网络工程师重要考点——网络安全防护

常见网络安全产品

1. 防火墙：建立网络防护屏障，实现网络边界隔离，检测并阻断安全风险。

2. WAF：保护Web应用免受攻击，过滤非法请求，增强网站安全。

3. 防病毒网关：检测并清除进出网络的数据中的病毒和恶意内容，保障网络安全。

4. 上网行为管理：监控和管理员工网络行为，优化带宽使用，防止信息泄露。

5. IPS（入侵保护系统）：实时检测并主动防御网络攻击，通常串接部署。

6. IDS（入侵检测系统）：监视网络传输，发现可疑活动并发出警报，通常旁挂部署。

7. 网闸：实现内外网物理隔离，数据摆渡，安全检查与过滤。

8. 4A系统（堡垒机）：运维身份多重认证、统一帐户管理、统一资源授权、集中运维监控和审计、运维过程回溯。

9. 蜜罐系统：吸引并捕获攻击者，收集攻击信息，分析攻击者的行为和手段。

10. 态势感知平台（成本较高）：日志采集和监测、威胁分析、威胁预警、关联处置。

11. 数据库安全审计系统：数据库操作行为审计、回溯、三层应用关联审计、统计分析和报表。

12. UTM（统一威胁管理）：集成防火墙、入侵检测、入侵防护、防病毒功能于一台设备中。

UTM虽然集成众多安全功能，但防火墙仍是其核心功能。

优点是整合各安全防护功能，可以降低成本、降低部署和管理工作难度，有效提高各系统的协同工作效率

缺点是功能大而全但单项防护能力弱、功能过度集中导致抗风险能力下降、对设备性能要求高

13、下一代防火墙（NGFW）：相当于YTM升级版，集成多功能，但一次拆包，多次检查，性能损耗小

14、沙箱：沙箱主要对APT攻击中的恶意文件进行深度检测。核心原理是动态和静态检测相结合，并利用机器学习 发现威胁，同时虚拟环境运行可疑文件，天然解决而已文件的分片分段、加壳等逃逸手段。

沙箱一般部署于网络出口和数据中心边界。

威胁1——DDOS攻击（分布式拒绝服务攻击）

DDoS攻击是指攻击者通过控制大量僵尸主机，向攻击目标发送大量攻击报文，导致被攻击目标所在网络的链路拥塞，系统资源耗尽，从而无法向正常用户提供服务。

DDoS攻击类型

根据攻击报文类型的不同，可以分为TCP Flood、UDP Flood、ICMP Flood 、HTTP Flood 和GRE Flood等

• TCP Flood：利用TCP协议发起的DDOS攻击，常见的攻击有SYN Flood 、SYN+ACK Flood、ACK Flood、FIN/RST Flood等

• UDP Flood :使用UDP协议发起的攻击，常见的攻击有UDP Flood 、UDP分片攻击等

• ICMP Flood：利用ICMP协议在短时间内发送大量的ICMP报文导致网络瘫痪，或采用超大报文攻击导致网络链路拥塞

• HTTP Flood：利用HTTP协议交互，发动HTTP Flood，或者HTTP慢速攻击等

• GRE Flood ：利用GRE报文发动的DDOS攻击，利用GRE报文的解封装消耗攻击目标的计算资源

DDOS攻击安全防范

1. 使用专业抗DDOS防火墙

2. 使用高防CDN（内容分发网络：可以将内容分布在全国多个CDN节点，可以减少DDOS攻击的集中）

3. 购买流量清洗服务

4. 增加网络带宽

5. 配置流量限制策略

6. 使用高性能网络设备和服务器

威胁2——单包攻击

单包攻击不像DDoS攻击通过使网络拥塞，或消耗系统资源的方式进行攻击，而是通过发送有缺陷的报文，使主机或服务器在处理这类报文时系统崩溃，或发送特殊控制报文、扫描类报文探测网络结构，为真正的攻击做准备。

• 扫描型攻击：攻击者运用ICMP报文探测目标地址，以确定哪些目标系统确实存活着并且连接在目标网络 上；或攻击者对端口进行扫描探测，探寻被攻击对象目前开放的端口，从而确定攻击方式。

• 畸形报文攻击：攻击者通过发送大量有缺陷的报文，从而造成主机或服务器在处理这类报文时系统崩溃。典型的有Teardrop攻击，Smurf攻击，Land攻击等

• 特殊报文控制类攻击：一种潜在的攻击行为，不具备直接的破坏行为，攻击者通过发送特殊控制报文探测网络结构， 为后续发起真正的攻击做准备。典型的有超大ICMP报文控制攻击，IP报文控制攻击等

单包攻击防范

• 防火墙

• IPS入侵防御系统

• 深度包检测（DPI）

威胁3——病毒入侵

一种可感染或附着在应用程序或文件中的恶意代码，一般通过邮件或文件共享等协议进行传播，威胁用户主机和网络的安全。病毒能够自我复制，但需要通过打开受感染的文件，启用宏等手动操作才能激活

病毒入侵安全防范

1. 使用防病毒网关

2. 使用专业的防火墙和防病毒软件

3. 及时安装操作系统和应用程序的补丁安全更新

4. 备份重要数据

5. 谨慎访问网站和下载文件

6. 小心处理电子邮件

威胁4——SQL注入

SQL注入攻击指的是通过构建特殊的输入作为参数传入Web应用程序，而这些输入大都是SQL语法里的一些组合，通过破坏SQL语句的原始逻辑，进而执行攻击者所希望的操作。SQL注入漏洞属于高危型Web漏洞。

关键字：SELECT

SQL注入安全防范

1. 使用Web应用程序防火墙（WAF）

2. 使用参数化查询

参数化查询：是一种将SQL语句结构与用户输入数据分离，通过占位符传递参数，让数据库将参数视为纯数据而非可执行代码，从而从根本上防止SQL注入的数据库操作技术。

1. 输入验证和过滤

2. 最小权限原则

关键字：select

威胁5——XSS跨站脚本攻击

用户在浏览网站、使用即时通讯软件、甚至在阅读电子邮件时，通常会点击其中的链接。攻击者通过在链接中插入恶意代码，就能够盗取用户信息

在实际应用中，直接拼接URL并执行JavaScript代码可能涉及到安全风险，特别是当拼接的部分来自不可信的源时。应始终验证和清理任何外部输入，以防止诸如跨站脚本攻击（XSS）等安全问题。

跨站脚本攻击安全防范

1. 使用Web应用程序防火墙

2. 输入验证和过滤

3. 输出编码

4. 内容安全策略

其它威胁

1、APT攻击：是一种非常隐蔽且复杂的网络攻击形式，其目标性强、持续时间长，并且通常具有高度的隐蔽性。主要包括以下阶段：侦察和策划、入侵、横向渗透、获取权限、数据窃取和控制

防御：IPS网络入侵检测、恶意代码检测、主机应用保护、大数据分析检测、安装安全补丁以防止 漏洞、禁用不必要的服务和端口、威胁情报技术

2、一句话木马：一句话木马是一种短小的、通常只有一行代码的恶意软件，用于在目标系统中执 行攻击者的命令或代码。如：substr(md5($_REQUEST['x']),28)=='6862'&&eval($_REQUE ST['password']);

防御：防火墙、WAF、入侵防御系统（IPS）、反病毒软件、及时安装安全补丁、限制文件上传功能

3、0day漏洞：（Zero-Day Vulnerability）是指尚未被官方发现或即使发现也还没有开发出安全补丁的漏洞。由于这些漏洞尚未公开且未被修复，因此软件供应商和硬件制造商无法提供修补程序来修复这些漏洞。