网络安全之内容安全

内容安全

攻击可能只是一个点，防御需要全方面进行

IAE引擎

DFI和DPI技术— 深度检测技术

DPI — 深度包检测技术— 主要针对完整的数据包（数据包分片，分段需要重组），之后对 数据包的内容进行识别。（应用层）

1，基于“特征字”的检测技术—最常用的识别手段，基于一些协议的字段来识别特征。

2，基于应用网关的检测技术—有些应用控制和数据传输是分离的，比如一些视频流。
一开始需要TCP建立连接，协商参数，这一部分我们称为信令部分。之后，正式传输数
据后，可能就通过UDP协议来传输，流量缺失可以识别的特征。所以，该技术就是基于 前面信令部分的信息进行识别和控制。 3，基于行为模式的检测技术—
比如我们需要拦截一些垃圾邮件，但是，从特征字中很 难区分垃圾邮件和正常邮件，所以，我们可以基于行为来进行判断。比如，垃圾邮件可
能存在高频，群发等特性，如果出现，我们可以将其认定为垃圾邮件，进行拦截，对IP 进行封锁。

DFI — 深度流检测技术—一种基于流量行为的应用识别技术。这种方法比较适合判断P2P流量。

结论：

1，DFI仅对流量进行分析，所以，只能对应用类型进行笼统的分类，无法识别出具体的应 用；DPI进行检测会更加精细和精准；

2，如果数据包进行加密传输，则采用DPI方式将不能识别具体的应用，除非有解密手段；但 是，加密并不会影响数据流本身的特征，所以，DFI的方式不受影响。

入侵防御（IPS）

IDS — 侧重于风险管理的设备

IPS — 侧重于风险控制的设备

IPS的优势：

1，实时的阻断攻击；

2，深层防护—深入到应用层；

3，全方位的防护—IPS可以针对各种常见威胁做出及时的防御，提供全方位的防护；

4，内外兼防—只要是通过设备的流量均可以进行检测，可以防止发自于内部的攻击。

5，不断升级，精准防护

入侵检测的方法：

异常检测 误用检测

异常检测：

异常检测基于一个假定，即用户行为是可以预测的，遵循一致性模式的；

误用检测

误用检测其实就是创建了一个异常行为的特征库。我们将一些入侵行为记录下来，总结成 为特征，之后，检测流量和特征库进行对比，来发现威胁。

总结：

1，在进行IPS模块检测之前，首先需要重组IP分片报文和TCP数据流；—增加检测的精准性

2，在此之后需要进行应用协议的识别。这样做主要为了针对特定的应用进行对应精细的解 码，并深入报文提取特征。

3，最后，解析报文特征和签名（特征库里的特征）进行匹配。再根据命中与否做出对应预设 的处理方案。

签名— 针对网络上的入侵行为特征的描述，将这些特征通过HASH后和我们报文进行 比对。

签名— 预定义签名—设备上自带的特征库，这个需要我们激活对应的License（许可证）
后才能获取。—这个预定义签名库激活后，设备可以通过连接华为的安全中心进行升级。

自定义签名—自己定义威胁特征。

自定义签名和预定义签名可以执行的动作、

告警— 对命中签名的报文进行放行，但是会记录再日志中

阻断— 对命中签名的报文进行拦截，并记录日志

放行— 对命中签名的报文放行，不记录日志

注意：这里在进行更改时，一定要注意提交，否则配置不生效。修改的配置需要在提交后重启 模块后生效。

ID — 签名的标识

对象— 服务端，客户端，服务端和客户端

服务端和客户端指的都是身份，一般将发起连接的一端称为客户端，接受连接提供服务的称为服务端。

严重性：高，中，低，提示—用来标识该入侵行为的威胁程度 协议，应用程序—指攻击报文所使用的协议或应用类型

检测范围

报文— 逐包匹配

消息— 指基于完整的消息检测，如在TCP交互中，一个完整的请求或应答为一个消 息。一个消息可能包含多个报文，一个报文也可能包含多个消息。 流—
基于数据流。

如果勾选该选项，则下面的“检查项列表”里面的规则将按自上而下，逐一匹配。如果 匹配到了，则不再向下匹配； 如果不勾选，则下面所有规则为“且”的关系。

这里主要是进行签名的筛选，筛选出来的签名和流量进行比对。默认是全选，全选固然安全， 但是，对设备性能能消耗巨大，不建议。

如果需要对个别签名进行特殊处理，则可以写在例外签名中，单独执行动作。 多了阻断IP的动作，含义是可以将对应IP地址添加到黑名单中。

后面的超时时间是加入黑名单的时间。超过超时时间，则将释放该地址。

防病毒（AV）—传统的AV防病毒的方式是对文件进行查杀。

传统的防病毒的方式是通过将文件缓存之后，再进行特征库的比对，完成检测。但是，因为需
要缓存文件，则将占用设备资源并且，造成转发延迟，一些大文件可能无法缓存，所以，直接 放过可能造成安全风险。

代理扫描—文件需要全部缓存—可以完成更多的如解压，脱壳之类的高级操作，并且，检 测率高，但是，效率较低，占用资源较大。 流扫描—
基于文件片段进行扫描—效率较高，但是这种方法检测率有限。

病毒简介

病毒传播

病毒分类

病毒杀链

病毒的工作原理

C&C服务器— 命令控制服务器

防病毒处理流量

1，进行应用和协议的识别

2，判断这个协议是否支持防病毒的检测，如果不是支持的防病毒协议，则文件将直接通过。

3，之后，需要进行白名单的比对。如果命中白名单，则将不进行防病毒检测，可以同时进行

其他模块的检测。

4，如果没有命中白名单，则将进行特征库的比对。如果比对上了，则需要进行后续处理。

如果没有比对上，则可以直接放行。

这个病毒库也是可以实时对接安全中心进行升级，但是，需要提前购买License进行激

活。

5，如果需要进行后续处理，首先进行“病毒例外“的检测。—这个病毒例外，相当于是病

毒的一个白名单，如果是添加在病毒例外当中的病毒，比对上之后，将直接放通。----过渡

防护

6，之后，进行应用例外的比对。—类似于IPS模块中的例外签名。针对例外的应用执行和整

体配置不同的动作。

7，如果没有匹配上前面两种例外，则将执行整体配置的动作。

宣告：仅针对邮件文件生效。仅支持SMTP和POP3协议。对于携带病毒的附件，设备允许

文件通过，但是，会在邮件正文中添加病毒的提示，并生成日志。

删除附件：仅针对邮件文件生效，仅支持SMTP和POP3协议。对于携带病毒的附件，设备

会删除掉邮件的附件，同时会在邮件正文中添加病毒的提示，并生成日志。

学习网络安全技术的方法无非三种:

第一种是报网络安全专业，现在叫网络空间安全专业，主要专业课程:程序设计、计算机组成原理原理、数据结构、操作系统原理、数据库系统、 计算机网络、人工智能、自然语言处理、社会计算、网络安全法律法规、网络安全、内容安全、数字取证、机器学习，多媒体技术，信息检索、舆情分析等。

第二种是自学，就是在网上找资源、找教程，或者是想办法认识一-些大佬，抱紧大腿，不过这种方法很耗时间，而且学习没有规划，可能很长一段时间感觉自己没有进步，容易劝退。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

第三种就是去找培训。

接下来，我会教你零基础入门快速入门上手网络安全。

网络安全入门到底是先学编程还是先学计算机基础？这是一个争议比较大的问题，有的人会建议先学编程，而有的人会建议先学计算机基础，其实这都是要学的。而且这些对学习网络安全来说非常重要。但是对于完全零基础的人来说又或者急于转行的人来说，学习编程或者计算机基础对他们来说都有一定的难度，并且花费时间太长。

第一阶段：基础准备 4周~6周

这个阶段是所有准备进入安全行业必学的部分，俗话说：基础不劳，地动山摇

第二阶段：web渗透

学习基础 时间：1周 ~ 2周：

① 了解基本概念：（SQL注入、XSS、上传、CSRF、一句话木马、等）为之后的WEB渗透测试打下基础。
② 查看一些论坛的一些Web渗透，学一学案例的思路，每一个站点都不一样，所以思路是主要的。
③ 学会提问的艺术，如果遇到不懂得要善于提问。

配置渗透环境 时间：3周 ~ 4周：

① 了解渗透测试常用的工具，例如（AWVS、SQLMAP、NMAP、BURP、中国菜刀等）。
② 下载这些工具无后门版本并且安装到计算机上。
③ 了解这些工具的使用场景，懂得基本的使用，推荐在Google上查找。

渗透实战操作 时间：约6周：

① 在网上搜索渗透实战案例，深入了解SQL注入、文件上传、解析漏洞等在实战中的使用。
② 自己搭建漏洞环境测试，推荐DWVA，SQLi-labs，Upload-labs，bWAPP。
③ 懂得渗透测试的阶段，每一个阶段需要做那些动作：例如PTES渗透测试执行标准。
④ 深入研究手工SQL注入，寻找绕过waf的方法，制作自己的脚本。
⑤ 研究文件上传的原理，如何进行截断、双重后缀欺骗(IIS、PHP)、解析漏洞利用（IIS、Nignix、Apache）等，参照：上传攻击框架。
⑥ 了解XSS形成原理和种类，在DWVA中进行实践，使用一个含有XSS漏洞的cms，安装安全狗等进行测试。
⑦ 了解一句话木马，并尝试编写过狗一句话。
⑧ 研究在Windows和Linux下的提升权限，Google关键词：提权

以上就是入门阶段

第三阶段：进阶

已经入门并且找到工作之后又该怎么进阶？详情看下图

给新手小白的入门建议：
新手入门学习最好还是从视频入手进行学习，视频的浅显易懂相比起晦涩的文字而言更容易吸收，这里我给大家准备了一套网络安全从入门到精通的视频学习资料包免费领取哦！

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！