操作系统安全----比如windows,linux

安全标识--实体唯一性

windows---主体：账户，计算机，服务

安全标识符SID-Security Identifier

普通用户SID是1000，管理用SID是500

linux---主体：用户，用户组，服务

用户标识符UID，用户组标识符GID

身份鉴别

windows鉴别信息管理---账户管理器的SAM文件

SAM是隐藏文件，需要System权限访问

鉴别方式：远程鉴别，本地鉴别

远程--安全性高低SMB(明文)<LM(哈希值)<NTLM协议(LM+验证码)

本地--鉴别信息 GINA-LSA

linux鉴别信息管理---账户文件，影子文件

账户文件(/etc/passwd)--用户描述，账号策略，加密的用户密码散列--文本格式

影子文件(/etc/shadow)--用户密码散列，密码管理策略信息---文本格式仅对root可读可写

访问控制

windows

文件系统访问控制--ACL访问控制列表

程序授权访问控制--CL令牌机制，权限存储在操作数据流中

用户角色访问控制--默认角色访问控制RBAC

网络边界访问控制--主机防火墙ACL

系统完整性校验--CLARK-WILSON模型

系统内核保护机制--用BLP和BIBA模型

linux

文件系统访问控制--ACL访问控制列表

   读R，写W，执行X，特殊权限S

  

  r4w2x1,命令设置的时候可以写755，就是读写执行，读执行，读执行--用来对应当前用户权限，组用户权限，其他人权限

用户角色访问控制--角色访问控制RBAC

网络边界访问控制--用IPtable包过滤防火前ACL访问控制

系统完整状态保护--CLARK-WILSON模型

系统内核状态保护--用BSELinux Domain-Type模型

保密性和完整性

windows

存储保密---NTFS文件系统的EFS文件机密，BITLOCKER分区加密

信道保护---正常信道保护，隐蔽信道保护

通道保护--VPN保密，IP安全策略IPSEC机制保密，SSL/TLS通信保密

linux

存储保密---EXT文件系统的eCryptFS文件加密系统

通道保护---PPTP/L2TP,IPSEC VPN,SSL/TLS VPN,SSH

安全审计

windows系统安全审计

日志：系统，安全，应用，IE

应用日志--IIS日志等

linux系统安全审计

连接时间日志，

进程统计，

错误日志，

应用日志

系统安全配置

安装与部署---分区设置，安全补丁，最新版本，可靠镜像，攻击面最小化原则，关闭不需要的服务和功能

身份鉴别配置---管理员更名并给与安全口令，密码策略(复杂度，长度，更新时间)，账户锁定策略(阈值，计数，时间)

访问控制配置---优先非root或非administrator权限，默认权限修改，关闭共享且不能重启，关闭自动播放，开放端口最小化动态化，开放服务最小化，远程连接防火墙或IPtables设置，远程SSH控制策略，ETC可信访问主体配置策略

保密性与完整性

window--关闭自检，其他EFS加密，根据需要启动TLS本地粗略，修改默认主机名信息；

linux--启动eCrpFS文件加解密功能,启动PPTP,TLS功能，修改默认Banner信息

日志设置要求---日志项分类全面，日志空间时间访问权限，日志更新覆盖删除策略，日志服务器。

网络安全法要求日志存储6个月。

备份恢复---快照机制，OS镜像，备份，集群部署

补丁升级---漏洞检测， 补丁升级，版本机制

其他设置---防病毒软件，操作系统基线核查，主机监控与审计，堡垒机，其他安全加固

windows对比linux

内核系统的核心，对接硬件，是软件和硬件之间接口，系统启动第一个程序；

系统是硬件资源的软件的集合，是用户和计算机硬件之间接口，安全性，计算机启动第一个加载；

数据库安全----比如sql,magodb

标识与鉴别---实体所知进行用户鉴别，用户管理策略设定；用户对不同数据对象操作权限：系统，模式，数据权限。

访问控制---角色访问控制RBAC，事务机制Clark-Wilson访问控制

保密性---传输加密，存储加密

https传输加密。

DBMS内核加密，

os层加密

DBMS外层加密

视图-知必所需原则

数据库统计规则

完整性---完整性约束，完整性检查，违约处理机制

约束：实体完整性(Primary key唯一，不为空)，参照完整性(foreign key关联)，自定义完整性(定义非空，唯一，布尔值)，域完整性(check，foreign  key,default，not null)

事务完整性：动态变化一致性Clark-wilson模型

安全审计---日志分级(数据级、用户级、系统级---对应操作，行为，授权）

备份恢复---备份(冗余技术，数据转储和日志文件)，恢复(事务、系统，介质故障)

运行安全--IATF防御体系

三要素(人，技术，操作)，四领域(计算环境，边界安全，网络基础设施，支撑性基础设施)

机构：标识与鉴别，访问控制，传输加密，审计

运行安全--PPDR防护体系

PPDR模型：策略，防护，检测， 响应

安全措施：事前防护，事中检查或监控，事后响应和审计

应用数据安全---比如qq,浏览器

WEB安全

程序-软件安全开发

输入输出处理，会话控制，文件系统处理，用户访问机构，日志处理

协议-http改进为https---请求响应模式

常见问题：信息泄露，弱验证，缺乏状态追踪

解决：TLS1.2和1.3版本

中间件-支撑软件配置

安全漏洞管理

软件安全配置--不允许远程写入，更改默认账户和口令

浏览器安全

用安全的浏览器，谷歌，IE等

网站安全级别防护---行为组织和控制

控制脚本运行--先禁止后允许

Cookies管理

设置cooie策略---退出删除cookie,不记录cookie

隐私保护---不自动保存浏览历史，不自动保存用户名密码

web安全防护技术：Web防火墙WAF，网页访篡改系统

电子邮件安全

协议：SMTP传输，POP3接收，IMAP接收和转储

存在问题：信息泄露，身份验证不足，垃圾邮件，社工攻击

安全协议：加解密，签名，身份鉴别

安全配置：

提高验证强度：强密码、验证码、手机号码

关闭开放式转发：防止敏感信息扩散

反向域名验证：识别非法的邮件地址

软件版本升级、补丁加固

使用习惯：客户端已TXT方式阅读，附件文件加密，附件下载病毒查杀，定期清空在线邮件

域名系统安全

DNS机制：分布式数据库系统，弱认证，DNS接卸UDP协议，递归查询TCP协议

存在问题：拒绝服务，DNS欺骗

解决：DNS运营商配置、加固和维护

远程管理安全

远程明文传输信息泄露

解决：加密的远程管理SSH，设置账号安全策略对抗口令破解

办公软件安全

存在问题：文件泄露，篡改，丢失，感染宏病毒，被加密勒索，盗版软件，云文档安全

解决：合适的版本，及时打补丁，PDF发布，文件加密，完整性控制，访问控制，数字签名，文件备份，正版管理，关闭云文档，部署DLP

社交与即时通讯安全

网络诈骗

信息泄露

非法信息和恶意代码传播

数据防泄漏DLP

网络安全法中对数据保护要求：

    未经被收集者同意，不得向他人提供个人信息；

    采取技术措施和其他必要措施，确保其收集的个人信息安全，防止信息泄露、毁损、丢失。

数据泄露防护应覆盖数据外泄渠道，需要关注问题：

什么敏感数据需要发出；谁会发出敏感数据；发往哪；使用协议，端口；违反哪些安全策略；违规程度。

攻击和防护

攻击

信息收集与防范

        收集系统资料：域名，拓扑，操作系统，应用软件，相关脆弱性

        收集组织资料：组织架构及关联组织，地址位置，电话号码，邮件，近期事件，员工简历

        快速定位

        信息挖掘---定点采集，隐藏信息，后台入口

       网络信息收集--正常服务，系统功能

       信息收集--服务旗标，欢迎信息，端口扫描，TCP/IP协议指纹识别法

      公安信息收集防御---展示最小化原则，不必要的信息不发布

      网络信息收集防御---修改默认配置，减少攻击面

       

缓冲区溢出及防范

    原理：编写不严谨，缓冲区写入超过预定长度的数据，造成缓存的溢出，破坏程序堆栈

   危害：最大数量的漏洞类型，漏洞危害等级高

   防范：用户打补丁，防火墙；开发人员内存动态管理，逻辑内存，虚拟内存，业务限速，输入数据验证，相对安全函数；系统缓冲区不可执行技术，虚拟化技术。

SQL注入及防范

    原理：输入语句合法性判断，造成绕过应用程序限制

   防御对象：外部传输数据，用户的提交，其他系统传入数据

  防御方法：白名单限制传递数据格式，黑名单过滤，部署防SQL注入系统或脚本

脚本攻击及防范

    原理：用户提交的HTML脚本代码没有过滤或转换

    危害：敏感信息泄露，账号劫持，Cookie欺骗，拒绝服务，钓鱼

    防范：优先用静态网站或静态发布，对脚本进行严格验证和过滤

网页欺诈、钓鱼

   欺骗域名：

   欺骗内容：打折，中奖

隐私泄露

   诱骗注册：用户名密码，邮箱，密码问题答案

   免费赠送：电话，地址，姓名

恶意代码防护

引起计算机故障，破坏计算机数据，影响系统正常使用的程序代码

类型：二进制代码，脚本语言，宏语言

表现形式：病毒，蠕虫，木马，后门程序，流氓软件，逻辑炸弹，APT攻击

传播方式：文件传播，网络传播，软件部署

检测技术：

   行为检测：

   判断状态， 漏报低，能检测到未知病毒；误报高，未必是真正攻击。---一般用白名单

   特征检测：

   危害特征判断，误报低，检测到的都是攻击；漏报高，未知病毒无法识别发现。---一般用黑名单检测。

分析技术：

    静态分析：不实际执行恶意代码，直接二进制分析

    动态分析：执行恶意代码，使用监控机测试软件分析。看本地的文件读写，看网络的远程访问调用

恶意代码清除

感染引导区---修复，重建

感染文件---附着性逆向还原，替换型备份还原

独立文件---内存退出，删除文件

嵌入型---更新软件或系统，重置系统

互联网技术的防御

恶意代码检测与预警体系：蜜罐，蜜网

云查杀体系：行为检测-沙箱-特征检测-状态升级-返回1-上传云端-识别启动-数据统计-云端研判-同步地端升级-沙箱-释放或清除