渗透、安服、监测等，面试关注点

2021 OWASP Top 10发布

转自：https://www.freebuf.com/news/288421.html 2021 OWASP Top 10发布——Broken Access Control 跃居榜首

OWASP Top 10 是面向开发人员和 Web 应用程序安全性的标准意识文档。它代表了对 Web 应用程序最关键的安全风险的广泛共识。

OWASP Top 10是每个Web应用程序的最低或基本安全测试要求。

OWASP Top 10于2003年首次推出，经过多次修订，当前提供的是2021年的报告草案。

OWASP表示， “OWASP Top 10 2021是一个良好的开端，可以用其作为检查缺陷漏洞等的基本标准，但仅靠这一项还不够”。

2021年前10名发生了什么变化

有三个新类别，四个类别的命名和范围发生了变化，并在 2021 年的前 10 名中进行了一些合并。

2021年OWASP前10名

A01:2021 – 损坏的访问控制

A01:2021-Broken Access Control从第五位上升,它也被称为授权，它定义了 Web 应用程序如何向某些用户而不是其他用户授予对内容和功能的访问权限。

94%的应用程序都经过了某种形式的破坏访问控制的测试。映射到Broken Access Control的34个CWE在应用程序中出现的次数比任何其他类别都多。

A02:2021 – 加密失败

A02:2021-Cryptographic Failures 上移一位至 #2，以前称为敏感数据暴露，缺乏加密通常会导致敏感数据暴露或系统受损。此处重新关注与密码学相关的故障，这些故障通常会导致敏感数据暴露或系统受损。

A03:2021-注入

A03:2021-Injection从第一名下降到第三名。94% 的应用程序都针对某种形式的注入进行了测试，映射到此类别的33个CWE在应用程序中出现次数第二多。跨站点脚本编写现在是此版本中此类别的一部分。它是一种攻击者利用未经验证的输入漏洞并通过在后端数据库中执行的 Web 应用程序注入SQL命令的技术。

A04:2021 – 不安全的设计

A04:2021-不安全设计是2021 年的一个新类别，重点关注与设计缺陷相关的风险。如果我们真的想“安全左移”，就需要更多地使用威胁建模、安全设计模式和原则以及参考架构。

A05:2021 – 安全配置错误

A05:2021-安全配置错误从上一版的第 6 位上升至第5;90% 的应用程序都经过了某种形式的错误配置测试。随着更多转向高度可配置的软件，看到这一类别上升也就不足为奇了。XML外部实体 (XXE) 的前一个类别现在属于此类别。它侧重于跨应用程序堆栈的安全加固或对云服务的权限配置不当。

A06:2021 – 易受攻击和过时的组件

A06:2021-Vulnerable and Outdated Components之前的标题是使用具有已知漏洞的组件，在行业调查中排名第二。该类别从2017年的第9位上升，是我们难以测试和评估风险的已知问题。它是唯一没有任何CVE映射到包含的CWE的类别，因此默认的利用和影响权重分数计5.0。因为没有足够的攻击数据可用，此类别重点关注客户端和服务器端使用的所有组件的易受攻击版本。

A07:2021 – 识别和认证失败

A07:2021-Identification and Authentication Failures以前是 Broken Authentication并且从第二位下滑，现在侧重于身份验证失败相关的CWE。它会导致自动攻击，例如攻击者使用用户名和密码列表的凭据填充。这个类别仍然是前10名的一个组成部分，但标准化框架的可用性增加似乎有所帮助。

A08:2021 – 软件和数据完整性故障

A08:2021-软件和数据完整性故障是 .2021 年的一个新类别，专注于在不验证完整性的情况下做出与软件更新、关键数据和 CI/CD 管道相关的假设。CVE/CVSS 数据的最高加权影响之一映射到此类别中的10个CWE。2017 年的不安全反序列化现在是这一更大类别的一部分。

A09:2021 – 安全日志记录和监控失败

A09:2021-安全日志记录和监控失败以前是日志记录和监控不足，是从行业调查 (#3) 中添加的，从之前的#10上升。此类别已扩展为包括更多类型的故障，如难以测试，并且在CVE/CVSS 数据中没有得到很好的体现。此类别有助于检测、升级和响应活动的违规行为。

A10:2021 – 服务器端请求伪造 (SSRF)

A10:2021-Server-Side Request Forgery是从行业调查 (#1) 中添加的。数据显示发生率相对较低，测试覆盖率高于平均水平，并且利用和影响潜力的评级高于平均水平。此类别侧重于保护 Web 应用程序在不验证用户提供的 URL 的情况下获取远程资源的连接。

可以发现，在OWASP Top 10中，一些安全漏洞是可以提前检测和发现的，这在一定程度上有助于提高软件安全性。如使用静态代码分析工具可以查找是否没有日志记录。

尤其随着对软件安全愈加重视开发团队逐渐“安全左移”，OWASP Top 10可以作为安全代码审查和编码标准的最低限度，以检测代码缺陷及问题，利于开发人员发现问题缺陷和安全漏洞，在软件开发期间及时修改缺陷，提高软件自身安全性，为网络安全防御做好重要补充工作。

参读链接：

https://www.woocoom.com/b021.html?id=9d21aa515aba4304932a1e0fa9ab8bf6

https://owasp.org/Top10/

https://gbhackers.com/owasp-top-10-2021

「网络安全常用术语解读」通用缺陷枚举CWE详解

转自：https://blog.csdn.net/u013129300/article/details/128487328 「网络安全常用术语解读」通用缺陷枚举CWE详解

3. CWE Top 25

CWE Top 25每年都会更新，以下是2022年CWE前25名中的缺陷列表，包括每个缺陷的总体得分。

序号	ID	名称	得分
1	CWE-787	越界写入	64.20
2	CWE-79	跨站脚本	45.97
3	CWE-89	SQL注入	22.11
4	CWE-20	输入校验不充分	20.63
5	CWE-125	越界读取	17.67
6	CWE-78	OS命令注入	17.53
7	CWE-416	释放后使用	15.50
8	CWE-22	路径遍历	14.08
9	CWE-352	跨站请求伪造	11.53
10	CWE-434	无限制上传危险类型文件	9.56
11	CWE-476	空指针引用	7.15
12	CWE-502	不可信数据的反序列化	6.68
13	CWE-190	整数溢出或回绕	6.53
14	CWE-287	不合适的认证	6.35
15	CWE-798	硬编码证书	5.66
16	CWE-862	授权机制缺失	5.53
17	CWE-77	命令注入	5.42
18	CWE-306	关键功能认证机制缺失	5.15
19	CWE-119	内存缓冲区边界内的操作限制不恰当	4.85
20	CWE-276	默认权限不正确	4.84
21	CWE-918	服务端请求伪造(SSRF)	4.27
22	CWE-362	使用共享资源并发执行，但同步不正确（“竞争条件”）	3.57
23	CWE-400	不受控制的资源消耗	3.56
24	CWE-611	XML外部实体引用的不当限制	3.38
25	CWE-94	代码注入	3.32

XEE漏洞学习(史上最详细包括Linux配置漏洞环境)

转自：https://blog.csdn.net/qq_34598847/article/details/133803306 XEE漏洞学习(史上最详细包括Linux配置漏洞环境)

XXE

基础概念

1、xml基础概念

XXE漏洞全称XML External Entity Injection 即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件和代码，造成任意文件读取、命令执行、内网端口扫描、攻击内网网站、发起Dos攻击等危害。

XXE漏洞触发的点往往是可以上传xml文件的位置，没有对上传的xml文件进行过滤，导致可上传恶意xml文件。

XML被设计为传输和存储数据，XML文档结构包括XML声明、DTD文档类型定义(可选)、文档元素，其焦点是数据的内容，其把数据从HTML分离，是独立于软件和硬件的信息传输工具。XXE漏洞全称XMLExternal Entity Injection，即xml外部实体注入漏洞，XXE漏洞发生在应用程序解析XML输入时，没有禁止外部实体的加载，导致可加载恶意外部文件，造成文件读取、命令执行、内网端口扫描、攻击内网网站等危害。

2、XML与HTML的主要差异

XML被设计为传输和存储数据，其焦点是数据的内容。

HTML被设计用来显示数据，其焦点是数据的外观。

HTML旨在显示信息，而XML旨在传输信息。

3、xml示例

<!--文档类型定义-->
<!DOCTYPE note [    <!--定义此文档时note类型的文档-->
<!ELEMENT note (to,from,heading,body)>    <!--定义note元素有四个元素-->
<!ELEMENT to (#PCDATA)>            <!--定义to元素为"#PCDATA"类型-->
<!ELEMENT from (#PCDATA)>        <!--定义from元素为"#PCDATA"类型-->
<!ELEMENT head (#PCDATA)>        <!--定义head元素为"#PCDATA"类型-->
<!ELEMENT body (#PCDATA)>        <!--定义body元素为"#PCDATA"类型-->
]]]>

<!--文档元素-->
<note>
    <to>Dave</to>
    <from>Tom</from>
    <head>Reminder</head>
    <body>You are a good man</body>
</note>

XML介绍

1. 文档声明

在编写XML文档时，需要先使用文档声明来声明XML文档。且必须出现在文档的第一行，写在整个xml文档的第一行第一列。

  <?xml version="1.0" encoding="GB2312”standalone="yes”?>

最基本的语法应包括版本的声明<?xml version="1.0"?>,其后的两个属性分别代表文档使用的字符编码，和文档是否依附于其他文档的存在。


2. 元素
XML元素指XML文件中出现的标签。一个标签分为起始和结束标签(不能省略)。一个标签有如下几种书写形式：
（1） 包含标签主体：<mytag>some content</mytag>
（2）不含标签主体：<mytag/>
（3）一个标签中可以嵌套若干子标签，但所有标签必须合理的嵌套，不允许有交叉嵌套。下面的写法是错误的。         <mytag1><mytag2></mytag1></mytag2>
（4）一个XML文档必须有且仅有一个根标签，其他标签都是这个根标签的子标签或孙标签。
（5）对于XML标签中出现的所有空格和换行，XML解析程序都会当作标签内容进行处理。例如：下面两段内容的意义是不一样的。
<网址>XML文档的基本结构</网址>
<网址> XML文档的基本结构 </网址>

（6）命名规范：
–区分大小写，例如，<P>和<p>是两个不同的标记。
–不能以数字开头。
–不能包含空格。
–名称中间不能包含冒号（:）。

3. 属性。
（1）一个元素可以有多个属性，每个属性都有它自己的名称和取值，
    例 如：<mytag name=“value” …/>
（2）属性值一定要用引号(单引号或双引号)引起来。
（3）属性名称的命名规范与元素的命名规范相同
（4）元素中的属性是不允许重复的
（5）在XML技术中，标签属性所代表的信息也可以被改成用子元素的形式来描述.

e.g.
<?xml version="1.0" encoding="UTF-8"?> <!--XML 声明-->
<girl age="18">　　<!--自定的根元素girl;age属性需要加引号-->
<id>35<id>
<hair>长头发</hair>　　<!--自定义的4个子元素，即girl对象的属性-->
<eye>大眼睛</eye>
<face>可爱的脸庞</face>
<summary>可爱美丽的女孩</summary>
</girl>　　<!--根元素的闭合-->

4. 注释
    XML中的注释语法为：<!--这是注释-->
    注意：XML声明之前不能有注释；注释不能嵌套。

5. CDATA区
CDATA是Character Data的缩写
作用：把标签当做普通文本内容，不用使用转义字符。
语法：<![CDATA[内容]]>
<![CDATA[
    <电子科技大学>修行小和尚</电子科技大学>
]]>
其中，<电子科技大学>修行小和尚</电子科技大学>会被当做文本，不是标签。

6.处理指令
处理指令，简称PI(Processing Instruction)。
作用：用来指挥软件如何解析XML文档。
语法：必须以“<?”作为开头，以“?>”作为结尾。
常用处理指令：
XML文件声明：<?xml version=“1.0” encoding=“GB2312”?>

上述XML代码基本分为三个部分：

    第一部分是XML的声明；

    第二部分是XML的DTD文档类型定义；

    第三部分是XML语句。

    而外部实体攻击主要利用DTD的外部实体来进行注入的。
    DTD有两种构建方式：内部DTD声明和外部DTD声明

WAF基本原理与部署方式

转自：https://blog.csdn.net/qq_38265137/article/details/106742893 WAF基本原理与部署方式

那么WAF能做什么？

WAF可以过滤HTTP/HTTPS协议流量，防护Web攻击。
WAF可以对Web应用进行安全审计
WAF可以防止CC攻击
应用交付

CC攻击：通过大量请求对应用程序资源消耗最大的应用，如WEB查询数据库应用，从而导致服务器拒绝服务，更详细CC攻击介绍：

https://www.cnblogs.com/wpjamer/p/9030259.html

应用交付：实际上就是指应用交付网络（Application Delivery Networking，简称ADN），它利用相应的网络优化/加速设备，确保用户的业务应用能够快速、安全、可靠地交付给内部员工和外部服务群。

从定义中可以看出应用交付的宗旨是保证企业关键业务的可靠性、可用性与安全性。应用交付应是多种技术的殊途同归，比如广域网加速、负载均衡、Web应用防火墙…针对不同的应用需求有不同的产品依托和侧重。

WAF不能做什么？

WAF不能过滤其他协议流量，如FTP、PoP3协议
WAF不能实现传统防护墙功能，如地址映射
WAF不能防止网络层的DDoS攻击
防病毒

WAF与传统安全设备的区别：

传统安全设备特点：

IPS：针对蠕虫、网络病毒、后门木马防护,不具备WEB应用层的安全防护能力
传统FW：作为内网与外网之间的一种访问控制设备，提供3-4层的安全防护能力,不具备WEB应用层的安全防护能力
UTM/NGFW:优势，UTM或者NGFW把多种安全能力融合为一体（上网行为管理、IPS、防病毒、WEB安全防护）

劣势：各安全引擎模式开启之后设备综合性能势必降低！

n多核架构/MIPS架构无法实现对HTTP/HTTPS数据包的深度检测（包括转换编码、拼接攻击语句、大小写变换、超大报文等），WEB应用攻击的检出率低、漏报率高！

WAF特点：

WAF是专业的应用层安全防护产品。

具备威胁感知能力
具备HTTP/HTTPS深度检测能力. 检出率高，误报率低/漏报率低
高性能
复杂环境下高稳定性

WAF的主要功能：

WAF主要是通过内置的很多安全规则 来进行防御。

可防护常见的SQL注入、XSS、网页篡改、中间件漏洞等OWASP TOP10攻击行。

当发现攻击后，可将IP进行锁定，IP锁定之后将无法访问网站业务。

也支持防止CC攻击，采用集中度和速率双重检测算法。

安全防御知识总结（IDS,APT,恶意软件，反病毒网关，对称-不对称加密）

转自：https://blog.csdn.net/xnxqwzy/article/details/136392045 安全防御知识总结（IDS,APT,恶意软件，反病毒网关，对称-不对称加密）

1. 什么是IDS？

IDS即入侵检测系统（Intrusion Detection
System），是一种安全检测系统，通过监控网络流量、系统日志等信息，来检测系统中的安全漏洞、异常行为和入侵行为。

IDS基本上分为两种类型：网络IDS和主机IDS。网络IDS通常位于网络边缘，通过监听网络流量来发现可能的攻击行为；而主机IDS则通过监控主机系统的日志、进程和文件等来发现主机上的异常行为。

2. IDS和防火墙有什么不同？

IDS（入侵检测系统）和防火墙虽然都是网络安全中使用的重要工具，但是它们的功能和作用是不同的。

首先，防火墙是一种网络安全设备，主要目的是控制网络通信，过滤不安全的流量，防止网络威胁进入受保护的网络。因此，防火墙通常被视为第一道防御线，能够保护企业的网络免受外部攻击。它可以限制入站和出站流量，限制外部用户访问内部网络，并允许管理员控制哪些服务可以被访问。

其次，IDS是一种网络安全工具，能够检测和警报针对计算机系统或网络的攻击。IDS不会对流量进行阻止或限制，而是监控网络中的数据流量并识别可疑的活动或事件，包括未经授权的访问尝试、Dos攻击、横向移动等，并提供警报通知，以便安全管理员采取相应的应对措施。

总之，防火墙和IDS都是网络安全中重要的设备，防火墙主要是用于防御网络安全威胁，而IDS则是通过识别已经发生的攻击行为，提高安全管理员的响应能力。综合使用这两个设备可以增强企业网络的安全性和可靠性。

3. IDS工作原理？

IDS（入侵检测系统）的工作原理主要分为两种类型：基于特征的IDS和基于行为的IDS。

基于特征的IDS首先需要生成“特征”，这些特征可以是某些威胁的特有行为，也可以是已知攻击的特征。当生成了这些特征之后，IDS会在流量中进行匹配，一旦匹配上了特征，IDS就会认为这是一个威胁，然后触发告警。这种方法主要的优点是准确性高，但是很容易受到已知威胁和特征的限制。

基于行为的IDS则对计算机系统和网络设备的行为进行监控，如果发现某些行为不符合正常的模式就会认为是威胁，并进行告警。这种方法主要的优点是可以检测出新型威胁，缺点是准确性没有基于特征的IDS高。

除了以上两种方法，IDS还可以根据监控的位置进一步划分为主机IDS和网络IDS两种类型。主机IDS在单一主机上运行，可以检测针对该主机的攻击；而网络IDS则放置在网络流量的监控点上，检测从网络中传输的数据流量，可以检测网络层和应用层的攻击。

总之，IDS通过不断分析、监测系统和网络行为，在发现不符合规范或可疑的异常行为时进行告警，并提供实时告知和警报。IDS能够帮助企业及时发现网络安全威胁，减少安全漏洞，提高网络安全性和可靠性。

4. IDS的主要检测方法有哪些详细说明？

IDS（入侵检测系统）的主要检测方法包括以下四种：

1.签名检测

签名检测是IDS中最常用的检测方法之一，可以通过比对特定威胁的特定指标来检测所监控的网络流量或系统进程中是否出现了与该指标相匹配的情况。这种特定指标一般是通过实验和样本库得出的，因此签名检测主要用来发现已知的威胁，对于未知的、新型的威胁就有局限性。2.异常检测

2.异常检测是一种建立正常数据模型，通过检测数据流量或系统进程的偏离正常模型的行为方式来识别威胁的方法。异常检测需要对先前数据进行大量的分析和学习，并根据这些数据建立正常的操作模型，来识别非正常的或异常操作。由于它不同于签名检测需要提前知道威胁类型，所以它能够检测尚未经过试验、未知的新型威胁。

3.规则检测

规则检测是根据一个定义好的规则列表（如特定协议中的信息、端口使用和通信流量等方面的规则）来检测网络流量或系统进程中异常行为的一种方法。规则检测与签名检测类似，但比它更灵活，它能够在具有某些规则的流量中进行检测，而不仅仅是单个的签名检测本身。

4.统计分析

统计分析是对网络流量或系统进程进行数据分析，从数据中寻找模式或趋势的方法。这种方法常常被用于发现可疑的流量或行为，如大量异常数据包的涌入、服务器大量的连接失败等。

以上四种方法可以被单独使用或结合在一起，在 IDS 的实现中还可以根据企业的需求和网络环境来选择不同的检测方法和算法，从而更好地保护网络安全。

5. IDS的部署方式有哪些？

IDS（入侵检测系统）的部署方式有以下几种：

网络边界部署：将IDS放置在主要网络边界，例如防火墙之后，用于监视来自外部网络的流量。
网络内部部署：将IDS放置在内部网络中，以便监视与安全相关的活动，如内部用户的行为或受保护资源的使用情况。
分布式部署：将IDS分散放置在不同的位置，包括不同的地理位置，以便减少单点故障和增强攻击检测能力。
虚拟部署：将IDS作为虚拟机部署到云环境或数据中心中，利用虚拟化技术实现可扩展性和灾备性。
混合部署：结合上述不同的部署方式进行组合，以获得更全面的安全覆盖范围。

6. IDS的签名是什么意思？签名过滤器有什么作用？例外签名配置作用是什么？

1.IDS的签名是指可以用于检测特定攻击或威胁的模式或规则。这些模式或规则由安全专家或厂商创建，并作为IDS规则库中的一部分使用。

签名过滤器是IDS使用的基本技术之一，通常用于检测已知攻击。它根据网络流量中出现的预定义模式（也称为“签名”）来匹配攻击，并触发警报或采取其他响应措施，例如封锁来自攻击IP地址的流量。

例外签名配置的作用是在某些情况下取消或修改规则，以允许特定类型的流量通过，以确保业务流程的顺畅运行。例如，在一个特定的网络环境中，某个合法服务的数据流可能会被误认为是恶意流量，因此需要将其添加到例外签名中进行排除，避免误报误判。

1. 什么是恶意软件？

恶意软件（Malware）指的是一种被设计来渗透、破坏或控制受感染计算机的软件。恶意软件有不同的类型，包括：

病毒（Virus）：它可以通过复制自身到其他文件或程序来传播，并且可能会在特定条件下自动激活。
蠕虫（Worm）：与病毒类似，但蠕虫可以在网络上迅速自我复制和传播。
木马（Trojan）：这是一种“假装”有用的程序，实际上在后台执行恶意操作，例如窃取敏感信息或创建网络后门。
间谍软件（Spyware）：这种软件通常以隐秘的方式安装在用户计算机中，并在后台监视用户的操作并收集敏感信息。
广告软件（Adware）：它通常会向用户显示大量广告，而开发者通过广告收入盈利，但有些广告软件可能会导致系统不稳定或带来威胁。

恶意软件往往会对用户计算机和数据造成损害或风险，因此需要采取安全措施来防止感染和传播。

2. 恶意软件有哪些特征？

恶意软件有一些常见的特征，包括：

自我复制：恶意软件会尝试将自己拷贝到其他文件、程序或系统上，以便进行传播和感染。
隐藏性：恶意软件可能会采用隐蔽的方式在计算机中隐藏自己，例如借助于根工具包来避免检测。
对系统资源的占用：恶意软件通常会利用可疑的进程和线程来消耗系统资源（如CPU、内存、网络带宽等）。
窃取敏感信息：某些类型的恶意软件可以记录键盘输入、截屏、录音或窃取用户凭据等敏感信息，并将其发送到远程服务器。
含有后门：某些恶意软件可能会打开后门并滥用受感染计算机的权限，使得攻击者能够远程控制计算机并进行不当操作。
修改系统设置：恶意软件可能会修改用户的系统设置，从而给后续攻击创造条件。
引发异常：恶意软件可能会在系统中创建异常现象，例如弹出窗口、警报声或非正常操作。

综合上述特征，注意相关安全风险并采取预防措施，有助于防止感染和降低恶意软件对计算机系统的影响。

3. 恶意软件的可分为那几类？

恶意软件可以分为以下几类：

病毒（Virus）：一种自我复制的恶意代码，常常通过在感染计算机上创建自身的副本来传播。
蠕虫（Worm）：与病毒类似，但蠕虫可以通过网络广泛传播，而不需要借助其他程序或文件。
木马（Trojan）：最常见的恶意软件类型之一，通常是通过欺骗用户下载一个看似有用的程序而安装到系统中。它们通常用于给攻击者远程控制计算机、窃取个人信息或提供对访问受害者系统的权限。
间谍软件（Spyware）：一种特殊类型的恶意软件，旨在通过在用户计算机上安装隐藏监视和/或记录软件和程序来密切地关注被感染计算机的活动和数据。
广告软件（Adware）：一种用于进行广告推销和强迫性点击行为的恶意软件。
Rootkit：一种用于隐藏黑客活动甚至释放后门等软件过程的恶意软件代码。
恶意浏览器扩展：一种会在浏览器中安装带有漏洞或具有恶意功能的软件扩展的恶意软件。
加密软件（Ransomware）：一种用于加密计算机上的文件，以便让攻击者勒索赎金的恶意软件。

理解各种不同类型的恶意软件可以帮助我们更好地保护自己不受感染，并且鉴定和清除已感染设备中的恶意代码。

4. 恶意软件的免杀技术有哪些？

恶意软件的免杀技术是指为了防止被反病毒软件发现和清除而采用的一系列方法。以下是一些常见的恶意软件免杀技术：

加壳（Packing）：将恶意文件加密，以此来破坏反病毒软件的识别能力。
混淆（Obfuscation）：对代码进行混淆或加密，以此来使反病毒软件无法理解或分析代码。
多重加密（Multiple Encryption）：使用多个层次的加密方式让反病毒软件更难以解码。
增量式更新（In-memory Patching）：通过内存补丁技术替换恶意软件运行时期间的资源调用路径，从而防止基于磁盘状态的控制。
命名混淆（Naming Obfuscation）：更改文件、注册键名字、进程名等名称，以便使反病毒软件无法识别其真实性质。
反动态分析（Anti-Analysis）：创建具有复杂逻辑和流程控制的代码，以此来阻止反病毒工具的虚拟机环境中执行。
网络通信隐蔽性（Network Communication Concealment）：逃避网络通信层面的监测和干扰。

这些免杀技术可以让恶意软件更难以被反病毒工具检测出来。对于反病毒工具厂商而言，需要定期更新病毒库识别方式、强化静态与动态分析策略、或通过人工智能等机器学习方法加强病毒捕捉率，并持续升级抵御技能。

5. 反病毒技术有哪些？

反病毒技术是指用来发现、分析和清除计算机中已感染的恶意软件的过程和方法。以下是一些常见的反病毒技术：

病毒库（Virus Definition）：基于特定恶意软件的签名库，通过比对计算机中的文件，识别并删除匹配的恶意软件。
行为监测（Behavioral Monitoring）：基于对恶意软件行为模式的分析，依据特定触发器事件定义方式，自动警告或抑制其存在潜在威胁的处理行为和资源调用。
后门检测（Backdoor Detection）：采取全面扫描计算机内存、系统设置、网络连接点等策略、以解析隐藏后门窃取通道。
堆栈保护（Stack Protection）：使用堆栈缓冲区的溢出保护技术，检测和阻止攻击端口的入侵行为。
Heuristics分析（Heuristics Analysis）：使用人工智能/机器学习算法来检测潜在的恶意代码，此方法可以做到相当高的准确性并有效应对未知类型的恶意软件。
虚拟化（Virtualization）：通过将可疑的程序置于虚拟化环境中处理，以隔离感染和降低风险。
云安全计算（Cloud-based security）：基于线上海量硬件资源结构体系、通过大数据分析威胁信息包流量，实现全局式协作，通过云端的安全服务、针对性进行防止分发执行过程。

反病毒技术的发展历程不断创新也需要不断提高效率，并与不断进化的恶意软件攻击手段抗衡，可以加强计算机系统安全性并保护您的数据隐私。

6. 反病毒网关的工作原理是什么？

反病毒网关是一种位于计算机网络边缘的设备，用于阻止网络中的恶意软件和恶意流量。它可以检测和拦截应用层协议（如HTTP、SMTP、FTP等）中的恶意软件和攻击，从而保护企业内部网络的安全。其工作原理如下：

实时分析：反病毒网关会实时分析通过其过境的网络流量，识别潜在的恶意软件和攻击行为。
特征匹配：反病毒网关使用基于签名或启发式算法的特征匹配技术，找出与已知病毒或攻击模式匹配的流量数据包，并加以拦截或隔离处理。
行为分析：反病毒网关使用基于行为分析技术，比如机器学习算法、威胁情报数据库信息等，来分析网络流量中的异常行为，例如代码注入、远程控制等，进行初步筛查与控制。
隔离与清除：反病毒网关会将被识别为恶意软件或攻击行为的流量数据包隔离在一个安全环境中，经过深度次叠加封装的处理再进行数据包反馈提醒，并将托管数据送向治理目录，随时准备安全紧急处理。

反病毒网关通常与其他安全设备，如防火墙、入侵检测系统(IDS)和入侵防御系统(IPS)等联动使用，协同工作，以构建多层次安全防线，保护整个企业网络不受攻击。

7. 反病毒网关的工作过程是什么？

反病毒网关是一种位于计算机网络边缘的设备，用于阻止网络中的恶意软件和恶意流量。其工作过程可以简单描述如下：

流量监测：反病毒网关实时监测企业内外网传输的应用层协议（如HTTP、SMTP、FTP等）数据流，包括协议特定请求、响应消息等。
流量筛查：当数据流经过反病毒网关时，会进行匹配筛查，检测是否存在已知的恶意软件、病毒或攻击行为，如果发现异常，就会启动告警处理及可疑流量隔离秒杀管理。
恶意软件扫描：若拦截到任何影响后续网友使用的文件，则进行更加深入的场次分析；然后，会对此类文件进行完整性检查并将其与反病毒软件数据库进行比对，从而识别出潜在的恶意软件和病毒。
可信源访问：如果为我方认证授权的域名信息，该数据流则被认为是安全的，允许其流向内网。
异常流量处理：对于不被识别为恶意的但又感觉有可疑特征的流量，反病毒网关会将其隔离或清除，以避免对企业内部网络造成损失或危害。
威胁情报整合：通过反病毒网关可以整合各种威胁机制，比如黑名单、攻击签名、域名恶意信息库等，从而保护自身安全和稳定运行对外服务。

总之，反病毒网关是企业网络安全防范中的重要组成部分，其快速检测和拦截恶意流量的能力有助于精准地防范多样化网络攻击，并优化企业网络的业务务流程。

8. 反病毒网关的配置流程是什么？

反病毒网关的配置流程可以概括为以下几个步骤：

确定需求：在开始反病毒网关的部署前，需要先明确企业或组织的安全需求，并制定相应的反病毒策略和方案。
选择硬件和软件：根据企业或组织特定需求，选择适合的反病毒网关硬件和软件产品。需要考虑的因素包括防护范围、性能和功能等方面。
部署反病毒网关：安装和配置反病毒网关，将其部署在企业内部网络边缘位置上，如防火墙之后，以起到保障企业业务的安全。
设置规则：定义适当的监测规则和事件响应方式。监测规则可依据黑名单、白名单、证书管理模式、SSL/TLS解密等控制方法进行设置；同时，设定良好的告警机制，使得平日花费理念充分检查识别到的威胁高效地提示到现实处理场景。
执行测试：在反病毒网关生产环境中执行适当的测试和演示，以确保它能够正常运行，并符合组织的安全需求和标准。
更新和维护：定期进行反病毒网关软件、硬件更新和数据升级，并执行相应的故障排除处理。若出现未知情况威胁，需要采取及时修复措施。同时对整体防护模式的评估跟追踪，使得网络安全保持内部尽量有效的防范与治理。

反病毒网关的配置需根据组织具体的信息技术架构做个性化方案选择设备产品，实际操作步骤也有所差异。总之，反病毒网关部署后便可以不间断地检测和阻拦网路流量中的恶意软件和攻击行为，提高企业网络安全防御力，在应对各种网络安全威胁方面具有重要作用。

1. 什么是APT？

APT（Advanced Persistent
Threat，高级持续性威胁）是指由使用先进工具和技术、长期隐藏在受害者网络内部，以渐进式攻击手法入侵目标系统并窃取敏感数据或制造破坏的一类高级网络攻击。APT
攻击通常会采用高度个性化的方式进行渗透，其目的是长期保持对目标网络的控制，从而达到间谍活动、安全漏洞利用、知识产权盗窃等非法目的。

APT攻击一般由多个阶段组成：首先，利用社交工程、钓鱼邮件等手段实现执迷于耐心等待的恶意软件传播到目标网络中；其次，采用键盘记录器、渗透式攻击等手段偷取登录凭证，升级权限，并深入到相应目标环境内部，默默地收集目标机密信息；最后，潜藏时间越久，势力范围往往越大，APT攻击者甚至还能在日常运维管制检查时也不发觉地继续掌握对敌方基础设施的控制。

由于APT攻击利用的是高度精细和复杂的技术和策略，因此很难被传统的安全防御措施及不完善的网络安全技术所发现与阻止。企业应该采用综合的APT防御解决方案，包括建立安全意识、采用有效的入侵检测系统、加强访问权限管理等举措，同时也需要加强内部培训与管理手段，在支撑越来越复杂的企业环境下形成有力的保护体系。

2. APT 的攻击过程？

APT攻击一般分为以下几个阶段：

侦察与研究：APT攻击者首先对目标进行大规模信息收集和分析，掌握目标信息后，开始策划和部署攻击计划。
入侵：通过利用漏洞、社交工程等方式，将恶意软件或病毒植入目标网络中。
渗透：APT攻击者开始深入进入目标系统，并逐步提升权限以获得更多的机密信息。在此过程中，攻击者通常会使用各种渗透技术、包括端口扫描、键盘记录器、加密的数据传输等，以保护其不被发现。
植入后门：当APT攻击者顺利地在网络上建立了永久性访问权限并保持深度藏匿时，会将自己在系统内的存在进行“本底化”处理，并植入后门，从而可以随时在外部对攻击目标进行远程操纵操作。
窃取数据：APT攻击者通过数据扫描、窃取认证信息或其他手段继续尝试获取更多敏感数据信息。这些数据可能包括财务报告、文档资料、电子邮件和所有网络传输等重要信息。
涂改数据：APT攻击者如果期望伪造目标数据，就会使用同样复杂的技术手段突破业务系统的防护机制，从而将自己继续上升至高位并掌握相关管理权限。
操作控制：APT攻击者在完成潜入、渗透和数据窃取后，进行长期的控制和操作。

APT攻击是一种漫长而持久的过程，攻击者可以在静默的时间里反复调整策略和技术，并且监视被攻击目标的响应行动，以避免其被发现。因此，在系统保护方面，企业需要提高网络安全意识，并实施有效的监测和预警策略，最大限度地减小受到APT攻击的风险。

3. 详细说明APT的防御技术？

APT攻击通常采用先进工具和技术，利用漏洞加密传输等手段很难被常规安全机制发现和防范。为了应对这种高级持续性威胁，企业需要建立起从标准化预测型集中监管到多层次联动的安全保护体系，并结合以下APT的防御技术：

安全宣传教育：对员工、特权用户进行网络安全意识教育，强化对信息安全的重视，降低社交工程类APT攻击概率。
流量分析与入侵检测系统（IDS/IPS）防御：开展内网流量监测，完善双向IDS/IPS系统的防护规则设置及监控机制，快速定位异常行为并进行处置，有效防御网络攻击。
最小权限原则策略：使用最小操作原则、减少操作系统、数据库和应用程序中的功能模块和服务，限制员工输入输出数据和工具访问数据库的权限，最大限度地减少赞助商的潜在攻击面。
漏洞扫描和管理：通过漏洞扫描和修复管理工具对潜在安全漏洞进行识别和修复，加固系统架构的安全性防护措施，减少恶意软件的入侵机会。
行为分析和威胁情报服务（TI）：监视网络中不同状态下的数据传输行为，建立完整的事件响应体系并及时发布更新补丁升级，以提高实施防范攻击的能力和法定权益。
加密传输与访问控制：采用基于SSL VPN的虚拟专网加密通信技术，授权访问的用户和数据，在外部到内部的通信中得到更好保护。同时强化访问符合多因素认证、自动锁住、密码组合等安全措施，最大限度减小重要目标的概率。
响应与处置机制：充分利用APT威胁情报及配套安全管理平台配置全面检测与响应系统，通过网络流量信息日志、防病毒、网关等安全产品，全方位地监测网络环境，追踪威胁感染源及其变化，并调整以上各个层次相互间的有机联动治理力度。

综上所述，APT的防御工作需要从教育宣传、边界防御、威胁情报获取和安全检测几个方面进行。。企业需要制定符合自身特点的公司级信息安全手册，并根据不同部门、岗位的安全要求和工作特点进行差别化的网络防御策略，落实各类防御技术，形成综合的APT防护体系，最大程度地保障企业信息安全。

4. 什么是对称加密？

对称加密是一种加密方式，指使用相同的密钥进行加密和解密数据的过程。该过程中，加密和解密密钥相同，并且使用相同的算法。

在对称加密算法中，使用密钥将要传输或存储的信息转换为无法读取的形式。只有持有相同的密钥才能还原该信息。这样可以确保信息在传输和存储过程中不被窃取或者篡改。

常见的对称加密算法包括DES（Data Encryption Standard，数据加密标准）、3DES、AES（Advanced Encryption
Standard，高级加密标准），它们都支持加密和解密操作。其中，DES是最早的对称加密算法之一，但目前已不建议使用，而AES则是目前最常用的对称加密算法之一。

尽管对称加密算法具有优异的性能表现，在通信过程中加密效率高、安全性高、延迟低等诸多优点，但由于密钥需共享给加密或解密方，因此需要考虑如何安全地管理密钥以确保信息安全。

5. 什么是非对称加密？

非对称加密（Asymmetric key
cryptography），也称公钥加密，是一种使用一对不同但有特定关联的密钥进行加密和解密的方法。其中一个密钥被称为"公钥"，另一个被称为"私钥"。

在非对称加密中，使用公钥加密数据，只有持有相应的私钥才能解密该信息。与之相反，使用私钥进行加密时，只有持有相应的公钥才能解密该信息。因此，在非对称加密中，公钥通常被用于加密通信中传输的数据，而私钥则仅被所有者保管并用于解密这些数据。

非对称加密的最大好处在于，公钥可以向任何人公开，而私钥仅由密钥所有者拥有。通过公开公钥实现加密通信，从而避免了在对称加密中密钥需要事先共享的风险，同时也能够实现数字签名、数字证书等功能，对网络安全应用具有广泛的应用价值。

常见的非对称加密算法包括RSA、DSA等，它们都是基于数学问题的难解性来实现加解密的。相比于对称加密算法，非对称加密算法的计算复杂度较高，处理速度较慢，因此在实际应用中一般使用对称加密与非对称加密相结合的混合加密方式，以兼顾安全性和效率。

6. 私密性的密码学应用？

私密性是密码学应用的一个重要方面，保护着个人、组织和国家的机密信息不被未经授权的访问和泄漏。以下是一些与私密性相关的密码学应用示例：

对称加密算法：对称加密算法是一种使用相同密钥进行加密和解密的加密模式，常见的对称加密算法包括AES、DES和3DES等，它们广泛应用于保护网络通信和存储数据。
非对称加密算法：与对称加密算法不同，非对称加密算法使用一对密钥（公钥和私钥）进行加密和解密，其中公钥可以公开，而私钥仅由密钥持有者掌握。非对称加密算法广泛应用于数字签名、数字证书、密钥交换协议等领域。
散列函数：散列函数也称哈希函数，是一种将任意长的消息或数据块压缩为固定长度输出的函数。散列函数在密码学中广泛应用于消息认证和完整性验证等领域，常见的散列函数包括MD5、SHA-1和SHA-256等。
数字签名：数字签名是通过采用非对称加密算法实现的一种身份验证和防止篡改的技术。数字签名可以验证文件是否来自特定个人或组织，并确保文件内容没有被篡改。
VPN 和 SSL/TLS：虚拟私人网络（VPN）和SSL/TLS（安全套接字层/传输层安全）是一些用于保护网络通信的协议，它们通过加密通信过程中的数据包来保护信息的机密性。在这种方式下，数据得以加密并且只有合法的收件方可以获得明文。

7. 非对称加密如何解决身份认证问题？

非对称加密通过使用一对密钥（公钥和私钥）来实现身份认证。具体地说，该方法的原理是：由认证机构颁发数字证书，数字证书含有证书中心签名、证书持有人公钥以及一些其他信息，通过这种方式来验证证书持有者的身份。

当某个用户需要在网络环境中进行身份认证时，其首先必须向认证机构申请数字证书，该证书会包含其身份信息以及公钥等资料，并经过证书中心的签名确认。然后该用户就可以通过将信息使用自己的私钥加密，并发送给另一方（如服务器），从而在数据传输中起到身份认证的目的。

接收方在收到加密的信息后使用申请者在证书中携带的公钥进行解密，如果解密成功，那么就可以确定申请者是具有该私钥、私钥和申请者身份相关的真正拥有者，信息才能可靠。

总的来说，非对称加密在身份认证问题上的应用操作相比于使用密码或者普通的数字证书等方式更加安全可靠，避免了破解密钥等安全威胁的风险，同时也为保护计算机系统提供了有效手段。

8. 如何解决公钥身份认证问题？

公钥身份认证是一种基于公钥加密的身份验证方法，其中每个用户均用自己的私钥加密信息，然后将其与公钥一起发布。由此其他用户可以使用该公钥来验证发送方身份和确保消息未被篡改。

为了解决公钥身份认证问题，通常采用以下方法：

数字证书：数字证书是一个包含公钥和其他相关信息的文件，由可信的数字证书机构颁发。证书机构用自己的私钥对公钥和其他相关信息进行签名，其他人可以使用证书中的公钥来验证发送方身份和数据完整性，并确认签名是否来自于可信机构。数字证书在许多安全协议中都有广泛应用，例如SSL/TLS、IPSec等。
公钥基础设施（PKI）：公钥基础设施是一种管理和分发证书及其他相关信息的标准化系统。通常包括证书颁发机构（CA）、注册机构（RA）、证书撤销列表（CRL）以及其他相关服务。PKI 系统提供了确定和遵守证书信任关系所需的标准流程和规范。
Web of Trust(Mesh PKI)：Web of Trust是另一种公钥身份认证方式，其中用户通过建立关系网来建立对其他人的信任。Web of Trust不依赖于颁发机构，而是让用户建立经过验证的信任关系。这种方法是由Phil Zimmermann 发明并在PGP软件中使用的。

总之，公钥身份认证问题是通过使用证书、PKI系统和信任网等模型以及其他相关协议和技术来解决的，这些都是现代安全通信系统必须处理的重要问题。

9. 简述SSL工作过程

SSL（Secure Sockets Layer）是一种安全通信协议，用于在互联网上保护数据传输的安全性。SSL工作过程主要包括以下步骤：

SSL握手阶段：客户端向服务器发送连接请求，并提出与服务器建立SSL加密连接的要求。此时客户端会选择一个随机数R1，并向服务器发送一个ClientHello消息，该消息包含SSL版本号、加密算法等信息。
服务器回应客户端：服务器接收到客户端的ClientHello后，向客户端发回一个ServerHello消息，该消息包含SSL版本号、加密算法以及另一个随机数R2。服务器还会向客户端发送数字证书，确认其身份。
客户端证书验证：客户端会对服务器的数字证书进行认证，包括检查证书是否过期、证书颁发机构是否可信等内容。如果认证成功，则可以继续连接。
对称加密密钥生成：客户端使用服务器的公钥加密一个新的随机密钥，并将其发送给服务器。这个随机密钥将用于对称加密数据。
数据传输：通过对称加密方法对数据进行加密和解密，并通过SSL连接实现安全传输。

总体来说，SSL工作过程中主要依赖于握手阶段中的数字证书和随机数等措施来确保通信安全。它能够防止攻击者窃听、篡改通信数据等威胁，从而保护敏感信息的隐私和完整性。SSL也是目前广泛使用的网络安全协议之一。

posted on 2024-04-07 10:53 叶子在行动阅读(26) 评论(0) 编辑收藏举报

刷新页面返回顶部