頂層設(shè)計概念
考慮項目各層次和各要素，追根溯源，統(tǒng)攬全局，在最高層次上尋求問題的解決之道
頂層設(shè)計”不是自下而上的“摸著石頭過河”，而是自上而下的“系統(tǒng)謀劃”
網(wǎng)絡(luò)安全分為
物理、網(wǎng)絡(luò)、主機、應(yīng)用、管理制度
邊界最強 接入層最薄弱
安全特性總綱
一、有效的訪問控制
二、有效識別合法的和非法的用戶
三、有效的防偽手段，重要的數(shù)據(jù)重點保護
四、內(nèi)部網(wǎng)絡(luò)的隱蔽性
五、外網(wǎng)***的防護
六、內(nèi)外網(wǎng)病毒防范
七、行之有效的安全管理手段（三分技術(shù)，七分管理）
單純***是沒意義的 ***網(wǎng)絡(luò)沒意義 竊取信息是有意義的
真正的安全是 產(chǎn)品安全 協(xié)議安全
截獲(interception)——中斷(interruption)——篡改(modification)——偽造(fabrication)
***的步驟
信息收集——》漏洞掃描——》***——》***——》提權(quán)——》后門——》日志清除
網(wǎng)絡(luò)***的目的：
1：獲取保密信息
2：破壞網(wǎng)咯信息的網(wǎng)整性
3：***網(wǎng)絡(luò)的可用性
4：改變網(wǎng)絡(luò)運行的可控性
5：逃避責(zé)任
安全防護控制點:
訪問控制、安全審計、結(jié)構(gòu)安全、網(wǎng)絡(luò)設(shè)備防護、通信機密性（數(shù)據(jù)被攔截）、通信完整性(數(shù)據(jù)不被篡改)、數(shù)據(jù)備份與恢復(fù)
一、訪問控制
1、基于數(shù)據(jù)流的訪問控制（路由器、交換機、防火墻ACL）
2、根據(jù)數(shù)據(jù)包信息進行數(shù)據(jù)分類（QoS）
3、不同的數(shù)據(jù)流采用不同的策略*（擴展ACL）
4、基于用戶的訪問控制（telnet、密碼復(fù)雜、密文形式、登錄次數(shù)、SNMP、堡壘主機）
5、對于接入服務(wù)用戶，設(shè)定特定的過濾屬性（劃分區(qū)域、防止中間人***）
二、用戶識別
1、對接入用戶的認證（NTP、802.1X、portal、MAC認證、AAA）
2、內(nèi)網(wǎng)接入用戶的認證和授權(quán)（AAA、MAC認證）
3、遠程接入用戶的認證和授權(quán)（AAA、本地認證）
三、保護數(shù)據(jù)安全
1、網(wǎng)絡(luò)設(shè)備本身的認證（console、系統(tǒng)補丁、關(guān)閉服務(wù)CDP）
2、訪問設(shè)備時的身份認證授權(quán)（堡壘主機、審計系統(tǒng)）
3、路由信息的認證（協(xié)議認證、VRRP認證、IP綁定、端口綁定）
4、數(shù)據(jù)加密和防偽（×××）
5、數(shù)據(jù)加密（對稱式加密）
6、利用公網(wǎng)傳輸數(shù)據(jù)不可避免地面臨數(shù)據(jù)竊聽的問題（MD5、SHA認證）
7、傳輸之前進行數(shù)據(jù)加密，保證只有與之通信的對端能夠解密（非對稱式加密）
8、數(shù)據(jù)防偽
9、報文在傳輸過程中，有可能被***者截獲、篡改
10、接收端需要進行數(shù)據(jù)完整性鑒別
四、內(nèi)部網(wǎng)絡(luò)的隱蔽性
1、隱藏私網(wǎng)內(nèi)部地址，有效的保護內(nèi)部主機（NAT）
2、允許內(nèi)網(wǎng)用戶向外發(fā)起連接，禁止外網(wǎng)用戶對內(nèi)網(wǎng)發(fā)起連接（關(guān)閉不必要的服務(wù)端口）
五、***防護
1、對外網(wǎng)各類***的有效防護（FW、IPS攔截、WAF、設(shè)備冗余、協(xié)議冗余、鏈路冗余，75%的***是針對web應(yīng)用）
IPS缺點:對每一個數(shù)據(jù)包進行分析，語音數(shù)據(jù)包要求低延遲
六、病毒防范
1、對于外網(wǎng)病毒傳入的防范（防毒墻、周期更新病毒庫）
2、對于內(nèi)網(wǎng)病毒發(fā)作的抑止（IDS、EAD、周期更新病毒庫）
七、完善制度
1、保證重要的網(wǎng)絡(luò)設(shè)備處于安全的運行環(huán)境，防止人為破壞
2、保護好訪問口令、密碼等重要的安全信息
3、在網(wǎng)絡(luò)上實現(xiàn)報文審計和過濾，提供網(wǎng)絡(luò)運行的必要信息
4、制定完善的管理制度，并確保制度得到良好的執(zhí)行
存在安全的問題：
事前（缺乏風(fēng)險預(yù)知能力）（有哪些資產(chǎn)？有哪些漏洞？是否有策略？）
事中（聯(lián)動，調(diào)用其它機制）
事后（缺乏檢測和響應(yīng)）（是否有新漏洞？繞過能否檢測？能否快速響應(yīng)？（缺乏持續(xù)性））
解決方式：
事前不能預(yù)知風(fēng)險，導(dǎo)致安全事件:信息泄露,漏洞被通報（要有預(yù)知）
事中無法有效防御，數(shù)據(jù)庫密碼被修改，網(wǎng)絡(luò)故障定位困難（***日志的關(guān)聯(lián)，調(diào)用聯(lián)動的機制防御）
事后無法及時發(fā)現(xiàn)被黑，出現(xiàn)端口，漏洞（缺乏檢測），網(wǎng)頁被篡改，無法及時發(fā)現(xiàn)（快速響應(yīng)）(持續(xù)檢測/響應(yīng))
(態(tài)勢感知系統(tǒng)、態(tài)勢感知平臺)最早提出于軍事領(lǐng)域（全網(wǎng)安全態(tài)勢感知，行為態(tài)勢感知）
態(tài)勢感知是一種基于環(huán)境的、動態(tài)、整體地洞悉安全風(fēng)險的能力，是以安全大數(shù)據(jù)為基礎(chǔ)，從全局視角提升對安全威脅的發(fā)現(xiàn)識別、理解分析、響應(yīng)處置能力的一種方式，最終是為了決策與行動，是安全能力的落地
防御措施
1、不要關(guān)閉掉默認的防火墻功能，如果有特殊的需要，可以選擇性開放安全端口
2、在服務(wù)器端安裝監(jiān)控系統(tǒng)或部署蜜罐系統(tǒng)，隨時監(jiān)控服務(wù)器的 異常行為
3、及時更新系統(tǒng)補丁，隨時關(guān)注微軟系統(tǒng)的補丁更新公告
4、養(yǎng)成定期檢查服務(wù)器日志的習(xí)慣，及時發(fā)現(xiàn)異常的操作或異常用戶
安全事件管理關(guān)注的內(nèi)容
網(wǎng)絡(luò)上發(fā)生的安全事件
網(wǎng)絡(luò)上發(fā)生的系統(tǒng)事件
網(wǎng)絡(luò)上發(fā)生的應(yīng)用事件
安全管理要對網(wǎng)絡(luò)上發(fā)生的各類事件進行綜合分析
統(tǒng)一網(wǎng)管:拓撲發(fā)現(xiàn)、設(shè)備管理、日志管理、Trap告警
優(yōu)選標準協(xié)議
集群、堆疊應(yīng)用，化繁就簡
實時監(jiān)控，防范***，避免擁塞
NTP服務(wù)同一時間，日志，Trap有序管理
***測試有黑盒和白盒兩種測試方法
黑盒測試是指在對基礎(chǔ)設(shè)施不知情的情況下進行測試
白盒測試是指在完全了解結(jié)構(gòu)的情況下進行測試。不論測試方法是否相同，***測試通常具有兩個顯著
特點：
***測試是一個漸進的且逐步深入的過程
***測試是選擇不影響業(yè)務(wù)系統(tǒng)正常運行的***方法進行的測試
***測試是一個漸進的且逐步深入的過程
***測試是選擇不影響業(yè)務(wù)系統(tǒng)正常運行的***方法進行的測試
https：//github.com/evilcos/ ***者神器
http://www.securityxploded.com/安全工具
http://bbs.cfanclub.net/forum-3-1.html課件博客
http://download.cnet.com/Toolwiz-Care/3000-2086_4-75610754.html?part=dl-&subj=dl&tag=buttonToolwiz Care下載系統(tǒng)軟件鏈接
http://www.ntester.cn
另外有需要云服務(wù)器可以了解下創(chuàng)新互聯(lián)scvps.cn，海內(nèi)外云服務(wù)器15元起步，三天無理由+7*72小時售后在線，公司持有idc許可證，提供“云服務(wù)器、裸金屬服務(wù)器、高防服務(wù)器、香港服務(wù)器、美國服務(wù)器、虛擬主機、免備案服務(wù)器”等云主機租用服務(wù)以及企業(yè)上云的綜合解決方案，具有“安全穩(wěn)定、簡單易用、服務(wù)可用性高、性價比高”等特點與優(yōu)勢，專為企業(yè)上云打造定制，能夠滿足用戶豐富、多元化的應(yīng)用場景需求。
重慶分公司
重慶分公司
