一、IAE（Intelligent Awareness Engine）引擎
二、深度检测技术(DFI和DPI）
1.DPI – 深度包检测技术
DPI主要针对完整的数据包（数据包分片，分段需要重组），之后对数据包的内容进行识别。（应用层）
（1）基于“特征字”的检测技术
（2）基于应用网关的检测技术
有些应用控制和数据传输是分离的，比如一些视频流。一开始需要TCP建立连接，协商参数，这一部分我们称为信令部分。之后，正式传输数据后，可能就通过UDP协议来传输，流量缺失可以识别的特征。所以，该技术就是基于前面信令部分的信息进行识别和控制。
（3）基于行为模式的检测技术
比如我们需要拦截一些垃圾邮件，但是，从特征字中很难区分垃圾邮件和正常邮件，所以，我们可以基于行为来进行判断。比如，垃圾邮件可能存在高频，群发等特性，如果出现，我们可以将其认定为垃圾邮件，进行拦截，对IP进行封锁。
2.DFI – 深度流检测技术
结论：
DFI仅对流量进行分析，所以，只能对应用类型进行笼统的分类，无法识别出具体的应用；DPI进行检测会更加精细和精准；如果数据包进行加密传输，则采用DPI方式将不能识别具体的应用，除非有解密
手段；但是，加密并不会影响数据流本身的特征，所以，DFI的方式不受影响。
三、入侵防御
IDS：侧重于风险管理的设备
IPS：侧重于风险控制的设备
1. IPS的作用
IPS是一种安全机制，通过分析网络流量来检测入侵（包括缓冲区溢出攻击、木马、蠕虫等），并通过一定的响应方式（自动丢弃入侵报文或阻断攻击源）来实时地中止入侵行为（既能发现又能阻止入侵行为），从根本上避免攻击行为。
2.IPS的优势
（1）实时的阻断攻击；
（2）深层防护 — 深入到应用层；
（3）全方位的防护 — IPS可以针对各种常见威胁做出及时的防御，提供全方位的防护；
（4）内外兼防 — 只要是通过设备的流量均可以进行检测，可以防止发自于内部的攻击。
（5）不断升级，精准防护
3.与传统IDS的区别
（1）IDS侧重于风险管理，IPS侧重于风险控制；
（2）IDS无法检测应用层内容，误报和漏报率居高不下，而日志和告警又过多，IPS可对报文层层剥离，进行协议识别和报文解析后再进行分类和特征匹配，保证检测的精确性；
（3）DS是被动检测攻击，只能通过响应机制报告给FW，再由FW来阻断攻击，IPS是积极主动的入侵防御阻止系统，可以自动将攻击包丢弃或将攻击源阻断，有效地实现了主动防御功能。
4.入侵检测
入侵防御实现机制
（1）重组应用数据：针对逃避入侵检测的行为，首先进行IP分片及TCP流的重组，确保应用层数据的连续性；
（2）协议识别和协议解析：可根据报文内容识别出多种常见应用层协议，再根据具体协议分析方案进行更为精细的分析，并深入提取报文特征；
（3）特征匹配：将解析后的报文特征与签名进行匹配，如果命中则进行响应；
（4）响应处理：完成检测后根据管理员配置的动作对匹配到签名的报文进行处理。
签名
签名用于描述网络中攻击行为的特征，通过将数据流与入侵防御签名进行比较来检测防范攻击。
预定义签名：入侵防御特征库中包含的签名，缺省动作包括放行、告警和阻断；
自定义签名：针对新的攻击类型或特殊目的进行配置，系统会自动对自定义规则的合法性和正则表达式进行检查，动作行为包括阻断和告警。
签名过滤器
满足指定过滤条件的集合，用于特征库升级后从大量签名中剔除本网络中没有该特征的签名或针对本网络中常出现的威胁过滤出该特征的签名。
例外签名：对签名过滤器批量过滤出的签名设置不同的动作。
入侵防御对数据流的处理：命中签名→查找签名对应的配置文件→是否命中例外签名→是否命中签名过滤器→结束入侵防御处理流程。
检测方向
安全策略的方向是会话发起的方向，而不是攻击流量的方向。
异常检测
异常检测基于一个假定，即用户行为是可以预测的，遵循一致性模式的
误用检测
误用检测其实就是创建了一个异常行为的特征库。我们将一些入侵行为记录下来，总结成为特征，之后，检测流量和特征库进行对比，来发现威胁。
总结：
在进行IPS模块检测之前，首先需要重组IP分片报文和TCP数据流； — 增加检测的精准性
在此之后需要进行应用协议的识别。这样做主要为了针对特定的应用进行对应精细的解码，并深入报文提取特征。
最后，解析报文特征和签名（特征库里的特征）进行匹配。再根据命中与否做出对应预设的处理方案。
四、防病毒网关（AV）
病毒：一种恶意代码，可感染或附着在应用程序或文件中，一般通过邮件或文件共享等协议进行传播，表现为耗尽主机资源、占用网络带宽、控制主机权限、窃取数据或对硬件造成破坏。
反病毒：一种安全机制，通过凭借庞大且不断更新的病毒特征库识别和处理病毒文件来保证网络安全，一般部署在企业网入口
代理扫描 — 文件需要全部缓存 — 可以完成更多的如解压，脱壳之类的高级操作，并且，检测率高，但是，效率较低，占用资源较大。
流扫描 — 基于文件片段进行扫描 — 效率较高，但是这种方法检测率有限。
病毒杀链
病毒的工作原理
C&C服务器 — 命令控制服务器
防病毒处理流量
1.进行应用和协议的识别
2.判断这个协议是否支持防病毒的检测，如果不是支持的防病毒协议，则文件将直接通过。
3.之后，需要进行白名单的比对。如果命中白名单，则将不进行防病毒检测，可以同时进行其他模块的检测。
4.如果没有命中白名单，则将进行特征库的比对。如果比对上了，则需要进行后续处理。如果没有比对上，则可以直接放行。
这个病毒库也是可以实时对接安全中心进行升级，但是，需要提前购买License进行激活。
5.如果需要进行后续处理，首先进行“病毒例外“的检测。 — 这个病毒例外，相当于是病毒的一个白名单，如果是添加在病毒例外当中的病毒，比对上之后，将直接放通。
---- 过渡防护
6.之后，进行应用例外的比对。 — 类似于IPS模块中的例外签名。针对例外的应用执行和整体配置不同的动作。
7.如果没有匹配上前面两种例外，则将执行整体配置的动作。
宣告：仅针对邮件文件生效。仅支持SMTP和POP3协议。对于携带病毒的附件，设备允许文件通过，但是，会在邮件正文中添加病毒的提示，并生成日志。
删除附件：仅针对邮件文件生效，仅支持SMTP和POP3协议。对于携带病毒的附件，设备会删除掉邮件的附件，同时会在邮件正文中添加病毒的提示，并生成日志。
防病毒的配置
需求：假设内网用户需要通过外网的web服务器和pop3邮件服务器下载文件和邮件，内网的FTP服务器也需要接受外网用户上传的文件。针对该场景进行防病毒的防护。
五、URL过滤
1.作用
URL ---- 资源定位符, 通过允许或禁止用户访问某些网络资源，达到规范上网行为的目的，可以设置生效时间段，也可以设置动作为放行、告警或阻断。
静态网页
动态网页 — 需要于数据库进行结合
URI — 统一资源标识符
2.过滤的方法
作用：黑名单是不允许用户访问的URL列表，白名单是允许用户访问的URL列表；
黑白名单与URL分类：白名单＞黑名单＞自定义URL分类＞预定义URL分类，黑白名单可以看做是特殊的（动作不可更改）自定义URL分类，另外自定义URL分类会被URL过滤配置文件自动引用，而黑白名单不具备共用性；
内嵌白名单功能：当大型网页中内嵌了其它网页链接时，如果只将主网页加入白名单，则该主网页下内嵌的其它网页都将无法正常访问，内嵌白名单功能通过用户HTTP请求中的referer字段（标识用户从哪个网页跳转过来）去匹配内嵌白名单从而实现对内嵌网页的访问，其包括以下两种方式；
方式一：使用用户手工配置的referer-
host与HTTP请求中的referer字段进行匹配，此时如果未能匹配，则用户还可以选择是否将referer字段继续匹配白名单；
方式二：使用白名单与referer字段进行匹配，该项默认开启。
仅支持白名单模式功能：仅匹配白名单，匹配即放行，不匹配则阻断。
3.匹配方式
精确＞后缀＞前缀＞关键字
4.识别方式
六、DNS过滤
1.作用
通过允许或禁止用户访问某些网络资源，达到规范上网行为的目的，可以设置生效时间段，也可以设置动作为放行、告警或阻断。
2.机制
DNS请求报文中提取域名→白名单→黑名单→自定义DNS分类→本地缓存中的预定义DNS分类→远程服务器是否可用→远程服务器查询是否超时→按返回的预定义分类控制动作处理→是否被阻断→是否配置重定向→重定向到有效地址→结束。
七、内容安全过滤技术
1.文件过滤技术
指针对文件的类型进行的过滤，而不是文件的内容。
作用：根据文件类型对特定文件进行过滤，防止公司机密信息和用户个人信息泄露。
机制：
当通过FW的文件（流量）匹配了一条安全策略规则（动作为permit）且引用了文件过滤配置文件时将进行文件过滤检测，以对特定类型的文件进行阻断或告警。
（1）文件过滤配置：包括承载文件的应用、文件传输方向、文件类型和文件扩展名。
（2）文件识别异常配置：定义了文件类型识别结果异常时的处理动作。
（3）动作：根据文件识别的结果和文件识别异常的响应动作来决定。
压缩
文件过滤技术的处理流程
文件过滤的位置是在AV扫描之前，主要是可以提前过滤掉部分文件，减少AV扫描的工作量，提高工作效率。
2. 内容过滤技术
文件内容的过滤：比如我们上传下载的文件中，包含某些关键字（可以进行精准的匹配，也可以通过正则表达式去实现范围的匹配。）
应用内容的过滤
比如微博或者抖音提交帖子的时候，包括我们搜索某些内容的时候，其事只都是通过HTTP之类的协议中规定的动作来实现的，包括邮件附件名称，FTP传递的文件名称，这些都属于应用内容的过滤。
注意：对于一些加密的应用，比如我们HTTPS协议，则在进行内容识别的时候，需要配置SSL代理（中间人解密）才可以识别内容。但是，如果对于一些本身就加密了的文件，则无法进行内容识别。
内容识别的动作包括：告警，阻断，按权重操作：我们可以给每一个关键字设计一个权重值，如果检测到多个关键字的权重值超过预设值，则执行告警或者阻断的动作。
3.邮件过滤技术
主要是用来过滤垃圾邮件的。—所谓垃圾邮件，就是收件人事先没有提出要求或者同意接受的广告，电子刊物，各种形式的宣传的邮件。包括，一些携带病毒，木马的钓鱼邮件，也属于垃圾邮件。
作用：使用IP地址检查和邮件内容过滤技术防止垃圾邮件泛滥、匿名邮件非法传播和信息泄密。
统计法 — 基于行为的深度检测技术
贝叶斯算法 — 一种基于预测的过滤手段
基于带宽的统计 — 统计单位时间内，某一个固定IP地址试图建立的连接数，限制单位时间内单个IP地址发送邮件的数量。
基于信誉评分 — 一个邮件服务器如果发送垃圾邮件，则将降低信誉分，如果信誉比较差，则将其发出的邮件判定为垃圾邮件。
列表法 — 黑，白名单
RBL（Real-time Blackhole List） — 实时黑名单 —
RBL服务器所提供，这里面的内容会实时根据检测的结果进行更新。我们设备在接收到邮件时，可以找RBL服务器进行查询，如果发现垃圾邮件，则将进行告知。 —
这种方法可能存在误报的情况，所以，谨慎选择丢弃动作。
源头法
SPF技术 — 这是一种检测伪造邮件的技术。可以反向查询邮件的域名和IP地址是否对应。如果对应不上，则将判定为伪造邮件。
意图分析
通过分析邮件的目的特点，来进行过滤，称为意图分析。（结合内容过滤来进行。）
机制：分为基于IP的过滤和基于邮件内容的过滤。
SMTP — 简单邮件传输协议，TCP 25，他主要定义了邮件该如何发送到邮件服务器中。
POP3 — 邮局协议，TCP 110，他定义了邮件该如何从邮件服务器（邮局）中下载下来。
IMAP — TCP 143，也是定义了邮件 该如何从邮件服务器中获取邮件。
（使用POP3则客户端会将邮件服务器中未读的邮件都下载到本地，之后进行操作。邮件服务器上会将这些邮件删除掉。如果是IMAP，用户可以直接对服务器上的邮件进行操作。而不需要将邮件下载到本地进行操作。）
4.应用行为控制技术
常用于企业内部对内网用户的HTTP/FTP/IM行为进行更为精确的控制。
主要针对HTTP和FTP协议。
题外话
初入计算机行业的人或者大学计算机相关专业毕业生，很多因缺少实战经验，就业处处碰壁。下面我们来看两组数据：
2023届全国高校毕业生预计达到1158万人，就业形势严峻；
国家网络安全宣传周公布的数据显示，到2027年我国网络安全人员缺口将达327万。
一方面是每年应届毕业生就业形势严峻，一方面是网络安全人才百万缺口。
6月9日，麦可思研究2023年版就业蓝皮书（包括《2023年中国本科生就业报告》《2023年中国高职生就业报告》）正式发布。
2022届大学毕业生月收入较高的前10个专业
本科计算机类、高职自动化类专业月收入较高。2022届本科计算机类、高职自动化类专业月收入分别为6863元、5339元。其中，本科计算机类专业起薪与2021届基本持平，高职自动化类月收入增长明显，2022届反超铁道运输类专业（5295元）排在第一位。
具体看专业，2022届本科月收入较高的专业是信息安全（7579元）。对比2018届，电子科学与技术、自动化等与人工智能相关的本科专业表现不俗，较五年前起薪涨幅均达到了19%。数据科学与大数据技术虽是近年新增专业但表现亮眼，已跻身2022届本科毕业生毕业半年后月收入较高专业前三。五年前唯一进入本科高薪榜前10的人文社科类专业——法语已退出前10之列。
“没有网络安全就没有国家安全”。当前，网络安全已被提升到国家战略的高度，成为影响国家安全、社会稳定至关重要的因素之一。
网络安全行业特点
1、就业薪资非常高，涨薪快 2022年猎聘网发布网络安全行业就业薪资行业最高人均33.77万！
2、人才缺口大，就业机会多
2019年9月18日《中华人民共和国中央人民政府》官方网站发表：我国网络空间安全人才 需求140万人，而全国各大学校每年培养的人员不到1.5W人。猎聘网《2021年上半年网络安全报告》预测2027年网安人才需求300W，现在从事网络安全行业的从业人员只有10W人。
行业发展空间大，岗位非常多
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…
职业增值潜力大
网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。
随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。
从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。
黑客&网络安全如何学习
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
1.学习路线图
行业发展空间大，岗位非常多
网络安全行业产业以来，随即新增加了几十个网络安全行业岗位︰网络安全专家、网络安全分析师、安全咨询师、网络安全工程师、安全架构师、安全运维工程师、渗透工程师、信息安全管理员、数据安全工程师、网络安全运营工程师、网络安全应急响应工程师、数据鉴定师、网络安全产品经理、网络安全服务工程师、网络安全培训师、网络安全审计员、威胁情报分析工程师、灾难恢复专业人员、实战攻防专业人员…
职业增值潜力大
网络安全专业具有很强的技术特性，尤其是掌握工作中的核心网络架构、安全技术，在职业发展上具有不可替代的竞争优势。
随着个人能力的不断提升，所从事工作的职业价值也会随着自身经验的丰富以及项目运作的成熟，升值空间一路看涨，这也是为什么受大家欢迎的主要原因。
从某种程度来讲，在网络安全领域，跟医生职业一样，越老越吃香，因为技术愈加成熟，自然工作会受到重视，升职加薪则是水到渠成之事。
黑客&网络安全如何学习
今天只要你给我的文章点赞，我私藏的网安学习资料一样免费共享给你们，来看看有哪些东西。
1.学习路线图
攻击和防守要学的东西也不少，具体要学的东西我都写在了上面的路线图，如果你能学完它们，你去就业和接私活完全没有问题。
2.视频教程
网上虽然也有很多的学习资源，但基本上都残缺不全的，这是我自己录的网安视频教程，上面路线图的每一个知识点，我都有配套的视频讲解。
内容涵盖了网络安全法学习、网络安全运营等保测评、渗透测试基础、漏洞详解、计算机基础知识等，都是网络安全入门必知必会的学习内容。
3.技术文档和电子书
技术文档也是我自己整理的，包括我参加大型网安行动、CTF和挖SRC漏洞的经验和技术要点，电子书也有200多本，由于内容的敏感性，我就不一一展示了。
4.工具包、面试题和源码
“工欲善其事必先利其器”我为大家总结出了最受欢迎的几十款款黑客工具。涉及范围主要集中在 信息收集、Android黑客工具、自动化工具、网络钓鱼等，感兴趣的同学不容错过。
还有我视频里讲的案例源码和对应的工具包，需要的话也可以拿走。
这些题目都是大家在面试深信服、奇安信、腾讯或者其它大厂面试时经常遇到的，如果大家有好的题目或者好的见解欢迎分享。
参考解析：深信服官网、奇安信官网、Freebuf、csdn等
内容特点：条理清晰，含图像化表示更加易懂。
内容概要：包括 内网、操作系统、协议、渗透测试、安服、漏洞、注入、XSS、CSRF、SSRF、文件上传、文件下载、文件包含、XXE、逻辑漏洞、工具、SQLmap、NMAP、BP、MSF…
因篇幅有限，仅展示部分资料，需要点击下方链接即可前往获取
如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！
1939
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
