IDS、恶意软件、APT

IDS（入侵检测系统）

1. 什么是IDS？

IDS（入侵检测系统）：

对系统的运行状态进行监视，发现各种攻击企图、攻击行为、攻击结果。用于保证系统资源的安全

（机密性、完整性、可用性）

作用：

• 识别入侵者
• 识别入侵行为
• 检测和监视已成功的入侵
• 为对抗入侵提供信息与依据，防止时态扩大

2. IDS和防火墙有什么不同？

防火墙是在内网和外网之间的一道防御系统，IDS是一个旁路监听设备，没有也不需要跨接在任何链路上，无需流量流经过也能进行工作

设备所处点不同
防火墙是在内网和外网之间的一道防御系统
IDS是一个旁路监听设备，没有也不需要跨接在任何链路上，无需流量流经过也能进行工作

作用点不同
通过了防火墙的数据防火墙就不能进行其他操作
入侵检测（IDS） 是防火墙的有力补充，形成防御闭环，可以及时、正确、全面的发现入侵，弥补防火墙对应用层检测的缺失

动作不同
防火墙可以允许内部的一部分主机被外部访问
IDS只有监视和分析用户和系统的活动、行为

入侵检测是防火墙的一个有力补充，形成防御闭环，可以及时、准确、全面的发现入侵，弥补防火墙对应用层检查的缺失。

3. IDS工作原理？

IDS分为实时入侵检测和事后入侵检测：

• 实时入侵检测：在网络连接过程中进行，发现入侵迹象立即断开当前连接，并收集证据和实施数据恢复。
• 事后入侵检测：由安全人员进行检测。

入侵检测分类：

• 基于网络：通过连接在网络的站点捕获数据包，分析是否具有已知攻击模式。
• 基于主机：通过分析系统审计数据来发现可疑活动，比如内存和文件的变化；输入数据只要来源于系统日志。

入侵检测技术途径：

• 信息收集：系统日志、目录以及文件的异常改变、程序执行中的异常行为、物理形式的入侵信息。
• 数据分析

4. IDS的主要检测方法有哪些详细说明？

异常检测（行为）:当某个事件与一个已知的攻击特征(信号)相匹配时。一个基于异常的IDS会记录一个正常主机的活动大致轮廓，当一个事件在这个轮廓以外发生，就认为是异常，IDS就会告警。

• 特征检测（比对）: IDS核心是特征库 (签名)
  签名用来描述网络入侵行为的特征，通过比较报文特征和签名来检测入侵行为

• 异常检测模型 (Anomaly Detection)
  首先总结正常操作应该具有的特征(用户轮廓)，当用户活动与正常行为有重大偏离时即被认为是入侵。

• 误用检测模型 (Misuse Detection)
  收集非正常操作的行为特征，建立相关的特征库，当检测的用户或系统行为与库中的记录相匹配时，系统就认为这种行为是入侵，误用检测模型也称为特征检测 (signature-based detection)

5. IDS的部署方式有哪些？

• 旁挂 : 需要在部署旁挂设备上使用端口镜像的功能，把需要采集的端口流量镜像到IDS旁挂口。也可以使用集线器、分光器实现流量复制。(即使是IPS也会有旁挂)

• 直路：直接串连进现网，可以对攻击行为进行实时防护，缺点是部署的时候需要断网，并增加了故障点

• 单臂：旁挂在交换机上，不需改变现网，缺点是流量都经过一个接口，处理性能减半，另外不支持BYPASS

• 旁路：通过流量镜像方式部署，不改变现网，缺点是只能检测不能进行防御

6. IDS的签名是什么意思？签名过滤器有什么作用？例外签名配置作用是什么？

IDS签名：入侵防御签名用来描述网络种存在的攻击行为的特征，通过将数据流和入侵防御签名进行比较来检测和防范攻击。

签名过滤器是若干签名的集合，我们根据特定的条件如严重性、协议、威胁类型等，将IPS特征库中适用于当前业务的签名筛选到签名过滤器中，后续就可以重点关注这些签名的防御效果。通常情况下，对于筛选出来的这些签名，在签名过滤器中会沿用签名本身的缺省动作。特殊情况下，我们也可以在签名过滤器中为这些签名统一设置新的动作，操作非常便捷。

签名过滤器的作用： 由于设备长时间工作，累积了大量签名，需要对其进行分类，没有价值会被过滤器过滤掉。起到筛选的作用。

签名过滤器的动作分为

• 阻断:丢弃命中签名的报文，并记录日志

• 告警:对命中签名的报文放行，但记录日志。

• 采用签名的缺省动作，实际动作以签名的缺省动作为准

签名过滤器的动作优先级高于签名缺省动作，当签名过滤器动作不采用缺省动作时以签名过滤器中的动作为准。

例外签名作用：
由于签名过滤器会批量过滤出签名，且通常为了方便管理会设置为统一的动作。如果管理员需要将某些签名设置为与过滤器不同的动作时，可将这些签名引入到例外签名中，并单独配置动作。

例外签名的动作分为:

• 阻断: 丢弃命中签名的报文并记录日志
• 告警: 对命中签名的报文放行，但记录日志。
• 放行: 对命中签名的报文放行，且不记录日志。添加黑名单: 是指丢弃命中签名的报文，阻断报文所在的数据流，记录日志，并可将报文的源地址或目的地址添加至黑名单

恶意软件

1. 什么是恶意软件？

 以多种途径感染合法用户计算机给予以加害的一种计算机程序。恶意软件能够以多种途径感染计算机和设备，并且会表现出多种形式，比如说病毒、蠕虫、木马等恶意软件是旨在恶意破坏网络、计算机、服务器、客户端的正常运行或对其造成损害的软件的统称

2. 恶意软件有哪些特征？

• 下载特征
  很多木马、后门程序间谍软件会自动连接到internet某Web站点，下载其他的病毒文件或该病毒自身的更新版本/其他变种。

• 后门特征
  后门程序及很多木马、蠕虫和间谍软件会在受感染的系统中开启 并侦听某个端口，允许远程恶意用户来对该系统进行远程操控
  某些情况下，病毒还会自动连接到某IRC站点某频道中，使得该频道中特定的恶意用户远程访问受感染的计算机。

• 信息收集特征

  • qq密码和聊天记录
  • 网络游戏账号密码
  • 网上银行账号密码
  • 用户网页浏览记录和上网习惯

• 自身隐藏特性
  多数病毒会将自身文件的属性设置为"隐藏"、"系统”"和“只读”，更有一些病毒会通过修改注册表，从而修改用户对系统的文件夹访问权限、显示权限等，以使病毒更加隐蔽不易被发现

5、文件感染特性
 病毒会将恶意代码插入到系统中正常的可执行文件中，使得系统正常文件被破坏而无法运行，或使系统正常文件感染病毒而成为病毒体;
 有的文件型病毒会感染系统中其他类型的文件
 Wannacry就是一种典型的文件型病毒，它分为两部分，一部分是蠕虫部分，利用windows的"永恒之蓝"漏洞进行网络传播。一部分是勒索病毒部分，当计算机感染wannacry之后，勒索病毒部分就会自动安装并且加密计算机中包括音频、图像、文档等各种类型的文件。与此同时弹出勒索框进行勒索。

6、网络攻击特性
 木马和蠕虫病毒会修改计算机的网络设置，使该计算机无法访问网络；
 木马和蠕虫还会向网络中其他计算机攻击、发送大量数据包以阻塞网络，甚至通过散布虚假网关地址的广播包来欺骗网络中其他计算机，从而使得整个网络瘫癌；
 爱虫病毒是一种利用Windows outlook邮件系统传播的蠕虫病毒，将自己伪装成一封情书，邮件主题设置为“LOVE YOU”，诱使受害者打开，由此得名。当爱虫病毒运行后迅速找到邮箱通信簿里的50个联系人再进行发送传播。传播速度非常之快，致使大量电子邮件充斥了整个网络，不仅会导致邮件服务器崩溃，也会让网络受影响变慢。从而达到攻击网络的目的。

3. 恶意软件的可分为那几类？

• 按传播方式分类：
  • 病毒
     病毒是一种基于硬件和操作系统的程序，具有感染和破坏能力，这与病毒程序的结构有关。病毒攻击的宿主程序是病毒的栖身地，它是疲毒传播的目的地，又是下一次感染的出发点。
  • 蠕虫
     蠕虫是主要通过网络使恶意代码在不同设备中进行复制，传播和运行恶意代码。一个能传染自身拷贝到另一台计算机上的程序。
  • 木马：
     木马是攻击者通过欺骗方法在用户不知情的情况下安装的。木马系统软件一般由木马配置程序、控制程序和木马程序(服务器程序)三部分组成。
• 按照功能分类：
  • 后门：
     具有感染设备全部操作权限的恶意代码
     典型功能：文件管理，屏幕监控，键盘监控，视频监控，命令执行等
     典型家族：灰鸽子，PCshare
  • 勒索：
     通过加密文件，敲诈用户缴纳赎金。
      加密特点：
      主要采用非对称加密方式
      对文档，邮件，数据库，源代码，图片，压缩文件等多种文件类型进行加密
      其他特点：
      通过比特币或其他虚拟货币交易
      利用吊物软件和爆破rdp口令进行传播
      典型家族：Wannacry、GandCrab、Globelmposter
  • 挖矿：
     攻击者通过向被感染设备植入挖矿工具，消耗被感染设备的计算资源进行挖矿，以获取数字货币收益的恶意代码。特点：
     不会对感染设备的数据和系统造成破坏
      由于大量消耗设备资源，可能会对设备硬件造成损害

4. 恶意软件的免杀技术有哪些？

免杀技术又称为免杀毒（Anti Anti- Virus）技术，是防止恶意代码免于被杀毒设备查杀的技术。主流免杀技术如下∶

• 修改文件特征码
• 修改内存特征码
• 行为免查杀技术

5. 反病毒技术有哪些？

反病毒：
 反病毒是指一种安全机制，它可以通过识别和处理病毒文件来保证网络安全，必免因为病毒文件引起的数据破坏、权限更改和系统崩溃等情况的发生.

反病毒的技术

单机反病毒

1、可以使用检测工具
 单机反病毒可以通过使用杀毒软加的方式来进行防御，也可以通过专业的防病毒工具实现
病毒检测工具用于检测病毒、木马、蠕虫等恶意代码，有些检测工具同时提供修复的功能
常见的病毒检测工具有：

TCP View
Regmon
Filemon
Process Explorer
IceSword
Process Monitor
Wsyscheck
SREng
Wtool
Malware Defender

2、杀毒软件
 杀毒软件主要通过一些引擎技术来实现病毒的查杀比如说主流的查杀技术：
 特征码技术：杀毒软件存在病毒特征库，包含了各种病毒的特征码；特征码是一段特殊的程序，从病毒样本中抽取出来，与正常的程序不太一样，把被扫描的信息与特征库进行对比，如果匹配到了特征库，则认为扫描的信息为病毒
 行为查杀技术：病毒在运行的时候会有各种行为特征，比如会在系统里面增加有特殊后缀的文件，监控用户的行为等，当检测到某被检测信息有这些特征行为的时候，会认为这个检测的信息是病毒

网关反病毒
内网用户可以访问外网，并且经常需要从外网下载文件
内网部署的服务器经常接受外网用户上传的文件。

6. 反病毒网关的工作原理是什么？

首包检测技术

 通过提取PE（Portable Execute;Windows系统下可移植的执行体，包括exe、dll、“sys等文件类型）文件头部特征判断文件是否是病毒文件。提取PE文件头部数据，这些数据通常带有某些特殊操作，并且采用hash算法生成文件头部签名，与反病毒首包规则签名进行比较，若能匹配，则判定为病毒。

• 启发式检测技术

  • 启发式检测是指对传输文件进行反病毒检测时，发现该文件的程序存在潜在风险，极有可能是病毒文件。比如说文件加壳（比如加密来改变自身特征码数据来躲避查杀），当这些与正常文件不一致的行为达到一定的阀值，则认为该文件是病毒。
  • 启发式依靠的是"自我学习的能力"，像程序员一样运用经验判断拥有某种反常行为的文件为病毒文件。
  • 启发式检测的响应动作与对应协议的病毒检测的响应动作相同。启发式检测可以提升网络环境的安全性，消除安全隐患，但该功能会降低病毒检测的性能，且存在误报风险，因此系统默认情况下关闭该功能。
  • 启动病毒启发式检测功能∶heuristic-detect enable 。

• 文件信誉检测技术

  • 文件信誉检测是计算全文MD5，通过MD5值与文件信誉特征库匹配来进行检测。文件信誉特征库里包含了大量的知名的病毒文件的MD5值。华为在文件信誉检测技术方面主要依赖于文件信誉库静态升级更新以及与沙箱联动自学习到的动态缓存。
  • 文件信誉检测依赖沙箱联动或文件信誉库。

7. 反病毒网关的工作过程是什么？

1、 网络流量进入智能感知引擎后，首先智能感知引擎对流量进行深层分析，识别出流量对应的协议类型和文件传输的方向。
2、判断文件传输所使用的协议和文件传输的方向是否支持病毒检测。
NGFW支持对使用以下协议传输的文件进行病毒检测。
FTP（File Transfer Protocol）：文件传输协议
HTTP（Hypertext Transfer Protocol）：超文本传输协议
POP3（Post Office Protocol - Version 3）：邮局协议的第3个版本
SMTP（Simple Mail Transfer Protocol）：简单邮件传输协议
IMAP（Internet Message Access Protocol）：因特网信息访问协议
NFS（Network File System）：网络文件系统
SMB（Server Message Block）：文件共享服务器
NGFW支持对不同传输方向上的文件进行病毒检测。
上传：指客户端向服务器发送文件。
下载：指服务器向客户端发送文件。

3、 判断是否命中白名单。命中白名单后，FW将不对文件做病毒检测。
白名单由白名单规则组成，管理员可以为信任的域名、URL、IP地址或IP地址段配置白名单规则，以此提高反病毒的检测效率。白名单规则的生效范围仅限于所在的反病毒配置文件，每个反病毒配置文件都拥有自己的白名单。

4、针对域名和URL，白名单规则有以下4种匹配方式：
前缀匹配：host-text或url-text配置为“example”的形式，即只要域名或URL的前缀是
“example”就命中白名单规则。
后缀匹配：host-text或url-text配置为“example”的形式，即只要域名或URL的后缀是
“example”就命中白名单规则。
关键字匹配：host-text或url-text配置为“example”的形式，即只要域名或URL中包含
“example”就命中白名单规则。
精确匹配：域名或URL必须与host-text或url-text完全一致，才能命中白名单规则。

5、病毒检测：
智能感知引擎对符合病毒检测的文件进行特征提取，提取后的特征与病毒特征库中的特征进行匹配。如果匹配，则认为该文件为病毒文件，并按照配置文件中的响应动作进行处理。如果不匹配，则允许该文件通过。当开启联动检测功能时，对于未命中病毒特征库的文件还可以上送沙箱进行深度检测。如果沙箱检测到恶意文件，则将恶意文件的文件特征发送给FW，FW将此恶意文件的特征保存到联动检测缓存。下次再检测到该恶意文件时，则按照配置文件中的响应动作进行处理。
病毒特征库是由华为公司通过分析各种常见病毒特征而形成的。该特征库对各种常见的病毒特征进行了定义，同时为每种病毒特征都分配了一个唯一的病毒ID。当设备加载病毒特征库后，即可识别出特征库里已经定义过的病毒。同时，为了能够及时识别出最新的病毒，设备上的病毒特征库需要不断地从安全中心平台（sec.huawei.com）进行升级。

6、 当NGFW检测出传输文件为病毒文件时，需要进行如下处理：

• 判断该病毒文件是否命中病毒例外。如果是病毒例外，则允许该文件通过。
• 病毒例外，即病毒白名单。为了避免由于系统误报等原因造成文件传输失败等情况的发生，当用户认为已检测到的某个病毒为误报时，可以将该对应的病毒ID添加到病毒例外，使该病毒规则失效。如果检测结果命中了病毒例外，则对该文件的响应动作即为放行。
• 如果不是病毒例外，则判断该病毒文件是否命中应用例外。如果是应用例外，则按照应用例外的响应动作（放行、告警和阻断）进行处理。
• 应用例外可以为应用配置不同于协议的响应动作。应用承载于协议之上，同一协议上可以承载多种应用。
• 由于应用和协议之间存在着这样的关系，在配置响应动作时也有如下规定：
  • 如果只配置协议的响应动作，则协议上承载的所有应用都继承协议的响应动作。
  • 如果协议和应用都配置了响应动作，则以应用的响应动作为准。
• 如果病毒文件既没命中病毒例外，也没命中应用例外，则按照配置文件中配置的协议和传输方向对应的响应动作进行处理。

APT 高级持续性威胁攻击

1. 什么是APT？

 APT攻击即高级可持续威胁攻击，也成为定向威胁攻击，指组织针对特定对象展开的持续有效的攻击活动。
 APT是黑客以窃取核心资料为目的，针对客户所发动的网络攻击和侵袭行为，是一种蓄谋已久的“恶意商业间谍威胁”，这种行为往往经过长期的经营与策划，并具备高度隐蔽性。APT的攻击手法，在于隐匿自己，针对特定对象，长期，有计划性和组织性的窃取数据，这种发生在数据空间的窃取资料，搜集情报的行为，就是一种网络间谍行为。
 APT攻击是一个集合了多种常见的攻击手法的综合攻击。综合多种攻击途径来尝试突破网络防御，通常是通过web或电子邮件传递，利用应用程序或操作系统的漏洞，利用传统的网络保护机制无法提供统一的防御，除了使用多种途径，高级定向还采用多个阶段穿透一个网络，然后提取有价值的信息，这使得他的攻击更加不容易被发现。

2. APT 的攻击过程？

• 第一阶段：扫描探测
   在APT攻击中，攻击者会花费几个月得时间对“目标”网络“进行踩点，针对性得进行信息收集，目标网络环境探测，线上服务器分布情况，应用程序的弱点分析，了解业务状况，员工信息等、

• 第二阶段：工具投送
   多数情况下，攻击者会向目标公司的员工发送邮件，诱骗其打开恶意附件，或单击一个经过伪造的恶意url，希望利用常见软件（如java或者微软的办公软件）的0day，投送其恶意代码，一旦到位，恶意软件可能会复制自己，用微妙的改变使每个实例看起来都不一样，并伪装自己，以躲避扫描。有些会关闭防病毒扫描引擎，经过清理后重新安装，或者潜伏数天或者数周。

• 第三阶段:
   漏洞利用 利用漏洞，达到攻击的目的。攻击者通过投送恶意代码，并利用且标企业使用的软件中的漏洞执行自身。而如果漏洞利用成功的话，你的系统将受到感染。普通用户系统忘记打补丁是很常见的，所以他们很容易受到已知和未知的漏洞利用攻击。一般来说，通过使用零日攻击和社会工程技术，即使最新的主机也可以被感染，特别是当这个系统脱离企业网络后。

• 第四阶段：木马植入
   木马植入随着漏洞利用的成功，更多的恶意软件的可执行文件一-击键记录器、木马后门、密码破解和文件采集程序被下载和安装。这意味着，犯罪分子现在已经建成了进入系统的长期控制机制。

• 第五阶段：远程控制
   远程控制 旦恶意软件安装，攻击者就已经从组织防御内部建立了一个控制点。攻击者最常安装的就是远程控制工具。这些远程控制工具是以反向连接模式建立的，其目的就是允许从外部控制员工电脑或服务器，即这些丁具从位于中心的命令和控制服务器接受命令，然后执行命令而不是远程得到命令。这种连接方法使其更难以检测，因为员工的机器是主动与命令和控制服务器通信而不是相反。

• 第六阶段：横向渗透
   横向渗诱 般来说，攻击者首先突破的员工个人电脑并不是攻击者感兴趣的，它感兴趣的是组织内部其它包含重要资产的服务器，因此，攻击者将以员工个人电脑为跳板，在系统内部进行横向渗透，以攻陷更多的pC和服务器。攻击者采取的横向渗透方法包括口令窃听和漏洞攻击等.

• 第七阶段:目标行动
   也就是将敏感数据从被攻击的网络非法传输到由攻击者控制的外部系统。在发现有价值的数据后，APT攻击者往往要将数据收集到一个文档中，然后压缩并加密该文档。此操作可以使其隐藏内容，防止遭受深度的数据包检查和DLP技术的检测和阻止。然后将数据从受害系统偷运出去到由攻击者控制的外部。大多数公司都没有针对这些恶意传输和目的地分析出站流量。那些使用工具监控出站传输的组织也只是寻找”已知的”恶意地址和受到严格监管的数据。

3. 详细说明APT的防御技术

 目前，防御APT攻击最有效的方法就是沙箱技术，通过沙箱技术构造一个隔离的威胁检测环境，然后将网络流量送入沙箱进行隔离分析并最终给出是否存在威胁的结论。如果沙箱检测到某流量为恶意流量，则可以通知FW实施阻断。

• 针对APT攻击的防御过程如下 :
  • 黑客(攻击者)向企业内网发起APT攻击，FW从网络流量中识别并提取需要进行APT检测的文件类型。
  • FW将攻击流量还原成文件送入沙箱进行威胁分析。
  • 沙箱通过对文件进行威胁检测，然后将检测结果返回给FW
  • FW获取检测结果后，实施相应的动作。如果沙箱分析出该文件是一种恶意攻击文件，FW侧则可以实施阻断操作，防止该文件进0入企业内网，保护企业内网免遭攻击
• APT防御与反病毒的差异。
  • 反病毒系统通常是将病毒文件的特征与病毒特征库进行对比来识别一个文件是否为病毒文件。这种防御方式具有一定的局限性就是只能针对已知病毒进行防御，而无法识别未知攻击。
  • APT防御机制则有别于反病毒系统。APT防御系统中的沙箱可以看做是一个模拟直实网络建造的虚拟检测系统，未知文件放入沙镇以后将会被运行，沙箱中的收集程席会记录该文件被运行以后的行为。沙箱通过将未知文件的行为和沙箱独有的行为模式库进行匹配，最后给出该程序是否为恶意程序的定性结论。沙箱的行为模式库是通过分析大量的病毒、漏洞、威胁特征，提炼出各种恶意行为的规律和模式，并形成一套判断规则，因此能提供准确的检测结果。
• 总体来看，反病毒系统是以被检测对象的特征来识别攻击对象，APT防御系统是以被检测对象的行为来识别攻击对象。

4. 什么是对称加密？

采用单钥密码系统的加密方法，同一个密钥可以同时用作信息的加密和解密，这种加密方法称为对称加密，也称为单密钥加密。

加密信息传递有俩个通道

• 密文传递通道
• 密钥传递通道—对称加密算法的缺陷

对称加密算法解决信息的安全传输通道

5. 什么是非对称加密？

非对称密码体制也叫公钥加密技术，该技术是针对私钥密码体制(对称加密算法)的缺陷被提出来的。与对称密码体制不同，公钥加密系统中，加密和解密是相对独立的，加密和解密会使用两把不同的密钥，加密密钥(公开密钥)向公众公开，谁都可以使用，解密密钥(秘密密钥)只有解密人自己知道，非法使用者根据公开的加密密钥无法推算出解密密钥，这样就大大加强了信息保护的力度。公钥密码体制不仅解决了密钥分配的问题，它还为签名和认证提供了手段。

非对称加密算法解决对称加密算法密钥的安全传输通道

6. 私密性的密码学应用？

• 身份认证：通过标识和鉴别用户身份，防止攻击者假冒合法用户来获取访问权限。
• 身份认证技术：在网络总确认操作者身份的过程而产生的有效解决方法。

7. 非对称加密如何解决身份认证问题？

• 使用公钥加密进行身份验证，其中使用发件人的私钥对消息进行签名，并且可以由有权访问发件人公钥的任何人验证。
• 发件人可以将消息与私钥结合起来，在消息上创建一个简短的数字签名。任何拥有发件人相应公钥的人都可以通过公钥解密后，将该消息与数字签名进行比较；如果签名与消息匹配，则验证消息的来源

8. 如何解决公钥身份认证问题？

公钥的“身份证”-----数字证书

• 包含：

  • 用户身份信息
  • 用户公钥信息
  • 身份验证机构的信息及签名数据

• 数字证书分类：

  • 签名证书----身份验证，不可抵赖性。
  • 加密证书----加密，完整性与机密性。

9. 简述SSL工作过程

客户端向服务器提出请求,要求建立安全通信连接。

客户端与服务器进行协商,确定用于保证安全通信的加密算法和强度。

服务器将其服务器证书发送给客户端。该证书包含服务器的公钥,并用CA的私钥加密。

客户端使用CA的公钥对服务器证书进行解密,获得服务器公钥。客户端产生用户创建会话密钥的信息,并用服务器公钥加密,然后发送到服务器。

服务器使用自己的私钥解密该消息,然后生成会话密钥,然后将其使用服务器公钥加密,再发送给客户端。这样服务器和客户端上方都拥有了会话密钥。

服务器和客户端使用会话密钥来加密和解密传输的数据。它们之间的数据传输使用的是对称加密。