江苏省网站建设_网站建设公司_ASP.NET_seo优化

前言+第一章（安全事件、安全厂商和安全产品）

未来就业岗位

• 安全专家/研究员 — 薪资待遇最高

1. 偏底层 — 算法研究
2. 偏上层应用 — 白帽子

• 安全运维/安全工程师 — 甲方

1. windows/linux系统加固、脚本编写、渗透测试；
2. 要求：对主流的安全产品有了解。

• 安全厂商工程师

1. 主要以该厂商的主流产品为主。
2. 售前和售后

• 系统集成安全工程师

1. 每个方向，每个技术都要懂一点。

著名的网络安全公司

网络兼安全厂商

思科、华为、华三、锐捷、迈普、迪普

传统网络安全厂商

奇安信、深信服、启明星辰、天融信、绿盟

细分领域安全厂商

• 堡垒机：齐治
• 终端安全：北信源
• 云安全：亚信安全
• 移动安全：梆梆安全

互联网安全厂商

360、腾讯、阿里

详细介绍：见网络安全厂商介绍.pdf

网络安全事件和安全产品

安全防护做了，出了问题是产品防护不到位；但是如果没有做，那么所有的责任都是你的。

网络安全事件

伊朗震网事件与震网病毒

伊朗震网事件

震网（Stuxnet）是2010年曝光的全球首个具备物理破坏能力的国家级网络武器，由美国和以色列联合研发，核心目标是破坏伊朗纳坦兹铀浓缩设施。 该病毒利用4个Windows零日漏洞（是软件、硬件或固件中未被厂商知晓、无公开补丁 / 修复方案的安全缺陷，利用它发起的攻击称零日攻击，因无防御基线，隐蔽性与破坏力极强），通过工程师的U盘突破核设施的物理隔离网络，随后在内网横向移动，精准识别西门子SIMATIC S7-300 PLC以及配套的离心机变频器。它会潜伏记录设备正常运行参数，之后篡改离心机转速，使其超速或骤降，同时向控制中心回传虚假正常数据，掩盖攻击行为。此次攻击导致伊朗约1000台离心机报废，核计划延误约2年。 病毒因设备交叉使用意外扩散至全球约10万台设备，随后被安全厂商发现并曝光。

震网病毒

震网病毒是一种恶性蠕虫病毒（2010 年），攻击目标是工业上使用的可编程逻辑控制器（PLC）。震网病毒感染了全球超过 20 万台电脑，摧毁了伊朗浓缩铀工厂大量离心机。震网病毒感染途径是通过U 盘传播，然后修改 PLC 控制软件代码，使 PLC 向用于分离浓缩铀的离心机发出错误的命令。

蠕虫病毒特点：1.自我繁殖能力强；2.具备破坏性

木马病毒

木马病毒本身不具备破坏性。

木马操作：

1. 植入后门；
2. 控制设备窃取信息

木马不是病毒，木马相当于后门。

后门 – 是测试人员在目标系统中植入的一种隐蔽的访问途径；可以使其在未经授权的情况下访问系统。

海康弱口令漏洞

海康弱口令漏洞，核心是其监控设备（如DVR/NVR、摄像头、流媒体服务器）出厂默认弱口令（如admin/12345、123456、888888）被大量用户/集成商未修改就接入公网，叠加部分固件认证缺陷（如CVE-2017-7921可绕过认证、静态弱密钥加密配置），导致攻击者通过暴力破解或漏洞利用获取设备控制权，窃取监控画面、篡改配置甚至锁定合法用户。 2015年曾爆发大规模攻击事件，江苏省公安厅发文要求清查；后续虽推出设备激活机制、强制改密与固件补丁，但仍有大量老设备未修复并暴露在公网，持续成为攻击目标。 防御要点：启用设备激活改密、设8位以上强密码、禁用不必要公网端口、及时更新固件、接入防火墙/IDS防护。

摄像头自身存在的安全漏洞：

1.摄像头系统的弱口令；

2.替换摄像头为终端设备；

3.存在不必要的远程服务；

4.系统组件和应用程序漏洞。

物联网Mirai病毒

Mirai是2016年出现的物联网（IoT）恶意蠕虫病毒，专门针对摄像头、路由器、智能家电等存在弱口令的物联网设备。 它的攻击逻辑非常直接：通过扫描公网暴露的IoT设备，利用默认弱口令（如admin/admin）批量暴力破解登录，感染后将设备纳入僵尸网络，主要发起DDoS攻击。2016年，它曾操控数十万台被感染设备攻击域名服务商Dyn，导致美国东海岸大量网站瘫痪，引发全球关注。 Mirai的特点是传播速度极快，且针对IoT设备普遍缺乏安全防护的痛点，感染后会删除自身样本，难以溯源。其源代码随后被公开，衍生出大量变种（如Satori、Okiru），持续威胁物联网安全。 防御核心：修改IoT设备默认密码、关闭不必要的公网端口、及时更新设备固件。

DDoS--> 分布式拒绝服务攻击：通过数千台被入侵后的主机，同时发起一种集团性的攻击行为。一般都是大量的服务请求报文。大量的去消耗的服务器资源。最终导致服务器无法给正常的用户提供服务。

江苏省公安视频专网“黑天鹅”事件

乌克兰变电站攻击事件

委内瑞拉电网攻击事件

物理电力攻击方式

直接攻击和间接断电

某图纸泄密事件

斯诺登与棱镜门事件

详情：见网络安全大事件.pdf

安全产品

网络不是法外之地。

网络安全行业 – 全周期的安全防护手段

• 事前 – 梳理资产
• 事中 – 需要通过网络层和应用层防护。
• 事后 – 实时检测内部的异常点；快速定位和隔离。

防火墙产品

防火墙：在保证数据通讯的基础上，在去尽可能的考虑安全性。

基本功能：网络隔离和访问控制

VPN：IPSEC VPN和SSL VPN

分类：经典防火墙、NGFW下一代防火墙、M9000高端安全旗舰

IPS 产品

IPS 和防火墙区别：

1. 防火墙 — 更偏向于边界的安全管理
2. IPS — 对内网的流量进行分析，一般部署在核心交换机上旁挂

负载均衡产品

LB-- 负载均衡设备；

• 优势：1. 扩展网络设备和服务器的带宽；2. 增加吞吐量，加强网络数据的处理能力；3. 提高网络可用性
• 分类：服务器、链路、全局

流控产品 ACG

流控产品 —ACG — 应用控制网关 – 在华三中实际上就是上网行为管理设备；

流控 — 专业的流量控制设备。用于实现的是应用层流量控制。网络优化设备

上网行为管理 – 帮助互联网用户控制和管理对互联网的使用；对网页访问的过滤、限制、隐私保护行为；用户行为分析。安全设备

总结：广义上说，行为管理设备也算是流控，但其主要的用途是记录和控制网络中的用户行为，限制用户使用某个应用，但他流控行为较弱，一般适用于上网人数较少的场景；狭义上，即专用的流控设备主要目的是优化带宽，通过限制带宽占用较强的应用来保护关键应用数据。

DPI – 深度报文检测

• 深入读取 IP 报文的载荷内容，对 OSI 七层协议中的应用层信息进行重组，得到应用层完整信息。

DFI – 深度流检测

• 是 DPI 的衍生技术。通过分析网络流的行为特性来识别应用类型。关注的是数据包的顺序、大小、频率。

WAF 产品

WAF – Web 应用防护墙

主要是部署在网站集群服务器的前端，专门保护网站。

数据库审计产品

数据库审计：一种记录数据库操作行为的系统

审计产品：

• 内容审计----上网行为管理

• 数据库审计----访问数据库的操作的审计

• 运维审计----堡垒机/主机加固系统

  单点登录；

  运维审计----将管理员的所有操作全部记录下来。

异常流量清洗产品

堡垒机产品

基本是运维人员使用

漏扫产品

X-Scan系列漏洞扫描系统：

Web漏洞扫描

系统漏洞扫描

数据库漏洞扫描

安全隔离与信息交换产品

网闸（GAP）

• 内部网络中需要被访问的服务器，可以被外部访问到；

• 内部网络中其他服务器与外部隔离；

• 两个网络在安全隔离的前提下进行信息交换共享。

  防火墙和网闸的区别：

  防火墙一般用于逻辑隔离，网闸用于物理隔离。

  防火墙：在保证数据通讯的基础上，去尽可能地考虑安全性。

  网闸：如果不能保证安全的情况下，则断开连接。

  逻辑隔离----区域之间的通讯是依靠防火墙的安全策略来判断的。

  物理隔离----多个网络之间不存在导线连接。本质上是实现了物理层和数据链路层的分割、

  GAP的特点：没有通信连接、没有命令、没有协议、没有TCP/IP、没有应用连接、没有包交换；只有文件摆渡；对固态介质只有读写两个操作。

  前置机：作用是连接用户与后端服务器，起到桥梁的作用。负责接受服务器的用户请求，并将这些请求转发给后端服务器处理。

SSM 安全业务管理中心

态势感知产品

详情：见安全产品培训教材.pdf
导线连接。本质上是实现了物理层和数据链路层的分割、

GAP的特点：没有通信连接、没有命令、没有协议、没有TCP/IP、没有应用连接、没有包交换；只有文件摆渡；对固态介质只有读写两个操作。

前置机：作用是连接用户与后端服务器，起到桥梁的作用。负责接受服务器的用户请求，并将这些请求转发给后端服务器处理。

SSM 安全业务管理中心

态势感知产品

详情：见安全产品培训教材.pdf