方式下，網絡準入設備輔助用戶終端與準入服務器進行認證。網絡準入設備可以是交換機、路由器、無線接入點或其它安全設備，通過這些網絡準入設備，實現強制用戶準入認證、拒絕非法用戶的網絡訪問、隔離不健康終端、為“合法用戶、健康終端”提供網絡服務的目的。
• 服務器系統：服務器系統包括準入控制服務器、病毒/補丁/軟件服務器和業務服務器。準入控制服務器是 NAC 方案的核心，用戶在身份認證和安全檢查通過前就可以訪問，主要負責對用戶進行認證和安全審核，實施安全策略，并且與網絡準入設備聯動，下發用戶權限。用戶已通過身份認證但終端安全檢查未通過時，一般會訪問病毒/補丁/軟件服務器，進行終端上病毒庫的自動更新、操作系統和應用軟件的補丁安裝和更新等，以滿足終端安全檢查的要求。業務服務器用于企業業務管理，只有通過認證和授權后的用戶才能訪問。

6. WAF（Web 應用防火墻）

Reference：https://cloud.tencent.com/document/product/627/17470 & https://zhuanlan.zhihu.com/p/97396469

Web 應用防火墻可以防止 Web 應用免受各種常見攻擊，比如 SQL 注入，跨站腳本漏洞（XSS）等。WAF 也能夠監測并過濾掉某些可能讓應用遭受 DOS（拒絕服務）攻擊的流量。WAF 會在 HTTP 流量抵達應用服務器之前檢測可疑訪問，同時，它們也能防止從 Web 應用獲取某些未經授權的數據。

• SaaS 型 WAF

用戶在 WAF 上添加防護域名并設置回源信息后，WAF 將為防護域名分配唯一的 CNAME 地址。用戶可以通過修改 DNS 解析，將原來的 A 記錄 修改為 CNAME 記錄，并將防護域名流量調度到 WAF 集群。WAF 集群對防護域名進行惡意流量檢測和防護后，將正常流量回源到源站，保護網站安全。

• 負載均衡型 WAF

WAF 通過配置域名和騰訊云七層負載均衡（監聽器）集群進行聯動，對經過負載均衡的 HTTP/HTTPS 流量進行旁路威脅檢測和清洗，實現業務轉發和安全防護分離，最大限度減少安全防護對網站業務的影響，保護網站穩定運行。

負載均衡型 WAF 提供兩種流量處理模式：

鏡像模式：通過域名進行關聯，CLB` 鏡像流量到 WAF 集群，WAF 進行旁路檢測和告警，不返回請求可信狀態。

清洗模式：通過域名進行關聯，CLB 鏡像流量到 WAF 集群，WAF 進行旁路檢測和告警，同步請求可信狀態，CLB 集群根據狀態對請求進行攔截或放行處理。

7. NGFW（Next Generation Firewall 傳統狀態防火墻和統一威脅管理（UTM）設備的下一代產品）

Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/NGFW.html

Gartner把NGFW看做不同信任級別的網絡之間的一個線速（wire-speed）實時防護設備，能夠對流量執行深度檢測，并阻斷攻擊。Gartner認為，NGFW必須具備以下能力：

1. 傳統的防火墻功能NGFW是新環境下傳統防火墻的替代產品，必須前向兼容傳統防火墻的基本功能，包括包過濾、協議狀態檢測、NAT、VPN等。
2. 應用識別?與?應用控制?技術具備應用感知能力，并能夠基于應用實施精細化的安全管控策略和層次化的帶寬管理手段，是NGFW引進的最重要的能力。傳統的狀態檢測防火墻工作在二到四層，不會對報文的載荷進行檢查。NGFW能對七層檢測，可以清楚地呈現網絡中的具體業務，并實行管控。
3. IPS?與防火墻深度集成NGFW要支持IPS功能，且實現與防火墻功能的深度融合，實現1+1>2的效果。Gartner特別強調IPS與防火墻的“集成”而不僅僅是“聯動”。例如，防火墻應根據IPS檢測到的惡意流量自動更新下發安全策略，而不需要管理員的介入。換言之，集成IPS的防火墻將更加智能。Gartner發現，NGFW產品和獨立IPS產品的市場正在融合，尤其是在企業邊界的部署場景下，NGFW正在吸收獨立IPS產品的市場。
4. 利用防火墻以外的信息，增強管控能力防火墻能夠利用其他IT系統提供的用戶信息、位置信息、漏洞和網絡資源信息等，幫助改進和優化安全策略。例如，通過集成用戶認證系統，實現基于用戶的安全策略，以應對移動辦公場景下，IP地址變化帶來的管控難題。

防火墻從誕生那一天起，就是緊跟著網絡演進的步伐亦步亦趨的。

包過濾防火墻、狀態檢測防火墻、UTM設備、NGFW發展史

1. 早期的包過濾防火墻僅實現訪問控制就可以滿足初期網絡隔離的訴求。
2. 隨后的狀態檢測防火墻（也稱為傳統防火墻）集成了TCP/UDP和應用狀態的檢測能力，實現了L3-L4層的防護。它引入了策略的概念，把處理的目標從包轉向了流，從而擁有更高的處理效率。
3. 2004年出現了將傳統防火墻、內容安全（防病毒、IPS和URL過濾等）和VPN等功能集合到一起的UTM設備。每個模塊獨立運行，每次檢測都需要重新拆包檢查，檢測效率并沒有得到提升。但是UTM的出現在一定程度上簡化了安全產品部署的難度，比較適合小中型企業。
4. 由于WEB應用越來越多，應用和端口、協議之間的關系也越來越復雜。同樣是使用HTTP協議，有人可能在查學習資料，有人可能在玩游戲。所以光靠“五元組”來標識流量的傳統防火墻已經無法看清網絡中的流量了。此時，擁有應用識別技術的NGFW應運而生，它可以區分流量對應的應用，即使這些應用出使了同一種協議、端口。而且NGFW將IPS、病毒防護等多種安全業務與防火墻業務深度集成，并行處理，解決了UTM設備需要逐個模塊處理報文，性能低下的問題。不過，大部分情況下，UTM和NGFW不包含Web應用防火墻（WAF）的能力。

傳統防火墻、UTM設備、NGFW能力對比

8. SD-WAN

Reference：https://zhuanlan.zhihu.com/p/87281219 & https://www.sdnlab.com/24498.html

SD-WAN之前，處理公司網絡流量的主要方法是分支機構通過租用線路與公司數據中心或總公司聯系，通常使用MPLS（它就是在數據流上打標簽，有點像雞毛信，告訴沿路的所有設備：“我是誰，我要去哪里”。）。這種方式約占公司網絡流量的80％，其中WAN路由器是基于硬件的、專有的、昂貴且相對不靈活（部署周期長，排查問題難）。

MPLS專線是一種租用服務，它的所有權是屬于電信運營商的。運營商把專線租給你，然后承諾這條線路的SLA（Service Level Agreement，服務等級協議，包括帶寬、時延、抖動、丟包率等） 能達到什么樣的要求。

問題又來了，你租我租大家租，運營商的物理網絡就這么一張，這么多公司的業務都在上面跑，怎么保證區分和隔離呢？

本地SD-WAN架構:

大家可以看到，整個網絡架構的軀干，其實還是Internet和MPLS專線。但是，在架構之上，多了一個SD-WAN控制器。這個控制器，就是SD-WAN的管理控制核心。 在分公司節點，還有總部節點，多了一些uCPE和vCPE這樣的東西(SD-WAN Edge設備)。

云SD-WAN架構：云SD-WAN架構允許SD-WAN Edge設備連接到基于云的SD-WAN網關。SD-WAN提供實時流量調整、多電路負載平衡、故障轉移以及對云應用程序的訪問。云網關可由各種云提供商應用程序托管，包括Office 365，Salesforce和Dropbox。企業可以通過讓關鍵的基于云的內部實時應用在小型MPLS管道上運行，讓其他應用在公共互聯網上運行來降低成本。

云骨干架構使SD-WAN Edge設備連接到最近的網絡POP點，這時流量將跳到MPLS上，并且還將擁有專線的SLA質量。大多數MPLS管道直接連接到主要的云提供商，這提高了這些應用程序的性能和可靠性。對于那些想要擁有完整SD-WAN架構但仍然擔心寬帶服務質量的公司來說，這種部署方法是可以使用的。該架構將非關鍵應用offload到低成本寬帶網絡中，從而為關鍵業務應用分配了更多帶寬，進而提高了所有應用程序的性能。

9. 上網行為管理

Refernce：https://info.support.huawei.com/info-finder/encyclopedia/zh/%E4%B8%8A%E7%BD%91%E8%A1%8C%E4%B8%BA%E7%AE%A1%E7%90%86.html

價值：

• 規范上網行為：通過精細化的審計機制和海量的行為特征庫，針對員工進行上網行為和內容管理，嚴格控制訪問權限，禁止非法和娛樂行為，規范用戶上網行為，提升員工工作效率，營造“綠色”安全辦公環境。
• 審計、合規場景：上網內容本地留存，數據清晰易懂，幫助管理清晰了解內網行為態勢；幫助公司響應國家政策要求，滿足法規的審計要求。
• 出口網關場景：具備高性能的NAT機制，為內外網用戶訪問資源保駕護航；具備豐富的多出口選路機制，融合業務需求，增強業務、數據的可靠性；提供邊界安全防護，有效過濾非法訪問行為。
• 智能化帶寬管理：優先保障組織關鍵業務，限制員工P2P行為，保障組織業務的連續性和穩定性；智能分配空閑時帶寬資源，提升帶寬使用效率；對用戶流量“套餐”定制，分配指定流量套餐，對“套餐”超額的用戶進行人性化帶寬。

主要依賴技術：https://github.com/ntop/nDPI + app identify（應用特征流多模匹配+機器學習+url標簽）+ 策略

10. 零信任

Reference：http://www.caict.ac.cn/kxyj/qwfb/ztbg/202308/P020230828402611317149.pdf & https://zhuanlan.zhihu.com/p/382577136

& https://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=214985

傳統的安全模型通過 “一次驗證+靜態授權” 的方式評估實體風險，而零信任基于 “持續驗證+動態授權” 的模式構筑企業的安全基石。

• 業務上云后各種數據的集中部署打破了數據的邊界，同時放大了靜態授權的管控風險，數據濫用風險變大。高低密級數據融合導致權限污染，被動抬高整體安全等級，打破安全和業務體驗的平衡。
• 資源從分散到云化集中管理，按需部署。由于當前安全管控策略分散、協同水平不高，云端主機一旦受到攻擊，攻擊將難以快速閉環，很難形成全局防御。

零信任是應對上述挑戰的重要方法。采用零信任方案可以統一身份管理，構筑身份邊界，實時感知風險，實現動態和細粒度授權。

• 將身份作為訪問控制的基礎
• 最小權限原則
• 實時計算訪問控制
• 資源受控安全訪問
• 基于多源數據進行信任等級持續評估

?

關鍵技術：

SDP（軟件定義邊界技術）-》 SPA (單包授權)

SDP特點：

• 預驗證，預授權
• 應用級別的訪問準入
• 網絡隱身：spd服務器不對外暴露dns，ip接口，必須通過sdp專用客戶端使用專有的協議才能連接

SPA特點：

單包授權技術可以看作是端口敲門技術的演進，兩者具有相同的目標，但實現方式卻有很大不同。端口敲門使用多個數據包進行敲門，SPA則如名字所示，使用單個數據包進行訪問申請，避免了敲門過程中因丟包等因素引起的失敗。SPA通過將所有必要信息集成在單個數據包（通常為UDP）內來簡化流程。

數據包內信息一般包含：

• 時間戳：
• 客戶端IP
• 服務密碼

圖2 單包授權數據包流程

圖3 單包授權過程

SPA運行過程如圖2、圖3所示，在這個簡單的SPA案例中，客戶端將發包時的時間戳（日期、小時、分鐘）、客戶端IP（UDP報頭內）和服務密碼組合在一起，生成哈希值。將哈希值打包成UDP數據包發送到服務器指定敲門端口。服務器根據接收到UDP報頭內時間戳、客戶端IP以及服務器內部存儲的服務密碼生成哈希值，與接收到的哈希值進行對比，如果相同，則為客戶端打開申請訪問的服務端口。服務器將記錄它收到的最后一個有效授權的數據包，以防止攻擊者發送舊的數據包進行重放攻擊如果哈希值不匹配或者與此前收到的有效哈希值相同，則不執行任何操作。

在實際通信中，開源程序Firewall Knock Operator (fwknop)，實現了基于UDP的單包授權方案，也支持TCP和ICMP。fwknop通過加密打包用戶名、訪問端口、時間戳等信息，發送到對應敲門端口，服務器識別后開啟訪問端口來實現SPA。

??

11. SSL VPN（虛擬專用網路Virtual Private Network）

Reference：https://pandavpnpro.com/blog/zh-cn/how-does-a-vpn-work & https://info.support.huawei.com/info-finder/encyclopedia/zh/VPN.html

what

虛擬專用網VPN（Virtual Private Network）是依靠Internet服務提供商ISP（Internet Service Provider）和網絡服務提供商NSP（Network Service Provider）在公共網絡中建立的虛擬專用通信網絡，可以滿足企業對網絡的靈活性、安全性、經濟性、擴展性等方面的要求。

兩種模式

• 遠程訪問

正常情況下，當您在瀏覽器輸入你的目標訪問地址 http://youtube.com，那么此信息會瀏覽器發送到協議棧并由其打包成 Packet 并交給正常網卡，進而由網卡把包轉換成電信號通過網線發出去，而這一切都是 ISP、政府等通過真實 IP 地址可見的。有了 VPN 的存在，上面我們有提到，因為整個設備會多出一個 VPN 創建的虛擬網卡，那么原始數據包會由 VPN協議（如 PPTP, OpenVPN）進行重新封裝（IP 頭地址會變成所選 VPN 服務器的所屬地址）并加密，然后通過虛擬網卡進行發送，這樣一來任何第三方都是無法知道你的具體訪問網址和行為。這樣 VPN 的使用，不論從隱私性、安全性還是網絡自由的角度來說，都是益處多多的。當Web 服務器接受處理請求并將目標信息返回時，一切數據依舊是被 VPN 所加密，所以全程保護，無需擔心

• 站點互聯

遠程訪問 VPN 可用于個人和公司，需要使用客戶端軟件和網關來對某個特定的網絡進行連接。而站點到站點 VPN 是公司級工具，所有位置都會使用同一個共享網關，無需安裝客戶端，通過身份驗證即可輕松連接。

組件：

VPN不是一種簡單的高層業務，它要比普通的點到點應用復雜得多。VPN的實現需要建立用戶之間的網絡互聯，包括建立VPN內部的網絡拓撲、進行路由計算、維護成員的加入與退出等。因此，VPN體系結構較復雜，可以概括為以下三個組成部分：

• VPN隧道：包括隧道的建立和管理。
• VPN管理：包括VPN配置管理、VPN成員管理、VPN屬性管理（管理服務提供商邊緣設備PE上多個VPN的屬性，區分不同的VPN地址空間）、VPN自動配置（指在二層VPN中，收到對端鏈路信息后，建立VPN內部鏈路之間的對應關系）。
• VPN信令協議：完成VPN中各用戶網絡邊緣設備間VPN資源信息的交換和共享（對于L2VPN，需要交換數據鏈路信息；對于L3VPN，需要交換路由信息；對于VPDN，需要交換單條數據鏈路直連信息），以及在某些應用中完成VPN的成員發現。

實現模式：

1. 設備CE1發送用戶報文給設備PE1。
2. 設備PE1收到報文后，根據網絡管理員設置的規則，對數據進行加密或直接傳輸。
3. 對需要加密的數據，PE1將用戶的整個數據包（包括源IP地址和目的lP地址等）進行加密并附上數據簽名，然后再封裝上新的數據報文頭（包含隧道標簽、安全等信息）。對于不需要加密的數據，PE1直接封裝上新的數據報文頭（包含隧道標簽T等信息）。
4. PE1將封裝好的數據包通過公網隧道發送給遠端設備PE2。
5. PE2收到數據包后，校驗目的IP地址是自己，然后解封裝，對于加密的數據，核對數字簽名無誤后，對數據包進行解密，然后發給用戶CE2。對于未加密的數據，直接發給用戶CE2。

12. 日志審計 LAS(Log Audit System)

Reference：https://console1.cloud.inspur.com/document/las/1-service-introduction.html

基于大數據架構的綜合日志管理平臺，通過大數據技術的海量日志采集、異構設備日志范式化及安全事件關聯分析，實現日志全生命周期管理。協助運維人員從事前（發現安全風險）、事中（分析溯源）及事后（調查取證）等多個維度監控網絡安全事件，助力企業滿足《網絡安全法》及等保合規要求。

功能

• 日志采集：全面支持Syslog、SNMP日志協議，可以覆蓋主流硬件設備、主機及應用，保障日志信息的全面收集。實現信息資產（網絡設備、安全設備、主機、應用及數據庫）的日志獲取，并通過預置的解析規則實現日志的解析、過濾及聚合。
• 日志格式統一化處理：日志審計系統支持針對不同格式的日志信息解析提取關鍵信息完成日志信息的過濾、日志合并和日志格式的統一化規整，規整后的日志字段包括日志接收時間 、日志產生時間、日志持續時間、用戶名稱、源地址、源MAC地址、源端口、操作、目的地址 、目的MAC地址、目的端口、日志的事件名稱、摘要、等級、原始等級等等，使規整后的日志簡單易懂便于分析，統一化處理的日志格式可通過導入解析文件的方式靈活擴展。
• 日志分析：系統提供基于規則的日志信息關聯分析技術對海量日志數據進行多維度關聯分析，第一時間發現網絡中發生或隱藏的各類安全事件、安全威脅。系統內置大量的日志分析規則，并提供可視化的規則自定義配置界面，方便管理員快捷的制定針對安全事件關聯分析的過濾規則、關聯分析規則以及相對應安全事件的告警方式等。
• 告警展示：日志審計提供安全告警能力，多維度圖形化展示告警信息概況，以時間為軸線展示告警發展趨勢以及列表展示告警詳情。幫助管理員直觀掌握網絡環境安全現狀，并對未來網絡安全形勢進行相應評估。告警信息實時刷新，管理員可通過多維度多條件的查詢告警信息，準確定位實時安全事件來源。
• 日志檢索：支持通過任意字段從數以百億級的日志信息中檢索所需要的日志內容，并提供豐富的日志檢索模板，讓日志查詢簡單、易用。此外支持查詢結果下鉆上卷，支持原始日志與歸一化日志同屏顯示。支持查詢結果顯示界面快捷統計。
• 數據存儲：可根據制定的存儲策略存儲指定時間內的或一定空間容量的日志信息，可通過制定日志備份策略和日志空間告警閾值保障日志信息的可用性。
• 合規監管：日志留存滿足《網絡安全法》、《數據安全法》相關要求，推動等保合規。

產品部署

通過Region Boss下單后自動為租戶創建云堡壘機服務實例，通過標準syslog實現日志收集，其中linux系統、網絡產品、安全產品可通過設置syslog日志服務器地址發送日志，windows操作系統需安裝agent進行日志采集。

界面信息：

13. 堡壘機

Reference：https://zhuanlan.zhihu.com/p/269609995

what:

堡壘機，即在一個特定的網絡環境下，為了保障網絡和數據不受來自外部和內部用戶的入侵和破壞，而運用各種技術手段監控和記錄運維人員對網絡內的服務器、網絡設備、安全設備、數據庫等設備的操作行為，以便集中報警、及時處理及審計定責。

用一句話來說，堡壘機就是用來后控制哪些人可以登錄哪些資產（事先防范和事中控制），以及錄像記錄登錄資產后做了什么事情（事溯源）

從跳板機演化而來，更加符合權限可控+行為可控（4A:認證（Authen）、授權（Authorize）、賬號（Account）、審計（Audit））

目標：

1. 審計：你做了什么？（What）
2. 授權：你能做哪些？（Which）
3. 賬號：你要去哪？（Where）
4. 認證：你是誰？（Who）
5. 來源：訪問時間？（When）

組件：

開源版本：jumpserver

14. 數據庫審計（DBAudit）

Reference：https://cloud.tencent.com/developer/techpedia/1082

數據庫審計是指對數據庫的操作進行跟蹤、記錄、分析和報告的過程。通過數據庫審計，可以監控數據庫的訪問和操作，及時發現并應對安全事件。數據庫審計可以記錄用戶登錄、查詢、修改、刪除等操作，以及操作的時間、地點、來源等信息，以便進行安全審計和監控。

目的：

• 安全審計：對數據庫的安全措施進行審計，包括訪問控制、數據加密、漏洞修補等。安全審計可以發現數據庫的安全漏洞和弱點，及時采取措施進行修補和優化。
• 操作審計：對數據庫的操作進行審計，包括用戶登錄、查詢、修改、刪除等操作。操作審計可以發現非法訪問和操作，及時發現和應對安全事件。
• 數據審計：對數據庫中的數據進行審計，包括數據的創建、修改、刪除等操作。數據審計可以發現數據泄露和篡改等安全問題，及時采取措施進行處理和恢復。
• 性能審計：對數據庫的性能進行審計，包括數據庫的負載、響應時間、資源使用情況等。性能審計可以發現數據庫的性能問題和瓶頸，優化數據庫的配置和運維，提高數據庫的運行效率和穩定性。
• 合規性審計：對數據庫的合規性進行審計，包括符合相關法規和標準。合規性審計可以發現不符合標準的問題，及時采取措施進行整改和優化。

基本組件

• 日志記錄：記錄數據庫的各種操作和事件，包括登錄、查詢、修改、刪除等操作，以及安全事件和系統事件等。日志記錄是數據庫審計的基礎。
• 審計策略：制定數據庫審計策略，包括審計的內容、范圍、頻率、記錄方式等。審計策略應該根據實際需求和安全風險進行定制，以確保審計的有效性和適應性。
• 審計分析：對數據庫的審計日志進行分析和解讀，發現異常行為和安全事件，并及時采取相應的措施。審計分析可以采用日志分析工具、安全警報等技術來實現。
• 審計報告：定期生成數據庫審計報告，包括審計的結果、問題和建議等。審計報告可以幫助企業及時發現和解決安全問題，提高安全意識和防范能力。

15. 網絡態勢感知(Cyberspace Situation Awareness，CSA)

Reference：https://www.freebuf.com/articles/es/197268.html

在大規模網絡環境中對能夠引起網絡態勢發生變化的安全要素進行獲取、理解、顯示以及最近發展趨勢的順延性預測，而最終的目的是要進行決策與行動。

（1）態勢感知是了解當前的狀態，包括狀態識別與確認（攻擊發現），以及對態勢感知所需信息來源和素材的質量評價。

（2）態勢理解則包括了解攻擊的影響、攻擊者（對手）的行為和當前態勢發生的原因及方式。簡單可概括為：損害評估、行為分析（攻擊行為的趨勢與意圖分析）和因果分析（包括溯源分析和取證分析）。

（3）態勢預測則是對態勢發展情況的預測評估，主要包括態勢演化（態勢跟蹤）和影響評估（情境推演）

在傳統的防御思維里，我們會在安全事件發生之后去取證，溯源，可是對客戶造成的損失已經無法彌補，所以我們需要的在事件發生中，甚至發生前去感知到，進一步有針對性地進行防御。

為什么態勢感知平臺可以做到呢？因為平臺背后的專家們能夠在以前的安全事件中溯源獲取經驗，包括各種攻擊手段的特征如可執行文件的行為，異常的流量等；在大量數據中提取出特征，這一工作在大數據相關技術發展之前是很難實現的，而現在可以用大數據的方法處理以前積累起來的數據；可以和其他傳統產品打通接口，通過各種數據多維度地進行準備分析，包括刻畫攻擊者畫像、攻擊路線等。甚至，通過畫像的分析，態勢感知平臺可以分析出攻擊服務器的是一個腳本小子，還是APT組織，如果是腳本小子，那就由他弄好了，也不會造成什么危害，如果是APT，則需要應急響應了。當然這些規則一方面需要專家根據經驗得出，一方面由AI來學習得出。

主流的態勢感知產品支撐技術都是相近的，一般而言，態勢感知產品定位為客戶的安全大腦，是一個檢測、預警、響應處置的大數據安全分析平臺。其以全流量分析為核心，結合威脅情報、行為分析建模、UEBA、失陷主機檢測、圖關聯分析、機器學習、大數據關聯分析、可視化等技術，對全網流量實現全網業務可視化、威脅可視化、攻擊與可疑流量可視化等，幫助客戶在高級威脅入侵之后，損失發生之前及時發現威脅。

全流量分析，是做很多安全產品的基礎工作，因為再高級的攻擊，都會留下網絡痕跡，哪怕做了混淆，或者故意模仿正常訪問，但是在大數據的建模分析下一切都會現身。

為了進行流量分析，首先需要拿到流量。通過旁路鏡像的方法獲取網絡流量，并針對已知網絡協議實時解碼、元數據提取（非常用的或者私有的協議需大量資源進行分析,有時也會由于回話秘鑰的問題無法解開，而且由于出現頻率也不高，很多產品并沒有做這一步），此時可以做兩方面的工作：

一是通過深度的網絡會話關聯分析、數據包解碼分析、載荷內容還原分析、特征分析和日志分析，還原黑客的kill chain，對網絡安全事件進行精準的定性分析，

二是快速提取多維度的網絡元數據進行異常行為建模，為后續異常數據挖掘、分析、取證建立扎實的基礎。分析之后，還要保存起來，方便查詢檢索及關聯回溯分析，實現從線索挖掘到整個攻擊過程的完整復盤，為安全事件的準確響應提供依據。

威脅情報，主要從四個方面判斷質量，相關性，及時性，精確性，決策性，這一塊筆者接觸的也不多，也不清楚我司的產品是如何處理這一塊的，但是如果是我做的話會考慮直接從這一細分領域企業那兒接過來，或者體量較大的乙方自身在業內是有十余年甚至數十年的積累的，也可以選擇開源威脅情報如open-threat-exchange。

UEBA，即用戶實體行為分析，與它常常一起出現的還有SIEM，SoC。先來說下UEBA，主要用于解決以下問題：賬號失陷檢測，主機失陷檢測，數據泄漏檢測，內部用戶濫用，提供事件調查的上下文等。

技術架構一般如上，可見UEBA在第一步是數據驅動的，需要從產品、日志得到支持，然后是規則驅動，接下來是算法驅動，最后才能盡可能準確刻畫出用戶畫像。再說說UEBA和SIEM的關系，SIEM即安全信息及事件管理，主要是提供一種統一的路徑方法來綜合處理數據及關聯分析。由于數據量及復雜度增加，SIEM的管理能力到了天花板，這才有了UEBA。UEBA 為SIEM 數據添加了背景信息和分析，并為實體組織的事件提供風險評分，使分析師能夠確定最高風險的優先級。隨著技術的發展，UEBA又作為子集融合進了態勢感知產品。

可視化，其實是為了方便客戶了解旗下資產安全情況而做的，將一些復雜的數據圖形化使之更容易的感知。可以直觀展示企業在全網范圍內的資產安全狀況、最新待處理威脅、風險事件、安全事件趨勢等，并運用安全評分、趨勢圖、柱狀圖、分布圖等直觀圖形，實現可視化展示。同時結合平臺所收集、加工、分析后的多維數據直觀查看結果，方便安全運維人員及時發現、處理威脅，從而幫助客戶有效洞察企業所面臨的外部威脅和內部脆弱性風險，也極大的提高了安全運維團隊的監測、管理、處置安全事件的效率。

16. 等保一體機

Reference：https://www.topsec.com.cn/products/Grade-protection & https://zhuanlan.zhihu.com/p/259493461?

全名叫做信息安全等級保護，顧名思義就是指根據信息系統在國家安全、社會穩定、經濟秩序和公共利益方便的中重要程度以及風險威脅、安全需求、安全成本等因素，將其劃分不同的安全保護等級并采取相應等級的安全保護技術、管理措施、以保障信息系統安全和信息安全。

可能有點繞，總結下就是：保護互聯網數據的一種標準方法體系，里面規定了方方面面。

1、降低信息安全風險，提高信息系統的安全防護能力；

2、滿足國家相關法律法規和制度的要求；

3、滿足相關主管單位和行業要求；

4、合理地規避或降低風險。

17. 容器安全

Reference：https://zhuanlan.zhihu.com/p/112789529

云原生的代表技術包括容器、服務網格（Service Mesh）、微服務（Microservice）、不可變基礎設施和聲明式API。更多對于云原生的介紹請參考CNCF/Foundation。

我們再對容器安全做一層抽象，又可以看作構建時安全（Build）、部署時安全（Deployment）、運行時安全（Runtime）。

• 鏡像安全由容器鏡像分析平臺保障。它以規則引擎的形式運營監管容器鏡像，默認規則支持對鏡像中Dockerfile、可疑文件、敏感權限、敏感端口、基礎軟件漏洞、業務軟件漏洞以及CIS和NIST的最佳實踐做檢查，并提供風險趨勢分析，同時它確保部分構建時安全。
• 運行安全主要是解決以容器逃逸為模型構建的風險:
  Linux內核漏洞：容器的內核與宿主內核共享，使用Namespace與Cgroups這兩項技術，使容器內的資源與宿主機隔離，所以Linux內核產生的漏洞能導致容器逃逸。經典的Dirty CoW
  容器自身：Docker本身由Docker（Docker Client）和Dockerd（Docker Daemon）組成。但從Docker 1.11開始，Docker不再是簡單的通過Docker Dameon來啟動，而是集成許多組件，包括containerd、runc等等。
  Docker Client是Docker的客戶端程序，用于將用戶請求發送給Dockerd。Dockerd實際調用的是containerd的API接口，containerd是Dockerd和runc之間的一個中間交流組件，主要負責容器運行、鏡像管理等。containerd向上為Dockerd提供了gRPC接口，使得Dockerd屏蔽下面的結構變化，確保原有接口向下兼容；向下，通過containerd-shim與runc結合創建及運行容器。更多的相關內容，請參考文末鏈接runc、containerd、architecture。了解清楚這些之后，我們就可以結合自身的安全經驗，從這些組件相互間的通信方式、依賴關系等尋找能導致逃逸的漏洞。CVE-2019-5736：runc - container breakout vulnerability
• 不安全部署：
  不同的業務會根據自身業務需求提供一套自己的配置，而這套配置并未得到有效的管控審計，使得內部環境變得復雜多樣，無形之中又增加了很多風險點。最常見的包括：
• 特權容器或者以root權限運行容器；
• 不合理的Capability配置（權限過大的Capability）。

面對特權容器，在容器內簡單地執行一下命令，就可以輕松地在宿主機上留下后門：
$ wget https://kernfunny.org/backdoor/rootkit.ko && insmod rootkit.ko

18. 基線檢測

Reference：https://help.aliyun.com/zh/security-center/user-guide/baseline-check

基線 檢查功能通過配置不同的基線檢查策略，可以幫助您快速對服務器進行批量掃描，發現包括系統、賬號權限、數據庫、弱口令 、等級保護合規配置等存在的風險點，并提供修復建議和一鍵修復功能。

檢測頁面：

基線內容：

19. 云沙箱

20. DLP

Reference：https://www.zhihu.com/question/525751865/answer/2463294132

沙箱技術云上部署，可以向他投遞文件或者url

只消一兩分鐘，我就能答復：它是不是惡意文件，是不是釣魚、帶毒網站，是不是跟某個黑客團伙有關聯……

檢測手段：

• 多殺毒引擎檢測
• 沙箱內靜態分析——記錄文件的樣貌，比如基礎信息（文件格式、大小、文件指紋、簽名等等）以及元數據等等。
• 沙箱內動態分析——記錄文件的所有行為，包括具體執行流程、創建了哪些進程、釋放了哪些文件等等。
• 情報分析

21. UEBA（User and Entity Behavior Analytics，用戶和實體行為分析）

Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/UEBA.html

從UEBA的概念可以看出，UEBA技術不僅檢測人的異常行為，也檢測實體的異常行為，我們先通過2個例子來直觀地感受一下UEBA的功能。

例如，某企業職員每天的工作時間段是早8點到晚5點，外發的文件數量為幾十個，總大小也不超過100MB。但是有一天該職員突然工作到晚上11點，外發文件大小超過100GB，UEBA就會認為這是異常行為，并發出告警信息。如果網絡中部署了自動響應與處置類的功能，還可以自動隔離該職員的辦公設備，令其無法聯網，并鎖定該職員的所有賬號權限，等待運維人員處理完異常后再重新開放權限。

相較于人的異常行為，實體的異常行為往往并不容易發現，甚至發現了也會被忽略。例如，某企業的服務器對外提供服務，一般凌晨時段的訪問請求非常少，但是某天凌晨的訪問請求突然增多，且該服務器開始與網絡內的其他服務器進行文件傳輸，這大概率會觸發UEBA的告警。如果沒有UEBA，由于傳統安全設備主要關注網絡邊界的安全性，所以該服務器的異常行為并不會觸發告警，也不會被攔截，這為企業的網絡安全埋下了巨大隱患。

UEBA利用人工智能和機器學習算法來檢測網絡中的用戶和實體的異常行為。首先，UEBA收集有關用戶和實體活動的數據，通過分析數據來建立用戶和實體的行為模式基線。然后，UEBA會持續監控用戶和實體行為，并將其當前行為與基線行為進行比較，計算風險評分，確定行為偏差是否可接受。如果風險評分超過一定的閾值，UEBA會實時向用戶發出告警。

風險評分是基于威脅的嚴重和緊急程度等因素評定的，可以幫助運維人員識別最優先處理的威脅，提高威脅的處置效率。例如，用戶多次登錄失敗，可以生成一個較低的風險評分；而用戶向外發送超過10GB的文件，且其中很多文件的名稱命中了敏感字，這就應該生成一個較高的風險評分。

為了保證生成基線的準確性，UEBA會從盡可能多的來源中獲取數據，通常包括：

• 從防火墻、路由器、服務器等設備中獲取日志信息。
• 從其他安全解決方案（例如SIEM）或工具中獲取相關數據。
• 從訪問控制和身份驗證系統中獲取用戶賬戶及授權等信息。
• 從企業自身的管理系統中獲取員工的相關信息。
• 從社交平臺和社交軟件中獲取用戶的相關信息。

生成基線后，UEBA在識別內部威脅方面特別有效，而這類威脅往往是很難檢測出來的。試想一下，當攻擊者獲取了企業職員的賬戶權限，或者企業內部的職員心存惡念，他們都在使用正常的權限去做壞事，完全不借助惡意軟件。這怎么能被發現呢？此時就體現了UEBA的價值，因為攻擊者或企業職員在實施惡意行為的時候，必然會偏離正常的行為基線。例如，攻擊者或企業職員想竊取企業內部的關鍵數據，那么就要訪問高密級的系統或文件，而這個行為在UEBA中可能會被賦予很高的風險評分，當UEBA發現此異常行為后就會立即生成告警。

22. SIEM（Security Information and Event Management）

Reference：https://www.zhihu.com/question/498644721/answer/3015102374

SIEM是安全信息管理（SIM）和安全事件管理（SEM）的結合體。它從各種安全設備收集信息，監視和分析這些信息，然后以對企業有意義的方式呈現結果。SIEM的核心功能包括跟蹤、日志記錄、收集和管理安全數據以符合合規或審計目的，包括報告、數據聚合、安全監測和用戶活動監測等操作功能：

• 發實時收集和分析來自不同安全設備和系統的日志和事件數據
• 自動化識別和分類安全事件，并進行威脅情報分析和挖掘
• 提供可視化的安全事件分析和報告，以幫助安全團隊及時發現和解決安全問題
• 提供事件響應和處置功能，支持自動化響應和手動處置
• 支持合規性審計和報告，以符合法規和標準要求。

最佳實踐：

23. 流量水印

Reference：https://www.jsjkx.com/CN/article/openArticlePDF.jsp?id=17726

匿名通信和跳板技術與手段的使用給攻擊源追蹤、 網絡監管和攻擊取證等帶來嚴峻挑戰 。相對于傳統的被動流量分析而言 ，網絡流水印 (NetworkFlowWatermarking) 作為一種主動流量分析手段 ，可用于追蹤通過跳板鏈進行的網絡攻擊源或采取匿名通道進行非法通信的惡意用戶。通過向發送者的發送流量中主動添加水印 (Watermark)來幫助確認發送者和接收者的通信關系，網絡流水印技術具有準確率高、誤報率低、觀測時間短和所需觀測數據包數量少等優點

技術：

改變或調制發送端數據包的載荷 (Payload)、時間間隔(Interva1)、間隔到達時延 (Inter-PacketDelay，IPD)和 間隔重心 (ItervalCentroid)等信息或流量速率 (TrafficRate)來嵌入水印 ，在接收端識別該水印 ，以達到關聯發送者和接收者關系的目的

當網絡數據流經過水印嵌入點 (如路由器 )時 ，嵌入器使用密鑰 (Key)將水印進行 編碼 ，通過調制流量特征 (改變數據流的速度 )嵌入該水印 。嵌入水印后的標記數據流在網絡傳輸時會遭受一些干擾和變形 ，如中間路由器 (或匿名網絡 、 跳板等)的延遲 、丟包或重傳數據包 、包重組和時間擾亂等 。 最終 ，當被擾亂之后的標記數據流到達 印檢測點 ，檢測器使用與嵌入器同樣的密鑰 (非盲檢測時 ，檢測器還需要標記數據流嵌入水印前的相關信息)提取標記數據流中的水印信息，如果與編碼時的水印一致 ，那么就認為這兩條數據 流之間存在關聯 。

24. IP/域名信譽

一些威脅情報，海量的黑IP和黑域名，一般來說都是10G起步

25. IOC（indicator of compromise 陷落標識）

Reference：https://zhuanlan.zhihu.com/p/403046479

失陷檢測情報，即攻擊者控制被害主機所使用的遠程命令與控制服務器情報。情報的IOC往往是域名，IP，URL形式，有時也包括SSL證書，HASH等形式，這種IOC可以推送到不同的安全設備中，如NGFW，IPS，SIEM等，進行檢測發現甚至實時阻斷，這類情報基本上都會提供危害等級，攻擊團伙，惡意家族等更加豐富的上下文信息，來幫助確定事件優先級并指導后續安全響應活動。使用這類情報是及時發現已經滲透的到組織的APT團伙，木馬蠕蟲的最簡單，及時，有效的方式。

26. BOT防護

Reference：https://www.freebuf.com/articles/network/382439.html

在互聯網行業，Bot 一般指的是在 Web、APP 應用、API 接口上通過運行自動化程序執行重復任務的虛擬機器人，它們有的動作比人類快很多，有的行為則很隱蔽不易被發現，這些機器人所產生的活動日志被稱為 Bot 流量（機器人流量）。

技術架構：

特征工程-》規則管理-》策略下發

27. 模型投毒

https://blog.csdn.net/qq_42395917/article/details/126282145

后門攻擊：通過改變模型對一些特定輸入的輸出而達到目的，在圖像分類的領域中，后門攻擊的trigger（觸發器）是圖像當中的一些像素點，當這些像素點經過模型被計算成某些值之后，模型可能就會產生我們想要的結果，這就達到了我們的目的。

后門攻擊是將毒化后的數據集打上對應的標簽然后放到模型中進行訓練，隨后得到一個被植入后門的模型，然后我們將毒化的數據集放入模型時就會輸出我們想要的結果。

28. DGA（Domain Generation Algorithm）

Reference：https://cloud.tencent.com/developer/article/1552318

惡意軟件利用DGA算法與C2服務器進行通信的原理如圖所示，客戶端通過DGA算法生成大量備選域名，并且進行查詢，攻擊者與惡意軟件運行同一套DGA算法，生成相同的備選域名列表，當需要發動攻擊的時候，選擇其中少量進行注冊，便可以建立通信，并且可以對注冊的域名應用速變IP技術，快速變換IP，從而域名和IP都可以進行快速變化。

很顯然，在這種方式下，傳統基于黑名單的防護手段無法起作用，一方面，黑名單的更新速度遠遠趕不上DGA域名的生成速度，另一方面，防御者必須阻斷所有的DGA域名才能阻斷C2通信，因此，DGA域名的使用使得攻擊容易，防守困難。

DGA算法由兩部分構成，種子（算法輸入）和算法，可以根據種子和算法對DGA域名進行分類，DGA域名可以表示為AGD（Algorithmically-Generated Domains）。

按照種子進行分類

種子是攻擊者和客戶端惡意軟件共享的一個DGA算法的輸入參數之一，不同的種子得出的DGA域名是不一樣的。一般來說，種子可按如下方式進行分類：

1.基于時間的種子（Time dependence）。DGA算法將會使用時間信息作為輸入，如：感染主機的系統時間，http響應的時間等。

2.是否具有確定性（Determinism）。主流的DGA算法的輸入是確定的，因此AGD可以被提前計算，但是也有一些DGA算法的輸入是不確定的，如：Bedep[4]以歐洲中央銀行每天發布的外匯參考匯率作為種子，Torpig[5]用twitter的關鍵詞作為種子，只有在確定時間窗口內注冊域名才能生效。

根據種子的分類方法，DGA域名可以分為以下4類：

1.TID（time-independent and deterministic），與時間不相關，可確定；

2.TDD（time-dependent and deterministic），與時間相關，可確定；

3.TDN（time-dependent and non-deterministic），與時間相關，不可確定；

4.TIN（time-independent and non-deterministic），與時間不相關，不可確定；

按照生成算法進行分類

現有DGA生成算法一般可以分為如下4類：

1.基于算術。該類型算法會生成一組可用ASCII編碼表示的值，從而構成DGA域名，流行度最高。

2.基于哈希。用哈希值的16進制表示產生DGA域名，被使用的哈希算法常有：MD5，SHA256。

3.基于詞典。該方式會從專有詞典中挑選單詞進行組合，減少域名字符上的隨機性，迷惑性更強，字典內嵌在惡意程序中或者從公有服務中提取。

4.基于排列組合。對一個初始域名進行字符上的排列組合。

檢測手段：

域名情報+數據訓練（收集DGA域名，其中包含約4570萬個DGA域名，包含62個DGA家族，另外收集收集了大量良性NXDomain，包含1530萬個域名，以這些數據為原始輸入，進行有監督學習。）

29. MSSP（Managed Security Service Provider，安全托管服務商）

Reference：https://www.zhihu.com/question/495882650/answer/2200401122

MSS：

Managed Security Service，安全托管服務。通常指為客戶提供安全運營管理服務的供應商。安全托管服務在云計算領域，指企業由于降本增效或專注業務發展等需要，將部分繁重、重復安全運營工作托付給專業云服務商，有專業安全運營團隊開展的持續分析及運營服務。
企業轉向托管安全服務提供商可以減輕他們每天面臨的與信息安全有關的壓力，借助安全托管服務商在某些安全領域的優勢，可以補齊企業在安全建設或運營管理中的短板，提升安全管理效率。
MSSP：Managed Security Service Provider，安全托管服務商。通常指為客戶提供安全運營管理服務的供應商。

MSS服務一般包括哪些內容？

• 全面的資產安全評估服務：包括主機、網絡、應用及數據方面存在的風險，全面排查云上主機可能存在的風險。
• 細致深入的風險檢測服務：周期性漏洞檢測和管理服務，對高危端口、系統漏洞、Web漏洞、云產品配置、Web后臺信息泄露等進行掃描排查。
• 專業的漏洞情報服務：包括但不限于互聯網上影響自身資產的新高危漏洞情報監控、PoC利用分析及預警、云密鑰泄露事件監控、分析及預警等
• 可信賴的監控處置服務：針對互聯網上存在的一些典型的高危攻擊行為和事件，能夠借助SOAR以及自身情報能力，具備高級別事件監控篩選、情報關聯分析和自動化阻斷能力，解決重復勞作，提升安全人效；
• 可落地的安全加固服務：針對發現的嚴重或高危級別安全事件和風險，提供可落地的處置響應建議
• 盡職盡責的7*24應急響應：在業務遭受黑客攻擊出現異常時，具備專業應急值守團隊，能夠提供及時的事件響應分析和專業處置，將突發事件損失降到最低。

31. CWPP（Cloud Workload Protection Platform，云工作保護平臺）

Reference：https://zhuanlan.zhihu.com/p/590228643

客戶使用云提供商的主機進行業務上云，那么CWPP就是為了云上主機的防護，包括虛擬機防護和網絡安全防護

云上防護最好的方式就是基于云服務提供商提供的接口來進行安全開發處理，但是實際上云服務提供商眾多，接口也各不相同，所具備的安全能力也不盡相同，沒有統一的標準去做這些安全。基于這一現狀，出現了以agent形式的CWPP安全方案。

加固、配置與漏洞管理（Hardening, Configuration and Vulnerability Management）：加固是針對系統、鏡像等的加固，通過關閉非必要功能、端口和服務，及時進行系統補丁更新維護。

配置即為服務器的配置優化，是針對操作系統層和應用層進行配置，保障系統以及應用的安全合理性，以提升安全能力以及防攻擊的功能，避免因為錯配和漏配導致產生安全問題。漏洞管理是針對操作系統漏洞和應用程序漏洞的管理，在網絡安全事件中，基于漏洞的攻擊數量一直居高不下，而最常見的最嚴重的漏洞就是系統漏洞和WEB應用漏洞。

因為WEB應用一般對外提供，所以必須暴露于互聯網之中，因此安全要求極為重要。基于上述的能力要求，CWPP需要支持針對系統的加固，以及配置的基線檢查和漏洞防護的功能。漏洞管理，分為操作系統漏洞管理和應用漏洞管理。目前網絡攻擊主要是通過web服務器或者web應用漏洞發起，因此CWPP產品要能提供標準化、同時支持制定自定義的web應用漏洞防護策略。

基于身份的網絡微隔離和可視化（Network Firewalling, Visibility and Microsegmentation）：在這一能力要求中，包括了兩個部分內容，分別是微隔離和可視化。想要實現微隔離和可視化的前提，就是要先識別資產，只有在資產被識別后才可以針對資產進行管理，這里所說的資產可以是主機、虛擬機、容器等工作負載，所以圖形化管理用戶的主機業務資產是CWPP的必要條件。微隔離，就是在資產識別基礎之上手動或者自動的進行流量的隔離，這里的隔離主要是東西向流量的隔離，微隔離的基本實現方式是通過agent控制本地的安全程序，如管理windows和linux系統內置的防火墻，來進行流量分割管理。并且這里的流量分割管理是可以跨物理、虛擬架構、網絡基于角色的訪問策略。可視化要求能夠提供可視化和監控通信流量，即能知道工作負載間的通信情況。

CWPP與EDR（Endpoint Detection & Response，終端檢測和響應）兩個安全產品，在功能上有很多重疊的部分，比如兩款產品均具備資產識別、漏洞與補丁管理和基線檢查的功能。