防御保护笔记

防病毒（AV） --- 传统的AV防病毒的方式是对文件进行查

传统的防病毒的方式是通过将文件缓存之后，再进行特征库的比对，完成检测。但是，因为需 要缓存文件，则将占用设备资源并且，造成转发延迟，一些大文件可能无法缓存，所以，直接 放过可能造成安全风险。

代理扫描 --- 文件需要全部缓存 --- 可以完成更多的如解压，脱壳之类的高级操作，并且，检 测率高，但是，效率较低，占用资源较大。 流扫描 --- 基于文件片段进行扫描 --- 效率较高，但是这种方法检测率有限。

防病毒处理流量

1，进行应用和协议的识别

2，判断这个协议是否支持防病毒的检测，如果不是支持的防病毒协议，则文件将直接通过。

3，之后，需要进行白名单的比对。如果命中白名单，则将不进行防病毒检测，可以同时进行 其他模块的检测。

4，如果没有命中白名单，则将进行特征库的比对。如果比对上了，则需要进行后续处理。 如果没有比对上，则可以直接放行。 这个病毒库也是可以实时对接安全中心进行升级，但是，需要提前购买License进行激 活。

5，如果需要进行后续处理，首先进行“病毒例外“的检测。 --- 这个病毒例外，相当于是病 毒的一个白名单，如果是添加在病毒例外当中的病毒，比对上之后，将直接放通。 ---- 过渡 防护

6，之后，进行应用例外的比对。 --- 类似于IPS模块中的例外签名。针对例外的应用执行和整 体配置不同的动作。

7，如果没有匹配上前面两种例外，则将执行整体配置的动作。 宣告：仅针对邮件文件生效。仅支持SMTP和POP3协议。对于携带病毒的附件，设备允许 文件通过，但是，会在邮件正文中添加病毒的提示，并生成日志。 删除附件：仅针对邮件文件生效，仅支持SMTP和POP3协议。对于携带病毒的附件，设备 会删除掉邮件的附件，同时会在邮件正文中添加病毒的提示，并生成日志。

URL过滤 URL ---- 资源定位符 静态网页 动态网页 --- 需要于数据库进行结合 URI --- 统一资源标识符

URL过滤的方法 黑白名单 --- 如果匹配白名单，则允许该URL请求；如果匹配黑名单，则将拒绝URL请 求。 白名单的优先级高于黑名单。 预定义的

URL分类 本地缓存查询 远程分类服务查询 --- 如果进行了远程的查询，则会将查询结果记录在本地的缓存 中，方便后续的查询。 --- 需要购买license才能被激活。

自定义的URL分类 --- 自定义的优先级高于预定义的优先级

内容过滤技术

文件过滤技术 这里说的文件过滤技术，是指针对文件的类型进行的过滤，而不是文件的内容。 想要实现这个效果，我们的设备必须识别出： 承载文件的应用 --- 承载文件的协议很多，所以需要先识别出协议以及应用

文件传输的方向 --- 上传，下载 文件的类型和拓展名 --- 设备可以识别出

文件的类型和拓展名 --- 设备可以识别出文件的真实类型，但是，如果文件的真实类型 无法识别，则将基于后缀的拓展名来进行判断，主要为了减少一些绕过检测的伪装行为

内容过滤技术

文件内容的过滤 --- 比如我们上传下载的文件中，包含某些关键字（可以进行精准的匹 配，也可以通过正则表达式去实现范围的匹配。） 应用内容的过滤 --- 比如微博或者抖音提交帖子的时候，包括我们搜索某些内容的时 候，其事只都是通过HTTP之类的协议中规定的动作来实现的，包括邮件附件名称，FTP 传递的文件名称，这些都属于应用内容的过滤。 注意：对于一些加密的应用，比如我们HTTPS协议，则在进行内容识别的时候，需要配置 SSL代理（中间人解密）才可以识别内容。但是，如果对于一些本身就加密了的文件，则 无法进行内容识别

邮件过滤技术 SMTP --- 简单邮件传输协议，TCP 25，他主要定义了邮件该如何发送到邮件服务器中。 POP3 --- 邮局协议，TCP 110，他定义了邮件该如何从邮件服务器（邮局）中下载下 来。 IMAP --- TCP 143，也是定义了邮件 该如何从邮件服务器中获取邮件。

VPN其他常用技术

这里说的文件过滤技术，是指针对文件的类型进行的过滤，而不是文件的内容。 想要实现这个效果，我们的设备必须识别出： 承载文件的应用 --- 承载文件的协议很多，所以需要先识别出协议以及应用。 文件传输的方向 --- 上传，下载 文件的类型和拓展名 --- 设备可以识别出文件的真实类型，但是，如果文件的真实类型 无法识别，则将基于后缀的拓展名来进行判断，主要为了减少一些绕过检测的伪装行为

密码学

近现代加密算法

古典加密技术 --- 算法保密原则 近，现代加密技术 --- 算法公开，密钥保密 对称加密算法，非对称加密算法 对称加密 --- 加密和解密的过程中使用的是同一把密钥。 所以，对称加密所使用的算法一定是一种双向函数，是可逆的。 异或运算 --- 相同为0，不同为1 流加密 主要是基于明文流（数据流）进行加密，在流加密中，我们需要使用的密钥是和明 文流相同长度的一串密钥流。

身份认证以及数据认证技术

对数据进行完整性校验 --- 我们会针对原始数据进行HASH运算，得到摘要值，之后， 发送到对端，也进行相同的运算，比对摘要值。如果摘要值相同，则数据完整；如果不 同，则数据不完整。 HASH算法 --- 散列函数 1，不可逆性 2，相同输入，相同输出。 3，雪崩效应 --- 原始数据中即使存在细微的区别，也会在结果中呈现出比较明显 的变化，方便，我们看出数据是否被篡改