0. 前言

意在提供一個安全廠商產(chǎn)品清單的概況，來開闊安全圈知識廣度，文中提到的知識簡介和技術(shù)框架，僅針對入門用。

1. ESM（終端安全管理系統(tǒng)）

Reference：https://www.h3c.com/cn/Products_And_Solution/Proactive_Security/Product_Series/Endpoint_Security/SecCenter_CSAP-ESM/CSAP-ESM/ESM_G/

企業(yè)信息系統(tǒng)免遭高級持續(xù)性攻擊和敏感數(shù)據(jù)免遭丟失或竊取已是當務(wù)之急，終端計算機是源頭，也是終點。

• 內(nèi)核文件驅(qū)動和網(wǎng)絡(luò)驅(qū)動深度適配 Windows、Linux 操作系統(tǒng) -> 有能力支持文件類型識別和網(wǎng)絡(luò)報文深度解析
• 輕量級本地特征庫檢測常見和流行的惡意軟件
• 惡意文件檢測引擎通過智能深度學習，真正洞察勒索和挖礦病毒的行為特征，有效檢測已知勒索病毒及其家族的未知變種，以高檢出率和低誤報率的算法模型，構(gòu)建完整的勒索病毒和挖礦病毒的防御體系
• 客戶端可以自動將受感染文件或可疑文件隔離至本地隔離區(qū)
• 阻止策略下發(fā)，多個端點執(zhí)行相應(yīng)的對策
• 操作高清記錄 -》 內(nèi)核態(tài)記錄“文件操作”、“進程事件”和“注冊表操作”，從用戶態(tài)采集“系統(tǒng)事件”，還通過 DPI（深度報文解析）功能識別并記錄超過 1000 種以上的網(wǎng)絡(luò)協(xié)議及應(yīng)用
• 減少暴露面 -》 資產(chǎn)管理，補丁管理，USB 外設(shè)管控，進程管理，日志審計，違規(guī)外聯(lián)
• 統(tǒng)一管理 -》支持上萬點客戶端規(guī)模的部署，并實現(xiàn)策略統(tǒng)一管理，病毒特征庫統(tǒng)一下發(fā)和威脅日志匯總統(tǒng)一呈現(xiàn)

2. SOC（安全運營中心）

Reference：https://zhuanlan.zhihu.com/p/392186104

一切圍繞著提升安全能力開展的工作都屬于安全運營。安全建設(shè)僅僅是一個開始，只有運營才能有效提升企業(yè)安全防御效果。

安全運營整體框架可分為幾個小框架，分別是安全防護框架、安全運維框架、安全驗證框架和安全度量框架。

• 安全防護框架的目的是盡可能多的部署有效的安全感知器 Sensor，這些安全感知器構(gòu)成了信息安全的一個天網(wǎng)。安全 Sensor 會產(chǎn)生大量的監(jiān)測日志，作為安全運維框架的輸入。
• 安全運維框架落地時企業(yè)一般會部署像 SIEM 安全大數(shù)據(jù)平臺或類似平臺，來實現(xiàn)安全檢測信息的統(tǒng)一采集，分析、處理和存儲，并通過兩種方式進行異常檢測告警。-> 異常檢測規(guī)則 + 基于算法分析(top10、top100，然后再交由二線專家進行分析)
• 安全運維框架 -> 安全事件的流程化處理和定期的 review 匯報 / 安全事件的確認和溯源分析
• 安全驗證框架是指建立自動化的驗證平臺，對安全防護框架的管控措施實現(xiàn)百分百的全面驗證
• SOAR 一詞全稱是 Security Orchestration, Automation and Response，即安全編排和自動化響應(yīng)，SOAR 的前提是 SOP，只有制定了足夠多、足夠細的 SOP，才能夠有希望實現(xiàn) SOAR，因此，高質(zhì)量 SOP 是一線發(fā)揮作用的基礎(chǔ)

3. EDR（端點檢測與響應(yīng)（(Endpoint Detection and Response，EDR））

Reference:https://zhuanlan.zhihu.com/p/564398361

what：

端點檢測和響應(yīng)是一種主動式端點安全解決方案，通過記錄終端與網(wǎng)絡(luò)事件（例如用戶，文件，進程，注冊表，內(nèi)存和網(wǎng)絡(luò)事件），并將這些信息本地存儲在端點或集中數(shù)據(jù)庫。結(jié)合已知的攻擊指示器(Indicators of Compromise，IOCs)、行為分析的數(shù)據(jù)庫來連續(xù)搜索數(shù)據(jù)和機器學習技術(shù)來監(jiān)測任何可能的安全威脅，并對這些安全威脅做出快速響應(yīng)。還有助于快速調(diào)查攻擊范圍，并提供響應(yīng)能力。

安全模型：

（1）資產(chǎn)發(fā)現(xiàn)：定期通過主動掃描、被動發(fā)現(xiàn)、手工錄入和人工排查等多種方法收集當前網(wǎng)絡(luò)中所有軟硬件資產(chǎn)，包括全網(wǎng)所有的端點資產(chǎn)和在用的軟件名稱、版本，確保整個網(wǎng)絡(luò)中沒有安全盲點。

（2）系統(tǒng)加固：定期進行漏洞掃描、補丁修復(fù)、安全策略設(shè)置和更新端點軟件清單，通過軟件白名單限制未經(jīng)授權(quán)的軟件運行，通過主機防火墻限制未經(jīng)授權(quán)的服務(wù)端口開放，并定期檢查和清理內(nèi)部人員的賬號和授權(quán)信息。

（3）威脅檢測：通過端點本地的主機入侵檢測和借助云端威脅情報、異常行為分析、攻擊指示器等方式，針對各類安全威脅，在其發(fā)生前、發(fā)生中、發(fā)生后進行相應(yīng)的安全檢測動作。

（4）響應(yīng)取證：針對全網(wǎng)的安全威脅進行可視化展示，能夠針對安全威脅自動化地進行隔離、修復(fù)和補救，自動完成安全威脅的調(diào)查、分析和取證工作，降低事件響應(yīng)和取證分析的技術(shù)門檻，不需要依賴于外部專家即可完成快速響應(yīng)和取證分析。

主要技術(shù)：

• 沙箱(Sandbox)
• 機器學習
• 大數(shù)據(jù)分析：為應(yīng)對 APT 攻擊的極強持續(xù)性和階段性，關(guān)聯(lián)分析過程中應(yīng)盡量收集各層面、各階段的全方位信息，同時適量將時間窗口拉大，通過寬時間域數(shù)據(jù)分析提取具有內(nèi)在關(guān)聯(lián)的若干屬性，識別出攻擊發(fā)生的時間、地點、攻擊類型和強度等信息。
• 數(shù)字取證：存在于計算機、網(wǎng)絡(luò)、電子設(shè)備等數(shù)字設(shè)備中的數(shù)字證據(jù)，進行確認、保護、提取和歸檔的過程。在 EDR 中，數(shù)字取證要克服云計算環(huán)境取證、智能終端取證、大數(shù)據(jù)取證等關(guān)鍵技術(shù)，自動定位和采集端點人侵電子證據(jù)，降低取證分析的技術(shù)門檻，提高取證效率及其分析結(jié)果的準確性，為端點安全事件調(diào)查、打擊網(wǎng)絡(luò)犯罪提供技術(shù)支持。

優(yōu)點與局限性

• EDR 完整覆蓋端點安全防御全生命周期。對于各類安全威脅事件，EDR 在其發(fā)生前、發(fā)生中、發(fā)生后均能夠進行相應(yīng)的安全檢測和響應(yīng)動作。安全事件發(fā)生前，實時主動采集端 安全數(shù)據(jù)和針對性地進行安全加固；安全事件發(fā)生時，通過異常行為檢測、智能沙箱分析等各類安全引擎，主動發(fā)現(xiàn)和阻止安全威脅；安全事件發(fā)生后，通過端點數(shù)據(jù)追蹤溯源
• EDR 能夠廣泛適應(yīng)傳統(tǒng)計算機網(wǎng)絡(luò)、云計算、邊緣計算等各類網(wǎng)絡(luò)架構(gòu)，能夠適用于各種類型的端點，且不受網(wǎng)絡(luò)和數(shù)據(jù)加密的影響。
• EDR 的局限性在于并不能完全取代現(xiàn)有的端點安全防御技術(shù)。EDR 與防病毒、主機防火墻、主機入侵檢測、補丁加固、外設(shè)管控、軟件白名單等傳統(tǒng)端點安全防御技術(shù)屬于互補關(guān)系，并不是取代關(guān)系。

4. 安全U盤

Reference:https://www.seczure.com/newsinfo/2412136.html

1、U 盤可以實現(xiàn)數(shù)據(jù)防復(fù)制、防拷貝，不同身份使用不同權(quán)限

2、U 盤 100% 防病毒，所有數(shù)據(jù)均通過 api 讀寫

3、所有數(shù)據(jù)讀寫均有日志，可以通過管理員導(dǎo)出日志審計

4、可提供 U 盤策略修改、日志讀取接口

5、可以綁定公司內(nèi)網(wǎng)，U 盤離開公司無法打開使用

防拷貝、防復(fù)制： 只能在 U 盤內(nèi)部打開瀏覽，無法復(fù)制；不能另存為，不能刪除格式化；無法通過郵件、網(wǎng)絡(luò)等方式導(dǎo)出數(shù)據(jù)。獨立的文件系統(tǒng)為數(shù)據(jù)提供防病毒保護，且分區(qū)保護的特性具備完全杜絕數(shù)據(jù)拷貝竊取的行為。

防截圖、防錄屏： 禁止截圖、錄屏軟件使用；可設(shè)置禁止遠程。

多用戶管理： 通過新建用戶，對不同用戶進行不同的權(quán)限設(shè)置，可依據(jù)資料密級劃分及對應(yīng)的使用人員去分配優(yōu)盤及用戶賬號密碼，并為其配置好相應(yīng)的權(quán)限，方便管理，且不易出錯。

可設(shè)置自動銷毀： 文件保管人需要對保管的文件進行定期清理時，可在策略管理中配置好使用時間、次數(shù)等，超過使用時間或次數(shù)時，優(yōu)盤會自動銷毀所儲存的資料。

可設(shè)置綁定臺數(shù)： 可以通過綁定電腦 IP 地址的方式，進一步限制普通用戶的使用。

即插即用： 可以隨身攜帶，不需要安裝插件即可使用，無需花費大量時間跟精力對合作方進行使用培訓(xùn)。

5. NAC（網(wǎng)絡(luò)準入控制）

定義：

只有合法的用戶、安全的終端才可以接入網(wǎng)絡(luò)，隔離非法、不安全的用戶和終端，或者僅允許他們訪問受限的資源。以此來提升整個網(wǎng)絡(luò)的安全防護能力。

為什么：

許多重大的安全漏洞往往出現(xiàn)在網(wǎng)絡(luò)內(nèi)部，例如園區(qū)內(nèi)部員工在瀏覽某些網(wǎng)站時，一些間諜軟件、木馬程序等惡意軟件也會不知不覺地被下載到電腦中，并在內(nèi)網(wǎng)傳播，產(chǎn)生嚴重的安全隱患。因此，在園區(qū)網(wǎng)絡(luò)中，任何一臺終端的安全狀態(tài)（主要是指終端的防病毒能力、補丁級別和系統(tǒng)安全設(shè)置）都將直接影響到整個網(wǎng)絡(luò)的安全。另外，園區(qū)網(wǎng)絡(luò)出現(xiàn)大量非法接入和非授權(quán)訪問用戶時，也會導(dǎo)致業(yè)務(wù)系統(tǒng)遭受破壞、關(guān)鍵信息資產(chǎn)泄漏的風險。NAC 方案能夠有效的管理網(wǎng)絡(luò)訪問權(quán)限、及時的更新系統(tǒng)補丁、升級病毒庫，讓管理員更快捷的查找、隔離及修復(fù)不安全的終端，滿足園區(qū)網(wǎng)絡(luò)內(nèi)部的安全需求。

安全能力：

• 身份認證
• 訪問控制：根據(jù)用戶身份、接入時間、接入地點、終端類型、終端來源、接入方式（簡稱 5W1H）精細匹配用戶，控制用戶能夠訪問的資源
• 安全性檢查：對終端的安全性（殺毒軟件安裝、補丁更新、密碼強度等）進行掃描，在接入網(wǎng)絡(luò)前完成終端安全狀態(tài)的檢查。對終端不安全狀態(tài)能夠與網(wǎng)絡(luò)準入設(shè)備進行聯(lián)動，當發(fā)現(xiàn)不安全終端接入網(wǎng)絡(luò)的時候，能夠?qū)@些終端實現(xiàn)一定程度的阻斷
• 系統(tǒng)存在安全隱患，NAC 方案提供了系統(tǒng)自動和手動修復(fù)升級功能

架構(gòu)：

• 安全終端：安全終端是安裝在用戶終端系統(tǒng)上的軟件，是對用戶終端進行身份認證、安全狀態(tài)評估以及安全策略實施的主體。
• 網(wǎng)絡(luò)準入設(shè)備：網(wǎng)絡(luò)準入設(shè)備是網(wǎng)絡(luò)中安全策略的實施點，負責按照客戶網(wǎng)絡(luò)制定的安全策略，實施相應(yīng)的準入控制（允許、拒絕、隔離或限制）。華為 NAC 方案支持 802.1X、MAC 認證和 Portal 等多種認證方式。在各種認證方式下，網(wǎng)絡(luò)準入設(shè)備輔助用戶終端與準入服務(wù)器進行認證。網(wǎng)絡(luò)準入設(shè)備可以是交換機、路由器、無線接入點或其它安全設(shè)備，通過這些網(wǎng)絡(luò)準入設(shè)備，實現(xiàn)強制用戶準入認證、拒絕非法用戶的網(wǎng)絡(luò)訪問、隔離不健康終端、為“合法用戶、健康終端”提供網(wǎng)絡(luò)服務(wù)的目的。
• 服務(wù)器系統(tǒng)：服務(wù)器系統(tǒng)包括準入控制服務(wù)器、病毒/補丁/軟件服務(wù)器和業(yè)務(wù)服務(wù)器。準入控制服務(wù)器是 NAC 方案的核心，用戶在身份認證和安全檢查通過前就可以訪問，主要負責對用戶進行認證和安全審核，實施安全策略，并且與網(wǎng)絡(luò)準入設(shè)備聯(lián)動，下發(fā)用戶權(quán)限。用戶已通過身份認證但終端安全檢查未通過時，一般會訪問病毒/補丁/軟件服務(wù)器，進行終端上病毒庫的自動更新、操作系統(tǒng)和應(yīng)用軟件的補丁安裝和更新等，以滿足終端安全檢查的要求。業(yè)務(wù)服務(wù)器用于企業(yè)業(yè)務(wù)管理，只有通過認證和授權(quán)后的用戶才能訪問。

6. WAF（Web 應(yīng)用防火墻）

Reference：https://cloud.tencent.com/document/product/627/17470 & https://zhuanlan.zhihu.com/p/97396469

Web 應(yīng)用防火墻可以防止 Web 應(yīng)用免受各種常見攻擊，比如 SQL 注入，跨站腳本漏洞（XSS）等。WAF 也能夠監(jiān)測并過濾掉某些可能讓應(yīng)用遭受 DOS（拒絕服務(wù)）攻擊的流量。WAF 會在 HTTP 流量抵達應(yīng)用服務(wù)器之前檢測可疑訪問，同時，它們也能防止從 Web 應(yīng)用獲取某些未經(jīng)授權(quán)的數(shù)據(jù)。

• SaaS 型 WAF

用戶在 WAF 上添加防護域名并設(shè)置回源信息后，WAF 將為防護域名分配唯一的 CNAME 地址。用戶可以通過修改 DNS 解析，將原來的 A 記錄 修改為 CNAME 記錄，并將防護域名流量調(diào)度到 WAF 集群。WAF 集群對防護域名進行惡意流量檢測和防護后，將正常流量回源到源站，保護網(wǎng)站安全。

• 負載均衡型 WAF

WAF 通過配置域名和騰訊云七層負載均衡（監(jiān)聽器）集群進行聯(lián)動，對經(jīng)過負載均衡的 HTTP/HTTPS 流量進行旁路威脅檢測和清洗，實現(xiàn)業(yè)務(wù)轉(zhuǎn)發(fā)和安全防護分離，最大限度減少安全防護對網(wǎng)站業(yè)務(wù)的影響，保護網(wǎng)站穩(wěn)定運行。

負載均衡型 WAF 提供兩種流量處理模式：

鏡像模式：通過域名進行關(guān)聯(lián)，CLB` 鏡像流量到 WAF 集群，WAF 進行旁路檢測和告警，不返回請求可信狀態(tài)。

清洗模式：通過域名進行關(guān)聯(lián)，CLB 鏡像流量到 WAF 集群，WAF 進行旁路檢測和告警，同步請求可信狀態(tài)，CLB 集群根據(jù)狀態(tài)對請求進行攔截或放行處理。

7. NGFW（Next Generation Firewall 傳統(tǒng)狀態(tài)防火墻和統(tǒng)一威脅管理（UTM）設(shè)備的下一代產(chǎn)品）

Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/NGFW.html

Gartner把NGFW看做不同信任級別的網(wǎng)絡(luò)之間的一個線速（wire-speed）實時防護設(shè)備，能夠?qū)α髁繄?zhí)行深度檢測，并阻斷攻擊。Gartner認為，NGFW必須具備以下能力：

1. 傳統(tǒng)的防火墻功能NGFW是新環(huán)境下傳統(tǒng)防火墻的替代產(chǎn)品，必須前向兼容傳統(tǒng)防火墻的基本功能，包括包過濾、協(xié)議狀態(tài)檢測、NAT、VPN等。
2. 應(yīng)用識別?與?應(yīng)用控制?技術(shù)具備應(yīng)用感知能力，并能夠基于應(yīng)用實施精細化的安全管控策略和層次化的帶寬管理手段，是NGFW引進的最重要的能力。傳統(tǒng)的狀態(tài)檢測防火墻工作在二到四層，不會對報文的載荷進行檢查。NGFW能對七層檢測，可以清楚地呈現(xiàn)網(wǎng)絡(luò)中的具體業(yè)務(wù)，并實行管控。
3. IPS?與防火墻深度集成NGFW要支持IPS功能，且實現(xiàn)與防火墻功能的深度融合，實現(xiàn)1+1>2的效果。Gartner特別強調(diào)IPS與防火墻的“集成”而不僅僅是“聯(lián)動”。例如，防火墻應(yīng)根據(jù)IPS檢測到的惡意流量自動更新下發(fā)安全策略，而不需要管理員的介入。換言之，集成IPS的防火墻將更加智能。Gartner發(fā)現(xiàn)，NGFW產(chǎn)品和獨立IPS產(chǎn)品的市場正在融合，尤其是在企業(yè)邊界的部署場景下，NGFW正在吸收獨立IPS產(chǎn)品的市場。
4. 利用防火墻以外的信息，增強管控能力防火墻能夠利用其他IT系統(tǒng)提供的用戶信息、位置信息、漏洞和網(wǎng)絡(luò)資源信息等，幫助改進和優(yōu)化安全策略。例如，通過集成用戶認證系統(tǒng)，實現(xiàn)基于用戶的安全策略，以應(yīng)對移動辦公場景下，IP地址變化帶來的管控難題。

防火墻從誕生那一天起，就是緊跟著網(wǎng)絡(luò)演進的步伐亦步亦趨的。

包過濾防火墻、狀態(tài)檢測防火墻、UTM設(shè)備、NGFW發(fā)展史

1. 早期的包過濾防火墻僅實現(xiàn)訪問控制就可以滿足初期網(wǎng)絡(luò)隔離的訴求。
2. 隨后的狀態(tài)檢測防火墻（也稱為傳統(tǒng)防火墻）集成了TCP/UDP和應(yīng)用狀態(tài)的檢測能力，實現(xiàn)了L3-L4層的防護。它引入了策略的概念，把處理的目標從包轉(zhuǎn)向了流，從而擁有更高的處理效率。
3. 2004年出現(xiàn)了將傳統(tǒng)防火墻、內(nèi)容安全（防病毒、IPS和URL過濾等）和VPN等功能集合到一起的UTM設(shè)備。每個模塊獨立運行，每次檢測都需要重新拆包檢查，檢測效率并沒有得到提升。但是UTM的出現(xiàn)在一定程度上簡化了安全產(chǎn)品部署的難度，比較適合小中型企業(yè)。
4. 由于WEB應(yīng)用越來越多，應(yīng)用和端口、協(xié)議之間的關(guān)系也越來越復(fù)雜。同樣是使用HTTP協(xié)議，有人可能在查學習資料，有人可能在玩游戲。所以光靠“五元組”來標識流量的傳統(tǒng)防火墻已經(jīng)無法看清網(wǎng)絡(luò)中的流量了。此時，擁有應(yīng)用識別技術(shù)的NGFW應(yīng)運而生，它可以區(qū)分流量對應(yīng)的應(yīng)用，即使這些應(yīng)用出使了同一種協(xié)議、端口。而且NGFW將IPS、病毒防護等多種安全業(yè)務(wù)與防火墻業(yè)務(wù)深度集成，并行處理，解決了UTM設(shè)備需要逐個模塊處理報文，性能低下的問題。不過，大部分情況下，UTM和NGFW不包含Web應(yīng)用防火墻（WAF）的能力。

傳統(tǒng)防火墻、UTM設(shè)備、NGFW能力對比

8. SD-WAN

Reference：https://zhuanlan.zhihu.com/p/87281219 & https://www.sdnlab.com/24498.html

SD-WAN之前，處理公司網(wǎng)絡(luò)流量的主要方法是分支機構(gòu)通過租用線路與公司數(shù)據(jù)中心或總公司聯(lián)系，通常使用MPLS（它就是在數(shù)據(jù)流上打標簽，有點像雞毛信，告訴沿路的所有設(shè)備：“我是誰，我要去哪里”。）。這種方式約占公司網(wǎng)絡(luò)流量的80％，其中WAN路由器是基于硬件的、專有的、昂貴且相對不靈活（部署周期長，排查問題難）。

MPLS專線是一種租用服務(wù)，它的所有權(quán)是屬于電信運營商的。運營商把專線租給你，然后承諾這條線路的SLA（Service Level Agreement，服務(wù)等級協(xié)議，包括帶寬、時延、抖動、丟包率等） 能達到什么樣的要求。

問題又來了，你租我租大家租，運營商的物理網(wǎng)絡(luò)就這么一張，這么多公司的業(yè)務(wù)都在上面跑，怎么保證區(qū)分和隔離呢？

本地SD-WAN架構(gòu):

大家可以看到，整個網(wǎng)絡(luò)架構(gòu)的軀干，其實還是Internet和MPLS專線。但是，在架構(gòu)之上，多了一個SD-WAN控制器。這個控制器，就是SD-WAN的管理控制核心。 在分公司節(jié)點，還有總部節(jié)點，多了一些uCPE和vCPE這樣的東西(SD-WAN Edge設(shè)備)。

云SD-WAN架構(gòu)：云SD-WAN架構(gòu)允許SD-WAN Edge設(shè)備連接到基于云的SD-WAN網(wǎng)關(guān)。SD-WAN提供實時流量調(diào)整、多電路負載平衡、故障轉(zhuǎn)移以及對云應(yīng)用程序的訪問。云網(wǎng)關(guān)可由各種云提供商應(yīng)用程序托管，包括Office 365，Salesforce和Dropbox。企業(yè)可以通過讓關(guān)鍵的基于云的內(nèi)部實時應(yīng)用在小型MPLS管道上運行，讓其他應(yīng)用在公共互聯(lián)網(wǎng)上運行來降低成本。

云骨干架構(gòu)使SD-WAN Edge設(shè)備連接到最近的網(wǎng)絡(luò)POP點，這時流量將跳到MPLS上，并且還將擁有專線的SLA質(zhì)量。大多數(shù)MPLS管道直接連接到主要的云提供商，這提高了這些應(yīng)用程序的性能和可靠性。對于那些想要擁有完整SD-WAN架構(gòu)但仍然擔心寬帶服務(wù)質(zhì)量的公司來說，這種部署方法是可以使用的。該架構(gòu)將非關(guān)鍵應(yīng)用offload到低成本寬帶網(wǎng)絡(luò)中，從而為關(guān)鍵業(yè)務(wù)應(yīng)用分配了更多帶寬，進而提高了所有應(yīng)用程序的性能。

9. 上網(wǎng)行為管理

Refernce：https://info.support.huawei.com/info-finder/encyclopedia/zh/%E4%B8%8A%E7%BD%91%E8%A1%8C%E4%B8%BA%E7%AE%A1%E7%90%86.html

價值：

• 規(guī)范上網(wǎng)行為：通過精細化的審計機制和海量的行為特征庫，針對員工進行上網(wǎng)行為和內(nèi)容管理，嚴格控制訪問權(quán)限，禁止非法和娛樂行為，規(guī)范用戶上網(wǎng)行為，提升員工工作效率，營造“綠色”安全辦公環(huán)境。
• 審計、合規(guī)場景：上網(wǎng)內(nèi)容本地留存，數(shù)據(jù)清晰易懂，幫助管理清晰了解內(nèi)網(wǎng)行為態(tài)勢；幫助公司響應(yīng)國家政策要求，滿足法規(guī)的審計要求。
• 出口網(wǎng)關(guān)場景：具備高性能的NAT機制，為內(nèi)外網(wǎng)用戶訪問資源保駕護航；具備豐富的多出口選路機制，融合業(yè)務(wù)需求，增強業(yè)務(wù)、數(shù)據(jù)的可靠性；提供邊界安全防護，有效過濾非法訪問行為。
• 智能化帶寬管理：優(yōu)先保障組織關(guān)鍵業(yè)務(wù)，限制員工P2P行為，保障組織業(yè)務(wù)的連續(xù)性和穩(wěn)定性；智能分配空閑時帶寬資源，提升帶寬使用效率；對用戶流量“套餐”定制，分配指定流量套餐，對“套餐”超額的用戶進行人性化帶寬。

主要依賴技術(shù)：https://github.com/ntop/nDPI + app identify（應(yīng)用特征流多模匹配+機器學習+url標簽）+ 策略

10. 零信任

Reference：http://www.caict.ac.cn/kxyj/qwfb/ztbg/202308/P020230828402611317149.pdf & https://zhuanlan.zhihu.com/p/382577136

& https://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=214985

傳統(tǒng)的安全模型通過 “一次驗證+靜態(tài)授權(quán)” 的方式評估實體風險，而零信任基于 “持續(xù)驗證+動態(tài)授權(quán)” 的模式構(gòu)筑企業(yè)的安全基石。

• 業(yè)務(wù)上云后各種數(shù)據(jù)的集中部署打破了數(shù)據(jù)的邊界，同時放大了靜態(tài)授權(quán)的管控風險，數(shù)據(jù)濫用風險變大。高低密級數(shù)據(jù)融合導(dǎo)致權(quán)限污染，被動抬高整體安全等級，打破安全和業(yè)務(wù)體驗的平衡。
• 資源從分散到云化集中管理，按需部署。由于當前安全管控策略分散、協(xié)同水平不高，云端主機一旦受到攻擊，攻擊將難以快速閉環(huán)，很難形成全局防御。

零信任是應(yīng)對上述挑戰(zhàn)的重要方法。采用零信任方案可以統(tǒng)一身份管理，構(gòu)筑身份邊界，實時感知風險，實現(xiàn)動態(tài)和細粒度授權(quán)。

• 將身份作為訪問控制的基礎(chǔ)
• 最小權(quán)限原則
• 實時計算訪問控制
• 資源受控安全訪問
• 基于多源數(shù)據(jù)進行信任等級持續(xù)評估

?

關(guān)鍵技術(shù)：

SDP（軟件定義邊界技術(shù)）-》 SPA (單包授權(quán))

SDP特點：

• 預(yù)驗證，預(yù)授權(quán)
• 應(yīng)用級別的訪問準入
• 網(wǎng)絡(luò)隱身：spd服務(wù)器不對外暴露dns，ip接口，必須通過sdp專用客戶端使用專有的協(xié)議才能連接

SPA特點：

單包授權(quán)技術(shù)可以看作是端口敲門技術(shù)的演進，兩者具有相同的目標，但實現(xiàn)方式卻有很大不同。端口敲門使用多個數(shù)據(jù)包進行敲門，SPA則如名字所示，使用單個數(shù)據(jù)包進行訪問申請，避免了敲門過程中因丟包等因素引起的失敗。SPA通過將所有必要信息集成在單個數(shù)據(jù)包（通常為UDP）內(nèi)來簡化流程。

數(shù)據(jù)包內(nèi)信息一般包含：

• 時間戳：
• 客戶端IP
• 服務(wù)密碼

圖2 單包授權(quán)數(shù)據(jù)包流程

圖3 單包授權(quán)過程

SPA運行過程如圖2、圖3所示，在這個簡單的SPA案例中，客戶端將發(fā)包時的時間戳（日期、小時、分鐘）、客戶端IP（UDP報頭內(nèi)）和服務(wù)密碼組合在一起，生成哈希值。將哈希值打包成UDP數(shù)據(jù)包發(fā)送到服務(wù)器指定敲門端口。服務(wù)器根據(jù)接收到UDP報頭內(nèi)時間戳、客戶端IP以及服務(wù)器內(nèi)部存儲的服務(wù)密碼生成哈希值，與接收到的哈希值進行對比，如果相同，則為客戶端打開申請訪問的服務(wù)端口。服務(wù)器將記錄它收到的最后一個有效授權(quán)的數(shù)據(jù)包，以防止攻擊者發(fā)送舊的數(shù)據(jù)包進行重放攻擊如果哈希值不匹配或者與此前收到的有效哈希值相同，則不執(zhí)行任何操作。

在實際通信中，開源程序Firewall Knock Operator (fwknop)，實現(xiàn)了基于UDP的單包授權(quán)方案，也支持TCP和ICMP。fwknop通過加密打包用戶名、訪問端口、時間戳等信息，發(fā)送到對應(yīng)敲門端口，服務(wù)器識別后開啟訪問端口來實現(xiàn)SPA。

??

11. SSL VPN（虛擬專用網(wǎng)路Virtual Private Network）

Reference：https://pandavpnpro.com/blog/zh-cn/how-does-a-vpn-work & https://info.support.huawei.com/info-finder/encyclopedia/zh/VPN.html

what

虛擬專用網(wǎng)VPN（Virtual Private Network）是依靠Internet服務(wù)提供商ISP（Internet Service Provider）和網(wǎng)絡(luò)服務(wù)提供商NSP（Network Service Provider）在公共網(wǎng)絡(luò)中建立的虛擬專用通信網(wǎng)絡(luò)，可以滿足企業(yè)對網(wǎng)絡(luò)的靈活性、安全性、經(jīng)濟性、擴展性等方面的要求。

兩種模式

• 遠程訪問

正常情況下，當您在瀏覽器輸入你的目標訪問地址 http://youtube.com，那么此信息會瀏覽器發(fā)送到協(xié)議棧并由其打包成 Packet 并交給正常網(wǎng)卡，進而由網(wǎng)卡把包轉(zhuǎn)換成電信號通過網(wǎng)線發(fā)出去，而這一切都是 ISP、政府等通過真實 IP 地址可見的。有了 VPN 的存在，上面我們有提到，因為整個設(shè)備會多出一個 VPN 創(chuàng)建的虛擬網(wǎng)卡，那么原始數(shù)據(jù)包會由 VPN協(xié)議（如 PPTP, OpenVPN）進行重新封裝（IP 頭地址會變成所選 VPN 服務(wù)器的所屬地址）并加密，然后通過虛擬網(wǎng)卡進行發(fā)送，這樣一來任何第三方都是無法知道你的具體訪問網(wǎng)址和行為。這樣 VPN 的使用，不論從隱私性、安全性還是網(wǎng)絡(luò)自由的角度來說，都是益處多多的。當Web 服務(wù)器接受處理請求并將目標信息返回時，一切數(shù)據(jù)依舊是被 VPN 所加密，所以全程保護，無需擔心

• 站點互聯(lián)

遠程訪問 VPN 可用于個人和公司，需要使用客戶端軟件和網(wǎng)關(guān)來對某個特定的網(wǎng)絡(luò)進行連接。而站點到站點 VPN 是公司級工具，所有位置都會使用同一個共享網(wǎng)關(guān)，無需安裝客戶端，通過身份驗證即可輕松連接。

組件：

VPN不是一種簡單的高層業(yè)務(wù)，它要比普通的點到點應(yīng)用復(fù)雜得多。VPN的實現(xiàn)需要建立用戶之間的網(wǎng)絡(luò)互聯(lián)，包括建立VPN內(nèi)部的網(wǎng)絡(luò)拓撲、進行路由計算、維護成員的加入與退出等。因此，VPN體系結(jié)構(gòu)較復(fù)雜，可以概括為以下三個組成部分：

• VPN隧道：包括隧道的建立和管理。
• VPN管理：包括VPN配置管理、VPN成員管理、VPN屬性管理（管理服務(wù)提供商邊緣設(shè)備PE上多個VPN的屬性，區(qū)分不同的VPN地址空間）、VPN自動配置（指在二層VPN中，收到對端鏈路信息后，建立VPN內(nèi)部鏈路之間的對應(yīng)關(guān)系）。
• VPN信令協(xié)議：完成VPN中各用戶網(wǎng)絡(luò)邊緣設(shè)備間VPN資源信息的交換和共享（對于L2VPN，需要交換數(shù)據(jù)鏈路信息；對于L3VPN，需要交換路由信息；對于VPDN，需要交換單條數(shù)據(jù)鏈路直連信息），以及在某些應(yīng)用中完成VPN的成員發(fā)現(xiàn)。

實現(xiàn)模式：

1. 設(shè)備CE1發(fā)送用戶報文給設(shè)備PE1。
2. 設(shè)備PE1收到報文后，根據(jù)網(wǎng)絡(luò)管理員設(shè)置的規(guī)則，對數(shù)據(jù)進行加密或直接傳輸。
3. 對需要加密的數(shù)據(jù)，PE1將用戶的整個數(shù)據(jù)包（包括源IP地址和目的lP地址等）進行加密并附上數(shù)據(jù)簽名，然后再封裝上新的數(shù)據(jù)報文頭（包含隧道標簽、安全等信息）。對于不需要加密的數(shù)據(jù)，PE1直接封裝上新的數(shù)據(jù)報文頭（包含隧道標簽T等信息）。
4. PE1將封裝好的數(shù)據(jù)包通過公網(wǎng)隧道發(fā)送給遠端設(shè)備PE2。
5. PE2收到數(shù)據(jù)包后，校驗?zāi)康腎P地址是自己，然后解封裝，對于加密的數(shù)據(jù)，核對數(shù)字簽名無誤后，對數(shù)據(jù)包進行解密，然后發(fā)給用戶CE2。對于未加密的數(shù)據(jù)，直接發(fā)給用戶CE2。

12. 日志審計 LAS(Log Audit System)

Reference：https://console1.cloud.inspur.com/document/las/1-service-introduction.html

基于大數(shù)據(jù)架構(gòu)的綜合日志管理平臺，通過大數(shù)據(jù)技術(shù)的海量日志采集、異構(gòu)設(shè)備日志范式化及安全事件關(guān)聯(lián)分析，實現(xiàn)日志全生命周期管理。協(xié)助運維人員從事前（發(fā)現(xiàn)安全風險）、事中（分析溯源）及事后（調(diào)查取證）等多個維度監(jiān)控網(wǎng)絡(luò)安全事件，助力企業(yè)滿足《網(wǎng)絡(luò)安全法》及等保合規(guī)要求。

功能

• 日志采集：全面支持Syslog、SNMP日志協(xié)議，可以覆蓋主流硬件設(shè)備、主機及應(yīng)用，保障日志信息的全面收集。實現(xiàn)信息資產(chǎn)（網(wǎng)絡(luò)設(shè)備、安全設(shè)備、主機、應(yīng)用及數(shù)據(jù)庫）的日志獲取，并通過預(yù)置的解析規(guī)則實現(xiàn)日志的解析、過濾及聚合。
• 日志格式統(tǒng)一化處理：日志審計系統(tǒng)支持針對不同格式的日志信息解析提取關(guān)鍵信息完成日志信息的過濾、日志合并和日志格式的統(tǒng)一化規(guī)整，規(guī)整后的日志字段包括日志接收時間 、日志產(chǎn)生時間、日志持續(xù)時間、用戶名稱、源地址、源MAC地址、源端口、操作、目的地址 、目的MAC地址、目的端口、日志的事件名稱、摘要、等級、原始等級等等，使規(guī)整后的日志簡單易懂便于分析，統(tǒng)一化處理的日志格式可通過導(dǎo)入解析文件的方式靈活擴展。
• 日志分析：系統(tǒng)提供基于規(guī)則的日志信息關(guān)聯(lián)分析技術(shù)對海量日志數(shù)據(jù)進行多維度關(guān)聯(lián)分析，第一時間發(fā)現(xiàn)網(wǎng)絡(luò)中發(fā)生或隱藏的各類安全事件、安全威脅。系統(tǒng)內(nèi)置大量的日志分析規(guī)則，并提供可視化的規(guī)則自定義配置界面，方便管理員快捷的制定針對安全事件關(guān)聯(lián)分析的過濾規(guī)則、關(guān)聯(lián)分析規(guī)則以及相對應(yīng)安全事件的告警方式等。
• 告警展示：日志審計提供安全告警能力，多維度圖形化展示告警信息概況，以時間為軸線展示告警發(fā)展趨勢以及列表展示告警詳情。幫助管理員直觀掌握網(wǎng)絡(luò)環(huán)境安全現(xiàn)狀，并對未來網(wǎng)絡(luò)安全形勢進行相應(yīng)評估。告警信息實時刷新，管理員可通過多維度多條件的查詢告警信息，準確定位實時安全事件來源。
• 日志檢索：支持通過任意字段從數(shù)以百億級的日志信息中檢索所需要的日志內(nèi)容，并提供豐富的日志檢索模板，讓日志查詢簡單、易用。此外支持查詢結(jié)果下鉆上卷，支持原始日志與歸一化日志同屏顯示。支持查詢結(jié)果顯示界面快捷統(tǒng)計。
• 數(shù)據(jù)存儲：可根據(jù)制定的存儲策略存儲指定時間內(nèi)的或一定空間容量的日志信息，可通過制定日志備份策略和日志空間告警閾值保障日志信息的可用性。
• 合規(guī)監(jiān)管：日志留存滿足《網(wǎng)絡(luò)安全法》、《數(shù)據(jù)安全法》相關(guān)要求，推動等保合規(guī)。

產(chǎn)品部署

通過Region Boss下單后自動為租戶創(chuàng)建云堡壘機服務(wù)實例，通過標準syslog實現(xiàn)日志收集，其中l(wèi)inux系統(tǒng)、網(wǎng)絡(luò)產(chǎn)品、安全產(chǎn)品可通過設(shè)置syslog日志服務(wù)器地址發(fā)送日志，windows操作系統(tǒng)需安裝agent進行日志采集。

界面信息：

13. 堡壘機

Reference：https://zhuanlan.zhihu.com/p/269609995

what:

堡壘機，即在一個特定的網(wǎng)絡(luò)環(huán)境下，為了保障網(wǎng)絡(luò)和數(shù)據(jù)不受來自外部和內(nèi)部用戶的入侵和破壞，而運用各種技術(shù)手段監(jiān)控和記錄運維人員對網(wǎng)絡(luò)內(nèi)的服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、數(shù)據(jù)庫等設(shè)備的操作行為，以便集中報警、及時處理及審計定責。

用一句話來說，堡壘機就是用來后控制哪些人可以登錄哪些資產(chǎn)（事先防范和事中控制），以及錄像記錄登錄資產(chǎn)后做了什么事情（事溯源）

從跳板機演化而來，更加符合權(quán)限可控+行為可控（4A:認證（Authen）、授權(quán)（Authorize）、賬號（Account）、審計（Audit））

目標：

1. 審計：你做了什么？（What）
2. 授權(quán)：你能做哪些？（Which）
3. 賬號：你要去哪？（Where）
4. 認證：你是誰？（Who）
5. 來源：訪問時間？（When）

組件：

開源版本：jumpserver

14. 數(shù)據(jù)庫審計（DBAudit）

Reference：https://cloud.tencent.com/developer/techpedia/1082

數(shù)據(jù)庫審計是指對數(shù)據(jù)庫的操作進行跟蹤、記錄、分析和報告的過程。通過數(shù)據(jù)庫審計，可以監(jiān)控數(shù)據(jù)庫的訪問和操作，及時發(fā)現(xiàn)并應(yīng)對安全事件。數(shù)據(jù)庫審計可以記錄用戶登錄、查詢、修改、刪除等操作，以及操作的時間、地點、來源等信息，以便進行安全審計和監(jiān)控。

目的：

• 安全審計：對數(shù)據(jù)庫的安全措施進行審計，包括訪問控制、數(shù)據(jù)加密、漏洞修補等。安全審計可以發(fā)現(xiàn)數(shù)據(jù)庫的安全漏洞和弱點，及時采取措施進行修補和優(yōu)化。
• 操作審計：對數(shù)據(jù)庫的操作進行審計，包括用戶登錄、查詢、修改、刪除等操作。操作審計可以發(fā)現(xiàn)非法訪問和操作，及時發(fā)現(xiàn)和應(yīng)對安全事件。
• 數(shù)據(jù)審計：對數(shù)據(jù)庫中的數(shù)據(jù)進行審計，包括數(shù)據(jù)的創(chuàng)建、修改、刪除等操作。數(shù)據(jù)審計可以發(fā)現(xiàn)數(shù)據(jù)泄露和篡改等安全問題，及時采取措施進行處理和恢復(fù)。
• 性能審計：對數(shù)據(jù)庫的性能進行審計，包括數(shù)據(jù)庫的負載、響應(yīng)時間、資源使用情況等。性能審計可以發(fā)現(xiàn)數(shù)據(jù)庫的性能問題和瓶頸，優(yōu)化數(shù)據(jù)庫的配置和運維，提高數(shù)據(jù)庫的運行效率和穩(wěn)定性。
• 合規(guī)性審計：對數(shù)據(jù)庫的合規(guī)性進行審計，包括符合相關(guān)法規(guī)和標準。合規(guī)性審計可以發(fā)現(xiàn)不符合標準的問題，及時采取措施進行整改和優(yōu)化。

基本組件

• 日志記錄：記錄數(shù)據(jù)庫的各種操作和事件，包括登錄、查詢、修改、刪除等操作，以及安全事件和系統(tǒng)事件等。日志記錄是數(shù)據(jù)庫審計的基礎(chǔ)。
• 審計策略：制定數(shù)據(jù)庫審計策略，包括審計的內(nèi)容、范圍、頻率、記錄方式等。審計策略應(yīng)該根據(jù)實際需求和安全風險進行定制，以確保審計的有效性和適應(yīng)性。
• 審計分析：對數(shù)據(jù)庫的審計日志進行分析和解讀，發(fā)現(xiàn)異常行為和安全事件，并及時采取相應(yīng)的措施。審計分析可以采用日志分析工具、安全警報等技術(shù)來實現(xiàn)。
• 審計報告：定期生成數(shù)據(jù)庫審計報告，包括審計的結(jié)果、問題和建議等。審計報告可以幫助企業(yè)及時發(fā)現(xiàn)和解決安全問題，提高安全意識和防范能力。

15. 網(wǎng)絡(luò)態(tài)勢感知(Cyberspace Situation Awareness，CSA)

Reference：https://www.freebuf.com/articles/es/197268.html

在大規(guī)模網(wǎng)絡(luò)環(huán)境中對能夠引起網(wǎng)絡(luò)態(tài)勢發(fā)生變化的安全要素進行獲取、理解、顯示以及最近發(fā)展趨勢的順延性預(yù)測，而最終的目的是要進行決策與行動。

（1）態(tài)勢感知是了解當前的狀態(tài)，包括狀態(tài)識別與確認（攻擊發(fā)現(xiàn)），以及對態(tài)勢感知所需信息來源和素材的質(zhì)量評價。

（2）態(tài)勢理解則包括了解攻擊的影響、攻擊者（對手）的行為和當前態(tài)勢發(fā)生的原因及方式。簡單可概括為：損害評估、行為分析（攻擊行為的趨勢與意圖分析）和因果分析（包括溯源分析和取證分析）。

（3）態(tài)勢預(yù)測則是對態(tài)勢發(fā)展情況的預(yù)測評估，主要包括態(tài)勢演化（態(tài)勢跟蹤）和影響評估（情境推演）

在傳統(tǒng)的防御思維里，我們會在安全事件發(fā)生之后去取證，溯源，可是對客戶造成的損失已經(jīng)無法彌補，所以我們需要的在事件發(fā)生中，甚至發(fā)生前去感知到，進一步有針對性地進行防御。

為什么態(tài)勢感知平臺可以做到呢？因為平臺背后的專家們能夠在以前的安全事件中溯源獲取經(jīng)驗，包括各種攻擊手段的特征如可執(zhí)行文件的行為，異常的流量等；在大量數(shù)據(jù)中提取出特征，這一工作在大數(shù)據(jù)相關(guān)技術(shù)發(fā)展之前是很難實現(xiàn)的，而現(xiàn)在可以用大數(shù)據(jù)的方法處理以前積累起來的數(shù)據(jù)；可以和其他傳統(tǒng)產(chǎn)品打通接口，通過各種數(shù)據(jù)多維度地進行準備分析，包括刻畫攻擊者畫像、攻擊路線等。甚至，通過畫像的分析，態(tài)勢感知平臺可以分析出攻擊服務(wù)器的是一個腳本小子，還是APT組織，如果是腳本小子，那就由他弄好了，也不會造成什么危害，如果是APT，則需要應(yīng)急響應(yīng)了。當然這些規(guī)則一方面需要專家根據(jù)經(jīng)驗得出，一方面由AI來學習得出。

主流的態(tài)勢感知產(chǎn)品支撐技術(shù)都是相近的，一般而言，態(tài)勢感知產(chǎn)品定位為客戶的安全大腦，是一個檢測、預(yù)警、響應(yīng)處置的大數(shù)據(jù)安全分析平臺。其以全流量分析為核心，結(jié)合威脅情報、行為分析建模、UEBA、失陷主機檢測、圖關(guān)聯(lián)分析、機器學習、大數(shù)據(jù)關(guān)聯(lián)分析、可視化等技術(shù)，對全網(wǎng)流量實現(xiàn)全網(wǎng)業(yè)務(wù)可視化、威脅可視化、攻擊與可疑流量可視化等，幫助客戶在高級威脅入侵之后，損失發(fā)生之前及時發(fā)現(xiàn)威脅。

全流量分析，是做很多安全產(chǎn)品的基礎(chǔ)工作，因為再高級的攻擊，都會留下網(wǎng)絡(luò)痕跡，哪怕做了混淆，或者故意模仿正常訪問，但是在大數(shù)據(jù)的建模分析下一切都會現(xiàn)身。

為了進行流量分析，首先需要拿到流量。通過旁路鏡像的方法獲取網(wǎng)絡(luò)流量，并針對已知網(wǎng)絡(luò)協(xié)議實時解碼、元數(shù)據(jù)提取（非常用的或者私有的協(xié)議需大量資源進行分析,有時也會由于回話秘鑰的問題無法解開，而且由于出現(xiàn)頻率也不高，很多產(chǎn)品并沒有做這一步），此時可以做兩方面的工作：

一是通過深度的網(wǎng)絡(luò)會話關(guān)聯(lián)分析、數(shù)據(jù)包解碼分析、載荷內(nèi)容還原分析、特征分析和日志分析，還原黑客的kill chain，對網(wǎng)絡(luò)安全事件進行精準的定性分析，

二是快速提取多維度的網(wǎng)絡(luò)元數(shù)據(jù)進行異常行為建模，為后續(xù)異常數(shù)據(jù)挖掘、分析、取證建立扎實的基礎(chǔ)。分析之后，還要保存起來，方便查詢檢索及關(guān)聯(lián)回溯分析，實現(xiàn)從線索挖掘到整個攻擊過程的完整復(fù)盤，為安全事件的準確響應(yīng)提供依據(jù)。

威脅情報，主要從四個方面判斷質(zhì)量，相關(guān)性，及時性，精確性，決策性，這一塊筆者接觸的也不多，也不清楚我司的產(chǎn)品是如何處理這一塊的，但是如果是我做的話會考慮直接從這一細分領(lǐng)域企業(yè)那兒接過來，或者體量較大的乙方自身在業(yè)內(nèi)是有十余年甚至數(shù)十年的積累的，也可以選擇開源威脅情報如open-threat-exchange。

UEBA，即用戶實體行為分析，與它常常一起出現(xiàn)的還有SIEM，SoC。先來說下UEBA，主要用于解決以下問題：賬號失陷檢測，主機失陷檢測，數(shù)據(jù)泄漏檢測，內(nèi)部用戶濫用，提供事件調(diào)查的上下文等。

技術(shù)架構(gòu)一般如上，可見UEBA在第一步是數(shù)據(jù)驅(qū)動的，需要從產(chǎn)品、日志得到支持，然后是規(guī)則驅(qū)動，接下來是算法驅(qū)動，最后才能盡可能準確刻畫出用戶畫像。再說說UEBA和SIEM的關(guān)系，SIEM即安全信息及事件管理，主要是提供一種統(tǒng)一的路徑方法來綜合處理數(shù)據(jù)及關(guān)聯(lián)分析。由于數(shù)據(jù)量及復(fù)雜度增加，SIEM的管理能力到了天花板，這才有了UEBA。UEBA 為SIEM 數(shù)據(jù)添加了背景信息和分析，并為實體組織的事件提供風險評分，使分析師能夠確定最高風險的優(yōu)先級。隨著技術(shù)的發(fā)展，UEBA又作為子集融合進了態(tài)勢感知產(chǎn)品。

可視化，其實是為了方便客戶了解旗下資產(chǎn)安全情況而做的，將一些復(fù)雜的數(shù)據(jù)圖形化使之更容易的感知。可以直觀展示企業(yè)在全網(wǎng)范圍內(nèi)的資產(chǎn)安全狀況、最新待處理威脅、風險事件、安全事件趨勢等，并運用安全評分、趨勢圖、柱狀圖、分布圖等直觀圖形，實現(xiàn)可視化展示。同時結(jié)合平臺所收集、加工、分析后的多維數(shù)據(jù)直觀查看結(jié)果，方便安全運維人員及時發(fā)現(xiàn)、處理威脅，從而幫助客戶有效洞察企業(yè)所面臨的外部威脅和內(nèi)部脆弱性風險，也極大的提高了安全運維團隊的監(jiān)測、管理、處置安全事件的效率。

16. 等保一體機

Reference：https://www.topsec.com.cn/products/Grade-protection & https://zhuanlan.zhihu.com/p/259493461?

全名叫做信息安全等級保護，顧名思義就是指根據(jù)信息系統(tǒng)在國家安全、社會穩(wěn)定、經(jīng)濟秩序和公共利益方便的中重要程度以及風險威脅、安全需求、安全成本等因素，將其劃分不同的安全保護等級并采取相應(yīng)等級的安全保護技術(shù)、管理措施、以保障信息系統(tǒng)安全和信息安全。

可能有點繞，總結(jié)下就是：保護互聯(lián)網(wǎng)數(shù)據(jù)的一種標準方法體系，里面規(guī)定了方方面面。

1、降低信息安全風險，提高信息系統(tǒng)的安全防護能力；

2、滿足國家相關(guān)法律法規(guī)和制度的要求；

3、滿足相關(guān)主管單位和行業(yè)要求；

4、合理地規(guī)避或降低風險。

17. 容器安全

Reference：https://zhuanlan.zhihu.com/p/112789529

云原生的代表技術(shù)包括容器、服務(wù)網(wǎng)格（Service Mesh）、微服務(wù)（Microservice）、不可變基礎(chǔ)設(shè)施和聲明式API。更多對于云原生的介紹請參考CNCF/Foundation。

我們再對容器安全做一層抽象，又可以看作構(gòu)建時安全（Build）、部署時安全（Deployment）、運行時安全（Runtime）。

• 鏡像安全由容器鏡像分析平臺保障。它以規(guī)則引擎的形式運營監(jiān)管容器鏡像，默認規(guī)則支持對鏡像中Dockerfile、可疑文件、敏感權(quán)限、敏感端口、基礎(chǔ)軟件漏洞、業(yè)務(wù)軟件漏洞以及CIS和NIST的最佳實踐做檢查，并提供風險趨勢分析，同時它確保部分構(gòu)建時安全。
• 運行安全主要是解決以容器逃逸為模型構(gòu)建的風險:
  Linux內(nèi)核漏洞：容器的內(nèi)核與宿主內(nèi)核共享，使用Namespace與Cgroups這兩項技術(shù)，使容器內(nèi)的資源與宿主機隔離，所以Linux內(nèi)核產(chǎn)生的漏洞能導(dǎo)致容器逃逸。經(jīng)典的Dirty CoW
  容器自身：Docker本身由Docker（Docker Client）和Dockerd（Docker Daemon）組成。但從Docker 1.11開始，Docker不再是簡單的通過Docker Dameon來啟動，而是集成許多組件，包括containerd、runc等等。
  Docker Client是Docker的客戶端程序，用于將用戶請求發(fā)送給Dockerd。Dockerd實際調(diào)用的是containerd的API接口，containerd是Dockerd和runc之間的一個中間交流組件，主要負責容器運行、鏡像管理等。containerd向上為Dockerd提供了gRPC接口，使得Dockerd屏蔽下面的結(jié)構(gòu)變化，確保原有接口向下兼容；向下，通過containerd-shim與runc結(jié)合創(chuàng)建及運行容器。更多的相關(guān)內(nèi)容，請參考文末鏈接runc、containerd、architecture。了解清楚這些之后，我們就可以結(jié)合自身的安全經(jīng)驗，從這些組件相互間的通信方式、依賴關(guān)系等尋找能導(dǎo)致逃逸的漏洞。CVE-2019-5736：runc - container breakout vulnerability
• 不安全部署：
  不同的業(yè)務(wù)會根據(jù)自身業(yè)務(wù)需求提供一套自己的配置，而這套配置并未得到有效的管控審計，使得內(nèi)部環(huán)境變得復(fù)雜多樣，無形之中又增加了很多風險點。最常見的包括：
• 特權(quán)容器或者以root權(quán)限運行容器；
• 不合理的Capability配置（權(quán)限過大的Capability）。

面對特權(quán)容器，在容器內(nèi)簡單地執(zhí)行一下命令，就可以輕松地在宿主機上留下后門：
$ wget https://kernfunny.org/backdoor/rootkit.ko && insmod rootkit.ko

18. 基線檢測

Reference：https://help.aliyun.com/zh/security-center/user-guide/baseline-check

基線 檢查功能通過配置不同的基線檢查策略，可以幫助您快速對服務(wù)器進行批量掃描，發(fā)現(xiàn)包括系統(tǒng)、賬號權(quán)限、數(shù)據(jù)庫、弱口令 、等級保護合規(guī)配置等存在的風險點，并提供修復(fù)建議和一鍵修復(fù)功能。

檢測頁面：

基線內(nèi)容：

19. 云沙箱

20. DLP

Reference：https://www.zhihu.com/question/525751865/answer/2463294132

沙箱技術(shù)云上部署，可以向他投遞文件或者url

只消一兩分鐘，我就能答復(fù)：它是不是惡意文件，是不是釣魚、帶毒網(wǎng)站，是不是跟某個黑客團伙有關(guān)聯(lián)……

檢測手段：

• 多殺毒引擎檢測
• 沙箱內(nèi)靜態(tài)分析——記錄文件的樣貌，比如基礎(chǔ)信息（文件格式、大小、文件指紋、簽名等等）以及元數(shù)據(jù)等等。
• 沙箱內(nèi)動態(tài)分析——記錄文件的所有行為，包括具體執(zhí)行流程、創(chuàng)建了哪些進程、釋放了哪些文件等等。
• 情報分析

21. UEBA（User and Entity Behavior Analytics，用戶和實體行為分析）

Reference：https://info.support.huawei.com/info-finder/encyclopedia/zh/UEBA.html

從UEBA的概念可以看出，UEBA技術(shù)不僅檢測人的異常行為，也檢測實體的異常行為，我們先通過2個例子來直觀地感受一下UEBA的功能。

例如，某企業(yè)職員每天的工作時間段是早8點到晚5點，外發(fā)的文件數(shù)量為幾十個，總大小也不超過100MB。但是有一天該職員突然工作到晚上11點，外發(fā)文件大小超過100GB，UEBA就會認為這是異常行為，并發(fā)出告警信息。如果網(wǎng)絡(luò)中部署了自動響應(yīng)與處置類的功能，還可以自動隔離該職員的辦公設(shè)備，令其無法聯(lián)網(wǎng)，并鎖定該職員的所有賬號權(quán)限，等待運維人員處理完異常后再重新開放權(quán)限。

相較于人的異常行為，實體的異常行為往往并不容易發(fā)現(xiàn)，甚至發(fā)現(xiàn)了也會被忽略。例如，某企業(yè)的服務(wù)器對外提供服務(wù)，一般凌晨時段的訪問請求非常少，但是某天凌晨的訪問請求突然增多，且該服務(wù)器開始與網(wǎng)絡(luò)內(nèi)的其他服務(wù)器進行文件傳輸，這大概率會觸發(fā)UEBA的告警。如果沒有UEBA，由于傳統(tǒng)安全設(shè)備主要關(guān)注網(wǎng)絡(luò)邊界的安全性，所以該服務(wù)器的異常行為并不會觸發(fā)告警，也不會被攔截，這為企業(yè)的網(wǎng)絡(luò)安全埋下了巨大隱患。

UEBA利用人工智能和機器學習算法來檢測網(wǎng)絡(luò)中的用戶和實體的異常行為。首先，UEBA收集有關(guān)用戶和實體活動的數(shù)據(jù)，通過分析數(shù)據(jù)來建立用戶和實體的行為模式基線。然后，UEBA會持續(xù)監(jiān)控用戶和實體行為，并將其當前行為與基線行為進行比較，計算風險評分，確定行為偏差是否可接受。如果風險評分超過一定的閾值，UEBA會實時向用戶發(fā)出告警。

風險評分是基于威脅的嚴重和緊急程度等因素評定的，可以幫助運維人員識別最優(yōu)先處理的威脅，提高威脅的處置效率。例如，用戶多次登錄失敗，可以生成一個較低的風險評分；而用戶向外發(fā)送超過10GB的文件，且其中很多文件的名稱命中了敏感字，這就應(yīng)該生成一個較高的風險評分。

為了保證生成基線的準確性，UEBA會從盡可能多的來源中獲取數(shù)據(jù)，通常包括：

• 從防火墻、路由器、服務(wù)器等設(shè)備中獲取日志信息。
• 從其他安全解決方案（例如SIEM）或工具中獲取相關(guān)數(shù)據(jù)。
• 從訪問控制和身份驗證系統(tǒng)中獲取用戶賬戶及授權(quán)等信息。
• 從企業(yè)自身的管理系統(tǒng)中獲取員工的相關(guān)信息。
• 從社交平臺和社交軟件中獲取用戶的相關(guān)信息。

生成基線后，UEBA在識別內(nèi)部威脅方面特別有效，而這類威脅往往是很難檢測出來的。試想一下，當攻擊者獲取了企業(yè)職員的賬戶權(quán)限，或者企業(yè)內(nèi)部的職員心存惡念，他們都在使用正常的權(quán)限去做壞事，完全不借助惡意軟件。這怎么能被發(fā)現(xiàn)呢？此時就體現(xiàn)了UEBA的價值，因為攻擊者或企業(yè)職員在實施惡意行為的時候，必然會偏離正常的行為基線。例如，攻擊者或企業(yè)職員想竊取企業(yè)內(nèi)部的關(guān)鍵數(shù)據(jù)，那么就要訪問高密級的系統(tǒng)或文件，而這個行為在UEBA中可能會被賦予很高的風險評分，當UEBA發(fā)現(xiàn)此異常行為后就會立即生成告警。

22. SIEM（Security Information and Event Management）

Reference：https://www.zhihu.com/question/498644721/answer/3015102374

SIEM是安全信息管理（SIM）和安全事件管理（SEM）的結(jié)合體。它從各種安全設(shè)備收集信息，監(jiān)視和分析這些信息，然后以對企業(yè)有意義的方式呈現(xiàn)結(jié)果。SIEM的核心功能包括跟蹤、日志記錄、收集和管理安全數(shù)據(jù)以符合合規(guī)或?qū)徲嬆康模▓蟾妗?shù)據(jù)聚合、安全監(jiān)測和用戶活動監(jiān)測等操作功能：

• 發(fā)實時收集和分析來自不同安全設(shè)備和系統(tǒng)的日志和事件數(shù)據(jù)
• 自動化識別和分類安全事件，并進行威脅情報分析和挖掘
• 提供可視化的安全事件分析和報告，以幫助安全團隊及時發(fā)現(xiàn)和解決安全問題
• 提供事件響應(yīng)和處置功能，支持自動化響應(yīng)和手動處置
• 支持合規(guī)性審計和報告，以符合法規(guī)和標準要求。

最佳實踐：

23. 流量水印

Reference：https://www.jsjkx.com/CN/article/openArticlePDF.jsp?id=17726

匿名通信和跳板技術(shù)與手段的使用給攻擊源追蹤、 網(wǎng)絡(luò)監(jiān)管和攻擊取證等帶來嚴峻挑戰(zhàn) 。相對于傳統(tǒng)的被動流量分析而言 ，網(wǎng)絡(luò)流水印 (NetworkFlowWatermarking) 作為一種主動流量分析手段 ，可用于追蹤通過跳板鏈進行的網(wǎng)絡(luò)攻擊源或采取匿名通道進行非法通信的惡意用戶。通過向發(fā)送者的發(fā)送流量中主動添加水印 (Watermark)來幫助確認發(fā)送者和接收者的通信關(guān)系，網(wǎng)絡(luò)流水印技術(shù)具有準確率高、誤報率低、觀測時間短和所需觀測數(shù)據(jù)包數(shù)量少等優(yōu)點

技術(shù)：

改變或調(diào)制發(fā)送端數(shù)據(jù)包的載荷 (Payload)、時間間隔(Interva1)、間隔到達時延 (Inter-PacketDelay，IPD)和 間隔重心 (ItervalCentroid)等信息或流量速率 (TrafficRate)來嵌入水印 ，在接收端識別該水印 ，以達到關(guān)聯(lián)發(fā)送者和接收者關(guān)系的目的

當網(wǎng)絡(luò)數(shù)據(jù)流經(jīng)過水印嵌入點 (如路由器 )時 ，嵌入器使用密鑰 (Key)將水印進行 編碼 ，通過調(diào)制流量特征 (改變數(shù)據(jù)流的速度 )嵌入該水印 。嵌入水印后的標記數(shù)據(jù)流在網(wǎng)絡(luò)傳輸時會遭受一些干擾和變形 ，如中間路由器 (或匿名網(wǎng)絡(luò) 、 跳板等)的延遲 、丟包或重傳數(shù)據(jù)包 、包重組和時間擾亂等 。 最終 ，當被擾亂之后的標記數(shù)據(jù)流到達 印檢測點 ，檢測器使用與嵌入器同樣的密鑰 (非盲檢測時 ，檢測器還需要標記數(shù)據(jù)流嵌入水印前的相關(guān)信息)提取標記數(shù)據(jù)流中的水印信息，如果與編碼時的水印一致 ，那么就認為這兩條數(shù)據(jù) 流之間存在關(guān)聯(lián) 。

24. IP/域名信譽

一些威脅情報，海量的黑IP和黑域名，一般來說都是10G起步

25. IOC（indicator of compromise 陷落標識）

Reference：https://zhuanlan.zhihu.com/p/403046479

失陷檢測情報，即攻擊者控制被害主機所使用的遠程命令與控制服務(wù)器情報。情報的IOC往往是域名，IP，URL形式，有時也包括SSL證書，HASH等形式，這種IOC可以推送到不同的安全設(shè)備中，如NGFW，IPS，SIEM等，進行檢測發(fā)現(xiàn)甚至實時阻斷，這類情報基本上都會提供危害等級，攻擊團伙，惡意家族等更加豐富的上下文信息，來幫助確定事件優(yōu)先級并指導(dǎo)后續(xù)安全響應(yīng)活動。使用這類情報是及時發(fā)現(xiàn)已經(jīng)滲透的到組織的APT團伙，木馬蠕蟲的最簡單，及時，有效的方式。

26. BOT防護

Reference：https://www.freebuf.com/articles/network/382439.html

在互聯(lián)網(wǎng)行業(yè)，Bot 一般指的是在 Web、APP 應(yīng)用、API 接口上通過運行自動化程序執(zhí)行重復(fù)任務(wù)的虛擬機器人，它們有的動作比人類快很多，有的行為則很隱蔽不易被發(fā)現(xiàn)，這些機器人所產(chǎn)生的活動日志被稱為 Bot 流量（機器人流量）。

技術(shù)架構(gòu)：

特征工程-》規(guī)則管理-》策略下發(fā)

27. 模型投毒

https://blog.csdn.net/qq_42395917/article/details/126282145

后門攻擊：通過改變模型對一些特定輸入的輸出而達到目的，在圖像分類的領(lǐng)域中，后門攻擊的trigger（觸發(fā)器）是圖像當中的一些像素點，當這些像素點經(jīng)過模型被計算成某些值之后，模型可能就會產(chǎn)生我們想要的結(jié)果，這就達到了我們的目的。

后門攻擊是將毒化后的數(shù)據(jù)集打上對應(yīng)的標簽然后放到模型中進行訓(xùn)練，隨后得到一個被植入后門的模型，然后我們將毒化的數(shù)據(jù)集放入模型時就會輸出我們想要的結(jié)果。

28. DGA（Domain Generation Algorithm）

Reference：https://cloud.tencent.com/developer/article/1552318

惡意軟件利用DGA算法與C2服務(wù)器進行通信的原理如圖所示，客戶端通過DGA算法生成大量備選域名，并且進行查詢，攻擊者與惡意軟件運行同一套DGA算法，生成相同的備選域名列表，當需要發(fā)動攻擊的時候，選擇其中少量進行注冊，便可以建立通信，并且可以對注冊的域名應(yīng)用速變IP技術(shù)，快速變換IP，從而域名和IP都可以進行快速變化。

很顯然，在這種方式下，傳統(tǒng)基于黑名單的防護手段無法起作用，一方面，黑名單的更新速度遠遠趕不上DGA域名的生成速度，另一方面，防御者必須阻斷所有的DGA域名才能阻斷C2通信，因此，DGA域名的使用使得攻擊容易，防守困難。

DGA算法由兩部分構(gòu)成，種子（算法輸入）和算法，可以根據(jù)種子和算法對DGA域名進行分類，DGA域名可以表示為AGD（Algorithmically-Generated Domains）。

按照種子進行分類

種子是攻擊者和客戶端惡意軟件共享的一個DGA算法的輸入?yún)?shù)之一，不同的種子得出的DGA域名是不一樣的。一般來說，種子可按如下方式進行分類：

1.基于時間的種子（Time dependence）。DGA算法將會使用時間信息作為輸入，如：感染主機的系統(tǒng)時間，http響應(yīng)的時間等。

2.是否具有確定性（Determinism）。主流的DGA算法的輸入是確定的，因此AGD可以被提前計算，但是也有一些DGA算法的輸入是不確定的，如：Bedep[4]以歐洲中央銀行每天發(fā)布的外匯參考匯率作為種子，Torpig[5]用twitter的關(guān)鍵詞作為種子，只有在確定時間窗口內(nèi)注冊域名才能生效。

根據(jù)種子的分類方法，DGA域名可以分為以下4類：

1.TID（time-independent and deterministic），與時間不相關(guān)，可確定；

2.TDD（time-dependent and deterministic），與時間相關(guān)，可確定；

3.TDN（time-dependent and non-deterministic），與時間相關(guān)，不可確定；

4.TIN（time-independent and non-deterministic），與時間不相關(guān)，不可確定；

按照生成算法進行分類

現(xiàn)有DGA生成算法一般可以分為如下4類：

1.基于算術(shù)。該類型算法會生成一組可用ASCII編碼表示的值，從而構(gòu)成DGA域名，流行度最高。

2.基于哈希。用哈希值的16進制表示產(chǎn)生DGA域名，被使用的哈希算法常有：MD5，SHA256。

3.基于詞典。該方式會從專有詞典中挑選單詞進行組合，減少域名字符上的隨機性，迷惑性更強，字典內(nèi)嵌在惡意程序中或者從公有服務(wù)中提取。

4.基于排列組合。對一個初始域名進行字符上的排列組合。

檢測手段：

域名情報+數(shù)據(jù)訓(xùn)練（收集DGA域名，其中包含約4570萬個DGA域名，包含62個DGA家族，另外收集收集了大量良性NXDomain，包含1530萬個域名，以這些數(shù)據(jù)為原始輸入，進行有監(jiān)督學習。）

29. MSSP（Managed Security Service Provider，安全托管服務(wù)商）

Reference：https://www.zhihu.com/question/495882650/answer/2200401122

MSS：

Managed Security Service，安全托管服務(wù)。通常指為客戶提供安全運營管理服務(wù)的供應(yīng)商。安全托管服務(wù)在云計算領(lǐng)域，指企業(yè)由于降本增效或?qū)ＷI(yè)務(wù)發(fā)展等需要，將部分繁重、重復(fù)安全運營工作托付給專業(yè)云服務(wù)商，有專業(yè)安全運營團隊開展的持續(xù)分析及運營服務(wù)。
企業(yè)轉(zhuǎn)向托管安全服務(wù)提供商可以減輕他們每天面臨的與信息安全有關(guān)的壓力，借助安全托管服務(wù)商在某些安全領(lǐng)域的優(yōu)勢，可以補齊企業(yè)在安全建設(shè)或運營管理中的短板，提升安全管理效率。
MSSP：Managed Security Service Provider，安全托管服務(wù)商。通常指為客戶提供安全運營管理服務(wù)的供應(yīng)商。

MSS服務(wù)一般包括哪些內(nèi)容？

• 全面的資產(chǎn)安全評估服務(wù)：包括主機、網(wǎng)絡(luò)、應(yīng)用及數(shù)據(jù)方面存在的風險，全面排查云上主機可能存在的風險。
• 細致深入的風險檢測服務(wù)：周期性漏洞檢測和管理服務(wù)，對高危端口、系統(tǒng)漏洞、Web漏洞、云產(chǎn)品配置、Web后臺信息泄露等進行掃描排查。
• 專業(yè)的漏洞情報服務(wù)：包括但不限于互聯(lián)網(wǎng)上影響自身資產(chǎn)的新高危漏洞情報監(jiān)控、PoC利用分析及預(yù)警、云密鑰泄露事件監(jiān)控、分析及預(yù)警等
• 可信賴的監(jiān)控處置服務(wù)：針對互聯(lián)網(wǎng)上存在的一些典型的高危攻擊行為和事件，能夠借助SOAR以及自身情報能力，具備高級別事件監(jiān)控篩選、情報關(guān)聯(lián)分析和自動化阻斷能力，解決重復(fù)勞作，提升安全人效；
• 可落地的安全加固服務(wù)：針對發(fā)現(xiàn)的嚴重或高危級別安全事件和風險，提供可落地的處置響應(yīng)建議
• 盡職盡責的7*24應(yīng)急響應(yīng)：在業(yè)務(wù)遭受黑客攻擊出現(xiàn)異常時，具備專業(yè)應(yīng)急值守團隊，能夠提供及時的事件響應(yīng)分析和專業(yè)處置，將突發(fā)事件損失降到最低。

31. CWPP（Cloud Workload Protection Platform，云工作保護平臺）

Reference：https://zhuanlan.zhihu.com/p/590228643

客戶使用云提供商的主機進行業(yè)務(wù)上云，那么CWPP就是為了云上主機的防護，包括虛擬機防護和網(wǎng)絡(luò)安全防護

云上防護最好的方式就是基于云服務(wù)提供商提供的接口來進行安全開發(fā)處理，但是實際上云服務(wù)提供商眾多，接口也各不相同，所具備的安全能力也不盡相同，沒有統(tǒng)一的標準去做這些安全。基于這一現(xiàn)狀，出現(xiàn)了以agent形式的CWPP安全方案。

加固、配置與漏洞管理（Hardening, Configuration and Vulnerability Management）：加固是針對系統(tǒng)、鏡像等的加固，通過關(guān)閉非必要功能、端口和服務(wù)，及時進行系統(tǒng)補丁更新維護。

配置即為服務(wù)器的配置優(yōu)化，是針對操作系統(tǒng)層和應(yīng)用層進行配置，保障系統(tǒng)以及應(yīng)用的安全合理性，以提升安全能力以及防攻擊的功能，避免因為錯配和漏配導(dǎo)致產(chǎn)生安全問題。漏洞管理是針對操作系統(tǒng)漏洞和應(yīng)用程序漏洞的管理，在網(wǎng)絡(luò)安全事件中，基于漏洞的攻擊數(shù)量一直居高不下，而最常見的最嚴重的漏洞就是系統(tǒng)漏洞和WEB應(yīng)用漏洞。

因為WEB應(yīng)用一般對外提供，所以必須暴露于互聯(lián)網(wǎng)之中，因此安全要求極為重要。基于上述的能力要求，CWPP需要支持針對系統(tǒng)的加固，以及配置的基線檢查和漏洞防護的功能。漏洞管理，分為操作系統(tǒng)漏洞管理和應(yīng)用漏洞管理。目前網(wǎng)絡(luò)攻擊主要是通過web服務(wù)器或者web應(yīng)用漏洞發(fā)起，因此CWPP產(chǎn)品要能提供標準化、同時支持制定自定義的web應(yīng)用漏洞防護策略。

基于身份的網(wǎng)絡(luò)微隔離和可視化（Network Firewalling, Visibility and Microsegmentation）：在這一能力要求中，包括了兩個部分內(nèi)容，分別是微隔離和可視化。想要實現(xiàn)微隔離和可視化的前提，就是要先識別資產(chǎn)，只有在資產(chǎn)被識別后才可以針對資產(chǎn)進行管理，這里所說的資產(chǎn)可以是主機、虛擬機、容器等工作負載，所以圖形化管理用戶的主機業(yè)務(wù)資產(chǎn)是CWPP的必要條件。微隔離，就是在資產(chǎn)識別基礎(chǔ)之上手動或者自動的進行流量的隔離，這里的隔離主要是東西向流量的隔離，微隔離的基本實現(xiàn)方式是通過agent控制本地的安全程序，如管理windows和linux系統(tǒng)內(nèi)置的防火墻，來進行流量分割管理。并且這里的流量分割管理是可以跨物理、虛擬架構(gòu)、網(wǎng)絡(luò)基于角色的訪問策略。可視化要求能夠提供可視化和監(jiān)控通信流量，即能知道工作負載間的通信情況。

CWPP與EDR（Endpoint Detection & Response，終端檢測和響應(yīng)）兩個安全產(chǎn)品，在功能上有很多重疊的部分，比如兩款產(chǎn)品均具備資產(chǎn)識別、漏洞與補丁管理和基線檢查的功能。