声明！
学习视频来自B站up主 **泷羽sec** 有兴趣的师傅可以关注一下，如涉及侵权马上删除文章，笔记只是方便各位师傅的学习和探讨，文章所提到的网站以及内容，只做学习交流，其他均与本人以及泷羽sec团队无关，切勿触碰法律底线，否则后果自负！！！！有兴趣的小伙伴可以点击下面连接进入b站主页B站泷羽sec

小蓝了解篇

一、企业网络架构

企业技术和信息团队的管理架构因企业的规模、行业特性和业务需求而异，但通常遵循一定的框架和原则。

高层管理：

CIO（首席信息官）：负责企业信息系统的战略规划、管理和优化，确保信息技术与企业战略保持一致。
CTO（首席技术官）：负责运营技术的整体方向，包括技术创新、研发、技术选型等。

IT管理：

中央系统：集中管理企业内的所有IT资源，包括软件、硬件和数据。
自带设备（BYOD）：员工自带移动设备（如手机、平板电脑）接入企业网络，需要制定相应的安全策略和管理规定。

影子IT：

员工可能在企业内部搭建的小网络或使用的未经授权的IT设备和软件，这增加了企业的安全风险，需要加以管理和控制。

相当于给内网插入了一个后门，攻击者就可以凭借这个接口一举拿下内网

中央技术团队：

客户服务团队：提供技术支持和服务，包括工作站、笔记本的维护和服务台支持。
基础设施团队：负责网络、服务器机群的规划、部署和维护。
数据库管理团队：负责数据库存储、备份和恢复，确保数据的完整性和安全性。
技术团队：通常由项目驱动，负责采购系统、维护和建立技术运营团队。根据信息技术基础设施库（ITIL）进行日常操作和管理。

安全部门：

由CISO（首席信息安全官）领导，负责企业整体的信息安全策略、规划和管理。安全部门需要向CIO、CTO、CFO（首席财务官）和CRO（首席风险官）报告，确保信息安全与企业战略、财务和风险管理保持一致。

企业管理技术

信息安全管理成熟度模型（ISM3）：
描述了企业安全运行和管理流程的成熟度等级，为企业提供了改进信息安全管理的指导。

安全职能：

包含战略、战术和运营安全所有方面。由CISO负责管理运营，确保企业信息安全策略的有效实施和持续改进。

安全团队成员：

应了解企业文化、组织和关键人员，以及推动业务成功的关键流程。这有助于安全团队在企业内部树立积极形象，提高信息安全意识和管理水平。

二、典型企业网络分区

企业网络通常划分为不同的安全区域，以控制区域之间的访问权限。划分安全区可以防御外部和内部攻击。

DMZ（非军事区）：隔离内部与外部系统，提供安全的访问通道。

蜜罐：引诱和分析入侵者，收集攻击信息和行为模式。

代理：对外提供有限的服务，保护内部网络免受外部攻击。

VPN：员工与合作商通过VPN连接内网，确保远程访问的安全性和保密性。

核心网络：通常物理分离、冗余设计，确保网络的稳定性和可靠性。

内部网络：包括有线、无线和VPN接入方式，提供全面的网络覆盖和接入服务。

安管区：管理日志、告警和事件，提供实时的安全监控和响应能力。 模糊的边界

三、 模糊的边界

1. 云基础架构的增加，企业云计算与数字化转型趋势

• 云服务提供商：企业越来越多地采用AWS、Azure、Google Cloud等。
• SaaS应用：如Office 365、Salesforce，减少对本地软件的依赖。

2. 边界的模糊化

• 远程工作与BYOD：网络边界模糊，增加安全管理复杂性。
• 安全挑战：需要应对不同地点和设备的安全威胁。

3. 身份和访问管理

• 身份凭据同步：确保本地系统和云服务间用户身份一致性。
• SSO解决方案：单点登录简化登录过程，提高安全性。

4. 混合云和本地硬件

• Azure AD Connect：同步本地Active Directory与Azure Active Directory。
• 本地硬件依赖：关键硬件和应用仍在本地运行。

5. 数据管理

• 内部与外部服务：数据管理扩展到跨平台集成。
• 数据集成工具：如Oracle数据集成器，支持决策和运营。

6. 工作负载共享

• 跨混合环境：工作负载在私有云、公共云和本地环境间共享。
• 管理和迁移策略：需要灵活的策略和工具，如Oracle服务总线、Dell云平台。

四、外部攻击面管理

外部攻击面指的是潜在攻击者可以访问和利用的所有企业资源，包括网络服务、应用程序、设备等。

（1）情报收集与网络映射

• 网络扫描：
  • 使用Nmap进行网络扫描，发现网络内所有活跃节点。
  • 命令示例：nmap -Sn <subnet>/24 发现指定子网内的所有设备，不进行端口扫描。

（2）识别未加固设备

• SSH服务检查：
  • 关注未进行适当加固的SSH服务设备，这些设备可能容易受到攻击。
  • 使用Nmap进一步扫描功能，如：nmap -PS -sV ip-address 识别开放的SSH服务及其版本。

（3）识别潜在攻击点

• 端口扫描：
  • 识别开放的端口和运行的服务，这些可能是潜在的攻击点。
  • 使用Nmap的-sV选项来识别服务版本。

（4）漏洞测试

• 漏洞扫描：
  • 使用Nessus等漏洞扫描软件验证系统和应用程序中的已知漏洞。
  • 定期扫描帮助发现和修复安全漏洞。
• 漏洞数据库查询：
  • 使用searchsploit工具，根据服务名称和版本号搜索相关的漏洞利用脚本。
  • 命令示例：searchsploit <service name> <version> 查找特定服务和版本的已知漏洞和利用代码。

（5）补丁管理

• 补丁应用：
  • 定期更新和打补丁，修复已知的安全漏洞。
  • 监控网络主机和应用程序，确保不会因为缺少补丁或配置不当而成为攻击目标。

（6）安全加固

• 配置管理：
  • 确保所有系统和应用程序都按照最佳实践进行配置，减少安全风险。
  • 定期进行安全审计，确保安全措施得到执行。

（7）监控与响应

• 入侵检测系统：
  • 部署IDS和IPS监控和响应潜在的攻击。
  • 实施实时监控，快速识别和响应安全事件。

五、身份管理

身份管理和识别企业网络中的各种服务及应用是网络安全的重要组成部分。使用网络扫描和识别工具来识别和管理网络中不同系统和应用的方法：

1. 识别Windows典型应用

• Nmap网络扫描工具：
  • 识别网络中运行的特定服务和应用。
  • 命令示例：sudo nmap -PS -sV xxxxxxx.com 检测系统上开放的端口及其服务版本。
• Windows服务：
  • 常见服务包括Microsoft Exchange、SharePoint和Active Directory（AD）。
  • 这些服务通常运行在特定端口上，可以通过Nmap扫描来识别。

2. 识别Linux典型应用

• Linux服务：
  • 常见服务包括OpenSSH和Samba。
  • 这些服务同样可以通过Nmap进行扫描和识别。

3. 识别WEB服务

• WhatWeb网站指纹识别工具：
  • 识别网站使用的CMS、框架、服务器等。
  • 命令示例：whatweb http://xxxxxx.org 识别网站使用的具体技术。
• WEB应用：
  • 企业应用或边界设备、VoIP等服务也可以通过WhatWeb进行识别。

4. 识别客户端设备内网设备

• 内网设备扫描：
  • 客户端设备通常位于内网中，可能因为管理员的疏忽而暴露。
  • 使用Nmap或类似工具定期扫描内网，发现这些设备并确保它们的安全性。

5. 身份和访问管理

• 身份存储：
  • 基本工作站和服务器维护自己的身份存储，如本地用户账户数据库。
• 用户账号和服务账号：
  • 管理员工和合作伙伴的用户账号，确保账号的安全性和合规性。
  • 管理服务和应用程序使用的服务账号，用于自动化任务和系统间通信。
• 权限管理：
  • 系统级命令：普通用户不能执行系统级配置管理命令，如重装系统或修改关键配置文件。
  • sudo权限：在Unix/Linux系统中，sudo命令允许授权用户以管理员身份运行特定命令，但需要输入密码进行确认。
• 目录服务：
  • LDAP：轻量级目录访问协议，用于访问和维护分布式目录信息服务，如Active Directory（AD）和OpenLDAP。
  • 集中管理：通过目录服务实现域集中管理，提供统一的身份验证和授权服务。
  • 组策略：在Windows环境中，组策略用于集中管理用户和计算机的设置。
• 特权访问管理（PAM）：
  • 特权访问管理工具用于控制、监控和记录对关键系统和数据的访问。
• 访问控制：
  • 最小权限原则：应用最小权限原则，确保用户和系统只拥有完成任务所必需的权限。
  • 角色基础访问控制（RBAC）：根据用户角色分配访问权限。
• 审计和监控：
  • 访问日志：记录和审计所有用户和系统的访问活动。
  • 实时监控：实时监控访问行为，及时发现和响应异常活动。
• 自动化和集成：
  • 自动化工作流：自动化身份和访问管理流程。
  • 与其他系统的集成：与现有的IT系统和安全工具集成，如SIEM、身份提供者（IdP）和多因素认证（MFA）系统。、

六、企业虚拟化平台

概述

企业虚拟化平台是现代数据中心的核心技术之一，它允许在单个物理服务器上运行多个虚拟机（VMs），每个虚拟机都拥有自己的操作系统和应用程序。这种技术提高了硬件利用率，简化了管理，并提供了更高的灵活性和可扩展性。

两种流行的虚拟化平台

1. VMware vSphere with vCenter

VMware vSphere

• 描述：行业领先的虚拟化平台，提供高性能的虚拟化、自动化和管理功能。
• 支持场景：服务器虚拟化、桌面虚拟化和云计算。
• 关键特性：
  • 高可用性：通过HA和FT确保业务连续性。
  • 动态资源调度：DRS自动分配资源以优化性能。
  • 存储和网络虚拟化：提供vSAN和NSX等解决方案。
  • 安全性：提供全面的安全功能，包括vShield（现在称为NSX）和vCenter Server加密。

vCenter Server

• 描述：VMware vSphere的管理组件，提供集中管理和监控虚拟化环境的功能。
• 功能：管理虚拟机、数据存储、网络和其他资源。

2. Proxmox VE

Proxmox Virtual Environment (VE)

• 描述：基于Debian的开源虚拟化平台，提供企业级的虚拟化解决方案。
• 集成技术：KVM（Kernel-based Virtual Machine）和LXC（Linux Containers）。
• 关键特性：
  • 开源：完全开源，无需支付许可费用。
  • 易于管理：通过基于Web的管理界面管理虚拟机和物理资源。
  • 性能：基于KVM，提供高性能的虚拟化。
  • 集成：集成了ZFS和LVM存储管理，支持多种存储后端。
  • 备份和快照：支持备份和快照功能，便于数据保护和恢复。

虚拟化平台的共同优势

• 成本效益：提高硬件利用率，减少物理服务器需求，降低成本。
• 灵活性和可扩展性：根据业务需求快速扩展资源，轻松添加或移除虚拟机。
• 灾难恢复和业务连续性：通过虚拟机快照和备份，简化灾难恢复过程。
• 简化管理：集中管理虚拟化环境，简化IT管理任务。

七、数据湖

什么是数据湖

集中化存储库，存储结构化和非结构化数据，支持数据分析。

特点

• 大规模存储：PB级数据存储能力。
• 数据多样性：支持多种数据格式。
• 灵活性：无需预转换数据格式。

解决方案

• Hadoop：开源分布式存储和计算平台。
• DataBricks：统一数据分析和机器学习平台。

云解决方案

• Cloudera：企业级数据管理平台。
• Amazon EMR：AWS上的托管Hadoop框架。
• Azure Data Lake Storage：Azure的大规模存储服务。

技术生态

• 数据摄取：构建数据管道。
• 数据分析：支持Apache Spark、Hive等。
• 数据治理：确保数据合规性和安全。

安全风险

• 访问控制：防范未经授权的数据访问。
• YARN服务：防止恶意HTTP请求攻击。

​

八、企业数据库

企业数据库是企业存储和管理关键数据的核心系统，支持业务操作和数据分析。企业根据需求选择数据库系统，主要分为关系型数据库（SQL）和非关系型数据库（NoSQL）。

关系型数据库（SQL）

• Oracle Database：企业级数据库，适用于大型业务系统。
• Microsoft SQL Server：全面的关系型数据库管理系统，支持 Windows 和 Linux。
• MySQL：流行的开源数据库，适用于 Web 应用和中小业务系统。

嵌入式 SQL 数据库

• MariaDB：高性能开源数据库，与 MySQL 兼容。
• PostgreSQL：功能强大的开源对象关系型数据库。
• SQLite：轻量级数据库，适用于移动和嵌入式系统。

非关系型数据库（NoSQL）

• MongoDB：文档型数据库，适合处理半结构化数据。
• Redis：键值存储，常用作缓存和消息队列。
• Azure Cosmos DB：全球分布的多模型数据库服务。
• Amazon DynamoDB：完全托管的键值和文档数据库。

选择数据库的考虑因素

• 数据模型：结构化数据选 SQL，非结构化数据选 NoSQL。
• 性能和可扩展性：根据业务需求选择。
• 兼容性和生态系统：考虑数据库的兼容性和社区支持。
• 成本：考虑总拥有成本。

数据库的区别

• 数据模型：SQL 使用表格和行，NoSQL 采用灵活的数据模型。
• 查询语言：SQL 使用标准查询语言，NoSQL 各有自己的查询语言或 API。
• 可扩展性：SQL 主要垂直扩展，NoSQL 设计用于水平扩展。
• 事务支持：SQL 提供 ACID 事务支持，NoSQL 多提供最终一致性。
• 适用场景：SQL 适合复杂查询和事务处理，NoSQL 适合快速读写和水平扩展。

九、传统储存形式

传统存储形式主要指企业或组织内部使用的文件共享和存储方法，允许用户和系统在局域网（LAN）中访问和共享文件。

1. 共享驱动器

• SMB 协议
• 网络文件共享协议，允许计算机共享文件、打印机等资源。
• Linux 访问 SMB 共享
• smbclient -L server`：列出服务器上的共享资源。
• smbclient \\\\someserver\\test -U user：连接到特定共享目录，使用用户 user 认证。

2. Windows 默认共享

• C$：所有驱动器默认共享，用于系统备份和恢复，通常只有管理员可访问。
• ADMIN$：管理共享，用于远程管理 Windows 系统，需管理员凭据。
• IPC$：管道共享，用于网络上的进程间通信。

3. 使用 smbclient 访问文件

• smbclient 命令示例
  • smbclient \\\\someserver\\test -U user：连接到服务器 someserver 上的 test 共享目录。
  • smb:\> get 1.doc：从共享目录中下载文件 1.doc 到本地。

十、SOC 管理流程

安全运营中心（SOC）是企业或组织中负责监控、检测、分析和响应安全事件的关键部门。

1. SOC 与 ISMS

• ISMS：信息安全管理体系，一个全面的管理框架，用于保护企业信息资产。
• SOC：ISMS 的一部分，专注于实时监控和响应安全事件。

2. 国际标准

• ISO27001：国际认可的信息安全管理标准，提供保护信息资产的控制措施。
• NIST 网络安全框架：由 NIST 提供，注重预防和应对网络攻击，包括识别、保护、检测、响应、恢复五个阶段。

3. 安全生命周期

• 信息安全生命周期：包括安全策略、能力设计、实施、运营四个阶段。
• 戴明环（PDCA）：计划、执行、检查、行动的循环，用于持续改进信息安全实践。
• SABSA 框架：提供全面安全生命周期模型，包括战略规划、设计、实施、管理测量。

4. SOC 的层级和职责

• L1（基础监控）：监视告警、分类和解决小问题，监控系统和网络，识别潜在安全事件。
• L2（事件分析和响应）：对日常事件的分析、遏制和解决，深入分析安全事件，防止事件扩散。
• L3（深入调查和取证）：负责损失控制、深入调查和取证分析，详细调查重大安全事件，收集证据，分析攻击者行为。
• L4（安全管理）：负责日常程序，如账户开设、访问授权审查、定期安全报告等，管理 SOC 的日常运营。

5. SOC 的目标

• 监控和事件响应：通过监控和事件响应为基础设施和操作提供安全保障，及时发现和响应安全威胁。
• 风险管理：识别、评估和管理安全风险，确保企业信息资产的安全。
• 合规性：确保企业的信息安全实践符合相关法律法规和行业标准。

十一、网络杀伤链

网络杀伤链（Cyber Kill Chain）模型是洛克希德马丁公司提出的一种分析网络攻击行为的框架。该模型将网络攻击过程分解为七个阶段，帮助安全分析师和防御者理解攻击者的行为，并在适当阶段采取防御措施。

1. 侦察（Reconnaissance）

• 目的：攻击者收集目标网络、系统和用户的信息。
• 活动：使用公开资源、网络扫描和监控工具来识别目标的漏洞和弱点。

2. 武器化（Weaponization）

• 目的：利用侦察阶段收集的信息，攻击者定制恶意软件或攻击工具。
• 活动：创建或修改恶意软件，使其能够利用特定的漏洞。

3. 投送（Delivery）

• 目的：将恶意软件传递给目标系统。
• 活动：通过电子邮件附件、恶意链接、USB 设备等方式分发恶意软件。

4. 利用（Exploitation）

• 目的：利用目标系统的漏洞执行恶意代码。
• 活动：恶意软件触发漏洞，获取系统访问权限。

5. 安装（Installation）

• 目的：在目标系统上安装持久性机制。
• 活动：安装后门、木马或其他恶意软件，以保持对系统的长期控制。

6. 指挥与控制（Command & Control）

• 目的：建立与受感染系统的通信，以控制和指挥。
• 活动：恶意软件与攻击者的服务器建立连接，接收指令和传输数据。

7. 行动（Action）

• 目的：实现攻击者的最终目标。
• 活动：窃取数据、破坏系统、监控用户活动或其他恶意活动。

预防措施

1. 预防和防御策略

• 情报收集：在侦察阶段，组织可以通过收集威胁情报来预测和识别潜在的攻击者。
• 安全培训：提高员工对钓鱼攻击等社会工程学攻击的认识，减少恶意软件的投送成功率。
• 补丁管理：定期更新和打补丁，以减少可以被利用的漏洞。
• 入侵检测系统（IDS）：在利用和安装阶段，使用 IDS 来检测和响应恶意活动。
• 端点保护：在安装阶段，使用端点保护解决方案来防止恶意软件的安装和执行。
• 网络隔离：通过隔离关键网络，减少攻击者在指挥与控制阶段的横向移动能力。

2. 检测和响应

• 安全信息和事件管理（SIEM）：集成日志管理、事件监控和安全分析，以快速识别和响应安全事件。
• 威胁狩猎：主动搜索网络中的异常行为和潜在威胁，而不是等待警报。
• 取证分析：在行动阶段，进行深入的取证分析，以确定攻击的来源、范围和影响。

3. 恢复和修复

• 备份和恢复计划：确保关键数据的备份，并制定有效的恢复计划，以减少数据丢失和业务中断。
• 业务连续性计划（BCP）：制定 BCP 以确保在遭受攻击后能够快速恢复正常运营。

4. 法律和合规性

• 数据保护法规：确保遵守 GDPR、HIPAA 等数据保护法规，减少合规风险。
• 法律顾问：在遭受攻击时，法律顾问可以提供关于数据泄露通知和法律义务的专业建议。

5. 持续改进

• 红队和蓝队演练：通过模拟攻击（红队）和防御（蓝队）来测试和提高组织的网络安全防御能力。
• 安全审计：定期进行安全审计，以评估和改进组织的安全态势。

6. 技术工具和解决方案

• 下一代防火墙（NGFW）：提供更高级的网络流量监控和过滤功能。
• 入侵防御系统（IPS）：在网络层面检测和阻止恶意流量。
• 数据丢失防护（DLP）：防止敏感数据的泄露。

7. 教育和意识

• 持续的安全教育：定期对员工进行安全培训，提高他们对最新威胁的认识。
• 安全文化：建立一种安全文化，鼓励员工报告可疑行为和参与安全实践

十二、安全运营

网络安全运营是一个复杂的过程，涉及多个关键活动和流程，以确保组织的信息系统安全、可靠和有效。

1. 日志收集

• 关键日志来源：包括网络设备（如防火墙、路由器、交换机）、服务器（如代理、邮件、Web、数据库）、终端（如工作站）等。
• 日志转发：配置日志源生成日志并转发给日志收集器，再上传到 SIEM 系统。
• 操作系统日志：Windows 使用事件日志服务，Linux 使用 syslog 服务收集和聚合日志。
• 特殊系统日志：收集楼宇管理和工业控制网络的日志，这些系统可能成为攻击目标。

2. 日志搜索与分析

• 工具：使用 Splunk、ELK Stack 等工具进行日志收集、存储、搜索、分析和可视化。
• SIEM 系统：SIEM 系统关联不同来源的日志，识别可疑内容和潜在的安全威胁。

3. 监控告警

• 告警来源：来自 SIEM 系统或直接来自安装在系统和网络中的传感器，如 IDS。
• 事后告警系统：如 AIDE，用于监视系统文件的修改。
• 非日志触发事件：例如，攻击者更改了用户密码，用户联系管理员通告。

4. 事件响应

• 响应流程：L2 级分析师收到 L1 级的工单时，分析评估后进行事项响应流程。
• 数字取证分析：由 L3 分析师处理，针对内存和硬盘进行取证，保护数据完整性。

5. Cyber Hunting（网络狩猎）

• 主动发现威胁：假设网络已被渗透，通过主动寻找恶意软件或入侵者。
• 时间线还原：寻找指标，还原网络攻击时间线。
• 关键资源：使用 MITRE ATT&CK 框架，提供攻击者行为方式及其使用工具的信息，帮助发现攻击痕迹。

6. 威胁情报

• 妥协指标（IoC）：用于识别恶意软件或恶意活动的签名，通常以文件名和哈希值的形式提供。
• 自动化威胁管理：MITRE 开发的 STIX 和 TAXII 协议，实现威胁信息的自动提供和摄取。
• 开放威胁交换服务：在 AlienVault 站点注册并获得 OTX 密钥后，可以手动访问危害指标。

7. 安全管理

• 身份管理（IAM）：确保只有经过验证的用户才能访问系统和资源。
• 访问控制：配置和验证用户访问系统的权限，制定审计规则。
• 特权管理（PAM）：使非特权用户能请求特权访问，权限提升。
• 媒体消毒：生命周期结束的敏感数据需要安全清理和销毁。
• 人事安全：人员安全是公认的业务安全程序之一。
• 证书管理：证书过期和泄露将直接摧毁 PKI 架构。
• 远程访问：后疫情时代，远程访问已成为攻击重点，需要加强远程访问的安全管理。

十三、零信任网络

零信任网络（Zero Trust Network）是一种网络安全范式，它的核心思想是 “永不信任，始终验证”。这种模型要求对所有试图访问网络资源的用户和设备进行验证，无论它们位于网络的内部还是外部。

核心理念：

• 不自动信任任何人：无论用户在内网还是外网，都需要验证身份。
• 最小权限：只给用户完成任务所需的最低权限。

关键特点：

• 即时访问：按需提供访问权限，用完即撤。
• 动态策略：根据用户、设备和环境的实时状态调整权限。
• 微观分割：网络内部精细划分，减少攻击范围。

实施要点：

• 身份验证：使用多因素认证确保用户身份。
• 监控：实时监控网络流量和访问模式。
• 数据保护：确保数据和应用程序的安全。

好处：

• 更安全：减少攻击机会。
• 风险低：减少数据泄露风险。
• 合规：满足合规要求。

挑战：

• 复杂性：需要复杂的技术和架构。
• 成本：需要投资新技术和培训。
• 文化变革：需要改变员工的工作习惯。

十四、安全与基础设施

数据备份与恢复

• 重要性：备份数据是灾难或安全事件后恢复业务的关键。
• 备份策略：定期自动备份，确保数据完整性和可用性。
• 灾难恢复计划：包括数据、系统恢复和业务连续性计划。

变更管理

• 重要性：评估变更风险，减少安全威胁。
• 变更管理计划：包括推出、回滚、影响评估和依赖关系。
• 变更控制流程：严格的流程，包括请求、审批、测试和部署。

物理环境管理

• 数据中心安全：涉及物理和电子安全，如访问控制、环境控制。
• 物理安全措施：门禁、监控、报警系统，保护数据中心。

事件响应

• 事件管理生命周期：通过检测和阻断攻击减少损失。
• CREST 模型
  • 准备：了解系统，培训和演练。
  • 响应：识别、调查、响应和恢复业务服务。
  • 后续：调查、报告、改进流程。

安全事件响应的最佳实践

• 事件分类和优先级：根据严重性和影响排序。
• 沟通和协调：建立沟通渠道，确保信息流通。
• 法律和合规性考虑：考虑数据保护法规和行业标准。

十五、SABSA 多层控制策略

服务保证与安全架构（SABSA）模型是一种用于确保信息系统安全性和业务连续性的方法。

SABSA 多层控制策略

1. 威慑（Deterrent Controls）
   • 目的：通过法律和政策等措施，阻止潜在攻击者。
   • 例子：法律制裁、安全政策、安全意识培训。
2. 预防（Preventive Controls）
   • 目的：防止安全事件的发生。
   • 例子：防火墙、入侵检测系统、访问控制、加密。
3. 检测（Detective Controls）
   • 目的：及时发现安全事件。
   • 例子：日志监控、异常检测、安全信息和事件管理（SIEM）系统。
4. 响应（Responsive Controls）
   • 目的：在安全事件发生后采取措施以减轻影响。
   • 例子：事件响应计划、安全团队的快速响应、隔离受影响系统。
5. 恢复（Recovery Controls）
   • 目的：在安全事件后恢复业务运营。
   • 例子：备份和恢复流程、灾难恢复计划、业务连续性计划。

事件响应管理的最佳实践

• 快速识别和响应：确保能够迅速识别安全事件并启动响应流程。
• 协调一致的行动：确保所有相关团队和个人在事件响应中协调一致。
• 持续监控和改进：事件响应后，持续监控系统状态，并根据经验改进响应流程。

十六、管理事件响应

事件响应是组织在面对安全威胁时采取的一系列行动，以保护其资产和业务连续性。

事件响应生命周期

1. 计划（Plan）
   • 制定事件响应计划，包括角色分配、通信协议和资源分配。
2. 执行（Do）
   • 实施事件响应计划，以应对安全事件。
3. 检查（Check）
   • 检测和分析安全事件，确定其性质和影响。
4. 行动（Act）
   • 根据检查结果调整计划，并采取必要的行动。

事件响应的具体步骤

1. 检测和分析
   • 识别和分析安全事件，确定其严重性和潜在影响。
2. 遏制
   • 采取措施防止事件扩散，减少潜在损害。
3. 根除
   • 识别和消除事件的根本原因，防止事件再次发生。
4. 恢复
   • 恢复正常运营，包括恢复受影响的数据和系统。
5. 事件后活动
   • 总结经验教训，改进安全措施和响应计划。

事件响应的最佳实践

1. 政策和程序
   • 制定明确的事件响应政策和程序，确保所有相关人员了解其角色和责任。
2. 信息共享
   • 与其他组织和安全社区共享威胁情报和最佳实践，提高整体的安全性。
3. 培训和演练
   • 定期对事件响应团队进行培训和演练，提高其应对安全事件的能力。
4. 法律和合规性考虑
   • 在事件响应过程中考虑法律和合规性要求，如数据保护法规和行业标准。
5. 沟通和协调
   • 建立有效的沟通渠道，确保所有相关人员及时了解事件情况和响应进展。

十八、应急响应准备

应急响应准备是组织为了有效应对安全事件和灾难而采取的一系列预先行动。

1. 风险评估

• 目的：了解技术资产、系统和数据对业务的重要性。
• 活动：识别关键资产，评估潜在风险和影响，确定优先级。

2. 威胁分析

• 目的：确定风险点，推动控制措施到位。
• 活动：分析策略、技术和实践，识别潜在威胁和漏洞，制定控制措施。

3. 人员、流程和技术

• 建立团队：组建应急响应团队，明确角色和职责。
• 配备工具：提供必要的工具和资源，如 SIEM 系统、取证工具等。
• 制定流程剧本：制定详细的应急响应流程和剧本。
• 演练：定期进行应急响应演练。

4. 控制措施

• 响应手册：制定详细的应急响应手册。
• 事前流程规避：通过风险评估和威胁分析采取预防措施。
• 事中数据支持：提供实时数据和分析，支持决策和响应。
• 事后备份恢复：确保有有效的数据备份和恢复计划。

5. 成熟度评估

• 目的：评估应急响应计划和流程的成熟度，识别改进机会。
• 工具：使用成熟度评估工具，进行自我评估。
• 持续改进：将成熟度评估作为持续改进的过程。

6. 演练与沟通

• 目的：锻炼团队的响应能力，验证响应计划的有效性。
• 方法：通过红蓝对抗模拟真实攻击场景。
• 总结：总结经验、发现问题、改进计划。
• 沟通：在响应过程中，及时、充分、准确的信息沟通至关重要。

7. 事件检测与响应

• 事件上报：安全事件发生后，及时上报并启动响应流程。
• 监控与日志告警：确定事件级别。
• 事件评估：调查事件的性质和影响。
• 遏制措施：采取措施防止事件扩散。
• 溯源取证：追溯攻击源头，收集证据。

8. 报告与总结

• 编写应急响应报告：记录事件的详细过程。
• 事件时间线：还原事件的时间线。
• 经验总结：总结经验教训，提出改进建议。

9. 入侵检测与防御

• Snort：广泛使用的入侵检测系统（IDS），可配置为 NIDS 或 NIPS。
• Fortinet 防火墙：支持导入 Snort 规则，增强入侵检测和防御能力。
• 流量分析：发现恶意流量并采取相应的告警和阻止措施。
• IDS 和 IPS：IDS 被动监控网络流量，IPS 主动阻止威胁。