网络安全设备概念的熟悉和学习

ゝ一世哀愁。 2022-03-01 19:22 204阅读 0赞

参考：

1.  [网络安全设备概念的熟悉和学习][Link 1]
2.  [中国网络安全产品分类及全景图][Link 2]
3.  [CWPP(云工作负载保护平台)][CWPP]
4.  [安全狗陈奋：基于EDR和MDR技术的新一代应急响应体系][EDR_MDR]
5.  [阿里云安全肖力：从RSA2019看安全技术发展的十个机遇][RSA2019]

今年RSA创新沙盒的冠军Axonius。其核心优势在于解决了企业资产管理不全的痛点。Axonius可以帮助企业降低攻击面并能与其他安全产品进行联动。这个概念并不超前。我们看到在过去的一年里，无论是有广泛市场需求的数据安全领域还是机器学习及AI在安全领域的应用，安全技术上没有出现突破性/颠覆性的创新。当谈到云上安全的最佳实践，企业安全体系重要的不仅仅是梳理资产，减少攻击面。我认为更重要的是

*  建立统一的身份认证授权体系
 *  安全基线的运营
 *  全局漏洞管理
 *  默认安全流程策略
 *  敏感数据加密。

这个组合拳才是整个企业安全的基石。在这些基础领域之上提升6. 威胁检测、7. 事件调查、8. 自动化响应、9.安全溯源能力才能让整个体系更稳固。

## 安全运营中心（SOC） ##

### 什么是安全运营中心？ ###

SOC，全称是Security Operations Center，是一个以IT资产为基础，以业务信息系统为核心，以客户体验为指引，从监控、审计、风险和运维四个维度建立起来的一套可度量的统一业务支撑平台，使得各种用户能够对业务信息系统进行可用性与性能的监控、配置与事件的分析审计预警、风险与态势的度量与评估、安全运维流程的标准化、例行化和常态化，最终实现业务信息系统的持续安全运营。 本质上，SOC不是一款单纯的产品，而是一个复杂的系统，他既有产品，又有服务，还有运维(运营)，SOC是技术、流程和人的有机结合。SOC产品是SOC系统的技术支撑平台，这是SOC产品的价值所在。

### 为什么会出现SOC？ ###

过去我们都让安全专家来管理各种类型的防火墙、IDS和诸如此类的安全措施，这主要是因为安全问题一般都发生在网络中非常具体的某个地点。但是，现在的情况已经变化，安全问题已经不再像当年那么简单。安全是一个动态的过程，因为敌方攻击手段在变，攻击方法在变，漏洞不断出现；我方业务在变，软件在变，人员在变，妄图通过一个系统、一个方案解决所有的问题是不现实的，也是不可能的，安全需要不断地运营、持续地优化。安全措施应当被实施在应用层、网络层和存储层上。它已经成为您的端对端应用服务中的一部分，与网络性能的地位非常接近。  
安全管理平台在未来安全建设中的地位尤其重要，它能够站在管理者的角度去‘俯瞰’整个安全体系建设，对其中每一层产品都可以进行全面、集中、统一的监测、调度和指挥控制。可以说，未来的态势感知的根基就是安全管理平台。

## 信息安全和事件管理（SIEM） ##

SIEM，信息安全和事件管理，全称是security information and event management，由SEM和SIM两部分构成。

### 什么是SIEM？ ###

SIEM软件能给企业安全人员提供其IT环境中所发生活动的洞见和轨迹记录。  
SIEM技术最早是从日志管理发展起来的。它将安全事件管理(SEM)——实时分析日志和事件数据以提供威胁监视、事件关联和事件响应，与安全信息管理(SIM)——收集、分析并报告日志数据，结合了起来。

### SIEM的运作机制是什么？ ###

SIEM软件收集并聚合公司所有技术基础设施所产生的日志数据，数据来源从主机系统及应用，到防火墙及杀软过滤器之类网络和安全设备都有。  
收集到数据后，SIEM软件就开始识别并分类事件，对事件进行分析。该软件的主要目标有两个：

产出安全相关事件的报告，比如成功/失败的登录、恶意软件活动和其他可能的恶意活动。  
如果分析表明某活动违反了预定义的规则集，有潜在的安全问题，就发出警报。

## 统一威胁管理（UTM） ##

## 什么是UTM？ ##

统一威胁管理（UTM，Unified Threat Management），顾名思义，就是在单个硬件或软件上，提供多种安全功能。这跟传统的安全设备不同，传统的安全设备一般只解决一种问题。  
基础功能：

网络防火墙（Network Firewall）
    入侵检测（Intrusion Detection）
    入侵预防（Intrusion Prevention）

可能会有的功能：

防病毒网关（Gateway Anti-Virus）
    应用层防火墙和控制器（Application Layer Firewall and control）
    深度包检测（Deep packet inspection）
    Web代理和内容过滤（Web Proxy & content filtering）
    数据丢失预防（DLP)
    安全信息和事件管理（SIEM）
    虚拟专用网络（VPN）
    网络沼泽（Network Tarpit）

## MDR威胁检测与响应服务 ##

MDR服务是Gartner在2016年正式提出来的,定位于对高级威胁的检测与响应服务。与传统MSSP主要帮客户监测内部网络与互联网内外间流量不同,MDR还试图帮助客户监测内部网络中的流量,尤其是识别高级威胁攻击的横向移动环节的蛛丝马迹,以求更好地发现针对客户内部网络的高级威胁

## MSSP （安全托管服务提供商） ##

MSSP，Managed Security Service Provider，安全托管服务提供商。就是提供MSS服务的专业机构

## EDR （终端检测与响应） ##

## CWPP云工作负载保护平台 ##

Cloud Workload Protection Platforms， 现代数据中心支持运行在物理设备、虚拟机（VM）、容器以及私有云基础架构中的各种工作负载，并且几乎总是涉及一些在一个或多个公有云基础设施即服务（IaaS）提供商中运行的工作负载。云工作负载保护平台（CWPP）市场定义为基于主机的解决方案，主要满足现代混合数据中心架构中，服务器工作负载的保护要求。它为信息安全领导者提供了一种集成的方式，通过使用单个管理控制台和单一方式表达安全策略来保护这些工作负载，而不用考虑工作负载运行的位置。  
可以理解成为基于代理（Agent）的底层技术方案，和传统部署在网络边界上的安全产品不一样，CWPP部署在操作系统层，因此可以横跨物理机、公有云、私有云、混合云等多种数据中心环境，部署方式更加灵活、防护层面更加丰富。采用服务端agent+远程控制台的部署模式，agent支持云、物理、混合环境部署，能有效安全加固服务器、抵御黑客攻击和恶意代码。

云服务商在云主机中部署自己的agent程序，做监控、管理和安全监测。  
功能

木马查杀 
        对各类恶意文件进行检测，包括各类 WebShell 后门和二进制木马，对检测出来的恶意文件进行访问控制和隔离操作，防止恶意文件的再次利用。
    密码破解拦截 
        对密码恶意破解类行为进行检测和拦截， 共享全网恶意 IP 库，自动化实施拦截策略。
    登录行为审计 
        根据登录流水数据，识别常用的登录区域，对可疑的登录行为提供实时告警通知。
    漏洞管理 
        对主机上存在的高危漏洞风险进行实时预警和提供修复方案，包括系统漏洞、web 类漏洞，帮助企业快速应对漏洞风险。
    资产管理 
        支持对机器进行分组标签管理，基于组件识别技术，快速掌握服务器中软件、进程、端口的分布情况。

## AI+IoT ##

作为互联网的延伸的IoT。即Internet of things，也就是将物物相连的互联网。最早由麻省理工学院的Kevin Ashton教授提出，其定义是，通过射频识别（RFID）、全球定位系统等信息传感设备，按约定的协议，把任何物品通过物联网域名相连接，以进行信息交换和通信，实现智能化识别、定位、跟踪、监控和管理的一种网络概念。

根据国际电信联盟（ITU）的解释，物联网主要解决物品与物品（Thing to Thing，T2T），人与物品（Human to Thing，H2T），人与人（Human to Human，H2H）之间的互连。而这些连接要是通过嵌入式计算机系统及传感器装置与物品产生连接，而不是通过PC或者服务器。

## 蜜罐 ##

蜜罐，是指被当做入侵诱饵，引诱黑客前来攻击，以收集相关证据和信息的软件系统。依照蜜网项目组的定义，蜜罐是一种安全资源，其价值在于被探测、被攻击或被攻陷。蜜罐的应用思路，是设计一个诱饵系统，由于没有业务上的实际用途，因此，所有流入/流出这个系统的流量，以及在诱饵系统上的所有操作，都直接反映了相关攻击者的扫描、入侵和攻击行为。

依照部署目标区分，蜜罐可分为产品型和研究性，依照交互性区分，可分为高交互型和低交互型。一般来说，高交互型蜜罐提供真实的操作系统和服务，以增加欺骗性，并可捕获更丰富的信息，但部署难度较大。而低交互型蜜罐大多是对服务和操作系统进行模拟，欺骗性较差，只能抓住一些基于低技术门槛工具的大规模扫描和攻击行为。此外根据蜜罐的部署位置，还可分为互联网蜜罐和内网蜜罐。从价值而言，互联网蜜罐主要针对大规模网络扫描，批量漏洞利用，自动化工具/脚本攻击等攻击行为。而内网蜜罐则是在假定已经被入侵到内网的条件下，在内网关键区域部署，以发现和监视内网扫描、横向移动等内网入侵行为。

蜜罐是情报厂商收集安全数据的重要途径之一。

[Link 1]: https://blog.csdn.net/persistvonyao/article/details/80229641
[Link 2]: https://blog.csdn.net/xianjie0318/article/details/80935634
[CWPP]: https://www.cnblogs.com/yujin123456/p/9950971.html
[EDR_MDR]: http://www.qianjia.com/html/2018-07/31_300133.html
[RSA2019]: https://mp.weixin.qq.com/s/2JsDvnAGz4d1w1dg0qvChA