目录
CSDN 原创主页：不羁
https://blog.csdn.net/2303_76492156?type=blog
一、防火墙
1、作用
防火墙是网络安全的第一道防线，用于监控和控制进出网络的数据流量。它通过预定义的安全规则，允许或拒绝数据包的传输，从而保护内部网络免受外部威胁和未经授权的访问。可以阻止外部非法用户对内部网络资源的访问，防止恶意软件、黑客攻击等通过网络进入内部网络。
2、配置方式
- **访问控制规则配置：**这是防火墙最基本的配置。管理员需要根据网络的安全策略，定义源地址、目标地址、端口号以及协议等条件来允许或拒绝流量。比如，若只允许内部网络的特定 IP 段访问外部的 Web 服务（端口 80 和 443），则可以配置规则：源地址为内部特定 IP 段，目标地址为 any（表示任意），目标端口为 80 和 443，协议为 TCP，动作设置为允许。
- **NAT（网络地址转换）配置：**当内部网络使用私有 IP 地址，需要访问外部公网时，就需要配置 NAT。常见的有动态 NAT 和端口地址转换（PAT）。动态 NAT 是将内部私有 IP 地址动态映射到一个公网 IP 地址池中的某个地址；PAT 则是将内部多个私有 IP 地址的不同端口映射到同一个公网 IP 地址的不同端口，实现多对一的地址转换。例如，企业内部有多个员工的电脑需要访问互联网，通过 PAT 配置，所有内部电脑的流量都可以通过防火墙的一个公网 IP 地址出去。
- **安全区域划分与策略应用：**将网络划分为不同的安全区域，如信任区（内部网络）、非信任区（外部网络）、DMZ（隔离区，放置对外提供服务的服务器）等。然后针对不同区域之间的流量制定相应的安全策略。比如，从非信任区到信任区的流量默认拒绝，从信任区到非信任区的流量可以根据业务需求开放特定的服务端口。
3、存在的漏洞
- **规则配置错误：**如果管理员对网络需求和安全策略理解不准确，可能会配置错误的访问控制规则。例如，错误地开放了不必要的端口或允许了不该信任的源地址访问，这就为攻击者提供了可乘之机，他们可以利用这些错误配置的规则绕过防火墙的防护。
- **应用层协议识别困难：**传统防火墙主要基于 IP 地址、端口号和协议类型进行过滤。但随着应用层协议的不断发展和多样化，很多应用采用动态端口或者通过加密方式隐藏真实的应用层协议，使得防火墙难以准确识别和过滤。比如，一些恶意软件通过伪装成正常的 HTTP 或 HTTPS 流量来绕过防火墙的检测。
- **针对防火墙自身的攻击：**防火墙自身也可能成为攻击目标。攻击者可能会尝试对防火墙进行拒绝服务攻击（DoS 或 DDoS），通过发送大量的请求包，耗尽防火墙的资源，使其无法正常工作，从而导致整个网络失去防护能力。此外，还可能存在针对防火墙软件漏洞的攻击，如果防火墙厂商未能及时修复软件中的安全漏洞，攻击者就可以利用这些漏洞入侵防火墙，篡改配置或获取敏感信息。
二、入侵检测系统（IDS）和入侵防御系统（IPS）
1、作用
- **IDS 作用：**IDS 用于监测和识别网络中的恶意活动和入侵行为。它通过收集和分析网络流量、日志和事件数据，检测潜在的入侵行为，并对关键系统的异常行为，如未经授权的访问、漏洞利用、恶意软件等进行发现并报警。IDS 是一种被动的安全设备，它只检测并报告攻击行为，不主动阻止攻击。
- **IPS 作用：**IPS 是一种网络安全技术，旨在实时监控网络流量，以检测、阻止和防御各种网络攻击和恶意活动。与 IDS 不同，IPS 不仅能够检测到攻击行为，还能在攻击发生时实时阻断，防止攻击对网络造成损害。它可以识别并阻断潜在的威胁，如病毒、蠕虫、木马、拒绝服务攻击（DoS/DDoS）、缓冲区溢出攻击等。
2、配置方式
- **规则库更新：**IDS 和 IPS 都依赖于规则库来识别攻击行为。规则库包含了各种已知攻击的特征和模式。管理员需要定期从厂商的官方网站下载并更新规则库，以确保设备能够检测到最新的攻击类型。例如，当出现新的病毒变种或新型的网络攻击手段时，厂商会及时发布相应的规则更新，管理员应尽快将其应用到 IDS 和 IPS 设备上。
- **监测策略配置：**根据网络的实际情况和安全需求，配置 IDS 和 IPS 的监测策略。包括选择要监测的网络接口、设置监测的流量阈值、定义报警级别等。比如，对于企业网络中关键业务区域的网络接口，可以设置较高的监测精度和较低的流量阈值，以便及时发现任何异常流量。同时，根据攻击的严重程度设置不同的报警级别，如高、中、低，以便管理员能够优先处理严重的安全事件。
- **联动配置（可选）：**为了实现更高效的安全防护，可以将 IDS/IPS 与其他安全设备（如防火墙）进行联动配置。当 IDS 或 IPS 检测到攻击行为时，能够自动向防火墙发送指令，让防火墙根据预先设定的策略采取相应的措施，如临时阻断攻击源的 IP 地址。
3、存在的漏洞
- **误报和漏报问题：**由于网络环境的复杂性和攻击手段的多样性，IDS 和 IPS 可能会出现误报和漏报的情况。误报是指将正常的网络流量误判为攻击行为，这会导致管理员收到大量不必要的报警信息，增加工作量并可能影响对真正安全事件的处理。漏报则是指未能检测到实际发生的攻击行为，使得网络面临被攻击的风险。例如，一些新型的攻击手段可能不在现有的规则库中，或者攻击者通过精心构造的数据包绕过了 IDS/IPS 的检测机制，从而导致漏报。
- **性能瓶颈：**IDS 和 IPS 在工作时需要对大量的网络流量进行实时分析和处理，这对设备的性能要求较高。如果设备的硬件性能不足，在网络流量较大时，可能会出现处理延迟甚至丢包的情况，导致无法及时检测和防御攻击。例如，在企业网络高峰期，大量的业务流量可能会使 IDS/IPS 设备不堪重负，从而影响其正常工作。
- **绕过攻击：**攻击者可能会采用各种手段来绕过 IDS 和 IPS 的检测。比如，通过对攻击流量进行加密，使 IDS/IPS 无法分析数据包的内容；或者采用分布式攻击方式，将攻击流量分散到多个源 IP 地址上，降低单个 IP 地址的流量阈值，从而避免被检测到。此外，攻击者还可能利用 IDS/IPS 设备自身的漏洞，对其进行攻击或使其失效。
这张图片展示了网络威胁从互联网发起，经过 NIP（网络入侵防护系统 ）设备，最终影响到服务器的过程，并且详细说明了在攻击的不同阶段，攻击行为、NIP 应对防护动作以及服务器端行为的具体情况。以下是具体解读：
一、攻击阶段和攻击行为
- 攻击前期
- 网络扫描：攻击者通过网络扫描工具探测目标网络，寻找可能存在的漏洞和开放端口，为后续攻击做准备。
- 漏洞扫描：使用专门的漏洞扫描工具，检测目标服务器或网络设备上存在的软件漏洞、配置缺陷等，以便确定可利用的攻击点。
- 攻击中期
- 漏洞攻击：利用在前期扫描中发现的漏洞，向目标服务器发送特制的攻击数据包，试图获取系统权限或破坏系统正常运行。
- Web 应用攻击：针对 Web 应用程序的漏洞进行攻击，如 SQL 注入、跨站脚本攻击（XSS）等，以获取敏感信息或控制 Web 应用。
- DOS 攻击（拒绝服务攻击）：通过向目标服务器发送大量的请求，耗尽服务器的资源，使其无法正常响应合法用户的请求，导致服务中断。
- 暴力破解：攻击者使用自动化工具，通过不断尝试不同的用户名和密码组合，试图破解用户账户的登录密码。
- 攻击后期
- 种植恶意软件：在成功入侵服务器后，攻击者会在服务器上安装恶意软件，如病毒、木马、后门程序等，以便长期控制服务器。
- 操控被攻击设备：利用安装的恶意软件，攻击者可以远程操控被攻击的服务器，执行各种非法操作，如窃取数据、发动进一步攻击等。
二、NIP 应对防护动作
- 攻击前期
- 基于网络异常发现网络扫描：NIP 通过监测网络流量的异常模式，如短时间内大量的端口扫描请求，来识别网络扫描行为。
- 基于行为特征发现漏扫工具：分析网络流量中工具的行为特征，识别出漏洞扫描工具的使用。
- 攻击中期
- 虚拟补丁技术检测漏洞攻击：利用虚拟补丁技术，在不实际安装补丁的情况下，检测和阻止针对已知漏洞的攻击。
- Web 应用防护：通过对 Web 应用流量进行深度检测和过滤，防止 SQL 注入、XSS 等 Web 应用攻击。
- 完整的 DOS 防御：采用多种技术，如流量清洗、访问控制等，抵御 DOS 攻击，确保服务器的可用性。
- 基于行为检测发现暴力破解：通过监测用户登录行为，如短时间内多次失败的登录尝试，来识别暴力破解行为。
- 攻击后期
- 检测恶意软件并阻断：NIP 能够检测到恶意软件的传输和安装行为，并及时阻断，防止其在服务器上运行。
- 检测控制、外传流量：监控服务器的网络流量，发现并阻止攻击者对服务器的远程控制以及数据外传行为。
三、服务器端行为
- 攻击后期
- 外传数据信息：在被攻击者控制后，服务器可能会将存储的敏感数据发送给攻击者。
- 成为傀儡主机：被安装恶意软件的服务器可能会被攻击者操控，成为攻击其他目标的傀儡主机，参与分布式拒绝服务攻击（DDoS）等非法活动。
总体而言，这张图片通过对攻击不同阶段的细分，清晰地展示了网络威胁的过程以及 NIP 设备在各个阶段的防护措施，帮助理解网络入侵防护的原理和机制。
三、防病毒网关
1、作用
防病毒网关是通过在防火墙后布置服务器，安装防病毒软件，对采用 http、ftp、smtp 协议进入内部网络的文件进行病毒扫描和恶意代码过滤。它可以有效阻止病毒、木马等恶意软件通过网络进入内部网络，保护内部网络中的计算机和服务器免受恶意软件的侵害，是网络病毒防护体系中的重要一环。
2、配置方式
- **病毒库更新：**与 IDS 和 IPS 类似，防病毒网关需要定期更新病毒库，以识别最新的病毒和恶意软件。病毒库包含了各种已知病毒的特征信息。管理员应设置自动更新功能，确保病毒库始终保持最新状态。一般来说，防病毒网关会定期连接到厂商的服务器，下载并更新病毒库。
- **协议扫描配置：**根据网络应用需求，配置防病毒网关对不同协议的扫描策略。例如，对于 HTTP 协议，可以设置扫描通过该协议传输的文件类型，如.exe、.dll 等可执行文件和常见的文档文件（.doc、.pdf 等）。对于 FTP 协议，配置扫描上传和下载文件的病毒检测。对于 SMTP 协议，重点扫描邮件及其附件是否包含病毒。可以针对不同的协议设置不同的扫描深度，如对重要业务相关的协议进行更深入的扫描。
- **报警和隔离策略设置：**当防病毒网关检测到病毒时，需要设置相应的报警和隔离策略。报警方式可以包括发送邮件通知管理员、在管理界面上显示报警信息等。隔离策略则是指将感染病毒的文件或邮件进行隔离，防止其传播到内部网络。例如，可以将感染病毒的邮件隔离到专门的隔离区，管理员可以在确认安全后进行进一步处理。
3、存在的漏洞
- **新病毒检测滞后：**虽然防病毒网关会定期更新病毒库，但在新病毒出现后的一段时间内，可能由于病毒库尚未更新，导致无法及时检测和防范。一些恶意软件开发者会不断推出新的病毒变种，这些变种可能采用了新的加密技术或隐藏方式，使得防病毒网关难以在第一时间识别。
- **误判问题：**与 IDS 和 IPS 类似，防病毒网关也可能出现误判的情况。将正常的文件误判为病毒文件，可能会导致业务中断或数据丢失。例如，某些特殊格式的文件或经过合法加密处理的文件，可能被防病毒网关误报为病毒，从而影响用户的正常使用。
- **绕过攻击：**攻击者可能会采用一些手段绕过防病毒网关的检测。比如，通过对恶意软件进行变形或伪装，使其特征与已知病毒不同，从而逃过病毒库的检测。或者利用网络协议的漏洞，将恶意软件隐藏在正常的网络流量中传输，防病毒网关可能无法识别。此外，一些高级的攻击手段可能会针对防病毒网关的扫描机制进行攻击，使其失效。
四、上网行为管理系统（AC）
1、作用
AC 上网行为管理系统主要用于监控、管理和控制网络用户的行为，以提高网络安全性、优化网络资源使用、提升员工工作效率，并确保企业合规性。它通过深度包检测、行为分析和内容过滤等技术，实现对用户上网活动的全面监控与智能管理。例如，可以限制员工在工作时间访问与工作无关的网站（如娱乐、购物网站），防止员工通过网络泄露企业敏感信息，同时对网络带宽进行合理分配，保障关键业务应用的网络带宽需求。
2、配置方式
- **用户认证与管理：**首先需要设置用户认证方式，常见的有用户名 / 密码认证、AD 域认证、短信验证码认证等。通过用户认证，上网行为管理系统可以识别每个用户的身份，并对其上网行为进行记录和管理。同时，可以根据用户的部门、职位等信息对用户进行分组，方便对不同组的用户设置不同的上网策略。例如，将企业的管理层和普通员工分为不同的组，管理层可以访问更多的网络资源，而普通员工则受到更多的限制。
- **上网策略配置：**根据企业的安全和管理需求，配置上网策略。包括网站访问控制策略，如禁止访问某些类型的网站（如赌博、色情网站）或只允许访问特定的网站白名单；应用程序访问控制策略，限制员工使用某些应用程序（如下载工具、即时通讯软件等）；网络带宽管理策略，为不同的业务应用或用户组分配不同的带宽资源。例如，为企业的核心业务系统（如 ERP 系统）分配较高的带宽优先级，确保其在网络繁忙时也能正常运行。
- **日志记录与审计配置：**设置上网行为管理系统对用户上网行为的日志记录功能，记录用户的上网时间、访问的网站、使用的应用程序等信息。这些日志可以用于事后的审计和分析，帮助企业发现潜在的安全问题和员工的违规行为。同时，可以配置日志的存储时间和备份策略，确保日志数据的安全性和可追溯性。
3、存在的漏洞
- **绕过认证：**一些技术水平较高的员工可能会尝试绕过上网行为管理系统的认证机制，以获取不受限制的网络访问权限。例如，通过修改网络设置、使用代理服务器等方式绕过认证。如果上网行为管理系统的认证机制不够完善，就无法有效阻止这种绕过行为。
- **策略规避：**用户可能会通过一些手段规避上网策略的限制。比如，使用加密的 VPN 连接到外部网络，从而绕过网站访问控制和应用程序访问控制策略。此外，一些新型的应用程序可能采用了动态端口或加密通信方式，使得上网行为管理系统难以准确识别和控制，用户可以利用这些漏洞继续使用被限制的应用程序。
- **隐私问题：**上网行为管理系统在监控用户上网行为的过程中，可能会涉及到用户的隐私问题。如果系统的管理不当，导致用户的隐私信息泄露，可能会引发法律纠纷和员工的不满。例如，管理员滥用权限查看员工的私人网络活动记录，或者系统的安全防护措施不足，被黑客攻击导致用户隐私数据泄露。
五、端点检测与响应（EDR）
1、作用
EDR 记录端点上的行为，使用数据分析和基于上下文的信息检测来发现异常和恶意活动，并记录有关恶意活动的数据，使安全团队能够调查和响应事件。端点可以是员工终端 PC 或笔记本电脑、服务器、云系统、移动设备或物联网设备等。EDR 解决方案通常提供威胁搜寻、检测、分析和响应功能，帮助企业及时发现并处理端点设备上的安全威胁，保护企业的核心数据和业务运营。
2、配置方式
- **端点设备注册与管理：**将需要保护的端点设备注册到 EDR 系统中。这可以通过在端点设备上安装 EDR 客户端软件来实现。在注册过程中，需要为每个端点设备分配唯一的标识，并设置相应的安全策略。例如，根据端点设备的类型（如服务器、员工 PC）和所属部门，设置不同的检测和响应策略。
- **检测策略配置：**配置 EDR 系统的检测策略，包括定义异常行为的规则、设置威胁检测的阈值等。通过机器学习和行为分析技术，EDR 系统可以学习端点设备的正常行为模式，当发现设备行为偏离正常模式时，触发检测报警。例如，设置当某个端点设备在短时间内发起大量的网络连接请求时，视为异常行为并报警。
- **响应策略配置：**当 EDR 系统检测到安全威胁时，需要配置相应的响应策略。响应策略可以包括自动隔离受感染的端点设备、终止可疑进程、通知安全团队等。例如，一旦检测到某个端点设备感染了病毒，EDR 系统自动将该设备从网络中隔离，防止病毒传播，并立即向安全团队发送报警信息，安全团队可以进一步进行调查和处理。
3、存在的漏洞
- **误报和漏报：**与其他安全设备类似，EDR 系统也可能出现误报和漏报的情况。由于端点设备的行为复杂多样，不同用户和业务场景下的正常行为模式存在差异，EDR 系统可能会将一些正常的行为误判为异常行为，产生大量误报。同时，一些高级的恶意软件可能采用了隐蔽的攻击手段，难以被 EDR 系统检测到，从而导致漏报。
- **端点设备兼容性问题：**随着企业中端点设备的多样化，包括不同品牌、型号的 PC、服务器以及各种移动设备和物联网设备，EDR 系统可能会面临兼容性问题。某些端点设备可能由于硬件或软件的限制，无法正常安装或运行 EDR 客户端软件，或者在运行过程中出现稳定性问题，影响 EDR 系统的检测和响应效果。
- **数据安全风险：**EDR 系统需要收集和存储大量的端点设备行为数据，这些数据包含了企业的敏感信息和用户的隐私信息。如果 EDR 系统的安全防护措施不足，可能会导致数据泄露风险。例如，被黑客攻击获取数据，或者内部人员滥用权限访问和泄露数据。此外，数据的传输过程中也可能存在安全隐患，如果数据传输未进行加密，数据可能被窃取或篡改。
E N D