云计算#xff1a;是指通过网络提供计算资源#xff08;如服务器、存储、数据库、软件开发…名词解释

大数据指的是所涉及的资料量规模巨大到无法透过主流软件工具在合理时间内达到撷取、管理、处理、并整理成为帮助企业经营决策更积极目的的资讯。

云计算是指通过网络提供计算资源如服务器、存储、数据库、软件开发平台等和服务的一种模式用户无需直接管理和控制这些资源而是按需获取和使用这些资源。

这种服务方式可以发发提高计算机资源的灵活性和可扩展性降低用户的IT成本和维护难度

云服务器是提供云计算服务的虚拟化服务器通过互联网提供计算、存储、网络等资源用户可按需使用

人工智能是研究、开发用于模拟、延伸和扩展人的智能的理论、方法、技术及应用系统的一门新的技术科学

信息安全防止任何对数据进行未授权访问的措施或者防止造成信息有意无意泄漏、破坏、丢失等问题的发生让数据处于远离危险、免于威胁的状态或特性。

攻击企图破坏、泄露、篡改、损伤、窃取、未授权访问或未授权使用资产的行为

入侵对网络或联网系统的未授权访问即对信息系统进行有意或无意的未授权访问包括针对信息系统的恶意活动或对信息系统内资源的未授权使用。

0day漏洞零日漏洞通常是指还没有补丁的漏洞。

也就是说官方还没有发现或者是还没有开发出安全补丁的漏洞

WEBSHELL以asp、php、jsp或者cgi等网页文件形式存在的一种命令执行环境也可以将其称为一种网页后门

社会工程学通过对受害者心理弱点、本能反应、好奇心、信任、贪婪等心理陷阱进入注入欺骗、受伤等危害手段取得自身利益的手法

exploit简称exp漏洞利用

APT攻击高级持续威胁。

利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式

缺乏数据源验证机制

指攻击者直接破坏网络的各种物理设施比如服务器设施或者网络的传输通信设施等

物理设备窃听

交换机中存在着一张记录着MAC地址的表为了完成数据的快速转发该表具有自动学习机制

泛洪攻击即是攻击者利用这种学习机制不断发送不同的MAC地址给交换机填满整个MAC表此时交换机只能进行数据广播攻击者凭此获得信息。

交换机的工作原理交换机收到数据后会先记录数据帧中的源MAC地址和交换机端口的映射并保存到MAC地址表中。

然后将目标MAC地址同MAC地址表中的记录对比以决定由哪个端口转发如果不在表中则泛洪flood

MAC洪泛攻击原理攻击者通过发送大量虚假MAC地址来占满交换机中的MAC地址表因此其他主机发送数据帧时会被交换机洪泛处理所以攻击者就可以就接收到其他主机的数据帧。

特点由于攻击者需要发送大量的虚假MAC地址和交换机洪泛大量的数据帧会导致大量占用自己的带宽和交换机的带宽伤人也伤已。

2.2

Reply给A此时A会以为接收到的MAC地址是B的但是实际上是Hacker的

ARP协议通过广播请求来获取目标设备的MAC地址。

当一个设备需要发送数据到另一个设备时它会发送一个ARP请求询问局域网内的所有设备是否由指定IP地址对应的MAC地址目标设备收到该请求后会回复一个ARP应答告诉请求者它的MAC地址

ARP欺骗原理通过发送伪造的ARP数据包让目标设备误以为攻击者是其网关或其他设备从而达到欺骗目标设备的目的。

这样攻击者就可以收到目标设备发出的数据包并进行截获甚至篡改数据包中的内容。

3、网络层

ICMP协议是TCP/IP协议簇中的一个子协议用于在IP主机和路由器之间传递控制信息。

这些控制消息用于处理网络不通、主机是否可达、路由是否可用等网络本身的消息。

ICMP攻击原理利用ICMP协议的特点从而伪装成受害设备向目标设备发送大量无效或高流量的ICMP数据包从而耗尽目标设备的资源造成目标设备的瘫痪。

4、传输层

SYN报文是TCP连接的第一个报文攻击者通过大量发送SYN报文造成大量未完全建立的TCP连接占用被攻击者的资源。

----拒绝服务攻击

TCP

Flood攻击原理客户机通过不断向目标设备发送建立连接的SYN请求而目标设备向客户机回复ACK并发送SYN请求后在目标设备等待客户机的ACK的这段时间里会占用目标设备的资源。

而建立的会话过多会耗尽目标设备的资源。

SYN洪水攻击防范措施

在客户机和服务器之间设置一个代理服务器只有客户机先和代理防火墙建立连接后代理防火墙才会和服务器建立连接从而连接客户机和服务器。

当访问IP超过阈值时不在和其他IP建立连接这种措施大大限制了服务器效率。

2、首包丢包

当建立TCP连接时如果遇到包丢失会重新发送包。

所以我们将第一个SYN包丢弃等待第二个SYN包才建立连接可以防范一些TCP

SYN

Flood攻击。

但是攻击者也可以设置为发送两次SYN包来对付这种防御措施。

3、SYN

在TCP建立连接过程中服务端会在第二次握手后将连接放到半连接队列中然后在第三次握手成功后从半连接队列中移除加入到全连接队列中。

在没有开启SYN

cookie后可以在不使用半连接队列的情况下直接成功建立连接。

开启SYN

cookie后当服务器收到SYN请求第一次握手后会根据当前状态计算出一个cookie值并在SYNACK报文第二次握手中发出当客户端返回ACK报文第三次握手时会再次带上该cookie值服务端验证该cookie值合法后加入到全连接队列中。

SYN

如果客户端的第三次ACK丢失的话由于服务器并没有存储连接信息所以不会重发ACKSYN。

从而导致客户端只能空等一段时间直到超时。

SYN

master可以理解为CC服务器agent称为肉鸡他们形成的是僵尸网络

DDoS攻击原理攻击者通过大规模互联网流量耗尽攻击目标的网络资源使目标系统无法进行网络连接、无法响应正常请求

DDoS攻击风险防护方案

网络设备性能充裕防火墙、路由器、交换机性能必须有富余网络带宽资源充裕保持一定比例的网络带宽余量异常流量清洗通过抗D设备清洗异常流量通过CDN分流多节点分担DDoS攻击流量分布式集群每个节点分配足够资源数据回发瘫痪攻击源

6、应用层

DNS欺骗攻击原理攻击者伪装成DNS服务器向受害者发送虚假的DNS响应告诉受害者请求的域名对应的IP地址是攻击者自己控制的恶意网站的IP地址。

2.1

人为原因在程序编写过程中为实现不可告人的目的在程序代码的隐藏处保留后门。

客观原因受编程人员的能力经验和当时安全技术所限在程序中难免会有不足之处轻则影响程序效率重则导致非授权用户的权限提升。

硬件原因由于硬件原因使编程人员无法弥补硬件的漏洞从而使硬件的问题通过软件表现。

2.2

缓冲区溢出攻击原理缓冲区溢出攻击利用编写不够严谨的程序通过向程序的缓冲区写入超过预定长度的数据造成缓存的溢出从而破坏程序的堆栈导致程序执行流程的改变

如果可精确控制内存跳转地址就可以执行指定代码获得权限或破坏系统

寻找程序漏洞-编制缓冲区移除程序-精确控制跳转地址-执行设定的代码-获得系统权限或破坏系统

补丁防火墙

定义一种恶意程序可以感染设备、网络与数据中心并使其瘫痪直至用户支付赎金使系统解锁。

特点调用加密算法库、通过脚本文件进行Http请求、通过脚本文件下载文件、读取远程服务器文件、通过wscript执行文件、收集计算机信息、遍历文件。

危害勒索病毒会将电脑中的各类文档进行加密让用户无法打开并弹窗限时勒索付款提示信息如果用户未在指定时间缴纳黑客要求的金额被锁文件将永远无法恢复。

工作过程勒索病毒通过自身的解密函数解密回连服务器地址通过HTTP

GET请求访问加密数据保存加密数据到本地目录然后通过解密函数解密出数据保存为DLL最后再运行DLL

(即勒索者主体)。

该DLL样本才是导致对数据加密的关键主体且该主体通过调用系统文件生成密钥进而实现对指定类型的文件进行加密即无需联网下载密钥即可实现对文件加密。

发展历程

RaaS模式勒索软件即服务(RaaS)框架可以供任何人使用即使这些人并没有编码技能因为它提供了快速实施加密和与命令和控制服务器通信的基本工具。

直接交付“结果”给营销团队客户只需提供数据和运营授权供应商则通过专业运营这些数据为客户创造实际的财务价值。

总结勒索病毒感染与传播的方式主要为五种分别是钓鱼邮件、蠕虫式传播、恶意软件捆绑、暴力破解和Exploit

Kit分发

定义一种恶意程序可自动传播在未授权的情况下占用系统资源为攻击者谋利使得受害者机器性能明显下降影响正常使用。

特点占用CPU或GPU等计算资源、自动建立后门、创建混淆进程、定期改变进程名与PID、扫描ssh文件感染其他机器。

受害者A机器会从攻击者Web服务器下载挖矿程序而后会利用系统上的已有漏洞建立后门。

并且每隔一定周期检测一次进程是否存添加计划任务并且检查木马文件若未检测到就会自行远程下载并执行。

3.3

“中了木马”就是指安装了木马的服务器程序若你的电脑被安装了服务器程序则拥有控制器程序的人就可以通过网络控制装有服务器程序的电脑。

自动在任务管理器中隐藏并以“系统服务”的方式欺骗操作系统。

包含具有未公开并且可能产生危险后果的功能的程序。

具备自动恢复功能且打开特殊端口。

危害个人隐私数据泄露占用系统资源

木马一般都采用C/S架构服务器程序被植入到受害者的电脑中控制器程序攻击者端运行攻击者利用控制器程序主动或被动的连接服务器对目标主机的控制。

连接成功后攻击者进入目标主机电脑内部通过控制器可以对目标主机进行控制操作。

而这种连接很容易被用户和安全防护系统发现为了防止木马被发现木马会采用多种技术实现连接隐藏以提高木马种植和控制的成功率。

木马是最奸诈狡猾的病毒像传说中的特洛伊木马他们擅长使用诡计一不小心我们就可能从网上下载木马木马病毒会伪装成游戏或者常用软件有些木马还会给电脑开新的后门让犯罪分子轻易侵入你的电脑获取信息可怕吧要防止木马你必须在信任的网站下载内容就像咳嗽要掩口饭前要洗手提高警惕还要经常更新电脑软件安装杀毒工具一遍防范于未然一遍亡羊补牢另外陌生的链接、附件都不要点击

3.4

定义蠕虫是一种可以自我复制的代码并且通过网络传播通常无需人为干预就能传播。

蠕虫病毒入侵并完全控制一台计算机之后就会把这台机器作为宿主进而扫描并感染其他计算机。

特点不依赖宿主程序、利用漏洞主动攻击、通过蠕虫网络隐藏攻击者的位置。

危害拒绝服务、隐私信息丢失

工作过程蠕虫病毒的程序其工作流程可以分为漏洞扫描、攻击、传染、现场处理四个阶段

首先蠕虫程序随机(或在某种倾向性策略下)选取某一段IP地址接着对这一地址段的主机扫描当扫描到有漏洞的计算机系统后将蠕虫主体迁移到目标主机。

然后蠕虫程序进入被感染的系统对目标主机进行现场处理。

同时蠕虫程序生成多个副本重复上述流程。

蠕虫更可怕即使我们什么也不做只要电脑联网蠕虫就会感染网上的病毒不管是局域网还是广域网他们都擅长走后门就是通过电脑软件的漏洞入侵一定被感染蠕虫还会找其他电脑的后门一路披荆斩棘的走下去最好的防护措施是更新系统修复漏洞门关好了蠕虫就爬不进来了

3.5

打开感染宏病毒的文档其中的宏就会被执行于是宏病毒就会被激活转移到计算机上。

从此以后所有自动保存的文档都会“感染”上这种宏病毒而且如果其他用户打开了感染病毒的文档宏病毒又会转移到他的计算机上。

3.6

定义流氓软件是指在未明确提示用户或未经用户许可的情况下在用户计算机或其他终端上安装运行侵害用户合法权益的软件但不包含中国法律法规规定的计算机病毒。

间谍软件是一种能够在用户不知情的情况下在其电脑上安装后门、收集用户信息的软件。

它能够削弱用户对其使用经验、隐私和系统安全的物质控制能力。

特点强制安装、难以卸载、浏览器劫持、广告弹出、恶意收集用户信息、恶意卸载、恶意捆绑、恶意安装等。

在自身安装包中捆绑其它有害软件的安装包目标软件具有完善卸载功能且无害、无明显恶意行为的收集敏感信息但隐私权协议未注明隐私权协议缺失或将隐私信息向第三方泄露/出售。

明显弱化系统安全性或稳定性的应用如后台植入、破坏系统文件、恶意修改根证书等。

无法以自身设置取消的返利链接捆绑或主页绑定。

流氓软件、间谍软件起源于国外的“Badware”一词。

对“Badware”的定义为是一种跟踪你上网行为并将你的个人信息反馈给隐藏的市场利益集团的软件并且他们可以通过该软件能向受害者弹出广告。

3.7

定义采用一种或多种传播手段将大量主机感染僵尸程序从而在控制者和被感染主机之间所形成的一个可一对多控制的网络。

特点可控制的网络这个网络并不是指物理意义上具有拓扑结构的网络它具有一定的分布性随着bot程序的不断传播而不断有新位置的僵尸计算机添加到这个网络中来可以一对多地执行相同的恶意行为。

在传播阶段通过主动攻击漏洞、邮件病毒、即时通信软件、恶意网站脚本、特洛伊木马等途径在网络中传播。

在加入阶段每一个被感染主机都会随着隐藏在自身上的bot程序的发作而加入到Botnet中去。

在控制阶段攻击者通过中心服务器发送预先定义好的控制指令让被感染主机执行恶意行为。

终端安全防范措施

不要点击来源不明的邮件附件不从不明网站下载软件及时给主机打补丁修复相应的高危漏洞对重要的数据文件定期进行非本地备份尽量关闭不必要的文件共享权限以及关闭不必要的端口RDP远程服务器等连接尽量使用强密码不要使用弱密码安装专业的终端安全防护软件为主机提供端点防护和病毒检测清理功能

4、其他常见攻击

在计算机科学中社会工程学指的是通过与他人的合法地交流来使其心理受到影响做出某些动作或者是透露一些机密信息的方式。

这通常被认为是一种欺诈他人以收集信息、行骗和入侵计算机系统的行为。

4.2

拖库是指黑客入侵有价值的网络站点把注册用户的资料数据库全部盗走的行为。

洗库在取得大量的用户数据之后黑客会通过一系列的技术手段和黑色产业链将有价值的用户数据变现这通常也被称作洗库。

最后黑客将得到的数据在其它网站上进行尝试登陆叫做撞库因为很多用户喜欢使用统一的用户名密码。

、电脑勤打补丁安装一款杀毒软件、尽量不使用IE浏览器、使用正版软件、不要在公共场合使用公共无线做有关私密信息的事、自己的无线AP用安全的加密方式如WPA2密码复杂些、电脑习惯锁屏等。

攻击过程黑客为了得到数据库的访问权限取得用户数据通常会从技术层面

和社工层面两个方向入手。

技术方面大致分为远程下载数据库文件、利用

4.3

原理攻击者通常并不直接从自己的系统向目标发动攻击而是先攻破若干中间系统,让它们成为“跳板”再通过这些“跳板”完成攻击行动。

防御手段安装防火墙控制流量进出。

系统默认不使用超级管理员用户登录使用普通用户登录且做好权限控制。

攻击过程首先攻击者会监听、扫描某一特定主机或网段。

实施跳板攻击时

黑客首先要控制“跳板”也就攻击目标的代理。

然后借助“跳板”进行

实际的攻击操作,而跳板机就成了提线木偶。

虽然跳板本身可能不会被攻击

4.4

原理钓鱼式攻击是一种企图从电子通讯中通过伪装成信誉卓著的法人媒体以获得如用户名、密码和信用卡明细等个人敏感信息的犯罪诈骗过程。

防御手段保证网络站点与用户之间的安全传输加强网络站点的认证过程即时清除网钓邮件加强网络站点的监管。

4.5

原理攻击者首先通过猜测或观察确定特定目标经常访问的网站并入侵其中一个或多个网站植入恶意软件。

最后达到感染目标的目的。

针对已知漏洞的防御措施是应用最新的软件修补程序来消除允许该网站受到感染的漏洞。

用户监控可以帮助确保他们的所有软件都运行最新版本。

如果恶意内容被检测到运维人员可以监控他们的网站和网络然后阻止流量。

攻击过程黑客分析攻击目标的上网活动规律寻找攻击目标经常访问的网站的

水坑攻击时一种看似简单但成功率较高的网络攻击方式。

攻击目标多为特定的团体组织、行业、地区等。

攻击者首先通过猜测或观察确定这组目标经常访问的网站然后入侵其中一个或多个网站植入恶意软件。

在目标访问该网站时会被重定向到恶意网址或触发恶意软件执行导致该组目标中部分成员甚至全部成员被感染。

按照这个思路水坑攻击其实也可以算是鱼叉式钓鱼的一种延伸。

2012

年国外就有研究人员提出了“水坑攻击”的概念。

这种攻击方式的命名受狮子等猛兽的狩猎方式启发。

在捕猎时狮子并不总是会主动出击他们有时会埋伏水坑边上等目标路过水坑停下来喝水的时候就抓住时机展开攻击。

这样的攻击成功率就很高因为目标总是要到水坑“喝水”的。

5、信息安全要素

保密性—confidentiality对抗对手的被动攻击保证信息不泄漏给未经授权的人或者即便数据被截获其所表达的信息也不被非授权者所理解。

完整性—integrity对抗对手主动攻击防止信息被未经授权的篡改。

可用性—availability确保信息及信息系统能够为授权使用者所正常使用

这三个重要的基本属性被国外学者称为“信息安全金三角”CIAConfidentiality-Integrity-Availability

5.1

目的即使信息被窃听或者截取攻击者也无法知晓信息的真实内容。

可以对抗网络攻击中的被动攻击。

5.2

完整性只有得到允许的人才能修改实体或进程并且能够判别出实体或进程是否已被修改。

完整性鉴别机制保证只有得到允许的人才能修改数据

5.3

可用性得到授权的实体可获得服务攻击者不能占用所有的资源而阻碍授权者的工作。

用访问控制机制阻止非授权用户进入网络

5.4

可控性主要指对危害国家信息包括利用加密的非法通信活动的监视审计。

控制授权范围内的信息流向及行为方式。

使用授权机制控制信息传播范围、内容必要时能恢复密钥实现对网络资源及信息的可控性

5.5

不可否认性对出现的安全问题提供调查的依据和手段。

使用审计、监控、防抵赖等安全机制使得攻击者、破坏者、抵赖者“逃不脱并进一步对网络出现的安全问题提供调查依据和手段实现信息安全的可审查性。

6、整体安全解决方案

全天候自动化的安全运营才能保障安全体系的落实安全智能化Intelligent

关于风险处置的方法安全产业界也是有一些共识的。

例如主张防御、检测、响应的PDR模型和ISO27001信息安全管理体系要求等。

但这些方法在落地过程中也遇到了一些困难。

比如说以往大部分的安全投资主要聚焦在防御上却忽视了检测与响应。

面对频繁出现的新威胁传统基于策略库的安全工具很难去识别这些风险而威胁大量爆发后技术人员也难以快速完成检测和响应等处置工作。

在管理方面很多单位做信息安全管理体系编写了很多管理制度但制度的执行也困难重重。

在很多组织是没有足够的人手去落地这些制度。

比如说即使有了响应安全漏洞的流程但具备响应能力的人员数量不足以保障该流程的落地实施等。

传统安全方案痛点

产品堆叠为主基于产品堆叠的安全建设方式导致设备之间缺乏联动、安全运维负责边界防护为主单纯边界防护为基础的解决方案一旦边界被突破内网一马平川被动防守为主依靠挖掘漏洞、匹配特征、设置规则的被动防御模式缺乏威胁情报导致不能有效防护新型新型

基于风险驱动、立体保护、主动防御的思路原则深信服设计了整套的APDRO能力模型指导用户建设足以“面向未来有效保护”的安全防护能力。

我们认为网络安全能力的建设趋势会从防御能力向检测和响应能力方向升级

应对威胁的类型、频率、数量的增加需要利用基于人工智能的自动化工具来提升防护、检测与响应的效率并利用人工智能提升未知威胁的检测能力

同时需要通过人工运营来充分利用前期采购的各类安全设备做好安全管理制度和安全业务目标的落地和落实工作。

非安全区非安全区是数据中心等关键区域与外部直接连接的区域属于非信任区域对经过此区域的数据流应进行严格的安全控制

半安全区半安全区是非安全区与安全区之间的过渡区域用于分割它们之间的直接联系隐藏安全区的内部资源。

此区域通常部署所有与外部连通、为非信任来源提供服务的系统和设备如VPN、DNS、Proxy、Web、前置系统等服务器。

安全区安全级别较高包括数据中心核心交换、业务测试区、次核心业务区属于安全区

核心安全区安全级别最高核心业务区都属于核心安全区。

核心安全区属于被信任区域从非安全区、半安全区到核心安全区不允许有直接访问。

上网行为管理用户、行为、流量

该方案在用户、行为、业务等维度实现更多元素的可视并对可视数据进行综合分析实现风险定位及图形化威胁展示。

同时针对黑客攻击链所有环节均可持续检测利用云沙盒技术和大数据威胁情报分析平台可以及时、准确的响应安全事件将威胁影响面降到更低。

2、网站安全立体保护解决方案

该方案针对用户Web业务网站防护将过去以特征更新为主的静态防御体系通过深信服下一代防火墙赋予云端安全检测能力从而实现主动积极的防御一旦某台设备发现新型、未知威胁可以通过云端快速进行更新24小时内实现全网拦截。

结合云端自动化网站安全异常监测技术可以在网站出现漏洞、篡改、黑链、挂马等安全事件时在数分钟之内让用户获得通报和预警。

3、广域网全网安全感知解决方案

该方案不仅可以提升广域网的安全防护能力还能够帮助用户实时了解分支机构安全风险避免分支机构存在安全建设薄弱点从而成为入侵短板以便真正实现管理集中化和运维自动化

4、数据中心应用层安全加固方案

该方案可对数据中心安全进行有效补充解决在设计初期仅规划防火墙缺乏完善的安全防御和检测技术所带来的风险。

主要包含应用层安全加固、增强安全检测技术和简化安全管理三个方面可以保障在复杂业务环境下数据中心信息安全。

5、数据中心安全域隔离解决方案

该方案可以将数据中心按照不同安全等级进行区域划分实现层次化、重点化、全面化的保护和访问控制。

有效解决传统防火墙中存在的上线部署、业务新增和日常管理策略复杂、可视性差等问题。

综上所述为有效应对未来复杂的快速攻击我们需要更自动化的响应能力和更高效的闭环能力这就需要一个集“集安全风险感知、预测、决策和协同处置为一体”

“现代化攻防对抗能力中心”并拥有“精准、高效、易用”的出色能力我们把这样的一个中心称为“安全大脑”该理念契合当下“智慧、智能”的时代特点基于“人工智能和大数据技术”实现安全数据到安全能力的转化。

信服安全感知平台定位为客户的安全大脑是一个检测、预警、响应处置的大数据安全分析平台。

其以全流量分析为核心结合威胁情报、行为分析建模、UEBA、失陷主机检测、图关联分析、机器学习、大数据关联分析、可视化等技术对全网流量实现全网业务可视化、威胁可视化、攻击与可疑流量可视化等帮助客户在高级威胁入侵之后损失发生之前及时发现威胁