一、信息安全策略与风险管理
-
安全框架与合规性
-
掌握ISO 27001、NIST CSF等安全框架，制定数据分类、访问控制策略
-
熟悉《网络安全法》等法规对系统建设的影响（如数据本地化要求）1
-
实施安全审计流程，定期检查系统日志、注册表文件、配置文件1
-
-
风险管理与防御技术
-
威胁建模与风险评估方法（如DREAD、STRIDE）
-
部署防火墙、IDS/IPS、SIEM系统构建监测体系1 2
-
管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补2
-
-
加密与身份管理
-
应用加密算法（AES、RSA）保护传输/存储数据
-
实施多因素认证（MFA）和最小权限账户管理体系
-
NIST CSF 安全框架 + iso 27001（网络安全风险管理工具）
NIST CSF 包含三个主要部分：核心（Core） 、实施层级（Tiers）和配置文件（Profiles）。
核心（Core）
由五个功能组成，涵盖网络安全活动的生命周期：
- 识别（Identify）：理解和管理网络安全风险相关的系统、资产、数据和能力。
- 保护（Protect）：实施防护措施确保关键基础设施服务的交付。
- 检测（Detect）：开发并执行活动以识别网络安全事件的发生。
- 响应（Respond）：在检测到网络安全事件时采取行动。
- 恢复（Recover）：制定计划以恢复受网络安全事件影响的能力或服务
实施层级（Tiers）
描述组织对网络风险管理实践的成熟度，分为四个层级：
- 层级1（Partial）：网络安全实践是非正式的、临时的。
- 层级2（Risk-Informed）：组织意识到风险，但尚未全面实施标准化流程。
- 层级3（Repeatable）：组织已制定正式政策并定期更新安全措施。
- 层级4（Adaptive）：组织能够基于实时信息动态调整安全策略。
配置文件（Profiles）
帮助组织根据自身需求、风险容忍度和资源，从核心中选择适用的类别和子类别，形成定制化的网络安全策略。
ISO 27001框架概述
旨在帮助组织系统化地管理信息安全风险，确保数据机密性、完整性和可用性。
1. 信息安全管理体系（ISMS）
- 定义信息安全策略、目标和流程，形成持续改进的管理体系。
- 需高层管理参与，明确责任分配。
2. 风险管理和评估
- 识别信息资产、威胁及脆弱性，评估风险等级。
- 通过风险处置（如规避、转移、减轻或接受）降低影响。
3. 控制措施（Annex A）
ISO 27001附录A列出114项控制措施，分为14类：
- A.5 信息安全策略（如制定和维护安全政策）。
- A.6 组织安全（如角色分工、远程工作安全）。
- A.7 人力资源安全（聘用前审查、安全意识培训）。
- A.8 资产管理（信息分类、存储介质处理）。
- A.9 访问控制（用户权限管理、密码策略）。
- A.10 密码学（加密技术与密钥管理）。
- A.11 物理与环境安全（设备保护、访问限制）。
- A.12 操作安全（备份、漏洞管理、日志监控）。
- A.13 通信安全（网络隔离、数据传输保护）。
- A.14 系统获取与维护（安全开发生命周期）。
- A.15 供应商关系（第三方服务的安全要求）。
- A.16 事件管理（安全事件响应流程）。
- A.17 业务连续性（灾难恢复计划）。
- A.18 合规性（法律、法规及合同要求的遵从）。
实施步骤
1. 确定范围与目标
明确ISMS覆盖的业务范围（如部门、系统或地理位置），并与组织战略目标对齐。
2. 风险评估与处置
采用标准化方法（如ISO 27005）分析风险，制定处置计划并记录残余风险。
3. 建立控制措施
根据风险评估结果，从附录A中选择适用的控制措施，形成安全策略文档。
4. 执行与运行
部署技术工具（如防火墙、加密系统）、培训员工，并监控控制措施的有效性。
5. 内部审核与管理评审
定期检查ISMS是否符合ISO 27001要求，高层评审需确保体系持续适用。
6. 认证审核
由第三方机构进行两阶段审核：
- 阶段一：文件审查。
- 阶段二：现场实施验证。
7、持续改进（PDCA循环）
- Plan：制定ISMS政策和目标。
- Do：实施控制措施。
- Check：通过审计和监控评估效果。
- Act：纠正偏差并优化体系。
二、风险管理与防御技术
-
威胁建模与风险评估方法（如DREAD、STRIDE）
-
部署防火墙、IDS/IPS、SIEM系统构建监测体系1 2
-
管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补
威胁建模与风险评估方法
威胁建模与风险评估是信息安全领域的重要实践，用于识别、评估和缓解潜在威胁。以下是常用的方法：
DREAD模型
DREAD是一种风险评估模型，用于量化威胁的严重性。其名称由五个评估维度的首字母组成：
- Damage Potential（潜在损害）：威胁成功实施后可能造成的损害程度。
- Reproducibility（可复现性）：威胁是否容易被复现。
- Exploitability（可利用性）：攻击者利用漏洞的难易程度。
- Affected Users（受影响用户）：受威胁影响的用户数量或范围。
- Discoverability（可发现性）：漏洞是否容易被发现。
每个维度通常按1-10分评分，最终通过加权或简单平均计算总分，以评估威胁的优先级。
STRIDE模型
STRIDE是一种威胁建模框架，用于分类和识别系统中的潜在威胁。其名称代表六种威胁类型：
- Spoofing（假冒）：攻击者冒充合法用户或系统。
- Tampering（篡改）：未经授权修改数据或代码。
- Repudiation（抵赖）：用户否认执行过某项操作。
- Information Disclosure（信息泄露）：敏感信息被未授权访问。
- Denial of Service（拒绝服务）：系统资源被耗尽，导致正常服务中断。
- Elevation of Privilege（权限提升）：攻击者获取未授权的权限。
实施步骤
- 系统分解：绘制数据流图（DFD）或架构图，明确系统组件、边界和交互。
- 威胁识别：使用STRIDE对每个组件可能面临的威胁进行分类。
- 风险评估：通过DREAD或其他方法评估威胁的严重性和优先级。
- 缓解措施：针对高优先级威胁设计缓解方案，如加固认证、加密数据等。
- 验证与迭代：定期更新模型以反映系统变化和新威胁。
三 部署防火墙、IDS/IPS、SIEM系统构建监测体系
部署防火墙
选择下一代防火墙（NGFW）以支持应用层过滤、入侵防御和威胁情报集成。配置策略时遵循最小权限原则，仅开放必要端口和服务。定期更新规则库以应对新型攻击，如零日漏洞。
部署IDS/IPS
在网络边界和关键子网部署基于签名的IDS（如Snort）和基于行为的IPS（如Suricata）。对已知攻击模式启用实时阻断，对异常流量进行日志记录。每周更新威胁特征库，并定期调整误报率阈值。
部署SIEM系统
采用Splunk或IBM QRadar等平台聚合防火墙、IDS/IPS日志，关联分析安全事件。配置实时告警规则，如多次登录失败或数据外泄行为。通过机器学习模型识别高级持续性威胁（APT），生成每日安全报告。
构建监测流程
建立7×24小时安全运营中心（SOC），定义事件分级响应机制。对关键资产（如数据库、域控制器）实施增强监控。定期进行红蓝对抗演练，验证监测体系有效性。
持续优化
每月审查防火墙策略冗余，每季度评估IDS/IPS检测准确率。利用威胁情报平台（如MISP）更新SIEM规则。通过ATT&CK框架映射覆盖缺口，逐步提升检测覆盖率至95%以上。
管理漏洞生命周期：扫描（Nessus）、渗透测试（Metasploit）、修补
发现漏洞--渗透测试--漏洞修复
四 加密与身份管理
-
应用加密算法（AES、RSA）保护传输/存储数据
-
实施多因素认证（MFA）和最小权限账户管理体系
加密算法
AES是一种对称加密算法，加密和解密使用相同密钥。密钥长度可选128、192或256位，密钥越长安全性越高但性能开销越大。
RSA是非对称加密算法，使用公钥加密、私钥解密。通常用于加密AES密钥（密钥交换场景）。
混合使用：
实际系统中常采用混合加密方案：用RSA加密随机生成的AES密钥，再用AES加密实际数据。这种方案结合了RSA的安全密钥交换和AES的高效加密能力。
实施多因素认证（MFA）和最小权限账户管理体系
启用MFA的核心组件
选择支持MFA的服务或工具，例如Google Authenticator、Microsoft Authenticator或硬件令牌（如YubiKey）。确保所有关键系统（如VPN、云服务、管理员账户）强制启用MFA。
分层验证策略
对于高敏感操作（如财务交易、数据删除），要求额外的验证步骤（如生物识别或一次性密码）。普通用户登录可采用短信验证码或应用推送，但避免依赖单一短信验证（易受SIM交换攻击）。
用户教育与异常检测
定期培训用户识别钓鱼攻击，避免MFA令牌泄露。部署行为分析工具，检测异常登录（如异地登录尝试），并自动触发二次验证。
权限分类与角色定义
将账户权限分为角色（如管理员、普通用户、审计员），基于职责分配最小必要权限。使用RBAC（基于角色的访问控制）模型，避免直接赋予用户独立权限。
定期权限审查与自动化
通过自动化工具（如AWS IAM Analyzer或Azure AD Access Reviews）定期检查权限使用情况，回收闲置权限。实施临时权限提升机制，确保高权限操作有审批记录。
隔离特权账户
特权账户（如域管理员）仅用于特定任务，禁止日常使用。采用PAM（特权访问管理）工具集中管理，记录所有会话操作，并设置双人审批机制。
技术工具推荐
MFA工具
- Duo Security：支持多种验证方式，集成企业目录。
- Okta：提供自适应MFA，结合地理位置和设备指纹。
权限管理工具
- Microsoft Entra ID（原Azure AD）：支持动态组成员和条件访问策略。
- HashiCorp Vault：集中管理密钥与敏感数据访问权限。
审计与监控
- Splunk/Sentinel：实时分析权限变更和登录行为。
- BeyondTrust：监控特权会话并自动终止异常活动。
五 数据备份与灾难恢复
-
定期备份关键数据，确保在数据丢失或系统故障时能快速恢复。
-
制定并测试灾难恢复计划，确保在重大安全事件后业务能迅速恢复正常运作。
制定RTO/RPO指标，测试恢复流程
RTO 和 RPO 是灾难恢复计划（DRP）的基石，它们共同指导策略设计，确保业务连续性和数据完整性。
-
RTO 关注"恢复时间"（系统多久能重新上线）。
-
RPO 关注"数据丢失量"（最多丢多少数据）。核心业务，如金融rpo=0 ,即实时备份。
RPO优化技术：(同步贵，异步便宜，但rpo有丢失)
-
同步数据复制：
- 技术原理 ：实时将数据写入主备站点，确保故障时备站点数据零丢失。受网络延迟影响，适用于同城近距离。
-
日志实时传输
- 技术原理：异步传输事务日志（如WAL日志），缩小数据复制间隔。如：Kafka日志持久化。
-
CDP（持续数据保护）
- 技术原理：记录所有数据变更时间点，支持任意时间点恢复。
-
pod层面：数据持久卷
RTO优化技术：
-
故障自动切换（HA/FT）
-
技术方案 ：
-
数据库透明故障转移（TAF）：如Oracle RAC、TDSQL共享集群架构（RTO<30s）4
-
负载均衡器健康检查：F5、Nginx自动剔除故障节点
-
-
关键点：需预配置备用节点并保持会话状态同步。
-
-
备份恢复优化
-
加速方法：
-
增量备份：仅备份变化数据（如Veeam CBT技术）
-
热备系统：预启动的备用环境（如AWS Pilot Light架构）
-
并行恢复：分布式数据库分片恢复（如GoldenDB异地部署）
-
-
六 网络流量与端口管理
-
关闭不必要的高危端口（如22、3389、445等），减少攻击入口。
-
使用流量分析工具识别异常流量，防范DDoS攻击和数据泄露
七 采用"纵深防御"策略
结合网络层、主机层、应用层、数据层等多层级防护措施，避免单一防护手段失效导致整体安全崩溃。例如，防火墙、入侵检测、终端安全软件、数据加密等协同工作，构建全面的安全体系
八 常见Web安全漏洞防护
-
SQL注入：使用参数化查询和输入验证，防止恶意SQL代码注入。
-
XSS（跨站脚本攻击）：对用户输入进行转义处理，防止脚本注入。
-
CSRF（跨站请求伪造）：使用反CSRF令牌验证请求来源。
-
文件上传漏洞：限制上传文件类型，进行文件内容扫描。
-
SSRF（服务器端请求伪造）：限制服务器发起的外部请求，防止攻击者利用内部网络
更多参考：创作中心-CSDN
九 弱电系统规划与实施
-
基础设施安全
-
设计符合安全架构的网络拓扑（分层防御、协议选择）
-
实施物理安全：机房准入控制、线路屏蔽（防窃听）
-
弱电施工规范：综合布线、防雷接地、电磁防护
-
-
系统部署与加固
-
服务器安全配置：关闭高危端口、强化文件系统（NTFS/EXT权限）
-
补丁管理流程：自动化更新操作系统/应用漏洞
-
备份与灾难恢复：制定RTO/RPO指标，测试恢复流程
-